Contrat de sous-traitance.

Entre

Edelweiss Creation SA, CHE-107.431.117, Rue des Frères-Lumière 6, 1723 Marly, Suisse, éditrice du service Jenialo,

ci-après le sous-traitant,

et

l’association cliente désignée lors de la souscription,

ci-après la responsable du traitement.

1. Objet et durée

Le présent contrat encadre le traitement de données personnelles que le sous-traitant effectue pour le compte de la responsable du traitement dans le cadre du service Jenialo.

Il prend effet à la souscription et prend fin avec elle. Les obligations de confidentialité et de restitution lui survivent.

2. Rôles

La responsable du traitement détermine les finalités et les moyens du traitement de ses données de bénévoles, de participantes et participants, de donatrices et donateurs. Elle répond du respect du droit applicable, notamment du devoir d’informer les personnes concernées et de disposer d’une base légale.

Le sous-traitant traite ces données uniquement sur instruction documentée, au sens de l’art. 9 LPD.

Le sous-traitant est en revanche responsable du traitement pour ses propres données de clientèle : comptes administrateurs, facturation, support. Celles-ci ne relèvent pas du présent contrat mais de la politique de confidentialité de Jenialo.

3. Nature du traitement

4. Données sensibles

Le service permet à la responsable du traitement de créer ses propres champs. Selon leur contenu, par exemple des restrictions alimentaires, des compétences médicales ou des informations sur la santé, ces champs peuvent révéler des données sensibles au sens de l’art. 5 let. c LPD, notamment des données sur la santé ou sur les convictions religieuses.

La responsable du traitement reconnaît que :

• elle décide seule de créer de tels champs et de collecter de telles données ;
• si elle le fait, le consentement des personnes concernées doit être explicite, au sens de l’art. 6 al. 7 let. a LPD.

Le service ne crée par défaut aucun champ susceptible de révéler des données sensibles.

Le sous-traitant met à disposition un emplacement pour la mention d’information de la responsable du traitement et une case de consentement explicite sur le formulaire public, et horodate ce consentement.

5. Instructions

Le sous-traitant ne traite les données que sur instruction de la responsable du traitement. Constituent des instructions documentées : le présent contrat, les conditions générales, et l’usage du service par les comptes de la responsable du traitement.

Le sous-traitant informe la responsable du traitement s’il estime qu’une instruction viole le droit applicable.

Le sous-traitant n’utilise en aucun cas les données de la responsable du traitement pour démontrer, améliorer ou entraîner quoi que ce soit. L’organisation de démonstration du service est alimentée par des données générées, jamais par des données réelles d’une cliente.

6. Confidentialité

Toute personne autorisée à traiter ces données est tenue à la confidentialité, par contrat de travail ou par engagement distinct, et cette obligation survit à la fin de sa collaboration.

L’accès du personnel du sous-traitant aux données d’une association est limité à ce que le support exige. En particulier, l’écran d’administration de la plateforme donne accès aux organisations et à leur état d’abonnement uniquement, et non aux bénévoles, aux donatrices et donateurs ou aux documents. Chaque consultation est journalisée, et ce journal est communicable à la responsable du traitement qui le demande.

7. Mesures de sécurité

Les mesures ci-dessous sont en place et vérifiées. Elles peuvent évoluer, sans jamais abaisser le niveau de protection.

Cloisonnement. Chaque association est isolée par des politiques de sécurité au niveau des lignes, actives sur l’ensemble des tables. Cette isolation est vérifiée par un jeu de tests rejoué après chaque modification du schéma de la base de données : lecture, écriture et insertion croisées entre organisations, avec contrôle positif.

Hébergement en Suisse. Application et serveur chez Infomaniak, centres de données suisses. Base de données, authentification et fichiers chez Supabase, région de Zurich.

Chiffrement. Transport en HTTPS de bout en bout. Mots de passe des comptes hachés par le fournisseur d’authentification. Identifiants de messagerie des associations chiffrés en base.

Accès. Les comptes d’administration sont protégés par un mot de passe ; les mots de passe connus pour avoir fait l’objet d’une fuite sont refusés. Le compte donnant accès à l’infrastructure de production est protégé par une authentification à deux facteurs.

Sauvegardes. La base de données est sauvegardée quotidiennement par l’hébergeur. Les fichiers, c’est-à-dire les attestations, rapports, reçus de dons, documents et signatures, sont sauvegardés chaque nuit auprès d’un second prestataire suisse, indépendant de l’hébergeur de la base de données, avec conservation de quatre-vingt-dix jours des versions écrasées ou supprimées. La restauration est éprouvée périodiquement.

Effacement. Le service permet la suppression définitive d’une fiche de bénévole, sans conservation résiduelle.

Disponibilité des données en cas de défaut de paiement. En cas d’impayé ou de résiliation, l’accès passe en lecture seule avant toute suspension. La lecture, le filtrage, l’export et le téléchargement restent possibles. Une association peut donc toujours récupérer ses données, y compris lorsqu’elle cesse de payer.

8. Sous-traitants ultérieurs

La responsable du traitement autorise le recours aux sous-traitants suivants :

Stripe ne traite aucune donnée de bénévole. Il traite les données de facturation de l’association et les coordonnées de paiement de la personne qui souscrit.

Le sous-traitant tient cette liste à jour sur une page publique. Il informe la responsable du traitement de tout ajout ou remplacement au moins trente jours à l’avance. La responsable du traitement peut s’y opposer pour un motif sérieux tenant à la protection des données ; à défaut d’accord, elle peut résilier sans frais, avec remboursement au prorata de la période déjà payée.

Le sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent contrat et répond de leurs manquements comme des siens.

9. Transferts hors de Suisse

Les données de bénévoles restent hébergées en Suisse.

Supabase Inc. est une société de droit états-unien, bien que les données soient hébergées en Suisse : le contrat de traitement de Supabase et ses clauses contractuelles types s’appliquent. Stripe, pour les données de facturation, opère depuis l’Irlande et les États-Unis, sur la base d’une décision d’adéquation ou de clauses contractuelles types selon l’entité contractante.

Les notifications push sont acheminées par le service de notification du navigateur ou du système d’exploitation de l’appareil de la personne concernée, notamment Apple, Google ou Mozilla. Leur contenu est chiffré de bout en bout et n’est pas lisible par ces services.

10. Assistance

Le sous-traitant assiste la responsable du traitement, dans la mesure du raisonnable et compte tenu de la nature du traitement, pour :

• répondre aux demandes d’accès, de rectification, d’effacement et de remise des données ;
• effectuer une analyse d’impact lorsqu’elle est requise ;
• démontrer le respect de ses obligations.

Le service met à disposition les fonctions d’export nécessaires pour répondre à ces demandes sans intervention du sous-traitant.

11. Violation de la sécurité des données

Le sous-traitant annonce à la responsable du traitement toute violation de la sécurité des données dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance.

L’annonce décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises.

L’annonce au Préposé fédéral à la protection des données et à la transparence, au sens de l’art. 24 LPD, incombe à la responsable du traitement, que le sous-traitant assiste.

12. Durées de conservation

Sauf instruction contraire de la responsable du traitement :

13. Fin du contrat

À la fin du contrat, la responsable du traitement dispose de quatre-vingt-dix jours pour exporter ses données, pendant lesquels l’accès en lecture reste ouvert.

Au terme de ce délai, le sous-traitant efface les données, sauf obligation légale de conservation. Les sauvegardes suivent leur cycle propre et sont effacées au plus tard quatre-vingt-dix jours après.

Le sous-traitant confirme l’effacement par écrit sur demande.

14. Audit

La responsable du traitement peut demander, une fois par an et moyennant un préavis de trente jours, les informations nécessaires pour vérifier le respect du présent contrat.

Un audit sur place est possible s’il est justifié par un motif sérieux, aux frais de la partie demanderesse, sans perturber le service et sans accéder aux données d’autres associations.

15. Responsabilité

15.1 Chaque partie répond envers l’autre du dommage qu’elle cause par la violation du présent contrat.

15.2 La responsabilité du sous-traitant est limitée au dommage direct et effectivement subi. Sont exclus, dans la mesure permise par le droit : le gain manqué, l’atteinte à la réputation, le dommage indirect ou consécutif, et la perte de données que la responsable du traitement aurait pu reconstituer à partir des exports mis à sa disposition.

15.3 La responsabilité du sous-traitant est en outre plafonnée, par année civile et toutes prétentions confondues, au plus élevé des deux montants suivants : le total des sommes versées par la responsable du traitement au cours des douze mois précédant le fait générateur, ou CHF 1’000.

15.4 Les chiffres 15.2 et 15.3 ne s’appliquent ni au dol ni à la faute grave (art. 100 al. 1 CO).

15.5 Le présent article règle les rapports entre les parties. Il ne restreint ni les droits des personnes concernées à l’égard de l’une ou l’autre d’entre elles, ni les compétences du Préposé fédéral à la protection des données et à la transparence. La responsable du traitement qui indemnise une personne concernée pour un manquement imputable au sous-traitant conserve son recours, dans les limites des chiffres qui précèdent.

15.6 La responsable du traitement répond des conséquences de ses propres choix et relève le sous-traitant de toute prétention de tiers qui en découlerait, en particulier lorsque :

• elle traite des données sans base légale, ou sans avoir informé les personnes concernées ;
• elle collecte, par les champs qu’elle a créés, des données sensibles au sens de l’article 4 sans avoir recueilli le consentement explicite exigé par l’art. 6 al. 7 let. a LPD ;
• elle maintient une instruction que le sous-traitant lui a signalée comme contraire au droit au sens de l’article 5 ;
• elle publie ou diffuse elle-même des données auxquelles le service lui donne accès.

15.7 La responsable du traitement conserve ses propres exports. Le sous-traitant sauvegarde les données conformément à l’article 7, sans que cela décharge la responsable du traitement de sa propre diligence.

16. Modification du présent contrat

Le sous-traitant peut adapter le présent contrat, notamment pour tenir compte d’une évolution du droit, des mesures de sécurité ou de la liste des sous-traitants ultérieurs.

Toute modification est communiquée à la responsable du traitement au moins trente jours avant son entrée en vigueur, par courriel à l’adresse de facturation et par une mention dans le service. Une modification ne peut en aucun cas abaisser le niveau de protection convenu.

La responsable du traitement qui refuse une modification peut résilier son abonnement jusqu’à la date d’entrée en vigueur, avec remboursement au prorata de la période déjà payée. La poursuite de l’utilisation du service au-delà de cette date vaut acceptation.

17. Conclusion et acceptation

Le présent contrat est conclu par voie électronique lors de la souscription d’un abonnement. La responsable du traitement l’accepte par une case distincte de celle des conditions générales. La date, l’heure et la version acceptée sont enregistrées, et le texte de cette version reste accessible depuis le service.

Le sous-traitant conserve chaque version publiée aussi longtemps qu’une association y reste liée, et au moins dix ans après la fin du dernier abonnement conclu sous son empire.

Une signature manuscrite n’est pas nécessaire. Les parties peuvent néanmoins convenir d’un exemplaire signé ; il prévaut alors sur l’acceptation électronique pour la relation concernée.

18. Droit applicable, for et langue

Droit suisse. For au siège du sous-traitant, sous réserve des fors impératifs.

Le présent contrat est établi en français et en allemand. En cas de divergence, la version française fait foi.

Une question sur ce contrat ? Écrivez-nous.