Contrat de traitement des données

1. Rôles et champ d'application

Lorsque vous utilisez le Service pour traiter des données personnelles concernant vos propres clients, contacts, prospects et autres tiers, vous agissez en tant que Responsable du traitement, en déterminant les finalités et les moyens, et nous agissons en tant que votre Sous-traitant, en traitant ces données personnelles uniquement pour votre compte et selon vos instructions. Le présent CTD régit cette relation. Le traitement de vos propres données de compte, pour lesquelles nous sommes le responsable, est régi par notre Politique de confidentialité et non par le présent CTD.

2. Définitions

Les termes tels que "données personnelles", "traitement", "responsable du traitement", "sous-traitant", "sous-traitant ultérieur", "personne concernée" et "violation de données" ont le sens qui leur est donné dans la nLPD et le RGPD. Les "Données personnelles des clients" désignent les données personnelles contenues dans les contenus que vous traitez via le Service.

3. Objet, durée, nature et finalité

• Objet: la fourniture du Service telle que décrite dans les Conditions.
• Durée: aussi longtemps que vous utilisez le Service, puis jusqu'à la suppression ou la restitution des Données personnelles des clients conformément à la section 12.
• Nature et finalité: l'hébergement, le stockage, l'organisation, la transmission et tout autre traitement des Données personnelles des clients dans le seul but de fournir, sécuriser, maintenir et supporter les fonctionnalités que vous utilisez, y compris la facturation, la gestion des clients et prospects, le stockage de documents, la messagerie et les fonctionnalités d'IA que vous invoquez.

4. Catégories de données et personnes concernées

Les catégories de données personnelles et de personnes concernées sont déterminées par vous au travers de votre utilisation du Service. Elles comprennent généralement:

• Personnes concernées: vos clients, prospects et pistes, leur personnel et leurs personnes de contact, vos correspondants et toute personne que vous enregistrez dans vos données professionnelles.
• Catégories de données: coordonnées d'identification et de contact (nom, adresse, courriel, téléphone), données commerciales et transactionnelles (devis, factures, paiements, projets, saisies de temps), contenu des contrats et documents, contenu des courriels et autres données que vous choisissez de saisir.
• Il vous incombe de ne pas saisir de catégories particulières de données ni de données inutiles à vos finalités; le Service n'est pas conçu pour traiter des données personnelles sensibles.

5. Instructions

Nous ne traitons les Données personnelles des clients que sur la base de vos instructions documentées, y compris en matière de transferts, sauf si le droit applicable nous oblige à agir autrement; dans ce cas, nous vous informons de cette obligation légale avant le traitement, sauf si la loi l'interdit. Votre utilisation du Service et de ses paramètres, ainsi que les Conditions et le présent CTD, constituent l'intégralité de vos instructions documentées. Nous vous informons si, à notre avis, une instruction enfreint le droit applicable en matière de protection des données.

6. Confidentialité

Nous veillons à ce que les personnes autorisées à traiter les Données personnelles des clients soient tenues à la confidentialité et soient formées et instruites de manière appropriée. L'accès est limité à celles qui en ont besoin pour fournir, sécuriser ou supporter le Service.

7. Mesures techniques et organisationnelles

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment:

• Une sécurité au niveau des lignes de la base de données, de sorte que chaque compte n'accède qu'à ses propres lignes et que les données d'un client soient isolées de celles d'un autre;
• Le chiffrement des données lors du transfert (TLS/HTTPS) dans l'ensemble du Service et chez les sous-traitants;
• La base de données principale hébergée en Suisse (région de Zurich), avec un stockage de fichiers privé accessible uniquement via des liens signés à durée limitée;
• Des contrôles d'authentification incluant l'authentification à deux facteurs facultative, et un accès selon le principe du moindre privilège, les opérations privilégiées étant limitées à des rôles serveur strictement délimités;
• La journalisation d'audit des actions liées à la sécurité, ainsi qu'un export de données en libre-service vous permettant de tenir vos propres sauvegardes;
• La maintenance, l'application de correctifs et la révision continues du Service et de ses dépendances.

Nous pouvons mettre à jour ces mesures au fil du temps, pour autant que le niveau de sécurité ne soit pas sensiblement réduit.

8. Sous-traitants ultérieurs

Vous donnez une autorisation générale nous permettant de recourir aux sous-traitants ultérieurs énumérés ci-dessous pour fournir le Service. Chaque sous-traitant ultérieur est lié par un accord écrit imposant des obligations de protection des données substantiellement équivalentes à celles du présent CTD, et nous restons responsables envers vous de leur exécution.

Nous vous informerons de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, en vous donnant une possibilité raisonnable de vous y opposer pour des motifs raisonnables de protection des données. Si vous vous opposez et que nous ne pouvons pas proposer d'alternative raisonnable, vous pouvez résilier la partie concernée du Service. Pour être informé des changements, contactez support@solory.ch.

9. Transferts internationaux

Les Données personnelles des clients sont stockées principalement en Suisse. Lorsqu'un sous-traitant ultérieur traite des données dans l'UE ou aux États-Unis (comme indiqué ci-dessus), tout transfert à l'étranger est protégé par une reconnaissance d'adéquation ou par les clauses contractuelles types de la Commission européenne assorties de l'addendum suisse reconnu par le PFPDT, ainsi que par des mesures techniques supplémentaires telles que le chiffrement lors du transfert.

10. Assistance au Responsable du traitement

Compte tenu de la nature du traitement, nous vous aidons par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à remplir votre obligation de répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, opposition et limitation). Les outils intégrés d'export, d'édition et de suppression du Service constituent le moyen principal de cette assistance. À votre demande et compte tenu des informations dont nous disposons, nous vous aidons également dans vos obligations de sécurité, de notification des violations et d'analyse d'impact.

11. Violation de données personnelles

Nous vous informerons sans retard injustifié après avoir pris connaissance d'une violation de données affectant les Données personnelles des clients, et fournirons les informations raisonnablement à notre disposition pour vous aider à remplir vos propres obligations de notification à l'autorité compétente (le PFPDT en Suisse) et aux personnes concernées. Les notifications sont envoyées à l'adresse de courriel de votre compte; tenez-la à jour. Pour les questions de sécurité, vous pouvez nous joindre à support@solory.ch.

12. Suppression ou restitution à la fin

Vous pouvez exporter les Données personnelles des clients à tout moment au moyen de l'export intégré. À la fin du Service, et selon votre choix, nous supprimerons ou restituerons les Données personnelles des clients et supprimerons les copies existantes, sauf si le droit applicable en impose la conservation. Lorsque vous supprimez votre compte, la suppression suit le délai de grâce de 30 jours et le processus d'anonymisation décrits dans notre Politique de confidentialité, après quoi les copies résiduelles sont retirées des systèmes actifs et purgées des sauvegardes lors du cycle de sauvegarde ordinaire.

13. Audit

Nous mettons à votre disposition les informations raisonnablement nécessaires pour démontrer le respect du présent CTD, y compris ce document, notre Politique de confidentialité et la description de nos mesures. Si vous avez besoin d'informations d'audit supplémentaires, vous pouvez soumettre une demande écrite raisonnable au plus une fois par an; nous pouvons y répondre au moyen d'une documentation à jour, de réponses à un questionnaire ou de rapports de tiers disponibles concernant nos sous-traitants ultérieurs, afin de ne pas compromettre la sécurité ou la confidentialité des données d'autres clients. Les audits sur place, s'ils sont convenus comme nécessaires, se déroulent pendant les heures ouvrables, avec un préavis raisonnable et à vos frais.

14. Responsabilité et primauté

Les dispositions relatives à la responsabilité des Conditions d'utilisation s'appliquent au présent CTD. En cas de contradiction entre le présent CTD et les Conditions concernant le traitement des Données personnelles des clients, le présent CTD prévaut; en cas de contradiction avec des clauses contractuelles types conclues entre les parties ou avec un sous-traitant ultérieur, ces clauses prévalent dans la mesure de la contradiction.

15. Droit applicable

Le présent CTD est régi par le droit suisse, avec for exclusif à Zürich, en Suisse, sous réserve de tout for légal impératif. Contact pour les questions de protection des données: Alex Földvári, Wartauweg 19, 8049 Zürich, Switzerland, support@solory.ch.