Contrat de sous-traitance
Traduction. Seule la version allemande fait foi.
1. Parties et objet
1.1 Responsable du traitement : le client au sens des CG («client»).
1.2 Sous-traitante : Swiss 3D Surface, Inh. Swirski, entreprise individuelle, Romanshornerstrasse 76b, 9320 Arbon, IDE CHE-429.712.336 («SBüro»).
1.3 SBüro traite des données personnelles sur mandat du client, dans la mesure nécessaire à l'exploitation du logiciel de bureau SBüro (art. 9 LPD). En cas de contradiction en matière de protection des données, le présent contrat prime les CG.
1.4 Le client accepte le présent contrat dans l'application en même temps que les CG ; la version acceptée est enregistrée (preuve de l'autorisation selon le ch. 6).
2. Nature, finalité et étendue du traitement
| Contenu | |
|---|---|
| Finalité | Mise à disposition du logiciel de bureau : établissement, enregistrement, validation, envoi (uniquement après OK du client) et export d'offres, de factures, de notes de crédit et de rappels ; délais et rendez-vous ; gestion des clients et des articles ; recettes & dépenses (si activé) ; classement des fichiers bancaires et des pièces jointes ; journaux ; sauvegarde et restauration ; récupération par la Sicherungsbox (boîte de sauvegarde) du client ; support. |
| Personnes concernées | Clientes et clients du client et leurs personnes de contact ; tiers payeurs figurant dans les fichiers bancaires ; utilisatrices et utilisateurs du client (titulaire, collaboratrices et collaborateurs) ; fiduciaires du client ; personnes figurant dans des rendez-vous. |
| Catégories de données | Nom, raison sociale, adresse, e-mail, téléphone, langue ; notes du client ; contenus et montants des offres, factures, notes de crédit et calculs ; paiements reçus ; fichiers bancaires (camt) dans leur version originale, avec nom, IBAN et communication des tiers payeurs ; écritures et pièces justificatives (recettes & dépenses) ; rendez-vous (type, client, adresse, personne) ; pièces jointes du client (PDF/images ; lors du téléversement, les métadonnées d'image telles que le lieu et l'appareil photo sont supprimées) ; comptes d'utilisateur (nom, e-mail, rôle, langue) ; données techniques (sessions, catégorie d'appareil ordinateur/téléphone, adresse IP dans le journal du serveur). |
| Non admis | Données personnelles sensibles en grande quantité ; données soumises au secret professionnel au sens de l'art. 321 CP (CG ch. 4.3). |
| Durée | Durée du contrat selon les CG, puis suppression selon le ch. 8. |
3. Instructions
3.1 SBüro ne traite les données que de la manière dont le client serait lui-même en droit de le faire, et uniquement selon ses instructions. Les instructions découlent des CG, du présent contrat ainsi que des paramètres et validations dans l'application (p. ex. envoi uniquement après OK, IA connectée, abonnement au calendrier, accès fiduciaire).
3.2 SBüro n'utilise pas les données à ses propres fins, en particulier ni pour de la publicité ni pour l'entraînement de modèles d'IA.
3.3 Si SBüro estime qu'une instruction est contraire à la protection des données, elle en informe le client.
4. Confidentialité et accès de l'exploitant
4.1 À ce jour, seul l'exploitant lui-même a accès aux données. Si SBüro fait appel à d'autres personnes, elle les soumet au préalable, par écrit, à une obligation de confidentialité.
4.2 Les accès de l'exploitant aux données du client n'ont lieu que pour un motif (support sur demande, validation, paiement, numéro de sécurité, activation de modules ou aperçu) ou dans la mesure strictement nécessaire à la sécurité et à l'exploitation. Tout accès au moyen des fonctions d'exploitant est inscrit dans un journal à ajout seul, que le client peut consulter et exporter sous «Sécurité». Les connexions à la base de données sont en outre journalisées en dehors de celle-ci (12 mois). Limite honnête : une personne disposant d'un accès technique complet au serveur pourrait contourner un journal dans la base de données.
5. Mesures techniques et organisationnelles (MTO)
5.1 SBüro prend les mesures décrites à l'annexe A (art. 8 LPD, art. 1 à 3 OPDo), les vérifie pendant toute la durée du traitement et les adapte à l'état de la technique. Une modification ne doit pas abaisser le niveau de protection.
6. Sous-traitants ultérieurs
6.1 Le client autorise les sous-traitants ultérieurs mentionnés à l'annexe B (autorisation générale préalable, art. 9, al. 3 LPD, art. 7 OPDo).
6.2 SBüro informe le client au moins 30 jours avant de faire appel à un sous-traitant ultérieur ou d'en changer (e-mail aux titulaires et message dans l'application). Le client peut s'y opposer ; si aucune solution n'est possible, il peut résilier le contrat pour la date du changement.
6.3 SBüro soumet les sous-traitants ultérieurs à une protection des données au moins équivalente et connaît leur siège et leur lieu de traitement.
6.4 Communication à l'étranger : uniquement vers des États offrant une protection des données adéquate selon l'annexe 1 de l'ordonnance sur la protection des données (OPDo) (à ce jour les Pays-Bas et l'Italie, voir annexe B).
6.5 Ne sont pas des sous-traitants ultérieurs de SBüro les destinataires que le client choisit et connecte lui-même : le fournisseur d'une IA du client, le fournisseur de l'application de calendrier dans laquelle une personne du client inscrit son abonnement au calendrier, d'autres services connectés par le client lui-même (p. ex. planificateur de médias sociaux, boîte aux lettres du client) et les fiduciaires disposant d'un accès en lecture. Le client est responsable de ces communications ; l'application le signale avant la connexion.
7. Assistance, droits des personnes concernées, annonces
7.1 SBüro assiste le client en matière de droit d'accès, de remise, de rectification et d'effacement (art. 25 ss LPD), principalement au moyen des fonctions de l'application (export, modification, suppression). Les travaux en dehors de l'application sont facturés sur offre préalable.
7.2 Violation de la sécurité des données : SBüro annonce au client dans les meilleurs délais toute violation de la sécurité des données concernant ses données (art. 24, al. 3 LPD), avec les indications selon l'art. 15, al. 1 OPDo, pour autant qu'elles soient connues : nature de la violation ; moment et durée ; catégories et nombre approximatif des données et personnes concernées ; conséquences et risques ; mesures prises ou envisagées ; personne de contact. SBüro fournit les indications manquantes dans les meilleurs délais. L'annonce au PFPDT et l'information des personnes concernées incombent au client (art. 24, al. 1 et 4 LPD) ; SBüro l'assiste à cet égard.
7.3 SBüro documente les violations pendant au moins deux ans (art. 15, al. 4 OPDo).
8. Suppression et restitution
8.1 Pendant la durée du contrat, le client peut exporter intégralement ses données en tout temps (CSV/ZIP avec sommes de contrôle, PDF des documents, fichiers bancaires dans leur version originale) ; avec la Sicherungsbox, également sous forme de copie chiffrée sur son propre disque.
8.2 Après la fin du contrat, SBüro supprime les données du client à l'échéance du délai d'export (CG ch. 10.3). Les sauvegardes chiffrées ne sont pas épurées individuellement, mais expirent à l'échéance de leur durée de conservation (7 sauvegardes quotidiennes, 4 hebdomadaires, 12 mensuelles, soit au maximum environ 12 mois) ; elles ne sont utilisées que pour la restauration.
8.3 Le client remplit ses obligations de conservation (art. 958f CO) au moyen de son export ; SBüro ne conserve pas les données pour le compte du client.
9. Contrôles
9.1 Sur demande, SBüro remet au client les informations nécessaires pour prouver le respect du présent contrat (la présente annexe A, rapport d'un test de sécurité externe dès qu'il est disponible). Les contrôles sur place ont lieu d'entente entre les parties et aux frais du client.
10. Responsabilité, durée, dispositions finales
10.1 La responsabilité est régie par les CG (ch. 8).
10.2 Le présent contrat s'applique aussi longtemps que SBüro traite des données du client.
10.3 Le droit suisse est applicable ; le for est celui prévu par les CG. La version allemande fait foi.
Annexe A — Mesures techniques et organisationnelles (état au 30.10.2026)
| Objectif de protection (OPDo art. 2) | Mesure | État |
|---|---|---|
| Confidentialité — séparation des entreprises | Chaque table contenant des données d'entreprise est dotée d'une protection au niveau des lignes (Row Level Security avec FORCE) ; aucun rôle applicatif ne peut la contourner ; un test automatique signale en rouge toute nouvelle table sans protection. | en service |
| Confidentialité — accès | Code d'accès avec environ 100 bits d'aléa, enregistré uniquement sous forme de hachage argon2id ; blocage après 5 tentatives infructueuses ; sessions de 12 h (téléphone connecté jusqu'à 90 jours, déconnectable à tout moment) ; cookies Secure/HttpOnly/SameSite=Strict ; protection contre les formulaires externes (CSRF). | en service |
| Authentification à deux facteurs (TOTP) obligatoire pour titulaire et fiduciaire, facultative pour les collaboratrices et collaborateurs ; 10 codes de récupération (argon2id) ; réinitialisation uniquement après rappel au numéro de sécurité enregistré + vérification de l'IDE, avec inscription au journal. | en service | |
| Secrets TOTP chiffrés (AES-256-GCM) avec une clé par entreprise, elle-même chiffrée avec une clé principale conservée en dehors de la base de données. | en service | |
| Les données clients des entreprises ne sont pas chiffrées champ par champ dans la base de données ; le support de données chez le fournisseur de serveur actuel n'est pas chiffré. | état actuel, indiqué ouvertement | |
| Confidentialité — réseau | Uniquement TLS 1.2/1.3, HSTS ; en-têtes de sécurité stricts (CSP sans script inline) ; base de données non accessible depuis l'extérieur ; pare-feu uniquement 22/80/443 ; SSH uniquement par clé. | en service |
| Confidentialité — exploitant | Poste de pilotage de l'exploitant avec code propre et second facteur ; rôle de base de données propre ; accès aux données d'une entreprise uniquement pour un motif, chaque accès consigné dans le journal de l'entreprise ; connexions à la base de données en outre journalisées en dehors de celle-ci (12 mois). | en service |
| Intégrité | «Rien sans OK» : validation uniquement par le client ; empreinte (SHA-256) de chaque document validé ; écritures uniquement par ajout avec chaîne de contrôle, correction uniquement par extourne ; journaux à ajout seul. | en service |
| Disponibilité / restauration | Sauvegarde quotidienne chiffrée (age) avec test de restauration automatique ; conservation 7/4/12 ; copie chiffrée quotidienne sur un support de données de l'exploitant en dehors du serveur, clé séparée. | en service |
| Mises à jour de sécurité automatiques ; redémarrages pendant la fenêtre de maintenance, dimanche dès 22 h 00. | en service | |
| Sicherungsbox (option) : copie chiffrée chez le client, clé uniquement chez le client, récupération avec valeur de contrôle et quittance. | en service (programme pour Mac ; Windows seulement après test) | |
| Traçabilité | Journal des validations, refus, exports, appels d'IA (sans contenu) et accès de l'exploitant ; journal d'accès au serveur (IP, chemin, heure) 14 jours. Les connexions réussies ne sont pas encore journalisées par entreprise (prévu). | en service (lacune indiquée) |
| Pièces jointes | Uniquement PDF, JPEG, PNG, HEIC jusqu'à 10 Mo ; les images sont réenregistrées (métadonnées supprimées) ; PDF avec contenus actifs refusés ; pas d'antivirus. | en service |
| IA du client | IA désactivée jusqu'à ce que la ou le titulaire la connecte avec le second facteur (révocable) ; l'IA lit uniquement les domaines autorisés et crée uniquement des projets/propositions, sans jamais envoyer, valider ou supprimer ; données bancaires non visibles ; prix d'achat seulement dans le module Achats réservé (comparaison de prix). Propre clé d'IA du client : enregistrée de manière chiffrée (clé par entreprise), seulement la ou le titulaire avec second facteur, pas dans l'export ; boîte aux lettres en lecture seule, données d'accès chiffrées. | en service |
| Vérification | Tests automatiques à chaque modification (2109 au 28.10.2026) ; test de fumée après chaque déploiement ; test de sécurité externe avant l'ouverture au public (décision D4). | partiellement (test externe en suspens) |
| Confidentialité — voix | La synthèse et la reconnaissance vocales tournent dans des services propres sur le serveur de SBüro sans accès réseau vers l'extérieur ; enregistrements uniquement en mémoire vive, aucune conservation, aucun contenu dans le journal. | en service |
Annexe B — Sous-traitants ultérieurs (état au 30.10.2026)
| Fournisseur | Prestation | Lieu | Statut |
|---|---|---|---|
| TransIP (Pays-Bas) | Serveur sur lequel fonctionnent SBüro et la base de données | Pays-Bas | actuel ; documents contractuels |
| E-Mail-Anbieter (serveurs dans le réseau de Register.it S.p.A.) | Envoi et réception d'e-mails pour post@sbuero.ch, DNS de sbuero.ch | Italie (selon les données réseau) | actuel ; partenaire contractuel et lieu selon le contrat |
| Prestataire de paiement | Paiement de l'abonnement par carte/TWINT : Stripe en tant que responsable propre (déclaration de protection des données ch. 3) | — | pas un sous-traitant ultérieur |
Ne sont pas des sous-traitants ultérieurs (ch. 6.5) : fournisseur de l'IA du client ; fournisseur de l'application de calendrier d'une personne du client ; fiduciaires du client.