Contrat de sous-traitance (AVV / DPA)
Pour les clients B2B · art. 9 nLPD (loi suisse sur la protection des données)
Quand avez-vous besoin d’un contrat de sous-traitance ?
Si votre organisation (commune, entreprise, association) traite des données personnelles de tiers (collaborateurs, clientes et clients, citoyennes et citoyens) via la plateforme, l’art. 9 nLPDvous oblige à conclure un contrat de sous-traitance écrit avec l’exploitant. Les infractions peuvent être sanctionnées par des amendes allant jusqu’à CHF 250'000 (art. 60 ss nLPD). Si vous traitez en outre des données de personnes concernées dans l’UE, l’art. 28 RGPD s’applique en parallèle.
Ce que règle le contrat de sous-traitance
Sur le fond, un contrat de sous-traitance selon l’art. 28 par. 3 RGPD fixe au minimum :
- l’objet et la durée du traitement
- la nature et la finalité du traitement
- les catégories de personnes concernées et les types de données
- les obligations et droits du responsable du traitement (client) et du sous-traitant (exploitant)
- les mesures techniques et organisationnelles (TOM)
- les sous-traitants ultérieurs et leur admission/refus
- l’assistance pour les droits des personnes concernées et les violations de la sécurité des données
- l’effacement ou la restitution des données à la fin du contrat
Ce que l’exploitant garantit en tant que sous-traitant
- Traitement des données uniquement sur instruction documentée du responsable du traitement. Cas d’application standard : réponses du chatbot sur la base des documents que vous mettez à disposition.
- Confidentialité : tous les collaborateurs et sous-traitants sont tenus au secret.
- Mesures techniques et organisationnelles conformément à l’art. 32 RGPD : chiffrement at-rest et in-transit selon les standards de l’industrie, isolation stricte des organisations au niveau de la base de données, journal d’audit, contrôle des accès, sauvegardes régulières, durcissement des serveurs (voir la déclaration de protection des données, section 9 ; spécification technique détaillée sur demande, sous NDA).
- Assistance pour les droits des personnes concernées (accès, rectification, effacement, portabilité des données) : libre-service via les paramètres, assistance manuelle sur demande.
- Notification des violations de la sécurité des données dans les 72 heures suivant leur découverte (art. 33 RGPD).
- Effacement ou restitution de toutes les données à la fin du contrat (à votre choix).
- Assistance pour les analyses d’impact relatives à la protection des données (AIPD) conformément à l’art. 35 RGPD.
- Droit d’audit : vous pouvez vérifier le respect de ces obligations une fois par an, moyennant un préavis de 14 jours.
Liste des sous-traitants ultérieurs
L’exploitant fait appel aux sous-traitants ultérieurs suivants pour l’exploitation de la plateforme. Vous êtes informé des changements au moins 30 jours à l’avance et pouvez vous opposer à de nouveaux sous-traitants ultérieurs.
| Fournisseur | Siège | Finalité | Types de données |
|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, DE (hébergement à Falkenstein, DE) | Hébergement de l’application (serveurs, BD, stockage objet) dans l’UE, conforme au RGPD | Toutes les données (chiffrées at-rest) |
| Exploitation en propre (aucun tiers) | Suisse | Inférence IA souveraine sur notre propre infrastructure en Suisse | Uniquement les saisies traitées au moment de la réponse (aucun stockage durable auprès du modèle) |
| Cloudflare Inc. | San Francisco, US | DNS, CDN, protection DDoS | Adresses IP, en-têtes de requête, métadonnées de routage (aucun contenu) |
Comment conclure le contrat de sous-traitance ?
Envoyez un e-mail à [email protected] avec l’objet « Demande AVV » et les indications suivantes :
- raison sociale, adresse, pays
- IDE / numéro du registre du commerce (si disponible)
- personne de contact et sa fonction (p. ex. conseillère à la protection des données)
- nature des données à traiter et finalité
- nombre prévisible de personnes concernées
- le cas échéant, exigences particulières (prescriptions sectorielles telles que circulaires FINMA, HIPAA, ISO 27018)
L’exploitant vous envoie le projet de contrat en deux exemplaires dans les 5 jours ouvrables, pour signature électronique (PDF, signature électronique qualifiée ou signature simple). Le contrat de sous-traitance devient partie intégrante du contrat dès sa signature par les deux parties.
Texte type à télécharger
Questions fréquentes
Une petite commune a-t-elle aussi besoin d’un contrat de sous-traitance ?
Oui. La nLPD ne connaît aucun seuil lié à la taille de l’organisation. Dès que vous traitez des données personnelles de tiers (données des habitants, dossiers fiscaux, prestations sociales, dossiers du personnel), vous avez besoin d’un contrat de sous-traitance avec chaque sous-traitant.
Puis-je utiliser mon propre modèle de contrat ?
En principe oui. L’exploitant examine volontiers votre modèle et vous fait part, le cas échéant, des adaptations nécessaires ou des annexes complémentaires (notamment concernant les sous-traitants ultérieurs et les TOM).
Le contrat vaut-il aussi sous le RGPD ?
Oui. L’art. 9 nLPD est largement congruent avec l’art. 28 RGPD. Le même contrat satisfait aux deux réglementations. Pour les clients suisses, c’est toutefois la nLPD qui est déterminante en premier lieu.