Annexe Protection des données

Contrat de sous-traitance, art. 9 nLPD et art. 28 RGPD – version du 12 octobre 2026

D1. Rôles

Le Client est responsable du traitement. Le Prestataire traite les données personnelles uniquement pour son compte, pour exécuter le contrat, et selon ses instructions documentées. L'offre et les échanges écrits du projet valent instructions.

D2. Description du traitement

À remplir pour chaque mandat dans l'offre, ou à l'aide de ce tableau :

Élément | Contenu pour le mandat

Finalité | Exécution des prestations décrites dans l'offre, notamment conception et exploitation de workflows assistés par IA

Personnes concernées | Prospects B2B, clients, utilisateurs du site

Catégories de données | Nom, fonction, entreprise, e-mail professionnel, historique d'échanges

Données sensibles | Aucune, sauf accord écrit

Durée | Durée du contrat, puis restitution ou suppression (D8)

D3. Obligations du Prestataire

Le Prestataire :

• traite les données uniquement selon les instructions du Client et l'informe si une instruction lui semble contraire à la loi ;
• soumet ses collaborateurs et sous-traitants à une obligation de confidentialité ;
• prend des mesures de sécurité adaptées (D5) ;
• aide le Client, dans la mesure du possible, à répondre aux demandes des personnes concernées (accès, rectification, effacement) et à réaliser une analyse d'impact si elle est nécessaire ;
• fournit sur demande les informations nécessaires pour démontrer le respect de cette annexe.

D4. Sous-traitants ultérieurs

D4.1 Le Client autorise le Prestataire à recourir aux sous-traitants ultérieurs listés ci-dessous, pour le mandat :

Fournisseur | Rôle | Lieu du traitement | Garanties

OpenAI | Modèle d'IA via API | États-Unis | Swiss-US DPF, clauses types ; pas d'entraînement sur les données du Client

Anthropic | Modèle d'IA via API | États-Unis | Swiss-US DPF, clauses types ; pas d'entraînement sur les données du Client

Mistral AI | Modèle d'IA via API | France (UE) | RGPD ; pas d'entraînement sur les données du Client

Google (Gemini) | Modèle d'IA via API | États-Unis | Swiss-US DPF, clauses types ; pas d'entraînement sur les données du Client

Infomaniak | Modèle d'IA | Suisse | nLPD ; pas d'entraînement sur les données du Client

OpenRouter | Accès unifié aux modèles d'IA | États-Unis | Clauses types ; pas d'entraînement selon le fournisseur amont

n8n | Automatisation | UE (Allemagne) | RGPD

Make.com | Automatisation | UE | Clauses types

Supabase | Base de données | UE (Irlande) | RGPD

Autres sous-traitants : précisés dans l'offre selon le mandat

D4.2 Le Prestataire informe le Client par e-mail de tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif justifié dans les 10 jours. À défaut d'accord, chaque partie peut résilier la prestation concernée.

D4.3 Le Prestataire impose à ses sous-traitants ultérieurs des obligations de protection équivalentes. Les comptes ouverts au nom du Client lient directement le Client et l'éditeur.

D5. Sécurité

Le Prestataire applique au minimum : authentification forte sur ses comptes, gestion des accès au strict nécessaire, chiffrement des échanges (TLS), stockage des identifiants dans un gestionnaire de mots de passe, séparation des données par client et suppression des données de test réelles après usage.

D6. Violations de la sécurité des données

Le Prestataire informe le Client sans retard injustifié, et au plus tard dans les 48 heures après en avoir eu connaissance, de toute violation de la sécurité des données (art. 24 nLPD). Il indique ce qu'il sait de sa nature, de ses conséquences et des mesures prises.

D7. Transferts à l'étranger

Les données ne sont communiquées dans un État sans niveau de protection adéquat que si des garanties suffisantes existent (art. 16 nLPD) : certification Swiss-US Data Privacy Framework, clauses contractuelles types reconnues par le PFPDT, ou autre garantie reconnue.

D8. Fin du contrat

À la fin du contrat, au choix du Client communiqué par écrit, le Prestataire restitue ou supprime les données personnelles traitées pour son compte dans les 30 jours. Les obligations légales de conservation demeurent réservées.

D9. Responsabilité

L'art. 17 des CG s'applique.