Contrat de traitement des commandes

Contrat de traitement des données (CTD)

Version : Septembre 2023

Ce contrat de traitement des données régit les obligations relatives à la protection des données pour les relations contractuelles entre le fournisseur PassSecuriumALPEIN Software SWISS AG, Obergass 23, CH-8260 Stein am Rhein (ci-après dénommé « le Fournisseur ») et les utilisateurs du produit/clients (ci-après dénommé « le Donneur d'ordre »), chacun désigné individuellement comme une « Partie » et collectivement comme les « Parties ».
En cas de divergence entre la version allemande et anglaise de ce document, la version allemande prévaut toujours. La langue du contrat est l'allemand.

1. Objet
1.1. Les Parties sont liées par une relation juridique concernant le transfert de données personnelles du client au sous-traitant (« Contrat principal »). Les conditions générales (« CG ») du Fournisseur s'appliquent aux relations juridiques entre les Parties. Le présent contrat est conclu entre les Parties pour garantir une protection adéquate lors du transfert de données personnelles.
1.2. Sauf définition contraire dans le présent accord, tous les termes ont la même signification que dans la loi suisse sur la protection des données (« LPD »). De plus, le présent accord aide les Parties à se conformer au Règlement général sur la protection des données (« RGPD ») de l'UE, dans la mesure où celui-ci concerne les données personnelles des clients de l'UE.

2. Description du traitement des données
2.1. Le Fournisseur traite les données personnelles pour le compte du Donneur d'ordre. Le contenu et la durée de la relation contractuelle ainsi que la nature et la finalité du traitement sont généralement déterminés par les Conditions Générales (« CG ») et l'Annexe A du Contrat de traitement des données. De plus, les opérations de traitement des données peuvent être consultées dans la politique de confidentialité en vigueur sur le site web du produit du Fournisseur. 2.2. En remplissant le formulaire de commande et en créant un compte utilisateur dans le portail client PassSecurium, le Donneur d'ordre mandate le traitement des données correspondant par le Fournisseur. Les clients peuvent ajouter, modifier ou retirer leurs commandes via le portail client PassSecurium ou en informant le Fournisseur. Les demandes ou instructions de modification de service qui ne sont pas prévues dans les CG sont considérées comme des demandes de modification de service. Les commandes ou instructions verbales doivent être confirmées immédiatement par écrit par le Donneur d'ordre ou par un dépôt correspondant dans le portail client.

3. Obligations du Fournisseur
3.1. Le Fournisseur organise son fonctionnement interne dans son domaine de responsabilité pour répondre aux exigences de protection des données. Le Fournisseur prend les mesures techniques et organisationnelles appropriées (« MTO ») décrites dans l'Annexe C, compte tenu de la nature du traitement, pour aider le Donneur d'ordre à répondre aux demandes des personnes concernées conformément à la LPD et au RGPD. 3.2. Compte tenu de la nature du traitement et des informations à sa disposition, le Fournisseur aide le Responsable du traitement à respecter ses obligations en vertu de la LPD et du RGPD. Plus précisément en ce qui concerne la sécurité du traitement, les notifications de violations à l'autorité de contrôle, l'information des personnes concernées en cas de violation, l'analyse d'impact relative à la protection des données et la consultation de l'autorité de contrôle compétente.
3.3. Le Fournisseur n'utilise que des personnes liées par le secret professionnel pour effectuer les travaux nécessaires, qui ont été informées des réglementations relatives à la protection des données qui les concernent avant leur affectation et qui se sont engagées par écrit à les respecter.
3.4. Conformément au contrat, le Fournisseur aide le Donneur d'ordre à répondre aux demandes et réclamations relatives à la protection des données des personnes concernées et à respecter les obligations en matière de protection des données, dans la mesure de ses capacités.
3.5. Si le Fournisseur prend connaissance de violations de la protection des données personnelles, il prend les mesures raisonnables pour sécuriser les données et atténuer les conséquences négatives potentielles pour les personnes concernées. De plus, le Fournisseur respecte pleinement les dispositions légales applicables concernant la notification des violations de la protection des données.
3.6. Si une personne concernée ou une autorité de protection des données contacte directement le Fournisseur concernant les données personnelles traitées dans le cadre du présent accord, le Fournisseur en informe immédiatement le Donneur d'ordre et coordonne les prochaines étapes avec lui.
3.7. De plus, le Fournisseur garantit que concernant le traitement des données personnelles du client :

• les données personnelles sont traitées conformément au contrat de traitement des données et exclusivement aux fins poursuivies par leDonneur d'ordre,
• les fins poursuivies par le Donneur d'ordre découlent de l'Annexe A (point 1.2) oud'instructions explicites du Donneur d'ordre ou d'autresaccords avec le Donneur d'ordre,
• en ce qui concerne les outils de travail, produits, infrastructure informatique et servicesdu Fournisseur, les principes de « Privacy by Design » et « Privacy by Default » sont pris en compte,
• le Donneur d'ordre est informé si le Fournisseur ne peut plus respecter les accords ou n'est plus en mesurede respecter les accords,
• le Fournisseur, si nécessaire, coopérera avec les autorités de contrôle compétentes dans le cadre légal, en consultation et selon les instructions du Donneur d'ordre.

4. Obligations du Donneur d'ordre
4.1. Dans le cadre de la relation contractuelle, le Donneur d'ordre est responsable du respect des dispositions relatives à la protection des données, en particulier en ce qui concerne la licéité du transfert des données au Fournisseur et la licéité de leur traitement.
4.2. Le Donneur d'ordre s'est assuré que les MTO utilisées par le Fournisseur et décrites dans l'Annexe C sont suffisantes pour garantir une protection adéquate des données personnelles transférées.
4.3. Le Donneur d'ordre est tenu d'informer immédiatement et complètement le Fournisseur par écrit ou via le site web ou le portail client PassSecurium s'il constate des erreurs ou des anomalies dans les données traitées dans le cadre du champ d'application prescrit. 4.4. Le Donneur d'ordre désigne auprès du Fournisseur un interlocuteur pour les questions de protection des données liées à la relation contractuelle, si celui-ci diffère de la personne de contact mentionnée.
4.5. Le Donneur d'ordre déclare qu'il est seul responsable d'informer les personnes concernées par le traitement des données, concernant le stockage, l'utilisation, le traitement et le transfert possibles des données par le Fournisseur conformément aux dispositions des CG, de la politique de confidentialité et du présent contrat de traitement des données. Si certaines personnes concernées, c'est-à-dire des tiers ou des clients du Donneur d'ordre, ne consentent pas au traitement des données prévu, le Donneur d'ordre est responsable de supprimer les données respectives des personnes concernées dans le compte client PassSecurium correspondant.
4.6. En acceptant les Conditions Générales et le Contrat de traitement des données, le Donneur d'ordre accepte de transférer ses données au Fournisseur lui-même ainsi qu'à des tiers ou sous-traitants auxquels le Fournisseur confie l'exécution des commandes. Le Donneur d'ordre dégage le Fournisseur de toute réclamation. Il incombe au Donneur d'ordre d'obtenir le consentement de la personne concernée.

5. Sous-traitants (autres responsables du traitement)
5.1. Le Fournisseur peut faire appel à des sous-traitants ou à des tiers pour remplir les obligations contractuelles convenues avec le Donneur d'ordre et utiliser les services de sous-traitants ou de tiers pour fournir les services conformément au contrat convenu avec le Donneur d'ordre.
5.2. Le Fournisseur doit veiller à ce que les principes convenus dans le présent contrat s'appliquent également aux sous-traitants. La conclusion de contrats entre le Fournisseur et les sous-traitants doit se faire par écrit ou par voie électronique.
5.3. Le recours à des sous-traitants dans des pays tiers n'a lieu que si les conditions particulières de la LPD et du RGPD sont remplies.
5.4. Si nécessaire, le Fournisseur conclut des contrats avec des sous-traitants ou des tiers impliqués dans l'exécution de la commande pour garantir le respect complet des mesures de protection des données et de sécurité de l'information. Si un sous-traitant ne respecte pas ses obligations en matière de protection des données, le Fournisseur est responsable envers le Donneur d'ordre du respect des obligations par le sous-traitant et peut être tenu pour responsable.
5.5. Le Donneur d'ordre accepte la participation des sous-traitants énumérés à l'Annexe B. Si un nouveau sous-traitant est ajouté, le Fournisseur est tenu d'en informer immédiatement le Donneur d'ordre. Le Donneur d'ordre peut s'opposer aux modifications de la liste des sous-traitants pour des raisons importantes dans un délai de 14 jours après en avoir pris connaissance. Si aucune objection n'est soulevée dans ce délai, l'approbation de la modification est réputée accordée. S'il existe des raisons importantes liées à la protection des données et qu'aucune solution consensuelle ne peut être trouvée entre les Parties, le Donneur d'ordre a le droit de résilier extraordinairement.
5.6. Les sous-traitants ou tiers n'ont pas non plus accès aux données personnelles. S'ils ne traitent pas de données personnelles, les règles ci-dessus pour les sous-traitants ne s'appliquent pas.

6. Confidentialité
6.1. Le Fournisseur confirme qu'il est familiarisé avec les dispositions pertinentes sur la protection des données de la LPD et du RGPD nécessaires à l'exécution de la commande. Il préserve et prend en compte la confidentialité lors du traitement des données personnelles du Donneur d'ordre. Cette obligation subsiste après la fin de la relation contractuelle.
6.2. Le Fournisseur s'assure que les employés impliqués dans l'exécution des travaux sont familiarisés avec les dispositions sur la protection des données qui les concernent. Il est tenu d'obliger ces employés à la confidentialité et au secret conformément aux dispositions de sécurité. Ceci sur la base d'un accord écrit pendant la durée du contrat de travail et après sa résiliation, à moins qu'ils ne soient soumis à une obligation légale de confidentialité. Le Fournisseur surveille le respect des dispositions sur la protection des données dans son entreprise.
6.3. Le Fournisseur ne peut transmettre des informations à des tiers ou à des intéressés qu'avec le consentement préalable du Donneur d'ordre.

7. Mesures techniques et organisationnelles
7.1. Le Fournisseur met en œuvre les MTO appropriées pour que le traitement soit conforme aux exigences de la LPD et du RGPD et que les droits des personnes concernées soient protégés. Il organise son fonctionnement interne pour répondre aux exigences spécifiques en matière de protection des données et atteindre un niveau de protection adéquat. En particulier, le Fournisseur doit garantir, lors du traitement, un niveau de sécurité suffisant, notamment la confidentialité (y compris la pseudonymisation et le chiffrement), la disponibilité, l'intégrité et la résistance aux attaques, aux défaillances des systèmes et services de traitement des données, compte tenu de l'état de la technique.
7.2. Les MTO peuvent être adaptées aux évolutions techniques au cours de la relation contractuelle. Les mesures adaptées doivent au moins correspondre au niveau de sécurité des mesures convenues dans l'Annexe C.

8. Obligations d'information du Fournisseur et violation de la protection des données personnelles
8.1. Le Fournisseur informera immédiatement le Donneur d'ordre de toute violation ou suspicion de violation du présent accord ou des principes de protection des données personnelles.
8.2. Le Fournisseur assiste le Donneur d'ordre dans l'enquête, la limitation des dommages et la correction des violations.
8.3. Si les données personnelles traitées dans le cadre du présent accord sont menacées par le Fournisseur en raison d'une saisie ou d'une confiscation, d'une procédure de faillite ou de constitution ou d'autres événements ou mesures de tiers, le Fournisseur est tenu d'en informer immédiatement le Donneur d'ordre. Le Fournisseur informera immédiatement toutes les parties impliquées dans l'affaire que le contrôle des données appartient au Donneur d'ordre.
8.4. En cas d'audit par une autorité de protection des données, le Fournisseur s'engage à communiquer au Donneur d'ordre les résultats du traitement des données personnelles conformément au présent accord. Le Fournisseur corrigera immédiatement les lacunes identifiées dans le rapport d'audit et en informera le Donneur d'ordre.

9. Moyens de preuve
9.1. Le Fournisseur prouvera au Donneur d'ordre le respect des obligations énumérées dans la présente annexe par des moyens appropriés. Cela se fait par auto-audit, audits internes et/ou certification ISO.
9.2. Si un audit par le Donneur d'ordre ou un auditeur mandaté par lui est nécessaire dans des cas individuels (par exemple en relation avec la LPD ou le RGPD), cet audit a généralement lieu pendant les heures d'ouverture, sans interruption après inscription, avec instruction appropriée. Le Fournisseur peut subordonner cela à une annonce préalable dans un délai raisonnable et à un accord sur la confidentialité des données d'autres clients ainsi qu'à des mesures techniques et organisationnelles. Si l'auditeur mandaté par le Donneur d'ordre est en concurrence avec le Fournisseur, le Fournisseur peut refuser l'auditeur et recommander un auditeur neutre. Le Fournisseur peut facturer au client les coûts associés à l'audit, en particulier si aucune violation n'est constatée.
9.3. En cas d'inspection par une autorité de protection des données ou une autre autorité de surveillance souveraine du Donneur d'ordre, le présent chapitre s'applique en conséquence. Un accord de confidentialité n'est pas nécessaire si l'autorité de surveillance est tenue de protéger les secrets professionnels ou juridiques dont la violation est punissable en vertu du code pénal.

10. Durée et résiliation
10.1. Le Fournisseur traite et stocke les données personnelles pour la durée du contrat principal entre le Fournisseur et le Donneur d'ordre. Le Fournisseur corrige ou supprime les données contractuelles si une instruction du Donneur d'ordre existe et se trouve dans le cadre des possibilités d'instruction. Cela ne s'applique pas aux données nécessaires à un traitement légal ultérieur ou à des fins internes. Le Fournisseur a le droit de suspendre l'exécution d'instructions éventuellement abusives jusqu'à ce que leur légalité soit prouvée. Les Conditions Générales s'appliquent à la fourniture des données et à la rémunération associée.

11. Responsabilité
11.1. Le Fournisseur est responsable dans la mesure prévue par la loi des dommages résultant de violations fautives des dispositions sur la protection des données ou du présent accord sur la protection des données. Il est également responsable du comportement fautif de ses sous-traitants et entrepreneurs.
11.2. La responsabilité est régie par les dispositions correspondantes des CG.

12. Divers
12.1. Les dispositions des Conditions Générales et de la politique de confidentialité de PassSecurium s'appliquent par ailleurs. En cas de contradiction entre le Contrat de traitement des données et les Conditions Générales, les dispositions des Conditions Générales prévalent. Si certaines parties du Contrat de traitement des données sont invalides, cela n'affecte pas la validité des Conditions Générales et des autres dispositions du contrat d'exécution de la commande.
12.2. Les Annexes A, B et C font partie intégrante du présent contrat de traitement des données.

1. Annexe A: Objet, nature et finalité
2. Annexe B: Sous-traitants
3. Annexe C: Mesures techniques et organisationnelles (MTO)

1. Annexe A – Objet, nature et finalité
1.1. Objet de la commande :
Traitement des données personnelles du Donneur d'ordre dans le cadre de son utilisation des services de Software-as-a-Service.
1.2. Étendue et finalité du traitement des données :
Les données personnelles traitées par le Donneur d'ordre sont transférées au Fournisseur dans le cadre de l'offre Software-as-a-Service. Le Fournisseur traite ces données exclusivement conformément aux Conditions Générales et aux descriptions de services respectives sur le site web du Fournisseur.
1.3. Nature des données personnelles :

1.4. Catégories de personnes concernées :

2. Annexe B – Sous-traitants
2.1. Liste des sous-traitants :

3. Annexe C : Mesures techniques et organisationnelles (MTO)
3.1. Contrôle d'accès physique
L'accès aux installations de traitement des données où des données personnelles sont traitées ou utilisées est interdit aux personnes non autorisées par :

• Système de contrôle d'accès
• Sécurisation des portes (serrures de sécurité, portes avec poignée extérieure)
• Remise des clés contrôlée et documentée, clés non duplicables
• Grilles devant les fenêtres
• Registre des visiteurs
• Prudence dans le choix des services de nettoyage
• Les données client se trouvent exclusivement sur des serveurs dans des centres de données hautement sécurisés
• Les centres de données disposent de contrôles d'accès séparés avec des normes de sécurité élevées (comme des scanners d'iris, sas, vidéosurveillance, etc.)

3.2. Contrôle des accès et des autorisations
Prévention de la lecture, copie, modification ou suppression non autorisées au sein du système de traitement des données, par :

• Comptes personnalisés (ID utilisateur unique/assignation d'utilisateur), pas d'utilisation d'un compte par plusieurs personnes
• Configuration individuelle des droits d'accès (les droits d'accès des employés sont limités aux programmes qu'ils doivent utiliser dans l'exercice de leurs tâches assignées)
• Nombre d'administrateurs système limité au strict nécessaire
• Connexion avec identifiant, mot de passe et MFA
• Politique de mots de passe (exigences strictes de sécurité des mots de passe, changement régulier des mots de passe)
• Utilisation d'un gestionnaire de mots de passe centralisé selon le principe des rôles et droits minimaux
• Création uniquement d'enregistrements utilisateur de base individuels
• Verrouillage automatique (timeout)/verrouillage d'écran) des enregistrements utilisateur de base (par exemple mot de passe par ou utilisateur / interrupteur de pause séparé
• Chiffrement des supports de données
• Séparation des réseaux et accès réseau liés à la personne
• Formation des employés, sensibilisation
• Conception des concepts d'autorisation et des droits d'accès en fonction des besoins, ainsi que leur surveillance et enregistrement (par exemple par des autorisations différenciées (profils, rôles, transactions et objets), évaluations, prise de connaissance, modification, suppression)
• Mesures lors du transport, de la transmission et du transfert ou du stockage sur des supports de données (manuellement ou électroniquement) ainsi que lors de la vérification ultérieure (par exemple chiffrement/connexion tunnel (VPN = réseau privé virtuel), signature électronique, enregistrement, sécurité du transport)

3.3. Contrôle des entrées
Mesures garantissant une vérification ultérieure pour déterminer si et par qui des données ont été saisies, modifiées ou supprimées :

• Enregistrement des connexions et déconnexions
• Documentation des travaux de maintenance, maintenance à distance ou réparation sur les systèmes informatiques
• Garantie de l'intégrité des nouveaux programmes et mises à jour (utilisation de MDM, les programmes sont installés et mis à jour uniquement par l'administrateur via la gestion centralisée des appareils ou individuellement)
• Vérification des logiciels malveillants pour les supports de données reçus et à livrer
• Sauvegarde complète des systèmes concernés avant les travaux de maintenance/maintenance à distance ou réparation majeurs

3.4. Contrôle des commandes
Mesures garantissant un traitement des données conforme aux instructions dans le cadre d'une commande/par des tiers :

• Critères de sélection rigoureuse des sous-traitants
• Rédaction claire des contrats, consignation écrite des instructions
• Mesures garantissant que le traitement des données personnelles dans le cadre d'une commande est effectué conformément aux instructions du Donneur d'ordre, par exemple instructions écrites, documentation des instructions, offre et confirmation de commande, assurance de l'engagement des employés du Fournisseur à la confidentialité des données, responsabilités contractuelles (donneurs d'ordre et destinataires des instructions), contrôles réguliers dans l'entreprise
• Contrats de traitement des données
• Commande écrite
• Contrôle des MTO des fournisseurs
• Contrôles des sous-traitants (en particulier des mesures techniques et organisationnelles)
• Assurance de la destruction des données après la fin de la commande
• En cas de collaboration s'étalant sur plus d'un an, les sous-traitants et leur niveau de protection sont vérifiés annuellement

3.5. Contrôle de la séparation
Les données collectées à différentes fins doivent également être traitées séparément :

• Séparation des données concernant différents clients/donneurs d'ordre
• Séparation des données traitées à différentes fins
• Utilisation de systèmes différents, spécifiques au client ou multi-locataires
• Séparation des fonctions (développement/test/production)
• Séparation physique ou logique
• Respect des délais de suppression selon la LPD suisse

3.6. Contrôle des transferts
Pas de lecture, copie, modification ou suppression non autorisées lors de transmissions électroniques ou de transports :

• Chiffrement
• Connexion tunnel (VPN = réseau privé virtuel)
• Enregistrement
• Fourniture des données uniquement via le propre système cloud chiffré

3.7. Disponibilité et résilience
Protection contre la destruction ou la perte accidentelle ou intentionnelle, par exemple mesures de sauvegarde des données (physique/logique). Garantie que toutes les fonctions du système sont disponibles et que les dysfonctionnements sont signalés :

• Propre infrastructure de serveurs dans des centres de données certifiés (résistance/résilience des systèmes informatiques)
• Plan d'urgence pour une urgence informatique (plan de reprise après sinistre) et pour les violations de la protection des données
• Procédure de sauvegarde (en ligne, hors ligne), plan de sauvegarde
• Systèmes redondants
• Miroir des disques durs (méthode RAID)
• Alimentation électrique sans interruption (UPS)
• Séparation physique du stockage des données
• Protection contre les virus/pare-feu

3.8. Contrôle organisationnel
L'organisation fluide de la protection des données et de la sécurité des données est garantie par les mesures suivantes :

• Engagement écrit de tous les employés à la confidentialité des données
• Directives pour l'utilisation de l'accès Internet professionnel et du compte e-mail professionnel
• Sensibilisation/formation régulière des employés, directives/manuels pour les employés
• Organisation de la mise en œuvre de la protection des données (délégué à la protection des données externe et employés internes soutenant le délégué)
• Audit des processus internes
• Élaboration d'un concept de protection des données
• Existence d'un concept de sécurité informatique
• Directives/instructions de travail pour le traitement des données personnelles en télétravail/bureau mobile
• Directives pour l'utilisation d'appareils privés pour des activités professionnelles (Bring-Your-Own-Device)

3.9. Paramètres par défaut respectueux de la vie privée (Privacy by Default / Privacy by Design)

• Pas plus de données personnelles ne sont collectées que nécessaire pour chaque finalité
• Lors du développement du logiciel, il est veillé à ce que le logiciel demande/exige le moins de données possible pour le traitement
• Exercice facile du droit de rétractation de la personne concernée par des mesures techniques
• Principe Zero Knowledge – aucun accès aux données client

3.10. Contrôle d'efficacité
L'organisation fluide de la protection des données et de la sécurité des données est garantie par les mesures suivantes :

• Contrôles réguliers des mesures organisationnelles Efficacité des mesures techniques et
• Contrôle régulier du fonctionnement du logiciel antivirus et du pare-feu
• Contrôle et documentation réguliers de la gestion des autorisations
• Certification de sécurité informatique selon ISO:27001
• Audit par un fournisseur externe
• Tests d'intrusion