Contrat de sous-traitance des données (Spokes et l'atelier)

Ce contrat fait partie des conditions générales de Spokes. Il s'applique dès que l'atelier saisit des données personnelles dans Spokes. Il suit l'art. 9 nLPD et l'art. 28 RGPD.

Parties

L'atelier client de Spokes, responsable du traitement (ci-après « l'atelier »).
[RAISON SOCIALE], [ADRESSE], numéro IDE [NUMÉRO IDE], sous-traitant (ci-après « Spokes »).

1. Objet et durée

Spokes traite des données personnelles pour le compte de l'atelier, uniquement pour fournir le logiciel Spokes. Le contrat dure aussi longtemps que l'abonnement ou l'essai, puis jusqu'à la suppression des données selon l'article 11.

2. Données et personnes concernées

Clients de l'atelier : identité, coordonnées, vélos et numéros de série, réparations, devis et accords, photos, factures, paiements, messages.
Équipe de l'atelier : identité, accès, planning, horaires, pointage, heures, absences, données RH et décomptes saisis.
Fiduciaire et autres utilisateurs invités : identité, accès, journal de connexion.

Spokes ne demande aucune donnée sensible. Si l'atelier en saisit (par exemple une raison de santé pour une absence), il le fait sous sa responsabilité et avec le moins de détails possible.

3. Traitements

Enregistrement, conservation, affichage, calculs (prix, heures, TVA, données RH), envoi d'e-mails et de SMS demandés par l'atelier, exports, sauvegardes, suppression.

4. Instructions de l'atelier

Spokes traite les données seulement selon les instructions de l'atelier. Ces instructions sont ce contrat, les réglages et actions de l'atelier dans Spokes, et ses demandes écrites. Si une instruction semble contraire à la loi, Spokes le signale à l'atelier.

L'atelier garantit qu'il a le droit de traiter ces données et de les confier à Spokes, qu'il informe ses clients et son équipe, en particulier de l'accès de sa fiduciaire aux données RH en lecture seule, et qu'il a leur accord pour les messages qui l'exigent.

5. Confidentialité

Les personnes qui travaillent pour Spokes et ont accès aux données sont tenues au secret. Spokes n'accède aux données de l'atelier que pour le support demandé, la maintenance, la sécurité ou une obligation légale.

6. Sécurité

Spokes prend des mesures techniques et organisationnelles adaptées au risque, notamment :

chiffrement des connexions ;
accès personnel par mot de passe, droits séparés selon le rôle (équipe, responsable, fiduciaire en lecture seule) ;
séparation des données de chaque atelier ;
journal des connexions et possibilité de fermer les autres sessions ;
blocage des tentatives répétées ;
sauvegarde chaque jour ;
mises à jour de sécurité régulières.

Spokes peut faire évoluer ces mesures si le niveau de protection ne baisse pas.

7. Sous-traitants ultérieurs

L'atelier autorise Spokes à utiliser les sous-traitants suivants :

Vercel Inc. (États-Unis) : hébergement de l'application.
Cloudflare, Inc. (États-Unis) : protection du réseau, stockage des photos et fichiers.
Neon (Databricks, Inc., États-Unis) : base de données.
Infomaniak Network SA (Suisse) : envoi des e-mails depuis noreply@app-spoke.ch.
Le prestataire SMS choisi par l'atelier dans ses réglages (Swisscom, Twilio, Sinch, Vonage ou MessageBird).

Spokes impose à chacun des obligations de protection au moins équivalentes. Spokes prévient l'atelier par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant. L'atelier peut s'y opposer pour un motif lié à la protection des données. Si aucune solution n'est trouvée, il peut mettre fin à l'abonnement sans frais, avec remboursement de la période payée et non utilisée.

8. Transferts à l'étranger

Pour les sous-traitants hors de Suisse et de l'Union européenne, Spokes utilise des garanties reconnues : Data Privacy Framework si le prestataire est certifié, sinon clauses contractuelles types adaptées au droit suisse.

9. Aide à l'atelier

Spokes aide l'atelier, dans la mesure du raisonnable :

à répondre aux demandes des personnes (accès, correction, effacement, remise des données), notamment grâce à l'export et à la suppression dans l'application ;
à faire une analyse d'impact si elle est nécessaire ;
à répondre à une autorité.

Si une personne s'adresse directement à Spokes, Spokes transmet la demande à l'atelier sans y répondre lui-même, sauf instruction de l'atelier.

10. Violation de la sécurité des données

Spokes prévient l'atelier sans retard injustifié, et au plus tard 48 heures après en avoir eu connaissance, de toute violation de la sécurité qui touche ses données. Spokes indique ce qu'il sait : nature, données et personnes concernées, conséquences probables, mesures prises. Il complète au fur et à mesure. L'atelier décide de l'annonce au PFPDT ou à une autorité de l'Union européenne et aux personnes concernées. Spokes l'aide.

11. Fin du contrat

À la fin de l'abonnement ou de l'essai, l'atelier a 30 jours pour exporter ses données. Spokes supprime ensuite toutes les données de l'atelier dans un délai de 90 jours, sauvegardes comprises, sauf si la loi oblige Spokes à les garder. Sur demande, Spokes confirme la suppression par écrit.

Les pièces comptables de l'atelier (10 ans, art. 958f CO) sont à exporter et à garder par l'atelier. Spokes ne les garde pas pour lui après le délai de suppression.

12. Contrôle

Spokes fournit à l'atelier, sur demande écrite, les informations utiles pour vérifier le respect de ce contrat. Un audit sur place est possible une fois par an au plus, annoncé 30 jours avant, pendant les heures de bureau, aux frais de l'atelier, par une personne tenue au secret. Il ne doit pas exposer les données d'autres ateliers.

13. Responsabilité, droit et for

Les règles de responsabilité, de droit applicable et de for des conditions générales de Spokes s'appliquent. Si ce contrat et les conditions générales se contredisent sur la protection des données, ce contrat l'emporte.