ACCORD DE TRAITEMENT DES DONNÉES

Art. 1 Objet et rôles

1. Le présent Accord régit le traitement des Données Client au sens des CGV — toute information soumise dans la Solution par le Client ou ses Utilisateurs, ainsi que les réponses générées —, que le Prestataire traite pour le compte du Client. Les obligations découlant de la LPD s’appliquent aux données personnelles qu’elles contiennent.
2. Le Client est responsable du traitement (art. 5 let. j LPD) ; le Prestataire agit en qualité de sous-traitant (art. 5 let. k et art. 9 LPD).
3. Pour ses propres traitements (gestion des comptes, facturation, support, site internet), notamment des données relatives au Client et à ses Utilisateurs, le Prestataire agit comme responsable du traitement ; ces traitements sont décrits dans la Déclaration de protection des données publiée sur son site et ne relèvent pas du présent Accord.
4. En cas de divergence, le Contrat prime le présent Accord, qui prime les CGV.
5. Les termes « Solution » et « Utilisateur » ont la signification que leur donnent les CGV.

Art. 2 Catégories de données et de personnes concernées

1. Données traitées : contenus des conversations (prompts et réponses), documents téléversés, enregistrements vocaux soumis aux fins de transcription, métadonnées techniques et journaux d’accès. Les Données Client peuvent comprendre des données sensibles au sens de l’art. 5 let. c LPD, notamment des données sur des poursuites ou sanctions pénales et administratives, sur la santé ou sur les opinions.
2. Personnes concernées : les collaborateurs et auxiliaires du Client, ses clients et mandants, ses partenaires commerciaux et fournisseurs, ainsi que les tiers figurant dans les dossiers et documents soumis (parties adverses, témoins, experts et autres personnes citées). Seules les personnes physiques sont des personnes concernées au sens de la LPD (art. 5 let. b LPD) ; les informations relatives à des personnes morales sont protégées par les engagements de confidentialité du Contrat.
3. Finalité : la fourniture des fonctionnalités de la Solution (recherche, analyse, traduction, transcription, rédaction assistée, assistance aux tâches administratives) et le support technique. Toute autre finalité est exclue.

Art. 3 Instructions du Client

1. Le Prestataire traite les Données Client exclusivement sur instructions documentées du Client. Le Contrat, le présent Accord et l’utilisation des fonctionnalités de la Solution par les Utilisateurs du Client constituent les instructions documentées.
2. Toute instruction supplémentaire est donnée par écrit. Si le Prestataire estime qu’une instruction viole le droit de la protection des données, il en informe le Client sans délai.

Art. 4 Localisation des traitements

1. Les Données Client sont hébergées et traitées exclusivement en Suisse, sur une infrastructure appartenant au Prestataire et placée sous son contrôle exclusif. Cette exclusivité couvre toutes les étapes du traitement, notamment l’hébergement et les sauvegardes, l’inférence des modèles d’IA, le calcul des représentations vectorielles (embeddings), le reclassement des résultats (reranking), la recherche vectorielle, la transcription vocale et l’analyse de documents. Aucun prestataire tiers, qu’il s’agisse d’un service Cloud ou de tout autre service informatique, ne traite les Données Client ni n’y a accès, sous réserve de l’art. 9 et des transmissions de l’al. 2.
2. Sont seules réservées les transmissions suivantes :
   1. les recherches sur Internet que la Solution effectue pour compléter ses réponses, sauf désactivation à la demande du Client (art. 3 al. 3 CGV) : seuls les mots-clés de la recherche sont transmis à des moteurs de recherche publics, par un relais exploité par le Prestataire qui ne leur révèle pas qui effectue la recherche, et les recherches effectuées sont indiquées avec la réponse ;
   2. la consultation des recueils officiels de législation (Fedlex et recueils officiels cantonaux), qui ne transmet que la référence du texte légal ou de l’article consulté, par exemple « LPD » ou « art. 321 CP », à l’exclusion de tout contenu soumis par le Client ;
   3. les communications requises par une obligation légale, aux conditions de l’art. 12 du présent Accord.
3. Toute communication de Données Client à l’étranger, y compris dans le cas de l’al. 2 let. a, respecte les art. 16 et 17 LPD ; en dehors des cas prévus à l’al. 2, elle requiert en outre l’accord écrit préalable du Client.

Art. 5 Confidentialité du personnel

1. Le Prestataire garantit que toute personne autorisée à traiter des Données Client est soumise à un engagement de confidentialité écrit et individuel, qui subsiste après la fin des rapports de travail ou de mandat, et qu’elle est rendue attentive au devoir de discrétion pénalement sanctionné de l’art. 62 LPD.
2. Lorsque le Client est soumis à un secret professionnel protégé par l’art. 321 CP, le personnel du Prestataire intervient en qualité d’auxiliaire au sens de cette disposition et est informé des conséquences pénales d’une violation.

Art. 6 Accès aux Données Client

1. Le Prestataire n’accède pas au contenu des conversations ni aux documents téléversés, sous réserve d’une demande expresse de l’Utilisateur concerné, notamment à des fins d’assistance technique ou de résolution d’un incident, et des requêtes d’autorités traitées selon l’art. 12.
2. Tout accès est limité au strict nécessaire à la finalité poursuivie, nominativement autorisé et journalisé. La liste des fonctions autorisées à accéder aux Données Client est tenue à jour par le Prestataire et communiquée au Client sur demande.

Art. 7 Sécurité des traitements

1. Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées au sens de l’art. 8 LPD et des art. 1 à 3 OPDo, afin d’assurer la confidentialité, la disponibilité, l’intégrité et la traçabilité des Données Client.
2. Ces mesures comprennent notamment : le chiffrement des données en transit et au repos ; l’authentification à deux facteurs ; le contrôle des accès logiques et physiques ; la surveillance de l’infrastructure et la détection des anomalies ; des sauvegardes régulières ; la mise à jour de sécurité des systèmes.
3. Les mesures sont réévaluées régulièrement et adaptées à l’évolution des risques et de l’état de la technique.

Art. 8 Journalisation

1. Le Prestataire journalise les opérations pertinentes sur les Données Client, y compris les accès, conformément à l’art. 4 OPDo.
2. Les procès-verbaux de journalisation sont conservés au moins douze mois, séparément du système de traitement. Les extraits concernant les Données Client sont remis au Client sur demande.

Art. 9 Sous-traitance ultérieure

1. Le Prestataire ne recourt actuellement à aucun sous-traitant ultérieur pour le traitement des Données Client.
2. Le Prestataire ne peut y recourir qu’avec l’autorisation préalable écrite du Client (art. 9 al. 3 LPD). Il lui soumet par écrit, au moins 30 jours à l’avance, tout projet d’ajouter un sous-traitant ultérieur ou d’en remplacer un ; à défaut d’autorisation, chaque Partie peut résilier le Contrat pour la date d’effet du changement.

Art. 10 Violations de la sécurité des données

1. Le Prestataire notifie au Client toute violation de la sécurité des données au sens de l’art. 5 let. h LPD dans les meilleurs délais, au plus tard 72 heures après sa découverte.
2. La notification indique au minimum la nature de la violation, les catégories de données et de personnes concernées, ses conséquences probables et les mesures prises ou envisagées.
3. Le Prestataire assiste le Client dans l’accomplissement de ses obligations d’annonce au PFPDT (art. 24 LPD) et d’information des personnes concernées. Il documente les violations et les mesures prises.

Art. 11 Assistance au Client

1. Le Prestataire assiste le Client, dans une mesure raisonnable, pour répondre aux demandes des personnes concernées (art. 25 ss LPD). Il transmet sans délai au Client toute demande qui lui est adressée directement, sans y répondre sur le fond.
2. Le Prestataire fournit au Client les informations nécessaires à l’établissement d’une analyse d’impact relative à la protection des données (art. 22 LPD).

Art. 12 Requêtes d’autorités

1. Si une autorité requiert du Prestataire l’accès à des Données Client ou leur remise, le Prestataire : (i) en informe immédiatement le Client, sauf interdiction légale ; (ii) vérifie la validité de la requête et n’y donne suite que dans la mesure strictement exigée par la loi ; (iii) signale à l’autorité les secrets protégés applicables, notamment lorsque les données peuvent relever de l’art. 264 al. 1 CPP, et le fait que le Client en est l’ayant droit ; (iv) en cas de séquestre de données visées par l’art. 264 al. 1 CPP, signale au Client qu’il peut demander la mise sous scellés, soit lui-même en qualité d’ayant droit, dans le délai de trois jours que l’autorité doit lui impartir (art. 248 al. 2 CPP), soit par l’intermédiaire du Prestataire, qui doit la requérir en sa qualité de détenteur dans les trois jours suivant la mise en sûreté (art. 248 al. 1 CPP) ; (v) se conforme à la décision du Client et, à défaut d’instruction de celui-ci avant l’expiration du délai de l’art. 248 al. 1 CPP, requiert lui-même la mise sous scellés afin de préserver ses droits ; (vi) ne remet aucune donnée spontanément.
2. Le Prestataire soutient le Client dans l’exercice de ses moyens de droit.

Art. 13 Conservation, restitution et destruction

1. Les Données Client sont conservées pendant la durée du Contrat. L’Utilisateur peut supprimer à tout moment ses conversations et documents ; la suppression est définitive, le Prestataire ne restaurant pas les contenus supprimés, sous réserve de leur présence dans les sauvegardes jusqu’à l’expiration de la durée prévue à l’al. 3.
2. À la fin du Contrat, le Client dispose d’une fenêtre de 30 jours d’accès en lecture pour exporter ses Données Client dans un format structuré et couramment utilisé.
3. À l’issue de cette fenêtre, le Prestataire détruit de manière sécurisée l’ensemble des Données Client et remet une attestation de destruction sur demande. Celles qui figurent dans les sauvegardes sont détruites au plus tard à l’expiration de la durée de conservation de ces sauvegardes, soit 30 jours après leur création.
4. Est réservée la conservation des pièces comptables du Prestataire (art. 958f CO, dix ans), à l’exclusion de toute Donnée Client soumise dans la Solution.
5. Les procès-verbaux de journalisation (art. 8) sont conservés pendant la durée prévue à l’art. 8 al. 2, puis détruits.

Art. 14 Vérification

1. Sur demande écrite du Client, le Prestataire lui fournit les informations nécessaires pour démontrer le respect du présent Accord, notamment une description des mesures de sécurité prévues à l’art. 7.
2. Le Prestataire n’est pas tenu de communiquer des informations dont la divulgation compromettrait la sécurité de la Solution ou révélerait ses secrets d’affaires.
3. Tout audit ou toute inspection requiert l’accord préalable écrit du Prestataire, qui en fixe les modalités.

Art. 15 Garanties du Client

1. Le Client garantit qu’il dispose, pour l’ensemble de ses Données Client, d’un motif justificatif suffisant au sens de l’art. 31 LPD ou de toute autre base légale applicable, qu’il satisfait à ses obligations d’information (art. 19 ss LPD) et qu’il assume l’ensemble de ses obligations de responsable du traitement.
2. Le Client relève le Prestataire de toute prétention de tiers résultant d’un manquement du Client aux garanties résultant du présent article.

Art. 16 Dispositions finales

1. Le présent Accord prend effet avec le Contrat et demeure en vigueur aussi longtemps que le Prestataire traite des Données Client.
2. La responsabilité des Parties est régie par le Contrat et les CGV.
3. Le présent Accord est régi par le droit suisse. Tout litige relève de la compétence exclusive des tribunaux du siège du Prestataire.