Contrat de traitement de données

selon l’art. 9 de la loi fédérale sur la protection des données (LPD) — version 1.0, 16.10.2026

Entre

[Raison sociale du client], [forme juridique], [adresse], IDE [CHE-…], représentée par [nom, fonction]
— ci-après « le Client » (responsable du traitement)

et

Cabrera Feijoo Consulting, raison individuelle de Hector Cabrera Feijoo, Avenue Alexandre-Vinet 3, 1815 Clarens, IDE CHE-271.164.828, qui exploite le service Dépaperasse
— ci-après « le Prestataire » (sous-traitant)

1. Objet

1.1 Dans le cadre du contrat de service Dépaperasse (les « Conditions générales » et l’offre acceptée), le Prestataire traite des données personnelles pour le compte du Client.
1.2 Le présent contrat fixe les conditions de ce traitement. En cas de contradiction avec les Conditions générales sur la protection des données, le présent contrat prime.
1.3 Si le Règlement général européen sur la protection des données (RGPD) s’applique à une partie des traitements (par exemple pour des clients finaux domiciliés dans l’UE), les parties conviennent que le présent contrat vaut aussi contrat au sens de l’art. 28 RGPD.

2. Nature, finalité et durée du traitement

2.1 La nature des traitements, leur finalité, les catégories de données et de personnes concernées sont décrites à l’Annexe 1.
2.2 Le traitement dure aussi longtemps que le contrat de service. Les articles 10 (fin du contrat) et 11 (confidentialité) survivent à sa fin.

3. Instructions du Client

3.1 Le Prestataire traite les données uniquement selon les instructions documentées du Client, telles qu’elles résultent du contrat de service, du présent contrat et des demandes du Client (par écrit, e-mail ou message dans l’application).
3.2 Le Prestataire n’utilise pas les données à ses propres fins. En particulier, il ne les utilise pas et ne permet pas qu’elles soient utilisées pour entraîner des modèles d’intelligence artificielle.
3.3 Si le Prestataire estime qu’une instruction viole la LPD, il en informe le Client sans délai et peut suspendre son exécution jusqu’à confirmation ou modification.
3.4 Validation humaine. Aucun document ou message destiné à un tiers (devis, facture, relance, message à un client du Client) n’est envoyé sans la validation expresse du Client. Le Client reste responsable du contenu qu’il valide.

4. Obligations du Client

Le Client garantit qu’il est en droit de confier ces données au Prestataire, qu’il a informé les personnes concernées comme l’exige l’art. 19 LPD (par exemple dans sa propre politique de confidentialité ou ses conditions) et qu’il ne transmet pas plus de données que nécessaire. Il ne transmet des données sensibles (art. 5 let. c LPD, p. ex. données de santé) que si c’est nécessaire ; c’est le cas notamment des papiers administratifs qu’il archive lui-même (Annexe 1).

5. Confidentialité et personnel

5.1 Le Prestataire garantit que les personnes autorisées à traiter les données sont tenues à la confidentialité.
5.2 À la date du contrat, seul le titulaire de la raison individuelle a accès aux données. Tout autre accès (employé, mandataire) est soumis aux mêmes obligations et documenté.

6. Sécurité des données

6.1 Le Prestataire prend les mesures techniques et organisationnelles appropriées au sens de l’art. 8 LPD et des art. 1 à 3 de l’ordonnance sur la protection des données (OPDo), décrites à l’Annexe 2.
6.2 Il peut faire évoluer ces mesures, à condition de ne pas abaisser le niveau de protection.

7. Sous-traitants ultérieurs

7.1 Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés à l’Annexe 3.
7.2 Le Prestataire informe le Client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s’y opposer pour un motif lié à la protection des données dans ce délai ; à défaut d’accord, chaque partie peut résilier le contrat de service pour la fin du mois suivant, sans frais.
7.3 Le Prestataire impose à chaque sous-traitant ultérieur des obligations de protection au moins équivalentes et répond de lui envers le Client comme de ses propres actes (art. 9 al. 3 LPD).

8. Communication à l’étranger

8.1 Certains sous-traitants ultérieurs traitent des données hors de Suisse (Annexe 3).
8.2 Une communication vers un État dont la législation n’assure pas un niveau de protection adéquat selon l’annexe 1 OPDo n’a lieu que sur la base d’une garantie au sens de l’art. 16 al. 2 LPD : certification du destinataire selon le Swiss-U.S. Data Privacy Framework ou clauses contractuelles types reconnues par le PFPDT.

9. Assistance au Client

9.1 Droits des personnes concernées. Le Prestataire transmet au Client, sans délai, toute demande qu’il reçoit directement et l’aide, dans la mesure du possible, à y répondre (accès, rectification, effacement, remise des données).
9.2 Violation de la sécurité des données. Le Prestataire annonce au Client toute violation de la sécurité des données dans les meilleurs délais, au plus tard dans les 48 heures après en avoir eu connaissance (art. 24 al. 3 LPD), avec les informations dont il dispose : nature de la violation, données et personnes touchées, conséquences probables, mesures prises. Il appartient au Client d’évaluer s’il doit l’annoncer au PFPDT et aux personnes concernées ; le Prestataire l’y aide.
9.3 Analyse d’impact. Sur demande, le Prestataire fournit les informations utiles à une analyse d’impact (art. 22 LPD).
9.4 Contrôle. Le Prestataire fournit sur demande les informations nécessaires pour démontrer le respect du présent contrat. Une vérification sur place a lieu au maximum une fois par an, annoncée 30 jours à l’avance, aux frais du Client, sauf si elle révèle un manquement important.

10. Fin du contrat : restitution et suppression

10.1 À la fin du contrat de service, le Prestataire remet au Client, dans les 30 jours et sans frais, une exportation complète de ses données dans un format courant (PDF pour les documents, CSV ou JSON pour les données structurées). Les données déjà présentes dans le compte Bexio du Client restent dans ce compte.
10.2 Il supprime ensuite les données, y compris chez ses sous-traitants ultérieurs, au plus tard 60 jours après la fin du contrat, et le confirme par écrit sur demande. Les sauvegardes sont effacées au fil de leur rotation, au plus tard 90 jours après la fin du contrat ; elles restent protégées jusque-là.
10.3 Demeurent réservées les données que le Prestataire doit conserver en vertu de la loi (p. ex. ses propres factures au Client).

11. Confidentialité

Les parties gardent confidentielles les informations reçues dans le cadre du présent contrat, pendant sa durée et 5 ans après sa fin.

12. Responsabilité

La responsabilité des parties est régie par les Conditions générales. Demeurent réservées les dispositions légales impératives.

13. Droit applicable et for

Droit suisse. For exclusif : Vevey (Tribunal d’arrondissement de l’Est vaudois), sous réserve des fors impératifs.

---

Lieu et date : ……………………………

Le Client …………………………… Le Prestataire ……………………………
[nom, fonction] Hector Cabrera Feijoo

---

Annexe 1 — Description du traitement

Annexe 2 — Mesures techniques et organisationnelles

Séparation

• Une installation distincte par client : base de données, stockage de fichiers, clés et nom de domaine propres. Aucune table n’est partagée entre clients.
• Base de données et fichiers créés dans la juridiction « UE » de Cloudflare : ils sont conservés dans l’Union européenne.

Accès

• Connexion par clé d’accès (passkey, WebAuthn : visage, empreinte ou code de l’appareil), sans mot de passe.
• Cookie de session signé (HttpOnly, Secure, SameSite).
• Ajout d’un appareil uniquement par lien d’invitation à usage unique, valable 24 heures.
• Accès d’administration limité au Prestataire.

Confidentialité

• Chiffrement des échanges (HTTPS/TLS) et du stockage (chiffrement au repos de Cloudflare).
• Photos, vidéos et notes vocales servies uniquement à une session authentifiée ; aucun lien public.
• Clés d’accès aux services du Client (Bexio, WhatsApp/Meta, etc.) chiffrées (AES-GCM) avec une clé propre à son installation, conservée dans le coffre à secrets de Cloudflare, jamais en clair ni dans le code. Révoquées à la fin du contrat.
• En-têtes de sécurité (nosniff, interdiction d’affichage dans un cadre, referrer limité, caméra et micro réservés à l’application) ; application exclue des moteurs de recherche.
• Intelligence artificielle utilisée par API professionnelle : pas d’entraînement sur les données ; données d’entrée et de sortie effacées par le fournisseur au plus tard 30 jours après le traitement.

Agenda partagé (lien de lecture seule)

• Lien d’abonnement contenant un jeton aléatoire de 32 octets, sans lien avec l’identifiant du Client ; seule son empreinte (hash) est conservée.
• Le Client peut renouveler le lien d’un bouton dans l’application ; l’ancien cesse immédiatement de fonctionner.
• Contenu minimal des rendez-vous : type, nom de famille et localité (p. ex. « Visite — Dupont, Les Avants ») ; ni téléphone, ni e-mail, ni montant.

Intégrité et traçabilité

• Aucune écriture dans Bexio et aucun envoi à un tiers sans validation du Client. Chaque validation (« oui ») est enregistrée avec son objet, sa date et son heure, l’appareil autorisé depuis lequel elle a été donnée (identifiant de la clé d’accès et nom de l’appareil à ce moment-là), une empreinte du contenu validé et le résultat de l’action (effectuée, sans suite ou, en cas d’interruption technique, en cours). L’installation n’a qu’une identité, celle du Client ; elle ne distingue pas les personnes qui utilisent ses appareils (art. 3.6 CG).
• Un appareil n’est autorisé qu’après la création d’une clé d’accès protégée par le verrouillage de l’appareil (visage, empreinte ou code de l’appareil). Les données biométriques restent dans l’appareil et ne sont jamais transmises au Prestataire. Ajouter ou retirer un appareil exige toujours cette vérification ; sur un appareil déclaré « partagé », chaque envoi l’exige aussi. Un appareil retiré depuis les Réglages perd son accès en moins d’une minute. Une session prend fin après 30 jours sans utilisation et au plus tard 90 jours après son ouverture.
• Journal des actions consultable et exportable : quel agent, quel outil, quel document, quelle validation, à quelle heure. Journaux techniques de Cloudflare : uniquement les erreurs de l’application, sans adresse de page, sans lien d’accès et sans donnée du Client ; conservés au plus 7 jours selon Cloudflare.
• Les liens d’accès personnels (devis à accepter, gestion d’un rendez-vous, salle de visio) ne figurent dans aucun journal ; pour la visio, le code d’accès à la salle reste dans le navigateur et n’est jamais transmis au serveur dans l’adresse ; seul un identifiant technique de la salle y figure, qui ne donne accès à rien sans ce code.
• Les index de recherche (vecteurs) sont stockés dans la base de données de l’installation, dans l’UE.
• Aucune donnée du Client ne transite par l’ordinateur du Prestataire ni par une intelligence artificielle locale.

Disponibilité

• Infrastructure Cloudflare redondante.
• Restauration de la base de données possible sur les 30 derniers jours (Time Travel de Cloudflare D1).

Organisation

• Données limitées au nécessaire ; à la fin du contrat, exportation complète (données et fichiers) puis suppression de l’installation selon l’article 10.
• Le Client peut exporter toutes ses données à tout moment depuis l’application, après vérification par le visage, l’empreinte ou le code de l’appareil (clé d’accès). Le fichier est préparé dans son propre espace, n’est téléchargeable que depuis un appareil autorisé, après une nouvelle vérification (lien à usage unique valable 2 minutes), et est effacé automatiquement 48 heures après sa création. Chaque exportation (demandée, téléchargée, effacée) est inscrite au journal des actions.
• Procédure d’annonce des violations (article 9.2).
• Revue des mesures au moins une fois par an.

Annexe 3 — Sous-traitants ultérieurs

A. Pour tous les clients

B. Selon les modules activés

C. Services au nom du Client — pas des sous-traitants du Prestataire
Les services dont le compte est au nom du Client (Bexio, connecté par OAuth ; sa messagerie Google ou Microsoft 365, y compris les brouillons créés par OAuth ; son compte WhatsApp Business / Meta, y compris l’API WhatsApp Business Cloud de Meta ; son calendrier Google, Microsoft ou Apple auquel il ajoute le lien de l’agenda, Google Business Profile, réseaux sociaux, boutique en ligne, prestataire de paiement) ne sont pas des sous-traitants ultérieurs du Prestataire : le Client les a choisis et contractés lui-même ; le Prestataire n’y accède que sur son autorisation.

Seuls les sous-traitants des modules activés par le Client traitent ses données. Ne traitent aucune donnée du Client : le registraire de noms de domaine (GoDaddy) et l’intelligence artificielle installée sur l’ordinateur du Prestataire en Suisse (si cela devait changer, le Client en serait informé selon l’article 7.2).