Accord de traitement des données

1. Champ d’application et parties

Le présent accord de traitement des données (« Accord ») fait partie des Conditions générales conclues entre ABIT Technology, Adrian Shajkofci (CHE-233.067.408), Rue des Champs du Bourg 28, 1920 Martigny, Suisse (« Sous-traitant ») et l’organisation qui utilise Demo-Creator (« Client »). Il s’applique lorsque le Sous-traitant traite des données personnelles pour le compte du Client dans le cadre de Demo-Creator, et met en œuvre l’article 28 du RGPD et l’article 9 de la loi fédérale suisse sur la protection des données (LPD).

L’Accord prend effet lorsque le Client accepte les Conditions générales et ne nécessite aucune signature. Un exemplaire contresigné est disponible sur demande.

2. Objet, durée et finalité

Le Sous-traitant traite des données personnelles pour héberger, exploiter, sécuriser et assister Demo-Creator tel que décrit dans les Conditions générales et le manuel d’utilisation, tant que le Client utilise le service et jusqu’à la suppression prévue à la section 11. Le traitement comprend le stockage, l’affichage, la publication sur instruction du Client, la traduction et la narration sur demande, les statistiques, les notifications et les sauvegardes.

3. Personnes concernées et catégories de données

Les personnes concernées sont les membres de l’espace de travail du Client, les personnes qui consultent ses démos, les apprenants de ses formations et les personnes qui remplissent ses formulaires de contact ou sont nommées dans ses liens personnels.

Les données comprennent les noms, adresses e-mail, informations de compte et de rôle ; les contenus que le Client importe ou enregistre, y compris des captures d’écran pouvant montrer des données personnelles ; l’activité de consultation comme les identifiants de session, étapes vues, durées, catégorie d’appareil et pays approximatif ; la progression, les réponses, les scores et certificats de formation ; et les saisies des formulaires de contact. Le Client n’inclut pas de catégories particulières de données personnelles, sauf si cela est nécessaire et licite.

4. Instructions du Client

Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Client. Ces instructions résultent des Conditions générales, du présent Accord et de l’utilisation et de la configuration de Demo-Creator par le Client. Si la loi impose un autre traitement, le Sous-traitant en informe préalablement le Client, sauf interdiction légale. Le Sous-traitant informe le Client s’il estime qu’une instruction enfreint le droit de la protection des données.

5. Confidentialité

Les personnes autorisées à traiter les données personnelles sont tenues à la confidentialité et n’y accèdent que dans la mesure nécessaire pour fournir, sécuriser ou assister le service.

6. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe et sur la page Sécurité, et les maintient adaptées au risque. Il peut les modifier à condition que le niveau global de protection ne diminue pas.

7. Sous-traitants ultérieurs

Le Client autorise les sous-traitants ultérieurs listés sur la page Sécurité. Le Sous-traitant impose à chacun d’eux des obligations de protection des données équivalentes au présent Accord et reste responsable de leur exécution.

Le Sous-traitant annonce tout nouveau sous-traitant ultérieur sur cette page au moins 30 jours avant le début du traitement. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données ; à défaut de solution, il peut résilier le service concerné et obtenir le remboursement au prorata des sommes prépayées.

8. Transferts internationaux

Les données personnelles sont hébergées dans l’UE. Lorsqu’un sous-traitant ultérieur les traite dans un pays sans décision d’adéquation reconnue par la Suisse ou l’UE, le transfert repose sur les clauses contractuelles types de la Commission européenne, avec les adaptations requises pour la Suisse, ou sur un autre mécanisme de transfert valable.

9. Assistance

Compte tenu de la nature du traitement, le Sous-traitant aide le Client à répondre aux demandes des personnes concernées, principalement grâce aux fonctions d’export, de modification et de suppression de Demo-Creator, et fournit des informations raisonnables pour les analyses d’impact et les consultations des autorités de contrôle.

10. Violations de données personnelles

Le Sous-traitant notifie le Client dans les meilleurs délais, et au plus tard 72 heures après avoir pris connaissance d’une violation touchant les données personnelles du Client. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés lorsqu’ils sont connus, les conséquences probables et les mesures prises ou proposées. Elle est complétée au fur et à mesure.

11. Suppression et restitution

Pendant la durée du contrat, le Client peut exporter et supprimer son contenu à tout moment. Après la suppression de l’organisation du Client ou la fin du contrat, le Sous-traitant supprime les données personnelles du Client des systèmes actifs sous 30 jours ; les copies de sauvegarde expirent avec la rotation de 30 jours. Cela ne s’applique pas aux données que le Sous-traitant doit conserver en vertu de la loi, comme les pièces de facturation.

12. Informations et audits

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent Accord, notamment la page Sécurité et les réponses à des questionnaires de sécurité raisonnables. Si cela ne suffit pas, le Client peut réaliser un audit à ses frais, avec un préavis de 30 jours, pendant les heures ouvrables et au maximum une fois par an, sauf exigence contraire d’une autorité de contrôle ou survenance d’une violation de données.

13. Responsabilité et primauté

La responsabilité au titre du présent Accord suit les Conditions générales. En cas de contradiction avec les Conditions générales concernant la protection des données personnelles, le présent Accord prévaut. Comme les Conditions générales, il est régi par le droit suisse, sous réserve du droit impératif de la protection des données.

Annexe : mesures techniques et organisationnelles

• Hébergement dans un centre de données OVHcloud en Allemagne (UE), avec sauvegardes quotidiennes conservées 30 jours.
• Chiffrement en transit par HTTPS (TLS 1.2 ou plus récent) ; secrets chiffrés au repos avec AES-256-GCM ; mots de passe stockés sous forme de hachages scrypt salés.
• Accès par rôle au sein de chaque organisation, authentification unique facultative, sessions révocables et adresse e-mail vérifiée pour les actions sensibles.
• Chaque requête est limitée à l’organisation sélectionnée ; les brouillons restent privés jusqu’à leur publication.
• Pare-feu applicatif basé sur l’OWASP Core Rule Set, limitation de débit et politique de sécurité du contenu stricte.
• Journal d’audit des actions d’administration de la plateforme ; accès du personnel limité aux besoins d’exploitation, de sécurité ou d’assistance.
• Gestion des incidents avec notification des violations de données personnelles sous 72 heures.