Contrat de sous-traitance des données (DPA)
Dernière mise à jour : 1er juin 2026 (modèle à compléter par les parties).
Le présent contrat de sous-traitance (« DPA ») encadre le traitement des données personnelles effectué par alambic pour le compte de ses clients, conformément à l'article 9 de la loi fédérale sur la protection des données (nLPD). Il complète et fait partie intégrante des conditions générales d'utilisation.
1. Parties et rôles
- Responsable du traitement : le Client (l'utilisateur du Service), pour les données personnelles de ses propres clients qu'il introduit dans alambic.
- Sous-traitant : Basic Web, entreprise individuelle de Jonathane Andrey, Impasse Florissant 12, 1530 Payerne, Suisse (IDE CHE-251.943.628), éditeur du service alambic.
Le Client demeure responsable de la licéité du traitement et de l'existence d'une base légale pour les données qu'il confie au Sous-traitant.
2. Objet, durée et finalité
Le Sous-traitant traite les données pour la seule finalité de fournir le service alambic (génération, édition, publication et envoi de devis), sur instruction du Client. La durée correspond à celle du contrat de service. Le Sous-traitant ne traite les données que sur instruction documentée du Client et ne les utilise à aucune autre fin.
3. Catégories de données et de personnes concernées
- Données : contenu des briefs et cahiers des charges, coordonnées de contact des destinataires des devis, descriptifs de prestations, montants, devis et emails générés.
- Personnes concernées : les clients et prospects du Client, ainsi que les utilisateurs de son espace de travail.
4. Obligations du Sous-traitant
- traiter les données uniquement sur instruction du Client et pour la finalité convenue ;
- garantir la confidentialité et veiller à ce que les personnes autorisées s'y engagent ;
- mettre en œuvre des mesures de sécurité appropriées (voir §7) ;
- assister le Client dans la réponse aux demandes des personnes concernées et en cas de violation de la sécurité des données ;
- notifier le Client dans les meilleurs délais toute violation de sécurité dont il aurait connaissance.
5. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs suivants :
- Anthropic PBC (États-Unis) : génération des devis et emails par IA ;
- Bexio AG (Suisse) : publication des offres, contacts, PDF ;
- Infomaniak Network SA (Suisse) : hébergement et envoi des e-mails.
Le Sous-traitant informera le Client de tout changement concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, le Client pouvant s'y opposer pour un motif légitime.
6. Transfert de données à l'étranger
Le recours à Anthropic implique un transfert vers les États-Unis, encadré par le Swiss-U.S. Data Privacy Framework (décision d'adéquation pour les entreprises certifiées) et/ou par des clauses contractuelles types reconnues par le PFPDT. Les autres sous-traitants hébergent les données en Suisse.
7. Sécurité
Chiffrement des données au repos, cloisonnement par espace de travail (isolation multi-tenant), hébergement en Suisse, et accès restreint. Le Sous-traitant maintient des mesures techniques et organisationnelles raisonnables et à jour.
8. Droits des personnes concernées
Le Sous-traitant apporte au Client une assistance raisonnable pour répondre aux demandes d'accès, de rectification, d'effacement, d'opposition et de portabilité émanant des personnes concernées.
9. Fin du contrat
À la fin du contrat de service, les devis et catalogues restent accessibles en lecture seule pendant 90 jours, puis sont supprimés. Le Client peut demander à tout moment la restitution ou la suppression de ses données.
10. Responsabilité et droit applicable
La responsabilité des parties est régie par les CGU. Le présent DPA est soumis au droit suisse ; le for est au siège du Sous-traitant (Payerne, canton de Vaud), sous réserve d'un for impératif.
Contact
Pour signer ce DPA ou toute question : hello@alambic.app.