Contrat de sous-traitance des données

1. Le présent contrat règle les traitements de données personnelles que Beney Technology (le « sous-traitant ») effectue pour le compte de l’organisation cliente (le « responsable ») en lui fournissant le service Planifi.
2. Il fait partie intégrante des conditions générales (CG) et se conclut avec elles, sans signature séparée. Un exemplaire signé est remis sur demande à contact@planifi.ch.
3. En cas de contradiction avec les CG pour ce qui touche aux données personnelles, le présent contrat prévaut (CG art. 22.1).
4. Les termes employés ont le sens que leur donne l’art. 5 nLPD. Lorsque le RGPD s’applique au responsable, ils ont aussi le sens de son art. 4.

1. Le sous-traitant traite les données uniquement sur instructions documentées du responsable. Ces instructions sont les CG, le présent contrat, et les réglages et actions effectués dans le service par les utilisateurs du responsable.
2. Une instruction supplémentaire se donne par écrit. Si elle exige un travail hors du service standard, elle peut être rémunérée, après accord préalable.
3. Le sous-traitant informe sans délai le responsable s’il estime qu’une instruction viole le droit de la protection des données. Il peut en suspendre l’exécution jusqu’à sa confirmation ou sa modification.
4. Il ne traite pas les données à ses propres fins. Si une obligation légale l’y contraint, il en informe le responsable avant le traitement, lorsque la loi le permet.

1. Les personnes autorisées à traiter les données pour le sous-traitant sont tenues au secret, par contrat ou par la loi, y compris après la fin de leur activité.
2. Le sous-traitant n’accède aux données d’une organisation que dans la mesure nécessaire à une assistance demandée, à l’exploitation, à la sécurité du service ou au respect d’une obligation légale.

1. Le sous-traitant met en œuvre les mesures techniques et organisationnelles de l’annexe 1, appropriées au risque (art. 8 nLPD et art. 1 à 6 OPDo ; art. 32 RGPD).
2. Il peut faire évoluer ces mesures, à condition que le niveau de protection ne baisse pas.
3. Le responsable protège, de son côté, les accès de ses utilisateurs et gère leurs droits (CG art. 5 et 6).

1. Le service permet au responsable de répondre lui-même aux demandes des personnes concernées : export des données d’un collaborateur (art. 25 et 28 nLPD), correction de sa fiche, suppression. Le sous-traitant transmet sans délai au responsable toute demande qu’il reçoit directement et n’y répond pas lui-même sans son accord.
2. Sur demande, il fournit au responsable les informations nécessaires à une analyse d’impact (art. 22 nLPD), à une consultation du Préposé fédéral (art. 23 nLPD) et à la tenue de son registre des activités de traitement (art. 12 nLPD).
3. Une assistance qui dépasse la mise à disposition des outils du service peut faire l’objet d’une rémunération convenue au préalable.

1. Le responsable autorise de manière générale le recours aux sous-traitants ultérieurs de l’annexe 2.
2. Le sous-traitant annonce tout ajout ou remplacement au moins 30 jours à l’avance, par e-mail aux responsables et sur cette page. Pendant ce délai, le responsable peut s’y opposer par écrit, pour des motifs liés à la protection des données. Faute de solution, il peut résilier sans frais avant l’intervention du changement et obtenir le remboursement, au prorata, de la base déjà payée.
3. Le sous-traitant impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes, et répond de lui comme de lui-même.
4. Si un prestataire défaillant menace la sécurité ou la disponibilité du service, son remplacement peut intervenir avant l’expiration du délai. Le responsable en est informé sans délai et conserve son droit de résiliation.

1. Les données sont hébergées dans l’Union européenne, à Francfort (Allemagne).
2. Le sous-traitant ne communique des données vers un État qui n’assure pas un niveau de protection adéquat (annexe 1 OPDo) qu’avec des garanties conformes à l’art. 16 al. 2 nLPD, en particulier des clauses contractuelles types, ou dans un cas prévu par l’art. 17 nLPD. Lorsque le RGPD s’applique, le chapitre V de ce règlement est respecté.
3. Les communications existantes et leurs garanties figurent à l’annexe 2.

1. Le sous-traitant annonce au responsable, dans les meilleurs délais après en avoir pris connaissance, toute violation de la sécurité des données qui touche ses données (art. 24 al. 3 nLPD).
2. L’annonce indique, dans la mesure où ils sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées et un contact. Elle est complétée au fur et à mesure.
3. Le sous-traitant prend sans délai les mesures propres à contenir la violation et à en limiter les conséquences, et documente l’incident.
4. L’annonce au Préposé fédéral et l’information des personnes concernées incombent au responsable (art. 24 al. 1 et 4 nLPD). Le sous-traitant l’y aide.

1. Le sous-traitant met à disposition du responsable les informations nécessaires pour démontrer qu’il respecte le présent contrat : ce document et ses annexes, la page Sécurité et données, et des réponses écrites à des questionnaires raisonnables.
2. Si ces informations ne suffisent pas, le responsable peut faire procéder à un contrôle, au plus une fois par an sauf violation avérée. Le contrôle est annoncé 30 jours à l’avance, se déroule pendant les heures ouvrables et est confié à un auditeur tenu au secret qui n’est pas un concurrent de l’éditeur. Il ne donne accès ni aux données d’autres organisations, ni aux systèmes des sous-traitants ultérieurs. Ses frais sont à la charge du responsable.

1. Pendant toute la durée du contrat, le responsable exporte ses données : données de chaque collaborateur, contrôle du temps, archive de conservation complète.
2. À la suppression de l’espace (CG art. 12.5 et 12.6) ou à la fin du contrat, le sous-traitant efface les données de la base active. Les copies de sauvegarde s’effacent selon le cycle de rotation de l’hébergeur et ne sont pas utilisées entre-temps.
3. Sont réservées les données que le sous-traitant doit conserver en vertu de la loi, comme les pièces de sa propre facturation, qui ne contiennent pas de données de collaborateurs.

1. Le présent contrat dure aussi longtemps que le sous-traitant traite des données pour le responsable.
2. La responsabilité des parties est régie par l’art. 16 des CG.
3. Le droit applicable et le for sont ceux de l’art. 23 des CG.

Liste à jour au 2 octobre 2026. La même liste figure dans la politique de confidentialité.