Contrat de sous-traitance (AVV)

Contrat portant sur le traitement de données personnelles pour le compte, entre le client en tant que responsable du traitement et Zerovia GmbH en tant que sous-traitant.

Introduction

Le présent contrat de sous-traitance (« AVV » ou « Convention ») fait partie intégrante des Conditions d'utilisation et des Conditions d'abonnement entre le client (« Client » ou « Responsable du traitement ») et Zerovia GmbH, Via Casti 52, 7151 Schluein, Suisse (« ZEROvia » ou « Sous-traitant »), ensemble les « Parties ».

Considérant que

• le client utilise la plateforme de ZEROvia et y apporte des données personnelles dont il est responsable du traitement ;
• ZEROvia ne traite ces données personnelles que pour le compte du client et sur ses instructions ;
• les Parties souhaitent fixer les conditions de ce traitement selon l'art. 9 de la loi suisse sur la protection des données (« LPD ») et l'art. 28 du règlement (UE) 2016/679 (« RGPD ») ;
• le traitement dont ZEROvia est elle-même responsable (notamment le site web, la gestion de la clientèle et la facturation selon la déclaration de protection des données) ne relève pas de la présente convention,

les Parties conviennent de ce qui suit :

Article 1 · Définitions

1.1 « Convention » désigne le présent AVV avec ses annexes 1 à 3. « Données personnelles du client » désigne les données personnelles que ZEROvia traite pour le compte du client dans le cadre des Services (annexe 1). « Lois sur la protection des données » désigne la LPD avec son ordonnance (OPDo), le RGPD et les autres dispositions applicables. « Services » désigne les services numériques de ZEROvia selon les Conditions d'utilisation et d'abonnement, en particulier la plateforme zerovia.app. « Sous-traitant ultérieur » désigne toute personne qui traite des données personnelles du client par l'intermédiaire ou pour le compte de ZEROvia.

1.2 Les termes tels que « responsable du traitement », « personne concernée », « données personnelles », « violation de la sécurité des données » et « traitement » ont le sens que leur donnent la LPD ou le RGPD.

Article 2 · Objet, nature, finalité et durée

2.1 ZEROvia ne traite les données personnelles du client que pour fournir les Services selon le contrat principal (Conditions d'utilisation et d'abonnement, ainsi que les éventuels accords individuels).

2.2 L'objet, la nature et la finalité du traitement, les catégories de personnes concernées et les catégories de données personnelles sont définis à l'annexe 1.

2.3 La durée correspond à la durée du contrat principal, augmentée des délais prévus à l'article 10.

2.4 Campagnes de données. Si un client, en tant qu'acheteur, invite des fournisseurs via les Services, il est responsable des coordonnées qu'il importe et du traitement des données partagées dans son compte. ZEROvia traite ces données en qualité de sous-traitant de l'acheteur. Le fournisseur est responsable des données qu'il saisit et partage dans son propre compte ; son propre contrat avec ZEROvia s'applique à cet égard.

Article 3 · Instructions

3.1 ZEROvia ne traite les données personnelles du client que sur instruction documentée de celui-ci, sauf si la loi l'oblige à un autre traitement ; dans ce cas, elle en informe préalablement le client, dans la mesure où la loi ne l'interdit pas.

3.2 Constituent des instructions documentées le contrat principal ainsi que l'utilisation et la configuration des Services par le client, y compris les rôles, les droits, les partages et les consentements.

3.3 ZEROvia informe sans délai le client si, à son avis, une instruction viole les lois sur la protection des données, et peut suspendre une instruction manifestement illicite.

Article 4 · Obligations de ZEROvia

4.1 ZEROvia s'engage :

4.1.1 à respecter les lois applicables sur la protection des données ;

4.1.2 à ne traiter les données personnelles du client que sur instruction et uniquement pour fournir les Services ;

4.1.3 à ne pas utiliser les données personnelles du client à ses propres fins, notamment pas pour entraîner des modèles d'IA accessibles à des tiers ; ZEROvia n'utilise des données agrégées et anonymisées à des fins d'amélioration interne qu'après opt-in explicite du client ;

4.1.4 à soumettre toutes les personnes habilitées à traiter les données à une obligation de confidentialité ;

4.1.5 à limiter l'accès aux données personnelles du client aux personnes qui en ont besoin pour leur mission ; les accès du support et du développement aux données clients n'ont lieu que pour un motif documenté, pour une durée limitée, et sont journalisés ;

4.1.6 à mettre en œuvre les mesures techniques et organisationnelles visées à l'article 5 ;

4.1.7 à informer le client, dans la mesure permise, des demandes contraignantes des autorités concernant ses données personnelles, et à limiter la communication à ce qui est juridiquement nécessaire.

Article 5 · Mesures techniques et organisationnelles

5.1 ZEROvia prend, compte tenu de l'état de la technique, des coûts ainsi que de la nature, de l'étendue et de la finalité du traitement, des mesures appropriées pour garantir un niveau de protection adapté au risque (art. 8 LPD en lien avec les art. 1 ss OPDo ; art. 32 RGPD).

5.2 Les mesures sont décrites à l'annexe 2. Une partie des mesures d'infrastructure est fournie par des sous-traitants ultérieurs, notamment Infomaniak, et ZEROvia s'en est assurée contractuellement.

5.3 ZEROvia contrôle et améliore les mesures en continu et peut les adapter, à condition que le niveau de protection ne baisse pas.

Article 6 · Sous-traitants ultérieurs

6.1 Le client accorde à ZEROvia l'autorisation générale de faire appel à des sous-traitants ultérieurs. Les sous-traitants ultérieurs engagés sont listés à l'annexe 3, tenue à jour sous zerovia.ch/unterauftragsverarbeiter/.

6.2 ZEROvia informe le client au moins 30 jours avant le recours à un sous-traitant ultérieur ou son remplacement, par e-mail et sur cette page. Le client peut s'y opposer par écrit dans les 30 jours pour un motif important lié à la protection des données (un e-mail suffit). Si l'opposition empêche la poursuite de la prestation, chaque partie peut résilier le Service concerné.

6.3 ZEROvia oblige contractuellement chaque sous-traitant ultérieur à respecter des obligations de protection des données au moins équivalentes et reste responsable envers le client de leur respect.

Article 7 · Droits des personnes concernées

7.1 ZEROvia soutient le client, dans la mesure techniquement possible, pour répondre aux demandes des personnes concernées.

7.2 Si une personne concernée adresse sa demande à ZEROvia, ZEROvia la transmet sans délai au client et n'y répond que sur instruction du client ou si la loi l'y oblige.

Article 8 · Soutien au client

8.1 ZEROvia soutient le client en matière de sécurité des données, de notification des violations de la sécurité des données, d'analyse d'impact relative à la protection des données et de consultation préalable de l'autorité de surveillance, dans la mesure où les informations sont disponibles chez ZEROvia.

Article 9 · Violations de la sécurité des données

9.1 ZEROvia notifie au client toute violation de la sécurité des données touchant les données personnelles du client dans les meilleurs délais, au plus tard dans les 48 heures suivant sa connaissance, et met à disposition les informations dont le client a besoin pour ses propres notifications.

9.2 ZEROvia coopère avec le client et prend les mesures appropriées pour enquêter, contenir et remédier à la violation.

9.3 La notification est adressée à l'adresse de contact enregistrée dans le compte ou au contact protection des données du client ; côté ZEROvia, à privacy@zerovia.ch.

Article 10 · Suppression et restitution

10.1 Au choix du client, ZEROvia supprime les données personnelles du client ou les restitue dès la fin des Services, au plus tard 30 jours après la fin, sauf obligation légale de conservation.

10.2 Avant la fin, le client effectue les exports nécessaires ; ZEROvia l'accompagne dans la mesure techniquement possible.

10.3 Sur demande, ZEROvia confirme la suppression par écrit.

Article 11 · Preuves et audits

11.1 ZEROvia fournit les informations nécessaires pour prouver le respect des obligations.

11.2 Si ces informations ne suffisent pas, ZEROvia permet au client, ou à un auditeur soumis à une obligation de confidentialité, de procéder à des contrôles à des conditions raisonnables et moyennant un préavis adéquat, sans compromettre la sécurité des autres clients. Des frais supplémentaires raisonnables peuvent être facturés.

Article 12 · Transfert à l'étranger

12.1 Les données personnelles du client sont traitées en premier lieu en Suisse (hébergement chez Infomaniak, Genève). Le traitement par IA a lieu dans l'UE dès le 01.12.2026. Entre la Suisse et l'UE, respectivement l'EEE, existe un niveau de protection adéquat reconnu réciproquement ; les transferts correspondants ne nécessitent pas de garanties supplémentaires.

12.2 Les transferts vers des sous-traitants ultérieurs situés dans d'autres États n'ont lieu que moyennant des garanties appropriées, notamment les clauses contractuelles types de la Commission européenne avec les adaptations reconnues par le PFPDT, complétées par une analyse d'impact du transfert et des mesures techniques de protection, ou, pour des destinataires certifiés, sur la base du Swiss-U.S. Data Privacy Framework. L'annexe 3 indique le mécanisme applicable à chaque sous-traitant ultérieur.

Article 13 · Responsabilité

13.1 La responsabilité est régie par le contrat principal. À l'égard des personnes concernées et des autorités de surveillance, la répartition de la responsabilité est celle de l'art. 82 RGPD, respectivement des dispositions de la LPD.

Article 14 · Durée et primauté

14.1 La présente convention s'applique avec le contrat principal, ainsi que pour les effets qui perdurent après l'article 10.

14.2 Pour les questions de sous-traitance, la présente convention prime sur les Conditions d'utilisation et d'abonnement. Pour le reste, l'ordre de priorité suivant s'applique : accord individuel, Conditions d'abonnement, présent AVV, Conditions d'utilisation.

14.3 Les modifications requièrent la forme écrite simple. Si une disposition est nulle, les autres restent valables.

Article 15 · Droit applicable et for

15.1 Seul le droit suisse s'applique.

15.2 Le for est Coire (GR).

La présente convention prend effet électroniquement à la conclusion du contrat principal et est valable sans signature. Pour les grands clients, elle peut en outre être signée.

Annexe 1 · Détails du traitement

Aspect	Description
Objet	Mise à disposition de la plateforme zerovia.app : profil et partage, rapports et climat, CO₂ produit, demandes clients, fournisseurs et campagnes de données, accès partenaire
Nature du traitement	Collecte, saisie, conservation, structuration, lecture par IA, rédaction de textes par IA, affichage, transmission après partage par le client, envoi d'e-mails au nom de l'acheteur, suppression
Finalité	Exclusivement la fourniture des services commandés par le client
Personnes concernées	Utilisateurs et collaborateurs du client ; personnes de contact dans le profil ; personnes de contact des fournisseurs du client, y compris dans les campagnes de données ; personnes mentionnées dans les documents téléversés ou dans les sources web publiques du screening fournisseurs
Données personnelles	Coordonnées et données de base (nom, fonction, e-mail professionnel, téléphone), données de compte et d'utilisation, données de journalisation, contenus des documents téléversés, événements d'envoi et de clic des invitations. Données personnelles sensibles uniquement si le client les apporte ; cela ne devrait pas se produire selon les Conditions d'utilisation
Durée	Durée du contrat principal, augmentée des délais de l'article 10

Annexe 2 · Mesures techniques et organisationnelles

Catégorie	Mise en œuvre
Accès aux locaux	Exploitation dans les centres de données d'Infomaniak en Suisse, avec restriction d'accès et mesures de sécurité physique
Accès aux systèmes	Authentification à deux facteurs par défaut avec codes de récupération ; blocage après des tentatives échouées ; règles de mot de passe ; double authentification obligatoire pour les administrateurs
Accès aux données	Rôles et droits (Owner, Admin, membres ; Category Manager en lecture seule) ; principe du moindre privilège ; accès du support aux données clients uniquement avec motif, délai et journalisation
Séparation	Séparation logique des mandats clients ; partage par client et par section
Chiffrement	Transmission chiffrée (TLS) et chiffrement des données au repos selon l'état de la technique
IA	Aucune utilisation des données clients pour l'entraînement de modèles publics ; fournisseurs d'IA dans l'UE dès le 01.12.2026 ; suggestions avec source, validation par le client
Traçabilité	Journal des modifications (audit-log), journalisation des événements de sécurité et des accès administratifs
Disponibilité	Stockage redondant et sauvegardes régulières chez Infomaniak ; processus de restauration
Incidents	Processus de détection, de notification et de remédiation des violations de la sécurité des données (article 9)
Contrôle	Contrôles internes et tests de sécurité externes ; ISO 27001 en préparation
Contrôle des sous-traitants	Obligation contractuelle des sous-traitants ultérieurs à des obligations équivalentes
Suppression	Processus de suppression et de conservation selon l'article 10
Personnel	Engagement de confidentialité de toutes les personnes ayant un accès

Annexe 3 · Sous-traitants ultérieurs

Les sous-traitants ultérieurs approuvés, avec leur siège, leur finalité et leur mécanisme de transfert, figurent sur la page Sous-traitants ultérieurs, avec historique des modifications.

Représentant dans l'UE (art. 27 RGPD) : iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Wien, Autriche, privacy@zerovia.ch. Autorité de surveillance compétente en Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Berne.