Accord de traitement des données

Les présentes Clauses fixent les droits et les obligations du sous-traitant lorsqu'il traite des données personnelles pour le compte du responsable du traitement.

Les Clauses sont rédigées de manière à garantir le respect de l'art. 9 de la Loi fédérale sur la protection des données (LPD) révisée, en vigueur depuis le 1er septembre 2023, ainsi que des dispositions de l'ordonnance sur la protection des données (OPDo, RS 235.11).

Just Parity ApS a son siège au Danemark : le règlement (UE) 2016/679 (RGPD) s'applique dès lors également au traitement, quel que soit le siège du client. Si le responsable du traitement a son siège dans l'Espace économique européen ou y traite des données de collaborateurs, les Clauses satisfont également à l'art. 28, par. 3, RGPD. Lorsque les deux réglementations s'appliquent, nous suivons la norme la plus stricte.

Dans le cadre de la fourniture de la plateforme de conformité Justparity, le sous-traitant traite des données personnelles pour le compte du responsable du traitement conformément aux présentes Clauses.

Les Clauses priment sur toute disposition analogue figurant dans d'autres accords entre les parties.

Les présentes Clauses sont assorties de quatre annexes, qui en font partie intégrante :

• Annexe A : informations relatives au traitement (finalités, catégories de données, personnes concernées, durée)
• Annexe B : sous-traitants ultérieurs (sous-traitants ultérieurs autorisés et conditions)
• Annexe C : instructions relatives au traitement (mesures de sécurité, lieu, communications à l'étranger, contrôles)
• Annexe D : dispositions convenues entre les parties sur d'autres questions

Il incombe au responsable du traitement de veiller à ce que le traitement des données personnelles soit conforme à la LPD et à l'OPDo ainsi que, lorsqu'il est applicable, au RGPD et aux présentes Clauses.

Le responsable du traitement a le droit et l'obligation de décider des finalités et des moyens du traitement des données personnelles.

Il incombe au responsable du traitement de respecter les principes de l'art. 6 LPD et, lorsque le traitement constitue une atteinte à la personnalité au sens de l'art. 30 LPD, de s'assurer de l'existence d'un motif justificatif au sens de l'art. 31 LPD. En sa qualité d'employeur en Suisse, il répond en outre des limites posées par l'art. 328b CO.

Le responsable du traitement ne confie au sous-traitant que des traitements qu'il serait lui-même en droit d'effectuer et auxquels aucune obligation légale ou contractuelle de garder le secret ne s'oppose (art. 9, al. 1, LPD). Il s'assure en outre que le sous-traitant est en mesure de garantir la sécurité des données (art. 9, al. 2, LPD).

Le devoir d'informer de manière adéquate les personnes concernées de la collecte de données personnelles (art. 19 LPD) incombe au responsable du traitement.

4.1 Le sous-traitant ne traite les données personnelles que sur instruction documentée du responsable du traitement et uniquement de la manière dont celui-ci serait lui-même autorisé à le faire (art. 9, al. 1, let. a, LPD), sauf s'il y est tenu par le droit suisse, danois ou de l'Union européenne auquel il est soumis. Les instructions sont précisées aux annexes A et C. Des instructions ultérieures peuvent être données en cours de traitement, mais elles doivent toujours être documentées et conservées par écrit.

4.2 Le sous-traitant informe sans délai le responsable du traitement s'il estime qu'une instruction viole la LPD, l'OPDo ou, lorsqu'il est applicable, le RGPD. Le sous-traitant n'est pas tenu d'exécuter une instruction dont l'exécution entraînerait une violation du droit applicable.

4.3 L'activation par le responsable du traitement d'une intégration avec un système de paie au moyen de la plateforme Justparity vaut instruction documentée donnée au sous-traitant de recevoir et de traiter les données personnelles transmises par le système concerné. Il incombe au responsable du traitement de s'assurer de la licéité de la transmission.

4.4 Le sous-traitant peut faire valoir les mêmes motifs justificatifs que le responsable du traitement (art. 9, al. 4, LPD).

Le sous-traitant ne donne accès aux données personnelles traitées pour le compte du responsable du traitement qu'aux personnes soumises à son pouvoir d'instruction qui se sont engagées à la confidentialité ou sont soumises à une obligation légale de garder le secret appropriée, et uniquement dans la mesure nécessaire. Aucune obligation légale ou contractuelle de garder le secret ne s'oppose au traitement confié (art. 9, al. 1, let. b, LPD).

La liste des personnes autorisées est vérifiée régulièrement. L'accès est révoqué dès qu'il n'est plus nécessaire. L'obligation de confidentialité subsiste également après la fin des Clauses.

La violation intentionnelle des obligations de garder le secret prévues par la LPD est punie d'une amende pouvant aller jusqu'à 250 000 francs (art. 60 ss LPD).

Compte tenu de l'état de la technique, des coûts de mise en oeuvre, de la nature, de l'étendue, du contexte et des finalités du traitement ainsi que des risques pour la personnalité et les droits fondamentaux des personnes concernées, le sous-traitant prend les mesures techniques et organisationnelles propres à garantir une sécurité des données adaptée à ces risques (art. 7 et 8 LPD et exigences minimales de l'OPDo).

Le traitement portant sur des données salariales, sur le sexe et, le cas échéant, sur des données relatives à l'appartenance syndicale, un niveau de sécurité élevé doit être assuré.

Le sous-traitant met en oeuvre au minimum les mesures suivantes, cf. annexe C :

• Chiffrement : TLS 1.3 pour les données en transit, AES-256 pour les données au repos, connexions à la base de données et sauvegardes chiffrées
• Contrôle d'accès : contrôle d'accès fondé sur les rôles (RBAC) selon le principe du moindre privilège, authentification multifacteur (MFA) pour les accès à privilèges, comptes utilisateurs nominatifs, expiration automatique des sessions
• Cloisonnement des données : Row Level Security (RLS) multi-locataires. Les données de chaque client sont logiquement séparées au moyen de la sécurité au niveau des lignes, de sorte que les données d'un client sont protégées contre tout accès par d'autres clients
• Journalisation et surveillance : tout accès aux données personnelles est journalisé, les activités des administrateurs système font l'objet d'une journalisation distincte, alerte automatique en cas de tentative d'accès non autorisé
• Gestion des vulnérabilités : analyse continue des vulnérabilités, correctifs de sécurité critiques appliqués dans les meilleurs délais et dans les délais fondés sur le risque prévus par la procédure de gestion des incidents. Un test d'intrusion externe est en cours de préparation et est ensuite réalisé au moins tous les deux ans
• Sauvegarde et restauration : sauvegarde automatique quotidienne, chiffrée et conservée dans la même région de l'Union européenne que la base de données. La restauration est possible sur au moins 7 jours en arrière. La restauration à un instant donné (point-in-time recovery) est activée sur la base de production qui contient les données à caractère personnel du responsable du traitement, à compter du chargement de ces données. Aucun objectif formel de RTO ou de RPO n'est fixé
• Gestion des incidents : procédure documentée de traitement des incidents de sécurité, classification selon la gravité, escalade et annonce conformément au ch. 10
• Personnel : tous les collaborateurs ayant accès à des données personnelles ont signé un engagement de confidentialité et suivent une formation périodique à la sécurité

Le sous-traitant s'engage à ne pas abaisser sensiblement le niveau global de sécurité sans en informer préalablement par écrit le responsable du traitement.

7.1 Le sous-traitant ne peut confier le traitement à un tiers qu'avec l'autorisation préalable du responsable du traitement (art. 9, al. 3, LPD). En signant les présentes Clauses, le responsable du traitement autorise préalablement, de manière générale, le recours aux sous-traitants ultérieurs énumérés à l'annexe B. Le sous-traitant garantit qu'un accord écrit est conclu avec chaque sous-traitant ultérieur, lui imposant les mêmes obligations de protection des données que celles prévues par les présentes Clauses.

7.2 Le sous-traitant informe par écrit le responsable du traitement de toute modification prévue concernant l'ajout ou le remplacement de sous-traitants ultérieurs moyennant un préavis d'au moins 30 jours, donnant ainsi au responsable du traitement la possibilité de s'y opposer.

7.3 Le responsable du traitement peut s'opposer, de manière motivée, à un nouveau sous-traitant ultérieur dans les 14 jours suivant la réception de la communication. Le sous-traitant met en oeuvre des efforts raisonnables pour trouver une solution de remplacement. Si les parties ne parviennent pas à un accord, le responsable du traitement peut résilier la partie concernée du contrat de services avec effet à la date prévue pour le recours au nouveau sous-traitant ultérieur.

7.4 Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le sous-traitant demeure pleinement responsable envers le responsable du traitement de l'exécution des obligations du sous-traitant ultérieur. Les droits des personnes concernées demeurent réservés, en particulier les prétentions de droit civil au sens de l'art. 32 LPD en relation avec les art. 28 ss du Code civil et, lorsque le RGPD est applicable, les droits prévus aux art. 79 et 82 RGPD.

Le sous-traitant ne communique des données personnelles à l'étranger que sur instruction documentée du responsable du traitement et toujours dans le respect des art. 16 et 17 LPD.

Les données personnelles sont conservées et traitées dans des centres de données situés dans l'UE et dans l'EEE (principalement Francfort, Allemagne). Les États de l'UE et de l'EEE figurent sur la liste des États disposant d'une protection des données adéquate établie par le Conseil fédéral (annexe 1 OPDo) : aucune garantie supplémentaire n'est donc nécessaire pour ces communications.

Certains sous-traitants ultérieurs sont des entreprises américaines dont les sociétés mères peuvent disposer d'un accès de support depuis l'étranger. Ces communications reposent sur des clauses types de protection des données reconnues par le PFPDT (art. 16, al. 2, let. d, LPD) ou, si le fournisseur est certifié au titre du Swiss-U.S. Data Privacy Framework reconnu par le Conseil fédéral, sur cette reconnaissance.

Si le responsable du traitement est soumis au RGPD, le chapitre V du RGPD s'applique en sus aux communications en dehors de l'EEE.

Les instructions du responsable du traitement relatives à la communication de données personnelles à l'étranger, y compris la base de la communication, figurent à l'annexe C.

9.1 Compte tenu de la nature du traitement, le sous-traitant aide le responsable du traitement, dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes par lesquelles les personnes concernées font valoir les droits que leur reconnaît la LPD. Cette assistance porte notamment sur :

1. le devoir d'informer lors de la collecte de données personnelles (art. 19 LPD)
2. le devoir d'informer lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, ainsi que les exceptions et les restrictions (art. 19 et 20 LPD)
3. le droit d'accès, dans les limites des restrictions prévues par la loi (art. 25 et 26 LPD)
4. le droit à la remise des données ou à leur transmission à un tiers (art. 28 LPD)
5. le droit d'exiger que les données inexactes soient rectifiées (art. 32 LPD)
6. le droit d'exiger que les données personnelles soient effacées ou détruites (art. 32 LPD)
7. le droit d'exiger qu'un traitement déterminé ou une communication déterminée à des tiers soit interdit (art. 30 et 32 LPD)
8. le droit d'exiger que le caractère litigieux des données soit mentionné (art. 32 LPD)
9. le droit d'exiger que la rectification, l'effacement, la destruction ou l'interdiction soient communiqués aux tiers auxquels les données ont été communiquées (art. 32 LPD)
10. les droits liés à une décision individuelle automatisée (art. 21 LPD)

Si le responsable du traitement est soumis au RGPD, l'assistance s'étend aux droits correspondants du chapitre III du RGPD.

9.2 Le sous-traitant aide en outre le responsable du traitement :

1. dans l'annonce au PFPDT des violations de la sécurité des données (art. 24 LPD)
2. dans l'information de la personne concernée, lorsque celle-ci est nécessaire à sa protection ou que le PFPDT l'exige (art. 24 LPD)
3. dans l'analyse d'impact relative à la protection des données personnelles (art. 22 LPD), en mettant à disposition toutes les informations techniques nécessaires sur les activités de traitement de la plateforme, sur les mesures de sécurité et sur les flux de données
4. dans la consultation préalable du PFPDT lorsqu'il ressort de l'analyse d'impact qu'un risque élevé subsiste ; le responsable du traitement privé peut renoncer à cette consultation s'il a consulté son conseiller à la protection des données (art. 10 et 23 LPD)

10.1 Le sous-traitant annonce au responsable du traitement, dans les meilleurs délais, toute violation de la sécurité des données dont il a connaissance (art. 24, al. 3, LPD). À la différence de l'obligation qui incombe au responsable du traitement, cette annonce ne suppose pas un risque élevé et porte donc sur toute violation. L'annonce intervient au plus tard 24 heures après que le sous-traitant en a eu connaissance.

10.1 a Le responsable du traitement annonce au PFPDT, dans les meilleurs délais, les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24, al. 1, LPD). Le droit suisse ne prévoit pas le délai fixe de 72 heures du RGPD ; si le RGPD s'applique en sus, le délai de 72 heures vaut à l'égard de l'autorité de contrôle compétente.

10.2 L'annonce contient les indications suivantes, qui permettent au responsable du traitement de décrire la nature de la violation, ses conséquences et les mesures prises ou envisagées (art. 24, al. 2, LPD) :

• la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées
• les catégories et le nombre approximatif de données personnelles concernées
• les conséquences probables de la violation
• les mesures prises ou envisagées pour y remédier, y compris celles destinées à en atténuer les effets préjudiciables
• les coordonnées de la personne de contact du sous-traitant

11.1 À la fin des prestations relatives au traitement de données personnelles, le sous-traitant efface ou restitue l'ensemble des données personnelles, au choix du responsable du traitement. En cas de restitution, celle-ci intervient dans un format structuré, couramment utilisé et lisible par machine (CSV ou JSON). L'effacement des copies existant dans l'environnement de production intervient au plus tard 30 jours après la fin, sauf si le droit applicable en impose la conservation.

11.1 a Les données personnelles contenues dans les sauvegardes du système ne sont pas effacées individuellement : elles sortent des jeux de sauvegarde à l'expiration de la durée de conservation définie, cf. ch. 6. Jusque-là, les données sont isolées de l'environnement de production et ne sont pas restaurées, sauf si cela est nécessaire au rétablissement après une panne d'exploitation.

11.2 Le sous-traitant confirme par écrit au responsable du traitement que l'effacement a été exécuté, y compris auprès de tous les sous-traitants ultérieurs.

11.3 Les dispositions suivantes imposent au sous-traitant de conserver des données personnelles après la fin : la loi danoise sur la comptabilité (5 ans), la législation fiscale et le droit du travail danois. Ces obligations découlent du droit danois, auquel Just Parity ApS est soumise en tant que société ayant son siège au Danemark. Les données restent conservées conformément aux dispositions de sécurité des présentes Clauses et sont effacées à l'extinction de l'obligation de conservation. Les clients en Suisse restent soumis à leurs propres obligations de conservation selon le droit suisse, en particulier à l'obligation de conserver pendant dix ans les livres de commerce et les pièces comptables (art. 958f CO).

12.1 Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect de l'art. 9 LPD et des présentes Clauses, y compris le registre de ses propres activités de traitement tenu au sens de l'art. 12 LPD, et permet et facilite les contrôles, y compris les inspections, menés par le responsable du traitement ou par un autre auditeur mandaté par celui-ci. Lorsque le RGPD est applicable, l'obligation s'étend à la preuve du respect de l'art. 28 RGPD.

12.2 Le responsable du traitement peut mener un contrôle ordinaire une fois par an, moyennant un préavis d'au moins 30 jours. Le contrôle peut être confié d'un commun accord à un tiers indépendant. Le sous-traitant peut le compléter en mettant à disposition un rapport d'audit indépendant à titre de preuve de la conformité, sans que cela limite le droit du responsable du traitement de procéder à une inspection. Chaque partie supporte ses propres frais du contrôle ordinaire.

12.3 En cas de soupçon fondé de violation, ou après un incident de sécurité, le responsable du traitement peut mener un contrôle extraordinaire moyennant un préavis raisonnable.

12.4 Le sous-traitant collabore avec le PFPDT dans le cadre d'une enquête et lui accorde, sur présentation d'une légitimation appropriée, l'accès à ses locaux et à ses installations dans les limites des pouvoirs d'enquête prévus aux art. 49 ss LPD. Il en va de même à l'égard de toute autre autorité de contrôle à laquelle le droit applicable confère un tel accès.

13.1 La responsabilité globale du sous-traitant au titre des présentes Clauses est limitée au montant des redevances d'abonnement versées par le responsable du traitement au cours des 12 mois précédant l'événement à l'origine de la prétention. Le montant est déterminé dans la monnaie de facturation : pour les clients en Suisse, les redevances sont facturées en francs suisses (CHF). Cette limitation ne s'applique ni aux prétentions fondées sur l'atteinte aux droits des personnes concernées, en particulier aux prétentions de droit civil au sens de l'art. 32 LPD en relation avec les art. 28 ss du Code civil et, lorsque le RGPD est applicable, aux prétentions fondées sur l'art. 82 RGPD, ni aux dommages causés par négligence grave ou intentionnellement.

13.2 Les présentes Clauses sont régies par le droit danois. La plateforme étant vendue exclusivement à des entreprises, il ne s'agit pas d'un contrat conclu avec des consommateurs, pour lequel l'art. 120, al. 2, LDIP exclurait l'élection de droit : le choix est donc valable au sens de l'art. 116 LDIP. Les litiges sont tranchés en première instance par le Tribunal de Frederiksberg, au Danemark ; la prorogation de for est valable au sens de l'art. 23 de la Convention de Lugano du 30 octobre 2007, à laquelle la Suisse et le Danemark sont parties.

13.3 Demeurent réservées les dispositions impératives du droit suisse qui s'appliquent indépendamment de l'élection de droit, en particulier la LPD, qui s'applique aux états de fait qui déploient des effets en Suisse même s'ils se produisent à l'étranger (art. 3, al. 1, LPD). L'élection de droit et de for ne limite pas le droit de dénoncer un cas au PFPDT (art. 49 LPD).

Les Clauses entrent en vigueur avec la conclusion du contrat de services. Chaque partie peut demander que les Clauses soient renégociées si des modifications législatives ou des lacunes le justifient.

Les Clauses s'appliquent aussi longtemps que le sous-traitant traite des données personnelles pour le compte du responsable du traitement. Après la fin, les dispositions relatives à la confidentialité (ch. 5) et à l'effacement (ch. 11) continuent de s'appliquer.

Les personnes de contact des parties pour les questions relatives aux présentes Clauses et pour l'annonce des violations de la sécurité des données sont :