Accord sur le traitement des données des commandes (ADV)

Version : 01.09.2023                                                                                      

Introduction

Le présent accord relatif au traitement des données de commande ("accord") concrétise les obligations des parties en ce qui concerne les prescriptions de la loi suisse sur la protection des données ("LPD") et du règlement général sur la protection des données de l'Union européenne ("RGPD UE"). Elle complète à cet égard les accords contractuels ("Contrat") entre aumico AG, Hardturmstrasse 161, 8005 Zurich, Suisse ("aumico") et le client, dans lesquels aumico agit en tant que prestataire de services vis-à-vis du client, et fait partie intégrante du Contrat.

Le présent accord ne s'applique que dans la mesure où les conditions suivantes sont remplies :

• le client est soit responsable du traitement, soit sous-traitant dans le champ d'application de la LPD et/ou du RGPD de l'UE et
• le client fait appel à aumico dans le cadre du contrat en tant que sous-traitant ou sous-traitant pour le traitement de données personnelles ou de données à caractère personnel qui relèvent du champ d'application de la LPD et/ou du RGPD de l'UE ("données personnelles").

Les parties concluent à cet effet les accords suivants.

1. l'objet, la durée et le type de traitement des données

L'objet, la durée ainsi que la nature et la finalité du traitement sont définis dans le contrat. Les catégories de données personnelles traitées, les catégories de personnes concernées ainsi que les mesures techniques et organisationnelles ("MTO") à prendre sont indiquées soit dans le contrat, soit dans une ou plusieurs annexes au présent accord.

2) Champ d'application et responsabilité

aumico traite les données personnelles exclusivement dans le but d'exécuter le contrat ou aux fins mentionnées dans le contrat. Le client est responsable de la légalité du traitement des données en soi, y compris de la légitimité du traitement des commandes/sous-commandes.

Les instructions du client sont documentées dans le présent accord et dans le contrat. Le client a le droit de donner à tout moment par écrit à aumico des instructions supplémentaires concernant le traitement des données personnelles. aumico se conforme à ces instructions dans la mesure où elles sont réalisables et objectivement acceptables dans le cadre des prestations convenues par contrat par aumico. Si de telles instructions entraînent des coûts supplémentaires pour aumico ou une modification de l'étendue des prestations, de tels coûts supplémentaires et modifications du contrat doivent être convenus par écrit.

aumico informe immédiatement le client si elle estime qu'une instruction est contraire à la LPD ou au RGPD de l'UE. Dans ce cas, aumico peut suspendre l'application de l'instruction en question jusqu'à ce qu'elle soit confirmée ou modifiée par le client. En cas d'instructions du client en rapport avec l'attribution de droits d'accès ou la remise de données personnelles au client lui-même, ce qui précède ne s'applique pas, et aumico peut à tout moment partir du principe que de telles instructions sont conformes à la loi. Elle est toutefois en droit d'exiger du client des confirmations écrites correspondantes.

3. obligations d'aumico

aumico traite les données personnelles exclusivement conformément aux dispositions du contrat et de la présente convention. L'exécution par aumico d'obligations légales, réglementaires ou administratives demeure réservée.

aumico s'engage à tenir un registre des activités de traitement des données personnelles conformément à l'art. 12 al. 1 LPD ou à l'art. 30 al. 2 RGPD. La liste actuelle au moment de la conclusion de cet accord se trouve à l'annexe 1 de cet accord. Aumico met la version actuelle à la disposition du client à sa demande.

aumico adopte les TOM définies à l'annexe 2 de la présente convention pour la protection des données personnelles. aumico peut adapter à tout moment les TOM convenues, tant que le niveau de protection convenu n'est pas inférieur.

aumico s'assure que les collaborateurs et autres auxiliaires d'aumico chargés du traitement des données personnelles relatives aux clients n'ont pas le droit de traiter les données personnelles à d'autres fins que celles mentionnées dans le contrat et en dérogation à cet accord. En outre, aumico s'assure que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité et/ou sont soumises à un devoir de discrétion légal approprié. L'obligation de confidentialité/de secret professionnel subsiste même après la fin du contrat.

aumico informe immédiatement le client si elle a connaissance de violations de la protection des données personnelles chez aumico ou chez l'un de ses sous-traitants (Data Breach). De plus, aumico informe le client sous forme de texte (e-mail suffisant) de manière appropriée sur la nature et l'étendue de la violation ainsi que sur les mesures possibles pour y remédier. Dans un tel cas, les parties prennent les mesures nécessaires pour assurer la protection des données personnelles et pour atténuer les éventuelles conséquences négatives pour les personnes concernées ainsi que pour les parties et se concertent immédiatement à ce sujet.

L'interlocuteur d'aumico pour les questions de protection des données survenant dans le cadre du contrat ainsi que le délégué à la protection des données dans les cas où cela est prescrit conformément à l'art. 37 du RGPD de l'UE sont mentionnés à l'annexe 1 du présent accord.

sur demande et moyennant une rémunération séparée convenue au préalable, aumico s'engage à assister le client, dans la mesure de ses possibilités, dans l'exercice des droits des personnes concernées vis-à-vis du client conformément au chapitre 4 de la LPD ou au chapitre III du RGPD de l'UE. En outre, aumico peut proposer au client, moyennant une rémunération séparée, un soutien plus étendu (par ex. en rapport avec une évaluation de l'impact sur la protection des données, la consultation de l'autorité de surveillance, les notifications à celle-ci, etc.)

Les données personnelles doivent être restituées ou effacées/anonymisées à la fin du contrat conformément aux dispositions contractuelles. aumico utilise les procédures usuelles dans la branche pour l'effacement/l'anonymisation des données personnelles.

4. devoirs et obligations du client

Le client prend de manière autonome des mesures techniques et organisationnelles appropriées pour protéger les données personnelles dans son domaine de responsabilité (par ex. sur ses propres systèmes, applications/environnements sous sa responsabilité d'exploitation).

Le client doit informer immédiatement aumico s'il constate des violations des directives relatives à la protection des données dans la fourniture de prestations par aumico.

Le client indique à aumico l'interlocuteur pour les questions de protection des données survenant dans le cadre du contrat ainsi que, dans les cas où cela est prescrit par l'art. 37 du RGPD de l'UE, le délégué à la protection des données.

5. demandes des personnes concernées

Si une personne concernée s'adresse directement à aumico avec une demande d'information, une demande de rectification ou de suppression ou d'autres demandes/droits concernant des données personnelles, aumico renverra la personne concernée au client, dans la mesure où une attribution au client est possible selon les indications de la personne concernée. L'assistance du client par aumico en cas de demandes de personnes concernées est régie par le point 3.

6) Preuves, rapports et audits

aumico est tenu de fournir au client, sur demande, des informations permettant de documenter le respect des obligations prévues par le présent accord.

Les parties précisent que le respect de cette obligation est en principe attesté par le fait qu'aumico est certifié selon la norme ISO 27001 (dès que cette certification est disponible) ou qu'aumico met à disposition du client des rapports de contrôle ou d'audit établis par des tiers indépendants dans certains domaines ou des confirmations de certifications spécialement mentionnées dans le contrat, etc. Les droits de contrôle du client ou de ses autorités de surveillance prescrits par la loi demeurent réservés. Dans tous les cas, le principe de proportionnalité doit être respecté dans le cadre de tels audits et les intérêts dignes de protection d'aumico (notamment en matière de confidentialité) doivent être pris en compte de manière appropriée. Sous réserve d'une réglementation différente, le client prend en charge tous les coûts de tels audits (y compris les coûts internes raisonnables et prouvés d'aumico, occasionnés par la participation à l'audit).

Si, après la présentation de preuves ou de rapports ou dans le cadre d'un audit, des violations de cette convention ou des manquements dans la mise en œuvre des obligations d'aumico sont constatés, aumico doit mettre en œuvre immédiatement et gratuitement des mesures correctives appropriées.

7. recours à des sous-traitants

aumico est autorisé à faire appel à des sous-traitants. La liste actuelle des sous-traitants au moment de la conclusion de cet accord se trouve à l'annexe 3 de cet accord. Aumico doit informer le client au préalable sous forme de texte (e-mail suffisant) si elle fait appel à de nouveaux sous-traitants ou si elle remplace des sous-traitants existants après l'entrée en vigueur de la présente convention. Le client peut s'opposer par écrit, dans un délai de 30 jours, au recours à un nouveau sous-traitant ou au remplacement d'un sous-traitant existant pour des raisons importantes liées à la protection des données. En présence d'un motif important relevant de la protection des données et dans la mesure où une solution à l'amiable entre les parties n'est pas possible, le client dispose d'un droit de résiliation en ce qui concerne la prestation concernée par ce motif.

aumico conclura des accords avec ses sous-traitants dans la mesure nécessaire pour assurer les obligations selon le présent accord.

8. communication à l'étranger

Toute communication de données personnelles par aumico à un pays tiers ou à une organisation internationale n'est autorisée que si aumico respecte les dispositions des art. 16 et suivants du RGPD. LPD ou du chapitre V du RGPD de l'UE. En revanche, si une telle communication de données personnelles est souhaitée par le client ou effectuée sur son ordre, le respect des dispositions correspondantes incombe exclusivement au client.

9. autres dispositions

La présente convention entre en vigueur avec effet rétroactif au 01.09.2023 et est conclue pour la durée du contrat, sauf si des obligations de plus longue durée découlent des dispositions de la présente convention.

L'accord est conclu par son acceptation dans le cadre de la commande de prestations via le site web d'aumico ou dans le cadre de l'ouverture de session sur la plateforme d'aumico par un utilisateur du client. aumico peut, indépendamment des règlements internes ou des autorisations, accepter des conditions générales de vente. du client et des inscriptions au registre du commerce et sans autre vérification de l'autorisation, qu'un utilisateur du client qui se présente face à aumico (par ex. en passant une commande ou en s'inscrivant sur la plateforme aumico) est autorisé à agir pour le client (procuration apparente), ce qui implique également l'acceptation et la conclusion de cet accord.

En dérogation à d'éventuelles réserves de forme écrite dans le contrat, le présent accord peut également être modifié par voie électronique entre les parties.

Les obligations découlant du présent accord s'ajoutent aux obligations définies dans le contrat et ne limitent pas ces dernières. Pour le reste, les dispositions du contrat restent applicables sans modification.

Annexe 1 - Liste des activités de traitement

Version : 01.09.2023

La présente annexe 1 décrit les traitements de données effectués par aumico en vertu de l'accord sur le traitement des données de commande (ABV) dans le cadre du contrat.

1. informations sur aumico

1.1 Coordonnées d'aumico (destinataire compétent des instructions) :

aumico AG, Hardturmstrasse 161, 8005 Zurich, Suisse

Courrier électronique : hello@aumico.ch

1.2 Coordonnées du responsable de la protection des données/conseiller en protection des données d'aumico :

aumico AG, Chris Zurbrügg, Hardturmstrasse 161, 8005 Zurich, Suisse

Courrier électronique : privacy@aumico.ch

1.3 Coordonnées du représentant de la protection des données d'aumico dans l'Union européenne, qui peut être contacté par les autorités de contrôle et les personnes concernées pour toute question relative à la législation européenne sur la protection des données :

VGS Datenschutzpartner UG
Am Kaiserkai 69
20457 Hambourg
Allemagne

Courrier électronique : info@datenschutzpartner.eu

2. traitement des données

2.1 Généralités

Dans le cadre du contrat, le client confie à aumico, à sa propre discrétion et sur son ordre, des données personnelles et/ou des données liées au secret pour traitement.

2.2 But du traitement

Les données personnelles confiées à aumico par le client et qui en résultent sont traitées exclusivement dans le but d'exécuter le contrat et les activités qui s'y rapportent (dont le suivi de la relation client, la facturation, l'archivage).

2.3 Durée du traitement

Les données personnelles sont effacées ou rendues anonymes dans un délai de 120 jours après la fin du contrat, pour autant qu'aucune obligation légale de conservation plus longue ou aucun intérêt légitime ne s'oppose à l'effacement/l'anonymisation.

2.4 Personnes concernées

aumico traite les données personnelles des collaborateurs internes ou externes du client et des collaborateurs internes ou externes des clients finaux du client.

2.5 Catégories de données personnelles

aumico traite les catégories suivantes de données personnelles :

• les données de contact et d'identification ainsi que les données organisationnelles (de travail) telles que le prénom, le nom, l'adresse professionnelle et/ou privée, l'adresse électronique professionnelle et/ou privée, le numéro de téléphone professionnel et/ou privé, le pays, l'entreprise, le secteur, le service, la fonction, la compétence, le droit de signature et le numéro de client
• Données personnelles telles que la langue ;
• les informations relatives au compte d'utilisateur, telles que le nom d'utilisateur et le mot de passe ;
• les données contractuelles et financières telles que le type de contrat, le contenu du contrat, le type de prestations, les conditions commerciales applicables, le début du contrat, la durée du contrat, les droits à rémunération, les données de facturation et de paiement ainsi que les données financières contenues dans les comptes annuels établis via la plateforme aumico
• les données d'interaction et d'utilisation, telles que la correspondance, les préférences des clients, le type et l'étendue de l'utilisation des services, les informations relatives au service à la clientèle, telles que les réclamations et les données résultant de l'exercice de droits, ainsi que le feed-back ;
• Informations relatives à l'utilisation des services en ligne, telles que la fréquence des visites, la date, l'heure et la durée des visites, les pages visitées, les termes de recherche, les clics sur les contenus, la page Internet d'origine ; les indications dans les formulaires, les profils de médias sociaux ; les évaluations et commentaires donnés, l'adresse IP ; les informations sur les terminaux utilisés (type de terminal, ID du terminal, fabricant, système d'exploitation, langue, paramètres du terminal, adresse MAC, etc.), les informations sur les cookies et les paramètres du navigateur.

2.6 Obligations de confidentialité prévues par des lois spéciales

en tant qu'auxiliaire du client, aumico traite des données personnelles soumises au secret professionnel (p. ex. fiduciaires, experts fiscaux) ou, le cas échéant, à d'autres obligations de confidentialité prévues par des lois spéciales.

3. lieu du traitement des données

3.1 Lieu de traitement des données personnelles

Les données personnelles sont principalement traitées en Suisse et dans l'UE/EEE. Tous les pays, y compris ceux situés en dehors de l'UE/EEE, sont énumérés à l'annexe 3 (sous-traitants).

3.2 Garanties en cas de traitement en dehors de l'UE/EEE

aumico garantit une protection adéquate des données personnelles lors du traitement en dehors de l'UE/EEE en concluant des accords de traitement des données de commande avec les sous-traitants concernés, dans lesquels ces sous-traitants sont tenus de prendre des mesures techniques et organisationnelles suffisantes pour protéger les données personnelles traitées ou pour garantir une sécurité des données adaptée au risque et qui contiennent les clauses contractuelles standard de l'UE (SCC).

3.3 Divulgation des données personnelles aux sous-traitants

Les tiers mentionnés à l'annexe 3 (sous-traitants) ont accès à des données personnelles et les traitent en tant que sous-traitants, ou des données personnelles sont portées à la connaissance de ces tiers.

4. notification des violations de la protection des données

aumico informera immédiatement le client si aumico prend connaissance d'une violation de la protection des données personnelles entraînant ou risquant d'entraîner une destruction accidentelle ou illégale, une perte, une modification, une transmission non autorisée ou un accès non autorisé aux données personnelles. La notification se fait par e-mail aux interlocuteurs connus du client.

Annexe 2 - Mesures techniques et organisationnelles (TOM)

Version : 01.09.2023

La présente annexe 2 décrit les mesures techniques et organisationnelles prises par aumico en vertu de l'accord sur le traitement des données de commande (ADV) dans le cadre du contrat pour protéger les données personnelles traitées ou pour garantir une sécurité des données adaptée au risque (art. 8 LPD et art. 3 RGPD ainsi que art. 32, al. 1, RGPD UE).

Cette annexe 2 se limite à la description des mesures techniques et organisationnelles qu'aumico a prises elle-même. Aumico a obligé contractuellement ses sous-traitants (dont l'exploitant des serveurs sur lesquels la plateforme aumico est hébergée et le prestataire de services responsable de l'exploitation et du développement de la plateforme aumico) à prendre des mesures techniques et organisationnelles appropriées. La description de ces mesures techniques et organisationnelles se trouve dans la documentation correspondante des sous-traitants. Sur demande, aumico fournit des informations détaillées à ce sujet.

1. contrôle d'accès

les mesures propres à empêcher les personnes non autorisées d'accéder aux installations dans lesquelles des données personnelles sont traitées (installations de traitement).

aumico s'en assure par les mesures suivantes :

2. contrôle d'accès

Mesures propres à empêcher l'utilisation de systèmes de traitement des données (par ex. ordinateurs) par des personnes non autorisées.

aumico s'en assure par les mesures suivantes :

3. contrôle d'accès

Mesures propres à limiter l'accès des personnes autorisées à utiliser un système de traitement des données exclusivement aux données personnelles soumises à leur autorisation d'accès et à empêcher la lecture, la copie, la modification ou la suppression de données personnelles par des personnes non autorisées (y compris une introduction non autorisée dans la mémoire ainsi qu'une prise de connaissance, une consultation, une modification ou un effacement non autorisés de données personnelles enregistrées) :

aumico s'en assure par les mesures suivantes :

4. contrôle de la transmission et du transfert

les mesures propres à empêcher la lecture, la copie, la modification ou la suppression non autorisées de données personnelles lors de leur transmission électronique ou pendant leur transport (y compris au moyen de supports de données), ainsi que les mesures permettant de vérifier et de déterminer à quels services une transmission de données personnelles à l'aide d'installations de transmission de données est prévue ou a lieu.

aumico s'en assure par les mesures suivantes :

5. contrôle de la saisie

les mesures appropriées pour permettre de vérifier et de constater si des données personnelles ont été introduites, modifiées ou supprimées dans des systèmes de traitement des données, par qui et à quel moment.

aumico s'en assure par les mesures suivantes :

6. contrôle de la commande

Mesures propres à garantir que le traitement des données personnelles par les sous-traitants ne s'effectue que conformément aux instructions du client.

aumico s'en assure par les mesures suivantes :

7. contrôle des disponibilités

Mesures appropriées pour protéger les données personnelles contre une destruction ou une perte accidentelle ou intentionnelle.

Les mesures visant à garantir le contrôle de la disponibilité sont prises exclusivement par les sous-traitants concernés.

8. séparabilité

les mesures propres à garantir le traitement séparé des données personnelles collectées à des fins différentes.

aumico s'en assure par les mesures suivantes :

9) Examen, appréciation et évaluation

Mise en place de procédures pour vérifier, apprécier et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles prises pour assurer la sécurité du traitement.

aumico s'en assure par les mesures suivantes :

Gestion de la protection des données :

Gestion des réponses aux incidents :

Préférences favorables à la protection des données (Privacy by Design / Privacy by Default) :

Annexe 3 - Sous-traitants

Version : 01.09.2023

La présente annexe 3 énumère les sous-traitants auxquels aumico fait appel. Le recours à de nouveaux sous-traitants ainsi que le remplacement de sous-traitants existants sont régis par les dispositions de l'accord sur le traitement des données relatives aux mandats (ADV).