Accord de traitement des données (ATD) d'EduTime

EduTime GmbH, Bienenstrasse 8, 3018 Berne (IDE CHE-304.645.019) (ci-après le « Prestataire » ou « Sous-traitant ») fournit au client (ci-après le « Mandant » ou « Responsable du traitement ») des services SaaS relatifs à un logiciel SaaS.

Le présent accord de traitement des données et ses annexes (l'« ATD ») sont intégrés aux conditions générales conclues entre le Prestataire et le Mandant et en font partie. Le présent ATD reflète l'accord des parties concernant le traitement des données personnelles par le Prestataire en qualité de sous-traitant pour le compte du Mandant.

Les parties ont conclu une ou plusieurs conventions (le « Contrat » ou les « Contrats ») aux termes desquelles le Prestataire intervient en qualité de prestataire de services auprès du Mandant ou de ses clients. La fourniture des services selon le Contrat par le Prestataire peut constituer un traitement de données personnelles (ci-après uniformément « données personnelles ») au sens du droit applicable en matière de protection des données. Lorsque le Prestataire traite des données personnelles du Mandant ou de ses clients en qualité de sous-traitant ou de sous-traitant ultérieur dans le cadre de la collaboration (toute opération sur des données personnelles), le présent accord de traitement des données (l'« ATD » ou l'« Accord ») complète le Contrat et précise les obligations des parties en matière de protection des données. Le droit applicable en matière de protection des données désigne la loi fédérale suisse sur la protection des données et le règlement général sur la protection des données (RGPD) de l'UE, dans la mesure où il est applicable (« droit applicable en matière de protection des données »).

L'objet du mandat ainsi que la nature et la finalité du traitement résultent du Contrat, les dispositions du présent ATD complétant celles du Contrat. Le présent Accord constitue une partie intégrante du Contrat. Il entre en vigueur dès son incorporation au Contrat, comme indique dans le Contrat, un bon de commande, les conditions générales ou un avenant signé au Contrat.

La durée du présent Accord correspond à celle du Contrat (ou, en cas de plusieurs Contrats, du dernier Contrat actif) entre le Mandant et le Prestataire en vertu duquel le Prestataire traite des données personnelles pour le Mandant, sauf obligations plus longues prévues au présent Accord. L'ATD prend également fin automatiquement dès que le Prestataire ne détient plus ni ne traite de données personnelles pour le Mandant selon le Contrat, ou à la résiliation du (dernier) Contrat actif.

La possibilité de résiliation pour juste motif sans préavis reste réservée. Constituent notamment un juste motif des manquements répétés ou graves d'une partie aux dispositions du Contrat, du présent ATD ou du droit applicable. Le droit de résiliation spéciale selon la section 9 autorise également une résiliation sans préavis. La résiliation sans préavis du présent Accord autorise également la résiliation sans préavis du Contrat.

Si la nature des données personnelles traitées, la nature et la finalité du traitement ainsi que les catégories de personnes concernées ne figurent pas déjà dans le Contrat respectif, elles sont énumérées à l'annexe 1 du présent Accord.

Le Prestataire traite les données personnelles exclusivement à des fins déterminées conformément au Contrat respectif, au présent ATD ou aux instructions documentées du Mandant.

Les instructions sont en principe données sous forme textuelle (écrit, fax, e-mail ou format électronique documenté). Les instructions orales doivent être confirmées sans délai sous forme textuelle ou électronique documentée. Le Mandant documente toutes les instructions sous forme textuelle.

Le Prestataire informe le Mandant sans délai s'il estime qu'une instruction viole le droit applicable. Il peut suspendre l'exécution de l'instruction jusqu'à confirmation ou modification par le Mandant.

Les notifications aux autorités ou aux personnes concernées concernant des violations ne peuvent être effectuées par le Prestataire qu'après instruction préalable du Mandant. Les obligations impératives du droit applicable (p.ex. ordres d'autorités compétentes) restent réservées; le Mandant en est informé dans les délais, dans la mesure permise par la loi.

Le Prestataire met en oeuvre des mesures techniques et organisationnelles (MTO) appropriées selon l'annexe 2 pour organiser, vérifier et adapter en permanence son organisation interne dans son domaine de responsabilité afin de garantir un niveau adéquat de protection des données conforme au droit applicable et de protéger les données personnelles contre la destruction, la perte, la modification ou la divulgation accidentelles ou illégales, etc. Il tient compte de l'état de la technique, des coûts, de la nature, de l'étendue, des circonstances et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes concernées.

Les mesures évoluent avec le progrès technique. Des mesures alternatives ou supplémentaires peuvent être mises en oeuvre si le niveau de protection des mesures définies n'est pas diminué.

Le Prestataire s'engage à traiter de manière confidentielle les données personnelles reçues en vertu du Contrat ou du présent ATD et à n'y donner accès qu'aux personnes qui en ont besoin pour remplir leurs obligations envers le Prestataire. Il veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité, sauf obligation légale de secret. Les collaborateurs et autres personnes agissant pour le Prestataire ne peuvent pas traiter ces données en dehors du Contrat et du présent ATD. L'obligation de confidentialité subsiste cinq ans après la fin du présent ATD.

Si une personne concernée s'adresse directement au Prestataire pour rectification, effacement, accès ou autres droits relatifs aux données personnelles, le Prestataire la renvoie sans délai au Mandant lorsque l'attribution au Mandant est possible selon les informations fournies.

Le Prestataire assiste le Mandant, compte tenu de la nature du traitement, par des mesures techniques et organisationnelles appropriées pour répondre aux demandes des personnes concernées exerçant leurs droits selon le droit applicable.

Le Prestataire informe le Mandant sans délai si :

• une violation de données est constatée ou suspectée par le Prestataire ou un sous-traitant. Les informations requises par le droit applicable (notamment nature, étendue et gravité) doivent être fournies pour permettre au Mandant de satisfaire à ses obligations de notification;
• des données personnelles doivent être communiquées à une autorité compétente;
• une demande, convocation ou requête d'inspection par une autorité compétente est reçue, sauf si la notification au Mandant est interdite par la loi.

En cas de violation chez le Prestataire ou un sous-traitant, le Prestataire prend à ses frais les mesures raisonnablement attendues pour en déterminer la cause et protéger les données et atténuer les conséquences pour les personnes concernées.

Les obligations d'assistance du Prestataire envers le Mandant selon la section 7 sont gratuites. Des prestations supplémentaires peuvent faire l'objet d'un accord de rémunération entre les parties.

Sur première instruction du Mandant, le Prestataire restitue sans délai toutes les données, supports et autres matériels. Il ne conserve les données que le temps nécessaire à l'exécution de ses obligations selon le Contrat, sauf obligation légale de conservation.

À la fin du Contrat, les données personnelles reçues doivent être restituées ou supprimées selon le Contrat; à défaut, au choix du Mandant, restitution et suppression des copies, ou suppression, sauf obligation légale de conservation. Jusqu'à la suppression ou la restitution, le Prestataire assure le respect du présent ATD.

Aux fins du présent Accord, « sous-traitant ultérieur » désigne tout prestataire mandaté par le Prestataire (ou par un autre sous-traitant du Prestataire) dans le cadre du présent ATD pour traiter des données personnelles.

Le Prestataire reçoit par les présentes une autorisation générale préalable écrite de recourir à des sous-traitants. S'ils ne figurent pas déjà au Contrat, ils sont listés à l'annexe 3. La liste doit être tenue à jour.

L'ajout ou le remplacement de sous-traitants relève du Prestataire. Le Mandant est informé à l'avance avec un délai raisonnable des modifications prévues. Si le Mandant dispose d'un motif objectivement impérieux selon le droit applicable, il peut s'opposer dans les vingt jours suivant la notification. À défaut d'opposition, le nouveau sous-traitant est réputé approuvé. En cas de motif impérieux et d'absence de solution amiable, le Mandant dispose d'un droit de résiliation spéciale (sans préavis).

Le Prestataire conclut les accords nécessaires pour que les sous-traitants soient soumis aux mêmes obligations que le Prestataire selon le présent ATD et le Contrat. Sur demande, il fournit des informations sur le contenu contractuel essentiel et la mise en oeuvre des obligations par le sous-traitant.

Si un sous-traitant ne respecte pas ses obligations, le Prestataire est responsable envers le Mandant des manquements du sous-traitant selon le présent ATD.

Chaque partie est responsable de ses obligations de documentation, notamment la tenue du registre des activités de traitement lorsque le droit applicable l'exige. Chaque partie assiste l'autre de manière appropriée, y compris en fournissant les informations demandées sous une forme raisonnable (p.ex. système électronique), afin que l'autre partie puisse satisfaire à ses obligations de registre.

Si le Mandant est tenu selon le droit applicable de réaliser une analyse d'impact ou une consultation préalable d'une autorité de contrôle, le Prestataire met gratuitement à disposition, sur demande, les documents généralement disponibles pour les services du Contrat (p.ex. le présent ATD, le Contrat, rapports d'audit ou certifications). Toute assistance supplémentaire est convenue entre les parties.

Le Prestataire prouve au Mandant le respect des obligations du présent ATD par des moyens appropriés (p.ex. certificats).

Le Mandant a le droit de vérifier le respect des obligations légales ou contractuelles concernant le traitement des données personnelles lui-même ou par des auditeurs mandatés, soumis à une stricte confidentialité et n'étant pas en concurrence directe avec le Prestataire, par inspections ou audits, lorsque :

• le Prestataire ne fournit pas de preuve suffisante (certificats, rapports d'audit) du respect des MTO protégeant les systèmes et processus utilisés;
• une violation de la protection des données personnelles s'est produite;
• un audit est officiellement exigé par une autorité de contrôle du Mandant; ou
• le Mandant dispose d'un droit d'audit direct selon le droit applicable impératif.

Le Prestataire coopère de manière appropriée. Les parties conviennent à l'avance du moment, de la durée et de l'objet des audits ainsi que des règles de sécurité et de confidentialité, sauf si un audit sans préavis est nécessaire pour ne pas compromettre son objet. L'audit ne doit pas perturber excessivement les opérations du Prestataire. Les audits du Mandant sont en principe limités à trois jours ouvrables par an.

Chaque partie supporte ses propres frais. Pour un effort dépassant trois jours ouvrables, le Prestataire peut exiger une rémunération pour l'assistance à un audit mandaté par le Mandant.

En cas de manquements matériels constatés après présentation de preuves ou dans le cadre d'un audit, le Prestataire met en oeuvre sans délai et gratuitement des mesures correctives appropriées.

Le traitement a lieu exclusivement en Suisse, dans un État membre de l'UE, dans un autre État contractant de l'EEE ou dans un pays disposant d'un niveau de protection adéquat selon une décision de la Commission européenne ou du PFPDT. Le traitement en dehors de cette zone n'est permis qu'après information du Mandant et conformément au droit applicable. En cas de communication vers un État sans protection adéquate, le Prestataire s'engage notamment à conclure des accords complémentaires basés sur les clauses contractuelles types actuelles de l'UE (adaptées à la Suisse si nécessaire) et à prendre des mesures juridiques, techniques ou organisationnelles supplémentaires.

Le Prestataire peut transmettre des données personnelles aux États-Unis pour l'exécution du Contrat. Si le destinataire est certifié selon le Swiss-U.S. Data Privacy Framework, le transfert s'effectue sur la base de l'annexe 1 de l'ordonnance sur la protection des données (OPDo). À défaut, le Prestataire conclut avec le destinataire les clauses contractuelles types adoptées par la Commission européenne et reconnues par le PFPDT, avec les adaptations nécessaires pour la Suisse, et prend, dans la mesure nécessaire, des mesures de protection supplémentaires. La garantie utilisée dans le cas d'espèce est indiquée à l'annexe 3 ou communiquée au Mandant sur demande.

Le Prestataire est responsable des fautes de ses sous-traitants comme de ses propres actes. L'étendue de la responsabilité des parties selon le présent ATD est régie par les dispositions et limitations de responsabilité du Contrat ou, en cas de plusieurs Contrats, du Contrat concerné. Les autres recours légaux restent réservés.

Contenu de l accord. Le présent ATD et ses annexes régissent exclusivement les relations des parties concernant le traitement des données personnelles et remplacent les négociations et correspondances antérieures. En cas de contradiction entre le Contrat et le présent ATD, le présent ATD prévaut lorsque le traitement des données par le Prestataire dans le cadre du Contrat concerné est en jeu. En cas de contradiction, une annexe prévaut; en cas de plusieurs annexes contradictoires, les dispositions des annexes les plus récentes prévaut sur les conditions plus anciennes.

Les termes de protection des données tels que « données personnelles », « traiter », « responsable du traitement », « sous-traitant », « analyse d impact », etc. ont le sens qui leur est attribué par la loi suisse ou, selon le contexte, le RGPD. « Traiter » est utilisé comme synonyme de « traiter » au sens suisse. « Violation de données » désigne une « violation de la sécurité des données à caractère personnel ».

Modifications. Le Prestataire se réserve le droit de modifier ou compléter l'ATD. En cas de modifications pouvant nuire au Mandant, le Prestataire l'informe par écrit, e-mail ou portail client. Le nouvel ATD devient partie du Contrat sauf opposition du Mandant dans les 14 jours suivant la prise de connaissance.

Notifications. Sauf disposition contraire, les notifications pour exercer droits et obligations doivent être faites par écrit, courrier ou e-mail aux adresses indiquées au Contrat.

Divisibilité. Si une disposition est nulle ou inapplicable, la validité du reste n'est pas affectée. Les parties adapteront l'Accord pour atteindre autant que possible l'objet de la disposition invalide.

Règlement des différends. Les parties s'engagent à rechercher de bonne foi un règlement amiable en cas de désaccord.

Droit applicable et for. En l'absence d'accord amiable, le litige est régi selon les dispositions du Contrat respectif (droit applicable et for).

Les annexes suivantes font partie intégrante de l'Accord :

• Annexe 1 : Dispositions d'exécution
• Annexe 2 : Mesures techniques et organisationnelles
• Annexe 3 : Liste des sous-traitants

Version 1.1 du 3 novembre 2026

Liste des parties

Exportateur de données
Nom : Le Mandant selon le Contrat
Adresse : L'adresse du Mandant selon le Contrat
Nom, fonction et coordonnées du contact : Coordonnées du Mandant selon le Contrat et/ou le profil client
Activités pertinentes : Traitement de données personnelles lié à l'utilisation du service SaaS par le Mandant selon les conditions contractuelles
Rôle : Responsable du traitement (en qualité de responsable, sous-traitant ou pour le compte d'un autre responsable)

Importateur de données
Nom : Le Prestataire selon le Contrat
Adresse : L'adresse du Prestataire selon le Contrat
Coordonnées du contact : Selon le Contrat ou la politique de confidentialité du Prestataire
Activités pertinentes : Traitement de données personnelles lié à l'utilisation du service SaaS
Rôle : Sous-traitant

Description du transfert

Catégories de personnes concernées
Lors de l'utilisation du service SaaS, le Mandant peut transférer des données personnelles dont il détermine l'étendue. Les données peuvent concerner notamment : contacts du Mandant et autres utilisateurs finaux, employés, contractants, personnel et clients du Mandant.

Catégories de données personnelles transférées
Le Mandant peut transférer des coordonnées (selon le Contrat) et toute autre donnée personnelle transmise via le service SaaS (notamment données de suivi du temps).

Transfert de catégories particulières de données
En principe, aucune catégorie particulière n'est transférée. Si le Mandant le souhaite néanmoins, un accord séparé doit être conclu avec restrictions et mesures de protection convenues.

Fréquence du transfert
En continu

Nature du traitement
Stockage et autres traitements nécessaires à la fourniture, maintenance et amélioration du service SaaS; et/ou divulgation selon le Contrat (y compris le présent ATD) et/ou la loi applicable.

Finalité du transfert et traitements ultérieurs
Le Prestataire traite les données dans la mesure nécessaire à la fourniture du service SaaS selon le Contrat et les instructions du Mandant.

Durée de conservation
Sous réserve de la section 8 de l'ATD, le Prestataire traite les données pendant la durée de l'Accord sauf accord écrit contraire.

Version 1.1 du 3 novembre 2026

Description des mesures techniques et organisationnelles du Prestataire en lien avec le traitement des données personnelles et l'exécution de ses obligations, art. 8 LPD en lien avec art. 2 ss. OPDo et, le cas échéant, art. 32 RGPD :

Confidentialité: Mesures incluant contrôle d'accès, d'utilisation et d'utilisateurs.

Contrôle d'accès (physique): Les installations de traitement ne sont pas accessibles aux personnes non autorisées. Présence enregistrée dans les zones sécurisées. Personnes non autorisées accompagnées.

Contrôle utilisateur (accès numérique): Les systèmes ne peuvent être utilisés par des personnes non autorisées.

Contrôle d'utilisation: Chiffrement et autres mesures garantissent l'accès autorisé uniquement aux données pertinentes.

Contrôle de séparation: Données collectées à des fins différentes traitées séparément.

Pseudonymisation: Fichiers de correspondance stockés séparément, chiffrés, accès limité. Anonymisation/pseudonymisation lorsque possible.

Disponibilité et intégrité: Mesures de disponibilité et d'intégrité contre interruptions et traitements illégaux.

Contrôle du transport: Protection lors des transmissions électroniques et sur supports.

Reprise: Restauration rapide après incident physique ou technique.

Contrôle de disponibilité: Protection contre destruction ou perte accidentelle.

Sécurité des systèmes: Mises à jour régulières et correction rapide des vulnérabilités.

Traçabilité: Traitement traçable, accès non autorises identifiables.

Contrôle des saisies: Journalisation via fichiers logs automatiques.

Détection et remédiation des violations: Détection rapide et mesures correctives.

Procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures

Mesures de protection des données: Politiques accessibles, formations, AIPD au besoin, processus pour demandes d'accès.

Gestion des incidents: Incidents journalisés et signalés; information immédiate des supérieurs.

Privacy by design / by default: Collecte limitée aux données nécessaires.

Contrôle des sous-traitants: Pas de traitement sans instruction; sélection et suivi rigoureux.

Utilisation de systèmes d'assistance par IA: Les systèmes d'assistance par IA ne sont utilisés que dans le cadre d'un contrat commercial avec accord de traitement des données. L'utilisation des données clients pour l'entraînement de modèles d'IA est exclue contractuellement et techniquement. L'accès s'effectue via des comptes personnels protégés selon le principe du moindre privilège et uniquement dans la mesure nécessaire à la mission de support ou d'exploitation concernée. Les actions ayant un effet externe, notamment l'envoi de communications, nécessitent l'approbation préalable d'une personne autorisée.

Adaptations: Modifications possibles sans diminuer le niveau de protection convenu.

Version 1.1 du 3 novembre 2026

Pour l'exécution du ou des Contrat(s), le Prestataire peut, selon la section 9 de l'ATD, recourir aux sous-traitants désignés ci-dessous pour les prestations indiquées :