Mise à jour : 18 août 2026

1er objet

Le présent contrat régit les droits et obligations du donneur d'ordre et du prestataire Netstream (ci-après dénommés conjointement les « parties ») dans le cadre du traitement de données à caractère personnel pour le compte du donneur d'ordre (ci-après dénommé le « traitement pour le compte du donneur d'ordre »).

Le présent contrat s'applique à toutes les activités dans le cadre desquelles le prestataire traite ou fait traiter, en tout ou en partie, des données à caractère personnel pour le compte du donneur d'ordre.

Les termes utilisés dans le présent contrat s'inspirent de la législation suisse sur la protection des données. Les termes « données à caractère personnel », « traitement » et « sous-traitant » correspondent aux termes « données à caractère personnel », « traitement » et « sous-traitant » du Règlement général sur la protection des données (RGPD).

Le prestataire est soumis à la législation suisse en matière de protection des données, en particulier à la loi fédérale sur la protection des données (LPD). Par le présent contrat, le prestataire garantit le respect des exigences applicables en matière de protection des données pour le traitement des données pour le compte d'autrui, notamment conformément à l'article 9 de la LPD ainsi que, le cas échéant, à l'article 28 du RGPD.

Par décision du 26 juillet 2000, la Commission européenne a constaté que la législation suisse en matière de protection des données garantissait un niveau de protection adéquat des données à caractère personnel. Cette constatation vaut décision d'adéquation au sens de l'article 45, paragraphe 1, du RGPD.

2. Rôles des parties

Le prestataire traite des données à caractère personnel pour le compte du donneur d'ordre, dans la mesure où cela est nécessaire à la fourniture des prestations convenues contractuellement. Le donneur d'ordre est le responsable du traitement au sens de la LPD.

Dans la mesure où le présent contrat prévoit un traitement de données à des fins propres au prestataire, ce dernier agit en tant que responsable du traitement pour ce traitement. L'étendue et les finalités de ce traitement sont définies de manière exhaustive au point 4.4.

3. Nature, objet et finalité du traitement des commandes

Le traitement des commandes s'effectue conformément aux accords contractuels existants ou à conclure entre les parties. En cas de contradiction, l'ordre de priorité des éléments du contrat est celui défini dans les conditions générales de vente de Netstream .

Le traitement des données à caractère personnel englobe toute opération portant sur ces données, quels que soient les moyens et les procédures utilisés, notamment l'archivage, la conservation, la communication, la collecte, la suppression, le stockage, la modification, la destruction et l'utilisation des données à caractère personnel. Les données à caractère personnel désignent toutes les informations se rapportant à une personne identifiée ou identifiable.

3.1 Catégories de données à caractère personnel traitées

Dans le cadre des prestations convenues, le prestataire traite les catégories suivantes de données à caractère personnel :

• Coordonnées et informations générales des interlocuteurs et des utilisateurs du donneur d'ordre
• Données d'accès, d'authentification et relatives aux appareils
• données techniques relatives à la connexion et aux journaux
• Contenus que la cliente enregistre ou modifie dans les systèmes concernés, dont elle détermine la nature et l'étendue
• en cas d'abonnement à des services de streaming, des données d'utilisation supplémentaires, comprenant les données de lecture, les termes de recherche, les données de profil et de configuration, ainsi que les enregistrements

Ces informations se rapportent à des catégories et non à des champs de données spécifiques.

3.2 Catégories de personnes concernées

Les personnes concernées sont les collaborateurs et les mandataires du donneur d'ordre, les personnes dont le donneur d'ordre traite les données dans les systèmes concernés, ainsi que, dans le cas de l'achat de services de streaming, les abonnés du donneur d'ordre et les co-utilisateurs d'un abonnement qu'ils ont autorisés.

3.3 Données à caractère personnel nécessitant une protection particulière

Le prestataire ne traite les données personnelles sensibles que dans la mesure où cela a été convenu au préalable. Sont considérées comme données personnelles sensibles les données relatives aux opinions ou activités syndicales, politiques, religieuses ou philosophiques, les données relatives à la santé, à la vie privée, à la vie sexuelle, à l’orientation sexuelle ou à l’appartenance ethnique ou raciale, les données relatives aux mesures d’aide sociale, les données relatives aux poursuites ou sanctions administratives et pénales, les données biométriques permettant d’identifier sans ambiguïté une personne physique, ainsi que les données génétiques.

En cas d'achat de services de streaming, le traitement prévu par le présent contrat est réputé convenu dans la mesure où il découle de la nature de la prestation : les données d'utilisation peuvent permettre de remonter à des données à caractère personnel particulièrement sensibles. Le prestataire prend les mesures de protection prévues au point 5 pour ces données.

4. Obligations des parties

4.1 Durée

Le prestataire traite les données à caractère personnel pour une durée indéterminée, jusqu'à la résiliation du présent contrat ou de la dernière convention contractuelle entre les parties portant sur le traitement des données.

4.2 Directives

Le prestataire traite les données à caractère personnel exclusivement conformément aux dispositions contractuelles ou aux instructions documentées du donneur d'ordre, sauf si le prestataire est tenu, en vertu de la loi ou de la réglementation, de procéder à un traitement spécifique. Dans ce cas, le prestataire informe le donneur d'ordre de cette obligation, à moins qu'une telle information ne soit interdite pour des raisons légales.

Le donneur d'ordre peut donner d'autres instructions documentées pendant toute la durée de l'exécution de la commande.

Le prestataire informe sans délai le donneur d'ordre s'il estime que des dispositions contractuelles ou des instructions données enfreignent les exigences applicables en matière de protection des données.

4.3 Affectation des fonds

Le prestataire traite les données à caractère personnel exclusivement aux fins prévues dans les accords contractuels conclus entre les parties, sauf si le donneur d'ordre lui fournit d'autres instructions documentées.

Le traitement des données à des fins propres du prestataire, conformément au point 4.4, reste réservé.

4.4 Données d'utilisation

En cas d'abonnement à des services de streaming, le prestataire traite également les données d'utilisation à ses propres fins, notamment :

1. Exploitation, analyse des erreurs, dépannage et planification des capacités de la plateforme
2. Mise à disposition de la donneuse d'ordre d'analyses portant sur l'utilisation des prestations fournies par celle-ci
3. Élaboration d'analyses agrégées, portant sur l'ensemble des clients, concernant l'utilisation de la plateforme
4. Développement de l'application et des fonctionnalités de la plateforme
5. Élaboration et gestion de l'offre de programmes
6. Mise à disposition de fonctionnalités de recommandation pour les abonnés
7. Publication des analyses agrégées conformément au point 3

Cette liste est exhaustive.

Les analyses visées aux points 3 et 7 sont effectuées exclusivement sous forme agrégée. La méthode d'agrégation, y compris le nombre minimum de cas par cellule de résultat, est documentée chez le prestataire. Ce dernier communique cette méthode sur demande motivée, pour autant que cela n'entraîne pas la divulgation de secrets d'affaires.

Les fonctions de recommandation visées au point 6 sont dérivées des relations entre les contenus. Ces dérivations ne contiennent aucune référence à des personnes. Les données d'utilisation à caractère personnel sont utilisées exclusivement au sein de l'environnement du donneur d'ordre concerné.

Le prestataire ne transmet pas à d'autres clients ni à des tiers les données d'utilisation ni les informations qui en découlent et qui peuvent être attribuées à un client particulier. L'utilisation d'informations agrégées, regroupant plusieurs clients, reste autorisée aux fins mentionnées au présent paragraphe 4.4.

Le prestataire ne transmet pas les données d'utilisation à des tiers à des fins publicitaires ou commerciales et ne les recoupe pas avec des données provenant d'autres sources afin d'enrichir les profils des personnes.

5. Sécurité

Le prestataire prend au moins les mesures techniques et organisationnelles (MTO) publiées sur https://netstream.ch/tom/ afin de garantir la sécurité des données à caractère personnel traitées. Les MTO font partie intégrante du contrat. Ces mesures comprennent notamment la protection des données personnelles traitées contre toute violation de la sécurité qui, qu’elle soit involontaire ou illicite, entraîne la divulgation non autorisée de données personnelles, l’accès non autorisé à ces données ou leur modification, leur perte ou leur destruction (ci-après dénommées collectivement les « violations de la sécurité des données »).

Le prestataire peut adapter les mesures techniques et organisationnelles dans le cadre de l'évolution technique. Le niveau de protection atteint grâce aux mesures mises en place jusqu'à présent ne doit toutefois pas être réduit.

Le prestataire n'accorde à son personnel l'accès aux données à caractère personnel que dans la mesure où cela est absolument nécessaire à l'exécution, au suivi et à la gestion du présent contrat. Le prestataire garantit que les personnes habilitées à traiter la commande se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.

6. Documentation, justificatifs et moyens de contrôle

Les parties doivent être en mesure de prouver le respect du présent contrat.

Le prestataire traite de manière appropriée et dans les meilleurs délais les demandes du donneur d'ordre relatives à l'exécution du contrat, conformément aux dispositions du présent contrat.

6.1 Justificatifs et renseignements

Le prestataire met à la disposition du donneur d'ordre les justificatifs et les renseignements nécessaires au respect de ses obligations en matière de protection des données. Les informations publiées sont accessibles via les informations relatives à la sécurité de l'information mises en ligne par le prestataire.

Le prestataire fournit des justificatifs complémentaires sous une forme appropriée, sur demande motivée et dans le cadre d'un accord de confidentialité. L'étendue et la forme de ces justificatifs dépendent des besoins de justification du donneur d'ordre et des intérêts du prestataire en matière de sécurité.

Si la charge de travail dépasse une mesure raisonnable, notamment dans le cas de questionnaires, de formats de justificatifs ou d'examens spécifiques au client, le prestataire peut la facturer en fonction du temps consacré. Le prestataire communique au préalable au donneur d'ordre l'estimation de la charge de travail.

6.2 Examens

Le prestataire permet au donneur d'ordre, à la demande de ce dernier, de vérifier l'exécution de la commande conformément au présent contrat, à intervalles raisonnables ou en cas d'indices documentés de non-respect, et coopère à cette vérification.

Le donneur d'ordre peut procéder lui-même à un contrôle ou le faire effectuer par un contrôleur indépendant. Ces contrôles sont limités à un jour par année civile. Un contrôle peut également inclure des inspections dans les installations ou locaux physiques du prestataire, à condition que ces inspections soient nécessaires, qu’elles aient lieu pendant les heures d’ouverture habituelles sans perturber le déroulement des activités et que la notification soit effectuée en respectant un délai raisonnable. Par ailleurs, ces inspections ne sont autorisées que si et dans la mesure où la vérification ne peut être effectuée à l’aide de justificatifs appropriés, tels que des certificats ou des attestations de conformité, notamment dans le cas des centres de données.

Le donneur d'ordre prend en charge les frais engagés par le prestataire pour les contrôles effectués conformément au présent paragraphe 6.2.

Les parties mettent à la disposition de l'autorité de surveillance compétente ou des autorités de surveillance compétentes, sur demande, les informations mentionnées au présent paragraphe 6, y compris les résultats des contrôles, pour autant que cette mise à disposition ne soit pas interdite pour des raisons légales.

7. Traitement des contrats de sous-traitance

Le donneur d'ordre accorde au prestataire l'autorisation générale de faire appel à des sous-traitants figurant sur la liste publiée à l'adresse https://netstream.ch/unterauftragsbearbeitung/. Cette liste fait partie intégrante du contrat.

Le prestataire communique toute modification apportée à cette liste, qu'il s'agisse du remplacement ou de l'ajout de sous-traitantes, sous une forme appropriée. La procédure de modification prévue dans les CGV s'applique en cas d'opposition et à ses conséquences.

En cas de modifications importantes, le prestataire en informe le client au préalable, dans la mesure du possible. Cela ne donne toutefois pas lieu à un délai.

Le prestataire doit imposer contractuellement aux sous-traitants chargés de l'exécution du contrat des obligations substantiellement identiques à celles qui lui sont applicables en vertu du présent contrat. Le prestataire veille à ce que chaque sous-traitant respecte les obligations auxquelles il est soumis en vertu du présent contrat et conformément aux exigences applicables en matière de protection des données.

Le prestataire est responsable envers le donneur d'ordre du respect, par un sous-traitant, de ses obligations découlant du contrat de sous-traitance conclu avec le prestataire. Le prestataire informe le donneur d'ordre lorsqu'un sous-traitant ne remplit pas ses obligations contractuelles.

8. Exportation de données à caractère personnel

8.1 Principe

Le traitement des données à caractère personnel s'effectue en Suisse. Les contenus que le donneur d'ordre enregistre ou traite dans les systèmes utilisés sont exclusivement traités et stockés en Suisse.

8.2 Services d'accompagnement

Pour les services d'assistance, notamment le traitement des demandes d'assistance et des signalements de dysfonctionnements ainsi que la communication avec le donneur d'ordre, le recours à des sous-traitants conformément au point 7 peut impliquer un traitement dans d'autres pays. Sont concernées les informations transmises par le donneur d'ordre dans ses demandes et ses signalements, et non les contenus stockés dans les systèmes concernés.

Si le prestataire n'est pas en mesure de résoudre un dysfonctionnement et qu'il est nécessaire de faire appel au fabricant du logiciel utilisé dans le cadre d'un troisième niveau d'assistance, un accès aux contenus stockés dans les systèmes concernés peut, à titre exceptionnel, s'avérer nécessaire. Un tel accès est limité, tant dans le temps que dans son étendue, à ce qui est nécessaire pour résoudre le dysfonctionnement et n'a lieu qu'après autorisation préalable du donneur d'ordre.

8.3 En cas d'abonnement à des services de streaming

En cas d'utilisation de services de streaming, les messages d'erreur et de diagnostic sont traités par une sous-traitante, conformément au point 7, même en dehors de la Suisse. Ces messages comprennent l'état technique de l'application et de l'appareil, les informations relatives au compte et à l'appareil utilisées pour l'attribution, ainsi que les opérations d'utilisation ayant précédé l'événement.

8.4 Niveau de protection

Si le traitement est effectué en dehors de la Suisse, le sous-traitant garantit un niveau de protection adéquat conformément aux exigences applicables en matière de protection des données, notamment par le biais d'une décision d'adéquation du Conseil fédéral ou de clauses contractuelles types reconnues par le PFPDT.

8.5 Exportation ultérieure

Toute autre exportation n'est effectuée que dans la mesure où cela a été convenu contractuellement, sur instruction écrite du donneur d'ordre ou en vertu d'une obligation légale. Dans ce dernier cas, le prestataire en informe le donneur d'ordre, sauf si la loi l'interdit.

9. Assistance à la donneuse d'ordre

Le sous-traitant informe sans délai le donneur d'ordre de toute demande qu'il a reçue d'une personne concernée et qui porte sur le traitement de la commande. Le sous-traitant est en droit d'accuser réception de la demande auprès de la personne concernée, mais ne répond pas lui-même à cette demande, sauf s'il y a été autorisé par le donneur d'ordre.

Le sous-traitant assiste le donneur d'ordre, en tenant compte de la nature du traitement des commandes, dans l'exécution de son obligation de répondre aux demandes des personnes concernées visant à exercer leurs droits. Dans le cadre de cette assistance, le sous-traitant se conforme aux instructions du donneur d'ordre.

Le prestataire aide en outre le donneur d'ordre, en tenant compte de la nature de l'exécution de la commande et des informations dont il dispose, à respecter les obligations suivantes :

1. Tenue d'un éventuel registre des activités de traitement
2. Réalisation d'une analyse d'impact relative à la protection des données lorsqu'un traitement prévu de données à caractère personnel par le donneur d'ordre est susceptible de présenter un risque élevé pour les droits fondamentaux ou la personnalité des personnes concernées
3. Consultation des autorités de contrôle compétentes avant le traitement de données à caractère personnel, lorsqu'une analyse d'impact relative à la protection des données révèle que le traitement envisagé comporte, malgré les mesures prévues, un risque élevé pour les droits fondamentaux ou la personnalité des personnes concernées
4. Veiller à ce que les données à caractère personnel traitées soient exactes et à jour, en veillant à ce que le sous-traitant informe sans délai le responsable du traitement s'il constate que les données à caractère personnel qu'il traite sont inexactes ou obsolètes
5. Garantir un niveau de sécurité des données adapté au risque, notamment par des mesures techniques et organisationnelles appropriées, conformément au point 5

Le donneur d'ordre prend en charge les frais engagés par le prestataire au titre de l'assistance prévue au présent paragraphe 9.

10. Notification des violations de la sécurité des données

En cas de violation de la sécurité des données, le sous-traitant coopère avec le responsable du traitement et lui apporte son soutien afin que ce dernier puisse s'acquitter de ses obligations de signaler les violations de la sécurité des données aux autorités de contrôle compétentes ou d'en informer les personnes concernées, le sous-traitant tenant compte de la nature du traitement et des informations dont il dispose.

10.1 Violations de la sécurité des données à caractère personnel traitées par la donneuse d'ordre

En cas de violation de la sécurité des données concernant les données à caractère personnel traitées par le donneur d'ordre, le prestataire apporte son soutien au donneur d'ordre comme suit :

1. lors de la notification de la violation de la sécurité des données aux autorités de contrôle compétentes, dès que la cliente en a eu connaissance, le cas échéant, ainsi que, dès que les informations sont disponibles, lors de la collecte des éléments qui doivent figurer dans la notification conformément aux exigences applicables en matière de protection des données
2. lors de la notification aux personnes concernées, conformément aux exigences applicables en matière de protection des données, lorsque cela est nécessaire pour protéger les personnes concernées ou lorsque cela est exigé par une autorité de contrôle compétente

Le donneur d'ordre prend en charge les frais engagés par le prestataire au titre de l'assistance prévue au présent paragraphe 10.1.

10.2 Violations de la sécurité des données à caractère personnel traitées par le prestataire

Le prestataire informe le donneur d'ordre dans les 48 heures suivant la prise de connaissance d'une violation de la sécurité des données en rapport avec les données à caractère personnel qu'il traite, en lui communiquant les informations disponibles à ce moment-là. Les délais de notification différents convenus contractuellement prévalent.

Le prestataire fournira les informations complémentaires dès qu'elles seront disponibles, notamment :

1. Description de la nature de la violation, en précisant si possible les catégories et le nombre approximatif de personnes concernées, ainsi que le nombre approximatif d'enregistrements concernés
2. Coordonnées d'un point de contact auprès duquel il est possible d'obtenir de plus amples informations concernant cette violation de la sécurité des données
3. conséquences prévisibles de la violation de la sécurité des données, ainsi que les mesures prises ou proposées pour y remédier et atténuer les éventuels effets négatifs

Le prestataire prend en charge les frais liés à l'assistance prévue au présent paragraphe 10.2.

11. Demandes d'accès émanant des autorités

Si le prestataire reçoit une demande officielle de la part des autorités visant à obtenir la communication de données à caractère personnel du donneur d'ordre, il ne communique ces données que dans la mesure où il y est légalement tenu et limite la communication à l'étendue demandée. Le prestataire informe le donneur d'ordre de cette demande, dans la mesure où la loi l'y autorise.

12. Suspension du traitement des commandes

Si le prestataire ne respecte pas les obligations qui lui incombent en vertu du présent contrat, le donneur d'ordre peut lui ordonner de suspendre le traitement des données à caractère personnel jusqu'à ce qu'il se conforme aux dispositions du présent contrat ou que celui-ci prenne fin. Le prestataire informe sans délai le donneur d'ordre s'il n'est pas en mesure de respecter les dispositions du présent contrat.

13. Responsabilité

Les dispositions en matière de responsabilité sont régies par les éventuelles clauses de responsabilité prévues dans les accords contractuels conclus entre les parties.

14. Résiliation

La procédure prévue dans les CGV s'applique en matière de résiliation, de délais et de conséquences financières. Pendant la durée du contrat, le donneur d'ordre a accès aux données qu'il a enregistrées dans les systèmes utilisés et il lui incombe de les sauvegarder ou de les exporter avant la résiliation du contrat. La restitution des données à caractère personnel traitées dans le cadre de la commande s'effectue de cette manière. Il n’existe aucun droit à la restitution des données que la prestataire traite en tant que responsable du traitement, conformément au point 4.4.

Si les données à caractère personnel traitées pour le compte du donneur d'ordre, sur lesquelles celui-ci détient un droit, ne peuvent pas être exportées de manière autonome, le prestataire met ces données à disposition, sur demande, dans un format courant, dans la mesure où cela est techniquement possible. Pour toute exportation allant au-delà de ce cadre, le prestataire peut facturer les frais correspondants.

À l'issue de la mission, le prestataire supprime les données à caractère personnel traitées pour le compte du donneur d'ordre. Le donneur d'ordre peut exiger une confirmation de cette suppression. Les blocages techniques mis en place par le donneur d'ordre restent réservés.

Jusqu'à la résiliation, le prestataire s'engage à respecter les dispositions du présent contrat.

Sont exclues de la suppression les données que le prestataire est tenu de conserver en vertu de dispositions légales ou réglementaires, ou afin de préserver l'intégrité des protocoles de sécurité, ainsi que les données dont la conservation est nécessaire à titre de preuve dans le cadre d'un litige en cours ou prévisible. Ces données sont verrouillées et utilisées exclusivement à cette fin.

Dans le cadre de l'abonnement à des services de streaming, les enregistrements sont supprimés dès la résiliation de l'abonnement. Il n'existe aucun droit à la remise des enregistrements.

15. Modifications du présent contrat

Le prestataire peut modifier le présent contrat. Les modifications sont notifiées de manière appropriée et prennent effet à la date indiquée.

16. Dispositions finales

Le présent contrat fait partie intégrante des conditions générales de Netstream .

Les parties s'engagent à traiter de manière confidentielle et durable toutes les connaissances acquises dans le cadre du présent contrat concernant les secrets commerciaux de l'autre partie ainsi que les données personnelles, même après la fin du présent contrat, à moins que l'une des parties ne soit légalement tenue à une certaine divulgation. Dans ce cas, la partie qui s'engage informe l'autre partie de cette obligation légale, à moins que cette information ne soit interdite par la loi. Si l'une des parties doute qu'une information soit soumise à cette obligation de confidentialité, l'information doit être traitée de manière confidentielle jusqu'à ce que l'autre partie l'autorise expressément.

Si certaines dispositions du présent contrat sont inexécutables, invalides ou inefficaces, cela n'affecte pas l'exécutabilité, la validité ou l'efficacité des autres dispositions et les parties remplacent la disposition individuelle par une disposition exécutable, valide ou efficace qui se rapproche le plus possible du résultat visé par la disposition individuelle en matière de protection des données.

Le présent contrat est exclusivement régi par le droit suisse. Les règles de conflit de lois et la Convention des Nations Unies sur les contrats de vente internationale de marchandises sont exclues. Le tribunal compétent exclusif est celui du siège social du prestataire.