Contrat de sous-traitance

1. Objet

Le présent contrat règle les droits et obligations de la mandante et de la mandataire Netstream (ci-après conjointement les « parties ») en lien avec le traitement de données personnelles sur mandat (ci-après la « sous-traitance »).

Le présent contrat s’applique à toutes les activités dans le cadre desquelles la mandataire traite ou fait traiter, en tout ou en partie, des données personnelles sur mandat de la mandante.

Les termes utilisés dans le présent contrat s’entendent au sens du droit suisse de la protection des données. Les termes « données personnelles », « traitement » et « sous-traitant » correspondent aux termes « données à caractère personnel », « traitement » et « sous-traitant » du règlement général sur la protection des données (RGPD).

La mandataire est soumise au droit suisse de la protection des données, en particulier à la loi fédérale sur la protection des données (LPD). Par le présent contrat, la mandataire permet le respect des exigences applicables en matière de protection des données pour la sous-traitance, en particulier selon l’art. 9 LPD ainsi que, dans la mesure où il est applicable, selon l’art. 28 RGPD.

Par décision du 26 juillet 2000, la Commission européenne a constaté que le droit suisse de la protection des données garantit un niveau de protection adéquat des données personnelles. Ce constat vaut décision d’adéquation au sens de l’art. 45, par. 1, RGPD.

2. Rôles des parties

La mandataire traite des données personnelles sur mandat de la mandante dans la mesure où cela est nécessaire à la fourniture des prestations convenues contractuellement. Pour ces traitements, la mandante est responsable du traitement au sens de la LPD.

Dans la mesure où le présent contrat prévoit un traitement à des fins propres de la mandataire, la mandataire agit en qualité de responsable du traitement pour ce traitement. L’étendue et les finalités en sont définies de manière exhaustive au ch. 4.4.

3. Nature, objet et finalité de la sous-traitance

La sous-traitance est effectuée conformément aux accords contractuels existants ou à conclure entre les parties. En cas de contradiction, l’ordre de priorité des éléments contractuels prévu dans les CG de Netstream s’applique.

La sous-traitance comprend toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment l’archivage, la conservation, la communication, la collecte, l’effacement, l’enregistrement, la modification, la destruction et l’utilisation de données personnelles. Les données personnelles sont toutes les informations concernant une personne identifiée ou identifiable.

3.1 Catégories de données personnelles traitées

Dans le cadre des prestations convenues, la mandataire traite les catégories de données personnelles suivantes :

• données de base et coordonnées des personnes de contact et des utilisatrices et utilisateurs de la mandante
• données d’accès, d’authentification et d’appareil
• données techniques de connexion et de journalisation
• contenus que la mandante dépose ou traite dans les systèmes utilisés, dont la mandante détermine la nature et l’étendue
• en cas d’utilisation de services de streaming, en outre les données d’utilisation, comprenant les données de lecture, les termes de recherche, les données de profil et de configuration ainsi que les enregistrements

Ces indications désignent des catégories et non des champs de données individuels.

3.2 Catégories de personnes concernées

Les personnes concernées sont les collaboratrices et collaborateurs ainsi que les mandataires de la mandante, les personnes dont la mandante traite les données dans les systèmes utilisés ainsi que, en cas d’utilisation de services de streaming, les abonnés de la mandante et les co-utilisatrices et co-utilisateurs d’un abonnement autorisés par ceux-ci.

3.3 Données personnelles sensibles

La mandataire ne traite des données personnelles sensibles que dans la mesure où cela a été convenu au préalable. Sont considérées comme données personnelles sensibles les données sur les opinions ou activités syndicales, politiques, religieuses ou philosophiques, les données sur la santé, la sphère intime, la vie sexuelle, l’orientation sexuelle ou l’appartenance à une ethnie ou à une race, les données sur des mesures d’aide sociale, les données sur des poursuites ou sanctions pénales et administratives, les données biométriques identifiant une personne physique de manière univoque et les données génétiques.

En cas d’utilisation de services de streaming, le traitement est réputé convenu par le présent contrat dans la mesure où il découle de la nature de la prestation : les données d’utilisation peuvent permettre de tirer des conclusions sur des données personnelles sensibles. La mandataire prend pour ces données les mesures de protection selon le ch. 5.

4. Obligations des parties

4.1 Durée

La mandataire traite des données personnelles pour une durée indéterminée jusqu’à la résiliation du présent contrat ou du dernier accord contractuel entre les parties portant sur une sous-traitance.

4.2 Instructions

La mandataire traite des données personnelles exclusivement de la manière convenue contractuellement ou selon les instructions documentées de la mandante, à moins que la mandataire ne soit tenue, en vertu de la loi ou de la réglementation, de procéder à un traitement déterminé. Dans un tel cas, la mandataire informe la mandante de cette obligation, à moins qu’une telle information ne soit interdite pour des motifs légaux.

La mandante peut donner d’autres instructions documentées pendant toute la durée de la sous-traitance.

La mandataire informe sans délai la mandante si elle estime que des accords contractuels ou des instructions données enfreignent les exigences applicables en matière de protection des données.

4.3 Limitation des finalités

La mandataire traite des données personnelles exclusivement pour la ou les finalités prévues dans les accords contractuels entre les parties, à moins que la mandataire ne reçoive d’autres instructions documentées de la mandante.

Demeure réservé le traitement à des fins propres de la mandataire selon le ch. 4.4.

4.4 Données d’utilisation

En cas d’utilisation de services de streaming, la mandataire traite en outre des données d’utilisation aux fins propres suivantes :

1. exploitation, analyse des erreurs, résolution des pannes et planification des capacités de la plateforme
2. mise à disposition de la mandante d’analyses relatives à l’utilisation des prestations de la mandante
3. établissement d’analyses agrégées, portant sur l’ensemble des clients, relatives à l’utilisation de la plateforme
4. développement de l’application et des fonctions de la plateforme
5. composition et gestion de l’offre de programmes
6. mise à disposition de fonctions de recommandation pour les abonnés
7. publication d’analyses agrégées selon le ch. 3

Cette énumération est exhaustive.

Les analyses selon les ch. 3 et 7 sont effectuées exclusivement sous forme agrégée. Le procédé d’agrégation, y compris le nombre minimal de cas par cellule de résultat, est documenté auprès de la mandataire. La mandataire divulgue le procédé sur demande motivée, dans la mesure où aucun secret d’affaires n’est ainsi dévoilé.

Les fonctions de recommandation selon le ch. 6 sont déduites des relations entre les contenus. Ces déductions ne contiennent aucune référence à des personnes. Les données d’utilisation personnelles sont utilisées exclusivement dans l’environnement de la mandante concernée.

La mandataire ne transmet pas à d’autres clients ou à des tiers les données d’utilisation et les connaissances qui en sont dérivées pouvant être attribuées à une mandante individuelle. L’utilisation de connaissances agrégées, portant sur l’ensemble des clients, aux fins mentionnées au présent ch. 4.4 demeure autorisée.

La mandataire ne transmet pas de données d’utilisation à des tiers à des fins publicitaires ou de marketing et ne les combine pas avec des données provenant d’autres sources en vue d’enrichir des profils de personnes.

5. Sécurité

La mandataire prend au minimum les mesures techniques et organisationnelles publiées sous /fr/mesures-techniques/ afin de garantir la sécurité des données personnelles traitées. Ces mesures font partie intégrante du contrat. Ces mesures comprennent notamment la protection des données personnelles traitées contre une violation de la sécurité entraînant, de manière accidentelle ou illicite, la communication non autorisée de données personnelles, l’accès non autorisé à des données personnelles ou la modification, la perte ou la destruction des données personnelles (ci-après conjointement les « violations de la sécurité des données »).

La mandataire peut adapter les mesures techniques et organisationnelles en fonction de l’évolution technique. Le niveau de protection atteint par les mesures antérieures ne doit pas être réduit.

La mandataire n’accorde à son personnel l’accès aux données personnelles que dans la mesure strictement nécessaire à l’exécution, à la surveillance et à la gestion du présent contrat. La mandataire garantit que les personnes autorisées à effectuer la sous-traitance se sont engagées à la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.

6. Documentation, preuves et possibilités de contrôle

Les parties doivent être en mesure de démontrer le respect du présent contrat.

La mandataire traite de manière appropriée et sans tarder les demandes de la mandante relatives à la sous-traitance selon le présent contrat.

6.1 Preuves et renseignements

La mandataire met à la disposition de la mandante les preuves et renseignements nécessaires à l’exécution de ses obligations en matière de protection des données. Les indications publiées sont accessibles via les informations sur la sécurité de l’information publiées par la mandataire.

La mandataire fournit des preuves supplémentaires sur demande motivée et moyennant un accord de confidentialité, sous une forme appropriée. L’étendue et la forme sont déterminées en fonction du besoin de preuves de la mandante et des intérêts de sécurité de la mandataire.

Si la charge de travail dépasse une mesure raisonnable, notamment en cas de questionnaires, de formats de preuve ou de contrôles spécifiques au client, la mandataire peut la facturer en régie. La mandataire communique au préalable à la mandante la charge de travail prévisible.

6.2 Contrôles

Sur demande, la mandataire permet à la mandante de contrôler la sous-traitance selon le présent contrat à intervalles raisonnables ou en cas d’indices documentés d’un non-respect, et contribue à un tel contrôle.

La mandante peut effectuer un contrôle elle-même ou le faire effectuer par une contrôleuse indépendante ou un contrôleur indépendant. De tels contrôles sont limités à un jour par année civile. Un contrôle peut également comprendre des inspections des installations physiques ou des locaux de la mandataire, pour autant que de telles inspections soient nécessaires, aient lieu pendant les heures de bureau habituelles sans perturber l’exploitation et soient annoncées moyennant un délai de préavis raisonnable. Pour le surplus, de telles inspections ne sont admises que si et dans la mesure où le contrôle ne peut pas être effectué au moyen de preuves appropriées telles que des certificats ou des certifications, en particulier pour les centres de données.

La mandante supporte les frais de la mandataire pour les contrôles selon le présent ch. 6.2.

Les parties mettent à la disposition d’une autorité de surveillance compétente ou des autorités de surveillance compétentes, sur demande, les informations mentionnées au présent ch. 6, y compris les résultats des contrôles, à moins que cette mise à disposition ne soit interdite pour des motifs légaux.

7. Sous-traitance ultérieure

La mandante accorde à la mandataire l’autorisation générale de faire appel aux sous-traitants ultérieurs figurant sur la liste publiée sous /fr/sous-traitants/. La liste fait partie intégrante du contrat.

La mandataire communique sous une forme appropriée les modifications de cette liste par remplacement ou ajout de sous-traitants ultérieurs. La procédure de modification selon les CG s’applique à l’opposition et à ses conséquences.

En cas de modifications importantes, la mandataire informe dans la mesure du possible au préalable. Aucun délai n’est ainsi institué.

La mandataire doit imposer contractuellement aux sous-traitants ultérieurs mandatés pour effectuer la sous-traitance, pour l’essentiel, les mêmes obligations que celles qui s’appliquent à la mandataire selon le présent contrat. La mandataire veille à ce que chaque sous-traitant ultérieur remplisse les obligations auxquelles la mandataire est soumise selon le présent contrat et selon les exigences applicables en matière de protection des données.

La mandataire répond envers la mandante de ce qu’un sous-traitant ultérieur remplisse ses obligations selon l’accord de sous-traitance conclu avec la mandataire. La mandataire informe la mandante si un sous-traitant ultérieur ne remplit pas ses obligations contractuelles.

8. Exportation de données personnelles

8.1 Principe

Le traitement des données personnelles a lieu en Suisse. Les contenus que la mandante dépose ou traite dans les systèmes utilisés sont traités et enregistrés exclusivement en Suisse.

8.2 Services de soutien

Pour les services de soutien, notamment le traitement des demandes de support et des annonces de dérangement ainsi que la communication avec la mandante, le recours à des sous-traitants ultérieurs selon le ch. 7 peut impliquer un traitement dans d’autres pays. Sont concernées les indications que la mandante transmet dans ses demandes et annonces, et non les contenus déposés dans les systèmes utilisés.

Si un dérangement ne peut pas être résolu par la mandataire et que le recours au fabricant du logiciel utilisé en tant que troisième niveau de support est nécessaire, un accès aux contenus déposés dans les systèmes utilisés peut exceptionnellement aussi devenir nécessaire. Un tel accès est limité dans le temps et quant à son objet à ce qui est nécessaire à la résolution du dérangement et n’a lieu qu’après autorisation préalable de la mandante.

8.3 En cas d’utilisation de services de streaming

En cas d’utilisation de services de streaming, les messages d’erreur et de diagnostic sont également traités hors de Suisse par un sous-traitant ultérieur selon le ch. 7. De tels messages comprennent l’état technique de l’application et de l’appareil, les indications de compte et d’appareil utilisées pour l’attribution ainsi que les opérations d’utilisation ayant précédé l’événement.

8.4 Niveau de protection

Si un traitement a lieu hors de Suisse, la mandataire garantit un niveau de protection adéquat selon les exigences applicables en matière de protection des données, notamment au moyen d’une décision d’adéquation du Conseil fédéral ou de clauses contractuelles types reconnues par le PFPDT.

8.5 Exportation supplémentaire

Toute exportation supplémentaire n’a lieu que dans la mesure où elle a été convenue contractuellement, sur instruction documentée de la mandante ou en vertu d’une obligation légale. Dans ce dernier cas, la mandataire informe la mandante, à moins que cela ne soit interdit pour des motifs légaux.

9. Assistance à la mandante

La mandataire informe sans délai la mandante de toute demande qu’elle a reçue d’une personne concernée et qui porte sur la sous-traitance. La mandataire est autorisée à confirmer la réception à la personne concernée, mais ne répond pas elle-même à la demande pour le surplus, à moins d’y avoir été habilitée par la mandante.

Compte tenu de la nature de la sous-traitance, la mandataire assiste la mandante dans l’exécution de son obligation de répondre aux demandes des personnes concernées visant à exercer leurs droits. Dans le cadre de cette assistance, la mandataire suit les instructions de la mandante.

Compte tenu de la nature de la sous-traitance et des informations dont elle dispose, la mandataire assiste en outre la mandante dans le respect des obligations suivantes :

1. tenue d’un éventuel registre des activités de traitement
2. réalisation d’une analyse d’impact relative à la protection des données lorsqu’un traitement de données personnelles envisagé par la mandante est susceptible d’entraîner un risque élevé pour les droits fondamentaux ou la personnalité des personnes concernées
3. consultation des autorités de surveillance compétentes avant le traitement de données personnelles lorsqu’une analyse d’impact relative à la protection des données révèle que le traitement envisagé présente, malgré les mesures prévues, un risque élevé pour les droits fondamentaux ou la personnalité des personnes concernées
4. garantie que les données personnelles traitées sont exactes et à jour, la mandataire informant sans délai la mandante lorsqu’elle constate que les données personnelles qu’elle traite sont inexactes ou obsolètes
5. garantie d’une sécurité des données adaptée au risque, notamment au moyen de mesures techniques et organisationnelles appropriées selon le ch. 5

La mandante supporte les frais de la mandataire pour l’assistance selon le présent ch. 9.

10. Annonce des violations de la sécurité des données

En cas de violation de la sécurité des données, la mandataire collabore avec la mandante et l’assiste en conséquence, afin que la mandante puisse remplir ses obligations d’annonce des violations de la sécurité des données aux autorités de surveillance compétentes ou d’information des personnes concernées, la mandataire tenant compte de la nature de la sous-traitance et des informations dont elle dispose.

10.1 Violations de la sécurité des données personnelles traitées par la mandante

En cas de violation de la sécurité des données en lien avec les données personnelles traitées par la mandante, la mandataire assiste la mandante comme suit :

1. pour l’annonce de la violation de la sécurité des données aux autorités de surveillance compétentes après que la mandante en a eu connaissance, si cela est pertinent, ainsi que, dans chaque cas dès qu’elles sont disponibles, pour l’obtention des indications qui doivent figurer dans l’annonce selon les exigences applicables en matière de protection des données
2. pour l’information des personnes concernées selon les exigences applicables en matière de protection des données, lorsque cela est nécessaire à la protection des personnes concernées ou exigé par une autorité de surveillance compétente

La mandante supporte les frais de la mandataire pour l’assistance selon le présent ch. 10.1.

10.2 Violations de la sécurité des données personnelles traitées par la mandataire

La mandataire informe la mandante dans les 48 heures après avoir eu connaissance d’une violation de la sécurité des données en lien avec les données personnelles qu’elle traite, en communiquant les indications disponibles à ce moment-là. Les délais d’annonce divergents convenus contractuellement priment.

La mandataire communique ultérieurement des indications complémentaires dès qu’elles sont disponibles, notamment :

1. description de la nature de la violation, si possible avec indication des catégories et du nombre approximatif de personnes concernées ainsi que du nombre approximatif d’enregistrements de données concernés
2. coordonnées d’un point de contact auprès duquel des informations supplémentaires sur la violation de la sécurité des données peuvent être obtenues
3. conséquences probables de la violation de la sécurité des données ainsi que mesures prises ou proposées pour y remédier et pour atténuer les éventuels effets négatifs

La mandataire supporte les frais de l’assistance selon le présent ch. 10.2.

11. Demandes d’accès des autorités

Si la mandataire reçoit d’une autorité une demande de remise de données personnelles de la mandante, elle ne remet des données que dans la mesure où une obligation légale existe à cet effet et limite la remise à l’étendue demandée. La mandataire informe la mandante de la demande dans la mesure où cela est juridiquement admissible.

12. Suspension de la sous-traitance

Dans le cas où la mandataire ne remplit pas ses obligations selon le présent contrat, la mandante peut donner instruction à la mandataire de suspendre la sous-traitance de données personnelles jusqu’à ce que la mandataire respecte le présent contrat ou que le présent contrat prenne fin. La mandataire informe sans délai la mandante si elle n’est pas en mesure de respecter le présent contrat.

13. Responsabilité

La responsabilité est régie par une éventuelle réglementation en matière de responsabilité figurant dans les accords contractuels entre les parties.

14. Fin du contrat

La procédure selon les CG s’applique à la résiliation, aux délais et aux conséquences financières. Pendant la durée du contrat, la mandante a accès aux données qu’elle a déposées dans les systèmes utilisés et est responsable de les sauvegarder ou de les exporter avant la fin du contrat. La restitution des données personnelles traitées sur mandat s’effectue par cette voie. Il n’existe aucun droit à la restitution des données que la mandataire traite en tant que responsable du traitement selon le ch. 4.4.

S’il n’existe aucune possibilité d’exportation autonome pour des données personnelles traitées sur mandat auxquelles la mandante a droit, la mandataire met ces données à disposition sur demande dans un format courant, dans la mesure où cela est techniquement possible. La mandataire peut facturer la charge de travail pour les exportations allant au-delà.

Après la fin du contrat, la mandataire efface les données personnelles traitées sur mandat de la mandante. La mandante peut exiger une confirmation de l’effacement effectué. Les blocages techniques mis en place par la mandante demeurent réservés.

Jusqu’à l’effacement, la mandataire garantit le respect du présent contrat.

Sont exclues de l’effacement les données que la mandataire doit continuer à conserver en vertu de prescriptions légales ou réglementaires ou pour préserver l’intégrité des journaux de sécurité, ainsi que les données dont la conservation est nécessaire à l’administration de la preuve dans un litige en cours ou prévisible. Ces données sont bloquées et utilisées exclusivement à cette fin.

En cas d’utilisation de services de streaming, les enregistrements sont effacés à la fin de l’accès. Il n’existe aucun droit à la remise d’enregistrements.

15. Modifications du présent contrat

La mandataire peut adapter le présent contrat. Les modifications sont communiquées sous une forme appropriée et s’appliquent à partir de la date communiquée.

16. Dispositions finales

Le présent contrat fait partie intégrante des CG de Netstream.

Les parties s’engagent à traiter de manière confidentielle et durable, y compris après la fin du présent contrat, toutes les connaissances acquises dans le cadre du présent contrat concernant les secrets d’affaires de l’autre partie ainsi que les données personnelles, à moins qu’une partie ne soit légalement tenue à une divulgation déterminée. Dans un tel cas, la partie tenue informe l’autre partie de cette obligation légale, à moins qu’une telle information ne soit interdite pour des motifs légaux. Si une partie doute qu’une information soit soumise à cette obligation de confidentialité, l’information doit être traitée de manière confidentielle jusqu’à son autorisation expresse par l’autre partie.

Si certaines dispositions du présent contrat devaient être inexécutables, nulles ou sans effet, l’exécutabilité, la validité ou l’effet des autres dispositions n’en serait pas affecté et les parties remplacent la disposition concernée par une disposition exécutable, valable ou effective qui se rapproche le plus possible du résultat visé par cette disposition en matière de protection des données.

Le présent contrat est régi exclusivement par le droit suisse. Les règles de conflit de lois et la Convention des Nations Unies sur les contrats de vente internationale de marchandises sont exclues. Le for exclusif est au siège de la mandataire.