Contrat de sous-traitance

Le présent contrat (contrat de sous-traitance) s’applique entre le client au sens des CG, en tant que responsable du traitement (« client »), et Lemon Juice GmbH, Unternbergstrasse 30A, 5023 Biberstein, en tant que sous-traitante (« Bilano »). Il fait partie intégrante des CG et s’applique sans signature séparée dès que le client utilise Bilano pour des données personnelles de tiers, par exemple pour les contacts, factures ou écritures de sa clientèle ou, pour les fiduciaires, de ses mandants. Sur demande, nous le remettons signé.

Le contrat satisfait aux exigences de l’art. 9 de la loi fédérale sur la protection des données (LPD) et, dans la mesure où il est applicable, de l’art. 28 du règlement général sur la protection des données de l’UE (RGPD). En cas de contradiction, il prime les CG pour les questions de protection des données. Pour les données personnelles que Bilano traite en tant que responsable propre (compte, facturation, site web), la déclaration de protection des données s’applique.

L’objet est le traitement de données personnelles que Bilano obtient sur mandat du client par l’interface bexio, transmet à un modèle de langage et, sur instruction, écrit dans bexio, afin de répondre aux questions du client et d’exécuter ses instructions. La durée correspond à celle du contrat selon les CG.

Bilano ne traite les données personnelles que sur instruction documentée du client. Les instructions sont fixées dans les CG, dans le présent contrat et dans les saisies du client dans le service ; chaque question et chaque action confirmée dans le chat ou via un assistant connecté vaut instruction. Bilano ne traite pas les données à ses propres fins, notamment pas pour entraîner des modèles de langage.

Si Bilano estime qu’une instruction viole le droit de la protection des données, Bilano en informe le client sans délai. Si Bilano doit traiter ou communiquer des données en vertu d’une obligation légale, Bilano en informe préalablement le client, dans la mesure où la loi le permet.

• Le client est responsable de la licéité du traitement, notamment de la base juridique, de l’information des personnes concernées et du respect des secrets professionnels.
• Il décide lui-même s’il connecte un assistant externe via MCP. Il est seul responsable de la transmission au fournisseur de celui-ci ; ce fournisseur n’est pas un sous-traitant ultérieur de Bilano.
• Il informe Bilano sans délai s’il constate des erreurs ou des irrégularités dans le traitement.

Bilano oblige toutes les personnes susceptibles d’avoir accès aux données à la confidentialité, dans la mesure où elles ne sont pas déjà soumises à une obligation légale de secret. Les données comptables et le contenu des chats ne sont techniquement pas visibles depuis l’espace d’exploitation.

Bilano prend des mesures techniques et organisationnelles appropriées selon l’art. 8 LPD et l’art. 32 RGPD. Les mesures actuelles figurent à l’annexe 2. Bilano peut les faire évoluer, pour autant que le niveau de protection ne baisse pas.

Le client donne son autorisation générale au recours aux sous-traitants ultérieurs mentionnés à l’annexe 1. Bilano informe le client au moins 30 jours à l’avance par e-mail ou dans le service de toute modification envisagée. Le client peut s’y opposer dans ce délai pour un motif important lié à la protection des données ; à défaut d’accord, il peut résilier le contrat pour la date d’entrée en vigueur de la modification.

Bilano impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles fixées dans le présent contrat et reste responsable envers le client de leur respect.

En fonctionnement normal, les données comptables du client sont traitées exclusivement en Suisse. Une communication vers un État n’offrant pas un niveau de protection adéquat n’a lieu qu’avec des garanties appropriées selon l’art. 16 LPD ou les art. 44 ss RGPD, notamment des clauses contractuelles types. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne.

Bilano assiste le client par des mesures appropriées pour répondre aux demandes des personnes concernées (accès, rectification, effacement, remise), pour l’analyse d’impact relative à la protection des données et pour les consultations de l’autorité de surveillance, dans la mesure où cela est possible pour Bilano. Comme Bilano n’enregistre ni pièces ni écritures, la plupart de ces données se trouvent exclusivement dans bexio et y sont traitées. Si une personne concernée s’adresse directement à Bilano, Bilano transmet la demande au client.

Bilano annonce au client une violation de la sécurité des données qui concerne ses données le plus rapidement possible, au plus tard dans les 48 heures après en avoir eu connaissance, avec les indications dont le client a besoin pour sa propre annonce au PFPDT (art. 24 LPD) ou à une autorité de surveillance de l’UE (art. 33 RGPD). Bilano prend sans délai des mesures pour en limiter les conséquences.

Les données comptables du client sont écartées après chaque demande ; une restitution n’est donc pas nécessaire. Bilano supprime immédiatement les données d’accès bexio chiffrées lorsque le client coupe la connexion ou supprime son compte. Les copies éphémères en mémoire vive (profil d’entreprise dix minutes au plus, documents consultés 30 minutes au plus) expirent d’elles-mêmes. Bilano supprime les totaux de l’aperçu des mandants après 30 jours au plus et immédiatement avec le compte. Bilano supprime l’historique de chat chiffré lorsque le client le réinitialise ou supprime son compte ; Bilano ne peut pas le restituer sous forme lisible, car seul le client détient la clé. Les sauvegardes de la base de données contenant des données de compte sont écrasées après 14 jours. Les obligations légales de conservation sont réservées.

Sur demande, Bilano met à la disposition du client les informations nécessaires pour prouver le respect du présent contrat, notamment des descriptions des mesures et des certificats des sous-traitants ultérieurs. Des contrôles sur place sont possibles sur préavis d’au moins 30 jours, pendant les heures de bureau et sans perturber l’exploitation ; les frais sont à la charge du client, dans la mesure où le contrôle ne révèle aucune violation.

La responsabilité est régie par les CG, sauf disposition contraire du droit impératif. Le droit suisse est applicable ; le for est à Aarau. Nous annonçons les modifications du présent contrat comme celles des CG. Adressez vos questions à hallo@bilano.ch.

bexio SA n’est pas un sous-traitant ultérieur de Bilano : le client utilise bexio sur la base de son propre contrat. Stripe et Vercel ne traitent aucune donnée de la comptabilité du client ; ils sont mentionnés dans la déclaration de protection des données.

• Minimisation des données : aucun enregistrement durable des pièces et écritures ; mémoires tampons passagères uniquement en mémoire vive avec courte durée d’expiration ; pour l’aperçu des mandants, seulement des totaux par mandant sans noms, 30 jours au plus.
• Historique de chat : uniquement à la demande du client, chiffré de bout en bout dans le navigateur (AES-256-GCM), clé exclusivement chez le client ; dans la base de données, en outre séparé par compte grâce à la sécurité au niveau des lignes.
• Chiffrement : TLS pour toutes les connexions ; données d’accès bexio chiffrées en AES-256-GCM, clé hors de la base de données ; sauvegardes chiffrées avant d’être déposées hors site.
• Contrôle d’accès : connexion exclusivement via bexio (OpenID Connect) ; Bilano agit uniquement avec les droits de l’utilisateur bexio connecté ; cookies de session signés ; OAuth 2.1 avec PKCE pour les assistants connectés ; chaque connexion révocable séparément.
• Séparation : chaque demande est liée à un compte et à un mandant ; la base de données n’est pas accessible depuis Internet.
• Accès d’exploitation : uniquement par clés SSH, limité à quelques personnes ; espace d’administration avec connexion propre (nom d’utilisateur, mot de passe et second facteur), sans accès aux données comptables ni au contenu des chats ; chaque connexion et chaque modification sont journalisées.
• Disponibilité : sauvegarde quotidienne de la base de données, copie chiffrée hors site en Suisse, tests de restauration réguliers ; limitation des demandes contre la surcharge.
• En-têtes de sécurité et Content Security Policy sur toutes les interfaces ; mises à jour de sécurité automatiques du système d’exploitation.
• Journaux sans contenu des demandes, supprimés après 30 jours au plus.