Convention de sous-traitance

La présente convention s’applique entre l’entreprise qui utilise Fristo (« client ») et Hoang Nguyen (« Fristo »). Elle fait partie des CG et s’applique aussi longtemps que Fristo traite des données personnelles pour le compte du client. Elle satisfait à l’art. 9 de la loi fédérale suisse sur la protection des données (LPD) et à l’art. 28 du règlement général de l’UE sur la protection des données (RGPD). En cas de contradiction entre la présente convention et les CG, la présente convention prime.

Finalité : l’exploitation du logiciel Fristo — patrimoine, échéances de contrôle, ordres de travail, signalements, justificatifs, analyses, import et export, connexion et notification — ainsi que le support.

Nature du traitement : enregistrement, organisation, affichage, analyse au sein de l’application, envoi de notifications, sauvegarde, export et suppression.

Personnes concernées : collaborateurs du client, personnes travaillant pour des entreprises externes avec lesquelles le client collabore, personnes qui font un signalement via une étiquette QR et personnes qui figurent dans des documents, photos et plans du client.

Catégories de données : noms, adresses e-mail, numéros de téléphone, rôles, attributions, temps de travail et activités dans les ordres de travail, textes des signalements, photos, documents et signatures sur les justificatifs. Fristo ne traite des données personnelles sensibles que si le client les saisit lui-même ; le client l’évite lorsque ce n’est pas nécessaire à la finalité.

Dans le module complémentaire Technique médicale, si le client le souscrit : les personnes instruites à l’utilisation de dispositifs médicaux — y compris sans compte —, avec nom, numéro de personnel, secteur et signature ; en outre, les incidents impliquant des dispositifs médicaux. Pour la personne concernée par un incident, Fristo ne prévoit que l’âge, le sexe et les conséquences, pas de nom ; le client n’inscrit pas non plus de noms ni de numéros de patient dans la description.

Les factures d’entreprises externes saisies par le client, avec leurs données de paiement (IDE, IBAN, numéro de créancier). Dans le module complémentaire Interface comptable, si le client le souscrit : son plan comptable, l’imputation de ces factures et le journal de chaque transfert ; si le client connecte Bexio, en outre la clé d’accès à son Bexio, chiffrée. Fristo ne transmet les factures et les PDF que lorsque le client déclenche un transfert, et uniquement vers la comptabilité qu’il choisit ; le fournisseur de celle-ci les traite pour le compte du client et n’est pas un sous-traitant ultérieur de Fristo.

Dans le module complémentaire Accès et clés, si le client le souscrit : les personnes auxquelles le client remet des clés ou des badges — collaborateurs et personnes d’entreprises externes, y compris sans compte —, avec nom, entreprise, fonction, téléphone et signature lors de la remise et du retour ; les annonces préalables d’entreprises externes avec personne de contact, personnes qui viennent, jours, lieu, activités et signature au bas des consignes ; les permis de travail avec conditions, surveillance incendie et justificatifs que l’entreprise téléverse. L’entreprise s’annonce via un lien, sans compte.

Dans les modules complémentaires Saisie de justificatifs par IA et Appareils de contrôle, si le client les souscrit : les rapports de contrôle et les fichiers d’export d’appareils de contrôle, y compris les personnes qui y sont mentionnées (le plus souvent le nom et la signature de la personne qui a effectué le contrôle), ainsi que ce qui en a été lu. Fristo transmet les rapports de contrôle pour lecture au modèle de langage mentionné dans la déclaration de protection des données.

Dans le module complémentaire Nettoyage, si le client le souscrit : les confirmations de nettoyage avec le moment et l’entreprise ou le compte qui a confirmé — sans noms du personnel de nettoyage —, les retours d’usagers sans noms et les contrôles par sondage avec les réponses des contrôleurs.

Dans le module complémentaire Sécurité au travail, si le client le souscrit : les évaluations des risques avec les personnes responsables ; les accidents, soins de premiers secours et presque-accidents avec lieu, moment, déroulement, personne concernée et secouristes, ainsi que des données de santé (blessure, traitement, jours d’absence) — des données personnelles sensibles que seules voient les personnes que le client y autorise et que Fristo supprime à l’échéance du délai choisi par le client ; les instructions de sécurité avec nom et signature.

Durée : la durée du contrat et le délai qui suit, pendant lequel les données restent accessibles selon le § 7 des CG.

Fristo ne traite les données que selon les instructions du client. Ces instructions sont les CG, la présente convention et ce que le client paramètre et déclenche dans l’application. Le client donne d’autres instructions par écrit ou par e-mail. Si Fristo estime qu’une instruction est illicite, il le signale au client.

Fait exception ce que Fristo doit faire en vertu de la loi ; dans ce cas, Fristo en informe préalablement le client, dans la mesure où la loi le permet.

Quiconque peut accéder aux données chez Fristo est tenu à la confidentialité. L’accès du support est régi par la déclaration de protection des données (section « Accès par le support ») : au quotidien, uniquement avec l’autorisation du client, limité dans le temps et journalisé.

Fristo prend les mesures techniques et organisationnelles visées à l’art. 8 LPD et à l’art. 32 RGPD. Elles sont décrites dans la déclaration de protection des données (section « Comment nous protégeons vos données »), en particulier : transmission chiffrée, connexion sans mot de passe, séparation des entreprises au niveau de la base de données, sauvegardes quotidiennes, accès du support journalisés. Fristo adapte les mesures à l’état de la technique, sans abaisser le niveau de protection.

Le client autorise les sous-traitants ultérieurs mentionnés dans la déclaration de protection des données sous « Qui d’autre a accès ». Fristo impose contractuellement à chacun d’eux un niveau de protection équivalent et répond envers le client de leurs obligations comme de ses propres actes (CG § 11 al. 4) ; les limitations prévues au § 11 al. 2 et 3 des CG s’appliquent.

Fristo annonce tout sous-traitant ultérieur nouveau ou remplacé au moins 30 jours à l’avance, par e-mail à l’administration. Le client peut s’y opposer dans ce délai pour un motif important relevant de la protection des données. Si aucune solution ne peut être trouvée, le client peut résilier pour la date du changement ; Fristo rembourse au prorata ce qui a été payé d’avance.

Fristo ne communique des données que vers des États disposant d’un niveau de protection des données adéquat ou moyennant des garanties au sens de l’art. 16 al. 2 LPD et de l’art. 46 RGPD — notamment la certification selon le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et son volet Suisse-États-Unis, ou les clauses contractuelles types de la Commission européenne. La déclaration de protection des données indique de quels États il s’agit.

Fristo aide le client, avec les moyens de l’application, à répondre aux demandes des personnes concernées : renseignements sur l’entreprise et sur chaque personne en un clic, rectification dans le profil, effacement et limitation sur demande, remise des données via l’export des données.

Si une personne du client demande elle-même, dans l’application, l’effacement ou la limitation de ses données, Fristo en informe l’administration du client. Le client charge par la présente Fristo d’exécuter de telles demandes s’il ne s’y oppose pas dans un délai de dix jours ; s’il s’y oppose, Fristo clarifie la situation avec lui et avec la personne. Les demandes que le client présente lui-même sont exécutées par Fristo sans ce délai. Chaque exécution est consignée dans un procès-verbal signé, que le client reçoit.

Si une demande parvient à Fristo par une autre voie, Fristo la transmet au client et n’y répond pas lui-même.

Fristo assiste en outre le client pour la sécurité du traitement, pour les annonces de violations de la sécurité des données et pour les analyses d’impact relatives à la protection des données, dans la mesure où Fristo est concerné. Fristo peut facturer selon le travail effectif l’assistance qui va au-delà des moyens de l’application et de simples renseignements.

Si Fristo constate une violation de la sécurité des données qui concerne des données du client, il l’annonce au client aussi rapidement que possible, au plus tard dans les 72 heures, avec ce qui est connu : nature de la violation, données et personnes concernées, conséquences probables, mesures prises. Fristo communique ultérieurement ce qui est connu plus tard. Le client décide si l’autorité de contrôle et les personnes concernées sont informées.

Le client peut exporter intégralement ses données à tout moment. Après la fin du contrat, elles restent accessibles pendant le délai prévu au § 7 des CG ; ensuite, Fristo les supprime, et les sauvegardes sont écrasées selon le cycle indiqué dans la déclaration de protection des données. Fristo peut conserver ce que la loi exige — notamment les factures.

Sur demande, Fristo met à la disposition du client les informations dont celui-ci a besoin pour démontrer le respect de la présente convention — en priorité par écrit : description des mesures, liste des sous-traitants ultérieurs, leurs certificats et rapports.

Un audit sur place n’est possible qu’en cas de motif fondé : avec un préavis d’au moins 30 jours, pendant les heures de bureau, sans accès aux données d’autres clients et par une personne tenue à la confidentialité. Les frais sont à la charge du client. Les centres de données des sous-traitants ultérieurs sont contrôlés au moyen de leurs rapports et certificats, et non sur place.

La responsabilité est régie par le § 11 des CG. Pour le reste, les CG s’appliquent, y compris en ce qui concerne le droit applicable et le for.