Contrat de sous-traitance (DPA)

Résumé

Le présent contrat de sous-traitance régit le traitement de données à caractère personnel par aurenote pour le compte de clients professionnels conformément à l'art. 9 LPD et à l'art. 28 RGPD. Il s'applique à tous les plans Team, Business et Enterprise.

1. Parties

Sous-traitant:
Recica Solutions
Entreprise individuelle · Propriétaire : Donat Recica
Zollstrasse 6, 8212 Neuhausen am Rheinfall, Schweiz
info@recica-solutions.ch

Responsable du traitement: Vous, ou la personne morale qui utilise aurenote sous un plan Team, Business ou Enterprise.

2. Objet et finalité

Le sous-traitant traite les données à caractère personnel exclusivement aux fins de fourniture du service aurenote :

Stockage et affichage de notes, réunions, transcriptions et résumés
Transcription automatique et résumé assisté par IA des réunions en ligne
Gestion des membres de l'espace de travail et de leurs autorisations
Mise à disposition de journaux d'audit et de fonctions de conformité

3. Durée

Le présent DPA s'applique pendant la durée du contrat principal (plan) et au-delà jusqu'à la suppression complète de toutes les données traitées (au plus tard 30 jours après la fin du contrat).

4. Étendue du traitement

Catégories de données

Données d'identification (noms, adresses e-mail, rôles)
Données de contenu (notes, transcriptions, enregistrements audio, résumés)
Métadonnées (heure de création, historique d'édition, journaux d'activité)
Données techniques (adresses IP, accès, événements d'audit)

Personnes concernées

Membres de l'espace de travail (collaborateurs du client)
Participants externes aux réunions (en cas d'enregistrement)

5. Obligations du sous-traitant

Le sous-traitant s'engage à :

traiter les données exclusivement selon les instructions documentées du responsable
soumettre l'ensemble du personnel à une obligation de confidentialité
mettre en œuvre des mesures techniques et organisationnelles appropriées (voir section 6)
soutenir le responsable dans l'exécution des droits d'accès, de rectification et de suppression des personnes concernées
notifier sans délai les violations de données (dans les 72 heures)
permettre des audits et inspections par le responsable sur demande

6. Mesures techniques et organisationnelles (TOM)

Le sous-traitant met notamment en œuvre les mesures suivantes :

Chiffrement : TLS 1.2 et 1.3 en transit ; transcriptions, résumés et jetons d'accès des calendriers connectés chiffrés en outre au niveau des champs avec AES-256-GCM ; sauvegardes chiffrées avec AES-256 (restic)
Contrôle d'accès : authentification à deux facteurs obligatoire pour l'accès du fournisseur et disponible pour tous les comptes clients ; mots de passe stockés uniquement sous forme de hachage scrypt ; la console d'administration du fournisseur n'affiche aucun contenu des clients
Hébergement : centres de données Infomaniak certifiés ISO 27001 à Genève (Suisse)
Sauvegarde : quotidienne, chiffrée (restic, AES-256), chez Swiss Backup d'Infomaniak en Suisse, conservation de 30 jours
Surveillance : journaux d'audit de tous les accès administratifs, détection automatique d'anomalies

7. Sous-traitants ultérieurs

Une liste à jour de tous les sous-traitants ultérieurs est disponible à Sous-traitants.

8. Transferts vers des pays tiers

Les données sont principalement traitées en Suisse (Infomaniak, Genève). Lorsque des sous-traitants ultérieurs sont utilisés à l'étranger (p. ex. UE ou USA), les transferts ont lieu sur la base des clauses contractuelles types (CCT) et, si nécessaire, de garanties supplémentaires.

9. Responsabilité

La responsabilité du sous-traitant est régie par les CGV du contrat principal et limitée au montant annuel payé par le client.

10. Fin du contrat

À la fin du contrat principal, toutes les données du client sont supprimées dans un délai de 30 jours, sauf obligations légales de conservation. Un export est effectué au préalable sur demande.

11. Accord contraignant

En tant que client professionnel avec un plan Team, Business ou Enterprise, vous acceptez le présent DPA lors de votre première connexion. Si le plan a été souscrit via la caisse Stripe, le DPA s'applique depuis la souscription. Pour un DPA adapté individuellement (p. ex. avec points de négociation ou clauses spécifiques à l'entreprise), contactez-nous.

Demander un DPA individuel →