Contrat de sous-traitance

1. Objet, rôles des parties et ordre de priorité

Le présent contrat de sous-traitance (le « Contrat ») règle le traitement de données personnelles que Schweizerform effectue pour votre compte dans le cadre de l'utilisation de la solution de formulaires en ligne Schweizerform (le « Service »). Il est conclu entre vous, en qualité de cliente ou client (le « responsable du traitement »), et Balathanusan Jeyarasan, entreprise individuelle agissant sous la dénomination « Schweizerform » (le « sous-traitant »), dont les coordonnées complètes figurent à la fin du présent document.

Pour les données personnelles que vous collectez au moyen de vos formulaires, vous décidez seul des finalités et des moyens du traitement. Vous êtes le responsable du traitement au sens de l'art. 5 let. j nLPD et de l'art. 4 ch. 7 RGPD. Schweizerform traite ces données exclusivement pour votre compte, en qualité de sous-traitant au sens de l'art. 5 let. k en relation avec l'art. 9 nLPD et, le cas échéant, de l'art. 28 RGPD.

Le présent Contrat fait partie intégrante des Conditions d'utilisation et prime sur celles-ci pour tout ce qui concerne le traitement de données personnelles pour votre compte. Pour le surplus — étendue des prestations, disponibilité, rémunération, limitation de responsabilité et fin de la relation contractuelle —, les Conditions d'utilisation s'appliquent.

Pour les données que Schweizerform traite afin d'établir et de gérer sa propre relation contractuelle avec vous (vos données de contact, de compte et de facturation), Schweizerform est elle-même responsable du traitement. Ce traitement est régi par la déclaration de protection des données et ne fait pas l'objet du présent Contrat.

2. Nature, étendue et finalité du traitement

Schweizerform traite des données personnelles à seule fin de fournir le Service : collecte des réponses transmises au moyen des formulaires que vous créez, conservation de celles-ci sous forme chiffrée et mise à disposition pour consultation et déchiffrement par vous.

Dans la mesure où vous activez les fonctions optionnelles correspondantes (ch. 8), cette finalité comprend en outre : la tenue d'un répertoire chiffré des destinataires que vous saisissez ou importez ; la transmission, aux destinataires que vous désignez, des invitations à vos formulaires que vous ordonnez ; ainsi que l'envoi d'un accusé de réception à une personne ayant rempli l'un de vos formulaires, à sa propre demande et à une adresse qu'elle indique elle-même à ce moment-là. Les limites applicables à chacune de ces opérations résultent des ch. 5, 7, 11 et 12.

Les catégories de données personnelles collectées et les catégories de personnes concernées sont déterminées par vous, au travers des formulaires que vous créez. Schweizerform ne contrôle pas le contenu de vos formulaires et n'est pas en mesure de le faire (ch. 7). Dans la mesure où vous collectez des données personnelles sensibles au sens de l'art. 5 let. c nLPD ou des catégories particulières de données au sens de l'art. 9 RGPD, les mesures prévues par le présent Contrat s'appliquent également à ces données.

Les personnes concernées sont les personnes qui remplissent vos formulaires et, si vous utilisez le répertoire de contacts, les personnes que vous y inscrivez. Les catégories de données sont celles que vous choisissez de collecter, y compris, si vous le décidez, des données personnelles sensibles.

La nature du traitement comprend la collecte, la transmission, la conservation, la mise à disposition pour consultation par vous, l'envoi des messages décrits au deuxième alinéa et l'effacement. Il dure pendant la durée de votre abonnement.

Schweizerform ne traite pas les données à ses propres fins. En particulier, il n'y a aucun traitement à des fins publicitaires, aucun établissement de profils de la personnalité, aucune transmission à des tiers et aucun entraînement de systèmes d'intelligence artificielle ou d'apprentissage automatique au moyen de vos données.

Schweizerform peut exploiter des statistiques d'utilisation agrégées et entièrement anonymisées à des fins d'exploitation, de planification des capacités et d'amélioration du Service, pour autant qu'aucune conclusion ne puisse en être tirée sur vous, sur des personnes concernées individuelles ou sur des contenus.

3. Instructions

Schweizerform ne traite les données personnelles que dans le cadre du présent Contrat et conformément à vos instructions documentées. Cela vaut également pour toute communication de données à l'étranger.

La configuration du Service au moyen de l'interface utilisateur vaut instruction au sens du présent Contrat — notamment la création, la publication, la modification, la clôture et la suppression de formulaires et de réponses, la gestion des autorisations d'accès, la tenue de votre répertoire de contacts, l'envoi d'invitations ainsi que l'activation de fonctions optionnelles. De telles instructions ne requièrent aucune forme particulière.

Les instructions données en dehors de l'interface utilisateur sont adressées sous forme de texte à l'adresse de contact figurant à la fin du présent document. Les instructions données oralement sont confirmées sans délai sous forme de texte.

Si Schweizerform estime qu'une instruction contrevient au droit de la protection des données applicable, elle vous en informe sans délai et peut suspendre son exécution jusqu'à clarification.

Si Schweizerform est légalement tenue de procéder à un traitement allant au-delà des instructions, elle vous en informe avant le traitement, sauf si la loi le lui interdit.

Les instructions dont la mise en œuvre exigerait une modification du Service, des mesures techniques supplémentaires ou un travail dépassant les prestations contractuellement dues ne sont mises en œuvre que sur convention écrite séparée et contre rémunération aux tarifs alors en vigueur (ch. 10).

4. Confidentialité

Schweizerform astreint par écrit à la confidentialité toute personne susceptible d'accéder aux données personnelles, à moins qu'elle ne soit déjà soumise à une obligation légale de garder le secret. L'obligation subsiste au-delà de la fin de l'activité concernée.

Le titulaire est personnellement et directement soumis à l'obligation de confidentialité. Si des collaborateurs ou des mandataires indépendants sont engagés, Schweizerform les astreint par écrit avant le début de leur activité.

L'accès est limité aux personnes qui en ont besoin pour accomplir leurs tâches (principe du moindre privilège).

5. Secret professionnel (art. 321 CP)

Dans la mesure où vous êtes soumis au secret professionnel — comme le sont les cabinets médicaux, les études d'avocats, les notaires et les services de conseil —, les dispositions suivantes s'appliquent.

Dans la mesure où les données collectées au moyen du Service sont soumises au secret professionnel au sens de l'art. 321 du Code pénal suisse, Schweizerform et toute personne agissant pour elle interviennent à cet égard en qualité d'auxiliaires du responsable du traitement au sens de cette disposition.

Schweizerform s'engage à préserver le secret professionnel et y astreint expressément et par écrit toute personne susceptible d'accéder aux données. L'obligation est illimitée dans le temps et subsiste au-delà de la fin du Contrat.

Schweizerform ne communique pas de données à des tiers, y compris sur ordre d'une autorité, sans vous en informer préalablement afin que vous puissiez examiner les voies de droit. Lorsque l'information préalable est interdite par la loi, Schweizerform vous informe dès que cela est licite. Schweizerform n'est pas tenue de contester des décisions officielles à ses propres frais.

Schweizerform ne recourt à des sous-traitants ultérieurs susceptibles, conformément à leur mission, d'accéder à des données couvertes par le secret professionnel que si ceux-ci sont soumis à une obligation de confidentialité contractuelle ou légale correspondant au but protecteur de l'art. 321 CP. Pour les sous-traitants ultérieurs sans un tel accès prévu — le prestataire d'acheminement des courriels transactionnels énuméré au ch. 11 —, l'obligation générale de confidentialité prévue au ch. 4 s'applique ; l'alinéa suivant demeure réservé.

Les invitations et les accusés de réception (ch. 2) sont des fonctions qui ne sont exécutées que sur votre instruction : une invitation n'est envoyée que si vous l'ordonnez, et les accusés de réception ne sont proposés que sur les formulaires pour lesquels vous les avez activés. Si vous y recourez, l'adresse e-mail du destinataire et le nom de votre organisation sont portés à la connaissance du prestataire d'acheminement des courriels énuméré au ch. 11. Le message nomme votre organisation ; il ne nomme la dénomination du formulaire que si vous avez choisi de l'y faire figurer. Il ne contient aucune réponse, aucune soumission et aucun contenu de réponse. Avant de recourir à ces fonctions, vous examinez si cette communication est admissible pour un traitement soumis au secret professionnel ; il vous demeure loisible de ne pas y recourir — les accusés de réception sont désactivés par défaut, et aucune invitation n'est envoyée sans votre instruction.

En raison du chiffrement de bout en bout décrit au ch. 7, Schweizerform ne peut pas prendre connaissance du contenu des réponses. Dans la pratique, la présente obligation s'étend donc aux métadonnées, au contenu des formulaires et à toute autre information à laquelle Schweizerform accède dans le cadre de l'exécution du Contrat.

6. Mesures techniques et organisationnelles

Schweizerform prend les mesures techniques et organisationnelles prévues à l'art. 8 nLPD en relation avec l'ordonnance sur la protection des données ainsi que, le cas échéant, à l'art. 32 RGPD, afin de garantir une sécurité adaptée au risque. Les mesures en place sont décrites ci-après ; elles décrivent le standard de sécurité convenu.

• •Chiffrement de bout en bout. Les réponses et les fichiers joints sont chiffrés dans le navigateur de la personne qui remplit le formulaire ; Schweizerform ne conserve que des données chiffrées et des clés encapsulées. L'architecture et ses limites sont décrites au ch. 7.
• •Dérivation de clé chez vous. Votre clé principale est dérivée dans votre navigateur à partir de votre clé du coffre et n'existe en clair que là ; la clé du coffre et le code de récupération ne sont à aucun moment transmis aux systèmes de Schweizerform ni conservés sur ceux-ci (ch. 7).
• •Fichiers joints. Les noms d'objets dans le stockage sont des UUID aléatoires ; le nom de fichier d'origine et le type de fichier ne figurent qu'à l'intérieur de l'enregistrement chiffré.
• •Contrôle d'accès. Accès au compte au moyen d'identifiants personnels ; les mots de passe ne sont conservés côté serveur que sous forme de hachage. Les opérations sensibles requièrent en outre un code à usage unique envoyé par e-mail.
• •Mécanismes de blocage. Verrouillage du compte après des tentatives infructueuses répétées ; limitation du débit ; blocage automatique des adresses IP suspectes ; protection contre la falsification de requête intersite et vérification de l'origine des requêtes. Les adresses IP traitées à ces fins sont conservées dans des enregistrements de courte durée ou sur une liste de blocage. Si vous configurez un formulaire pour n'accepter qu'une soumission par connexion, une valeur dérivée au moyen d'une clé de l'adresse IP de la personne qui répond est enregistrée sur la soumission concernée ; l'adresse elle-même n'est pas enregistrée, la valeur ne permet pas de retrouver une adresse, et elle est supprimée avec la soumission.
• •Sessions et verrouillage automatique. Sessions côté serveur à durée de validité limitée ; vue d'ensemble et révocation des sessions actives ; déconnexion automatique du navigateur et effacement de la clé principale de sa mémoire vive après une durée d'inactivité configurable.
• •Autorisations fondées sur les rôles. Dans les espaces de travail d'équipe, des rôles échelonnés offrant différents niveaux d'accès. La clé de l'espace de travail est liée cryptographiquement à la paire de clés personnelle de chaque membre.
• •Séparation des clients. Séparation logique au moyen de chemins de stockage liés au propriétaire et d'un contrôle des autorisations à chaque accès, ainsi que séparation cryptographique : chaque formulaire dispose de sa propre paire de clés et chaque répertoire de contacts de sa propre clé.
• •Intégrité. Transmission chiffrée exclusivement par TLS. Le texte chiffré des réponses est lié cryptographiquement aux identifiants du formulaire et de la réponse (chiffrement authentifié avec données associées). Les fichiers joints sont chiffrés au moyen de la même clé de réponse.
• •Journalisation. Journalisation des événements pertinents pour la sécurité avec horodatage, personne agissante, objet concerné et résultat. L'adresse IP et l'agent utilisateur ne sont enregistrés dans le journal de sécurité que pour les actions de vos utilisateurs connectés — jamais pour les réponses des personnes concernées.
• •Exploitation. Exploitation sur l'infrastructure gérée d'un prestataire suisse (ch. 11), dans des centres de données situés en Suisse. Environnements de développement et de production séparés ; installation rapide des mises à jour de sécurité ; journalisation centralisée des erreurs et des événements.
• •Sauvegardes. La base de données est sauvegardée quotidiennement par le fournisseur d'infrastructure en Suisse. Le stockage objet contenant les données chiffrées des réponses et les fichiers joints est redondant chez le fournisseur, mais n'est pas sauvegardé séparément par Schweizerform ; la redondance ne remplace pas une sauvegarde, et la restauration de données supprimées ou perdues chez le fournisseur n'est pas garantie. Vous pouvez à tout moment générer des exports complets de vos données sous forme déchiffrée et êtes tenu de le faire régulièrement (ch. 14).
• •Pages publiques des formulaires et compteurs d'utilisation. Les pages publiques des formulaires ne créent aucune session d'analyse, ne génèrent aucune empreinte du navigateur et n'intègrent aucun service tiers d'analyse, de publicité ou de suivi. Ce que Schweizerform consigne au sujet de l'utilisation d'un formulaire se limite à des compteurs agrégés et à des métadonnées techniques sommaires par soumission. Les compteurs étendus ne sont tenus que sur les formulaires pour lesquels vous les activez ; ce réglage est désactivé par défaut. Aucune de ces valeurs ne contient d'adresse IP, d'agent utilisateur, d'enregistrement par visite ni de réponse, et toutes ces valeurs sont supprimées en même temps que le formulaire.

Les mesures sont soumises au progrès technique. Schweizerform peut les adapter pour autant que le niveau de protection ne soit pas abaissé ; une modification qui l'abaisse n'intervient que selon la procédure prévue au ch. 17. Elle communique les modifications substantielles à l'avance sous forme de texte.

7. Chiffrement de bout en bout et sa portée

Les réponses des personnes concernées ainsi que les fichiers qu'elles téléversent sont chiffrés dans le navigateur de la personne concernée et transmis aux systèmes de Schweizerform, puis conservés, exclusivement sous forme chiffrée. La clé de chaque réponse est encapsulée avec la clé publique du formulaire.

La clé nécessaire au déchiffrement (la clé principale) est dérivée exclusivement dans votre navigateur à partir de votre clé du coffre, au moyen d'une fonction de dérivation de clé conforme aux recommandations actuelles. Votre clé du coffre n'est à aucun moment transmise aux systèmes de Schweizerform ni conservée sur ceux-ci ; la clé principale n'existe en clair que dans la mémoire vive de votre navigateur. Une copie de la clé principale chiffrée au moyen de votre code de récupération est en outre conservée, afin que vous puissiez retrouver l'accès à vos données au moyen de ce code ; le code de récupération lui-même n'est jamais transmis ni conservé, de sorte que cette copie est sans utilité pour Schweizerform. Schweizerform n'a aucun accès au contenu en clair des réponses et ne prendra aucune mesure pour se procurer un tel accès.

Portée du chiffrement. Le chiffrement couvre les réponses et les fichiers joints des personnes concernées. Ne sont pas couverts — et sont donc accessibles en clair à Schweizerform — notamment : la dénomination et le texte des questions des formulaires ; les paramètres des formulaires et les éléments de personnalisation graphique ; les données de compte et de contact de vos utilisateurs ; les horodatages et les métadonnées techniques des réponses ; ainsi que les journaux de sécurité visés au ch. 6. Il vous incombe de veiller à ne pas faire figurer de données personnelles de personnes concernées dans le texte des questions, les dénominations de formulaires ou les paramètres.

Le répertoire de contacts. Les indications que vous tenez au sujet d'un contact sont chiffrées dans votre navigateur au moyen d'une clé propre, elle-même chiffrée avec votre clé principale ou, pour un répertoire tenu dans un espace de travail d'équipe, avec la clé de cet espace de travail. Schweizerform ne conserve ces données que sous forme chiffrée et ne peut pas les lire. Ne sont pas couvertes par ce chiffrement les valeurs techniques qui font fonctionner le répertoire — notamment des valeurs dérivées de l'adresse e-mail qui permettent de reconnaître les doublons et les oppositions, l'attribution des contacts à des groupes et les horodatages. Aucune de ces valeurs n'est lisible comme une identité. Certaines d'entre elles sont conservées après la suppression d'un contact, afin qu'une opposition demeure respectée (ch. 14).

Accusés de réception. Lorsqu'une personne ayant rempli l'un de vos formulaires demande un accusé de réception, l'adresse qu'elle indique sert à l'envoi de ce seul message, puis est écartée. Elle n'est ni conservée avec la réponse ni inscrite au journal d'envoi des courriels. Une valeur dérivée de celle-ci au moyen d'une clé est conservée brièvement afin que la même adresse ne puisse pas être sollicitée de manière répétée au travers du Service ; elle n'est conservée nulle part ailleurs.

Conséquences de la perte de la clé. Vous êtes seul responsable de la conservation sûre de votre clé du coffre et de votre code de récupération. Si les deux sont perdus, les données chiffrées demeurent, pour des raisons techniques, illisibles aussi longtemps que ni l'une ni l'autre n'est retrouvée. Une réinitialisation de la clé du coffre sans clé du coffre et sans code de récupération ne rechiffre pas les données existantes, mais déplace l'ensemble de vos formulaires, réponses et contacts personnels dans un fonds bloqué ; celui-ci ne demeure lisible que si l'un des anciens codes est retrouvé ultérieurement. Les formulaires et les répertoires de contacts détenus dans un espace de travail d'équipe ne sont pas déplacés ; en revanche, votre copie de la clé de l'espace de travail devient invalide et doit vous être octroyée à nouveau par une autre personne administratrice de cet espace de travail. Si aucune autre personne administratrice ne détient cette clé, les contenus de cet espace de travail ne peuvent plus être déchiffrés ; le fait de retrouver un ancien code ne les rétablit pas. Schweizerform ne peut pas les restaurer ; sa responsabilité pour la perte qui en résulte est exclue dans la mesure permise par la loi.

Forme de la restitution. Toute restitution de données par Schweizerform intervient dans le format dans lequel Schweizerform les détient, soit sous forme chiffrée accompagnée des métadonnées correspondantes. Une restitution en clair est techniquement impossible pour Schweizerform. Vous prenez acte du fait qu'une restitution après la fin du Contrat est sans valeur sans votre clé du coffre et veillez à procéder à votre propre export en temps utile avant la fin du Contrat.

Schweizerform vous informe sans délai sous forme de texte si une modification de l'architecture devait avoir pour conséquence que les deux premiers alinéas du présent chiffre ne s'appliquent plus. Dans ce cas, vous pouvez résilier le présent Contrat et les Conditions d'utilisation de manière extraordinaire pour la date d'entrée en vigueur de la modification.

8. Vos obligations en tant que responsable du traitement

Vous êtes seul responsable de la licéité de la collecte, du traitement et de l'utilisation des données ainsi que de la conception et du contenu de vos formulaires, de l'existence d'une base légale valable et de l'information correcte des personnes concernées (art. 19 ss nLPD). Schweizerform ne contrôle ni le contenu ni l'admissibilité de vos formulaires et n'y est ni tenue ni — en raison du chiffrement selon le ch. 7 — en mesure de le faire.

Vous ne collectez au moyen du Service que les données personnelles nécessaires à votre finalité.

Vous gérez sous votre propre responsabilité les accès à votre compte et, s'ils sont utilisés, aux espaces de travail d'équipe. Vous attribuez et retirez les autorisations en temps utile, choisissez des mots de passe et des clés du coffre sûrs et les gardez secrets. Les actes accomplis au moyen de vos accès sont réputés émaner de vous.

Vous informez Schweizerform sans délai si vous avez des indices d'une compromission de vos identifiants ou d'une violation de la sécurité des données dans votre sphère de responsabilité.

Avant d'activer des fonctions optionnelles impliquant un traitement par des tiers — la traduction et la création de formulaires assistées par IA visées au ch. 11 —, vous examinez si leur utilisation est admissible pour votre traitement. Ces fonctions sont désactivées par défaut et ne sont utilisées que sur votre activation expresse ; elles ne traitent que des textes de formulaires rédigés par vous et à aucun moment des réponses de personnes concernées.

Il en va de même du répertoire de contacts, des invitations, des accusés de réception, de la copie destinée à la personne qui répond et des compteurs étendus visés au ch. 6. Aucune de ces fonctions n'est exécutée sans votre instruction (ch. 3) : le répertoire de contacts et les invitations uniquement lorsque vous y recourez ; les accusés de réception, la copie destinée à la personne qui répond et les compteurs étendus uniquement après que vous les avez activés pour le formulaire concerné — ceux-ci sont désactivés par défaut. Avant d'y recourir ou de les activer, vous examinez si leur utilisation est admissible pour votre traitement — en particulier, si vous êtes soumis au secret professionnel, si la communication décrite au ch. 5 est admissible pour vous. Vous déterminez quels destinataires sont sollicités et garantissez disposer d'une base légale valable pour contacter les personnes figurant dans votre répertoire de contacts et pour les messages que vous ordonnez.

9. Annonce des violations de la sécurité des données

Schweizerform vous annonce toute violation de la sécurité des données concernant vos données sans délai, mais au plus tard dans les 48 heures suivant sa connaissance, sous forme de texte.

L'annonce est adressée à l'adresse e-mail enregistrée pour votre compte. Vous tenez cette adresse à jour.

L'annonce contient, dans la mesure où ces éléments sont connus au moment de l'annonce : la nature de la violation, les catégories de données concernées, le nombre approximatif de personnes concernées et d'enregistrements, les conséquences probables ainsi que les mesures prises ou proposées. Schweizerform complète les informations manquantes dès qu'elles sont disponibles ; une première annonce incomplète est réputée respecter le délai.

Schweizerform vous assiste dans vos obligations d'annonce au PFPDT selon l'art. 24 nLPD ainsi que, le cas échéant, selon les art. 33 et 34 RGPD. L'appréciation de l'obligation d'annoncer et l'annonce elle-même vous incombent.

Schweizerform documente les violations de la sécurité des données, y compris les mesures correctrices prises.

Les annonces faites en vertu du présent chiffre visent à satisfaire à des obligations légales et ne constituent aucune reconnaissance de faute ou de responsabilité.

10. Droits des personnes concernées et assistance

Le respect des droits des personnes concernées vous incombe. Le Service met à votre disposition les fonctions nécessaires à cet effet, en particulier la consultation, l'export et la suppression de réponses individuelles ainsi que la consultation, l'export et la suppression des entrées de votre répertoire de contacts.

Schweizerform vous assiste par des mesures appropriées dans la mesure où vous ne pouvez pas satisfaire vous-même aux demandes au moyen des fonctions du Service. Comme Schweizerform ne peut pas déchiffrer les contenus, son assistance se limite nécessairement aux données chiffrées et aux métadonnées.

Si une personne concernée adresse une demande directement à Schweizerform, celle-ci vous la transmet sans délai et n'y répond pas elle-même. Lorsqu'un destinataire d'une invitation s'oppose à la réception d'autres messages, Schweizerform consigne cette opposition et la fait respecter pour les envois futurs ; elle agit ainsi en exécution de ses propres obligations en tant qu'expéditrice du message et ne répond pas pour autant à d'autres demandes à votre place.

Schweizerform vous assiste lors des analyses d'impact relatives à la protection des données et lors des consultations de l'autorité de surveillance, dans la mesure où les informations nécessaires relèvent de sa sphère de responsabilité.

Les prestations d'assistance visées aux ch. 9 et 10 sont fournies gratuitement dans une mesure usuelle. Si le travail dépasse la mesure usuelle — notamment en cas de demandes répétées ou étendues, de justificatifs individuels, de questionnaires, de contrôles sur place ou d'analyses distinctes —, Schweizerform vous en informe préalablement et n'entreprend l'exécution qu'après votre accord sous forme de texte, contre rémunération aux tarifs alors en vigueur. Cela ne s'applique pas dans la mesure où le travail découle d'une violation de ses obligations imputable à Schweizerform.

11. Sous-traitants ultérieurs

Vous accordez à Schweizerform l'autorisation générale de recourir à des sous-traitants ultérieurs conformément au présent chiffre (art. 9 al. 3 nLPD). Les sous-traitants ultérieurs auxquels il est recouru au moment de la publication de la présente version sont énumérés ci-après. Cette liste fait foi ; les Conditions d'utilisation y renvoient.

Le traitement des paiements (Stripe Payments Europe, Ltd., Irlande) ne concerne que vos propres données de contact, de compte et de facturation, que Schweizerform traite en qualité de responsable du traitement (ch. 1) ; il est décrit dans la déclaration de protection des données et ne constitue pas une sous-traitance ultérieure au sens du présent Contrat.

Si Schweizerform entend recourir à un nouveau sous-traitant ultérieur ou en remplacer un existant, elle vous en informe au moins 30 jours à l'avance sous forme de texte.

Vous pouvez vous opposer à la modification dans les 30 jours suivant la réception de la communication, sous forme de texte et pour un motif important fondé en droit de la protection des données. À défaut d'opposition dans ce délai, la modification est réputée approuvée.

Si vous vous opposez et que les parties ne trouvent pas de solution consensuelle dans les 30 jours, chaque partie peut résilier de manière ordinaire le présent Contrat et les Conditions d'utilisation pour la date prévue de la modification. Aucune prétention supplémentaire ne découle de l'opposition.

La suppression d'un sous-traitant ultérieur sans remplacement ne requiert ni communication préalable ni procédure d'opposition ; elle prend effet avec la publication de la nouvelle version du présent Contrat (ch. 17).

Schweizerform peut remplacer un sous-traitant ultérieur sans communication préalable lorsque cela est nécessaire pour écarter un danger immédiat pour la sécurité ou la disponibilité du Service. Elle vous en informe alors sans délai après coup.

Schweizerform astreint contractuellement les sous-traitants ultérieurs à des obligations correspondant pour l'essentiel à celles découlant du présent Contrat, y compris la confidentialité selon le ch. 4 et, dans la mesure où il est applicable, le ch. 5.

Schweizerform répond du respect des obligations de protection des données par ses sous-traitants ultérieurs comme de son propre comportement, dans les limites du régime de responsabilité prévu au ch. 15.

Ne constituent pas une sous-traitance ultérieure les prestations accessoires sans accès prévu à vos données personnelles, notamment les services de télécommunication ainsi que la maintenance par des tiers sans accès aux données.

12. Lieu du traitement et communication à l'étranger

Réponses. Toutes les réponses des personnes concernées — réponses et fichiers joints — sont traitées et conservées exclusivement en Suisse (serveurs applicatifs, base de données, stockage objet). Aucun traitement de ces données n'a lieu hors de Suisse. Le répertoire de contacts est lui aussi conservé exclusivement en Suisse et sous forme chiffrée (ch. 7).

Prestations accessoires hors de Suisse. Hors de Suisse, seul a lieu l'acheminement des courriels transactionnels par le prestataire énuméré au ch. 11 (Norvège ; traitement et acheminement en Allemagne et en Finlande). L'acheminement des courriels ne comprend ni soumissions, ni réponses, ni contenu de réponse. Il ne comprend de données personnelles d'une personne concernée que dans deux cas — lorsque vous ordonnez une invitation à un destinataire que vous désignez et lorsqu'une personne ayant rempli l'un de vos formulaires demande qu'un accusé de réception lui soit adressé — et, dans les deux cas, uniquement l'adresse e-mail du destinataire et le message décrit au ch. 11. Vos propres données de facturation sont traitées par le prestataire de paiement nommé dans la déclaration de protection des données (ch. 1) ; il ne s'agit pas d'un traitement pour votre compte. Tout traitement supplémentaire hors de Suisse n'a lieu qu'après communication préalable conformément au ch. 11.

L'acheminement des courriels par le prestataire énuméré au ch. 11 se déroule entièrement au sein de l'Espace économique européen. Les États concernés — Norvège, Allemagne et Finlande — disposent d'une protection des données adéquate selon l'annexe 1 de l'ordonnance sur la protection des données. Cette communication est ainsi licite selon l'art. 16 al. 1 nLPD, sans garanties supplémentaires.

Pour d'éventuelles communications ultérieures par ces sous-traitants à des destinataires hors de l'Espace économique européen, Schweizerform ne recourt qu'à des sous-traitants ultérieurs dont les propres conditions prévoient, pour de telles communications, une base conforme aux art. 16 et 17 nLPD ainsi que, le cas échéant, au chapitre V RGPD — en particulier une décision d'adéquation ou les clauses contractuelles types de la Commission européenne. Elle transmet sur demande les justificatifs correspondants des sous-traitants ultérieurs.

13. Preuves et contrôles

Sur demande, Schweizerform apporte la preuve du respect des obligations découlant du présent Contrat, en premier lieu par une description actuelle des mesures prises, par une auto-déclaration ainsi que par les certificats ou rapports d'audit de ses sous-traitants ultérieurs.

Si ces preuves ne suffisent pas dans un cas d'espèce fondé, vous pouvez procéder à un contrôle au plus une fois par année civile, ou le faire effectuer par un tiers indépendant, astreint au secret et non concurrent de Schweizerform. Le contrôle est effectué à distance, sur la base de documents et de réponses écrites, moyennant un préavis d'au moins 30 jours et en perturbant le moins possible l'exploitation ; il n'excède pas deux jours ouvrables de travail de Schweizerform.

Un contrôle sur place chez Schweizerform n'a lieu qu'en cas de soupçon fondé d'une violation grave de la sécurité des données ; dans ce cas, les restrictions de l'alinéa précédent quant à la fréquence, au délai de préavis, à la forme et à la durée ne s'appliquent pas.

Vous supportez les coûts d'un contrôle et indemnisez le travail de Schweizerform aux tarifs alors en vigueur. Si des violations essentielles des obligations de Schweizerform sont constatées, celle-ci supporte ces coûts.

L'accès aux systèmes, aux locaux et aux données de tiers ainsi qu'aux secrets d'affaires de Schweizerform demeure réservé. Aucun accès direct aux systèmes de production n'est accordé.

14. Conservation, effacement et restitution

Pendant la durée du Contrat, vous pouvez à tout moment obtenir vous-même vos données au moyen des fonctions d'export du Service. Ce libre-service vaut remise des données au sens de l'art. 9 nLPD.

Vous pouvez à tout moment, pendant la durée du Contrat, demander la suppression de réponses individuelles ; la fonction correspondante est directement à votre disposition dans le Service. Si la demande passe exceptionnellement par Schweizerform, celle-ci procède à la suppression dans les 30 jours.

• •Journal de sécurité. L'adresse IP et l'agent utilisateur sont automatiquement supprimés des entrées de journal après 90 jours ; l'entrée d'événement elle-même (moment, action, objet, résultat) est conservée à titre de preuve.
• •Journal d'envoi des courriels. Les entrées, y compris le contenu rendu des messages, sont automatiquement supprimées après 90 jours. Les invitations à vos formulaires et les accusés de réception envoyés sur demande ne sont pas inscrits du tout dans ce journal — ni l'adresse du destinataire, ni le contenu du message (voir l'entrée « Enregistrements d'invitation »).
• •Répertoire de contacts. Les entrées de votre répertoire de contacts subsistent aussi longtemps que vous les conservez et sont supprimées lorsque vous les supprimez, au plus tard lors de la suppression de votre compte ou de l'espace de travail concerné. Lorsque vous supprimez un contact qui s'est opposé à la réception d'autres messages, des valeurs dérivées de son adresse e-mail sont conservées afin que l'opposition demeure respectée si la même adresse est importée à nouveau. Ce résidu ne contient aucune adresse lisible, n'est utilisé à aucune autre fin et est supprimé avec votre compte ou avec l'espace de travail concerné.
• •Enregistrements d'invitation. Pour chaque invitation envoyée, un enregistrement du statut d'acheminement est tenu aussi longtemps que le formulaire existe et est supprimé en même temps que celui-ci. Il ne contient aucune adresse de destinataire, aucun nom et aucun contenu de message. Pour un accusé de réception, ainsi que pour la copie que la personne établit pour elle-même sur la page de confirmation, seul le moment est consigné auprès de la réponse concernée.
• •Formulaires enregistrés en cours de remplissage. Si vous activez pour un formulaire l'enregistrement en vue d'une reprise ultérieure, les réponses partielles qu'une personne enregistre sont conservées chiffrées de la même manière que les soumissions et sont supprimées automatiquement 30 jours après leur dernier enregistrement, au plus tard en même temps que le formulaire.
• •Copies de sauvegarde. Une suppression prend effet immédiatement dans les systèmes de production. Les données figurant dans les copies de sauvegarde sont écrasées au fil du cycle de sauvegarde ordinaire, au plus tard dans les 30 jours (le cycle de sauvegarde de la base de données est actuellement de sept jours). Jusque-là, elles restent bloquées aux seules fins de restauration et ne font l'objet d'aucun autre traitement.

Après la fin du Contrat, Schweizerform restitue ou efface les données personnelles selon votre choix, y compris les copies existantes. Vous communiquez votre choix sous forme de texte dans les 30 jours suivant la fin du Contrat. À défaut de communication, Schweizerform efface les données à l'échéance de ce délai. Le ch. 7 s'applique à la forme de la restitution. Si vous supprimez vous-même votre compte au moyen de la fonction correspondante du Service, cela vaut choix de l'effacement ; la suppression intervient dans ce cas immédiatement et de manière irréversible, et le délai prévu au présent alinéa ne s'applique pas. Vous procédez à vos exports au préalable.

Schweizerform confirme l'effacement sur demande sous forme de texte. Une conservation au-delà de la fin du Contrat est admissible dans la mesure où des obligations légales de conservation existent ; dans ce cas, Schweizerform limite le traitement à la finalité de conservation.

15. Responsabilité

Les parties répondent conformément aux dispositions légales.

La limitation de responsabilité convenue dans les Conditions d'utilisation — en particulier la limitation de la responsabilité totale aux rémunérations versées à Schweizerform durant les douze mois précédant l'événement dommageable ainsi que l'exclusion des dommages indirects et consécutifs — s'applique également aux prétentions découlant du présent Contrat.

Cette limitation de responsabilité ne s'applique pas aux dommages causés par négligence grave ou intentionnellement (art. 100 al. 1 CO), ni en cas d'atteinte à la vie, à l'intégrité corporelle ou à la santé.

La responsabilité de Schweizerform est exclue pour les dommages résultant : de la perte de la clé du coffre ou du code de récupération (ch. 7) ; de la conception, du contenu ou de la licéité de vos formulaires ; de la licéité des messages que vous ordonnez et des destinataires que vous désignez ; de votre gestion des accès et des autorisations ; ou de vos instructions dont Schweizerform a signalé le caractère problématique conformément au ch. 3.

Si une partie est recherchée par des personnes concernées ou par des autorités en raison d'une violation de ses obligations par l'autre partie, la partie en faute relève l'autre à concurrence de sa part de responsabilité. Les deuxième et troisième alinéas du présent chiffre demeurent réservés.

16. Durée, fin du Contrat et cessation du Service

Le présent Contrat entre en vigueur lors de la création de votre compte et s'applique pendant la durée des Conditions d'utilisation. Il prend fin automatiquement avec celles-ci ; aucune résiliation distincte n'est nécessaire. Pour les comptes qui existaient déjà au moment de l'entrée en vigueur de la présente version, le présent Contrat entre en vigueur à cette date, et la poursuite de l'utilisation du Service par la suite vaut acceptation selon les Conditions d'utilisation. Lorsqu'une nouvelle version est publiée sans qu'une communication soit requise selon le ch. 17, la poursuite de l'utilisation du Service après la date d'entrée en vigueur de cette version vaut acceptation.

La fin des Conditions d'utilisation est régie par celles-ci. Schweizerform est en droit de cesser le Service conformément aux Conditions d'utilisation ; elle vous en informe dans ce cas au moins 90 jours à l'avance sous forme de texte et vous permet d'exporter vos données pendant ce délai.

Le droit de résilier de manière extraordinaire pour de justes motifs demeure réservé aux deux parties.

Les obligations de confidentialité (ch. 4) et de respect du secret professionnel (ch. 5) subsistent au-delà de la fin du Contrat.

17. Modifications du présent Contrat

Schweizerform peut adapter le présent Contrat dans la mesure où cela est nécessaire pour tenir compte d'une modification de la situation juridique, de la jurisprudence, de la pratique des autorités ou d'un développement du Service.

Toute modification est publiée sous la forme d'une nouvelle version du présent document, dotée de sa propre date d'entrée en vigueur et d'une entrée au journal des modifications. Les versions publiées ne sont jamais modifiées après coup et demeurent consultables ; seules les corrections qui ne changent pas le sens d'une disposition peuvent être apportées à la version en place.

Une modification est substantielle lorsqu'elle étend le traitement effectué pour votre compte ou affaiblit une protection ou un droit au titre du présent Contrat — en particulier : une nouvelle catégorie de données personnelles ou de personnes concernées, ou une nouvelle finalité (ch. 2) ; un nouveau sous-traitant ultérieur ou le remplacement d'un sous-traitant existant (ch. 11) ; un nouvel État de traitement (ch. 12) ; une durée de conservation plus longue (ch. 14) ; l'affaiblissement d'une mesure prévue au ch. 6 ou d'une garantie prévue au ch. 7 ; ainsi qu'une modification des ch. 5, 9, 13 ou 15, ou du présent ch. 17, qui restreint vos droits. Ne sont pas substantielles, en particulier, une modification qui ne fait que restreindre le traitement — telle que la suppression d'un sous-traitant ultérieur sans remplacement, la suppression d'un lieu de traitement, le raccourcissement d'une durée de conservation ou le renforcement d'une protection —, une description plus précise d'un traitement qui a déjà lieu, ainsi qu'une valeur supplémentaire consignée au titre du ch. 6 qui n'identifie aucune personne et qui est soit un compteur agrégé par formulaire ou par question, soit consignée uniquement sur votre instruction ou en vertu d'un réglage que vous activez. En cas de doute sur le caractère substantiel d'une modification, celle-ci est réputée substantielle.

Schweizerform communique les modifications substantielles au moins 30 jours avant leur entrée en vigueur, sous forme de texte, à l'adresse e-mail enregistrée pour votre compte. La forme de texte au sens du présent Contrat comprend l'e-mail.

Les modifications non substantielles entrent en vigueur avec la publication de la nouvelle version. Seule la communication préalable est ainsi supprimée ; la nouvelle version, sa date d'entrée en vigueur et l'entrée au journal des modifications demeurent.

Lorsque la communication porte sur le recours à un nouveau sous-traitant ultérieur ou sur le remplacement d'un sous-traitant existant (ch. 11), vous pouvez vous y opposer dans les 30 jours suivant sa réception, sous forme de texte et pour un motif important fondé en droit de la protection des données ; la procédure et les conséquences prévues au ch. 11 s'appliquent. Pour les autres modifications, il n'existe pas de droit d'opposition ; l'alinéa suivant demeure réservé.

Lorsqu'une modification affaiblit une mesure prévue au ch. 6 ou une garantie prévue au ch. 7, vous pouvez résilier le présent Contrat et les Conditions d'utilisation, sous forme de texte avant l'entrée en vigueur de la modification, pour la date de son entrée en vigueur ; jusque-là, la version précédente continue de s'appliquer à vous. Une modification qui supprimerait ou restreindrait le contenu que l'art. 9 nLPD et l'art. 28 par. 3 RGPD exigent du présent Contrat ne prend jamais effet par le silence et requiert dans tous les cas votre accord exprès.

La date d'entrée en vigueur de la version applicable figure à la fin de la présente page.

18. Droit applicable et for

Le droit suisse est applicable, à l'exclusion des règles de conflit de lois et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises.

Le for exclusif pour tout litige découlant du présent Contrat ou en relation avec celui-ci est Pfäffikon SZ, Suisse.