Accorddesous-traitancesurletraitementdesdonnées
1. Champ d’application
1.1 Portée : le présent accord de traitement des données porte sur la relation juridique entre Zippsafe AG, y compris toutes ses filiales nationales et internationales, et ses clients (ci-après collectivement désignés par « parties »).
1.2 Objet du contrat : l’objet du présent accord est le traitement des données personnelles dans le cadre de l’exécution des obligations découlant de l’offre de Zippsafe AG. L’objet du traitement des données comprend les catégories de données et de personnes énumérées dans l’offre.
1.3 Durée de validité : l’accord est valable tant que Zippsafe AG traite des données personnelles pour le compte du client, éventuellement au-delà de la fin du contrat si les données personnelles sont traitées par Zippsafe AG après la fin de la relation contractuelle. Après la fin du contrat, le droit de contrôle est limité aux demandes écrites.
2. Traitement des données
2.1 Lieux de traitement des données : le traitement des données a lieu au sein de l’Union européenne et en Suisse.
2.2 Recours à des sous-traitants : Zippsafe AG est autorisée à faire appel à des sous-traitants pour l’exécution du service. Avant de faire appel à de nouveaux sous-traitants, Zippsafe AG informera le client par écrit au moins quatre semaines à l’avance. Le client peut s’opposer à ce recours pour des motifs fondés. Le sous-traitant est réputé accepté si le client ne s’oppose pas à ce recours dans un délai de quatre semaines après notification. En cas de désaccord, les deux parties ont la possibilité de résilier le contrat avec un préavis de 30 jours.
2.3 Confidentialité et formation : Zippsafe AG ne fait appel qu’à des personnes ou des sous-traitants qui sont contractuellement ou légalement tenus de respecter la confidentialité et qui sont familiers avec les réglementations en vigueur en matière de protection des données.
2.4 Les données personnelles ne sont traitées que conformément aux instructions documentées du client. Les instructions verbales doivent être confirmées immédiatement sous forme de texte. Si Zippsafe AG estime qu’une instruction est contraire à la législation en matière de protection des données, elle en informera le client et suspendra le traitement jusqu’à ce que le client confirme l’instruction par écrit.
2.5 Utilisation prévue des données : Zippsafe AG s’engage à utiliser les données personnelles traitées exclusivement aux fins spécifiées dans l’offre. La divulgation des données dans le cadre d’enquêtes officielles ou à des fins de poursuites judiciaires constitue une exception, pour laquelle Zippsafe AG s’engage à informer le client dans les meilleurs délais, dans la mesure où cela est autorisé.
2.6. Copies : aucune copie ou duplicata des données ne sera effectuée sans le consentement préalable du client. Sont exclues les copies de sauvegarde et autres copies techniquement nécessaires, dans la mesure où elles sont requises pour assurer un traitement correct des données.
2.7 Effacement des données : sur demande du client, mais au plus tard à la fin du contrat, Zippsafe AG effacera toutes les données personnelles du client, sous réserve d’autres accords (par exemple la conservation des copies de sauvegarde), si elles ne sont plus nécessaires, sauf si elles doivent être conservées pour des raisons de poursuites judiciaires.
3. Contrôles et preuves
3.1 Droits d’inspection du client : Zippsafe AG autorise le client ou un inspecteur mandaté par le client à effectuer des inspections concernant le respect du présent accord, l’inspecteur ne devant pas être en concurrence directe ou indirecte avec Zippsafe AG. Ces contrôles doivent être annoncés au moins quatre semaines à l’avance. Le client a droit à une journée d’inspection gratuite par an. Les frais supplémentaires engagés par Zippsafe AG doivent être remboursés par le client aux conditions normales du marché. Les frais pour l’inspecteur mandaté par le client sont à la charge de ce dernier.
3.2 Preuve : au lieu d’une inspection sur site, Zippsafe AG fournira une preuve écrite sur demande (par exemple en divulguant les résultats de l’audit, de la certification ou d’autres tests tels que les tests de pénétration). Si Zippsafe AG dispose d’une certification ISO-27001 ou équivalente qui entre dans le champ d’application, la preuve de l’adéquation des mesures techniques et organisationnelles est réputée avoir été apportée et le droit à une inspection sur place n’existe que dans des cas de suspicion justifiés.
4. Mesures de sécurité
4.1 Mesures techniques et organisationnelles : Zippsafe AG garantit la sécurité des données par des mesures techniques et organisationnelles appropriées. Ces mesures sont soumises à l’évolution de la technique et Zippsafe AG peut mettre en œuvre d’autres mesures adéquates tant que le niveau de sécurité n’est pas réduit. Les modifications importantes doivent être documentées. Zippsafe AG prend les mesures techniques et organisationnelles suivantes sur son infrastructure et dans son organisation :
Contrôles d’accès (gestion des identités et des accès (IAM), accès aux données uniquement avec authentification, authentification multifactorielle (MFA) pour tous les accès, gestion des accès privilégiés (PAM), règles de mot de passe, principe du moindre privilège, principe du besoin d’en connaître).
Cryptage et sauvegarde (données cryptées au repos et en transit, sauvegardes et concept de gestion de la continuité des activités).
Mesures de sécurité (pare-feu, détection et réponse des points d’extrémité (EDR)/détection et réponse étendues (XDR), inventaires du matériel et des logiciels, protection contre les logiciels malveillants, gestion actualisée des correctifs, séparation des systèmes productifs et des autres systèmes, directive sur la sécurité de l’information).
4.2 Information en cas d’incidents de sécurité : Zippsafe AG informera le client dans les 48 heures suivant la détection d’un incident de sécurité.
4.3 Services d’assistance : Zippsafe AG assiste le client dans la préparation des études d’impact sur la protection des données, dans la réponse aux demandes des personnes concernées et en cas de demandes ou d’inspections des autorités concernant les données personnelles. Zippsafe AG pourra facturer au client les frais encourus.
