Contrat de sous-traitance

1. Parties et champ d'application

Le présent contrat de sous-traitance (« contrat ») est conclu entre le client qui utilise SchweizerIMG à des fins professionnelles (« responsable du traitement ») et SchweizerIMG, exploité par l'entreprise individuelle indiquée à la fin du présent contrat (« sous-traitant »). Il fait partie des conditions d'utilisation et régit le traitement pour le compte du responsable du traitement selon l'art. 9 de la loi fédérale sur la protection des données (nLPD) et, le cas échéant, l'art. 28 RGPD. En matière de protection des données, il prime les conditions d'utilisation.

2. Objet du traitement

Les outils d'image s'exécutent dans le navigateur des utilisateurs du responsable du traitement. Les images, leur contenu et leurs métadonnées, les noms de fichiers et les résultats sont traités sur les appareils des utilisateurs et ne sont pas transmis au sous-traitant ; ils ne relèvent pas du présent contrat. Pour chaque opération, le sous-traitant reçoit uniquement l'outil et l'issue de l'opération.

3. Instructions

Le sous-traitant ne traite les données personnelles que sur instruction documentée du responsable du traitement. Ces instructions sont les conditions d'utilisation, le présent contrat ainsi que les réglages et fonctions du service (par exemple la suppression d'un compte). Le sous-traitant informe le responsable du traitement s'il estime qu'une instruction viole le droit de la protection des données.

4. Confidentialité

Le sous-traitant veille à ce que les personnes autorisées à traiter les données personnelles soient tenues à la confidentialité. L'accès administratif est limité aux personnes qui en ont besoin pour exploiter le service.

5. Mesures techniques et organisationnelles

Le sous-traitant prend des mesures techniques et organisationnelles appropriées, notamment :

• le traitement des images dans le navigateur, et un site web configuré pour ne se connecter qu'au propre serveur du sous-traitant ;
• des connexions chiffrées (HTTPS) ;
• des mots de passe conservés uniquement sous forme de hachage, des codes de connexion de courte durée, l'expiration des sessions et une étape de confirmation pour les actions sensibles ;
• une protection contre la falsification de requêtes intersites, des limites aux requêtes répétées et le blocage des adresses IP abusives ;
• un enregistrement des actions relevant de la sécurité, dont les adresses IP sont supprimées après 90 jours ;
• l'hébergement en Suisse et des sauvegardes régulières de la base de données conservées pendant une durée limitée.

6. Violations de la sécurité des données

Le sous-traitant informe le responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation de la sécurité des données concernant les données personnelles du responsable du traitement, avec les informations disponibles à ce moment-là.

7. Assistance

Dans la mesure raisonnable, le sous-traitant assiste le responsable du traitement pour répondre aux demandes des personnes concernées et pour remplir ses obligations relatives à la sécurité des données, aux annonces de violations et aux analyses d'impact relatives à la protection des données. De nombreuses demandes peuvent être traitées directement dans le service, par exemple en supprimant un compte. Le sous-traitant peut facturer les efforts dépassant l'ordinaire.

8. Sous-traitants ultérieurs

Le responsable du traitement donne une autorisation générale de recourir à des sous-traitants ultérieurs. Le sous-traitant fait appel aux suivants :

Le sous-traitant annonce les changements sur cette page avant leur entrée en vigueur. Si le responsable du traitement n'est pas d'accord avec un changement, il peut mettre fin au contrat avant l'entrée en vigueur de ce changement.

Les paiements par Stripe ne concernent que les propres données de facturation du client, que le sous-traitant traite en qualité de responsable du traitement ; ils sont décrits dans la politique de confidentialité et ne relèvent pas du présent contrat.

9. Communication à l'étranger

Les données personnelles sont traitées en Suisse et, pour l'acheminement des e-mails, en Norvège, en Allemagne et en Finlande, que le Conseil fédéral reconnaît comme offrant une protection adéquate des données. Toute autre communication à l'étranger requiert les garanties prévues par la nLPD.

10. Information et contrôles

Sur demande, le sous-traitant démontre le respect du présent contrat par des informations écrites, telles qu'une description de ses mesures et la liste des sous-traitants ultérieurs. Des contrôles sur place n'ont lieu que si la loi ou une autorité l'exige, moyennant un préavis raisonnable et aux frais du responsable du traitement.

11. Effacement

Lorsqu'un compte utilisateur est supprimé, ses données de compte, sessions, données d'utilisation et données d'abonnement sont effacées. Les autres données sont effacées à l'expiration des délais fixés dans la politique de confidentialité, en particulier les journaux d'e-mails et les adresses IP des enregistrements de sécurité après 90 jours, les données d'utilisation après 13 mois et les sauvegardes après 14 jours. Les données soumises à une obligation légale de conservation, telles que les factures, sont conservées aussi longtemps que la loi l'exige. À la fin du contrat, le responsable du traitement supprime les comptes de ses utilisateurs ou les fait supprimer.

12. Responsabilité

La responsabilité découlant du présent contrat est régie par les conditions d'utilisation, y compris leurs exclusions et leur plafond ; ce plafond s'applique conjointement aux prétentions fondées sur les conditions d'utilisation et sur le présent contrat.

13. Durée

Le présent contrat s'applique aussi longtemps que le sous-traitant traite des données personnelles pour le compte du responsable du traitement, et prend fin avec le contrat régi par les conditions d'utilisation.

14. Modifications

Le sous-traitant peut modifier le présent contrat en publiant une nouvelle édition datée. Les modifications importantes sont annoncées au moins 30 jours avant leur entrée en vigueur. Les éditions antérieures restent disponibles dans l'archive.

15. Droit applicable et for

Le présent contrat est régi par le droit suisse. Le for exclusif est à Pfäffikon SZ, Suisse, sous réserve des fors impératifs.