Contrat de traitement des données

1. Objet et durée du contrat

Le présent contrat de traitement des données (ci-après le présent Contrat de traitement) est conclu entre l'organisation qui crée un espace de travail sur The Training Platform (ci-après l'Espace de travail), quel que soit le Plan choisi, y compris le Plan Free (ci-après le Client ou le Responsable du traitement), et Appogée Sàrl, société à responsabilité limitée de droit suisse dont le siège est sis Chemin de Paudex 5, 1132 Lully, Suisse, inscrite au registre du commerce sous le numéro IDE CHE-340.224.808, qui exploite The Training Platform (ci-après le Sous-traitant).

Le présent Contrat de traitement a pour objet de définir les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Client dans le cadre du service The Training Platform, conformément à l'article 9 de la loi fédérale sur la protection des données (LPD) et, lorsque le traitement concerne des personnes se trouvant dans l'Union européenne ou l'Espace économique européen, à l'article 28 du règlement général sur la protection des données (RGPD).

Le présent Contrat de traitement fait partie intégrante des Conditions générales de vente de The Training Platform. Il est accepté par le Client avec celles-ci lors de la création de l'Espace de travail, sans formalité supplémentaire.

Le présent Contrat de traitement s'applique dès la création de l'Espace de travail et jusqu'à la fermeture de l'Espace de travail, qui marque la fin du Contrat au sens des Conditions générales de vente, quel que soit le Plan, y compris le Plan Free et la période d'essai. Ses dispositions relatives à la restitution et à l'effacement des données, à la confidentialité et à la responsabilité demeurent applicables après la fermeture de l'Espace de travail, aussi longtemps que le Sous-traitant détient des données personnelles pour le compte du Client.

Le présent Contrat de traitement ne régit pas les traitements que le Sous-traitant effectue pour son propre compte, notamment la gestion de la relation contractuelle avec le Client, la facturation de l'abonnement et l'exploitation du site internet de The Training Platform. Ces traitements, pour lesquels le Sous-traitant agit en qualité de responsable du traitement, sont décrits dans la Politique de confidentialité.

2. Nature et finalité du traitement

The Training Platform met à la disposition du Client un portail de gestion de formations, accessible à l'adresse propre à son espace de travail. Le Sous-traitant héberge et exploite ce portail, ainsi que la base de données et les fichiers qui y sont associés, pour le compte du Client.

Les traitements effectués par le Sous-traitant ont pour seule finalité de fournir au Client les fonctionnalités du portail: la publication de son catalogue de formations, l'organisation des sessions, la gestion des inscriptions et des présences, la mise à disposition des documents des participants, l'établissement des factures et le suivi des paiements, ainsi que l'envoi des courriers électroniques liés à ces opérations.

Ces traitements comprennent notamment la collecte, l'enregistrement, l'organisation, la conservation, la consultation, la modification, la transmission, la sauvegarde et l'effacement des données, dans la mesure nécessaire à la fourniture du service.

Les courriers électroniques sont envoyés au nom du Client, le cas échéant au moyen de la messagerie que le Client a connectée au portail. Les paiements en ligne sont traités par le prestataire de paiement figurant dans la liste des sous-traitants ultérieurs; The Training Platform ne conserve aucune donnée de carte de paiement.

Le Sous-traitant s'interdit de traiter les données personnelles du Client à d'autres fins, notamment à des fins commerciales ou publicitaires propres, et de les vendre ou de les communiquer à des tiers en dehors des cas prévus par le présent Contrat de traitement.

3. Catégories de données et de personnes concernées

Les personnes concernées par le traitement sont les participants aux formations du Client, les formateurs, les responsables d'entreprise qui inscrivent ou suivent des participants, ainsi que les collaborateurs du Client qui administrent le portail.

Les données traitées comprennent les données d'identité et de contact de ces personnes, telles que le nom, le prénom, l'adresse électronique, les autres coordonnées saisies et, le cas échéant, l'entreprise de rattachement, ainsi que les données relatives à leur rôle.

Elles comprennent également les données relatives aux inscriptions et à la participation aux formations, notamment les sessions suivies et les présences, ainsi que les documents téléversés dans le portail par le Client, les formateurs ou les participants, tels que des attestations.

Elles comprennent enfin les données de facturation et l'état des paiements, à l'exclusion de tout numéro de carte de paiement. Ne relèvent pas du présent Contrat de traitement, car traités par le Sous-traitant en qualité de responsable du traitement: les comptes des utilisateurs du portail, les codes de connexion, les journaux d'authentification et de sécurité et les rapports d'erreur, décrits dans la Politique de confidentialité.

Le Client détermine seul les données qu'il saisit ou fait saisir dans le portail. Il veille à ne pas y enregistrer de données sensibles au sens de la LPD, telles que des données sur la santé, sauf si cela est nécessaire à ses formations et qu'il dispose d'une base légale pour le faire.

4. Instructions documentées du Responsable du traitement

Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Client. L'utilisation du portail par le Client et par les personnes qu'il y autorise, ainsi que les paramètres qu'il y définit, constituent ses instructions. Le présent Contrat de traitement et les Conditions générales de vente en font également partie.

Le Client peut donner des instructions complémentaires par écrit, dans la mesure où elles sont compatibles avec les fonctionnalités du service. Une instruction qui exige un développement ou une prestation particulière peut faire l'objet d'un accord séparé.

Le Sous-traitant informe le Client sans délai lorsqu'une instruction lui paraît contraire à la LPD, au RGPD ou à une autre disposition applicable en matière de protection des données. Il peut alors suspendre l'exécution de cette instruction jusqu'à ce que le Client la confirme ou la modifie.

Lorsque le Sous-traitant est tenu par le droit applicable de traiter des données sans instruction du Client, il en informe préalablement ce dernier, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

Le Client demeure responsable de la licéité des traitements qu'il ordonne. Il lui appartient notamment d'informer les personnes concernées, dans ses propres documents juridiques, des traitements effectués au moyen du portail, et de disposer d'une base légale pour chacun d'eux.

5. Confidentialité

Le Sous-traitant garantit que les personnes autorisées à traiter les données personnelles du Client sont soumises à une obligation de confidentialité, qu'elle soit contractuelle ou légale.

L'accès à ces données est réservé aux personnes qui en ont besoin pour exploiter, maintenir ou assister le service, et limité à ce qui est nécessaire à l'accomplissement de leurs tâches.

Le Sous-traitant s'assure que ces personnes sont informées des obligations découlant du présent Contrat de traitement et de la législation sur la protection des données.

L'obligation de confidentialité subsiste après la fermeture de l'Espace de travail du Client et après la fin des rapports de travail ou de mandat des personnes concernées.

6. Mesures techniques et organisationnelles de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 8 de la LPD et, le cas échéant, à l'article 32 du RGPD. La présente section en décrit les principales et tient lieu d'annexe relative à la sécurité.

Le portail et sa base de données sont hébergés en Suisse auprès d'Infomaniak. Les fichiers téléversés et les sauvegardes sont confiés à des sous-traitants ultérieurs dont la localisation est indiquée dans la Politique de confidentialité. Les communications entre les utilisateurs et le portail sont chiffrées en transit au moyen du protocole TLS.

Les données de chaque espace de travail sont isolées de celles des autres organisations: chaque requête est rattachée à l'espace de travail concerné et filtrée en conséquence. L'accès aux fonctionnalités dépend du rôle attribué à chaque utilisateur, qu'il soit administrateur, formateur, responsable d'entreprise ou apprenant. La connexion au portail s'effectue au moyen d'un code à usage unique envoyé par courrier électronique.

Les accès techniques entre les composants du service reposent sur des jetons d'API limités aux seules opérations nécessaires. Les opérations et les erreurs sont journalisées, et les erreurs font l'objet d'une surveillance continue afin de permettre la détection et la correction rapides des incidents.

La base de données fait l'objet de sauvegardes quotidiennes, conservées auprès d'un prestataire de stockage, afin de permettre le rétablissement des données en cas d'incident.

En cas d'incident de sécurité, le Sous-traitant analyse l'incident, en limite les effets, documente les mesures prises et informe le Client conformément à l'article 9. Il réévalue régulièrement ces mesures et peut les adapter à l'évolution de la technique, à condition de ne pas réduire le niveau de protection global.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale le Sous-traitant à faire appel à des sous-traitants ultérieurs pour la fourniture du service. La liste des sous-traitants ultérieurs, avec leur fonction et leur localisation, figure dans la Politique de confidentialité de The Training Platform, à laquelle le présent Contrat de traitement renvoie.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données offrant un niveau de protection au moins équivalent à celui du présent Contrat de traitement, en particulier en matière de sécurité et de confidentialité. Il demeure responsable envers le Client de l'exécution de ces obligations.

Lorsque des données sont communiquées à un sous-traitant ultérieur établi hors de Suisse, cette communication a lieu conformément aux articles 16 et suivants de la LPD. Les garanties applicables sont indiquées dans la section de la Politique de confidentialité consacrée aux transferts hors de Suisse.

Le Sous-traitant informe le Client par écrit au moins trente (30) jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Pendant ce délai, le Client peut s'opposer à la modification pour des motifs raisonnables liés à la protection des données.

En cas d'opposition, les parties recherchent de bonne foi une solution. À défaut d'accord, le Client peut mettre fin au Contrat au sens des Conditions générales de vente, et par là au présent Contrat de traitement, avec effet à la date à laquelle la modification prend effet, sans frais de résiliation.

8. Assistance au Responsable du traitement

Il appartient en premier lieu au Client de répondre, au moyen des fonctionnalités du portail, aux demandes des personnes concernées qui exercent leurs droits d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité.

Lorsque ces fonctionnalités ne suffisent pas, le Sous-traitant assiste le Client, dans la mesure du possible, au moyen de mesures techniques et organisationnelles appropriées, afin de lui permettre de répondre à ces demandes dans les délais légaux.

Lorsqu'une personne concernée adresse directement au Sous-traitant une demande relative aux données traitées pour le compte du Client, le Sous-traitant la transmet sans délai au Client et n'y donne pas suite lui-même, sauf instruction contraire du Client.

Le Sous-traitant fournit également au Client, compte tenu de la nature du traitement et des informations dont il dispose, l'assistance raisonnablement nécessaire à la réalisation d'analyses d'impact relatives à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle compétente.

L'assistance qui excède ce que le service fournit de manière standard peut être facturée au Client à un coût raisonnable, communiqué au préalable.

9. Notification des violations de la sécurité des données

Le Sous-traitant notifie au Client toute violation de la sécurité des données affectant les données personnelles traitées pour son compte dans les meilleurs délais après en avoir pris connaissance, avec pour objectif une notification dans les septante-deux (72) heures.

La notification contient, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables de la violation, ainsi que les mesures prises ou envisagées pour y remédier et en limiter les effets.

Lorsque toutes ces informations ne peuvent être fournies en même temps, le Sous-traitant les communique de manière échelonnée, sans retard injustifié supplémentaire.

Ces informations ont pour but de permettre au Client de remplir ses propres obligations d'annonce, notamment envers le Préposé fédéral à la protection des données et à la transparence et, le cas échéant, envers une autorité de contrôle européenne, ainsi que d'informer les personnes concernées lorsque cela est requis. Il appartient au Client de procéder à ces annonces.

Le Sous-traitant prend sans délai les mesures raisonnables pour contenir la violation et en limiter les conséquences, et coopère avec le Client pour l'analyse de l'incident.

10. Information et audit

Le Sous-traitant met à la disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations prévues par le présent Contrat de traitement, notamment une description à jour des mesures de sécurité décrites à l'article 6.

Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, au plus une fois par année civile ou après une violation de la sécurité des données au sens de l'article 9.

Le Client annonce l'audit par écrit en respectant un préavis raisonnable et en précisant son objet. L'audit se déroule pendant les heures de travail habituelles, de manière à ne pas perturber l'exploitation du service, et ne peut porter sur les données des autres clients du Sous-traitant ni sur des informations couvertes par le secret des affaires sans rapport avec le traitement.

Les frais de l'audit sont à la charge du Client, y compris le temps consacré par le Sous-traitant, facturé à un coût raisonnable. Le Client communique au Sous-traitant les résultats de l'audit.

11. Restitution et effacement des données à la fin du traitement

À la fermeture de l'Espace de travail, qui marque la fin du Contrat au sens des Conditions générales de vente, le Sous-traitant cesse de traiter les données personnelles pour le compte du Client, sous réserve des opérations nécessaires à leur restitution et à leur effacement.

Sur demande du Client formulée dans un délai de trente (30) jours suivant la fermeture de son Espace de travail, le Sous-traitant met à sa disposition une exportation des données de son Espace de travail dans un format électronique couramment utilisé.

Le Sous-traitant efface les données personnelles du Client de ses systèmes actifs dans un délai de nonante (90) jours suivant la fermeture de l'Espace de travail. Les copies contenues dans les sauvegardes sont effacées au terme de leur cycle de rotation habituel; jusqu'à cette date, elles demeurent protégées conformément au présent Contrat de traitement et ne sont plus utilisées.

Ces obligations ne s'appliquent pas aux données dont la conservation est imposée au Sous-traitant par le droit suisse. Ces données sont alors conservées de manière sécurisée pendant la durée légale et ne font l'objet d'aucun autre traitement.

12. Responsabilité

Chaque partie répond des dommages causés par la violation de ses propres obligations au titre du présent Contrat de traitement et du droit applicable en matière de protection des données.

Le Client répond en particulier de la licéité des données qu'il fait traiter et des instructions qu'il donne. Le Sous-traitant répond en particulier du respect des instructions du Client et des obligations qui lui incombent en sa qualité de sous-traitant.

La responsabilité du Sous-traitant au titre du présent Contrat de traitement est soumise aux limitations prévues dans la section Responsabilité des Conditions générales de vente, sous réserve des dispositions impératives du droit applicable.

13. Dispositions finales

En cas de contradiction entre le présent Contrat de traitement et les Conditions générales de vente, le présent Contrat de traitement prévaut pour toute question relative à la protection des données personnelles traitées pour le compte du Client.

Le Sous-traitant peut modifier le présent Contrat de traitement pour l'adapter à l'évolution du droit applicable ou du service, selon les modalités prévues dans les Conditions générales de vente. Une modification ne peut réduire le niveau de protection des données du Client.

Si une disposition du présent Contrat de traitement devait se révéler nulle ou inapplicable, la validité des autres dispositions n'en serait pas affectée. La disposition concernée serait remplacée par une disposition valable dont l'effet se rapproche le plus possible de celui recherché.

Le présent Contrat de traitement est soumis au droit suisse. Tout litige relatif à sa conclusion, à son interprétation ou à son exécution relève de la compétence des tribunaux du siège d'Appogée Sàrl, dans le canton de Vaud.

Toute question relative au présent Contrat de traitement ou à la protection des données peut être adressée au Sous-traitant à l'adresse info@the-training-platform.ch.