Contrat de sous-traitance des données

État: août 2026

Ce contrat règle le traitement des données personnelles que nous effectuons pour le compte de nos clients. Il complète les conditions générales et est réputé conclu à l'ouverture d'un compte.

Parties et rôles

Le responsable du traitement est le client, soit l'entreprise qui utilise Offertli. Le sous-traitant est Mirostudio, Andrii Yermakov, Bergstrasse 23, 8105 Regensdorf, Suisse.

Le client détermine les finalités et les moyens du traitement des données de ses propres clients et répond du fait qu'il est autorisé à collecter ces données et à nous les confier. Pour les données de compte et de facturation du client, nous sommes nous-mêmes responsables du traitement; la déclaration de protection des données s'applique alors.

Objet et durée

L'objet est le traitement de données personnelles dans la mesure nécessaire aux prestations décrites dans les conditions générales: enregistrer, afficher, modifier, produire des documents, envoyer par e-mail, mettre à disposition dans le portail client et analyser pour les brouillons IA.

Le contrat commence à l'ouverture du compte et dure aussi longtemps que nous traitons des données pour le compte du client.

Personnes concernées et catégories de données

Sont concernés les clients et prospects du client ainsi que leurs personnes de contact, de même que les collaborateurs du client qui ont accès à l'application. Sont traités:

• Données de contact et données de base: nom, entreprise, adresse, e-mail, numéro de téléphone.
• Données de mandat et de contrat: demandes, devis, postes, quantités, prix, factures, états de paiement, rappels, notes dans le CRM.
• Photos de chantiers et enregistrements vocaux avec le texte qui en est issu, dans la mesure où le client les téléverse.
• Données d'accès et de journalisation des collaborateurs du client: adresse e-mail, rôle, horodatage des accès.

Les données personnelles sensibles ne font pas l'objet de ce mandat. Le client ne saisit pas de telles données dans Offertli.

Obligations du sous-traitant

• Nous ne traitons les données que pour fournir les prestations et selon les instructions du client. Si nous tenons une instruction pour illicite, nous le signalons et pouvons en suspendre l'exécution.
• Les personnes ayant accès aux données sont tenues à la confidentialité; cette obligation subsiste après la fin de leur activité.
• Nous ne traitons pas les données à nos propres fins, ne les transmettons à personne en dehors des sous-traitants ultérieurs mentionnés et ne les utilisons pas pour entraîner nos propres modèles.
• Si nous apprenons une violation de la sécurité des données touchant les données du client, nous l'annonçons sans retard injustifié, avec les indications dont nous disposons sur la nature, l'ampleur et les mesures prises. L'annonce à l'autorité de surveillance et aux personnes concernées incombe au client.
• Nous soutenons le client lors des analyses d'impact relatives à la protection des données et lors des demandes de l'autorité de surveillance, dans la mesure où nous disposons des informations nécessaires.

Sous-traitants ultérieurs

Le client consent au recours aux sous-traitants ultérieurs suivants:

• Vercel Inc., États-Unis: hébergement de l'application, exécution à Dublin, en Irlande.
• Supabase Inc., États-Unis: base de données, authentification et stockage de fichiers dans la région eu-west-1 en Irlande.
• Modèles de langage pour la génération des brouillons: gpt-5.4-mini d'OpenAI et claude-sonnet-4-6 d'Anthropic, appelés via une interface hébergée chez Hugging Face. Sont transmis le texte de description et les photos du mandat. Le lieu de traitement des modèles ne nous est pas connu; il faut compter avec un traitement hors de Suisse et de l'UE.
• ElevenLabs Inc., États-Unis: conversion des enregistrements vocaux en texte.
• Resend Inc., États-Unis, et Hostpoint AG, Suisse: envoi des e-mails avec les documents PDF joints.
• Stripe Inc., États-Unis et Irlande: gestion de l'abonnement du client. Stripe ne reçoit pas les données des clients finaux du client.

Si la conversion de la parole en texte n'est pas disponible sur le serveur, l'application recourt à la reconnaissance vocale du navigateur. L'enregistrement part alors directement de l'appareil vers Google (Chrome, Edge) ou Apple (Safari), sans passer par nos serveurs. Ce traitement n'a pas lieu pour notre compte.

Nous imposons aux sous-traitants ultérieurs un niveau de protection des données correspondant au présent contrat. Tout sous-traitant ultérieur nouveau ou remplacé est annoncé au moins 30 jours à l'avance par e-mail. Le client peut s'y opposer dans ce délai pour de justes motifs; à défaut d'accord, il peut résilier le contrat pour la date du changement.

Les communications vers des États sans protection des données reconnue comme adéquate, en particulier vers les États-Unis, s'appuient sur les clauses contractuelles types de la Commission européenne, avec les adaptations nécessaires au droit suisse.

Mesures de sécurité

Nous prenons les mesures suivantes: transmission exclusivement par TLS; séparation des données par entreprise au moyen de règles d'accès dans la base de données, de sorte qu'un compte ne voit que les siennes; enregistrement des mots de passe sous forme de hachage; limitation de l'accès aux systèmes de production aux personnes qui en ont besoin pour fournir la prestation; journalisation des accès; sauvegardes régulières de la base de données par l'hébergeur.

Les logos d'entreprise se trouvent délibérément dans une zone de stockage lisible publiquement, afin que les documents PDF et le portail client puissent les afficher sans connexion. Qui connaît l'adresse d'un fichier de logo peut le consulter. Les photos et les enregistrements vocaux se trouvent dans une zone protégée. Le client ne téléverse pas comme logo un fichier contenant des données personnelles.

Aucune certification ISO 27001 ou équivalente n'existe. Nous ne donnons aucune assurance quant à la disponibilité ou aux délais de rétablissement.

Droits des personnes concernées

Si une personne concernée s'adresse directement à nous, nous transmettons sa demande au client et n'y répondons pas nous-mêmes. Pour les demandes de renseignements, de rectification, de suppression et de remise des données, nous soutenons le client avec les moyens de l'application: les fonctions d'édition et l'export CSV sont disponibles à cet effet.

Suppression et restitution

Après la fin du contrat, nous mettons l'export de ses données à la disposition du client pendant 30 jours. Ensuite, nous supprimons les données traitées pour son compte, y compris les photos et les enregistrements vocaux. Les copies de sauvegarde sont écrasées au fil de leur cycle de conservation.

Les données que nous devons conserver en vertu de prescriptions légales restent enregistrées jusqu'à l'échéance du délai et ne sont traitées qu'à cette fin.

Droits de contrôle

Le client peut vérifier le respect du présent contrat. Nous fournissons pour cela des renseignements écrits et mettons à disposition les justificatifs existants. Si cela ne suffit pas, le client peut, moyennant un préavis d'au moins 30 jours et pendant les heures de travail ordinaires, procéder à un contrôle ou le faire exécuter par un spécialiste indépendant, tenu au secret et non concurrent. Les frais d'un tel contrôle sont à la charge du client, sauf si une violation essentielle du contrat est constatée.

Responsabilité

Les dispositions des conditions générales s'appliquent à la responsabilité.

Droit applicable et for

Le droit suisse s'applique, à l'exclusion de la CVIM. Le for exclusif est Zurich, Suisse.

Contact

Questions relatives à ce contrat: info@offertli.ch.