← Retour

Contrat de sous-traitance de données (DPA)

Art. 9 de la loi fédérale sur la protection des données (nLPD)

Une fiduciaire traite, pour le compte de ses clients, des données personnelles : noms d’employés, salaires, fournisseurs, écritures. En utilisant Elevation, elle confie une partie de ce traitement à Pixelab Sàrl. La nLPD exige que cette relation soit encadrée par un contrat : c’est l’objet du DPA (data processing agreement, contrat de sous-traitance de données).

Les rôles

  • Le cabinet (titulaire de l’abonnement) est responsable du traitement pour ses propres données et, le plus souvent, sous-traitant de ses clients pour les données de leurs mandats. Il décide de ce qui est saisi dans Elevation et pourquoi.
  • Pixelab Sàrl, Quai du Seujet 12, 1201 Genève, Suisse, éditeur d’Elevation, est sous-traitant : elle héberge, sauvegarde et traite les données uniquement pour fournir le service, sur instruction du cabinet.
  • Infomaniak Network SA, hébergeur suisse indépendant, est sous-traitant ultérieur : infrastructure, base de données, stockage des documents, envoi des e-mails et traitements d’intelligence artificielle (Infomaniak AI), le tout dans ses centres de données situés en Suisse. Aucun autre sous-traitant ultérieur n’intervient hors de Suisse.

Ce que couvre le contrat

  • Objet et durée : fourniture du service Elevation pendant la durée de l’abonnement.
  • Nature des traitements : hébergement, sauvegarde, lecture automatique des pièces (OCR et IA), calculs comptables et salariaux, envoi d’e-mails transactionnels.
  • Catégories de données : données de compte des utilisateurs du cabinet ; données métier des mandats (sociétés, contacts, écritures, factures, salaires, documents) ; données techniques (journaux d’accès, adresse IP).
  • Instructions et confidentialité : traitement sur instruction du cabinet uniquement ; personnel de Pixelab tenu à la confidentialité.
  • Mesures de sécurité : celles décrites sur la page Sécurité — isolation par cabinet dans la base de données, chiffrement en transit, sauvegardes toutes les 2 heures avec copie chiffrée hors site, journal d’audit conservé 10 ans, authentification à deux facteurs.
  • Sous-traitants ultérieurs : liste ci-dessus ; le cabinet est informé avant tout changement.
  • Assistance : aide du cabinet pour répondre aux demandes des personnes concernées (accès, rectification, effacement) et information sans retard indu en cas de violation de la sécurité des données.
  • Fin du contrat : un export des données est mis à disposition, puis les données sont conservées ou effacées selon les durées légales de conservation applicables, comme le prévoient les conditions générales.

Obtenir le contrat signé

Le DPA est établi au nom du cabinet et signé par les deux parties. Il est fourni sur demande : écrivez à privacy@pixelab.ch en indiquant la raison sociale du cabinet et le nom du signataire ; vous recevez le document à signer en retour.

Documents liés