Contrat de sous-traitance (DPA)
Le présent contrat de sous-traitance (« DPA ») fait partie des Conditions d'utilisation conclues entre DCHUB, entreprise individuelle de droit suisse, Seestrasse 216, 8810 Horgen, Suisse (« Revnetic », le « Sous-traitant »), et l'atelier qui crée un compte Revnetic (le « Responsable du traitement »). Il régit le traitement des données personnelles que le Responsable confie à Revnetic et est rédigé pour satisfaire l'art. 28 du Règlement général de l'UE sur la protection des données (RGPD) et la loi fédérale suisse sur la protection des données (nLPD). Il est accepté électroniquement lors de l'inscription et engage les parties sans signature.
1. Objet et durée
L'objet du traitement est la fourniture de la plateforme de gestion d'atelier Revnetic. Le présent DPA s'applique aussi longtemps que le Responsable détient un compte Revnetic, plus la période de conservation après résiliation prévue à la section 10.
2. Nature et finalité du traitement
Revnetic héberge, stocke, affiche, transmet et traite par ailleurs les données personnelles saisies par le Responsable uniquement pour fournir les fonctionnalités du Service — fiches clients et véhicules, planification des travaux, devis et facturation, portail client, communication par e-mail et assistant IA. Revnetic ne traite pas ces données à ses propres fins et ne les utilise jamais pour entraîner des modèles d'IA.
3. Types de données personnelles
Noms ; coordonnées (e-mail, téléphone, adresse postale) ; données véhicule (VIN, plaque d'immatriculation, marque/modèle, kilométrage, historique d'entretien et de réparation) ; détails des rendez-vous et des travaux ; données de devis et de facturation ; détails de sinistres d'assurance le cas échéant ; ainsi que contenu des communications avec métadonnées de remise.
4. Catégories de personnes concernées
Les clients et prospects du Responsable, leurs personnes de contact, ainsi que les collaborateurs du Responsable titulaires de comptes utilisateurs.
5. Obligations du Sous-traitant
Revnetic s'engage à : (a) ne traiter les données personnelles que sur instruction documentée du Responsable, y compris en matière de transferts, sauf obligation légale contraire ; (b) garantir que les personnes autorisées à traiter les données sont tenues à la confidentialité ; (c) mettre en œuvre les mesures de sécurité de la section 6 ; (d) respecter les conditions relatives aux sous-traitants ultérieurs de la section 7 ; (e) assister le Responsable conformément aux sections 8 et 9 ; (f) supprimer ou restituer les données conformément à la section 10 ; et (g) mettre à disposition les informations nécessaires pour démontrer la conformité conformément à la section 11.
6. Mesures de sécurité
Revnetic met en œuvre des mesures techniques et organisationnelles appropriées, notamment le chiffrement en transit (TLS), une stricte isolation des données par locataire, des identifiants hachés, des jetons d'accès à courte durée de vie, un contrôle d'accès basé sur les rôles, l'authentification multifacteur, la journalisation d'audit des actions administratives et des sauvegardes régulières.
7. Sous-traitants ultérieurs
Le Responsable accorde une autorisation générale de recourir aux sous-traitants ultérieurs listés dans la Politique de confidentialité : Hetzner (hébergement et stockage d'objets, UE), Cloudflare (DNS, CDN et sécurité réseau), Stripe (traitement des paiements), Resend (envoi d'e-mails et capture des e-mails entrants), Anthropic (assistant IA), Sentry (surveillance des erreurs) et BetterStack (surveillance de la disponibilité). Revnetic impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA et demeure pleinement responsable de leur exécution. Revnetic annonce à l'avance les ajouts ou remplacements envisagés, donnant au Responsable la possibilité de s'y opposer pour des motifs raisonnables liés à la protection des données.
8. Assistance aux droits des personnes concernées
Compte tenu de la nature du traitement, Revnetic assiste le Responsable par des mesures techniques et organisationnelles appropriées dans le traitement des demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Les demandes qui parviennent directement à Revnetic de la part des clients finaux d'un atelier sont transmises au Responsable. Contact : [email protected].
9. Notification des violations de données
Revnetic notifie le Responsable sans retard injustifié après avoir pris connaissance d'une violation de données personnelles affectant les données du Responsable, et fournit les informations raisonnablement nécessaires pour permettre au Responsable de remplir ses propres obligations de notification.
10. Suppression et restitution des données
Le Responsable peut exporter ses données à tout moment tant que le compte est actif. À la résiliation, les fichiers et documents téléversés sont supprimés rapidement. Les autres données du locataire sont conservées pour permettre une réactivation et sont définitivement supprimées à la demande du Responsable, sauf si des obligations légales de conservation (par exemple 10 ans pour les documents comptables selon l'art. 958f CO) l'exigent autrement.
11. Audits et informations
Revnetic met à disposition toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et permet et contribue aux audits, y compris les inspections, réalisés par le Responsable ou un auditeur mandaté par lui — au maximum une fois par an, avec un préavis raisonnable, pendant les heures ouvrables et sans perturber l'exploitation. En premier lieu, les demandes d'audit sont satisfaites par des informations écrites et la documentation existante.
12. Transferts internationaux
Les données personnelles sont hébergées en Suisse ou dans l'UE/EEE. Lorsqu'un sous-traitant ultérieur traite des données personnelles hors de Suisse ou de l'EEE (par exemple aux États-Unis), le transfert est protégé par les Clauses contractuelles types de l'UE ainsi que par l'addendum suisse reconnu par le PFPDT.
13. Dispositions finales
En cas de conflit entre le présent DPA et les Conditions d'utilisation, le DPA prévaut pour ce qui concerne le traitement des données personnelles. Le présent DPA est régi par le droit suisse ; le for exclusif est Zurich, Suisse.