Accord de Traitement des Données (DPA) 2025

1. Préambule et Champ d'Application

Le présent Accord de Traitement des Données ("DPA" ou "Accord") est un document juridique contraignant qui définit les responsabilités de AIFinInsight Lab (ci-après désigné "nous", le "Processeur" ou "Sous-traitant") lorsqu'il traite des Données Personnelles pour le compte de ses utilisateurs ou clients professionnels (ci-après désignés "vous", le "Contrôleur" ou "Responsable de Traitement").

Ce document complète nos Conditions Générales d'Utilisation et notre Politique de Confidentialité, en conformité stricte avec les législations applicables :

• La Loi fédérale sur la protection des données (LPD) suisse révisée (en vigueur depuis le 1er septembre 2023) ;
• Le Règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD), dans la mesure où il s'applique.

En cas de contradiction entre les clauses de ce DPA et les autres accords entre les parties, les dispositions de ce DPA prévaudront concernant le traitement des données personnelles.

2. Définitions Clés

Pour la clarté de cet accord, les termes suivants sont définis ainsi :

• "Données Personnelles" : Toute information se rapportant à une personne physique identifiée ou identifiable (la "Personne concernée") ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant (nom, numéro, données de localisation, identifiant en ligne).
• "Traitement" : Toute opération effectuée sur des données personnelles, automatisée ou non, telle que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion.
• "Violation de Données" : Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.
• "Sous-traitant ultérieur" : Tout sous-traitant engagé par le Processeur pour effectuer des activités de traitement spécifiques (ex: hébergeur cloud).

3. Description du Traitement

4. Obligations du Processeur (AIFinInsight Lab)

En tant que Sous-traitant, nous nous engageons à :

1. Instructions documentées : Ne traiter les données personnelles que sur instruction documentée du Contrôleur (c'est-à-dire vous, via votre utilisation du site), sauf si la loi nous y oblige (auquel cas nous vous en informerons, sauf interdiction légale pour motif d'intérêt public).
2. Confidentialité : Garantir que les personnes autorisées à traiter les données personnelles (employés, prestataires) se sont engagées contractuellement à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.
3. Sécurité (TOMs) : Mettre en œuvre les mesures techniques et organisationnelles appropriées (telles que le chiffrement SSL, les pare-feu, les contrôles d'accès physiques et logiques) pour assurer un niveau de sécurité adapté au risque.
4. Assistance au Contrôleur : Aider le Contrôleur, dans la mesure du possible et par des mesures techniques appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (droit d'accès, rectification, effacement, etc.).
5. Coopération légale : Aider le Contrôleur à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité du traitement, notification de violation de données, analyse d'impact relative à la protection des données).

5. Sous-traitance Ultérieure

Le Contrôleur accorde au Processeur une autorisation générale écrite pour engager d'autres sous-traitants ("Sous-traitants ultérieurs") pour l'aider à fournir les services (exemple : hébergement cloud, service d'envoi d'emails).

Le Processeur s'assure que :

• Les mêmes obligations de protection des données que celles énoncées dans ce DPA sont imposées aux sous-traitants ultérieurs par contrat.
• Il demeure pleinement responsable envers le Contrôleur de l'exécution des obligations du sous-traitant ultérieur. Si le sous-traitant ultérieur ne remplit pas ses obligations, AIFinInsight Lab en assume la responsabilité.

Liste des sous-traitants actuels disponible sur simple demande à info@aifininsightlab.com.

6. Transferts Internationaux de Données

Si le traitement implique un transfert de données personnelles en dehors de la Suisse ou de l'Espace Économique Européen (EEE), le Processeur s'assure que ce transfert est couvert par :

• Une décision d'adéquation de la Commission Européenne (ou du Conseil Fédéral suisse), reconnaissant que le pays tiers offre un niveau de protection adéquat ; ou
• La signature de Clauses Contractuelles Types (CCT) approuvées, assorties de mesures de sécurité supplémentaires si nécessaire.

7. Notification des Violations de Données

En cas de violation de données personnelles (accès non autorisé, perte, fuite), le Processeur s'engage à notifier le Contrôleur sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance.

Cette notification inclura au minimum :

• La description de la nature de la violation (catégories et nombre approximatif de personnes concernées) ;
• Les conséquences probables de la violation ;
• Les mesures prises ou proposées pour remédier à la violation et en atténuer les effets négatifs ;
• Le nom et les coordonnées du DPO pour plus d'informations.

8. Droit d'Audit

Le Processeur mettra à la disposition du Contrôleur, sur demande écrite, toutes les informations nécessaires pour démontrer le respect des obligations prévues dans le présent DPA.

Si le Contrôleur a des indices concrets de non-conformité, le Processeur permettra et contribuera aux audits, y compris les inspections, conduits par le Contrôleur ou un autre auditeur indépendant mandaté par ce dernier (sous réserve d'un accord de confidentialité strict et d'un préavis raisonnable de 30 jours, les coûts de l'audit étant à la charge du Contrôleur sauf si une violation est avérée).

9. Sort des Données à la Fin du Service

Au terme de la prestation de services, le Processeur s'engage, au choix du Contrôleur, à :

• Supprimer toutes les données personnelles de manière sécurisée ; ou
• Renvoyer toutes les données personnelles au Contrôleur et détruire les copies existantes.

Cette obligation ne s'applique pas dans la mesure où le droit de l'Union, le droit d'un État membre ou le droit suisse exige la conservation des données personnelles (archivage légal, comptabilité, prescription).

10. Responsabilité

Chaque partie est responsable des dommages qu'elle cause du fait du non-respect de ses obligations au titre du présent DPA.

Toutefois, la responsabilité totale du Processeur envers le Contrôleur pour tout dommage lié à ce DPA est soumise aux limitations de responsabilité énoncées dans les Conditions Générales d'Utilisation (CGU), sauf en cas de dol ou de négligence grave. AIFinInsight Lab n'est pas responsable des dommages indirects (perte de profit, perte de chance).

11. Contact et DPO

Pour toute question relative à ce DPA, pour demander la liste des sous-traitants ou pour exercer vos droits d'audit, veuillez contacter notre Délégué à la Protection des Données :