selon l'art. 9 de la loi fédérale sur la protection des données (LPD) et, pour les clients ayant leur siège dans l'UE ou dans l'EEE, selon l'art. 28 du règlement général sur la protection des données (RGPD)
entre
[Raison sociale du client], [adresse] — « responsable du traitement » ou « client »
et
Tyche Consulting GmbH (Klaumo), Tobelstrasse 13, 5445 Eggenwil, Suisse, IDE CHE-351.849.013 — « sous-traitante » ou « Klaumo »
Préambule
Le présent contrat de sous-traitance fait partie du contrat entre le client et Klaumo, composé de l'offre acceptée et des conditions générales (CG) de Klaumo (« contrat principal »). Il s'applique automatiquement chaque fois que Klaumo, dans le cadre de la fourniture de ses prestations, traite des données personnelles pour le compte du client, même sans signature distincte. Sur demande, les deux parties signent un exemplaire.
L'ordre de priorité est le suivant : l'offre, le présent contrat de sous-traitance, la déclaration d'engagement de confidentialité (si applicable), l'avenant pour les clients de l'UE et de l'EEE (si applicable), les CG. En cas de contradiction en matière de protection des données, le présent contrat de sous-traitance prime les CG.
1. Objet
1.1Klaumo est une agence spécialisée en IA et en automatisation. Elle met en place pour le client des agents IA (par exemple pour le téléphone, le chat, WhatsApp et l'e-mail), des automatisations et des solutions numériques et, dans la mesure convenue, en assure le suivi en exploitation courante. Les différentes prestations figurent dans l'offre.
1.2Le client utilise ces prestations dans son entreprise. Klaumo traite à cette occasion des données personnelles dont le client est responsable.
1.3Le présent contrat de sous-traitance règle les obligations des deux parties en matière de protection de ces données personnelles. Klaumo agit en tant que sous-traitante au sens des art. 5, let. k et 9 LPD, le client en tant que responsable du traitement au sens de l'art. 5, let. j LPD. Les notions telles que « données personnelles », « traitement », « données personnelles sensibles » et « violation de la sécurité des données » ont le sens que leur donne l'art. 5 LPD.
2. Durée
2.1Le contrat de sous-traitance commence avec l'acceptation de l'offre, au plus tard avec le premier traitement de données personnelles pour le compte du client.
2.2Il s'applique aussi longtemps que Klaumo traite des données personnelles du client. Il ne prend fin que lorsque toutes les données ont été restituées ou supprimées conformément au chiffre 16, même si le contrat principal prend fin plus tôt. La résiliation du seul présent contrat de sous-traitance est exclue tant que le contrat principal est en cours.
3. Nature, finalité et étendue du traitement
3.1Finalité. Klaumo traite des données personnelles uniquement pour fournir les prestations convenues dans l'offre. Cela comprend en particulier : recevoir des appels, des chats et des messages au nom du client et y répondre ; saisir des demandes, des rendez-vous et des requêtes ; les transmettre à l'équipe et aux systèmes du client ; établir des résumés et des analyses ; envoyer des rappels et des messages pour le compte du client ; créer et publier des contenus pour le client ; mettre en place, tester, surveiller et améliorer des solutions.
3.2Provenance des données. Les données parviennent à Klaumo par la voie adaptée à la prestation concernée, par exemple : lors de la conversation d'un agent avec une personne qui appelle ou qui écrit, via des interfaces avec les systèmes du client (agenda, CRM, e-mail), au moyen de documents et d'informations que le client fournit pour la mise en place, ou lors d'échanges avec l'équipe du client.
3.3Opérations de traitement. Klaumo collecte, reçoit, enregistre, classe, lit, analyse, résume, relie, transmet, rectifie, limite et supprime des données personnelles, à chaque fois uniquement dans la mesure requise par la prestation convenue.
3.4Responsabilité du client. En tant que responsable du traitement, le client est seul responsable du fait que les données qu'il remet à Klaumo ou fait traiter au moyen de la solution ont été collectées de manière licite, sont exactes et reposent sur une base juridique, et que les personnes concernées sont informées (art. 19 LPD). Cela comprend également l'information des personnes qui appellent qu'elles parlent avec une IA et que la conversation est enregistrée, dans la mesure où un enregistrement est convenu. Les obligations de Klaumo selon le présent contrat de sous-traitance et selon l'art. 9 LPD ne sont pas affectées.
3.5Klaumo ne vérifie pas le contenu des données ni la licéité des traitements du client et n'y est pas tenue (chiffre 20.10 CG). Si Klaumo constate une violation manifeste du droit, le chiffre 5.3 s'applique.
4. Données et personnes concernées
4.1Les catégories de données personnelles et de personnes concernées visées ainsi que la durée de conservation des données figurent à l'annexe 1.
4.2Les agents et les automatisations enregistrent également des informations que les personnes qui appellent ou qui écrivent communiquent de leur propre initiative. Klaumo ne peut pas délimiter entièrement ces informations à l'avance. Le client détermine dans l'offre ou dans ses instructions quelles informations un agent peut activement demander.
4.3Si les catégories de données ou de personnes concernées changent, par exemple parce que le client raccorde un nouveau canal ou un nouveau groupe de clients, le client en informe Klaumo au préalable et donne les instructions nécessaires. Klaumo adapte ensuite le traitement.
4.4Aucune reconnaissance des personnes par leur voix. Klaumo traite les enregistrements vocaux uniquement pour convertir la parole en texte, prononcer des réponses et enregistrer des conversations, dans la mesure où cela est convenu. Klaumo ne crée pas de profils vocaux, ne compare pas de voix et n'utilise pas de procédés qui identifient une personne de manière univoque à l'aide de sa voix ou la reconnaissent d'une conversation à l'autre. La séparation technique de l'agent et de la personne qui appelle au sein d'une conversation ne sert pas à l'identification. Selon l'appréciation de Klaumo, celle-ci ne traite donc pas de données biométriques au sens de l'art. 5, let. c, ch. 4 LPD. La qualification juridique dans le cas particulier incombe au client. Les contenus des conversations peuvent néanmoins contenir des données sensibles, par exemple des informations sur la santé ; le chiffre 17 s'applique à cet égard.
4.5Klaumo ne traite des données personnelles sensibles que si l'offre le prévoit expressément. Le chiffre 17 s'applique alors.
5. Instructions
5.1Klaumo traite les données uniquement selon le contrat principal et selon les instructions documentées du client, et uniquement de la manière dont le client serait lui-même en droit de le faire (art. 9, al. 1, let. a LPD). L'offre, la configuration convenue de l'agent et le présent contrat de sous-traitance constituent les premières instructions.
5.2Le client donne d'autres instructions par écrit ou par e-mail à support@klaumo.ch. Le client confirme sans délai par e-mail les instructions orales. Les instructions qui vont au-delà des prestations convenues constituent des modifications de l'étendue des prestations et sont rémunérées selon les CG.
5.3Si Klaumo estime qu'une instruction est illicite, elle en informe le client sans délai. Klaumo peut suspendre l'exécution jusqu'à ce que le client confirme ou modifie l'instruction. Klaumo n'est pas tenue d'exécuter une instruction manifestement illicite.
5.4Klaumo n'utilise pas les données à ses propres fins ni pour entraîner des modèles d'IA, ni elle-même ni par l'intermédiaire de sous-traitants ultérieurs, dans la mesure où leurs contrats le permettent (annexe 2). Seuls sont admis des indicateurs anonymes et agrégés selon le chiffre 20.8 des CG.
5.5Si Klaumo doit traiter des données d'une autre manière en raison d'une obligation légale, elle en informe le client au préalable, sauf si la loi l'interdit.
6. Obligations générales de Klaumo
6.1Lors du traitement, Klaumo respecte la LPD et l'ordonnance sur la protection des données (OPDo) et, pour les clients de l'UE et de l'EEE, en outre le RGPD selon le chiffre 14.
6.2Klaumo ne traite que les données nécessaires à la prestation et conçoit les solutions de manière respectueuse de la protection des données, avec des paramètres par défaut économes en données (art. 6, al. 2 et art. 7 LPD).
6.3Chez Klaumo, seules les personnes qui en ont besoin pour leur tâche ont accès aux données du client.
6.4Klaumo tient un registre des activités de traitement qu'elle effectue pour le compte du client (art. 12, al. 1 et 3 LPD) et aide le client, sur demande, en lui fournissant les informations dont il a besoin pour son propre registre.
6.5Klaumo n'a pas désigné de conseiller à la protection des données au sens de l'art. 10 LPD. L'interlocutrice pour la protection des données est la direction, joignable à support@klaumo.ch.
6.6Si Klaumo constate qu'elle ne peut plus respecter le présent contrat de sous-traitance, elle en informe le client sans délai.
7. Confidentialité
7.1Toutes les personnes qui ont accès aux données du client chez Klaumo sont tenues par écrit au secret avant le début de leur activité. Cela vaut pour les collaboratrices et collaborateurs et pour les collaborateurs indépendants. Cette obligation s'applique sans limite de durée, y compris après la fin de leur activité pour Klaumo.
7.2Klaumo informe ces personnes des conséquences d'une violation, en particulier de l'art. 62 LPD, et les forme à la protection des données.
7.3Si le client est soumis à un secret professionnel (par exemple selon l'art. 321 CP), la déclaration d'engagement de confidentialité de Klaumo (document 07) s'applique en outre. Elle est réputée convenue avec l'acceptation de l'offre lorsque l'offre désigne le client comme détenteur d'un secret professionnel. Une signature n'est pas nécessaire pour sa validité ; sur demande, les deux parties la signent.
8. Sécurité des données
8.1Klaumo prend les mesures techniques et organisationnelles prévues à l'annexe 3. Elles assurent une confidentialité, une disponibilité, une intégrité et une traçabilité des données adaptées au risque (art. 8 LPD et art. 1 à 6 OPDo).
8.2Klaumo adapte les mesures à l'évolution technique. Elle peut remplacer des mesures par des mesures équivalentes si le niveau de protection ne baisse pas. Klaumo documente les modifications importantes et les communique au client sur demande.
9. Assistance en cas de demandes
9.1Droits des personnes concernées. Klaumo assiste le client par des moyens techniques et organisationnels appropriés afin qu'il puisse répondre aux demandes des personnes concernées, en particulier en matière d'accès (art. 25 LPD), de remise ou de transmission (art. 28 LPD), de rectification, d'effacement, de limitation et d'opposition (art. 32 LPD). Klaumo recherche les données concernées dans ses systèmes et chez les sous-traitants ultérieurs, les fournit au client dans un format courant et les rectifie ou les supprime selon ses instructions.
9.2Si une personne concernée s'adresse directement à Klaumo, Klaumo transmet la demande au client dans un délai de 3 jours ouvrables et n'y répond pas elle-même, sauf instruction contraire du client.
9.3Demandes d'autorités et de tiers. Si Klaumo reçoit une demande, une décision ou une communication d'une autorité, d'un tribunal ou d'un tiers concernant des données du client, elle en informe le client sans délai, dans la mesure où la loi le permet. Klaumo ne remet des données que si elle y est légalement tenue, et uniquement dans la mesure nécessaire. Pour les clients soumis au secret professionnel, le chiffre 4 de la déclaration d'engagement de confidentialité s'applique en outre.
9.4Klaumo peut facturer selon les tarifs des CG le travail d'assistance au sens du présent chiffre qui va au-delà du suivi habituel, sauf si ce travail résulte d'une erreur de Klaumo.
10. Violation de la sécurité des données
10.1Klaumo informe le client immédiatement, au plus tard dans les 24 heures après avoir pris connaissance d'une violation de la sécurité des données qui concerne des données du client (art. 24, al. 3 LPD). Est considéré comme une violation tout incident à la suite duquel des données sont perdues, effacées, détruites ou modifiées de manière involontaire ou illicite, ou divulguées ou rendues accessibles à des personnes non autorisées (art. 5, let. h LPD). Klaumo signale également les cas de soupçon fondé.
10.2L'annonce est faite par e-mail et par téléphone à la personne de contact du client. Elle contient, dans la mesure où ces éléments sont connus : ce qui s'est passé et quand, quelles données et approximativement combien de personnes sont concernées, les conséquences possibles, les mesures déjà prises et prévues ainsi qu'une personne de contact chez Klaumo. Klaumo fournit les informations manquantes dès qu'elles sont disponibles.
10.3Klaumo prend immédiatement les mesures nécessaires pour circonscrire l'incident et en atténuer les conséquences, et documente l'incident.
10.4Le client décide si une annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) et l'information des personnes concernées sont nécessaires (art. 24, al. 1 et 4 LPD). Ces annonces lui incombent. Klaumo l'assiste en lui fournissant toutes les informations dont elle dispose. Klaumo n'informe les personnes concernées ou les autorités qu'en concertation avec le client, sauf si la loi en dispose autrement.
11. Analyse d'impact relative à la protection des données
11.1Si le client doit effectuer une analyse d'impact relative à la protection des données (art. 22 LPD) ou consulter préalablement le PFPDT (art. 23 LPD), Klaumo l'assiste en lui fournissant les informations relatives à ses prestations, aux sous-traitants ultérieurs, aux lieux de traitement et aux mesures selon l'annexe 3.
11.2Pour les solutions impliquant des données sensibles, Klaumo met à la disposition du client, avant le démarrage, une brève description des flux de données.
12. Sous-traitants ultérieurs
12.1Selon la prestation, Klaumo fait appel à des sous-traitants ultérieurs différents. Par le présent contrat de sous-traitance, le client autorise les sous-traitants ultérieurs mentionnés à l'annexe 2 pour les prestations qu'il commande (art. 9, al. 3 LPD).
12.2Klaumo conclut avec chaque sous-traitant ultérieur un contrat qui l'engage à des obligations en matière de protection des données et de confidentialité au moins équivalentes à celles que prévoit le présent contrat de sous-traitance, dans la mesure où cela est possible avec les contrats standard des grands fournisseurs. Lorsqu'un fournisseur ne propose que ses propres conditions standard, Klaumo les examine avant d'y faire appel et indique la base à l'annexe 2.
12.3Klaumo choisit les sous-traitants ultérieurs avec soin, vérifie leurs justificatifs avant d'y faire appel, puis au moins une fois par an (certificats, rapports d'audit, contrats, liste de leurs propres sous-traitants ultérieurs), et documente cette vérification. Si Klaumo constate qu'un sous-traitant ultérieur ne remplit plus ses obligations, elle en informe le client sans délai et veille à ce qu'il soit remédié à la situation ou à ce que le sous-traitant ultérieur soit remplacé.
12.4Modifications. Si Klaumo souhaite ajouter ou remplacer un sous-traitant ultérieur, elle en informe le client au moins 30 jours à l'avance par e-mail. Est également considéré comme une modification le fait qu'un sous-traitant ultérieur mentionné soit utilisé pour une nouvelle finalité ou traite les données en un lieu supplémentaire situé hors de Suisse, de l'UE ou de l'EEE.
12.5Opposition. Le client peut s'y opposer par e-mail dans ces 30 jours, s'il invoque des motifs importants liés à la protection des données. Tant que les parties ne trouvent pas de solution, Klaumo ne fait pas appel au nouveau sous-traitant ultérieur pour les données de ce client, dans la mesure où cela est techniquement possible. Si aucune solution n'est possible, chaque partie peut résilier la prestation concernée pour la date du changement ; Klaumo rembourse au prorata les montants déjà payés pour la période postérieure à la résiliation. En l'absence d'opposition, la modification est réputée approuvée.
12.6Changement urgent. Si un fournisseur fait défaut ou si un problème de sécurité est connu, Klaumo peut le remplacer immédiatement par un fournisseur équivalent. Elle en informe le client le plus rapidement possible ; le droit d'opposition selon le chiffre 12.5 s'applique à compter de cette information.
12.7Ne sont pas des sous-traitants ultérieurs au sens du présent chiffre les services que Klaumo n'utilise qu'à titre de prestation accessoire, sans qu'ils aient accès aux données du client (par exemple les opérateurs de téléphonie et d'Internet pour sa propre connexion). Il en va de même des fournisseurs que le client choisit lui-même et avec lesquels il a lui-même conclu un contrat (par exemple son CRM, son agenda ou son logiciel de cabinet) ; le client en est responsable.
13. Communication à l'étranger
13.1Certains sous-traitants ultérieurs traitent des données hors de Suisse, en particulier dans l'UE et aux États-Unis. Klaumo ne communique des données à l'étranger que si l'une des conditions suivantes est remplie (art. 16 et 17 LPD) :
- l'État offre une protection adéquate des données selon l'annexe 1 OPDo ; cela vaut pour les États de l'UE et de l'EEE et pour le Royaume-Uni. Pour les États-Unis, cela ne vaut que pour les destinataires certifiés selon le Swiss-U.S. Data Privacy Framework (inscription des États-Unis à l'annexe 1 OPDo avec effet au 15 septembre 2024) ;
- à défaut : les clauses contractuelles types de la Commission européenne du 4 juin 2021, avec les adaptations pour la Suisse reconnues par le PFPDT, accompagnées d'une évaluation des risques de la transmission et, si nécessaire, de mesures de protection supplémentaires.
13.2La base applicable à chaque fournisseur figure à l'annexe 2. Klaumo vérifie la base avant chaque nouveau contrat et tient l'annexe 2 à jour. Si des clauses contractuelles d'un fournisseur renvoient encore à la loi sur la protection des données de 1992, elles s'appliquent au sens de la LPD et de l'OPDo en vigueur.
13.3Le client prend acte que la voix et le texte sont transmis dans l'UE et aux États-Unis pour le traitement par l'IA ; Anthropic peut également traiter des données dans d'autres pays. Les données qui restent enregistrées (base de données) se trouvent en Suisse (Zurich). Les autorités des États-Unis peuvent, selon le droit applicable dans ce pays et à certaines conditions, exiger l'accès à des données détenues par des fournisseurs américains ; les mesures de l'annexe 3 et les contrats des fournisseurs réduisent ce risque, sans toutefois l'exclure.
13.4Pour les clients dont les données ne doivent pas quitter la Suisse, Klaumo propose sur demande une solution avec un traitement uniquement en Suisse, faisant l'objet d'une offre distincte. Klaumo ne garantit pas que toutes les données sont traitées en Suisse si cette solution n'a pas été convenue.
14. Clients de l'UE et de l'EEE
14.1Si le client a son siège dans l'UE ou dans l'EEE, ou si le RGPD est applicable au traitement pour une autre raison, le présent contrat de sous-traitance vaut également contrat au sens de l'art. 28, par. 3 RGPD. Les notions de la LPD doivent alors être comprises au sens du RGPD.
14.2Klaumo respecte alors en particulier : le traitement uniquement sur instruction documentée, y compris en cas de transferts vers des pays tiers (art. 28, par. 3, let. a RGPD) ; la confidentialité (let. b) ; la sécurité selon l'art. 32 RGPD (let. c, annexe 3) ; le recours à des sous-traitants ultérieurs uniquement selon le chiffre 12 (let. d) ; l'assistance pour les droits des personnes concernées (let. e) et pour les art. 32 à 36 RGPD (let. f) ; la suppression ou la restitution (let. g) ; les justificatifs et les contrôles (let. h, chiffre 15).
14.3L'annonce selon le chiffre 10.1 dans un délai de 24 heures permet au client de respecter le délai de 72 heures applicable à sa notification à l'autorité de contrôle (art. 33 RGPD).
14.4Les détails, en particulier concernant les transferts vers des pays tiers, sont réglés par l'avenant pour les clients ayant leur siège dans l'UE ou dans l'EEE (document 06). Il prime le présent contrat de sous-traitance dans la mesure où il s'en écarte.
15. Contrôles et justificatifs
15.1Sur demande, Klaumo fournit au client toutes les informations dont il a besoin pour vérifier le respect du présent contrat de sous-traitance, en particulier la liste à jour des sous-traitants ultérieurs avec leurs justificatifs (certificats, rapports d'audit), la description des mesures selon l'annexe 3 et la documentation des engagements selon le chiffre 7.
15.2Si ces documents ne suffisent pas, le client peut, une fois par année civile et moyennant un préavis d'au moins 14 jours, effectuer un audit lui-même ou le faire effectuer par un spécialiste tenu au secret et qui ne travaille pas pour un concurrent de Klaumo. L'audit a lieu pendant les heures de bureau et ne doit pas perturber l'exploitation de manière disproportionnée. En cas de violation de la sécurité des données ou de décision d'une autorité, un audit est également possible à titre supplémentaire et à bref délai.
15.3Le client prend en charge, selon les tarifs des CG, le travail de Klaumo lié à un audit sur place, sauf si l'audit révèle une violation importante du présent contrat de sous-traitance.
15.4Les audits auprès des sous-traitants ultérieurs sont régis par leurs contrats. En règle générale, ces fournisseurs démontrent leur conformité au moyen de certificats et de rapports d'audit ; Klaumo met ces justificatifs à la disposition du client, dans la mesure où les fournisseurs le permettent. Klaumo n'a aucune influence sur les conditions auxquelles les grands fournisseurs autorisent des audits.
16. Conservation, restitution et suppression
16.1Klaumo ne conserve les données qu'aussi longtemps que nécessaire à la prestation. Les délais standard figurent à l'annexe 1. Le client peut donner instruction d'appliquer des délais plus courts. Les parties conviennent par écrit de délais plus longs que ceux de l'annexe 1.
16.2Klaumo supprime les enregistrements vocaux et les transcriptions après 90 jours, sauf si le client donne instruction d'appliquer un autre délai.
16.3Klaumo transfère les demandes, rendez-vous et contacts dans les systèmes du client (par exemple CRM ou agenda) et ne les conserve chez elle qu'aussi longtemps que nécessaire à l'exploitation, au plus jusqu'à la fin du contrat.
16.4À la fin du contrat et, à la demande du client, déjà auparavant, Klaumo remet au client, selon son choix, toutes les données dans un format courant ou les supprime. Le client communique son choix dans un délai de 14 jours après la fin du contrat. Ensuite, Klaumo supprime les données chez elle dans un délai de 30 jours après la fin du contrat et veille à ce qu'elles soient supprimées chez les sous-traitants ultérieurs selon leurs délais (annexe 1). Sur demande, Klaumo confirme la suppression par écrit.
16.5Font exception les données que Klaumo doit conserver en vertu d'une obligation légale (par exemple les livres et pièces comptables pendant 10 ans selon l'art. 958f CO) ainsi que les copies figurant dans des sauvegardes, qui sont écrasées selon le rythme fixe prévu à l'annexe 3. Jusqu'à leur suppression, le présent contrat de sous-traitance continue de s'appliquer à ces données.
17. Données sensibles et secret professionnel
17.1Si un agent traite des données personnelles sensibles, les parties conviennent au préalable par écrit des données que l'agent peut demander. L'agent ne pose pas de diagnostic et ne demande pas d'antécédents médicaux.
17.2Pour les clients soumis au secret professionnel selon l'art. 321 CP (par exemple médecins, dentistes, thérapeutes, avocats), la déclaration d'engagement de confidentialité (document 07) s'applique en outre. Pour ces clients, Klaumo ne fait appel qu'aux sous-traitants ultérieurs que le client autorise à l'annexe A de ce document ; les fournisseurs de remplacement autres qu'un autre modèle Claude d'Anthropic (annexe 2, partie C) sont désactivés, sauf si le client les active expressément.
17.3Le client décide lui-même si son droit professionnel permet le recours à Klaumo et aux sous-traitants ultérieurs et s'il a besoin pour cela du consentement de ses patientes et patients, clientes et clients ou mandantes et mandants.
18. Responsabilité
18.1La responsabilité est régie par le contrat principal, en particulier par les chiffres 23 et 20.9 à 20.14 des CG. Les prétentions légales des personnes concernées demeurent réservées.
18.2Si Klaumo viole le présent contrat de sous-traitance ou traite des données contrairement aux instructions du client, elle répond dans le cadre des CG. Si un dommage résulte de données ou d'instructions du client, le chiffre 20.13 des CG s'applique.
19. Dispositions finales
19.1Les modifications et compléments du présent contrat de sous-traitance requièrent la forme écrite ; un e-mail suffit s'il est expressément désigné comme modification du présent contrat de sous-traitance. Le chiffre 28 des CG (modification des CG par communication) ne s'applique pas au présent contrat de sous-traitance, à l'exception de la mise à jour de l'annexe 2 selon le chiffre 12 et de l'annexe 3 selon le chiffre 8.2.
19.2Le droit suisse et le for selon le chiffre 30.6 des CG s'appliquent. Les dispositions impératives du RGPD demeurent réservées pour les clients visés au chiffre 14.
19.3Si une disposition est nulle, les autres restent valables. Elle est remplacée par une règle qui se rapproche le plus de son but et qui est conforme au droit de la protection des données.
19.4En cas de divergence entre les versions linguistiques, la version allemande fait foi.
Lieu, date : ____________________
Pour le client : ____________________
Pour Tyche Consulting GmbH : ____________________
Annexe 1 : catégories de données, personnes concernées, conservation
Personnes concernées
- Clientes et clients du client (y compris patientes et patients, clientes et clients, mandantes et mandants, hôtes)
- Prospects, personnes qui appellent et personnes qui écrivent
- Collaboratrices et collaborateurs du client
- Fournisseurs, partenaires commerciaux et autres tiers avec lesquels le client est en contact
Catégories de données personnelles
| Catégorie | Exemples | Quand |
|---|---|---|
| Données de base et coordonnées | Nom, numéro de téléphone, e-mail, adresse, langue | toujours |
| Contenus de la communication | Enregistrements vocaux, transcriptions, messages de chat et WhatsApp, e-mails, résumés, tout ce que les personnes disent spontanément pendant la conversation | agents et canaux |
| Données de rendez-vous, de commande et de contrat | Rendez-vous souhaité, rendez-vous réservé, demande, commande, offre | selon la prestation |
| Données de téléphonie et de connexion | Numéro de la personne qui appelle, moment, durée, canal, renvoi | téléphone |
| Données techniques et journaux | Adresse IP pour le chat web, journaux d'erreurs et de déroulement, horodatages | exploitation |
| Entrées et sorties de l'IA | Instructions au modèle, base de connaissances de l'agent, réponses | agents |
| Données de configuration | Paramètres, processus, noms et rôles des collaboratrices et collaborateurs pour les renvois | mise en place |
| Données d'accès aux systèmes du client | Clés d'interface, autorisations pour l'agenda ou le CRM (enregistrées uniquement sous forme chiffrée) | intégrations |
| Contenus pour les canaux et la publicité | Textes, images, vidéos, commentaires et messages sur les réseaux sociaux | prestation contenu |
| Données de paiement et de facturation | Montant, statut du paiement, adresse de facturation ; aucun numéro de carte complet chez Klaumo | uniquement en cas de fonctions de paiement |
| Données personnelles sensibles | Informations sur la santé, sur des traitements ou sur des procédures judiciaires, dans la mesure où des personnes les mentionnent pendant la conversation | uniquement si convenu dans l'offre (chiffre 17) |
Délais standard de conservation
| Données | Délai chez Klaumo et ses sous-traitants ultérieurs |
|---|---|
| Enregistrements vocaux et transcriptions (agents vocaux) | 90 jours à compter de la fin de la conversation, puis suppression automatique chez ElevenLabs et dans la base de données |
| Résumés, demandes, rendez-vous, contacts | jusqu'au transfert dans les systèmes du client, au plus jusqu'à la fin du contrat |
| Textes chez Anthropic (Claude) | au plus 30 jours après la requête, selon les conditions d'Anthropic |
| Journaux des fonctions serveur et de la base de données | Vercel : au plus 30 jours (1 jour dans la formule Pro, 30 jours avec l'extension « Observability Plus ») ; Supabase : 7 jours (formule Pro) |
| Données de connexion téléphonique | sur demande |
| Sauvegardes de la base de données | 7 jours, puis écrasées |
| Codes de confirmation (WhatsApp, SMS) | chez Klaumo, uniquement jusqu'à la confirmation ; chez Zernio, le code n'est enregistré que sous forme de valeur de contrôle (hash) et l'enregistrement est supprimé 24 heures après sa création |
| Factures et pièces justificatives | 10 ans (art. 958f CO) ; Klaumo les traite en tant que responsable du traitement |
| toutes les autres données | suppression dans un délai de 30 jours après la fin du contrat (chiffre 16.4) |
Annexe 2 : sous-traitants ultérieurs
Vérifié sur les pages des fournisseurs et la liste des participants au Data Privacy Framework (www.dataprivacyframework.gov). Les certifications et les contrats des fournisseurs peuvent changer ; Klaumo les vérifie avant chaque nouveau contrat et au moins une fois par an.
Partie A : toujours utilisés pour les agents et l'exploitation
| Fournisseur | Finalité | Partie contractante de Klaumo | Lieu du traitement | Base de la communication à l'étranger |
|---|---|---|---|---|
| ElevenLabs | Reconnaissance vocale, voix, conduite de la conversation des agents vocaux et de chat ; enregistrement des enregistrements et des transcriptions jusqu'à leur suppression ; pour la liaison vocale dans le navigateur, ElevenLabs utilise LiveKit Inc., États-Unis | Eleven Labs Inc., New York, États-Unis | États-Unis | Swiss-U.S. Data Privacy Framework (Eleven Labs Inc. et LiveKit Incorporated : « Active ») |
| Anthropic | Modèle de langage Claude, qui formule les réponses, analyse et résume les conversations ; le modèle de remplacement en cas de panne est également Claude | Anthropic Ireland, Limited, Dublin, Irlande | États-Unis et autres pays (traitement mondial) | Clauses contractuelles types avec adaptations pour la Suisse (Anthropic n'est pas certifiée selon le Data Privacy Framework) |
| Supabase | Base de données pour les demandes, rendez-vous et transcriptions | Supabase Pte. Ltd., Singapour | Suisse (Zurich) | Stockage en Suisse ; pour les accès du fournisseur depuis l'étranger : clauses contractuelles types avec adaptations pour la Suisse (Supabase n'est pas certifiée selon le Data Privacy Framework) |
| Vercel | Hébergement et fonctions serveur | Vercel Inc., États-Unis | Fonctions serveur à Francfort (Allemagne) ; Vercel peut également traiter des données aux États-Unis | Swiss-U.S. Data Privacy Framework (Vercel Inc. : « Active ») |
| Infomaniak | E-mail de Klaumo (échanges avec le client) ; hébergement en Suisse pour la solution « uniquement en Suisse » | Infomaniak Network SA, Genève, Suisse | Suisse | aucune communication à l'étranger |
Remarque concernant ElevenLabs et Anthropic : dans les agents vocaux et de chat, Klaumo utilise les modèles Claude proposés par ElevenLabs ; Klaumo n'y dépose pas sa propre clé Anthropic. ElevenLabs transmet alors les textes à Anthropic dans le cadre de ses propres contrats ; Anthropic est à cet égard sous-traitant ultérieur d'ElevenLabs. Klaumo utilise le contrat direct avec Anthropic (ligne ci-dessus) lorsque Claude est utilisé en dehors d'ElevenLabs, par exemple dans des automatisations.
Partie B : selon la prestation commandée
| Fournisseur | Finalité | Partie contractante de Klaumo | Lieu du traitement | Base de la communication à l'étranger |
|---|---|---|---|---|
| Twilio | Numéro de téléphone (+41) et renvoi des appels vers l'agent vocal ; canal WhatsApp | sur demande | Les appels transitent par défaut par les États-Unis, y compris pour les numéros +41 | Swiss-U.S. Data Privacy Framework (Twilio Inc. : « Active ») |
| Zernio | Codes de confirmation par WhatsApp ou SMS ; publication sur les réseaux sociaux (prestation contenu) | ZERNIO SOFTWARE SL, Palamós, Espagne | Royaume-Uni et Europe occidentale ; certains prestataires aux États-Unis | Espagne et Royaume-Uni : protection adéquate des données (annexe 1 OPDo) ; États-Unis : clauses contractuelles types de l'UE selon le contrat de Zernio (zernio.com/dpa) ; Zernio n'est pas certifiée selon le Data Privacy Framework |
| Notion | Gestion de projet et notes relatives à la mise en place chez le client | Notion Labs, Inc., San Francisco, États-Unis | États-Unis | Swiss-U.S. Data Privacy Framework (Notion Labs, Inc. : « Active – Re-certification under Review ») ; si la certification devait tomber, les clauses contractuelles types de Notion s'appliquent |
| Stripe | Paiements, uniquement si une fonction de paiement pour les clientes et clients du client est convenue | Stripe Payments Europe, Limited, Dublin, Irlande | Irlande et États-Unis (Stripe, LLC) | Irlande : protection adéquate des données ; Stripe, LLC : Swiss-U.S. Data Privacy Framework (« Active ») |
| Telegram | Notifications à l'équipe du client et canaux Telegram, uniquement si le client choisit Telegram ; pas pour les données sensibles | sur demande | sur demande | sur demande |
Partie C : fournisseurs de remplacement
Si le modèle de langage Claude fait défaut, l'agent passe à un autre modèle Claude du même fournisseur Anthropic (par exemple Claude Haiku). La partie A s'applique à cet égard ; aucun autre fournisseur ne s'y ajoute. Klaumo ne fait pas appel à d'autres fournisseurs de remplacement. Si un autre fournisseur de remplacement devait s'y ajouter ultérieurement, la procédure selon le chiffre 12.4 s'applique ; pour les clients soumis au secret professionnel, il reste désactivé (chiffre 17.2).
Entraînement de modèles d'IA
Selon leurs contrats, Anthropic, Zernio et Notion n'utilisent pas les données des clients pour entraîner des modèles d'IA. Chez ElevenLabs, Klaumo désactive dans le compte l'utilisation à des fins d'entraînement avant qu'un agent du client passe en production.
Annexe 3 : mesures techniques et organisationnelles (MTO)
Klaumo est une petite équipe et n'exploite pas ses propres centres de données. Les données se trouvent chez les fournisseurs mentionnés à l'annexe 2. Les mesures combinent la sécurité de ces fournisseurs avec les mesures propres à Klaumo.
Mesures techniques
Centres de données et fournisseurs
- Exploitation uniquement chez des fournisseurs disposant de justificatifs de sécurité reconnus (par exemple SOC 2 ou ISO 27001) ; Klaumo archive les justificatifs et les remet au client sur demande.
- Base de données en Suisse (Zurich) ; fonctions serveur à Francfort (région « fra1 » chez Vercel).
Accès et autorisations
- Accès aux systèmes uniquement pour les personnes qui en ont besoin pour leur tâche (besoin d'en connaître, droits minimaux nécessaires) ; les droits sont adaptés en cas de changement de tâche et retirés le jour même du départ.
- Authentification à deux facteurs pour tous les services contenant des données de clients.
- Comptes personnels, aucun mot de passe partagé ; mots de passe longs et aléatoires dans un gestionnaire de mots de passe.
- Droits d'administration uniquement pour la direction et pour des personnes expressément désignées.
- Déconnexion ou verrouillage automatique après une période d'inactivité sur les appareils de travail et les interfaces d'administration.
- Clés d'interface uniquement dans des variables d'environnement protégées (enregistrées comme « sensitive » chez Vercel), jamais dans le code du programme ; droits limités et plafonds de dépenses par clé.
Séparation
- Les données de chaque client sont séparées logiquement ; l'accès est réglé dans la base de données par des droits au niveau des lignes (Row Level Security) sur toutes les tables.
- Les environnements de test et d'exploitation sont séparés ; les tests s'effectuent avec des données fictives, jamais avec de vraies données de clients.
Transmission et stockage
- Transmission chiffrée (TLS) pour toutes les connexions ; HSTS sur le site web.
- Stockage chiffré chez les fournisseurs d'hébergement et de bases de données.
- Appareils de travail avec support de données chiffré.
- Les données ne quittent les systèmes de Klaumo que par l'intermédiaire des fournisseurs mentionnés à l'annexe 2 ; aucun envoi de données de clients via des comptes privés ou des appareils privés.
Protection contre les attaques et les abus
- Pare-feu du fournisseur d'hébergement avec limitation des requêtes par adresse IP ; plafonds journaliers et limites du nombre de conversations simultanées par agent.
- Les interfaces n'acceptent que les requêtes provenant des propres pages ; l'accès aux conversations sur le site web de Klaumo requiert un code de confirmation.
- Les agents n'acceptent aucun fichier et ignorent les instructions de personnes qui appellent ou qui écrivent visant à modifier leurs règles.
- Avant chaque modification d'un agent, des tests avec des tentatives d'attaque sont effectués (par exemple tentatives de manipuler l'agent ou de lui soutirer des données).
- Directives de sécurité pour les contenus (Content Security Policy) sur le site web, d'abord en mode observation.
- Systèmes d'exploitation, navigateurs et bibliothèques logicielles à jour ; les mises à jour de sécurité sont installées rapidement, les mises à jour critiques immédiatement.
- Protection contre les logiciels malveillants sur les appareils de travail.
- Des tests d'intrusion externes ne sont actuellement pas convenus.
Traçabilité
- Les accès et les modifications dans la base de données et l'hébergement sont traçables au moyen des journaux des fournisseurs ; délais : Supabase 7 jours, Vercel au plus 30 jours (annexe 1).
- Les modifications du code du programme passent par un système de gestion des versions ; des tests automatiques doivent être réussis avant chaque publication.
Disponibilité et restauration
- Sauvegarde quotidienne de la base de données, conservée 7 jours ; sauvegarde manuelle avant chaque modification de la structure de la base de données ; la restauration est testée régulièrement.
- Surveillance des agents ; en cas de panne, renvoi des appels vers les collaboratrices et collaborateurs du client, dans la mesure où cela est techniquement possible.
Suppression
- Suppression automatique des enregistrements et des transcriptions après 90 jours (paramètre par agent).
- Suppression de toutes les données du client dans un délai de 30 jours après la fin du contrat ; les sauvegardes sont écrasées après 7 jours.
Minimisation des données
- Les agents ne demandent que les informations que le client a définies pour la tâche.
- Aucun profil vocal et aucune reconnaissance des personnes par leur voix (chiffre 4.4).
- Lorsque cela est possible, les données destinées aux analyses sont agrégées ou traitées sans les noms.
Mesures organisationnelles
- Responsabilité : la direction est responsable de la protection et de la sécurité des données et sert d'interlocutrice pour les clients et les autorités.
- Engagement : toutes les collaboratrices et tous les collaborateurs, ainsi que les collaborateurs indépendants, signent la déclaration d'engagement de confidentialité (document 07, partie B) avant leur premier accès ; les déclarations sont conservées.
- Formation : introduction à la protection et à la sécurité des données avant le premier accès, puis au moins une fois par an, avec des exemples concernant l'hameçonnage et la manipulation d'agents IA.
- Directive : une brève directive interne sur la sécurité des données, les appareils, les mots de passe et le traitement des données de clients, réexaminée chaque année.
- Protection des données dès la conception : les nouvelles solutions sont planifiées avec des paramètres par défaut économes en données (art. 7 LPD) ; pour les données sensibles, le flux de données est décrit avant le démarrage.
- Registre : registre des activités de traitement effectuées pour le compte des clients.
- Évaluation des risques : évaluation des risques liés aux transferts à l'étranger avant de faire appel à un fournisseur ne garantissant pas une protection adéquate des données.
- Fournisseurs : choix des sous-traitants ultérieurs en fonction de la protection et de la sécurité des données ; contrat de sous-traitance avec chacun d'eux ; vérification annuelle des justificatifs.
- Demandes des personnes concernées : procédure fixe : saisir la demande, la transmettre au client dans un délai de 3 jours ouvrables, fournir, rectifier ou supprimer les données sur instruction, documenter.
- Incidents de sécurité : procédure fixe : détecter, circonscrire, informer le client dans les 24 heures, éliminer la cause, documenter, adapter les mesures.
- Concept de suppression : délais selon l'annexe 1, paramétrés techniquement, automatiquement lorsque cela est possible.
- Réexamen : ces mesures sont réexaminées et adaptées au moins une fois par an et après chaque incident de sécurité.