Accord de traitement des données

1. Parties et objet

Le présent accord est conclu entre l’école ou l’entreprise qui utilise Snowdesk (le « Client », responsable du traitement) et Viveli (« Viveli », sous-traitant). Il fait partie des conditions d’utilisation et régit le traitement de données personnelles par Viveli pour le compte du Client, conformément à l’art. 9 de la loi fédérale sur la protection des données (LPD) et, lorsqu’il s’applique, à l’art. 28 du règlement général de l’UE sur la protection des données (RGPD). Il prend effet lorsque le Client accepte les conditions d’utilisation et dure aussi longtemps que Viveli traite des données personnelles pour le Client.

2. Ce qui est traité

· Objet et finalité : fournir Snowdesk — enregistrer, organiser, afficher, transmettre et analyser les données du Client afin qu’il puisse gérer ses réservations, cours, personnel, paiements et salaires — ainsi que le support et la sécurité.

· Personnes concernées : les clients du Client et les personnes qui les accompagnent (y compris des enfants), ses clients potentiels, son personnel et ses moniteurs, et les personnes de contact de ses partenaires.

· Catégories de données : identité et coordonnées ; réservations, cours et présences ; niveaux, préférences et notes ; paiements et facturation ; données du personnel — qualifications, disponibilités, absences, formations, taux de rémunération et paie ; traces d’utilisation et données techniques.

· Données sensibles : les notes de sécurité pouvant révéler des informations sur la santé, lorsque le Client choisit de les enregistrer.

3. Instructions

Viveli traite les données personnelles uniquement selon les instructions documentées du Client, données par le présent accord ainsi que par l’utilisation et les réglages de Snowdesk par le Client, sauf obligation légale contraire — auquel cas Viveli en informe préalablement le Client, à moins que la loi ne l’interdise. Viveli informe le Client sans délai si elle estime qu’une instruction viole le droit de la protection des données.

4. Confidentialité

Viveli veille à ce que toute personne autorisée à traiter les données personnelles soit tenue à la confidentialité et n’y ait accès que dans la mesure requise par sa tâche.

5. Sécurité

Viveli maintient des mesures techniques et organisationnelles appropriées, décrites à la section 13, et les adapte à l’état de la technique et aux risques. Elle peut les modifier pour autant que le niveau de protection ne soit pas réduit.

6. Sous-traitants ultérieurs

Le Client autorise Viveli à recourir à des sous-traitants ultérieurs. Les sous-traitants actuels figurent à la section 14. Viveli informe le Client par e-mail au moins 30 jours avant d’en ajouter ou d’en remplacer un ; le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données dans ce délai et, faute de solution, résilier le service concerné avec effet au moment du changement. Viveli impose à chaque sous-traitant ultérieur des obligations protégeant les données au moins aussi bien que le présent accord et reste responsable envers le Client de leur exécution.

7. Communication à l’étranger

Viveli ne communique des données personnelles à un pays sans protection adéquate qu’avec les garanties reconnues par la LPD et le RGPD — en particulier les clauses contractuelles types approuvées par la Commission européenne et reconnues par le PFPDT, ou une certification au titre du Swiss-US ou de l’EU-US Data Privacy Framework.

8. Assistance au Client

Compte tenu de la nature du traitement, Viveli aide le Client à répondre aux demandes des personnes concernées — accès, rectification, effacement, limitation, opposition, portabilité — en grande partie au moyen des fonctions d’export et d’effacement de Snowdesk, et lui transmet sans délai toute demande de ce type qu’elle reçoit directement. Viveli aide également le Client, avec les informations dont elle dispose, pour les analyses d’impact, les consultations des autorités et ses obligations de sécurité.

9. Violations de la sécurité des données

Viveli informe le Client sans retard injustifié, et au plus tard dans les 48 heures après en avoir pris connaissance, de toute violation de la sécurité touchant ses données personnelles. L’avis décrit, dans la mesure connue, ce qui s’est passé, les données et personnes concernées, les conséquences probables et les mesures prises ou proposées. Viveli soutient le Client pour les annonces aux autorités et aux personnes concernées lorsque la loi l’exige.

10. Fin du traitement

À la fin du contrat, le Client peut exporter ses données pendant 30 jours. Viveli supprime ensuite les données personnelles dans un délai supplémentaire de 60 jours et confirme la suppression sur demande, sauf obligation légale de conservation. Les copies de sauvegarde sont écrasées selon leur cycle normal et restent protégées par le présent accord jusque-là.

11. Audits

Viveli met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client, ou un auditeur tenu à la confidentialité, peut en contrôler le respect une fois par an, ou après une violation, moyennant un préavis écrit de 30 jours, pendant les heures de bureau et sans perturber le service ni les données d’autres clients. Chaque partie supporte ses propres frais.

12. Responsabilité et primauté

La responsabilité au titre du présent accord suit les conditions d’utilisation, sauf lorsque la loi n’en permet pas la limitation. En cas de divergence en matière de protection des données, le présent accord prévaut sur les conditions d’utilisation. Il est soumis au même droit et au même for que celles-ci.

13. Mesures techniques et organisationnelles

· Accès : comptes individuels ; mots de passe conservés uniquement sous forme de hachages salés ; connexion en deux étapes disponible ; tentatives de connexion limitées ; sessions qui expirent ; autorisations par fonction définies par le Client.

· Séparation : chaque donnée est rattachée à une seule école, et chaque requête est limitée à l’école de la personne qui la fait.

· Chiffrement : connexions chiffrées (TLS) partout ; champs sensibles chiffrés dans la base de données ; stockage chiffré au repos par l’hébergeur.

· Intégrité et traçabilité : journal d’audit des actions importantes ; protection contre les requêtes falsifiées ; contrôles des saisies.

· Disponibilité : hébergement géré avec sauvegardes régulières ; surveillance et rapports d’erreurs.

· Organisation : accès aux systèmes de production réservé aux personnes qui en ont besoin ; obligations de confidentialité ; révision de ces mesures lorsque le service ou les risques évoluent.

14. Sous-traitants ultérieurs

· Supabase Inc. — hébergement de la base de données — Francfort, Allemagne (UE).

· Railway Corporation, États-Unis — serveurs applicatifs et cache.

· Vercel Inc., États-Unis — hébergement et diffusion de l’application web.

· Functional Software Inc. « Sentry », États-Unis — suivi des erreurs — données stockées en Allemagne (UE).

· Uniquement lorsque le Client active la fonction : un service d’envoi d’e-mails ; Twilio Inc., États-Unis (SMS) ; Cloudflare Inc. (stockage de documents, juridiction UE). Les paiements par carte passent par Stripe, qui agit comme responsable du traitement indépendant selon ses propres conditions.