Contrat de traitement des données (DPA)

1. Parties

2. Objet & finalité

Syntech Solutions AG traite les données personnelles au nom du Client dans le seul but de fournir le service SaaS Swizz.ai tel que décrit dans les CGU. Cela comprend :

• Le stockage et le traitement du Contenu Utilisateur (textes, images, code) téléchargé par le Client
• La diffusion des sites web et applications web créés par le Client aux utilisateurs finaux
• Le traitement des invites et entrées IA soumises par le Client
• L'accès aux fonctionnalités de la plateforme, aux tableaux de bord et aux paramètres pour le Client
• L'envoi de notifications transactionnelles liées au service

3. Nature, type & durée du traitement

4. Obligations du sous-traitant (Syntech Solutions AG)

Syntech Solutions AG s'engage à :

• Traiter les données personnelles uniquement sur la base d'instructions documentées du Client (telles que définies dans les CGU et le présent DPA)
• Veiller à ce que le personnel autorisé soit soumis à des obligations de confidentialité
• Mettre en œuvre et maintenir les mesures techniques et organisationnelles (MTO) définies à l'article 6
• Assister le Client dans la réponse aux demandes des personnes concernées exerçant leurs droits en vertu du RGPD ou de la LPD
• Assister le Client dans ses obligations de sécurité, les notifications de violations, les analyses d'impact sur la protection des données et les consultations préalables
• Supprimer ou restituer toutes les données personnelles au Client à la fin du contrat conformément à l'article 9
• Fournir toutes les informations nécessaires pour démontrer la conformité avec le présent DPA et permettre les audits
• Notifier le Client sans délai s'il estime qu'une instruction enfreint le droit applicable en matière de protection des données

5. Sous-traitants ultérieurs

Le Client accorde à Syntech Solutions AG une autorisation générale d'engager les sous-traitants ultérieurs suivants. Syntech Solutions AG informera le Client de tout ajout ou remplacement prévu de sous-traitant au moins 30 jours à l'avance, donnant au Client la possibilité de s'y opposer.

Liste complète des sous-traitants : https://swizz.ai/legal/subprocessors

6. Mesures techniques & organisationnelles (MTO)

Syntech Solutions AG met en œuvre et maintient les mesures suivantes pour garantir un niveau de sécurité approprié :

7. Notification des violations de données

En cas de violation de données personnelles, Syntech Solutions AG :

• Notifiera le Client concerné dans les 48 heures suivant la prise de connaissance d'une violation susceptible d'affecter les données du Client
• Fournira au Client toutes les informations nécessaires pour remplir ses propres obligations de notification en vertu des art. 33/34 RGPD ou art. 24 LPD
• Coopérera avec le Client et prendra des mesures raisonnables pour atténuer les effets de la violation

8. Transferts internationaux

Lorsque des données personnelles sont transférées à des sous-traitants situés en dehors de la Suisse ou de l'UE/EEE (Vercel, Cloudflare, OpenAI, Stripe), ces transferts sont effectués sur la base de :

• Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (Module 3 : sous-traitant à sous-traitant)
• Équivalents spécifiques à la Suisse ou reconnaissance en vertu de la LPD
• Mesures supplémentaires comprenant le chiffrement des données en transit et au repos

9. Restitution & suppression des données après résiliation

10. Obligations du responsable du traitement (Client)

Le Client, en tant que responsable du traitement, est chargé de :

• Veiller à l'existence d'une base légale valide pour toute donnée personnelle soumise à la plateforme
• Fournir aux personnes concernées les informations de confidentialité requises concernant le traitement effectué via Swizz.ai
• Veiller à ce que les données personnelles de tiers (p. ex. utilisateurs finaux des sites web clients) soient collectées et traitées conformément au droit applicable en matière de protection des données
• Notifier immédiatement Syntech Solutions AG de toute demande d'une autorité de contrôle ou d'une personne concernée relative aux données personnelles traitées via la plateforme

11. Droits d'audit

Le Client a le droit de conduire des audits ou inspections pour vérifier la conformité de Syntech Solutions AG avec le présent DPA. Les audits peuvent être effectués :

• En demandant de la documentation et des preuves (approche privilégiée)
• En mandatant un auditeur indépendant qualifié sous obligation de confidentialité, avec un préavis écrit de 30 jours

Les audits ne doivent pas perturber les opérations du Fournisseur et doivent être effectués pendant les heures de bureau normales. Les coûts des audits sont à la charge du Client, sauf si une non-conformité importante est identifiée.

12. Responsabilité

La responsabilité dans le cadre du présent DPA est régie par les dispositions de responsabilité des CGU. Chaque partie est responsable des dommages découlant de sa propre violation du présent DPA ou du droit applicable en matière de protection des données. Lorsque les deux parties sont tenues responsables d'une réclamation en dommages-intérêts d'une personne concernée, la responsabilité est répartie selon le degré de responsabilité de chaque partie.

13. Droit applicable & juridiction compétente

• Droit applicable : Droit suisse ; en outre, art. 28 RGPD si le Client est établi dans l'UE/EEE
• Juridiction compétente : Stansstad (NW), Suisse (sous réserve de tout for légal impératif)

14. Contact pour les questions de protection des données