Contrat de sous-traitance (DPA)

1. Parties

Le présent accord est conclu entre :

• Le client, ci-après « responsable du traitement » au sens de la nLPD — la personne ou l'entreprise ayant commandé une prestation auprès de Davrexia ;
• D.Chazal IA, exploitée sous le nom commercial Davrexia, entreprise individuelle basée Route de Thonon 160, 1222 Vésenaz, GE, Suisse, ci-après « sous-traitant ».

2. Objet et portée

Le sous-traitant traite, pour le compte du client, les données à caractère personnel strictement nécessaires à l'exécution des prestations commandées (découverte, formation, automatisation, tableau de bord connecté aux outils existants du client).

Conformément à l'art. 9 nLPD, le sous-traitant ne traite ces données que dans le cadre de ce que le client lui-même serait habilité à faire, et pour les seules finalités définies dans le devis ou le contrat de prestation correspondant.

3. Instructions du client

Le sous-traitant ne traite les données que sur instruction documentée du client (devis accepté, échanges écrits, paramétrage validé). Il informe le client si une instruction lui semble contraire à la législation applicable.

4. Confidentialité

Le sous-traitant s'engage à traiter les données de manière confidentielle et à ne les communiquer à aucun tiers non autorisé par le présent accord.

5. Sécurité

Le sous-traitant met en œuvre des mesures raisonnables et proportionnées pour protéger les données traitées : accès limité aux personnes concernées, connexions chiffrées, hébergement en Suisse. Le détail de ces mesures et des outils utilisés figure dans la Charte de confidentialité IA de Davrexia.

6. Sous-traitance ultérieure — autorisation générale

Conformément à l'art. 9 nLPD, toute sous-traitance ultérieure nécessite l'autorisation préalable du client. Par le présent accord, le client autorise par avance le recours aux sous-traitants suivants, pour les finalités décrites :

Le sous-traitant informera le client de tout changement de sous-traitant ultérieur, et le client conserve la possibilité de s'y opposer pour un motif légitime.

7. Transparence sur l'usage de l'IA

8. Assistance au client

Le sous-traitant assiste le client, dans la mesure du raisonnable, pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition) portant sur les données traitées dans le cadre des prestations.

9. Sort des données en fin de contrat

À la fin de la prestation, le sous-traitant supprime ou restitue au client les données traitées pour son compte, sauf obligation légale de conservation. Pour rappel, dans le cadre du modèle Davrexia, le sous-traitant ne conserve en principe qu'un minimum technique nécessaire à l'affichage — les données métier du client restent hébergées chez ses propres outils.

10. Notification en cas d'incident

Le sous-traitant informe le client dans les meilleurs délais en cas de violation de sécurité touchant des données traitées pour son compte, afin de lui permettre de remplir ses propres obligations légales.

11. Droit applicable et for

Le présent accord est régi par le droit suisse. Tout litige relève des tribunaux compétents du canton de Genève.