Contrat de sous-traitance de données

Préambule

Le présent contrat de sous-traitance (ci-après « le Contrat ») est conclu entre :

• Stampt, exploitée par ses deux cofondateurs sous la forme d'une société simple au sens des art. 530 ss CO, Rue Pré-Fleuri 4, 1950 Sion, team@stampt.ch (ci-après « Stampt ») ;
• et le commerce ou professionnel qui souscrit au service Stampt (ci-après « le Client »).

Stampt exploite une plateforme de cartes de fidélité digitales pour Apple Wallet et Google Wallet (ci-après « le Service »). Dans le cadre du Service, Stampt traite pour le compte du Client des données personnelles concernant les clients finaux du Client, et les parties s'échangent des informations confidentielles.

Le Contrat complète les conditions générales de Stampt (stampt.ch/cgv), dont il fait partie intégrante. Il est accepté par la souscription au Service ; à la demande du Client, il peut également être signé séparément. En cas de contradiction, le Contrat prévaut pour toute question de confidentialité et de protection des données. Les parties conviennent qu'il constitue le contrat de sous-traitance exigé par l'art. 9 al. 1 LPD.

Art. 1 Définitions

• Données personnelles : toutes les informations concernant une personne physique identifiée ou identifiable (art. 5 let. a LPD).
• Données du Client : les données personnelles des clients finaux du Client et toutes les données que le Client saisit, importe ou génère par l'utilisation du Service, ainsi que les données qui en sont dérivées.
• Responsable du traitement : le Client, qui décide des finalités et des moyens du traitement (art. 5 let. j LPD).
• Sous-traitant : Stampt, qui traite les Données du Client pour le compte du Client (art. 5 let. k LPD).
• Sous-traitant ultérieur : tout prestataire tiers auquel Stampt fait appel pour l'exécution du Service et qui traite des Données du Client (Annexe A).
• Traitement et violation de la sécurité des données : au sens de l'art. 5 let. d et h LPD.

Art. 2 Objet et rôles

Le Contrat régit la protection des informations confidentielles échangées entre les parties, le traitement des Données du Client par Stampt en qualité de sous-traitant, la sécurité de ces données, le recours à des sous-traitants ultérieurs, ainsi que la restitution et la suppression des données à la fin du Service ou en cas de cessation d'activité de Stampt.

Le Client est responsable du traitement. Stampt agit en qualité de sous-traitant au sens de l'art. 9 LPD et ne traite les Données du Client que sur instruction du Client. Les instructions initiales résultent des conditions générales, du Contrat et des paramétrages effectués par le Client dans son tableau de bord ; toute instruction complémentaire est donnée par écrit (l'e-mail suffit).

Stampt informe le Client sans délai si une instruction lui paraît contraire à la LPD ou à d'autres dispositions légales.

Si et dans la mesure où le règlement (UE) 2016/679 (RGPD) s'applique à des traitements effectués par le Client, notamment à l'égard de clients finaux situés dans l'Union européenne, le Contrat vaut également contrat de sous-traitance au sens de l'art. 28 RGPD ; les références à la LPD s'entendent alors aussi des dispositions correspondantes du RGPD.

Art. 3 Description du traitement

Finalités et nature du traitement. Émission, personnalisation et mise à jour des cartes de fidélité dans Apple Wallet et Google Wallet ; page publique d'inscription accessible par QR code ; enregistrement des points lors des scans ; diffusion des annonces du Client sur l'écran verrouillé ; rappels de proximité, déclenchés localement par l'appareil du client final à partir des coordonnées du point de vente ; invitations à laisser un avis Google ; envoi d'e-mails d'information liés au programme, notamment codes promotionnels ; tableau de bord et fichier client destinés au Client ; support technique.

Catégories de données. Nom complet, adresse e-mail et, s'il est renseigné, numéro de téléphone ; solde de points et date d'inscription ; identifiant de membre et adresse du pass ; historique des passages (type d'opération, points, membre du personnel ayant scanné, horodatage) ; suivi des invitations à laisser un avis, des annonces et des e-mails envoyés ; empreinte hachée de l'adresse IP lors de l'inscription, à seule fin de prévention des abus ; lorsque la boutique en ligne du Client est connectée, données de commande (numéro, date, montant, adresse e-mail du client final). Stampt ne collecte ni ne conserve la position géographique des clients finaux.

Personnes concernées. Clients et prospects du Client titulaires d'une carte de fidélité, ainsi que les collaborateurs du Client utilisant la plateforme.

Durée. Pendant toute la durée du Service et jusqu'à la suppression des données selon l'art. 12.

Données sensibles. Le Service n'est pas destiné au traitement de données sensibles au sens de l'art. 5 let. c LPD. Le Client s'engage à n'en saisir ni importer aucune.

Art. 4 Interdictions

Stampt s'interdit :

• d'utiliser les Données du Client pour son propre compte ou pour le compte de tiers ;
• de les vendre, louer, céder ou communiquer à des tiers, hors sous-traitants ultérieurs autorisés ;
• de les utiliser à des fins publicitaires, de profilage ou de démarchage ;
• de les croiser avec les données d'autres clients de Stampt ;
• d'effectuer un profilage à risque élevé au sens de l'art. 5 let. g LPD.

Demeure réservée l'utilisation de données techniques agrégées et rendues anonymes, ne permettant plus d'identifier le Client ni ses clients finaux, aux seules fins de fonctionnement, de sécurité et d'amélioration de la plateforme.

Art. 5 Obligations du Client

En sa qualité de responsable du traitement, le Client :

• garantit disposer d'une base juridique valable pour le traitement et informe ses clients finaux de manière adéquate (art. 19 LPD), notamment par sa déclaration de confidentialité, en indiquant les catégories de destinataires et les États vers lesquels des données sont communiquées (art. 19 al. 2 let. c et al. 4 LPD), sur la base de l'Annexe A et de la politique de confidentialité de Stampt (stampt.ch/confidentialite) ;
• recueille les consentements nécessaires à l'envoi de messages à caractère promotionnel, par e-mail ou par notification (art. 3 al. 1 let. o LCD) ;
• garantit l'exactitude et la licéité des données qu'il transmet à Stampt ;
• gère les accès de ses collaborateurs à la plateforme et la confidentialité de leurs identifiants.

Art. 6 Confidentialité et propriété

Chaque partie garde strictement confidentielles les informations de l'autre partie dont elle a connaissance dans le cadre du Service, ne les utilise qu'aux fins du Service et ne les communique qu'aux collaborateurs, auxiliaires et sous-traitants qui doivent en avoir connaissance et sont tenus à une obligation de confidentialité au moins équivalente. Sont notamment confidentielles, pour le Client, ses Données, ses chiffres de vente et ses actions promotionnelles avant leur publication ; pour Stampt, l'architecture de la plateforme, son code source, les conditions particulières consenties au Client et l'identité de ses prestataires techniques.

Ne sont pas confidentielles les informations dont la partie qui les reçoit démontre qu'elles étaient ou sont devenues publiques sans faute de sa part, qu'elle en avait légitimement connaissance auparavant, qu'elle les a reçues licitement d'un tiers non tenu à la confidentialité ou qu'elle les a développées de manière indépendante. Une partie peut communiquer des informations confidentielles lorsqu'une loi, un jugement ou une décision d'autorité l'y oblige ; elle en informe préalablement l'autre partie, dans la mesure permise, et limite la communication au strict nécessaire.

Ces obligations s'appliquent pendant toute la durée du Service et cinq (5) ans après sa fin. Elles subsistent sans limitation de durée pour les données personnelles et pour les secrets d'affaires et de fabrication (art. 162 CP ; art. 6 LCD).

Les Données du Client sont rattachées exclusivement au Client, qui en conserve seul la maîtrise et le droit d'en disposer ; Stampt n'acquiert sur elles aucun droit propre, hormis celui de les traiter aux fins du Service. La plateforme Stampt, son code, ses configurations et ses développements, y compris ceux réalisés sur mesure pour le Client, demeurent la propriété de Stampt. Les éléments d'identité visuelle du Client demeurent la propriété du Client.

Art. 7 Sécurité des données

Stampt prend les mesures techniques et organisationnelles appropriées pour assurer une sécurité des données adaptée au risque (art. 8 LPD ; art. 1 à 4 OPDo), en tenant compte de l'état de la technique. Ces mesures comprennent au minimum :

• le chiffrement des données lors de leur transmission et de leur stockage ;
• le contrôle des accès par identifiants personnels et authentification à deux facteurs, l'attribution des droits selon le principe du moindre privilège et la révocation immédiate des accès des personnes qui quittent l'entreprise ;
• la séparation logique des données de chaque client de Stampt ;
• la traçabilité des opérations effectuées sur les cartes et, selon les fonctions offertes par ses prestataires, la journalisation des accès ;
• des sauvegardes régulières et testées ;
• l'application des mises à jour de sécurité ;
• la sensibilisation des personnes ayant accès aux données.

Les mesures sont détaillées à l'Annexe B. Stampt les réexamine périodiquement et les adapte à l'évolution des risques et de la technique.

Stampt veille à ce que toute personne autorisée à traiter les Données du Client soit tenue à une obligation de confidentialité. Il tient, dans la mesure requise par l'art. 12 LPD, un registre des activités de traitement effectuées pour le compte du Client.

Art. 8 Sous-traitants ultérieurs et communication de données à l'étranger

Le Client autorise de manière générale Stampt à recourir à des sous-traitants ultérieurs relevant des catégories figurant à l'Annexe A et établis dans les pays qui y sont indiqués (art. 9 al. 3 LPD). Sur demande écrite, Stampt communique au Client l'identité des prestataires concernés ; cette information est confidentielle au sens de l'art. 6.

Stampt informe le Client par e-mail, au moins trente (30) jours à l'avance, de tout changement de sous-traitant ultérieur, de catégorie ou de pays de traitement. Le Client peut s'y opposer pour des motifs objectifs liés à la protection des données. Si les parties ne trouvent pas de solution, le Client peut résilier le Service pour la date d'entrée en vigueur du changement, sans frais.

Stampt impose à ses sous-traitants ultérieurs, par contrat, des obligations de protection des données et de sécurité conformes aux exigences de la LPD ; le Client prend acte que les sous-traitants ultérieurs désignés à l'Annexe A interviennent selon leurs conditions contractuelles standard. Stampt répond envers le Client des actes de ses sous-traitants ultérieurs comme des siens.

Stampt ne communique des Données du Client à l'étranger que vers des États dont la législation assure un niveau de protection adéquat selon la liste établie par le Conseil fédéral (annexe 1 OPDo) ou, à défaut, moyennant des garanties appropriées au sens de l'art. 16 al. 2 LPD, notamment les clauses contractuelles types reconnues par le PFPDT, ou à des entreprises américaines certifiées selon le Swiss-U.S. Data Privacy Framework, auquel cas Stampt s'assure du maintien de la certification. Les pays de traitement sont indiqués à l'Annexe A.

Art. 9 Violation de la sécurité des données

Stampt informe le Client de toute violation de la sécurité des données concernant les Données du Client dans les meilleurs délais (art. 24 al. 3 LPD), au plus tard quarante-huit (48) heures après en avoir eu connaissance. L'annonce décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables ainsi que les mesures prises ou proposées.

Stampt assiste le Client dans l'annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) et dans l'information des personnes concernées lorsque celles-ci sont requises (art. 24 LPD). Il documente toute violation ainsi que les mesures correctives prises.

Art. 10 Droits des personnes concernées, assistance et contrôle

Stampt assiste le Client, par des mesures techniques et organisationnelles appropriées, pour donner suite aux demandes des personnes concernées : accès (art. 25 LPD), rectification, effacement, remise ou transmission des données (art. 28 LPD) et opposition au traitement. Il fournit son assistance dans un délai permettant au Client de respecter le délai légal de trente (30) jours (art. 25 al. 7 LPD).

Toute demande d'une personne concernée adressée directement à Stampt est transmise au Client dans les cinq (5) jours ouvrables. Stampt n'y donne pas suite directement, sauf instruction du Client.

Sur demande écrite du Client et au plus une fois par année civile, Stampt met à disposition les informations et pièces raisonnablement nécessaires pour démontrer le respect du Contrat (description des mesures de sécurité, attestations et rapports de ses sous-traitants ultérieurs). Un contrôle sur place n'a lieu qu'en cas de soupçon fondé de violation, avec un préavis de trente (30) jours, pendant les heures ouvrables, aux frais du Client et sans compromettre la confidentialité des autres clients de Stampt.

Stampt fournit au Client l'assistance raisonnablement nécessaire à une éventuelle analyse d'impact relative à la protection des données (art. 22 LPD).

Art. 11 Durée et résiliation

Le Contrat entre en vigueur à la souscription au Service ou, s'il est signé séparément, à sa signature. Il demeure en vigueur aussi longtemps que le Service et, au-delà, aussi longtemps que Stampt détient des Données du Client. Il s'applique également aux traitements effectués depuis la mise en service du Service.

Chaque partie peut résilier le Contrat et le Service avec effet immédiat si l'autre partie viole gravement ses obligations de confidentialité ou de protection des données et ne remédie pas à la violation dans les dix (10) jours suivant une mise en demeure écrite, ou si la violation n'est pas réparable. La fin du Service, quelle qu'en soit la cause, déclenche l'application de l'art. 12.

Les art. 6, 12, 13, 14 et 15 subsistent après la fin du Contrat.

Art. 12 Fin du Service : restitution et suppression des données

Dès la fin du Service, quelle qu'en soit la cause, Stampt :

1. met à disposition du Client, dans les trente (30) jours, un export complet des Données du Client dans un format structuré, couramment utilisé et lisible par machine (CSV et/ou JSON), comprenant au minimum l'identité et les coordonnées des clients finaux, l'état des points et des récompenses, l'historique des opérations et la date d'inscription de chaque client final ;
2. fournit, sur demande, une description des champs exportés afin de faciliter la reprise des données dans un autre système ;
3. supprime, dans les trente (30) jours suivant la confirmation écrite par le Client de la bonne réception de l'export, mais au plus tard soixante (60) jours après la fin du Service, de manière définitive et irréversible, l'ensemble des Données du Client de ses systèmes, fait supprimer celles détenues par ses sous-traitants ultérieurs sous réserve de leurs délais techniques, et en confirme l'exécution au Client par écrit.

Les copies contenues dans les sauvegardes techniques sont écrasées selon le cycle ordinaire de rotation des sauvegardes, au plus tard trente (30) jours après la suppression ; jusqu'à leur écrasement, elles ne sont ni consultées ni restaurées, sauf obligation légale.

Sont réservées les données que Stampt doit conserver en vertu d'une obligation légale, notamment les pièces comptables (art. 958f CO). Elles sont conservées séparément, restent soumises à la confidentialité et ne sont plus traitées à d'autres fins.

Le Client prend acte qu'à la fin du Service, les cartes installées sur les appareils de ses clients finaux cessent d'être mises à jour et sont désactivées ou affichées comme expirées. Sur demande du Client formulée avant la fin du Service, Stampt diffuse une dernière notification aux titulaires, dont le contenu est fourni par le Client, par exemple pour annoncer un nouveau programme.

Le Client peut demander à tout moment, également en cours de Service, un export de ses données dans les conditions du point 1.

Art. 13 Continuité et cessation d'activité de Stampt

Si Stampt envisage de cesser l'exploitation de la plateforme ou de la transférer à un tiers, ou si l'un de ses associés se trouve en situation d'insolvabilité, Stampt en informe le Client par écrit avec un préavis d'au moins soixante (60) jours, dans la mesure où les circonstances le permettent. Pendant ce préavis, Stampt maintient, dans la mesure du possible, le Service en fonctionnement, remet au Client l'export prévu à l'art. 12 et lui fournit, sans frais et dans une mesure raisonnable, l'assistance nécessaire à la migration vers une autre solution (documentation des données, réponse aux questions techniques).

Les Données du Client ne peuvent être transférées à un tiers reprenant l'exploitation de la plateforme qu'avec l'accord écrit préalable du Client et à la condition que le repreneur reprenne l'intégralité des obligations du Contrat. À défaut d'accord, elles sont restituées puis supprimées selon l'art. 12.

Les Données du Client ne constituent pas un actif de Stampt : elles ne peuvent être cédées, mises en gage ni réalisées, et le Client conserve en tout temps le droit d'en obtenir la restitution, y compris en cas de faillite de l'un des associés de Stampt ou de dissolution de leur société.

Le Client consent d'ores et déjà au transfert du Contrat et du Service à une société que les associés de Stampt constitueraient pour poursuivre l'exploitation de la plateforme, moyennant notification écrite et reprise de l'ensemble des droits et obligations par cette société. Tout autre transfert du Contrat requiert l'accord écrit du Client.

Chacun des associés de Stampt dispose des accès nécessaires à la plateforme et à ses prestataires. En cas de décès, d'incapacité ou d'empêchement durable de l'un d'eux, l'autre exécute seul les obligations prévues aux art. 12 et 13. Stampt désigne à cet effet une personne de contact, dont il communique l'identité et les coordonnées au Client sur demande ; il tient cette désignation à jour et en informe le Client.

Art. 14 Responsabilité

Chaque partie répond envers l'autre du dommage causé par la violation du Contrat, conformément aux art. 97 ss CO. Aucune peine conventionnelle n'est convenue.

La responsabilité de Stampt est limitée aux dommages directs. Dans les limites permises par le droit suisse, sont exclus les dommages indirects et consécutifs, notamment la perte de chiffre d'affaires, la perte de clientèle, l'atteinte à l'image et le manque à gagner. Elle est en outre plafonnée, tous dommages confondus par année contractuelle, au montant total effectivement facturé au Client au cours des six (6) mois précédant l'événement dommageable, quel que soit le palier appliqué durant cette période. Ces limitations ne s'appliquent pas en cas de faute grave ou intentionnelle (art. 100 CO), ni aux dommages corporels.

Chaque partie garantit l'autre contre les prétentions de tiers, y compris des personnes concernées et des autorités, découlant de sa propre violation du Contrat ou de la LPD, dans les limites de l'alinéa précédent en ce qui concerne Stampt.

Art. 15 Dispositions finales

Stampt peut modifier le Contrat, notamment pour tenir compte d'évolutions du Service, techniques ou légales. Le Client est informé de toute modification substantielle par e-mail, au moins trente (30) jours avant son entrée en vigueur ; s'il la refuse, il peut résilier le Service dans les conditions des conditions générales. La poursuite de l'utilisation du Service après l'entrée en vigueur vaut acceptation. Lorsque le Contrat a été signé séparément, toute modification requiert la forme écrite, également respectée par l'échange de documents signés et transmis par voie électronique ou par la signature électronique qualifiée (art. 14 al. 2bis CO).

Si une disposition est nulle ou inapplicable, la validité des autres dispositions n'en est pas affectée ; la disposition concernée est remplacée par une disposition valable se rapprochant le plus du but visé. Le fait pour une partie de ne pas exiger l'exécution d'une disposition ne vaut pas renonciation à s'en prévaloir ultérieurement.

Les communications courantes relatives au Contrat sont faites par e-mail : pour Stampt à team@stampt.ch, pour le Client à l'adresse de son compte.

Le Contrat est soumis au droit suisse, à l'exclusion des règles de conflit de lois. En cas de litige, les parties s'efforcent d'abord de trouver une solution amiable dans un délai de trente (30) jours. À défaut, les tribunaux ordinaires du canton du Valais sont compétents ; le for est à Sion (art. 17 CPC), le recours au Tribunal fédéral demeurant réservé.

Annexe A Sous-traitants ultérieurs et systèmes connectés

Sous-traitants ultérieurs autorisés (art. 8). Les prestataires désignés par catégorie sont identifiés au Client sur demande écrite ; leur identité demeure confidentielle (art. 6).

Systèmes connectés appartenant au Client. Ils ne sont pas des sous-traitants de Stampt ; le Client en est responsable au titre de ses propres contrats :

Stampt tient cette annexe à jour et notifie toute modification conformément à l'art. 8.

Annexe B Mesures techniques et organisationnelles (art. 7)