Contrat de sous-traitance des données (CST)

§1Objet et durée

(1) Le présent contrat a pour objet le traitement de données à caractère personnel par ISOCALCX dans le cadre de la fourniture et de l'exploitation de la plateforme SaaS ISOCALCX pour le responsable du traitement. Les prestations concrètes résultent du contrat principal (CG et abonnement choisi).

(2) La durée du présent contrat de sous-traitance correspond à celle du contrat principal et prend fin avec celui-ci, sous réserve des obligations de restitution ou de suppression des données prévues au §10.

(3) Le lieu de traitement se situe au sein de l'Union européenne et en Suisse. Font exception l'évaluation par IA des appels d'offres/devis téléversés (analyse PDF) et l'assistant « Jarvis » : les contenus à traiter sont à cette fin transmis à Anthropic PBC aux États-Unis (voir §6). Tout transfert de données vers des États tiers a lieu exclusivement dans les conditions du chap. V RGPD ou de l'art. 16 nLPD.

§2Nature et finalité du traitement

(1) ISOCALCX traite les données à caractère personnel exclusivement aux fins de l'exécution contractuelle des prestations SaaS au profit du responsable du traitement. La finalité est le calcul d'isolation CVCS assisté par IA à partir de devis et descriptifs de prestations suisses (DP / dossiers d'appel d'offres). Le traitement comprend exclusivement :

• extraction et structuration assistées par IA des positions d'isolation (matériau, dimension, épaisseur, code CFC, quantités) à partir des devis et descriptifs de prestations que le responsable du traitement téléverse activement via la plateforme ;
• stockage des documents de devis/DP téléversés ainsi que des données de calcul structurées qui en découlent ;
• comparaison des positions extraites avec les listes de prix téléversées par le responsable du traitement et établissement de calculs et de projets d'offres ;
• mise à disposition des résultats via interface web utilisateur, y compris l'authentification des utilisateurs du responsable du traitement ;
• exportation des données vers des formats de fichiers courants (Excel, PDF, JSON) ainsi qu'intégration via API sur demande séparée ;
• tenue du fichier clients du responsable du traitement ainsi qu'établissement et, à son initiative, envoi par e-mail de factures et de rappels à ses clients ;
• à l'initiative du responsable du traitement : lecture de listes d'adresses (Excel, CSV ou PDF) qu'il téléverse dans son fichier clients. Les fichiers Excel et CSV ainsi que les PDF comportant un tableau reconnaissable sont lus sans IA ; pour les autres PDF, leur texte (pour les PDF scannés, le fichier lui-même) est transmis pour lecture à un modèle de langage via AWS Bedrock dans l'UE. Le résultat s'affiche comme aperçu et n'entre dans le fichier clients qu'après sa confirmation ;
• établissement de procès-verbaux de réception et de rapports de régie ; sur demande, les participants signent à la main sur l'écran (avec le doigt ou la souris). La signature est enregistrée sous forme d'image avec le document concerné, puis conservée et supprimée avec celui-ci ; elle ne constitue pas une signature électronique qualifiée ;
• sur activation par la direction du responsable du traitement : assistant « Jarvis », qui exécute dans la plateforme les instructions saisies au clavier par les utilisateurs. À cette fin, l'instruction, l'historique de la conversation en cours, des informations sur la page ouverte, les termes d'entreprise confirmés et les données que l'assistant lit pour l'instruction (p. ex. projets, positions, clients et personnes de contact, offres, factures et rappels) sont transmis à un modèle de langage (voir §6). La lecture a lieu sans confirmation ; ISOCALCX n'exécute les modifications qu'après confirmation par l'utilisateur, et les étapes ayant un effet financier ou un envoi d'e-mail uniquement après confirmation expresse avec récapitulatif. Les termes que l'assistant propose comme termes d'entreprise ne sont utilisés qu'après confirmation par la direction et uniquement pour le responsable du traitement lui-même ;
• sur mise en place par le responsable du traitement : consultation de ses conditions d'achat personnelles (prix nets selon la norme de la branche IGH ikk) auprès des négociants qu'il a choisis, via leur service web, avec les données d'accès qu'il a lui-même enregistrées, ou lecture d'un fichier ikk qu'il a téléversé. Les prix n'entrent dans son calcul qu'après sa confirmation.

(2) Pas d'entraînement d'IA avec le contenu client : Aucun traitement à des fins propres — en particulier entraînement, mise au point ou amélioration de modèles d'IA générative à partir des contenus téléversés ou saisis par le responsable du traitement — n'a lieu, que ce soit chez ISOCALCX ou auprès des sous-traitants ultérieurs mentionnés au §6 (notamment AWS et Anthropic). Ceci est régi par les conditions contractuelles de ces sous-traitants, pour Anthropic conformément aux conditions commerciales d'Anthropic.

(3) Des données de télémétrie agrégées et anonymisées (par ex. statistiques d'utilisation, mesures de performance) peuvent être exploitées pour améliorer le service, dans la mesure où toute identification d'une personne est totalement exclue.

(4) Aucune décision individuelle automatisée produisant des effets juridiques : Le résultat de l'IA constitue une aide à la décision pour le calcul et l'établissement des offres par le responsable du traitement. Aucune décision automatisée au sens de l'art. 22 RGPD n'a lieu.

§3Catégories de données et de personnes concernées

(1) Les catégories de personnes concernées sont notamment :

• les collaborateurs et personnes de contact du responsable du traitement qui utilisent le service ou interviennent dans le cadre de l'exécution du contrat ;
• les tiers mentionnés dans les devis ou dossiers d'appel d'offres téléversés (par ex. maîtres d'ouvrage, planificateurs, entrepreneurs) ;
• clients du responsable du traitement et leurs personnes de contact (plusieurs par client), qu'il enregistre ou importe dans le fichier clients ou auxquels il adresse des offres, des factures et des rappels ;
• intervenants du projet que le responsable du traitement enregistre dans le projet (maître d'ouvrage, direction des travaux), ainsi que les personnes qui signent un procès-verbal de réception ou un rapport de régie.

(2) Les catégories de données à caractère personnel sont :

• données de base : nom, adresse e-mail professionnelle, raison sociale, fonction ;
• métadonnées de projet : noms de projets, codes CFC, attributions de métiers, horodatages ;
• données de contenu : textes et structures des devis/descriptifs de prestations téléversés, dans la mesure où ils contiennent des informations personnelles ;
• données d'utilisation : horaires de connexion, adresses IP (uniquement à des fins de sécurité, durée de conservation 30 jours), journaux d'audit ;
• données clients du responsable du traitement : raison sociale ou nom, adresse et adresse de facturation, adresse e-mail, téléphone, langue de correspondance, notes ; par client plusieurs personnes de contact avec civilité, prénom et nom, fonction, adresse e-mail, téléphone, mobile, note et attributs (contact principal, factures, copie, inactif) ;
• intervenants du projet (facultatif) : maître d'ouvrage avec nom et adresse, direction des travaux avec entreprise, personne, téléphone et adresse e-mail ;
• signatures manuscrites : image de la signature avec le nom et la fonction du signataire, la date et l'heure de la saisie ;
• journal de l'assistant « Jarvis » (uniquement s'il est activé) : instructions et réponses, historique des conversations, étapes préparées et exécutées avec horodatage et personnes les ayant déclenchées et confirmées, évaluations des réponses, liste des erreurs et termes d'entreprise ;
• données d'accès aux négociants (uniquement si mises en place) : nom d'utilisateur, mot de passe et numéro de client pour le service web des conditions d'un négociant, ainsi que le journal des consultations de prix (date et heure, personne à l'origine, résultat).

(3) Les catégories particulières de données à caractère personnel au sens de l'art. 9 RGPD ou de l'art. 5 let. c nLPD ne font pas l'objet du traitement ; le responsable du traitement s'assure que de telles données ne sont pas téléversées.

§4Pouvoir d'instruction du responsable du traitement

(1) ISOCALCX traite les données exclusivement sur instruction documentée du responsable du traitement. Le présent contrat, les CG ainsi que les instructions données par la configuration et l'utilisation de la plateforme constituent des instructions.

(2) Les instructions individuelles orales ou textuelles doivent être confirmées sans délai par le responsable du traitement sous forme écrite (un courriel suffit).

(3) ISOCALCX informe le responsable du traitement sans délai si, à son avis, une instruction enfreint le droit de la protection des données applicable. Elle est en droit de suspendre l'exécution d'une telle instruction jusqu'à clarification.

§5Mesures techniques et organisationnelles (MTO)

ISOCALCX prend les mesures techniques et organisationnelles suivantes afin d'assurer un niveau de protection adapté au risque, au sens de l'art. 32 RGPD ou de l'art. 8 nLPD :

§6Sous-traitants ultérieurs

(1) Le responsable du traitement accorde à ISOCALCX une autorisation générale de recourir à d'autres sous-traitants. Les sous-traitants ultérieurs actuellement mandatés sont :

(2) ISOCALCX informe le responsable du traitement, sous forme écrite et avec un préavis d'au moins 30 jours avant prise d'effet, des modifications envisagées concernant l'ajout ou le remplacement d'autres sous-traitants. Le responsable du traitement peut s'opposer à la modification dans ce délai pour un motif important relevant de la protection des données.

(3) ISOCALCX engage par écrit ses sous-traitants ultérieurs à un niveau de protection des données équivalent à celui du présent contrat.

(4) Les négociants auprès desquels le responsable du traitement consulte ses conditions d'achat (par ex. ISO-CENTER AG ou Debrunner Acifer) ne sont pas des sous-traitants d'ISOCALCX, mais des cocontractants du responsable du traitement. Sur instruction de ce dernier, ISOCALCX leur transmet uniquement les données d'accès qu'il a enregistrées pour la connexion et reçoit les conditions. Pour le traitement chez le négociant, les accords conclus entre le responsable du traitement et le négociant font foi.

§7Droits des personnes concernées

(1) ISOCALCX assiste le responsable du traitement par des mesures techniques et organisationnelles appropriées pour l'accomplissement de son obligation de répondre aux demandes des personnes concernées, en particulier en matière d'accès, de rectification, d'effacement, de limitation du traitement et de portabilité des données (art. 15–22 RGPD, art. 25–28 nLPD).

(2) Si une personne concernée adresse une telle demande directement à ISOCALCX, celle-ci la transmet sans délai au responsable du traitement et n'y répond elle-même que dans la mesure où cela est convenu ou prescrit par la loi.

(3) Les frais d'assistance dépassant le cadre habituel peuvent être facturés par ISOCALCX selon les coûts engagés.

§8Obligations de notification en cas de violation

(1) ISOCALCX notifie au responsable du traitement toute violation de la protection des données à caractère personnel sans délai, au plus tard dans les 72 heures suivant la prise de connaissance, sous forme écrite.

(2) La notification contient au minimum, dans la mesure où ces éléments sont disponibles :

• une description de la nature de la violation ainsi que des catégories et du nombre approximatif de personnes et d'enregistrements concernés ;
• le nom et les coordonnées du point de contact compétent chez ISOCALCX ;
• une description des conséquences probables ainsi que des mesures prises ou proposées pour remédier à la violation et atténuer ses effets.

(3) ISOCALCX assiste le responsable du traitement dans ses obligations de notification auprès des autorités de contrôle (art. 33 RGPD, art. 24 nLPD) et des personnes concernées (art. 34 RGPD).

§9Droits de contrôle du responsable du traitement

(1) Le responsable du traitement est en droit de vérifier une fois par an, par un audit, le respect des mesures convenues en matière de protection des données et de sécurité. L'audit a lieu après annonce préalable avec un délai raisonnable (au moins 30 jours), pendant les heures ouvrées habituelles et sans perturbation de l'exploitation.

(2) Les coûts de l'audit sont à la charge du responsable du traitement ; les frais propres d'ISOCALCX pour l'accompagnement et la préparation peuvent être facturés aux tarifs usuels du marché.

(3) La présentation de certificats actuels en matière de sécurité ou de protection des données (notamment ISO/IEC 27001, SOC 2 Type II) ou de rapports d'audit équivalents remplace un audit propre, dans la mesure où ils couvrent entièrement l'objet de l'audit.

§10Fin du mandat

(1) Après la fin du contrat principal, ISOCALCX restitue au choix du responsable du traitement toutes les données à caractère personnel traitées pour son compte ou les supprime des systèmes productifs sans délai, mais au plus tard dans un délai de 30 jours.

(2) Les copies de sauvegarde ne sont pas épurées individuellement, elles expirent : chaque sauvegarde est automatiquement supprimée et écrasée au plus tard 30 jours après sa création. Pendant ce délai, les sauvegardes servent exclusivement à la restauration en cas d’incident et à aucune autre fin. Si une sauvegarde doit être restaurée, la suppression est exécutée à nouveau immédiatement après la restauration.

(3) Dans la mesure où des obligations légales de conservation s'opposent à une suppression immédiate, le traitement ultérieur est limité au minimum légal et est rattrapé sans délai dès que le motif de conservation disparaît.

(4) ISOCALCX confirme par écrit au responsable du traitement, sur demande, la restitution ou la suppression régulière.

(5) ISOCALCX supprime immédiatement les données d'accès aux négociants enregistrées lorsque le responsable du traitement retire l'accès ou résilie le module, et sinon lors du prochain passage quotidien de nettoyage, dès qu'aucun abonnement actif n'existe plus. Les journaux des consultations de prix sont supprimés 12 mois après la consultation.