Contrat de sous-traitance de données (DPA) — l'essentiel

Projet du 16.10.2026 — une page

Les parties

Ce contrat fait partie des conditions d'utilisation : il s'applique dès la création d'une société dans Mesuro. [À COMPLÉTER : signature séparée pour les fiduciaires ou grands comptes ?]

Objet et durée

• Hébergement, stockage, traitement, sauvegarde et export des données saisies dans Mesuro.
• Durée : tant que la société existe dans Mesuro, jusqu'à la purge (30 jours après la mise à la corbeille).

Données et personnes concernées

• Clients et fournisseurs : identité, adresses, coordonnées bancaires, factures, paiements.
• Collaborateurs : identité, date de naissance, numéro AVS, salaire, déductions, absences — dont des données sensibles (santé) au sens de l'art. 5 let. c LPD.
• Membres du compte : nom, e-mail, rôle.

Obligations du sous-traitant (art. 9 LPD, art. 28 al. 3 RGPD par analogie)

1. Instructions : ne traiter que selon les instructions du responsable (= l'usage du service) ; l'informer si une instruction lui paraît illégale.
2. Sécurité (art. 8 LPD, OPDo art. 1-3) : HTTPS, chiffrement au repos, cloisonnement par société (RLS), sauvegardes nocturnes chiffrées 30 jours, sceau SHA-256 des exercices clos, mot de passe actuel exigé pour en changer.
3. Confidentialité : accès du sous-traitant limité à la maintenance et au support demandé ; aucun salarié ; [À COMPLÉTER : engagement de confidentialité des éventuels futurs collaborateurs].
4. Sous-traitants ultérieurs : autorisés d'avance, listés dans la politique de confidentialité (Supabase — Zurich ; Vercel — Francfort ; GitHub — sauvegardes chiffrées ; Infomaniak — e-mails, Genève). Tout ajout est annoncé 30 jours avant, avec droit d'opposition (= résiliation et export).
5. Transferts à l'étranger (art. 16-17 LPD) : données stockées en Suisse et en Allemagne ; accès support possible depuis les États-Unis sous garanties (Swiss-U.S. DPF ou clauses types) [À COMPLÉTER : références des DPA signés].
6. Aide au responsable : assistance pour répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité) dans un délai permettant la réponse légale de 30 jours ; outils en libre-service (export, corbeille, suppression de membre).
7. Violation de la sécurité (art. 24 LPD) : information du responsable sans délai [À COMPLÉTER : 48 h ?] après découverte, avec nature, données concernées, mesures prises.
8. Fin du contrat : restitution par export complet (ZIP : CSV, XLSX, PDF, JSON, SQL), puis destruction 30 jours après la mise à la corbeille, sauvegardes comprises après 30 jours supplémentaires. Attestation de destruction sur demande.
9. Audit : le sous-traitant fournit sur demande la documentation de ses mesures (ce document, la politique de confidentialité, les attestations de ses hébergeurs : SOC 2 / ISO 27001 de Supabase et Vercel) [À COMPLÉTER : droit d'audit sur place — à cadrer].

Obligations du responsable (la société cliente)

• Être en droit de traiter les données saisies ; informer ses clients, fournisseurs et collaborateurs (art. 19 LPD).
• Tenir son propre registre si elle y est tenue (art. 12 LPD, exemption OPDo art. 24 : moins de 250 collaborateurs et pas de traitement à risque élevé).
• Gérer les accès de ses membres ; retirer les membres partis.
• Conserver ses pièces comptables 10 ans (art. 958f CO) : exporter avant toute suppression de société.

Responsabilité

Chacun répond des manquements à ses propres obligations. [À COMPLÉTER par le juriste : plafond, articulation avec les conditions d'utilisation.]

Droit et for

Droit suisse, for à Genève.