Contrat de sous-traitance

Mise à jour : 2 novembre 2026 · Contrat de sous-traitance au sens de l'art. 28 RGPD et de l'art. 9 de la loi suisse sur la protection des données (nLPD) entre vous, en tant que client, et TEISENDA GmbH.

1. Objet, parties et durée

Le présent contrat s'applique lorsque vous utilisez la plateforme TEISENDA Hosting et que nous traitons à cette occasion des données à caractère personnel pour votre compte. Vous êtes alors responsable du traitement, et TEISENDA GmbH, Alte Zwillikerstrasse 9, 8908 Hedingen, Suisse (« nous ») est sous-traitant.

Le contrat fait partie intégrante du contrat d'utilisation (CGV, article 10) et prime sur les CGV. Il s'applique tant que le contrat d'utilisation est en vigueur et, au-delà, jusqu'à ce que nous ayons supprimé toutes les données issues de la sous-traitance.

Ne relèvent pas du présent contrat les données dont nous sommes nous-mêmes responsables : votre compte, la gestion des Spaces, la facturation et la sécurité de la plateforme. La politique de confidentialité s'applique à celles-ci.

2. Nature, finalité et étendue du traitement

La finalité est de mettre la plateforme à votre disposition conformément au contrat d'utilisation. Dans le détail :

La plateforme n'est pas conçue pour les catégories particulières de données à caractère personnel (art. 9 RGPD, par exemple les données de santé). N'y traitez de telles données que si les mesures de l'annexe 1 suffisent à cet effet.

3. Instructions

Nous ne traitons les données que sur vos instructions documentées. Celles-ci résultent du contrat d'utilisation, du présent contrat et de ce que vous paramétrez et initiez dans la plateforme ou via une application connectée. Si nous estimons qu'une instruction est illicite, nous vous en informons.

4. Confidentialité

Chez nous, seules ont accès aux données les personnes qui en ont besoin pour leur mission et qui sont tenues à la confidentialité.

5. Sécurité du traitement

Nous prenons les mesures techniques et organisationnelles figurant à l'annexe 1. Nous pouvons les faire évoluer, pour autant que le niveau de protection ne diminue pas.

6. Sous-traitants ultérieurs

Vous acceptez que nous fassions appel aux sous-traitants ultérieurs figurant à l'annexe 2. Nous leur imposons contractuellement les mêmes obligations que celles qui nous incombent envers vous, et nous répondons d'eux.

Si nous souhaitons faire appel à un sous-traitant ultérieur supplémentaire ou en remplacer un, nous l'annonçons au moins 30 jours à l'avance : sur cette page et par e-mail à l'adresse e-mail de facturation de votre Space ou, en l'absence de données de facturation enregistrées, aux membres ayant le rôle de Propriétaire. Vous pouvez vous y opposer pour un motif légitime. Si nous ne pouvons pas renoncer à ce fournisseur, vous pouvez résilier le contrat d'utilisation pour la date à laquelle la modification prend effet.

7. Assistance

Si une personne concernée s'adresse à nous au sujet de vos données, nous vous transmettons sa demande. Nous vous aidons, dans une mesure raisonnable, à répondre aux demandes des personnes concernées et à remplir vos obligations en matière de sécurité, de notification des violations et d'analyses d'impact relatives à la protection des données.

8. Violations de données à caractère personnel

Si nous constatons une violation de la sécurité de vos données, nous vous la notifions sans délai, au plus tard 48 heures après en avoir pris connaissance, et vous communiquons ce que nous savons : ce qui s'est passé, quelles données sont concernées et ce que nous avons fait pour y remédier. La notification est envoyée à l'adresse e-mail de facturation de votre Space ou, en l'absence de données de facturation enregistrées, aux membres ayant le rôle de Propriétaire.

9. Suppression et restitution

Si vous marquez un Space pour suppression, nous le supprimons définitivement avec tous ses contenus au bout de 30 jours. Si vous supprimez un projet, il est définitivement supprimé avec ses versions et sauvegardes ; il n'existe pas de délai de restauration. Si l'hébergement d'un Space est suspendu après la fin d'un abonnement, nous supprimons ses sites au plus tôt 30 jours après la suspension et seulement après deux avertissements par e-mail.

Vous téléversez vous-même les fichiers de vos sites ; conservez votre propre version. La plateforme ne propose pas de fonction d'exportation ; jusqu'à la suppression, vous pouvez lire des fichiers individuels via le Connector.

Les données supprimées figurent encore dans les sauvegardes jusqu'à l'expiration de l'état concerné : pour la base de données de la plateforme, 7 états quotidiens et 4 hebdomadaires ; pour les sites hébergés, 14 quotidiens, 8 hebdomadaires et 6 mensuels.

10. Justificatifs et contrôles

Nous mettons à votre disposition les informations dont vous avez besoin pour démontrer le respect du présent contrat. Si elles ne suffisent pas, vous pouvez, après un préavis raisonnable, procéder à des contrôles vous-même ou par l'intermédiaire d'un auditeur tenu à la confidentialité, pour autant que l'exploitation et les données des autres clients restent protégées.

11. Lieu du traitement et transferts à l'étranger

Les serveurs se trouvent chez Hetzner en Allemagne (Falkenstein) et en Finlande (Helsinki). Nous accédons aux données depuis la Suisse et depuis des États membres de l'UE ; la Suisse bénéficie d'une décision d'adéquation de la Commission européenne. Nous ne transférons pas de données issues de la sous-traitance vers d'autres pays.

Si vous connectez Claude ou ChatGPT à votre Space, des données sont transmises, sur votre instruction, au fournisseur que vous avez choisi. Celui-ci n'est pas notre sous-traitant ultérieur ; votre propre contrat avec lui s'applique.

12. Responsabilité et dispositions finales

La responsabilité entre vous et nous est régie par l'article 12 des CGV, dans la mesure permise par la loi ; les prétentions des personnes concernées au titre de l'art. 82 RGPD demeurent réservées. Pour le surplus, le choix du droit applicable et le for des CGV s'appliquent également au présent contrat, sauf disposition contraire du droit impératif de la protection des données.

Annexe 1 – Mesures techniques et organisationnelles

• Localisation. Les serveurs de la plateforme, du nœud d'hébergement et du Connector se trouvent chez Hetzner à Falkenstein (Allemagne), la surveillance à Helsinki (Finlande). Aucun CDN n'est placé devant les sites hébergés.
• Connexion à la plateforme. Nous n'enregistrons les mots de passe que sous forme de hachage. Les comptes peuvent être protégés par un second facteur (application d'authentification, codes de secours). Les tentatives de connexion infructueuses répétées sont limitées. Avant des opérations aux conséquences particulièrement importantes, comme la suppression d'un Space, la plateforme exige une nouvelle confirmation de l'identité.
• Droits. Les rôles dans le Space déterminent qui peut faire quoi. Pour chaque requête via le Connector, la plateforme vérifie le compte, la connexion, le Space, l'appartenance et le rôle. Les sites privés ne sont accessibles qu'aux membres connectés du Space pour lesquels ils sont partagés.
• Accès aux serveurs. Les serveurs ne sont administrés que via un réseau interne chiffré. Des tentatives infructueuses répétées entraînent un blocage automatique.
• Accès dans le cadre du support. Les collaborateurs de TEISENDA n'accèdent à un compte client que si le client le demande ; chaque accès est journalisé.
• Transmission. Les connexions à la plateforme, au Connector et aux sites hébergés sont chiffrées via HTTPS. Nous fournissons des certificats TLS pour les domaines propres. Nous n'enregistrons les jetons d'accès du Connector que sous forme de hachage.
• Journaux. La plateforme tient un journal des actions pertinentes pour la sécurité et, pour chaque projet, un journal des modifications. Les journaux système des serveurs sont analysés en continu afin de détecter les attaques et les dysfonctionnements.
• Sauvegardes. Sauvegarde quotidienne, chiffrée avant de quitter le serveur, sur un espace de stockage chez Hetzner.
• Données de paiement. Les numéros de carte ne sont traités que par le prestataire de paiement ; ils ne sont pas stockés chez nous.

Annexe 2 – Sous-traitants ultérieurs

Les autres prestataires auxquels nous faisons appel (envoi d'e-mails, DNS, paiement) ne traitent que des données dont nous sommes nous-mêmes responsables ; ils figurent dans la politique de confidentialité.