Contrat de Traitement des Donnees

Data Processing Agreement (DPA) · Conforme nLPD & RGPD
Derniere mise a jour : 8 mars 2026 · Version 1.0

Ce contrat definit les obligations respectives de ProDevis (sous-traitant) et du Client (responsable du traitement) en matiere de protection des donnees personnelles, conformement a la Loi federale sur la protection des donnees (nLPD) et au Reglement general sur la protection des donnees (RGPD).

1. Definitions

« Client » ou « Responsable du traitement » : l'entreprise utilisatrice de ProDevis, qui determine les finalites et les moyens du traitement des donnees personnelles
« ProDevis » ou « Sous-traitant » : l'editeur de la plateforme ProDevis, qui traite les donnees pour le compte du Client
« Donnees personnelles » : toute information relative a une personne physique identifiee ou identifiable
« Violation de donnees » : toute violation de securite entrainant la destruction, la perte, l'alteration ou la divulgation non autorisee de donnees personnelles

2. Objet et finalite du traitement

ProDevis traite les donnees personnelles uniquement aux fins suivantes :

Fourniture du service SaaS de gestion commerciale (devis, factures, CRM)
Stockage et restitution des donnees commerciales du Client
Execution des fonctionnalites IA (redaction, traduction) sur demande explicite de l'utilisateur
Fonctionnement du chat d'equipe
Support technique

ProDevis ne traite les donnees que sur instruction documentee du Client et ne les utilise jamais a des fins propres (marketing, profilage, revente, etc.).

3. Categories de donnees traitees

Categorie	Exemples	Personnes concernees
Donnees d'identification	Nom, prenom, e-mail, telephone	Utilisateurs, clients du Client
Donnees commerciales	Devis, factures, montants, conditions	Clients du Client
Donnees de contact fournisseurs	Raison sociale, IBAN, adresse	Fournisseurs du Client
Communications	Messages du chat d'equipe	Employes du Client
Donnees techniques	Adresse IP, logs d'acces	Utilisateurs

4. Obligations de ProDevis

4.1. Confidentialite

ProDevis s'engage a ce que toute personne autorisee a traiter les donnees personnelles soit soumise a une obligation de confidentialite contractuelle ou legale.

4.2. Securite

ProDevis met en oeuvre les mesures techniques et organisationnelles appropriees :

Chiffrement TLS 1.2+ pour toutes les transmissions de donnees
Authentification par token JWT verifie a chaque requete API
Isolation des donnees par tenant (company_id)
Rate limiting pour prevenir les attaques par force brute
En-tetes de securite HTTP (CSP, HSTS, X-Frame-Options)
Journalisation des acces aux API
Revue de securite periodique du code

4.3. Assistance

ProDevis assiste le Client dans :

L'exercice des droits des personnes concernees (acces, rectification, suppression, portabilite)
Les analyses d'impact relatives a la protection des donnees (AIPD/DPIA) si necessaire
La notification des violations de donnees

5. Sous-sous-traitants

ProDevis fait appel aux sous-sous-traitants suivants pour fournir le service :

Nom	Fonction	Pays	Donnees traitees
Google (Firebase)	Authentification	USA/UE	E-mail, identifiant utilisateur
Vercel Inc.	Hebergement, CDN	USA	Requetes HTTP, fichiers statiques
Upstash	Base de donnees Redis (chat)	UE (Francfort)	Messages du chat
Stripe Inc.	Paiements	USA/UE	Donnees de facturation
Anthropic	IA (redaction, traduction)	USA	Contenu des prompts (ephemere)

ProDevis informe le Client de tout changement de sous-sous-traitant avec un preavis de 30 jours. Le Client dispose d'un droit d'opposition motive. En cas d'opposition justifiee, ProDevis s'efforcera de proposer une alternative. A defaut, le Client pourra resilier le contrat.

6. Transferts internationaux

Certains sous-sous-traitants sont situes aux Etats-Unis. Les transferts sont encadres par :

Les Clauses Contractuelles Types (SCC) de la Commission europeenne, reconnues par le PFPDT
Les engagements contractuels de chaque fournisseur en matiere de protection des donnees

7. Violation de donnees

7.1. Notification

En cas de violation de donnees personnelles, ProDevis s'engage a :

Notifier le Client dans un delai maximum de 72 heures apres en avoir pris connaissance
Fournir toutes les informations disponibles : nature de la violation, categories de donnees concernees, nombre de personnes touchees, consequences probables, mesures prises ou proposees

7.2. Cooperation

ProDevis coopere pleinement avec le Client pour :

Evaluer l'impact de la violation
Mettre en oeuvre les mesures correctives
Assister le Client dans ses obligations de notification aux autorites et aux personnes concernees

8. Audit

Le Client dispose d'un droit d'audit, sous reserve :

D'un preavis ecrit de 30 jours
D'une frequence maximale d'un audit par annee civile
Du respect de la confidentialite des informations de ProDevis et des autres clients

Les frais d'audit sont a la charge du Client, sauf si l'audit revele un manquement imputable a ProDevis.

9. Duree et fin du contrat

Ce DPA est en vigueur tant que ProDevis traite des donnees personnelles pour le compte du Client.

A la fin du contrat :

Le Client dispose de 90 jours pour exporter ses donnees
Passe ce delai, ProDevis supprime les donnees du Client, a l'exception de celles dont la conservation est imposee par la loi (CO art. 958f : 10 ans pour les documents comptables)
ProDevis fournit une attestation de suppression sur demande

10. Responsabilite

La responsabilite de ProDevis au titre du present DPA est limitee conformement aux Conditions Generales d'Utilisation. Le Client reste responsable de la licite des donnees qu'il saisit dans ProDevis et de l'information de ses propres clients/employes.

11. Droit applicable

Le present contrat est soumis au droit suisse. Tout litige sera soumis a la competence exclusive des tribunaux du canton de Geneve, Suisse.

12. Contact

Pour toute question relative a ce contrat :
privacy@prodevis.ch

Note : Ce document constitue un modele et doit etre revise par un conseiller juridique avant utilisation en production. Les informations entre crochets [ ] doivent etre completees avec vos donnees reelles.