Contrat de sous-traitance (DPA)

Derniere mise a jour : 20 juin 2026

Le present contrat de sous-traitance (« DPA », Data Processing Agreement) regit le traitement des donnees personnelles par ALTOS(Lausanne, Suisse) en qualite de sous-traitant, pour le compte d'une entreprise cliente utilisant le service ALTOS Teams (le « Service »).

Il est applicable de plein droit a tout client souscrivant au Service et complete les Conditions Generales de Vente. Il satisfait aux exigences de l'article 28 RGPD (UE) 2016/679 et des articles 7 et 9 de la Loi federale suisse sur la protection des donnees (nLPD).

Perimetre du Service (juin 2026) :le Service est commercialise sous la forme d'un pack Timbrage (pointage horaire, validation, exports paie) auquel s'ajoute le module Dossiers (Beta), inclus gratuitement pendant la phase pilote. Le module Dossiers est en phase Beta : les fonctionnalites peuvent evoluer (par ex. ajout ulterieur de sous-fonctions ou retrait de certaines). Les categories de donnees traitees, les sous-traitants ulterieurs (§5) et les durees de conservation(§6, conformes a l'art. 962 CO et a l'art. 73 OLT 1) restent identiques que le module Dossiers soit utilise ou non.

1. Definitions

• Responsable du traitement :l'entreprise cliente (la PME) qui collecte et utilise les donnees de ses collaborateurs via le Service.
• Sous-traitant : ALTOS, qui traite les donnees pour le compte du responsable du traitement.
• Personnes concernees :les collaborateurs (salaries, stagiaires, independants) de l'entreprise cliente.
• Donnees personnelles : les informations decrites dans la Politique de confidentialite (profil, pointages, absences, dossiers).

2. Objet et duree

ALTOS s'engage a traiter les donnees personnelles uniquement pour executer les services contractuellement convenus :

• Pointage horaire des collaborateurs (web, iOS, Apple Watch, Android)
• Validation hebdomadaire et calcul des heures
• Gestion des absences (vacances, maladie, conges)
• Export pour les outils de paie (CSV bexio, Cresus, generique)
• Notifications transactionnelles (lien magique, validation manager)
• Facturation per-seat via Stripe (pack Timbrage CHF 9 / employe / mois)
• Module Dossiers (Beta) : suivi du temps par dossier / projet, fonctionnalites en evolution, inclus gratuitement pendant la phase pilote

La duree de traitement correspond a la duree d'abonnement au Service, augmentee des delais legaux de conservation (cf. §6).

3. Categories de donnees traitees

Aucune donnee sensible au sens de l'art. 9 RGPD / art. 5 al. 3 nLPD n'est traitee (sante, religion, opinion politique, biometrie, etc.).

4. Obligations d'ALTOS

• Ne traiter les donnees que sur instruction documentee du responsable du traitement (cad : usage normal du Service tel que documente).
• Garantir la confidentialite : les collaborateurs d'ALTOS autorises a acceder aux donnees sont soumis a une obligation de confidentialite.
• Mettre en oeuvre les mesures techniques et organisationnelles appropriees (cf. §7).
• Notifier au responsable du traitement toute violation de donnees personnelles sans retard injustifie et au plus tard 72 heures apres en avoir pris connaissance.
• Assister le responsable du traitement dans la reponse aux demandes des personnes concernees (acces, portabilite, effacement).
• A la fin du contrat : restituer ou supprimer toutes les donnees personnelles (sauf obligations legales de conservation).

5. Sous-traitants ulterieurs

Le responsable du traitement autorise ALTOS a recourir aux sous- traitants ulterieurs listes ci-dessous. Tout ajout sera notifie au moins 30 jours avant entree en vigueur, avec faculte d'opposition du responsable du traitement.

Les donnees applicatives (profil, pointages, absences, dossiers) sont hebergees en Suisse ou en Union europeenne. Les seuls flux sortants de l'UE concernent : (a) Sentry pour la supervision technique (erreurs applicatives, PII scrubbees cote ALTOS) ; (b) Resend pour le routage SMTP transactionnel (en-tete e-mail uniquement). Ces transferts sont encadres par les Clauses Contractuelles Types (SCC) de la Commission europeenne (decision 2021/914) et les DPA fournisseurs correspondants.

6. Duree de conservation

• Donnees de pointage : 5 ans (OLT 1 art. 73, Code des obligations art. 962).
• Donnees de compte :jusqu'a 30 jours apres suppression du compte ; anonymisation des references dans les pointages conservees legalement.
• Donnees de facturation : 10 ans (art. 958f CO).
• Logs techniques : 90 jours maximum.
• Sauvegardes : retention echelonnee 7 jours / 4 semaines / 12 mois / 7 ans (cf. §7 « Sauvegardes »). Suppression automatique par lifecycle policy au-dela de la retention.

7. Mesures techniques et organisationnelles

Chiffrement et transport

• TLS 1.3 obligatoire pour toutes les requetes HTTP
• HSTS active sur les domaines altosteams.ch
• AES-256 at rest cote Supabase (cles geres par AWS KMS)

Controle d'acces

• Authentification par lien magique (pas de mot de passe stocke)
• Row Level Security PostgreSQL : isolation stricte multi-tenant
• Acces administratif aux donnees client uniquement sur intervention de support documentee, avec log
• Service role key Supabase stockee comme variable d'environnement chiffree, jamais committee en repo

Audit et integrite

• Audit log immuable sur les modifications manuelles de pointages
• Rate limiting applicatif (anti-bruteforce, anti-scraping) sur les actions sensibles

Sauvegardes et durees de conservation

Note : le fournisseur de sauvegarde secondaire indique ci-dessous (Wasabi Frankfurt) est le provider applique par defaut. Le provider exact contractuellement engage est confirme dans les Conditions Generales de Vente. ALTOS se reserve la faculte de basculer vers un fournisseur UE equivalent avec notification prealable selon §5.

ALTOS Teams applique une strategie de sauvegarde a trois niveaux pour garantir la resilience des donnees et la conformite aux articles 957 et 962 du Code des obligations et a l'article 73 OLT 1 :

• Niveau 1 (managed) : sauvegardes journalieres automatiques cote Supabase Frankfurt, retention 7 jours, chiffrees AES-256 at rest (cles geres par AWS KMS region UE).
• Niveau 2 (secondaire) : dump Postgres quotidien chiffre AES-256 via GPG (cle ALTOS) et copie chez Wasabi Frankfurt en region Union europeenne, distinct du fournisseur principal. Retention echelonnee : 7 quotidiens, 4 hebdomadaires, 12 mensuels.
• Niveau 3 (cold storage) : copie hebdomadaire vers un second fournisseur UE distinct, chiffree GPG avec cle conservee hors-ligne. Retention 7 ans (CO art. 962 / OLT 1 art. 73).

Les demandes d'effacement (RGPD art. 17, nLPD art. 32) sont executees immediatement en production. Les copies de sauvegarde contenant la donnee restent conservees pour les durees legales ci-dessus mais ne sont pas restaurees telles quelles : une procedure de re-anonymisation post-restauration est appliquee si une restauration devait avoir lieu pendant cette periode.

Disponibilite et reprise apres sinistre

• SLA cible : 99.5% mensuel
• RTO (Recovery Time Objective) : 4 heures
• RPO (Recovery Point Objective) : 24 heures (MVP). Cible V2 avec WAL streaming : 1 heure.
• Test de restauration realise au minimum tous les six mois (avril et octobre) en environnement de staging isole, consigne dans un proces-verbal interne (RGPD art. 32.1.d).

8. Droits des personnes concernees

Les collaborateurs disposent d'un droit d'acces, de rectification, de portabilite et d'effacement. Ils peuvent exercer ces droits directement depuis l'interface Parametres > Vie privee ou en contactant leur entreprise. ALTOS assiste l'entreprise cliente pour repondre aux demandes complexes.

9. Audit

Le responsable du traitement peut demander, une fois par an et avec un preavis raisonnable, communication des certifications et rapports de securite. Un audit sur site n'est pas pratique pour un SaaS mutualise ; ALTOS s'engage a fournir les preuves documentaires equivalentes.

10. Responsabilite

La responsabilite d'ALTOS est limitee au montant des abonnements verses au cours des 12 mois precedant le sinistre, sauf en cas de faute lourde ou dolosive. Les sanctions administratives prononcees par une autorite de controle restent a la charge du responsable du traitement, sauf si elles resultent d'une violation imputable a ALTOS au sens du present DPA.

11. Droit applicable et juridiction

Le present DPA est soumis au droit suisse. Tout litige sera porte devant les tribunaux competents de Lausanne, sous reserve des dispositions imperatives du droit applicable au consommateur.

Contact DPO / RGPD

Pour toute question relative a ce DPA ou pour exercer des droits au nom d'une entreprise cliente : contact@altosteams.ch.