Accord de sous-traitance des données

1. 1. Parties et rôles

Le client est responsable du traitement. Il détermine les finalités et les moyens du traitement des données personnelles qu'il confie à Citova.

Citova, Suisse, numéro IDE communiqué sur demande, ci-après « Citova », est sous-traitant. Elle traite ces données uniquement pour le compte du client et selon ses instructions.

Lorsque le client est une agence qui agit elle-même pour ses propres clients, Citova intervient comme sous-traitant ultérieur. L'agence garantit qu'elle est autorisée à lui confier les données.

2. 2. Objet, durée, nature et finalité

Le traitement a pour objet la fourniture des services décrits dans les conditions générales : production de vidéos et de contenus, gestion de campagnes publicitaires, suivi de la visibilité IA, rapports et support.

Le traitement comprend la collecte, l'enregistrement, l'hébergement, l'organisation, l'adaptation, la consultation, la transmission aux sous-traitants ultérieurs autorisés et la suppression des données.

L'accord s'applique pendant toute la durée du contrat, puis jusqu'à la suppression ou la restitution complète des données.

3. 3. Données et personnes concernées

Les catégories de données et de personnes concernées dépendent de l'usage que le client fait du service. Elles comprennent en principe les éléments suivants.

Le client ne transmet pas à Citova de données sensibles au sens de la loi, en particulier des données de santé de patients, sauf accord écrit préalable fixant des mesures de protection adaptées. Les données de voix et d'image utilisées pour créer une voix de synthèse ou un avatar ne sont traitées qu'avec le consentement explicite de la personne concernée.

• Utilisateurs du client : nom, adresse e-mail professionnelle, rôle, journal des connexions et des validations
• Collaborateurs et représentants du client : nom, fonction, image et voix lorsqu'ils figurent dans les contenus
• Personnes figurant dans les contenus fournis par le client : image, voix, propos
• Clients et prospects du client : données de contact, lorsque le client fournit des listes de destinataires ou connecte un outil qui en contient
• Audiences publicitaires : données de performance issues des comptes publicitaires du client, en principe agrégées

4. 4. Instructions du client

Citova traite les données uniquement sur instruction documentée du client. Le contrat, le présent accord, les réglages effectués dans la plateforme et les validations données par le client constituent ces instructions.

Si Citova estime qu'une instruction est contraire à la législation sur la protection des données, elle en informe le client sans délai et peut suspendre son exécution jusqu'à confirmation ou modification de l'instruction.

Citova n'utilise pas les données du client pour ses propres finalités. Elle n'entraîne aucun modèle d'IA avec ces données et ne les vend pas.

5. 5. Confidentialité

Citova veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité par contrat ou par la loi, et à ce qu'elles n'y accèdent que dans la mesure nécessaire à leur tâche. Cette obligation subsiste après la fin de leur engagement.

6. 6. Sécurité du traitement

Citova met en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque. Ces mesures sont décrites à la section 14. Citova peut les faire évoluer, à condition de ne pas réduire le niveau de protection.

7. 7. Sous-traitants ultérieurs

Le client autorise de manière générale Citova à faire appel à des sous-traitants ultérieurs. La liste en vigueur, par catégorie, est la suivante.

Citova conclut avec chaque sous-traitant ultérieur un contrat lui imposant des obligations de protection des données équivalentes à celles du présent accord. Elle répond envers le client de l'exécution de ces obligations.

Citova informe le client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours à l'avance, par e-mail ou dans la plateforme. Le client peut s'y opposer par écrit, pour un motif légitime lié à la protection des données, dans ce délai. Les parties recherchent alors une solution de bonne foi. À défaut d'accord, le client peut résilier la partie du service concernée pour la date d'entrée en vigueur du changement.

Les plateformes publicitaires connectées par le client, notamment Meta, TikTok et Google, ne sont pas des sous-traitants ultérieurs de Citova. Elles traitent les données selon leurs propres conditions, acceptées par le client.

• Base de données et authentification : Supabase, région située dans l'Union européenne
• Hébergement du site et de l'application : Vercel
• Paiement et facturation : Stripe
• Envoi des e-mails : Resend
• Mesure d'utilisation : PostHog
• Suivi des erreurs techniques : Sentry
• Protection contre les abus : Cloudflare
• Moteurs de réponse IA interrogés et modèles d'IA : OpenAI, Anthropic, Google, Perplexity
• Synthèse et clonage de voix : ElevenLabs
• Production vidéo et avatars : HeyGen

8. 8. Transferts à l'étranger

La base de données principale est hébergée en Europe, dans une région située dans l'Union européenne.

Lorsqu'un sous-traitant ultérieur traite des données dans un pays qui n'offre pas un niveau de protection adéquat selon le droit suisse ou européen, Citova s'assure qu'une garantie reconnue s'applique : décision d'adéquation couvrant le prestataire, ou clauses contractuelles types reconnues par le Préposé fédéral à la protection des données et à la transparence et par la Commission européenne, avec les adaptations requises par le droit suisse. Citova communique ces garanties au client sur demande.

9. 9. Assistance au client

Citova aide le client, par des mesures appropriées et dans la mesure du possible, à répondre aux demandes des personnes concernées : accès, rectification, suppression, portabilité, opposition, limitation. Si une personne s'adresse directement à Citova, celle-ci transmet la demande au client sans délai et n'y répond pas elle-même, sauf instruction du client.

Citova fournit au client les informations raisonnablement nécessaires pour réaliser une analyse d'impact relative à la protection des données ou pour consulter l'autorité de surveillance, lorsque le traitement confié l'exige.

10. 10. Violation de la sécurité des données

Citova informe le client dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, de toute violation de la sécurité touchant les données personnelles du client.

L'information indique, dans la mesure où ces éléments sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées et le point de contact. Elle est complétée au fur et à mesure.

Citova prend sans délai les mesures propres à limiter les effets de la violation. Il appartient au client d'annoncer la violation à l'autorité compétente et aux personnes concernées lorsque la loi l'exige. Citova l'assiste dans cette démarche.

11. 11. Contrôles et audits

Citova met à la disposition du client, sur demande, les informations nécessaires pour démontrer le respect du présent accord, notamment la description des mesures de sécurité et les attestations disponibles de ses sous-traitants ultérieurs.

Si ces informations ne suffisent pas, le client peut procéder à un audit, lui-même ou par un auditeur indépendant tenu à la confidentialité. L'audit est annoncé au moins trente jours à l'avance, se déroule pendant les heures de bureau, au plus une fois par année sauf incident, et ne doit pas compromettre la sécurité des données d'autres clients. Chaque partie supporte ses propres frais. Si l'audit dépasse un jour de travail pour Citova, le temps supplémentaire peut être facturé au tarif convenu.

12. 12. Restitution et suppression

À la fin du contrat, le client peut exporter ses données depuis le portail pendant trente jours. Passé ce délai, ou plus tôt sur instruction écrite du client, Citova supprime les données personnelles traitées pour son compte et demande à ses sous-traitants ultérieurs d'en faire autant.

Les copies de sauvegarde sont écrasées selon leur cycle habituel, dans un délai de quatre-vingt-dix jours. Citova peut conserver les données dont la loi lui impose la conservation, en les protégeant et en n'en faisant aucun autre usage. Elle confirme la suppression par écrit sur demande.

13. 13. Obligations du client, responsabilité et dispositions finales

Le client garantit que le traitement qu'il confie à Citova est licite. Il lui appartient en particulier d'informer les personnes concernées, de recueillir les consentements nécessaires, notamment pour l'usage de la voix et de l'image et pour l'envoi d'e-mails de prospection, et de ne transmettre que les données nécessaires.

La responsabilité des parties au titre du présent accord est régie par les conditions générales de vente, y compris leurs limitations, dans la mesure permise par la loi.

En cas de contradiction entre le présent accord et les conditions générales de vente sur une question de protection des données, le présent accord prévaut. Le droit applicable et le for sont ceux prévus par les conditions générales de vente : droit suisse, for au siège de Citova.

Pour toute question relative au présent accord, le client écrit à contact@citova.ch.

14. 14. Mesures techniques et organisationnelles

Citova applique au minimum les mesures suivantes et les réexamine régulièrement.

• Chiffrement des données en transit et chiffrement au repos de la base de données
• Cloisonnement des données de chaque client au niveau de la base de données, par des règles d'accès appliquées à chaque ligne
• Contrôle d'accès selon le rôle, avec attribution du minimum de droits nécessaires
• Double authentification obligatoire pour les rôles d'administration
• Journalisation des connexions, des validations et des opérations sensibles
• Sauvegardes régulières et tests de restauration
• Séparation des environnements de développement et de production
• Gestion des secrets et des clés d'accès hors du code source
• Suivi des erreurs et des vulnérabilités, avec application des correctifs de sécurité
• Protection contre les abus et les accès automatisés
• Engagement de confidentialité et sensibilisation des personnes ayant accès aux données
• Procédure de gestion des incidents, avec information du client