Accord de sous-traitance des données (DPA)

Le présent accord fait partie des Conditions générales Pro. Il s'applique dès qu'un Client utilise InvestPilot Pro et encadre les traitements de données personnelles réalisés par Res Procuratio Sàrl (« InvestPilot », le sous-traitant) pour le compte du Client (le responsable du traitement), conformément à l'article 28 du règlement (UE) 2016/679 (RGPD) et à l'article 9 de la loi fédérale suisse sur la protection des données (LPD).

Le Client est responsable du traitement des « Données du Client » : les données personnelles qu'il reçoit, saisit ou gère dans son espace Pro. InvestPilot les traite uniquement pour fournir le service.

Lorsqu'un acheteur envoie une demande depuis une annonce, InvestPilot recueille cette demande au titre de son propre site, comme le décrit sa Politique de confidentialité, puis la met à disposition du Client. Dès cette mise à disposition, la demande est une Donnée du Client.

InvestPilot reste responsable du traitement des données de compte des utilisateurs Pro, de la facturation, de la sécurité du service et de la mesure de son fonctionnement.

InvestPilot traite les Données du Client uniquement sur instruction documentée du Client. Les Conditions Pro, le présent accord et les réglages effectués dans l'espace Pro constituent ces instructions. Si une instruction lui paraît contraire au RGPD ou à la LPD, InvestPilot en informe le Client sans délai. InvestPilot n'utilise pas les Données du Client pour ses propres finalités, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.

Les personnes autorisées à accéder aux Données du Client sont soumises à une obligation de confidentialité et n'y accèdent que lorsque c'est nécessaire au service, au support demandé par le Client ou à la sécurité.

InvestPilot met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :

• chiffrement des données en transit (TLS) et au repos ;
• hébergement de la base de données dans l'Union européenne (Irlande) ;
• cloisonnement par agence : un utilisateur n'accède qu'aux données de son agence, selon son rôle ;
• authentification par mot de passe haché ou par fournisseur d'identité, sessions à durée limitée ;
• accès d'administration réservé aux personnes qui en ont besoin ; sauvegardes de la base de données chez l'hébergeur ;
• supervision des erreurs avec masquage des textes saisis.

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. InvestPilot leur impose par contrat des obligations de protection équivalentes et reste responsable de leur respect. InvestPilot informe le Client par courriel de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut de solution, résilier sans frais.

InvestPilot est établi en Suisse, pays reconnu comme offrant un niveau de protection adéquat par la Commission européenne. Lorsqu'un sous-traitant ultérieur traite des données hors de l'Espace économique européen et de la Suisse, le transfert repose sur une décision d'adéquation (dont le Data Privacy Framework UE–États-Unis et son extension suisse) ou sur les clauses contractuelles types de la Commission européenne.

InvestPilot aide le Client, par des mesures appropriées, à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité) ; une demande reçue directement est transmise au Client sans délai. InvestPilot fournit au Client les informations utiles pour une analyse d'impact ou une consultation de l'autorité de contrôle.

En cas de violation de données touchant les Données du Client, InvestPilot en informe le Client sans délai injustifié, si possible dans les 48 heures après en avoir pris connaissance, avec les informations disponibles sur sa nature, ses conséquences probables et les mesures prises.

Avant la fin de l'abonnement, le Client peut demander par courriel une copie des Données du Client dans un format courant. À la suppression du compte de l'agence, les Données du Client sont effacées à l'issue du délai d'annulation de 30 jours, puis des sauvegardes selon leur cycle de rotation, sauf obligation légale de conservation.

InvestPilot met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, par un auditeur tenu au secret, une fois par an au plus, avec un préavis de 30 jours et sans perturber le service.

En cas de contradiction, le présent accord prévaut sur les Conditions Pro pour ce qui concerne la protection des données. La limitation de responsabilité des Conditions Pro s'applique, sauf disposition impérative contraire. Le droit applicable et le for sont ceux des Conditions Pro. Contact pour toute question relative aux données : contact@investpilot.co.