1. Objet et rôles
Le présent contrat de sous-traitance (ci-après « CST ») constitue l'annexe A aux conditions générales de finra.ch et est conclu par l'utilisation du portail. Il régit le traitement des données personnelles que le client (courtier ou fiduciaire) reçoit de ses propres clients finaux via finra.
- Le Client est, s'agissant de ces données de clients finaux, le responsable du traitement ; il détermine la finalité et les moyens du traitement.
- finra (R. Selimi, 9470 Buchs SG) est le sous-traitant et traite ces données exclusivement sur mandat et selon les instructions du client.
En revanche, pour les données de compte et de contrat du client lui-même ainsi que pour l'exploitation technique de la plateforme, finra est responsable de manière autonome ; la Déclaration de protection des données s'applique à cet égard.
2. Nature, finalité et durée du traitement
Nature du traitement : stockage, mise à disposition, affichage, organisation et gestion du statut des documents et indications téléchargés par les clients finaux via le portail.
Finalité : mise à disposition du portail client, afin que le client puisse recevoir des documents de ses clients finaux, les gérer et suivre leur état de traitement.
Durée : Le traitement s'effectue pendant la durée de la relation d'utilisation entre le client et finra. À la fin de celle-ci, le chiffre 11 (restitution et suppression) s'applique.
3. Catégories de personnes concernées et de données
Personnes concernées : les clients finaux du client ainsi que d'autres personnes qu'il a invitées sur le portail.
Catégories de données : données de contact et données de base ainsi que documents pertinents en matière fiscale, d'assurance et financière. Ceux-ci peuvent contenir des données personnelles sensibles au sens de l'art. 5 let. c nLPD (par exemple des indications relatives à la santé, à la fortune ou aux assurances sociales). finra tient compte de ce besoin de protection accru par les mesures prévues au chiffre 6.
4. Soumission aux instructions et limitation de la finalité
finra traite les données confiées dans le cadre du mandat exclusivement aux finalités mentionnées au chiffre 2 et uniquement dans le cadre des instructions du client. L'utilisation de la plateforme vaut instruction documentée ; le client donne toute instruction allant au-delà par courriel à info@finra.ch.
finra ne vend pas ces données, ne les transmet pas à ses propres fins et ne les utilise notamment pas pour l'entraînement de modèles d'IA ou à des fins publicitaires. Si finra estime qu'une instruction est illicite, finra en informe le client sans délai.
5. Confidentialité
finra traite de manière confidentielle l'ensemble des données traitées sur mandat. Les personnes autorisées à traiter ces données sont tenues à la confidentialité, dans la mesure où elles ne sont pas déjà soumises à une obligation légale de secret (art. 9 al. 1 nLPD).
6. Mesures techniques et organisationnelles
finra garantit une sécurité des données adaptée au risque (art. 8 nLPD, art. 1–6 OPDo), en particulier :
- chiffrement TLS de bout en bout de toutes les connexions,
- contrôle d'accès basé sur les rôles — les documents ne sont accessibles qu'après une connexion personnelle et uniquement aux personnes autorisées,
- séparation stricte des clients (chaque client disposant de son propre sous-domaine et d'une vue des données séparée),
- journalisation des opérations pertinentes pour la sécurité (piste d'audit),
- sauvegardes de données régulières et sécurisées,
- Stockage exclusivement dans des centres de calcul situés en Suisse.
7. Recours à des sous-traitants ultérieurs
Le client autorise le recours au sous-traitant ultérieur ci-après pour l'hébergement, le stockage des données et l'envoi de courriers électroniques :
- Infomaniak SA, Genève, Suisse — hébergement, stockage et courrier électronique. Emplacement des données exclusivement en Suisse.
Si finra envisage de recourir à un nouveau sous-traitant ultérieur ou de le remplacer, finra en informe le client au préalable et lui donne la possibilité de s'y opposer pour un motif important relevant de la protection des données. finra impose à chaque sous-traitant ultérieur un niveau de protection des données équivalent (art. 9 al. 3 nLPD).
8. Absence de communication à l'étranger
L'ensemble des données traitées sur mandat demeurent en Suisse. aucune communication à l'étranger n'a lieu. Si une communication à l'étranger devait à l'avenir s'avérer nécessaire (par exemple par l'intermédiaire d'un prestataire de services de paiement), celle-ci n'aurait lieu qu'aux conditions de l'art. 16 s. nLPD et après information préalable du client.
9. Assistance au responsable du traitement
finra assiste le client, par des mesures techniques et organisationnelles appropriées, dans l'exécution de ses obligations en tant que responsable du traitement — en particulier lors de la réponse aux demandes des personnes concernées (accès, rectification, suppression, remise/portabilité selon les art. 25–28 nLPD). Si des clients finaux s'adressent directement à finra, finra transmet leurs demandes au client compétent et n'y répond pas de manière autonome.
10. Notification des violations de la sécurité des données
Si finra a connaissance d'une violation de la sécurité des données concernant des données traitées sur mandat, finra le signale au client sans délai avec les indications disponibles. La notification au Préposé fédéral à la protection des données et à la transparence (PFPDT) ainsi que, le cas échéant, aux personnes concernées incombe au client en tant que responsable du traitement (art. 24 nLPD) ; finra l'assiste à cet égard.
11. Restitution et suppression après la fin du contrat
Après la fin de la relation d'utilisation, finra met à la disposition du client, pendant 30 jours, les données traitées sur mandat en vue de leur exportation dans un format courant. À l'expiration de ce délai, les données et les éventuelles copies sont supprimées, pour autant qu'aucune obligation légale de conservation ne s'y oppose. La suppression des propres documents commerciaux de finra (p. ex. les factures) est régie par les délais légaux.
12. Preuve et contrôle
finra met à la disposition du client, sur demande motivée, les informations nécessaires pour démontrer le respect du présent CST. finra tient un registre des traitements effectués sur mandat conformément à l'art. 12 nLPD.