Conditions de sous-traitance des données

Les présentes conditions complètent les conditions générales et règlent le traitement, par Rootness (le « Sous-traitant »), des données personnelles que le Client (le « Responsable ») enregistre dans Isony. Elles répondent à l'art. 9 nLPD et, lorsqu'il s'applique, à l'art. 28 RGPD.

• Nature et finalité : hébergement et traitement des données pour fournir les fonctions d'Isony.
• Durée : celle du contrat, plus la période de restitution et de suppression.
• Personnes concernées : clients, prospects, contacts, fournisseurs, artistes, collaborateurs et Utilisateurs du Responsable.
• Catégories de données : identité et coordonnées, données professionnelles, échanges, projets, documents commerciaux et comptables, données RH et salariales, contenus et statistiques de réseaux sociaux, fichiers téléversés.
• Données sensibles : le Responsable n'en enregistre qu'en cas de nécessité (par exemple des données RH) et sous sa responsabilité.

• Traiter les données uniquement sur instruction documentée du Responsable, y compris ses paramétrages dans Isony.
• Informer le Responsable si une instruction lui paraît contraire à la loi.
• Soumettre son personnel et ses prestataires à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité décrites ci-dessous et les maintenir à jour.
• Aider le Responsable à répondre aux demandes des personnes concernées, notamment grâce aux fonctions d'export, de correction et de suppression.
• Aider le Responsable pour ses analyses d'impact et ses échanges avec les autorités, dans une mesure raisonnable.
• Notifier toute violation de la sécurité des données au Responsable dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles.

• Chiffrement des échanges (TLS) et des données au repos par l'hébergeur.
• Isolation de chaque organisation par des règles d'accès en base de données et permissions par rôle.
• Mots de passe hachés, clés d'agents IA stockées sous forme d'empreinte, jetons tiers chiffrés.
• Validation humaine obligatoire des actions externes des agents IA ; aucune suppression par un agent.
• Journal d'activité des actions, sauvegardes régulières par l'hébergeur.
• Accès du personnel de Rootness limité au strict nécessaire (support, maintenance).

Le Responsable autorise de manière générale le recours aux prestataires suivants. Rootness leur impose des obligations de protection équivalentes et reste responsable de leur respect.

Rootness informe le Responsable de tout ajout ou remplacement au moins 30 jours à l'avance. Le Responsable peut s'y opposer pour un motif lié à la protection des données ; à défaut d'accord, il peut résilier les services concernés.

Tout transfert vers un pays n'offrant pas un niveau de protection adéquat repose sur une garantie reconnue : certification au Swiss-U.S. Data Privacy Framework ou clauses contractuelles types, avec les adaptations exigées par le droit suisse.

Rootness fournit sur demande les informations nécessaires pour démontrer le respect des présentes conditions. Un audit sur place est possible une fois par an, aux frais du Responsable, avec un préavis de 30 jours et dans le respect de la confidentialité des autres clients.

À la fin du contrat, le Responsable exporte ses données pendant la période prévue par les CG. Rootness supprime ensuite les données et leurs copies au plus tard 90 jours après la fin du contrat, sauf obligation légale de conservation ; les sauvegardes sont effacées selon leur cycle de rotation.

Questions et notifications : support@rootness.ch, Rootness Sàrl, Avenue des Alpes 27, 1820 Montreux, Suisse. Un exemplaire signé de ces conditions peut être fourni sur demande.