ACCORD DE TRAITEMENT DES DONNÉES PERSONNELLES (DPA)

_(Conforme à la Loi fédérale sur la protection des données — nLPD)_

_Version : 1.0 — juin 2026_

ENTRE LES SOUSSIGNÉS :

1. Le Responsable du traitement :
La Commune de [Nom de la Commune], sise à [Adresse], représentée par [Nom du Signataire], ci-après dénommée « la Commune ».

ET

2. Le Sous-traitant :
Square Services Sàrl, Ch. des Assenges 14, 1143 Pampigny, Suisse, inscrite au Registre du Commerce sous le numéro CH-550.1.163.260-7, représentée par David Goetschmann, Directeur, ci-après dénommée « l'Éditeur ».

ARTICLE 1 : OBJET

Le présent accord définit les obligations de l'Éditeur concernant la protection des données personnelles traitées pour le compte de la Commune dans le cadre de l'utilisation de l'application GestImmo.

ARTICLE 2 : NATURE ET FINALITÉ DU TRAITEMENT

L'Éditeur traite les données suivantes pour le compte de la Commune :

• Catégories de données structurées : Identité (Nom, Prénom), Coordonnées (Email, Téléphone, Adresse), Contenu des messages et demandes, Historique des interactions.
• Documents déposés : La Commune peut importer des fichiers libres dans l'application (baux, contrats de maintenance, pièces jointes, etc.). Le contenu et la nature des données de ces documents relèvent de la responsabilité exclusive de la Commune. L'Éditeur stocke ces fichiers sans en analyser ni en valider le contenu.
• Catégories de personnes concernées : Collaborateurs de la Commune, et le cas échéant, citoyens et résidents selon le mode d'utilisation choisi par la Commune.
• Finalité : Gestion des demandes et ressources municipales, authentification, traçabilité administrative, envoi de notifications.
• Durée du traitement : Pour la durée du présent accord, et jusqu'à restitution ou suppression complète des données conformément à l'Article 3 pt. 9.

ARTICLE 3 : OBLIGATIONS DE L'ÉDITEUR ET SOUS-TRAITANCE

L'Éditeur s'engage à :

1. Instructions : Traiter les données uniquement sur instruction documentée de la Commune.
2. Confidentialité : Garantir que le personnel autorisé s'engage à la confidentialité. Cette obligation survit à la résiliation du présent accord.
3. Isolation des données : Chaque Commune dispose d'une base de données dédiée et étanche — aucun accès croisé entre tenants n'est possible.
4. Sécurité : Mettre en œuvre les mesures techniques suivantes : chiffrement HTTPS/TLS en transit, chiffrement GPG pour les sauvegardes, gestion stricte des accès.
5. Sous-traitants autorisés : Conformément à l'art. 9 al. 3 nLPD, le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers sans autorisation préalable du responsable du traitement. En signant le présent accord, la Commune autorise expressément le recours aux sous-traitants suivants, tous liés par des accords de protection des données. Tout recours à un sous-traitant non listé ci-dessous est soumis à l'accord écrit préalable de la Commune :

• Infomaniak SA (Suisse) : Fournisseur d'infrastructure non managée. Infomaniak met à disposition les serveurs physiques et virtuels mais n'a pas accès aux données applicatives ni aux bases de données. Tout changement de sous-sous-traitant fait l'objet d'un préavis de 30 jours (Art. 5.2 du DPA). DPA disponible sur : https://www.infomaniak.com/documents/privacy/DPA/Accord_sur_le_traitement_des_donnees_(DPA).pdf
• SwissBackup (Infomaniak SA, Suisse) : Service de sauvegarde externalisée. Les sauvegardes chiffrées GPG y sont déposées avant réplication vers Backblaze.
• Backblaze (USA) : Stockage de réplication des sauvegardes. Les sauvegardes sont chiffrées par l'Éditeur (clés GPG privées, non partagées) avant tout transfert. Backblaze ne reçoit que du contenu chiffré illisible et ne dispose d'aucun moyen technique d'accéder aux données personnelles. Cette mesure de protection technique rend le transfert sans objet au sens de l'art. 16 nLPD — aucune donnée à caractère personnel n'est effectivement communiquée à un tiers. À titre de garantie additionnelle, Backblaze est certifié sous le Swiss-U.S. Data Privacy Framework.
• Cloudflare, Inc. : Services de sécurité réseau et CDN. Le trafic web transite par Cloudflare avec terminaison TLS transitoire pour inspection de sécurité. Cloudflare peut conserver certaines métadonnées techniques et journaux nécessaires à la sécurité et à l'exploitation de ses services conformément à sa documentation contractuelle. Cloudflare est certifié sous le Swiss-U.S. Data Privacy Framework (décision d'adéquation du Conseil fédéral, en vigueur depuis le 15.09.2024) et les transferts sont également couverts par des CCT avec dispositions suisses (Section 6.2(c)). Cloudflare maintient la liste de ses propres sous-traitants avec préavis de 30 jours avant tout changement (clause 4.4 du DPA) : https://www.cloudflare.com/gdpr/subprocessors/ — DPA officiel (v6.4) : https://www.cloudflare.com/cloudflare-customer-dpa/
• Mailgun Technologies, Inc. (USA, filiale de Sinch AB) : Service de délivrance des e-mails de notification. Mailgun conserve le corps des messages jusqu'à 7 jours et les métadonnées (expéditeur, destinataire, objet, adresse IP) jusqu'à 30 jours. Mailgun n'est pas certifié Swiss-US DPF. Les transferts vers les USA sont encadrés par des CCT (Décision 2021/914/UE) avec dispositions spécifiques pour la Suisse (Section 12(c) du DPA). DPA officiel (v8) : https://sinch.com/legal/terms-and-conditions/other-sinch-terms-conditions/data-processing-agreement/

1. Droits des personnes : Assister la Commune pour répondre aux demandes d'accès, de rectification ou d'effacement dans les délais légaux.
2. Analyse d'impact (AIPD) : Assister la Commune, dans la mesure des informations dont il dispose, lors de la réalisation d'analyses d'impact relatives à la protection des données lorsque la nature du traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées (art. 12 nLPD).
3. Violation de données : Notifier la Commune dans les meilleurs délais en cas de violation susceptible d'engendrer un risque pour les personnes concernées. Il appartient ensuite à la Commune, en tant que Responsable du traitement, d'évaluer si la violation est susceptible d'entraîner un risque élevé et, le cas échéant, de notifier le Préposé fédéral à la protection des données et à la transparence (PFPDT) conformément à l'art. 24 nLPD.
4. Fin de contrat : À l'échéance, restituer l'ensemble des données à la Commune dans un format ouvert (SQL) dans un délai de 30 jours, puis supprimer les copies.

ARTICLE 4 : DURÉE DE CONSERVATION ET ANONYMISATION

Conformément aux instructions de la Commune, l'Éditeur applique les règles suivantes :

• Anonymisation sur demande : Les données d'identification (Nom, Prénom, Email, Téléphone) sont anonymisées sur demande expresse de la Commune ou de la personne concernée, dans un délai de 30 jours. L'Éditeur procède également à des révisions périodiques pour anonymiser les données des comptes qui ne sont plus nécessaires à la fourniture du service. L'historique métier est conservé sous forme anonyme après anonymisation.
• Sauvegardes techniques : Les sauvegardes suivent le cycle de rotation suivant : 1 sauvegarde quotidienne conservée 7 jours, 1 sauvegarde hebdomadaire conservée 4 semaines, 1 sauvegarde mensuelle conservée 12 mois. La durée de rétention maximale est de 12 mois. Pour des raisons d'intégrité technique, les sauvegardes existantes ne peuvent faire l'objet d'une suppression individuelle de données — les données disparaissent naturellement au terme du cycle de rotation.

ARTICLE 5 : AUDIT ET CONTRÔLE

La Commune se réserve le droit de faire vérifier le respect des présentes obligations par un auditeur tiers indépendant, sous réserve d'un préavis raisonnable et sans perturber l'exploitation du service.

ARTICLE 6 : DROIT APPLICABLE

Le présent accord est soumis au droit suisse, en particulier à la Loi fédérale sur la protection des données (nLPD) et à son ordonnance d'application (OPDo). Pour les communes vaudoises, la Loi cantonale sur la protection des données personnelles (LPrD, RSV 172.65) s'applique en parallèle dans les limites de sa compétence. Tout litige sera de la compétence exclusive des tribunaux du canton de Vaud, sous réserve des règles impératives de droit public applicables à la Commune signataire.

Obligations LPrD à la charge de la Commune : En tant que Responsable du traitement, la Commune est seule responsable du respect de la LPrD dans le cadre de ses traitements. Pour tout traitement susceptible d'engendrer un risque élevé pour les droits des personnes concernées — notamment en mode étendu impliquant des données de citoyens — la Commune est invitée à consulter le Service cantonal de protection des données (SCDA-VD) préalablement au déploiement du service, conformément à l'art. 10 LPrD. Contact SCDA-VD : www.vd.ch/scda

—

Fait à Pampigny, le [Date], en deux exemplaires originaux.

Pour la Commune
[Nom et Signature]

Pour Square Services Sàrl
David Goetschmann, Directeur