Contrat de sous-traitance

Version 1 du 28.10.2026. Projet établi sur la base d’une première évaluation spécialisée, pas encore vérifié par un avocat.

Ceci est une traduction à titre d’information. Seule la version allemande fait foi.

Entre l’association pour laquelle sa personne responsable principale accepte ce contrat dans VereinsOps (responsable du traitement) et Vorname Name, exploitant de VereinsOps (prestataire, voir les mentions légales). VereinsOps enregistre qui a accepté le contrat, quand et dans quelle version.

1. Objet et durée

Le prestataire traite les données de l’association pour exploiter VereinsOps et soutenir l’association, aussi longtemps que l’association utilise VereinsOps, puis jusqu’à leur suppression selon le point 9.

2. But, données et personnes concernées

But : gestion des membres, organisation de l’association, assemblées et procès-verbaux, tâches et rappels, finances et cotisations, documents, export et passation.
Données : données des membres (nom, adresse, e-mail, téléphone, numéro de membre, catégorie, entrée et sortie, cotisations), fonctions et mandats, présences, élections, décisions et procès-verbaux, documents téléversés, écritures du livre de caisse, l’historique des modifications et les comptes des personnes auxquelles l’association donne accès.
Personnes concernées : membres de l’association, y compris mineurs, et leurs personnes de contact ; comité et bénévoles ; autres personnes mentionnées dans des procès-verbaux ou des documents.

3. Instructions

Le prestataire ne traite les données que sur instruction de l’association. Les instructions sont les fonctions et réglages que l’association utilise dans VereinsOps, ainsi que les instructions écrites adressées à hello@vereinsops.ch. Le prestataire ne traite pas les données à ses propres fins ; font exception les comptes, la sécurité et la facturation, dont le prestataire est lui-même responsable (voir la déclaration de protection des données).

4. Confidentialité et sécurité

Le prestataire oblige toutes les personnes qui ont accès aux données pour son compte à la confidentialité. Il met en œuvre les mesures techniques et organisationnelles de l’annexe 2 et les adapte au risque et à l’état de la technique.

5. Accès du support

Le support ne consulte les données de l’association que si celle-ci lui en donne l’accès dans VereinsOps : individuellement, avec un motif, pour une durée limitée (lecture au plus 7 jours, modification au plus 24 heures) et révocable à tout moment. L’accès se termine de lui-même. Sont enregistrés l’heure, la personne qui l’a donné, l’étendue, la personne du support, chaque page ouverte et chaque modification ; l’association le voit dans VereinsOps. Le support ne peut ni exporter, ni modifier les accès, le compte bancaire, les réglages ou l’abonnement, ni supprimer l’association.

6. Sous-traitants ultérieurs

L’association approuve les sous-traitants de l’annexe 1. Si le prestataire veut ajouter ou remplacer un sous-traitant, il l’annonce à l’association au moins 30 jours à l’avance. L’association peut s’y opposer pour un motif fondé et mettre alors fin au contrat.

7. Demandes des personnes concernées

L’association est compétente pour les renseignements, la rectification et la suppression des données de l’association. Le prestataire lui transmet sans délai les demandes qu’il reçoit et la soutient avec les informations et exports nécessaires.

8. Violations de la sécurité des données

Le prestataire signale à l’association sans délai, au plus tard dans les 24 heures après en avoir eu connaissance, toute violation de la sécurité des données concernant ses données. Il décrit ce qui s’est passé, quelles données sont touchées et ce qu’il entreprend, et soutient l’association dans ses propres annonces.

9. Fin du contrat

L’association peut télécharger à tout moment un export complet. Si elle demande la suppression, le prestataire supprime toutes les données de l’association à l’issue des 30 jours pendant lesquels seul l’export est possible. Les données supprimées restent au plus 90 jours dans les sauvegardes chiffrées ; si une sauvegarde est restaurée, VereinsOps répète d’abord toutes les suppressions. Après la suppression, le prestataire ne conserve qu’une confirmation avec des nombres sans contenu, un journal de suppression avec un numéro interne et l’heure, et ses propres documents d’abonnement. L’association remplit elle-même ses obligations légales de conservation (par exemple pour les pièces comptables) avec son export.

10. Contrôle

Sur demande, le prestataire fournit à l’association les informations dont elle a besoin pour vérifier le respect de ce contrat.

Annexe 1 : sous-traitants ultérieurs

Sous-traitant	Tâche	Lieu des données
Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Les Acacias (Genève), Suisse	Serveur, base de données, fichiers, sauvegardes chiffrées	Suisse (selon Infomaniak, exclusivement des centres de données en Suisse)
Brevo SAS, 17 rue Salneuve, 75017 Paris, France	Envoi des e-mails (adresse du destinataire et texte de l’e-mail)	Serveurs en France et en Belgique. Pour le service clientèle et la maintenance, Brevo fait appel à des sociétés de son propre groupe, y compris en Inde et aux États-Unis, ainsi qu’à d’autres prestataires aux États-Unis ; Brevo mentionne pour cela des clauses contractuelles types et l’EU-US Data Privacy Framework.

Sources : voir la version allemande, annexe 1.

Annexe 2 : mesures techniques et organisationnelles

Séparation des associations : chaque association ne voit que ses propres données. L’application le vérifie à chaque requête, et indépendamment la base de données elle-même (sécurité au niveau des lignes) ; l’application fonctionne avec un rôle de base de données sans droits particuliers.
Rôles et droits : lecture, collaboration, gestion et facturation séparées ; coordonnées des membres seulement pour les personnes autorisées.
Connexion : mots de passe uniquement sous forme de hachage ; deuxième facteur obligatoire pour la gestion, la facturation, la responsabilité principale et l’équipe de la plateforme ; les actions sensibles redemandent le deuxième facteur ; les sessions peuvent être fermées partout.
Chiffrement : transmission uniquement via HTTPS ; deuxièmes facteurs enregistrés chiffrés ; sauvegardes chiffrées.
Journaux : chaque modification figure dans un historique que personne ne peut modifier ; les accès du support sont journalisés page par page ; les procès-verbaux et décisions finalisés ne peuvent plus être modifiés, seulement rectifiés.
Clés : clés et mots de passe uniquement sur le serveur et dans un gestionnaire de mots de passe, jamais dans le code du programme.
Sauvegardes et restauration : toutes les heures, chiffrées, en Suisse, 90 jours ; chaque mois un test automatique de restauration de la sauvegarde la plus récente.
Suppression : les suppressions sont consignées dans un journal et répétées après la restauration d’une sauvegarde.
Modifications de l’application : chaque modification passe par des tests automatiques, y compris pour la séparation des associations ; avant chaque mise à jour, la base de données est sauvegardée, et si une nouvelle version ne fonctionne pas correctement, la précédente redémarre automatiquement.
Incidents : une procédure définie pour les violations de la sécurité des données, avec annonce aux associations concernées dans les 24 heures.