Contrat de sous-traitance

Les conditions auxquelles nous traitons des données personnelles pour le compte d'une école abonnée, au sens de l'article 28 du RGPD et de l'article 9 de la LPD. Il décrit ce que nous faisons réellement : lorsqu'une garantie n'existe pas, ce document le dit plutôt que de le laisser entendre.

FADP & GDPRNotre cadreAES-256Au reposEUUnion européenne

Dernière mise à jour : 1er septembre 2026

Champ d'application et rôles

Ce que couvre ce contrat

Ce contrat de sous-traitance fait partie du contrat conclu entre l'école (« vous », le responsable du traitement) et Lucien Pochon, exerçant sous l'enseigne Swiss Private Schools, Avenue de Maria-Belgia 1, 1006 Lausanne, Suisse (« nous », le sous-traitant). Il régit toutes les données personnelles que nous traitons sur vos instructions au travers de la plateforme : demandes, réservations de visites et de journées portes ouvertes, dossiers d'admission et pièces jointes, messages échangés avec les familles, comptes de votre équipe et statistiques relatives à votre fiche. Il s'applique tant que vous détenez un compte et jusqu'à la suppression ou la restitution des données selon la section consacrée à la conservation.

Qui est responsable de quoi

Vous êtes responsable du traitement des données des familles et des candidats que vous recevez et gérez via la plateforme, et vous décidez pourquoi et comment elles sont utilisées. Nous sommes votre sous-traitant pour ces données. Séparément, nous sommes nous-mêmes responsables d'un petit ensemble d'éléments que vous ne nous instruisez pas : les comptes de votre personnel chez nous, notre facturation, les journaux de sécurité et la mesure de nos propres pages publiques. Ce second ensemble relève de notre politique de confidentialité, non du présent contrat. Lorsqu'une même famille contacte plusieurs écoles, chaque école est responsable indépendante de sa propre copie.

Vos responsabilités de responsable du traitement

Il vous incombe de disposer d'une base légale pour les données que vous collectez via la plateforme, de répondre du contenu du formulaire de candidature que vous concevez — y compris les questions médicales, alimentaires ou d'accompagnement que vous ajoutez, qui font apparaître des données sensibles —, du texte de consentement que vous présentez, de remettre votre propre information aux personnes concernées et de répondre à leurs demandes. Vous ne devez pas utiliser la plateforme pour collecter des données que vous n'êtes pas fondé à détenir, et vous devez tenir à jour la liste des accès de votre équipe.

Nos obligations de sous-traitant

Nous ne traitons les données personnelles que sur vos instructions documentées, les gardons confidentielles, appliquons les mesures de sécurité décrites ci-dessous, ne recourons à des sous-traitants ultérieurs que dans les conditions prévues ici, vous assistons pour les demandes des personnes concernées ainsi que pour vos propres obligations de sécurité et d'analyse d'impact, et supprimons ou restituons les données à la fin du contrat. Si nous estimons qu'une de vos instructions viole le droit de la protection des données, nous vous en informerons et pourrons suspendre ce traitement jusqu'à clarification.

Ce que nous traitons, et pourquoi

Catégories de personnes et de données

Les personnes concernées sont les familles qui vous contactent, les élèves pour lesquels elles se renseignent ou candidatent — le plus souvent des enfants — et votre propre personnel. Les données comprennent les coordonnées (noms, adresses électroniques, téléphones, pays et langue), le contenu des demandes et réservations, les réponses aux questions que vous avez configurées dans votre formulaire d'admission et les fichiers téléversés, les messages échangés via la plateforme, les comptes et rôles de votre équipe et vos données de facturation. Comme vous concevez le formulaire, ses réponses peuvent contenir des données sensibles telles que des besoins de santé ou d'accompagnement. C'est une conséquence de votre conception du formulaire, et c'est votre décision de poser la question.

Finalités du traitement

Nous ne traitons les données que pour fournir le service auquel vous êtes abonné : acheminer les demandes jusqu'à vous, planifier visites et entretiens, faire cheminer les dossiers dans votre formulaire, encaisser d'éventuels frais de dossier, informer les deux parties, vous fournir des statistiques agrégées sur votre fiche et vous assister lorsque vous le demandez. Nous n'utilisons pas les données de vos familles à nos propres fins, ne les utilisons pas pour entraîner des modèles, ne les vendons pas et ne nous en servons pas pour démarcher ces familles pour notre compte.

Durée

Le traitement dure pendant la durée de votre abonnement et pendant la période de clôture décrite sous la conservation ci-dessous. Chaque enregistrement dure aussi longtemps que vous le conservez — voir la section conservation, qui indique clairement ce que nous supprimons automatiquement et ce que nous ne supprimons pas.

Instructions documentées

Vos instructions sont le contrat d'abonnement, le présent contrat et la configuration que vous définissez dans le tableau de bord : vos questions de formulaire, votre texte de consentement, vos paramètres de notification, les rôles de votre équipe. Les actions que vous effectuez dans le tableau de bord valent instructions. Si vous avez besoin d'un traitement que le produit ne prend pas en charge, demandez-le par écrit : nous n'agissons pas sur une instruction que nous n'avons pas consignée.

Mesures de sécurité

Mesures techniques

Tout le trafic passe par TLS. Les données sont chiffrées au repos par nos hébergeurs. La séparation entre écoles est appliquée dans la base de données elle-même par la sécurité au niveau des lignes : une école ne peut pas lire les enregistrements d'une autre, même en cas d'erreur applicative — l'isolation ne dépend pas de l'exactitude de chaque requête. Les mots de passe sont conservés sous forme d'empreintes salées par notre prestataire d'authentification et ne nous sont jamais visibles. Les actions administratives sensibles sont consignées.

Contrôle des accès

La connexion accepte l'authentification à deux facteurs, obligatoire pour nos propres administrateurs. Au sein de votre école, l'accès suit le rôle que vous attribuez à chaque membre, que vous pouvez modifier ou révoquer à tout moment. L'accès aux systèmes de production est réservé aux personnes qui exploitent la plateforme.

Confidentialité et accès à vos données

Toute personne ayant accès aux systèmes de production est tenue à la confidentialité. Nous n'avons aucun accès permanent à votre tableau de bord : lorsque le support l'exige, un administrateur doit en faire la demande, un propriétaire de votre école doit l'approuver, et la session est limitée dans le temps et inscrite dans un journal que vous pouvez consulter. Vous pouvez refuser, et le support se poursuivra sans cet accès.

Ce que nous ne prétendons pas

Nous ne détenons ni ISO 27001, ni SOC 2, ni certification équivalente, nous ne commandons pas de tests d'intrusion externes selon un calendrier, et nous ne menons pas de revue annuelle formelle de nos sous-traitants. Les versions antérieures de ce document laissaient entendre les trois ; aucun n'était vrai. Nous préférons que vous connaissiez la situation réelle et puissiez l'apprécier plutôt que de vous appuyer sur une garantie que personne n'exécute. Si vous avez besoin d'un sous-traitant certifié, dites-le-nous avant de vous abonner.

Sous-traitants ultérieurs

Ceux auxquels nous recourons

Supabase (base de données, authentification et stockage de fichiers, hébergés dans l'Union européenne) ; Vercel (hébergement de l'application et, uniquement pour les visiteurs acceptant les cookies non essentiels, sa mesure de performance des pages) ; Stripe (paiements et facturation) ; Resend (acheminement des courriels) ; Twilio (vérification par SMS, uniquement lorsqu'un utilisateur choisit de vérifier un numéro) ; DeepL (traduction automatique des textes que vous rédigez sur votre école) ; Google (suggestions d'adresses, cartes intégrées et connexion Google, ces deux dernières uniquement pour les visiteurs acceptant les cookies non essentiels) ; et Sentry (surveillance des erreurs). Aucun fournisseur d'intelligence artificielle n'est mobilisé : nous ne transmettons ni demande, ni dossier, ni message à un modèle de langage. Cette liste est identique à celle publiée dans notre politique de confidentialité, et les deux sont tenues en phase délibérément.

Comment nous y recourons

Chaque sous-traitant ultérieur est lié par un contrat écrit lui imposant des obligations de protection des données non moins protectrices que celles-ci, y compris de confidentialité, de sécurité et d'assistance. Nous ne partageons avec chacun que les données nécessaires à sa fonction. Nous demeurons pleinement responsables envers vous de leur exécution.

Modifications

Vous donnez une autorisation générale pour les sous-traitants énumérés ci-dessus. Nous vous informerons au moins 30 jours avant d'en ajouter ou d'en remplacer un, et vous pourrez vous y opposer par écrit dans les 14 jours pour des motifs raisonnables tenant à la protection des données. À défaut de résolution, vous pourrez résilier la partie du service concernée sans pénalité pour le reste de la durée. Lorsqu'un changement est urgent et motivé par la sécurité, nous pourrons l'opérer plus tôt et vous en informer sans délai.

Où se trouvent les données

Localisation principale

La base de données, le stockage des fichiers et les sauvegardes se trouvent dans l'Union européenne. Les données de vos familles et candidats ne sont pas stockées hors de l'UE dans le cours ordinaire du service.

Transferts hors EEE

Certains sous-traitants ultérieurs sont établis aux États-Unis et y reçoivent des données dans le cadre de leur fonction : Stripe, Google, Twilio, Resend, Vercel et Sentry. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne, assorties de l'avenant suisse reconnu par le PFPDT et, lorsque le prestataire est certifié, sur les cadres de protection des données UE—États-Unis et Suisse—États-Unis. Nous vous transmettrons sur demande les garanties applicables à un prestataire donné.

Suisse et EEE

Nous sommes établis en Suisse, que la Commission européenne reconnaît comme offrant un niveau de protection adéquat : les données peuvent donc circuler entre la Suisse et l'EEE sans garanties supplémentaires.

Conservation et suppression

Ce que nous supprimons automatiquement

Les événements de mesure sont supprimés après 730 jours. Les enregistrements des courriels envoyés sont conservés 180 jours ; les journaux de requêtes API et les charges utiles de webhooks stockées, 90 jours ; les tentatives de remise individuelles et les enregistrements de tâches planifiées, 30 jours. Une photo que vous supprimez est retirée du stockage sous-jacent 30 jours plus tard. Une adresse en échec définitif est mise en quarantaine 90 jours afin que l'envoi puisse reprendre si la boîte redevient valide ; une désinscription ou une plainte pour pourriel est honorée définitivement.

Ce que nous ne supprimons PAS automatiquement

Les demandes, réservations et dossiers d'admission n'ont aucune expiration automatique. Ils subsistent jusqu'à ce que vous les supprimiez, que la famille ferme son compte ou que le présent contrat prenne fin. Une version antérieure de ce document promettait une conservation de 24 mois ; aucune suppression de ce type n'existait, et plutôt que de laisser une promesse que nous ne tenons pas, nous indiquons la situation exacte. En tant que responsable du traitement, la durée de conservation de ces données vous appartient : supprimez ce dont vous n'avez plus besoin, et dites-nous si vous souhaitez que nous mettions en place une suppression planifiée pour votre école.

À la fin du contrat

À la résiliation, vous pouvez exporter vos données depuis le tableau de bord. À votre choix, nous supprimerons ou restituerons les données personnelles que nous détenons en qualité de sous-traitant, dans les 30 jours suivant votre demande. Les pièces que la loi nous impose de conserver survivent à cette suppression — principalement les factures et documents comptables, dix ans selon l'article 958f du Code des obligations. À défaut d'instruction, nous supprimons.

Sauvegardes

Notre hébergeur de base de données conserve des sauvegardes chiffrées selon un cycle glissant, et des données supprimées peuvent y subsister jusqu'à leur rotation. Les sauvegardes ne servent qu'à rétablir le service après une panne, jamais à rétablir des données dont la suppression a été demandée.

Violations de données

Vous informer

Si nous prenons connaissance d'une violation de données personnelles affectant des données que nous traitons pour vous, nous vous en informerons sans retard injustifié et en tout état de cause dans les 72 heures suivant la prise de connaissance. Comme vous êtes le responsable du traitement, la notification à votre autorité de contrôle et, le cas échéant, aux personnes concernées relève de votre décision et de votre obligation : notre rôle est de vous fournir les faits assez vite pour que vous puissiez la prendre.

Ce que nous vous communiquerons

La nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées et un point de contact pour toute information complémentaire. Lorsque nous ne pouvons pas tout fournir d'emblée, nous transmettons ce dont nous disposons puis complétons, plutôt que d'attendre.

Coopération

Nous coopérerons à votre propre appréciation et à votre notification, fournirons les informations complémentaires au fur et à mesure et soutiendrons toute communication que vous devrez adresser aux personnes concernées.

Assistance et audits

Demandes des personnes concernées

Le tableau de bord vous permet de retrouver, corriger, exporter et supprimer les enregistrements que vous détenez, de sorte que la plupart des demandes reçues peuvent être traitées sans nous. Au-delà, nous vous assisterons compte tenu de la nature du traitement et des informations dont nous disposons. Si une personne concernée s'adresse directement à nous au sujet de données détenues pour votre compte, nous n'y répondrons pas à votre place : nous vous transmettrons la demande sans délai et l'en informerons.

Analyses d'impact et consultation préalable

Nous vous fournirons les informations raisonnablement nécessaires à une analyse d'impact relative à la protection des données ou à une consultation préalable d'une autorité de contrôle, dans la mesure où elles concernent les traitements que nous effectuons pour vous. Notez que l'analyse elle-même incombe au responsable du traitement : la plateforme pouvant porter des données d'enfants et des informations de santé, il vous appartient d'apprécier si une analyse est requise pour votre usage.

Informations et audits

Moyennant un préavis raisonnable, et au plus une fois par an sauf si une violation ou l'injonction d'une autorité en rend une autre nécessaire, nous mettrons à disposition les informations nécessaires pour démontrer le respect du présent contrat et nous soumettrons à un audit ou une inspection conduits par vous ou par un auditeur que vous mandatez. Les audits se déroulent pendant les heures ouvrables, ne doivent ni perturber le service ni exposer les données d'une autre école, et l'auditeur doit accepter des engagements de confidentialité.

Dispositions générales

Préséance et responsabilité

En cas de contradiction entre le présent contrat et les conditions d'abonnement en matière de protection des données, le présent contrat prévaut. La responsabilité est régie par les limitations prévues dans les conditions d'abonnement, sauf lorsque le droit de la protection des données ne permet pas de les appliquer.

Droit applicable et for

Le présent contrat est régi par le droit suisse. Les tribunaux de Lausanne, en Suisse, sont compétents, sans préjudice du droit impératif d'une personne concernée d'agir ailleurs.

Modifications du présent contrat

Nous vous informerons au moins 30 jours à l'avance de toute modification substantielle, par courriel au propriétaire de votre compte et sur cette page. Si une modification réduit substantiellement votre protection, vous pourrez résilier le service concerné pour le reste de la durée. La date en tête reflète toujours la version en vigueur.

Annexe I — Description du traitement

Parties

Responsable du traitement (exportateur) : l'école abonnée, telle qu'identifiée dans son compte et sur ses factures. Sous-traitant (importateur) : Lucien Pochon, exerçant sous l'enseigne Swiss Private Schools, Avenue de Maria-Belgia 1, 1006 Lausanne, Suisse ; contact privacy@swissprivate-schools.ch. Les rôles sont ceux définis à la section 1 du présent contrat.

Catégories de personnes concernées

Les parents, représentants légaux et autres adultes qui contactent l'école via la plateforme ; les élèves pour lesquels ils se renseignent ou candidatent, le plus souvent mineurs ; et le personnel de l'école titulaire d'un compte.

Catégories de données personnelles

Données d'identification et de contact (nom, adresse électronique, téléphone, pays, langue préférée) ; contenu des demandes et réservations, y compris les messages en texte libre ; données de candidature, soit les réponses aux questions configurées par l'école et les fichiers téléversés ; données de planification des visites, journées portes ouvertes et entretiens ; identifiants de paiement lorsque l'école applique des frais de dossier ; comptes, rôles et données d'authentification du personnel de l'école ; et données d'usage relatives à la fiche publique de l'école.

Catégories particulières de données

Des données relatives à la santé ou assimilées peuvent être traitées lorsque le formulaire de l'école les demande — questions médicales, alimentaires, d'allergies, de médication ou de soutien à l'apprentissage — et lorsqu'une famille remplit le champ libre « besoins éducatifs particuliers » d'un profil d'élève. La plateforme n'exige aucun de ces champs. Le cas échéant, la restriction est la suivante : nous ne les traitons que pour les stocker, les afficher et les transmettre à l'école qui les a demandés ; nous ne les analysons pas, n'établissons aucun profil sur cette base, ne les utilisons pour classer ou noter quoi que ce soit, et ne les communiquons à aucun tiers. Les personnes concernées étant fréquemment des enfants, il appartient à l'école de s'assurer que ses questions sont nécessaires et proportionnées.

Nature, finalité et fréquence

Nature : collecte, enregistrement, organisation, conservation, extraction, affichage aux utilisateurs autorisés du responsable du traitement, transmission au responsable du traitement et effacement. Finalité : fourniture du service souscrit, telle que décrite à la section 2. Fréquence : continue pendant la durée de l'abonnement, au rythme des actions des familles et du personnel de l'école.

Durée

Pendant la durée de l'abonnement et la période de clôture prévue à la section 6. La conservation des enregistrements individuels est celle indiquée dans cette section : les durées qui y figurent sont appliquées automatiquement ; les demandes, réservations et dossiers n'ont aucune expiration automatique et sont conservés jusqu'à leur suppression par le responsable du traitement, par la personne concernée, ou à la résiliation.

Annexe II — Mesures techniques et organisationnelles

Chiffrement et pseudonymisation

Toutes les données en transit sont protégées par TLS. Les données au repos, sauvegardes comprises, sont chiffrées par nos hébergeurs. Les mots de passe ne sont conservés que sous forme d'empreintes salées. La mesure d'audience du site utilise un identifiant propriétaire aléatoire et une empreinte à sens unique renouvelée chaque jour ; les adresses IP brutes ne sont pas conservées.

Contrôle d'accès et identification

L'accès aux données du responsable du traitement exige une authentification ; l'authentification à deux facteurs est disponible pour tous les utilisateurs et obligatoire pour nos administrateurs. Au sein du compte du responsable, les autorisations suivent le rôle qu'il attribue et qu'il peut modifier ou révoquer à tout moment. L'accès aux systèmes de production est limité au personnel qui exploite la plateforme, tenu à la confidentialité. Nous ne disposons d'aucun accès permanent au tableau de bord d'un responsable : l'accès de support doit être demandé, approuvé par un propriétaire de l'école, est limité dans le temps et inscrit dans un journal consultable par l'école.

Confidentialité et séparation des responsables

La séparation entre écoles est appliquée dans la base de données elle-même par la sécurité au niveau des lignes : le compte d'une école ne peut pas lire les enregistrements d'une autre, même en cas de code applicatif défectueux — l'isolation ne dépend pas de l'exactitude de chaque requête. Les opérations administratives sensibles sont consignées dans un journal d'audit.

Intégrité, disponibilité et restauration

Notre hébergeur de base de données conserve des sauvegardes chiffrées selon un cycle glissant, à partir desquelles le service peut être rétabli après une panne. Les sauvegardes ne servent qu'à la restauration et jamais à rétablir des données effacées sur demande. Les objectifs de disponibilité sont ceux publiés dans notre engagement de niveau de service.

Tests, évaluation et assurance — énoncés honnêtement

Nous ne détenons ni ISO 27001, ni SOC 2, ni certification équivalente, nous ne commandons pas de tests d'intrusion externes selon un calendrier fixe, et nous n'appliquons aucune revue périodique formelle des sous-traitants. L'assurance repose sur les mesures architecturales ci-dessus, sur des tests automatisés exécutés avant chaque déploiement et sur la surveillance des erreurs. Un responsable exigeant une assurance certifiée devrait le signaler avant de s'abonner ; la présente annexe est délibérément explicite afin qu'aucun relecteur n'ait à le déduire.

Minimisation, effacement et portabilité

La plateforme ne collecte que les champs configurés par le responsable du traitement ; les champs facultatifs sont signalés comme tels aux personnes concernées. Le responsable peut retrouver, corriger, exporter et effacer les enregistrements depuis le tableau de bord, l'export étant disponible dans des formats standard lisibles par machine. La suppression automatique s'applique aux catégories et durées indiquées à la section 6.

Mesures imposées aux sous-traitants ultérieurs

Chaque sous-traitant ultérieur est engagé par un contrat écrit lui imposant des obligations non moins protectrices que celles-ci, ne reçoit que les données nécessaires à sa fonction et figure à l'annexe III. Les transferts hors EEE sont couverts par les clauses contractuelles types assorties de l'avenant suisse reconnu par le PFPDT, comme indiqué à la section 5.

Annexe III — Sous-traitants ultérieurs

La liste autorisée

Les sous-traitants ultérieurs autorisés au titre du présent contrat sont ceux nommés à la section 4 (Sous-traitants ultérieurs), avec la fonction de chacun et l'indication de ceux qui ne sont mobilisés que pour les visiteurs acceptant les cookies non essentiels. Cette section constitue la liste faisant foi et n'est pas reproduite ici : deux exemplaires d'une liste de sous-traitants sont précisément la raison pour laquelle ce document et notre politique de confidentialité ont fini par se contredire, erreur que cette refonte vise à corriger.

Localisation et base des transferts

La base de données, le stockage des fichiers et les sauvegardes se trouvent dans l'Union européenne. Les sous-traitants établis aux États-Unis y reçoivent des données dans le cadre de leur fonction ; la base du transfert applicable à chacun figure à la section 5. Une copie des garanties applicables à un sous-traitant nommé est disponible sur demande.

Notification des changements

Une autorisation générale est donnée pour les sous-traitants énumérés. Les ajouts et remplacements suivent la procédure de préavis de 30 jours et d'opposition de 14 jours prévue à la section 4, assortie du droit de résiliation en cas d'opposition non résolue.

Questions et autorité de contrôle

Les questions de protection des données relatives au présent contrat s'adressent à privacy@swissprivate-schools.ch, ou par courrier à l'adresse figurant à la section 1 avec la mention « Protection des données ». Nous y répondons nous-mêmes : nous n'avons pas désigné de délégué à la protection des données au sens de l'article 37 du RGPD, et ce document ne le prétend plus. Le présent contrat est régi par la loi fédérale sur la protection des données et, lorsqu'il s'applique, par le RGPD.

L'autorité de contrôle suisse est le Préposé fédéral à la protection des données et à la transparence (PFPDT), www.edoeb.admin.ch