Annexe 1 des CG : Traitement de données par un sous-traitant

Version 1.1 du 27 octobre 2026

La présente annexe règle la manière dont nous, PopSoda DC GmbH, traitons des données personnelles pour votre compte (art. 9 de la loi fédérale sur la protection des données, LPD). Elle s'applique dès que vous acceptez les CG. Pour les questions de protection des données, elle prime les CG.

1. Objet et durée

1.1 Nous mettons Puntelo à votre disposition conformément aux CG et traitons à cette occasion des données personnelles pour votre compte. Pour ces données, vous êtes le responsable du traitement et nous sommes le sous-traitant.

1.2 La présente annexe s'applique pendant toute la durée du contrat et au-delà, jusqu'à ce que nous ayons supprimé toutes les données personnelles conformément au chiffre 12.

2. Finalité

Nous ne traitons les données que pour exploiter Puntelo pour vous :

• réservation en ligne via la fenêtre de réservation et la page de réservation, gestion des rendez-vous dans l'agenda ;
• messages à vos clients (confirmation, rappel, modification, annulation, code de confirmation) par e-mail et SMS ;
• fichier clients avec notes, import de données existantes, export et extraits de données, statistiques pour votre établissement ;
• enregistrement, sauvegarde et restauration, protection contre les abus, résolution des pannes et assistance à votre demande.

3. Données et personnes concernées

3.1 Vos clients (personnes qui réservent chez vous ou que vous saisissez ou importez) : nom, adresse e-mail, numéro de téléphone, langue, ancien numéro de client, rendez-vous (prestation, personne, date et heure, statut, provenance), remarques sur le rendez-vous, notes et mots-clés, consentements à la publicité avec historique, statut de distribution des messages ; lors de la réservation, brièvement, des indications techniques servant à la protection contre les abus.

3.2 Personnes de votre établissement qui exécutent des rendez-vous : nom, horaires de travail, absences, attribution aux rendez-vous.

3.3 Un rendez-vous ou une note peut révéler un lien avec la santé, par exemple en cas de massage ou de thérapie. De telles données peuvent constituer des données personnelles sensibles. C'est vous qui décidez quelles données vous saisissez ; nous protégeons dans tous les cas les notes et les remarques conformément à l'appendice A.

4. Lieu du traitement

4.1 Nous enregistrons les données en Suisse, dans des centres de données à Genève. Nous conservons une copie chiffrée des sauvegardes en Suisse.

4.2 Pour l'envoi de messages, nous transmettons les données nécessaires à des sous-traitants ultérieurs selon l'annexe 2 : les e-mails partent de Suisse, les SMS d'Irlande. Lors de clarifications concernant des abus et dans le cadre du support, le fournisseur de SMS peut accéder aux données depuis les États-Unis.

4.3 Pour le développement, l'exploitation, la recherche d'erreurs et l'assistance, nous recourons à un assistant d'IA (annexe 2). Celui-ci ne reçoit des données personnelles que dans la mesure où la tâche concernée l'exige ; elles peuvent alors être transférées aux États-Unis.

4.4 Nos collaborateurs n'accèdent aux données que depuis la Suisse ou depuis un État disposant d'une protection adéquate des données selon l'annexe 1 de l'ordonnance sur la protection des données (OPDo).

5. Instructions

5.1 Nous ne traitons les données que sur vos instructions. Constituent des instructions les CG avec la présente annexe, les paramètres que vous choisissez dans Puntelo et les instructions écrites de vos administrateurs ; un e-mail suffit. En fait partie l'autorisation d'accès par notre support (chiffre 6.5).

5.2 Si nous estimons qu'une instruction est illicite, nous vous le signalons immédiatement et pouvons en différer l'exécution jusqu'à clarification.

5.3 Si une autorité exige des données de votre établissement, nous vous en informons au préalable, dans la mesure où la loi le permet, et ne remettons que ce que nous sommes tenus de remettre.

6. Nos obligations

6.1 Nous ne traitons pas les données à nos propres fins. Font exception les analyses sous forme agrégée, sans données personnelles de vos clients, destinées à améliorer Puntelo, ainsi que la détection des abus. Vous nous en donnez l'autorisation par la présente annexe.

6.2 Confidentialité : Seules les personnes qui en ont besoin pour leur tâche obtiennent l'accès. Nous les engageons par écrit au secret, y compris au-delà de la fin de leur activité. Si votre établissement est soumis à un secret professionnel, nous le respectons en tant que votre auxiliaire.

6.3 Sécurité des données : Nous prenons les mesures techniques et organisationnelles selon l'appendice A et les maintenons à l'état de la technique. Nous pouvons modifier des mesures pour autant que le niveau de protection ne diminue pas.

6.4 Nous tenons un registre des activités de traitement que nous effectuons pour votre compte.

6.5 Accès par notre support : Dans le cadre du support, seules des personnes désignées de PopSoda accèdent aux données de votre établissement, avec un compte personnel et un second facteur, et uniquement pour le support et la mise en place. Elles le font tant que vous l'autorisez selon le chiffre 12.2 des CG, ou, sans autorisation, en cas d'urgence, pour un motif et pendant une heure au maximum ; nous signalons immédiatement une urgence à vos administrateurs par e-mail. Dans le cadre du support, elles disposent des droits d'un administrateur, mais ne voient pas les notes ni les remarques sur le rendez-vous, n'exportent pas de données et n'anonymisent ni ne suppriment de clients. Chaque accès figure, avec la personne, le début, la fin et toutes les modifications, dans le journal de votre établissement sous Accès par Puntelo.

7. Sous-traitants ultérieurs

7.1 Vous approuvez les sous-traitants ultérieurs figurant à l'annexe 2 ainsi que les autres sous-traitants ultérieurs auxquels ceux-ci recourent selon leurs listes mentionnées à l'annexe 2. Nous imposons contractuellement à chaque sous-traitant ultérieur une protection des données équivalente et restons responsables de lui envers vous.

7.2 Nous vous annonçons par e-mail tout sous-traitant ultérieur nouveau ou supplémentaire au moins 30 jours à l'avance. Vous pouvez vous y opposer dans un délai de 14 jours pour des motifs liés à la protection des données. Si nous ne trouvons pas de solution, vous pouvez résilier le contrat pour la date du changement ; nous remboursons au prorata les montants payés d'avance.

7.3 Nous ne communiquons des données vers un État ne disposant pas d'une protection adéquate des données selon l'annexe 1 OPDo qu'avec des garanties selon l'art. 16, al. 2, LPD, par exemple au moyen de clauses contractuelles types.

8. Droits des personnes concernées

8.1 Puntelo vous offre des fonctions permettant de répondre aux demandes d'accès (extrait de données par client), de rectifier, de supprimer ou d'anonymiser des données, de consigner des consentements et de remettre toutes les données.

8.2 Si une personne concernée s'adresse directement à nous, nous vous transmettons sa demande dans un délai de 5 jours ouvrables et n'y répondons pas nous-mêmes. Lorsque les fonctions ne suffisent pas, nous vous assistons dans un délai de 5 jours ouvrables.

8.3 Nous vous assistons également lors d'une analyse d'impact relative à la protection des données et d'une consultation du Préposé fédéral à la protection des données et à la transparence (PFPDT), avec les informations dont nous disposons.

9. Violations de la sécurité des données

9.1 Nous vous annonçons sans délai une violation de la sécurité des données qui concerne vos données, en règle générale dans les 24 heures après en avoir pris connaissance.

9.2 L'annonce indique, dans la mesure où ils sont connus : la nature de la violation, le moment et la durée, les catégories et le nombre approximatif des données et des personnes concernées, les conséquences possibles, les mesures prises et proposées ainsi qu'une personne de contact. Nous complétons ultérieurement ce qui n'est pas encore connu.

9.3 L'annonce au PFPDT et l'information des personnes concernées vous incombent ; nous vous assistons à cet effet et documentons chaque violation.

10. Contrôle

10.1 Sur demande, nous vous remettons les documents attestant le respect de la présente annexe, notamment la version actuelle de l'appendice A, des résumés de nos contrôles de sécurité et les justificatifs des sous-traitants ultérieurs.

10.2 Si les documents ne suffisent pas, vous pouvez vérifier le respect vous-même ou par l'intermédiaire d'un spécialiste indépendant tenu au secret : sur annonce au moins 30 jours à l'avance, pendant les heures de bureau, sans accès aux données d'autres établissements, au maximum une fois par année et, en plus, après une violation de la sécurité des données. Les coûts sont à votre charge, sauf si le contrôle révèle une violation importante de la présente annexe.

11. Responsabilité

Le chiffre 15 des CG s'applique.

12. Restitution et suppression

12.1 Vous pouvez télécharger vos données à tout moment pendant la durée du contrat et encore pendant 90 jours après la fin du contrat ou de la période d'essai. Sur demande, nous établissons les fichiers pour vous.

12.2 Nous supprimons ensuite de Puntelo toutes les données personnelles de votre établissement dans un délai de 30 jours. Dans les sauvegardes, elles expirent avec la durée de conservation de celles-ci, au plus tard 12 mois après la suppression. Jusque-là, elles restent chiffrées et ne sont utilisées que pour une restauration.

12.3 Sur demande, nous vous confirmons la suppression par e-mail.

12.4 Vous remplissez les obligations de conservation qui vous incombent à vous-même au moyen des données téléchargées.

13. Dispositions finales

13.1 Si votre établissement est soumis au règlement général sur la protection des données de l'UE, les dispositions doivent être interprétées de manière à satisfaire à l'art. 28 RGPD.

13.2 Les modifications de la présente annexe sont régies par le chiffre 17 des CG, celles de l'appendice A par le chiffre 6.3 et celles de l'annexe 2 par le chiffre 7.2.

Appendice A : Mesures techniques et organisationnelles

Structurées selon les objectifs de protection de l'art. 3 OPDo.