Contrat de sous-traitance (DPA)
Contrat de traitement des données conforme à l'art. 9 LPD, par lequel Vergasta Digital agit en qualité de sous-traitant pour le compte de l'entreprise utilisatrice (responsable du traitement).
Dernière mise à jour : 18 juin 2026
Le présent contrat de sous-traitance en matière de protection des données (« DPA ») complète les CGV et s'applique lorsque Vergasta Digital traite des données personnelles pour le compte de l'entreprise utilisatrice d'Axolot, en qualité de sous-traitant au sens de l'art. 9 LPD.
Parties
- Le responsable du traitement est l'entreprise utilisatrice (indépendant, raison individuelle ou personne morale) créant un espace dans Axolot.
- Le sous-traitant est Vergasta Digital, 2610 Saint-Imier, Suisse, contact@vergasta.ch.
Objet et durée
Le sous-traitant traite des données personnelles pour le compte du responsable du traitement, exclusivement afin de fournir le service Axolot (tenue de comptabilité, facturation, rapprochement bancaire, stockage de justificatifs). Le traitement dure tant que le compte de l'entreprise est actif et, le cas échéant, pendant les délais de conservation légale.
Nature et finalité du traitement
- Hébergement et stockage de données comptables et justificatifs.
- Génération de documents commerciaux (factures QR, devis).
- Extraction automatique de données sur reçus (IA Infomaniak, Suisse).
- Import de mouvements bancaires (open banking).
- Export fiduciaire et portabilité des données.
Catégories de données et personnes concernées
| Catégorie | Personnes concernées |
|---|---|
| Coordonnées clients et fournisseurs | Clients et fournisseurs du responsable |
| Pièces comptables (factures, devis, écritures) | Clients, fournisseurs, tiers payeurs |
| Justificatifs et reçus | Le responsable, tiers mentionnés sur les pièces |
| Données bancaires importées | Contreparties des transactions |
Obligations du sous-traitant
- Traiter les données uniquement sur instruction documentée du responsable (utilisation du service).
- Garantir la confidentialité des personnes autorisées à traiter les données.
- Mettre en œuvre des mesures techniques et organisationnelles appropriées (art. 8 LPD).
- Assister le responsable dans l'exercice des droits des personnes concernées (art. 25 à 29 LPD).
- Notifier toute violation de sécurité au responsable dans les meilleurs délais (art. 24 LPD).
- Supprimer ou restituer les données à la fin du contrat, sous réserve des obligations légales de conservation (art. 958f CO).
Sous-traitants ultérieurs (art. 7 OLPD)
Le responsable autorise par avance le recours aux sous-traitants ultérieurs suivants.
| Sous-traitant | Activité | Localisation |
|---|---|---|
| Infomaniak Network SA | Hébergement et IA reçus | Suisse |
| Stripe, Inc. | Paiement licence (données de facturation SaaS uniquement) | UE / international |
| SIX bLink | Open banking | Suisse |
| Revolut Ltd | Open banking | UE / international |
| Google LLC / Apple Inc. | Authentification OAuth | UE / États-Unis |
| Prestataire e-mail | Envoi transactionnel | Suisse |
Procédure d'opposition (art. 7 al. 3 OLPD). En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, le sous-traitant informe le responsable par e-mail au moins 30 jours avant la mise en service. Le responsable peut s'opposer par écrit motivé dans ce délai. En cas d'opposition justifiée non résolue, le responsable peut résilier le contrat sans pénalité et obtenir l'export de ses données.
Transferts à l'étranger
Les données comptables et justificatifs sont hébergées en Suisse. Les transferts vers des sous-traitants situés à l'étranger (Stripe, Revolut, OAuth) sont limités aux données strictement nécessaires et encadrés par des garanties appropriées au sens des art. 16 et 17 LPD.
Sort des données en fin de contrat
À la clôture du compte, le responsable peut exporter l'intégralité de ses données (export fiduciaire et portabilité JSON/CSV). Après un délai raisonnable, le sous-traitant supprime les données restantes, sauf obligation légale de conservation (10 ans pour les pièces comptables, art. 958f CO).
Acceptation
En créant une entreprise dans Axolot, le responsable du traitement accepte le présent DPA. Une copie datée de l'acceptation est enregistrée avec le compte.