Contrat de traitement des données
Version du 10 octobre 2026. Ce contrat fait partie des conditions générales. Il règle le traitement des données personnelles que Soclic Group Sàrl (« SoDetect ») effectue pour le compte du client (« le Client »), conformément à l'art. 9 de la loi fédérale sur la protection des données (nLPD) et, lorsque le Client y est soumis, à l'art. 28 du règlement général européen sur la protection des données (RGPD).
3.1 Rôles
Le Client est responsable du traitement. SoDetect agit comme sous-traitant et ne traite les données que pour fournir le service, selon les instructions documentées du Client. Les réglages faits par le Client dans l'application valent instructions, notamment l'activation des photos après nettoyage, l'invitation de personnes en lecture seule, l'envoi de rapports à des destinataires externes, la saisie du planning et le choix d'un délai cible d'intervention.
3.2 Données et personnes concernées
| Personnes concernées | Données |
|---|---|
| Employés et prestataires du Client utilisant l'application | Nom, e-mail, rôle, équipe, horaires de service, dates d'absence (sans motif), identifiant de badge, validations de nettoyage (date, heure, lieu), photos prises après le nettoyage, temps de réponse aux alertes, signalements et photos facultatives, jeton de notification, validations en attente sur le téléphone en mode hors ligne |
| Personnes invitées par le Client en lecture seule (par exemple ses propres clients ou une régie) | Nom, e-mail, date de l'invitation |
| Destinataires externes des rapports désignés par le Client | Adresse e-mail |
| Chefs d'équipe recevant les alertes par SMS (option) | Numéro de téléphone |
| Personnes apparaissant par erreur sur une photo | Image, que le Client s'engage à éviter (voir le point 3.3) |
| Visiteurs des sanitaires | Aucune donnée personnelle : passages comptés et avis anonymes |
Finalités : organiser le nettoyage, prouver les nettoyages effectués (y compris par photo), produire les rapports d'hygiène et les statistiques de délai, envoyer les alertes aux personnes en service, donner aux personnes désignées par le Client un accès en lecture seule. Durée : pendant le contrat, avec les durées de conservation de la politique de confidentialité.
3.3 Obligations du Client
- Disposer d'une base légale pour les traitements qu'il confie à SoDetect et informer ses employés et prestataires, notamment avant d'activer les badges, les photos après nettoyage ou le planning.
- Donner pour instruction à son personnel de ne photographier que les locaux et équipements, jamais des personnes, des documents ou des écrans.
- Ne saisir dans le planning aucun motif d'absence, en particulier aucune donnée sur la santé.
- Décider seul des personnes invitées en lecture seule et des destinataires externes des rapports, s'assurer qu'il peut leur communiquer les données visibles (y compris le nom des agents) et retirer les accès qui ne sont plus nécessaires.
3.4 Obligations de SoDetect
- Traiter les données uniquement selon les instructions du Client, et l'informer si une instruction lui paraît contraire à la loi.
- Imposer la confidentialité à toute personne autorisée à accéder aux données.
- Ne pas utiliser les données à d'autres fins, sauf sous forme agrégée et anonyme pour améliorer le service.
- Aider le Client, dans une mesure raisonnable, à répondre aux demandes des personnes concernées (accès, rectification, suppression) et à ses propres obligations légales.
3.5 Sécurité
SoDetect prend des mesures techniques et organisationnelles adaptées au risque, notamment : chiffrement des échanges, hébergement de la base de données et des photos en Suisse, accès limité par rôle et par entreprise (les accès en lecture seule ne permettent aucune modification), journalisation des actions sensibles, authentification des utilisateurs, sauvegardes et suppression automatique des données à l'échéance des durées de conservation (photos après nettoyage : 90 jours). Le déverrouillage par Face ID ou empreinte est géré par le téléphone ; SoDetect ne reçoit aucune donnée biométrique.
3.6 Sous-traitants ultérieurs
Le Client autorise SoDetect à recourir aux sous-traitants suivants, également listés dans la politique de confidentialité (point 1.11) :
| Sous-traitant | Prestation | Lieu |
|---|---|---|
| Google Cloud (Firebase) | Base de données, photos, fonctions serveur, hébergement | Zurich, Suisse |
| Google (Firebase Authentication, Cloud Messaging) | Connexion, notifications Android | Notamment États-Unis |
| Expo (650 Industries, Inc.) | Relais des notifications | États-Unis |
| Apple (service de notifications) | Notifications iPhone | Notamment États-Unis |
| Brevo | E-mails de service et rapports | Union européenne |
| Twilio | Alertes par SMS (option) | Notamment États-Unis |
| Stripe | Paiement et factures (données du Client, pas de données des agents) | Union européenne et États-Unis |
SoDetect leur impose des obligations de protection équivalentes à ce contrat et répond de leur respect. SoDetect annonce tout nouveau sous-traitant au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif lié à la protection des données et, à défaut de solution, résilier le contrat pour la date du changement.
3.7 Transfert à l'étranger
La base de données est hébergée en Suisse. Les données transférées hors de Suisse (connexion, notifications, e-mails, SMS) le sont uniquement vers des pays offrant une protection adéquate selon le Conseil fédéral ou sur la base de garanties reconnues (cadre Suisse–États-Unis de protection des données pour les entreprises certifiées, clauses contractuelles types reconnues par le PFPDT).
3.8 Violation de la sécurité
SoDetect informe le Client sans délai, et au plus tard 48 heures après en avoir eu connaissance, de toute violation de la sécurité touchant ses données. L'information précise, dans la mesure du possible, la nature de la violation, les données et personnes touchées, les conséquences probables et les mesures prises. SoDetect aide le Client à faire les annonces requises au PFPDT et aux personnes concernées.
3.9 Contrôle
SoDetect fournit au Client, sur demande écrite, les informations nécessaires pour vérifier le respect de ce contrat. Un audit sur place est possible une fois par an, avec un préavis de 30 jours, pendant les heures ouvrables, aux frais du Client et sous engagement de confidentialité.
3.10 Fin du traitement
À la fin du contrat, le Client peut exporter ses données pendant 30 jours. SoDetect les supprime ensuite, copies de sauvegarde comprises dans leur cycle normal, sauf obligation légale de conservation.
3.11 Responsabilité et droit applicable
La responsabilité est régie par les conditions générales (point 2.18). Le droit suisse s'applique ; le for est à Genève. En cas de contradiction entre ce contrat et les conditions générales sur la protection des données, ce contrat prévaut.