Dernière modification : 1 septembre 2026

Accord de traitement des données pour les MSP

Le présent Accord de traitement des données (« Accord ») fait partie intégrante du Contrat de fournisseur de services gérés (l'« Accord principal ») entre Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suisse, numéro d'identification d'entreprise CHE-354.686.492 (dénommée le « Sous-traitant »), et le MSP identifié dans l'Accord principal (dénommé l'« Entreprise », qui doit être compris comme le fournisseur de services gérés utilisant les Services pour approvisionner, facturer et fournir un support à ses propres Clients gérés, quelle que soit sa forme juridique).

Le présent Accord régit les exigences spécifiques des Lois sur la protection des données dans la mesure où l'utilisation des Services par l'Entreprise, y compris la mise à disposition des Services aux Clients gérés par l'Entreprise, implique le Traitement de Données à caractère personnel soumises aux Lois sur la protection des données.

La durée du présent Accord correspond à celle de l'Accord principal. Les termes qui ne sont pas définis dans les présentes ont la signification qui leur est donnée dans l'Accord principal.

ATTENDU QUE

A) L'Entreprise agit en tant que Responsable du traitement ou, lorsqu'un Client géré ordonne lui-même le Traitement de ses propres Données à caractère personnel, en tant que Sous-traitant des données pour le compte de ce Client géré (dans les deux cas, le « Responsable du traitement »).

B) L'Entreprise souhaite sous-traiter certains Services, qui impliquent le Traitement de Données à caractère personnel, à Proton AG, agissant en tant que Sous-traitant des données (le « Sous-traitant »).

C) Les Parties cherchent à mettre en œuvre un accord de traitement des données conforme aux exigences du cadre juridique actuel en matière de traitement des données, notamment le Règlement (UE) 2016/679 (le « RGPD ») et la Loi fédérale suisse sur la protection des données (« LPD »), ainsi que d'autres Lois sur la protection des données applicables.

D) Les Parties souhaitent définir leurs droits et obligations respectifs.

IL EST CONVENU DE CE QUI SUIT :

1. Définitions, rôles et champ d'application

1.1 Définitions. Sauf mention contraire dans les présentes, les termes commençant par une majuscule ont la signification qui leur est donnée dans l'Accord principal ou, lorsqu'ils n'y sont pas définis, la signification suivante :

« Données à caractère personnel de l'Entreprise » désigne toute Donnée à caractère personnel relative à l'Entreprise, aux Clients gérés de l'Entreprise, ou à leurs clients ou employés respectifs, Traitée dans le cadre de l'Accord principal.
« Sous-traitant sous contrat » désigne un Sous-traitant ultérieur.
« Lois sur la protection des données » désigne le RGPD, la LPD et, dans la mesure où elles sont applicables, les lois sur la protection des données ou le respect de la vie privée de tout autre pays.
« Transfert de données » désigne (i) un transfert de Données à caractère personnel de l'Entreprise par l'Entreprise au Sous-traitant ou à un Sous-traitant sous contrat, ou (ii) un transfert ultérieur de Données à caractère personnel de l'Entreprise du Sous-traitant à un Sous-traitant ultérieur, ou entre deux établissements d'un Sous-traitant ultérieur.
« Client géré » a la signification qui lui est donnée dans l'Accord principal : une entité d'utilisateurs finaux à laquelle l'Entreprise fournit et délivre les Services dans le cadre de sa propre offre de services gérés.
« Sous-traitant ultérieur » désigne toute personne désignée par le Sous-traitant ou en son nom pour Traiter des Données à caractère personnel dans le cadre de l'Accord.
Les termes « Commission », « Responsable du traitement », « Personne concernée », « État membre », « Données à caractère personnel », « Violation de données à caractère personnel », « Traitement » et « Autorité de contrôle » ont la même signification que dans le RGPD ou toute autre Loi sur la protection des données applicable.

1.2 Rôles des Parties. Entre Proton et l'Entreprise, l'Entreprise est le Responsable du traitement (ou, le cas échéant, le Sous-traitant agissant selon les instructions d'un Client géré) et Proton est le Sous-traitant, pour toutes les Données à caractère personnel de l'Entreprise Traitées en vertu de l'Accord principal, y compris les Données à caractère personnel des Clients gérés et de leurs utilisateurs finaux respectifs ou relatives à ceux-ci. Le présent Accord constitue l'accord de traitement des données intégral et exclusif entre Proton et toute partie de la chaîne des Clients gérés. Proton n'a aucune relation contractuelle directe, de type Responsable du traitement-Sous-traitant ou Sous-traitant-Sous-traitant ultérieur, avec un quelconque Client géré, et aucun Client géré n'est partie au présent Accord ni n'en est un tiers bénéficiaire. L'Entreprise est seule responsable de ses accords avec ses Clients gérés et de ses obligations envers eux, y compris de toute modalité relative à la protection des données que l'Entreprise leur doit en vertu de la loi applicable ou d'un contrat.

1.3 Responsabilité de l'Entreprise en aval. L'Entreprise doit conclure un accord écrit avec chaque Client géré qui lui impose des obligations en matière de protection des données qui ne sont pas moins protectrices pour les Données à caractère personnel de ce Client géré que les obligations dont Proton est tenue envers l'Entreprise en vertu du présent Accord, dans la mesure applicable à la nature des Services que l'Entreprise fournit à ce Client géré. Les obligations de Proton au titre du présent Accord s'appliquent uniquement envers l'Entreprise ; l'Entreprise demeure seule responsable envers ses Clients gérés du Traitement de leurs Données à caractère personnel, y compris pour tout acte ou toute omission de Proton, entre l'Entreprise et ses Clients gérés.

2. Traitement des données à caractère personnel de l'Entreprise

Le Sous-traitant s'engage :

de se conformer à toutes les Lois sur la protection des données applicables lors du Traitement des Données à caractère personnel de l'Entreprise ; et
de ne pas Traiter les Données à caractère personnel de l'Entreprise autrement que selon les instructions documentées de l'Entreprise, comme indiqué ci-dessous.

L'Entreprise donne instruction au Sous-traitant de Traiter les Données à caractère personnel de l'Entreprise pour :

fournir les Services et le support technique associé à l'Entreprise et, par l'intermédiaire de l'Entreprise, aux Clients gérés ;
remplir des obligations légales ou résoudre des litiges ;
réaliser toute tâche interne visant à optimiser la sécurité, le respect de la vie privée, la confidentialité et les fonctionnalités des Services ; et
procéder aux activités de reporting interne, de reporting financier et à d'autres tâches internes similaires.

3. Personnel du Sous-traitant

Le Sous-traitant prend des mesures raisonnables pour s'assurer de la fiabilité de tout employé, agent ou sous-traitant de tout Sous-traitant sous contrat susceptible d'avoir accès aux Données à caractère personnel de l'Entreprise, en veillant dans chaque cas à ce que l'accès soit strictement limité aux personnes ayant besoin de connaître ou d'accéder aux Données à caractère personnel de l'Entreprise pertinentes, selon ce qui est strictement nécessaire aux fins de l'Accord principal et/ou pour se conformer aux Lois sur la protection des données, et en s'assurant que toutes ces personnes sont soumises à des engagements de confidentialité ou à des obligations de confidentialité professionnelles ou légales.

4. Sécurité

Conformément à l'Article 32(1) du RGPD, le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, en tenant compte de l'état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du Traitement. Ces mesures sont conçues pour protéger les droits et libertés des personnes physiques, en tenant compte des risques de probabilité et de gravité variables, y compris le risque d'une Violation de données à caractère personnel. L'Entreprise met en œuvre des mesures techniques et organisationnelles appropriées pour son propre Traitement des Données à caractère personnel de l'Entreprise, y compris son administration des comptes des Clients gérés via les Licences Administrateur MSP, et s'assure que l'accès à ces comptes est limité au personnel de l'Entreprise qui en a besoin, protégé par des contrôles d'authentification appropriés, et rapidement révoqué lorsqu'il n'est plus nécessaire.

5. Sous-traitance indirecte

Sous réserve du présent Accord, l'Entreprise accorde une autorisation générale au Sous-traitant pour faire appel à des Sous-traitants ultérieurs et pour leur divulguer ou transférer les Données à caractère personnel de l'Entreprise. L'Entreprise reconnaît et approuve la liste des Sous-traitants ultérieurs figurant dans la Politique de confidentialité du Sous-traitant, étant entendu que cette liste peut être mise à jour ponctuellement par le Sous-traitant, auquel cas l'Entreprise en sera informée conformément au processus de notification de la Politique de confidentialité. L'Entreprise autorise en outre le Sous-traitant à divulguer et à transférer des Données à caractère personnel à toute entreprise de son groupe. Le Sous-traitant s'assure que les Sous-traitants ultérieurs sont liés par un contrat avec le Sous-traitant qui n'est pas moins restrictif et protecteur que le présent Accord en ce qui concerne la protection des Données à caractère personnel de l'Entreprise, dans la mesure applicable à la nature des services fournis par ce Sous-traitant ultérieur. Pour éviter tout doute, l'Entreprise n'est pas un Sous-traitant ultérieur de Proton et la présente Section ne s'applique pas au recours par l'Entreprise à un quelconque Client géré ou tiers.

6. Droits des personnes concernées

Compte tenu de la nature du Traitement, le Sous-traitant apporte une assistance raisonnable à l'Entreprise pour lui permettre de s'acquitter de ses obligations de réponse aux demandes d'exercice des droits des Personnes concernées en vertu des Lois sur la protection des données, y compris les demandes que l'Entreprise reçoit de la part d'un Client géré ou au nom de celui-ci, ou des propres utilisateurs finaux de ce Client géré.

Le Sous-traitant s'engage :

à notifier l'Entreprise sans délai s'il reçoit une demande d'une Personne concernée dans le cadre d'une Loi sur la protection des données en rapport avec les Données à caractère personnel de l'Entreprise ; et

s'assurer de ne pas répondre à cette demande, sauf sur instructions documentées de l'Entreprise ou comme l'exige le droit applicable, auquel cas le Sous-traitant doit, dans la mesure où la loi le permet, informer l'Entreprise de cette obligation légale avant de répondre.

L'Entreprise est seule responsable de répondre à toute demande d'une Personne concernée relative aux Données à caractère personnel d'un Client géré, et de se coordonner avec ce dernier à ce sujet ; le Sous-traitant n'a aucune obligation d'identifier un Client géré ou de communiquer directement avec lui.

7. Violation de données à caractère personnel

Le Sous-traitant gère toute Violation de données à caractère personnel conformément aux Lois sur la protection des données applicables et à ses procédures internes relatives aux Violations de données à caractère personnel. En cas de Violation de données à caractère personnel affectant les Données à caractère personnel de l'Entreprise, le Sous-traitant en informe l'Entreprise sans délai, en fournissant des informations suffisantes pour lui permettre de s'acquitter de ses propres obligations en vertu des Lois sur la protection des données, y compris, le cas échéant, d'informer les Clients gérés et les Personnes concernées concernés. Le Sous-traitant coopère avec l'Entreprise et prend des mesures commerciales raisonnables conformément aux instructions de l'Entreprise afin de participer à l'investigation, à l'atténuation et à la résolution de chacune de ces Violations de données à caractère personnel. Chaque Partie prend en charge les coûts d'investigation, de résolution, d'atténuation et autres coûts connexes dans la mesure où une Violation de données à caractère personnel est causée par cette Partie. Chaque Partie prend en charge les coûts de toute amende, pénalité, dommages-intérêts ou autres montants connexes imposés par une autorité de réglementation compétente dans la mesure où ils résultent du manquement par cette Partie à ses obligations au titre du présent Accord. L'Entreprise est seule responsable des notifications de violation à ses Clients gérés et à leurs Personnes concernées, ainsi que du calendrier et du contenu de ces notifications.

8. Analyse d'impact relative à la protection des données et consultation préalable

Le Sous-traitant apporte une assistance raisonnable à l'Entreprise pour les analyses d'impact relatives à la protection des données et les consultations préalables auprès des autorités de contrôle que l'Entreprise estime raisonnablement requises par l'Article 35 ou 36 du RGPD ou des dispositions équivalentes de toute autre Loi sur la protection des données, dans chaque cas uniquement en lien avec le Traitement des Données à caractère personnel de l'Entreprise par les Sous-traitants sous contrat, et en tenant compte de la nature du Traitement et des informations dont disposent ces derniers.

9. Suppression ou restitution des Données à caractère personnel de l'Entreprise

En cas d'arrêt de tout Service impliquant le Traitement de Données à caractère personnel de l'Entreprise, le Sous-traitant supprime toutes les Données à caractère personnel de l'Entreprise dans la mesure permise par le droit applicable et conformément aux Conditions générales et à la Politique de confidentialité du Sous-traitant. Si l'Entreprise a besoin d'une copie des Données à caractère personnel de l'Entreprise, elle doit en faire la demande avant la suppression ; les demandes formulées après la suppression ne pourront plus être prises en compte. À la résiliation de l'Accord principal, l'Entreprise demeure seule responsable de la gestion de la suppression, de la restitution ou de la transition des Données à caractère personnel de tout Client géré entre l'Entreprise et ce Client géré, conformément à la Section 5.4 de l'Accord principal (Assistance à la transition).

10. Droits d'audit

Sous réserve de la présente Section 10, le Sous-traitant met à la disposition de l'Entreprise, sur demande, toutes les informations nécessaires pour démontrer la conformité au présent Accord, et autorise la réalisation d'audits, y compris d'inspections, par l'Entreprise ou par un auditeur mandaté par elle, en lien avec le Traitement des Données à caractère personnel de l'Entreprise par les Sous-traitants sous contrat, et y contribue. L'Entreprise ne peut pas exercer ses droits d'audit au titre de la présente Section plus d'une fois par année civile, sauf à la suite d'une Violation de données à caractère personnel ou sur instruction d'une autorité de réglementation. L'Entreprise doit donner au Sous-traitant un préavis écrit d'au moins soixante (60) jours de son intention d'effectuer un audit. L'audit doit être mené pendant les heures d'ouverture du Sous-traitant, ne doit pas perturber les activités du Sous-traitant et doit garantir la protection des Données à caractère personnel de l'Entreprise, du Sous-traitant et des autres Personnes concernées. Les Parties conviennent mutuellement à l'avance de la date, du champ d'application, de la durée ainsi que des mesures de sécurité et de confidentialité applicables à l'audit ; le Sous-traitant peut exiger un accord de non-divulgation avant l'audit. Les droits d'information et d'audit prévus par la présente Section ne s'appliquent que dans la mesure où le présent Accord ne confère pas par ailleurs à l'Entreprise des droits d'information et d'audit répondant aux exigences pertinentes de la Loi sur la protection des données. Lorsqu'un Client géré demande des informations sur le Traitement effectué par Proton dans le cadre des propres obligations de diligence raisonnable de l'Entreprise envers ce Client géré, l'Entreprise peut s'appuyer sur la présente Section pour obtenir les informations nécessaires auprès du Sous-traitant et les transmettre, mais le Client géré lui-même ne dispose d'aucun droit d'audit indépendant à l'encontre du Sous-traitant.

11. Transfert des données

Dans la mesure du possible, le Sous-traitant ne transfère ou n'autorise le transfert des Données à caractère personnel de l'Entreprise que vers des pays situés en Suisse, dans l'UE et/ou des pays faisant l'objet d'une décision d'adéquation, comme prévu à l'Article 45 du RGPD et à l'Article 16 de la LPD suisse. Si les Données à caractère personnel de l'Entreprise Traitées au titre du présent Accord sont transférées depuis la Suisse, l'UE ou un pays faisant l'objet d'une décision d'adéquation vers un pays n'entrant pas dans ce champ d'application, les Parties s'assurent que les Données à caractère personnel sont protégées de manière adéquate, en s'appuyant, sauf accord contraire, sur les clauses contractuelles types alors en vigueur approuvées par la Suisse, l'UE et/ou le Royaume-Uni, ou sur d'autres mécanismes de transfert prévus par les Lois sur la protection des données. Le Sous-traitant est autorisé à effectuer de tels transferts vers des Sous-traitants ultérieurs, sous réserve que des garanties appropriées soient mises en œuvre compte tenu de la nature du transfert.

12. Conditions générales

12.1 Conformité avec les lois applicables. Le Sous-traitant traitera les Données à caractère personnel de l'Entreprise conformément au présent Accord et aux Lois sur la protection des données applicables à son rôle en vertu du présent Accord. Le Sous-traitant n'est pas responsable du respect des Lois sur la protection des données uniquement applicables à l'Entreprise ou à un quelconque Client géré en raison de leurs activités ou de leur secteur d'activité respectifs.

12.2 Confidentialité. Chaque Partie préserve la confidentialité de toute information reçue sur l'autre Partie dans le cadre du présent Accord, et ne l'utilise ni ne la divulgue sans le consentement écrit préalable de l'autre Partie, sauf dans la mesure où (a) la divulgation est requise par la loi, ou (b) l'information relève déjà du domaine public sans faute de la part des Parties.

12.3 Avis. Les notifications au titre du présent Accord doivent être données conformément aux dispositions relatives aux notifications de l'Accord principal. Les notifications adressées au Sous-traitant concernant les questions relatives à la protection des données doivent en outre être envoyées en copie à legal@proton.ch

12.4 Responsabilité. La responsabilité de chaque Partie découlant du présent Accord ou en lien avec celui-ci est soumise aux dispositions de limitation de responsabilité de l'Accord principal et plafonnée conformément à celles-ci, y compris tout plafond spécifique qui y est stipulé en cas de manquement aux obligations de confidentialité et de protection des données. Aucune disposition du présent Accord ne limite la responsabilité de l'une ou l'autre Partie pour les amendes ou pénalités directement infligées à cette dernière par une autorité de contrôle compétente à la suite de son propre manquement aux Lois sur la protection des données applicables. L'Entreprise reconnaît qu'en tant qu'unique interlocuteur face à ses Clients gérés, elle assume l'entière responsabilité de toute obligation financière engagée envers un Client géré qui dépasserait ce que l'Entreprise est en mesure de récupérer auprès du Sous-traitant au titre du plafond de responsabilité de l'Accord principal.

12.5 Loi applicable et juridiction compétente. Le présent Accord est régi par le droit suisse, sans égard aux règles de conflit de lois d'une autre juridiction, et les litiges découlant du présent Accord ou s'y rapportant sont soumis à la compétence exclusive des tribunaux de Genève, en Suisse.

12.6 Ordre de priorité. En cas de divergence entre le présent Accord et l'Accord principal concernant le Traitement des Données à caractère personnel, le présent Accord prévaut, conformément à la Section 10.1 de l'Accord principal. En cas de divergence entre la version anglaise du présent Accord et toute version traduite, la version anglaise prévaudra.