Contrat de sous-traitance des données
Version du 11 août 2026 · Donovan Bernini Studio, 1003 Lausanne (Suisse)
1. Objet et rôles
Le présent contrat encadre le traitement, par Donovan Bernini Studio (le « Sous-traitant »), des données personnelles contenues dans l'espace de travail du Client (le « Responsable du traitement »). Il s'applique dès l'utilisation du service et fait partie intégrante des Conditions générales d'utilisation.
2. Nature, durée et finalité du traitement
Le Sous-traitant traite les données pour la seule finalité de fournir le service : héberger, afficher, calculer et transmettre les données saisies ou importées par le Client. Le traitement dure aussi longtemps que le Client utilise le service.
3. Catégories de données et de personnes concernées
Données d'identification et de contact, données financières et comptables, salaires et données administratives associées, données de suivi commercial, temps de travail, documents téléversés. Personnes concernées : le Client, ses collaborateurs, ses clients, ses fournisseurs et ses contacts.
4. Instructions documentées
Le Sous-traitant ne traite les données que sur instruction documentée du Client, celle-ci résultant de l'utilisation des fonctionnalités du service, sauf obligation légale contraire.
5. Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité.
6. Mesures de sécurité
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées au risque, notamment : • chiffrement en transit : les communications avec le service sont protégées par HTTPS/TLS ; • chiffrement au repos : les données sont chiffrées au niveau de l'infrastructure d'hébergement de la base de données ; • cloisonnement par espace de travail : les accès authentifiés aux données métier sont rattachés côté serveur à l'espace de travail de leur auteur ; • partages externes : certaines fonctionnalités permettent au Client de créer volontairement des liens donnant accès à une ressource déterminée à des personnes extérieures à son espace. Ces liens constituent un mécanisme d'accès distinct du compte authentifié ; • contrôle des accès : des contrôles d'accès côté serveur sont appliqués en fonction du rôle et du périmètre de la ressource ; • journalisation : certains événements sensibles, notamment connexions, récupérations de compte, exports, invitations et désactivations, sont journalisés ; • sauvegarde et restauration : le Sous-traitant s'appuie notamment sur les mécanismes de résilience, de sauvegarde et de restauration de ses fournisseurs d'infrastructure. Pendant la bêta, aucune garantie de restauration d'une donnée déterminée n'est fournie et le Client conserve une copie indépendante de ses données importantes.
7. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs suivants : • Neon : hébergement de la base de données. • Vercel : hébergement et exécution de l'application. • Resend : envoi des emails transactionnels. • Anthropic : fonctionnalités d'intelligence artificielle (États-Unis). Le Sous-traitant informe le Client de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur.
8. Assistance au Responsable du traitement
Le Sous-traitant assiste le Client, dans la mesure du possible, pour répondre aux demandes d'exercice des droits des personnes concernées et pour respecter ses obligations de sécurité et de notification.
9. Violation de la sécurité des données
En cas de violation de la sécurité des données affectant les données du Client, le Sous-traitant l'en informe sans délai injustifié après en avoir pris connaissance, avec les informations utiles pour lui permettre de remplir ses propres obligations.
10. Restitution et suppression
À la fin de la relation, le Client dispose d'un délai raisonnable pour exporter ses données au moyen des fonctions d'export. Les données sont ensuite supprimées, sous réserve des obligations légales de conservation et des cycles de rétention des sauvegardes techniques.
11. Vérification
Le Sous-traitant met à disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent contrat.
12. Transferts à l'étranger
Certains sous-traitants ultérieurs exploitent des infrastructures internationales et peuvent traiter des données en dehors de la Suisse, notamment aux États-Unis. Ces transferts s'appuient sur les mécanismes contractuels prévus par les contrats de protection des données conclus avec ces prestataires, notamment des clauses contractuelles types. La politique de confidentialité précise les prestataires concernés.
13. Évolution de l'exploitation du service
L'exploitation de Lucid pourra être reprise par une société dédiée. Le Client en sera informé préalablement et les adaptations contractuelles requises seront effectuées avant le transfert effectif du rôle de Sous-traitant.
14. Droit applicable et for
Le présent contrat est soumis au droit suisse. Le for exclusif est au canton de Vaud (Suisse).