Vue d'ensemble des catégories de sous-traitants conformément à l'art. 28 al. 2 et 3 RGPD ainsi qu'à l'art. 9 al. 3 nLPD · Stand: 2026-10-02
Pour l'exploitation de la plateforme, le fournisseur fait appel à des sous-traitants ultérieurs. Cette page présente les catégories des sous-traitants actuels avec leur finalité, les types de données, le lieu de traitement et la base contractuelle. La liste nominative des sous-traitants fait partie intégrante du contrat de sous-traitance des données. La page est mise à jour en cas de changements ; les clients peuvent, conformément à la clause 15 des CG, formuler des objections motivées dans un délai de 30 jours.
| Catégorie | Finalité | Données | Lieu | Base contractuelle |
|---|---|---|---|---|
| Centre de données, application et stockage de fichiers | Exploitation de l'application (puissance de calcul) et stockage de fichiers, caviardage des données personnelles avant leur dépôt dans la piste d'audit inaltérable | Données opérationnelles de la plateforme, fichiers déposés, journaux d'audit | Suisse | Contrat de sous-traitance des données (DPA) avec le prestataire, valide |
| Conservation des clés | Gestion des clés (la souveraineté des clés reste chez SOTHURA SAFE GmbH) | Matériel de clés | Suisse | Contrat de sous-traitance des données (DPA) avec le prestataire, valide |
| Base de données | Hébergement de base de données | Données opérationnelles, données chiffrées au niveau du champ, pistes d'audit | Suisse | Contrat de sous-traitance des données (DPA) avec le prestataire |
| Puissance de calcul IA | Analyse de documents par l'IA | Documents transmis pour l'analyse par l'IA | UE | Contrat de sous-traitance des données (DPA) avec le prestataire, valide |
| Envoi d'e-mails | Envoi d'e-mails transactionnels | Notifications système, e-mails de connexion, rapports | UE | Contrat de sous-traitance des données (DPA) avec le prestataire |
| Protection du réseau | Protection contre les attaques, y compris la protection des formulaires (connexion, inscription, formulaires de contact) | Données de connexion ; contenus uniquement de manière transitoire en mémoire vive | Nœud de réseau le plus proche, pour la Suisse en général Zurich ou Genève | Contrat de sous-traitance des données (DPA) avec le prestataire |
| Connexion au système de messagerie et de calendrier du client | Uniquement dans la mesure où le client utilise la connexion : émission et vérification des jetons de connexion pour le complément Outlook. Si le client active l'intégration, en outre synchronisation du calendrier et des e-mails avec le poste de travail du client (Microsoft 365). Pour le contenu d'un e-mail que le conseiller ouvre dans le complément, le prestataire du système du client n'est pas sous-traitant du fournisseur : ce contenu se trouve dans le locataire du client chez Microsoft 365, pour lequel le client dispose de son propre contrat avec ce prestataire | Jetons de connexion ; si l'intégration est activée, rendez-vous, messages et leurs pièces jointes | Service de connexion du système du client, accessible dans le monde entier ; l'espace de données suit le locataire du client. Pour la synchronisation, l'espace de données de l'environnement que le client exploite chez Microsoft 365 | Avenant de protection des données du prestataire (Data Protection Addendum) ; partie contractante et dépôt en cours d'enregistrement |
Les données opérationnelles de la plateforme (base de données, stockage de fichiers, journaux d'audit) sont stockées en Suisse. La puissance de calcul IA est fournie dans des centres de données situés dans l'UE ; la catégorie figure dans le tableau ci-dessus. L'envoi d'e-mails passe par un prestataire dans l'UE. La protection du réseau opère au nœud de réseau le plus proche, pour la Suisse en général Zurich ou Genève ; elle traite les données de connexion, les contenus uniquement de manière transitoire en mémoire vive. Pour les recherches générales sur le marché et l'actualité, la plateforme utilise une recherche sur Internet. Les données des clients et des documents ne sont pas transmises à la recherche. La synchronisation du calendrier et des e-mails avec Microsoft 365 ne fonctionne que si le client active l'intégration. Le traitement a alors lieu dans l'environnement de travail exploité par le client ; celui-ci en détermine l'espace de données par sa propre configuration. Pour le complément Outlook, le service de connexion du système du client émet les jetons de connexion ; le contenu d'un e-mail ouvert dans le complément reste dans le locataire du client chez Microsoft 365 jusqu'à ce que le conseiller le dépose lui-même dans la plateforme. Pour d'éventuels transferts vers des États tiers, les clauses contractuelles types (CCT) de la Commission européenne s'appliquent.
Un contrat de sous-traitance des données existe avec chaque sous-traitant des catégories listées ci-dessus. Les DPA sont archivés dans les archives compliance internes et mis à disposition des clients pour consultation sur demande, dans la mesure où cela est requis contractuellement ou légalement.
Le fournisseur informe les clients des changements ou ajouts prévus à la liste des sous-traitants. Les objections doivent être adressées par écrit, conformément à la clause 15 des CG, dans un délai de 30 jours à security [at] sothura [dot] com. En cas d'objections fondées en matière de protection des données ou de sécurité, le client dispose d'un droit de résiliation extraordinaire si aucune alternative équivalente ne peut être proposée.
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, canton de Soleure. Inscrite au registre du commerce du canton de Soleure, IDE CHE-429.131.582. La direction est assurée par Silvio Siegenthaler et Michel Di Vito, signature collective à deux. L'identification complète du fournisseur figure dans les mentions légales.