Sous-traitants ultérieurs

1. Finalité de cette liste

Pour l'exploitation de la plateforme, le fournisseur fait appel à des sous-traitants ultérieurs. Cette page liste tous les sous-traitants actuels avec leur finalité, leur région de traitement et le statut du contrat de sous-traitance des données (Data Processing Agreement, DPA). La liste est mise à jour en cas de changements ; les clients peuvent, conformément à la clause 15 des CG, formuler des objections motivées dans un délai de 30 jours.

En cas de modifications substantielles de notre liste de sous-traitants, nous informons nos clients avec un préavis raisonnable (art. 28 al. 2 RGPD). La notification est envoyée par e-mail aux contacts compliance déposés dans le contrat ; en outre, la modification est documentée dans le journal interne des changements de sous-traitants. Tant qu'un flux RSS dédié n'est pas disponible, la date « Dernière modification » par entrée fait foi. Dernier retrait : Twilio le 03.09.2026 — le deuxième facteur par SMS n'est plus utilisé. La deuxième étape passe par des applications d'authentification (TOTP) et, dans le portail client, par un code à usage unique envoyé par e-mail.

2. Sous-traitants actifs

3. Résidence des données et transfert vers des États tiers

Les données opérationnelles de la plateforme (base de données, stockage de fichiers, journaux d'audit) restent en Suisse (région europe-west6, Zurich). Le traitement IA s'effectue également à Zurich (région europe-west6) ; en cas de surcharge, il bascule vers le point de terminaison multirégional européen et a alors lieu dans l'UE. Le sous-traitant IA concret est listé dans le tableau ci-dessus. L'envoi d'e-mails passe par AWS SES dans l'UE (eu-central-1, Francfort). Cloudflare Turnstile fonctionne comme service Edge à l'échelle mondiale, mais ne renvoie qu'un jeton anti-bot anonyme et ne traite pas de données de la plateforme. La synchronisation du calendrier et des e-mails avec Microsoft 365 ne fonctionne que si le client active l'intégration. Le traitement a alors lieu dans l'environnement de travail exploité par le client ; celui-ci en détermine l'espace de données par sa propre configuration. Pour le complément Outlook, Microsoft émet les jetons de connexion ; le contenu d'un e-mail ouvert dans le complément reste dans le locataire Microsoft 365 du client jusqu'à ce que le conseiller le dépose lui-même dans la plateforme. Pour d'éventuels transferts vers des États tiers, les clauses contractuelles types (CCT) de la Commission européenne s'appliquent.

4. Contrats de sous-traitance des données (DPA)

Un contrat de sous-traitance des données existe avec chaque sous-traitant listé ci-dessus. Les DPA sont archivés dans les archives compliance internes et mis à disposition des clients pour consultation sur demande, dans la mesure où cela est requis contractuellement ou légalement.

5. Modifications et objections

Le fournisseur informe les clients des changements ou ajouts prévus à la liste des sous-traitants. Les objections doivent être adressées par écrit, conformément à la clause 15 des CG, dans un délai de 30 jours à security [at] sothura [dot] com. En cas d'objections fondées en matière de protection des données ou de sécurité, le client dispose d'un droit de résiliation extraordinaire si aucune alternative équivalente ne peut être proposée.