Contrat de sous-traitance des données

Le présent contrat de sous-traitance (le « DPA ») est conclu entre :

• Trembley et Burgermeister SA, Chemin de l'Epinglier 4, 1242 Satigny, canton de Genève, Suisse, numéro d'identification des entreprises (IDE) CHE-101.917.143, qui exploite Filetable (« Filetable », le « Sous-traitant ») ; et
• l'entité juridique qui a accepté les Conditions d'utilisation de Filetable et qui détient l'espace de travail (le « Client », le « Responsable du traitement »).

Le présent DPA est intégré par renvoi aux Conditions d'utilisation de Filetable et prend effet lorsque le Client accepte ces Conditions, ou à la date à laquelle le Client utilise le service pour la première fois si celle-ci est antérieure. Aucune signature séparée n'est nécessaire pour qu'il lie les deux parties.

Un exemplaire signé est disponible sur demande. Écrivez à legal@filetable.com en indiquant la raison sociale, le siège et le nom du signataire ; Filetable vous retournera un exemplaire signé. La demande d'un exemplaire signé ne retarde pas l'entrée en vigueur du DPA.

Le présent DPA ne s'applique qu'aux Données personnelles du Client, définies à la section 2. Il ne régit pas les données personnelles pour lesquelles Filetable est elle-même responsable du traitement — les coordonnées du titulaire du compte, les documents de facturation, les contacts marketing, les journaux de sécurité propres à Filetable et, lorsqu'elle sera introduite, la mesure d'audience du produit (section 4). Ces traitements sont décrits dans la Politique de confidentialité de Filetable.

Filetable n'a pas désigné de délégué à la protection des données. L'art. 10 LPD rend facultative la désignation d'un conseiller à la protection des données en Suisse, et l'art. 37 RGPD n'est pas déclenché à l'échelle actuelle de Filetable : Filetable n'effectue pas de suivi à grande échelle de personnes concernées pour son propre compte, et les données sensibles présentes dans le service sont téléversées par les clients selon leurs propres instructions, plutôt que traitées à grande échelle en tant qu'activité de base propre à Filetable. Les questions de protection des données sont à adresser à privacy@filetable.com ; les questions de sécurité à security@filetable.com.

Le présent DPA utilise la terminologie du RGPD. Chaque terme s'entend comme incluant son équivalent en droit suisse.

• « Responsable du traitement » désigne le responsable du traitement au sens de l'art. 4(7) RGPD, et le responsable du traitement (« Verantwortlicher » / « responsable du traitement ») au sens de l'art. 5 let. j LPD.
• « Sous-traitant » désigne le sous-traitant au sens de l'art. 4(8) RGPD, et le sous-traitant (« Auftragsbearbeiter » / « sous-traitant ») au sens de l'art. 5 let. k LPD et de l'art. 9 LPD.
• « Données personnelles », « traitement » et « personne concernée » ont le sens que leur donne l'art. 4 RGPD ainsi que le sens correspondant de l'art. 5 LPD. Il est rappelé que la LPD ne protège que les personnes physiques ; lorsque le droit suisse est le seul régime applicable, les données relatives aux personnes morales en sortent.
• « Catégories particulières de données personnelles » désigne les catégories énumérées à l'art. 9(1) RGPD, ainsi que les données personnelles sensibles (« besonders schützenswerte Personendaten » / « données sensibles ») au sens de l'art. 5 let. c LPD. La liste suisse est plus large : elle inclut expressément les données sur des mesures d'aide sociale ainsi que sur des poursuites ou sanctions pénales et administratives. Lorsque le présent DPA dit « catégories particulières », il faut le lire comme couvrant les deux listes.
• « Violation de données personnelles » désigne une violation au sens de l'art. 4(12) RGPD et une violation de la sécurité des données au sens de l'art. 5 let. h LPD.
• « Données personnelles du Client » désigne les données personnelles contenues dans — ou dérivées de — les documents, tables, lignes, cellules, e-mails, fichiers et données de compte que le Client ou ses utilisateurs versent dans son espace de travail Filetable, ainsi que les identifiants d'espace de travail et d'utilisateur que Filetable traite pour exploiter et sécuriser cet espace de travail.
• « Sous-traitant ultérieur » désigne un tiers auquel Filetable confie le traitement de Données personnelles du Client, et un tiers auquel le traitement est sous-délégué au sens de l'art. 9(3) LPD.
• « Droit applicable en matière de protection des données » désigne la LPD et ses ordonnances d'exécution (en particulier l'OPDo), le RGPD lorsqu'il s'applique aux traitements du Client, ainsi que toute autre législation sur la protection des données applicable à une partie s'agissant des Données personnelles du Client.

Objet et durée. Filetable traite les Données personnelles du Client afin de fournir le service Filetable au Client. Le traitement dure pendant la durée des Conditions d'utilisation ainsi que pendant la fenêtre de suppression décrite à la section 10.

Nature et finalité du traitement. Filetable est une plateforme de documents et de données. Ses utilisateurs téléversent des documents dans un drive ; le service les lit au moyen de la reconnaissance optique de caractères et de grands modèles de langage, extrait des valeurs structurées dans les tables conçues par le Client, et conserve à la fois le document d'origine et les données extraites. Autour de ce cœur, le service assure : le stockage et la consultation ; l'organisation en dossiers et dossiers virtuels ; la classification et le classement automatiques ; le rapprochement et la réconciliation entre lignes et tables ; l'import tabulaire de fichiers CSV et camt.053 ISO 20022 ; la découpe d'un PDF en plusieurs documents ; la génération de documents à partir de données de lignes ; la réception de documents à une adresse e-mail entrante propre à chaque espace de travail ; l'exécution de vues enregistrées et l'envoi d'alertes et de digests ; l'application de permissions granulaires jusqu'à une table, un dossier, un fichier, une ligne ou une colonne ; le maintien d'une fenêtre d'annulation de 30 minutes sur les modifications récentes ; et la conservation des fichiers et dossiers supprimés dans une corbeille pendant 30 jours, afin qu'ils puissent être restaurés. Filetable traite également les Données personnelles du Client pour sécuriser le service, le facturer et assister le Client.

Décision automatisée. L'extraction produit une suggestion. Les valeurs extraites sont inscrites dans les tables du Client en tant que valeurs de provenance IA, qu'une personne peut voir, corriger et écraser, et le Client décide de ce qui en découle, le cas échéant. Filetable ne considère donc pas qu'elle procède à une décision automatisée produisant des effets juridiques ou des effets similairement significatifs au sens de l'art. 22 RGPD. Si un Client construit un processus dans lequel une valeur extraite déclenche effectivement une telle décision sans examen humain, cette décision est celle du Client, et il incombe au Client d'en faire l'analyse au regard de l'art. 22 et de mettre en place les garanties exigées par l'art. 22(3).

Types de données personnelles. Le Client décide de ce qu'il téléverse ; Filetable ne peut donc pas énumérer les catégories de manière exhaustive. Filetable est vendue à des équipes finance, comptabilité, RH et back-office, et, en pratique, les documents qui y sont versés comprennent des factures fournisseurs et clients, des fichiers de salaires, des contrats de travail et autres contrats, des relevés bancaires et des fichiers de comptes camt.053, des notes de frais et des factures médicales. Les Données personnelles du Client comprennent donc typiquement des données d'identification et de contact, des données d'emploi et de rémunération, des données de comptes et de transactions financières, ainsi que tout autre contenu que le Client choisit de téléverser — et, dans le cas des factures médicales et de certains dossiers RH, des données révélant l'état de santé, qui constituent une catégorie particulière au sens de l'art. 9(1) RGPD et des données sensibles au sens de l'art. 5 let. c LPD. Filetable traite en outre les données de compte des utilisateurs du Client (nom, adresse e-mail, rôle et permissions dans l'espace de travail) ainsi que les identifiants d'espace de travail et d'utilisateur utilisés pour la journalisation de sécurité.

Catégories de personnes concernées. Les employés, mandataires et utilisateurs de l'espace de travail du Client ; ses clients ; ses fournisseurs et leur personnel ; et toute autre personne nommée dans un document téléversé par le Client ou dans des données importées par lui.

Garantie du Client sur les catégories particulières. Filetable ne choisit pas de traiter des données de catégories particulières. Elle traite les documents que ses clients téléversent, qui peuvent contenir de telles données. Le Client garantit qu'il dispose d'une base légale au sens de l'art. 6 RGPD et d'une condition au sens de l'art. 9(2) RGPD — ou du motif justificatif correspondant au sens des art. 30 et 31 LPD — pour chaque catégorie de données personnelles qu'il verse dans son espace de travail, y compris les catégories particulières, et qu'il a fourni à ses personnes concernées les informations exigées par l'art. 13 ou 14 RGPD et par l'art. 19 LPD, y compris au sujet de Filetable en tant que destinataire et des sous-traitants ultérieurs figurant sur la liste des sous-traitants ultérieurs (annexe 2).

Filetable ne traite les Données personnelles du Client que sur instructions documentées du Client, y compris s'agissant des transferts vers un pays tiers. Les instructions documentées du Client sont :

• les Conditions d'utilisation ;
• le présent DPA, annexes comprises ;
• la configuration et l'usage du service par le Client — chaque table que le Client crée, chaque colonne et chaque prompt d'extraction qu'il définit, chaque permission qu'il accorde, chaque automatisation, alerte ou générateur de documents qu'il active, et chaque fichier que lui ou ses utilisateurs téléversent ou envoient par e-mail. Utiliser une fonctionnalité constitue une instruction d'effectuer le traitement que cette fonctionnalité réalise ;
• les demandes d'assistance soumises par le Client, ainsi que toute autre instruction écrite convenue entre les parties.

Filetable ne traite les Données personnelles du Client à aucune autre fin. En particulier, les documents du Client et les données qui en sont extraites ne sont jamais utilisés pour entraîner ou affiner un modèle d'apprentissage automatique, qu'il soit celui de Filetable ou celui d'un sous-traitant ultérieur : Filetable ne recourt à un fournisseur d'IA qu'en vertu d'un contrat qui lui interdit d'utiliser les Données personnelles du Client pour entraîner ou améliorer ses modèles.

Mesure d'audience du produit. Filetable prévoit d'introduire une mesure d'audience du produit ; elle n'est pas active. Lorsqu'elle sera activée, il s'agira d'un traitement propre à Filetable en qualité de responsable du traitement, fondé sur son intérêt légitime à comprendre l'utilisation du service et à l'améliorer. Ce traitement n'est pas effectué pour le compte du Client, ne relève pas des instructions du Client visées par la présente section et sort du champ du présent DPA. La mesure sera collectée uniquement côté serveur, au moyen d'identifiants pseudonymes d'utilisateur et d'espace de travail, et n'inclura ni le contenu des documents, ni les noms de fichiers, ni les adresses e-mail. Il n'existe aucun enregistrement de session de l'application. De manière générale, les règles internes de journalisation de Filetable interdisent de journaliser le contenu des documents, les prompts et réponses des modèles, les noms de fichiers ou de dossiers et les adresses e-mail, et imposent des identifiants à la place. La surveillance technique repose sur une infrastructure exploitée par Filetable et ne fait intervenir aucun prestataire tiers.

Instructions contraires au droit. Si Filetable estime qu'une instruction viole le Droit applicable en matière de protection des données, elle en informe le Client sans retard injustifié et peut suspendre la partie concernée du traitement jusqu'à ce que l'instruction soit retirée, confirmée ou modifiée. Filetable n'est pas tenue de procéder à un examen juridique des instructions du Client.

Traitement imposé par la loi. Si le droit de l'Union, le droit d'un État membre ou le droit suisse impose à Filetable de traiter des Données personnelles du Client autrement que sur instruction du Client, Filetable informe le Client de cette exigence légale avant le traitement, sauf si la loi interdit cette information pour des motifs importants d'intérêt public. Filetable ne divulguera pas de Données personnelles du Client à une autorité publique à moins d'y être contrainte par une décision contraignante, licite et exécutoire ; elle contestera une décision manifestement illicite ou d'une portée excessive ; et elle ne divulguera que le strict minimum exigé par la décision.

Filetable veille à ce que toute personne autorisée à traiter des Données personnelles du Client — employés, mandataires et administrateurs — se soit engagée par écrit à la confidentialité, dans son contrat de travail ou de mandat, ou soit soumise à une obligation légale appropriée de confidentialité. Cet engagement survit à la fin de la relation.

L'accès est accordé selon le principe du besoin d'en connaître, réexaminé lorsque le rôle d'une personne change et supprimé à la fin de sa relation. Le personnel reçoit une instruction en matière de protection des données et de sécurité adaptée à son rôle, et il est informé que les documents du Client ne peuvent être consultés que lorsqu'une tâche d'assistance l'exige.

L'accès du support à un espace de travail du Client requiert une autorisation spécifique. Une session d'accès doit être ouverte ; elle est enregistrée comme événement de sécurité avec l'identité du collaborateur, et chaque action entreprise pendant cette session est enregistrée et rattachée à celle-ci. Ces enregistrements sont conservés 24 mois.

Filetable est également liée par toute obligation légale ou contractuelle de confidentialité qui s'applique aux données du Client et que le Client lui a signalée, comme l'exige l'art. 9(2) LPD. Le Client doit indiquer à Filetable, avant tout téléversement, si ses données sont soumises à un régime de secret professionnel — par exemple le secret médical ou le secret professionnel de l'avocat — car cela peut nécessiter des dispositions supplémentaires et, dans certains cas, rendre la délégation illicite sans une levée spécifique.

Filetable met en œuvre les mesures techniques et organisationnelles exposées à l'annexe 3, conçues pour satisfaire à l'art. 32 RGPD et à l'art. 8 LPD ainsi qu'aux art. 1 à 6 OPDo. L'annexe 3 décrit ces mesures, notamment des clés de chiffrement AES-256-GCM par fichier, le chiffrement côté client des téléversements depuis le navigateur, TLS 1.2 ou 1.3 en transit, une liaison TLS vers la base de données avec vérification de certificat, des sauvegardes chiffrées de la base de données conservées dans la même région suisse, un stockage des documents redondant entre zones au sein de la région de Zurich, un contrôle d'accès basé sur les rôles combiné à des permissions granulaires par objet, ainsi qu'un accès du support soumis à permission et intégralement journalisé.

Filetable peut faire évoluer ces mesures dans le temps. Elle n'apportera aucune modification réduisant sensiblement le niveau global de sécurité du service. Lorsqu'une mesure est remplacée, la mesure de remplacement est au moins équivalente.

Filetable ne dispose pas à ce jour de certification SOC 2 ou ISO/CEI 27001 et prévoit d'engager une démarche de certification à mesure que l'entreprise se développe. Filetable tient à jour un questionnaire de sécurité et une documentation d'appui qu'elle remplira pour un Client au titre de la section 11, et elle informera le Client si et quand elle obtient une certification.

Le Client est responsable des décisions de sécurité que le produit met entre ses mains : qui il invite dans son espace de travail, quel rôle et quelles permissions par objet il lui accorde, quels expéditeurs il autorise à écrire à son adresse e-mail entrante, s'il active la génération de documents et les alertes, et comment il protège les identifiants de ses utilisateurs. L'efficacité du modèle d'autorisations dépend de la configuration choisie par le Client.

Autorisation générale écrite. Le Client donne à Filetable une autorisation générale écrite de recourir aux sous-traitants ultérieurs figurant sur la liste des sous-traitants ultérieurs publiée à /legal/subprocessors (la « Liste »), qui constitue l'annexe 2 du présent DPA telle que mise à jour conformément à la présente section. L'art. 9(3) LPD exige l'accord préalable du responsable du traitement pour la sous-traitance ultérieure et admet que cet accord soit général, pour autant que le sous-traitant informe le responsable du traitement des changements envisagés ; l'art. 28(2) RGPD va dans le même sens. La présente section constitue cet accord général préalable.

La Liste. Pour chaque sous-traitant ultérieur, la Liste indique son entité juridique, son rôle, les pays dans lesquels il peut traiter des Données personnelles du Client et la garantie de transfert applicable. Le Client approuve les sous-traitants ultérieurs figurant sur la Liste à la date d'effet du présent DPA en acceptant celui-ci. Chaque modification de la Liste est datée et consignée dans l'historique des modifications de la Liste.

Fournisseurs d'IA. Filetable recourt à un ou plusieurs des fournisseurs d'IA figurant sur la Liste pour reconnaître le texte, extraire, classer et rapprocher des données, et calculer les représentations utilisées pour la recherche. Filetable choisit le fournisseur et le modèle de chaque tâche, peut confier toute tâche à n'importe quel fournisseur d'IA de la Liste et peut modifier ces choix à tout moment sans préavis, pour autant que le fournisseur figure sur la Liste et soit lié par des obligations au moins aussi protectrices que le présent DPA. La répartition des traitements entre des sous-traitants ultérieurs figurant déjà sur la Liste ne constitue ni un ajout ni un remplacement au sens de la présente section. La Liste n'indique pas quel fournisseur exécute quelle tâche ; Filetable communique cette information à titre confidentiel lorsqu'elle est nécessaire à un audit au sens de la section 11 ou demandée par une autorité de contrôle.

Information des changements. Avant d'ajouter un sous-traitant ultérieur ou d'en remplacer un, Filetable en informe le Client au moins 30 jours à l'avance, par e-mail aux contacts administratifs de l'espace de travail et par une mise à jour datée de la Liste. L'information indique le nom du sous-traitant ultérieur, son rôle, les pays dans lesquels il peut traiter des Données personnelles du Client et son entité juridique.

Droit d'opposition. Le Client peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables de protection des données, en écrivant à privacy@filetable.com dans le délai d'information de 30 jours et en exposant ces motifs. Les parties discutent de l'opposition de bonne foi. Filetable s'efforce d'apporter une modification qui y réponde — par exemple en maintenant le traitement concerné chez un sous-traitant ultérieur existant, ou en proposant une configuration dans laquelle le nouveau sous-traitant ultérieur n'est pas utilisé. Si aucune solution raisonnable n'est possible dans les 30 jours suivant l'opposition, le Client peut résilier le service concerné par notification écrite, avec remboursement au prorata des frais payés d'avance pour la partie restante non utilisée de la période. Il s'agit du seul remède du Client en cas d'opposition.

Remplacement en urgence. Si un sous-traitant ultérieur doit être remplacé en urgence pour des motifs de sécurité, juridiques ou de disponibilité, Filetable peut le faire immédiatement et en informera le Client dès que possible après coup. Le droit d'opposition s'applique alors à compter de la date de cette information.

Conditions et responsabilité. Filetable conclut avec chaque sous-traitant ultérieur un contrat écrit imposant des obligations de protection des données qui ne sont, en substance, pas moins protectrices que celles du présent DPA, et en particulier les obligations de l'art. 28(3) RGPD dans la mesure où elles sont pertinentes pour le rôle du sous-traitant ultérieur. Chaque contrat conclu avec un fournisseur d'IA lui interdit d'utiliser les Données personnelles du Client pour entraîner ou améliorer ses modèles. Filetable demeure pleinement responsable envers le Client de l'exécution des obligations de chaque sous-traitant ultérieur.

Stripe. Pour les clients hors de Suisse, les paiements passent par Stripe Managed Payments, où Stripe est le vendeur (merchant of record) — Stripe est le vendeur et prend en charge les impôts indirects. Pour les clients suisses, Filetable est le vendeur et Stripe agit comme prestataire de services de paiement. Dans les deux configurations, les données personnelles concernées sont des données de facturation et de paiement pour lesquelles Filetable, ou Stripe, agit en qualité de responsable du traitement — et non des Données personnelles du Client au sens du présent DPA. Stripe figure sur la Liste par souci d'exhaustivité ; elle ne traite pas les documents du Client.

Les demandes des personnes concernées portant sur les Données personnelles du Client s'adressent au Client, en sa qualité de responsable du traitement. Si une personne concernée s'adresse directement à Filetable avec une demande qui concerne l'espace de travail d'un Client, Filetable n'y répond pas sur le fond. Elle invite la personne concernée à contacter le Client et, lorsqu'elle peut identifier l'espace de travail concerné, elle en informe le Client sans retard injustifié.

Le libre-service d'abord. La plupart des demandes portant sur le contenu de l'espace de travail peuvent être traitées par le Client lui-même, sans intervention de Filetable, au moyen des outils déjà présents dans le produit :

• Accès et portabilité. Les données des tables peuvent être exportées depuis n'importe quelle vue, et les fichiers d'origine peuvent être téléchargés depuis le drive. Une copie des données du compte d'un utilisateur — profil, appartenances à des espaces de travail et historique d'activité — est fournie sur demande adressée à privacy@filetable.com, sous la forme d'un fichier structuré, couramment utilisé et lisible par machine : la copie prévue à l'art. 15(3) et le format portable de l'art. 20, ainsi que les droits correspondants des art. 25 et 28 LPD.
• Rectification. Toute cellule, ligne ou document peut être corrigé dans le produit par un utilisateur disposant de la permission de l'éditer — art. 16 RGPD, art. 32(1) LPD.
• Effacement. La suppression d'une ligne ou d'une table la retire de l'espace de travail. Un fichier ou un dossier supprimé est placé dans la corbeille de l'espace de travail et supprimé définitivement après 30 jours, ou plus tôt lorsqu'un utilisateur le supprime définitivement de la corbeille (section 10). Le compte d'un utilisateur est supprimé sur demande adressée à privacy@filetable.com ; la suppression est irréversible. L'effacement d'un compte est mis en œuvre sous forme d'anonymisation : le nom et l'adresse e-mail sont détruits, et un condensé poivré (peppered digest) de l'adresse e-mail est conservé afin qu'une liste de suppression puisse fonctionner sans conserver l'adresse elle-même.
• Limitation et opposition. L'accès à une table, un dossier, un fichier, une ligne ou une colonne peut être restreint par le modèle de permissions granulaires, et le traitement d'un document peut être arrêté en le supprimant.

Lorsque le libre-service ne suffit pas, Filetable fournit une assistance raisonnable par des mesures techniques et organisationnelles appropriées, compte tenu de la nature du traitement et des informations dont elle dispose, afin que le Client puisse s'acquitter de ses obligations au titre du chapitre III du RGPD et des art. 25 à 28 et 32 LPD. Le Client adresse ces demandes à privacy@filetable.com en identifiant l'espace de travail et, lorsqu'il le peut, les enregistrements concernés. Filetable répond dans un délai laissant au Client le temps de respecter son propre délai légal, et en tout état de cause dans les 10 jours ouvrables suivant une demande complète.

Une assistance qui dépasse ce que les outils du produit permettent, et ce qui est raisonnablement proportionné, peut être facturée aux tarifs de prestations de services alors en vigueur chez Filetable, annoncés à l'avance.

Filetable assiste le Client dans le respect des art. 32 à 36 RGPD, ainsi que des art. 8, 22, 23 et 24 LPD, compte tenu de la nature du traitement et des informations dont elle dispose.

Notification des violations. Si Filetable a connaissance d'une violation de données personnelles affectant des Données personnelles du Client, elle en informe le Client sans retard injustifié. Cela correspond à l'obligation du sous-traitant au sens de l'article 33(2) RGPD. Le délai de 72 heures de l'article 33(1) RGPD s'applique au Client en tant que responsable du traitement ; Filetable lui fournit les informations nécessaires en temps utile pour le respecter.

Une notification décrit, dans la mesure de ce qui est connu à ce moment-là : la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; les conséquences probables ; les mesures prises ou proposées pour y remédier et en atténuer les effets ; et un point de contact pour toute information complémentaire. Filetable complète la notification au fur et à mesure de son investigation, plutôt que de retarder la première information jusqu'à ce que tout soit connu. Filetable ne notifiera pas une autorité de contrôle ni les personnes concernées au sujet d'une violation pour le compte du Client, sauf instruction de ce dernier.

La situation suisse. Selon l'art. 24 LPD, un responsable du traitement suisse doit annoncer « dans les meilleurs délais » au PFPDT toute violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Il s'agit d'un seuil et d'une formulation différents de ceux du RGPD — un seuil de risque élevé plutôt qu'un seuil de risque, et aucun délai fixe. Lorsque Filetable agit comme sous-traitant d'un responsable du traitement suisse, l'art. 24(3) LPD lui impose d'annoncer une violation au responsable du traitement dans les meilleurs délais ; elle le fera selon le même standard « sans retard injustifié » exposé ci-dessus, et il appartient au Client de décider si le seuil de l'annonce au PFPDT est atteint.

Analyses d'impact et consultation préalable. Sur demande, Filetable fournit les informations raisonnablement disponibles pour aider le Client à réaliser une analyse d'impact relative à la protection des données au sens de l'art. 35 RGPD ou de l'art. 22 LPD, et à mener toute consultation préalable au sens de l'art. 36 RGPD ou de l'art. 23 LPD. Les annexes 1, 2 et 3 du présent DPA sont conçues pour fournir l'essentiel de ce dont une telle analyse a besoin.

Registre. Filetable tient un registre des catégories de traitements qu'elle effectue pour le compte de responsables du traitement, comme l'exigent l'art. 30(2) RGPD et l'art. 12(2) let. b LPD. Filetable ne se prévaut pas de l'exception prévue pour les petites et moyennes entreprises à l'article 24 OPDo, ses traitements pouvant porter sur des données sensibles à grande échelle. Un extrait du registre pertinent pour le Client est disponible au titre de la section 11.

Au choix du Client, Filetable supprime ou restitue les Données personnelles du Client au terme de la fourniture des services, et supprime les copies existantes, sauf si la loi impose de les conserver.

Restitution. Le Client peut exporter ses données lui-même à tout moment tant qu'il a accès à son espace de travail : les exports de tables par vue, et le téléchargement des fichiers d'origine depuis le drive. Les données du compte d'un utilisateur sont fournies sur demande (section 8). La résiliation d'un plan payant ne met pas fin à cet accès : à la fin de la période de facturation, l'espace de travail passe au plan gratuit Basic et son contenu reste disponible jusqu'à ce que le Client le supprime. Filetable produira également, sur demande écrite formulée avant la suppression des Données personnelles du Client, un export global des documents et des données de tables d'un espace de travail dans un format couramment utilisé et lisible par machine ; les travaux allant au-delà d'un export simple peuvent être facturés aux tarifs de prestations de services de Filetable, convenus à l'avance.

Effacement. Sauf demande de restitution du Client, Filetable retire les Données personnelles du Client des systèmes actifs dans les 30 jours suivant la fin du contrat, la demande du Client ou la suppression de son espace de travail par le Client.

Pendant la durée du contrat, les fichiers, dossiers et dossiers virtuels supprimés du drive sont placés dans la corbeille de l'espace de travail, d'où ils peuvent être restaurés pendant 30 jours. Ils sont supprimés définitivement à l'expiration de ce délai, ou plus tôt lorsqu'un utilisateur les supprime définitivement ou vide la corbeille. La suppression définitive retire de l'espace de travail les fichiers, les dossiers et leurs emplacements. Les lignes extraites d'un fichier supprimé demeurent dans leurs tables, sauf si l'utilisateur choisit de les supprimer lors de la suppression définitive du fichier, et l'historique des téléversements et des réceptions de l'espace de travail conserve une trace de chaque arrivée, avec le nom sous lequel le fichier est arrivé, marquée comme supprimée. La suppression d'une ligne ou d'une table est appliquée immédiatement aux systèmes actifs, sous réserve de la fenêtre d'annulation de 30 minutes sur les modifications récentes. La corbeille d'un espace de travail est supprimée avec celui-ci.

Sauvegardes. La base de données de l'application est sauvegardée par le service de base de données managée de l'hébergeur de Filetable. Ses sauvegardes sont conservées 35 jours dans la même région et ne sont pas modifiées élément par élément ; les données supprimées de la base de données y subsistent donc jusqu'à leur expiration. Les documents ne font pas l'objet de sauvegardes : ils sont conservés dans un stockage redondant entre trois zones de disponibilité de la région de Zurich, et le contenu d'un fichier supprimé ou remplacé dans le stockage reste récupérable pendant 7 jours au moyen de la fonction de suppression réversible (soft delete) du service de stockage. Filetable ne restaure pas dans les systèmes actifs des Données personnelles du Client supprimées, sauf dans le cadre d'une restauration de reprise après sinistre ; si une telle restauration réintroduit des données qui avaient été supprimées, Filetable applique à nouveau la suppression avant que ces données ne soient utilisées.

Ce que Filetable conserve, et pourquoi. Deux catégories étroites survivent à la suppression :

• Les pièces comptables et de facturation, pendant 10 ans, parce que l'art. 958f du Code des obligations impose de conserver dix ans les livres, les pièces comptables et le rapport de gestion. Cela couvre les factures, les enregistrements d'abonnement et d'usage ainsi que les événements de paiement — et non les documents téléversés par le Client.
• Les enregistrements dont le droit de la protection des données lui-même impose la conservation. Les événements de sécurité et d'audit sont conservés 12 mois, ce qui satisfait à la durée minimale d'un an exigée par l'article 4 OPDo. Les enregistrements prouvant qu'une demande d'une personne concernée a été reçue et honorée sont conservés 10 ans au titre du principe de responsabilité de l'art. 5(2) RGPD. Les enregistrements de traitement assisté par IA sont conservés au moins 6 mois, plancher fixé par l'art. 26(6) du règlement européen sur l'IA.

Ces enregistrements conservés reposent sur des identifiants et non sur du contenu : ils contiennent des identifiants d'espace de travail, d'utilisateur et d'objet, pas de contenu documentaire. Filetable continue de les protéger au titre du présent DPA et ne les traite à aucune autre fin que celle qui en justifie la conservation.

Autres durées de conservation : les journaux d'infrastructure bruts susceptibles de contenir des adresses IP sont conservés 30 jours ; l'historique d'exécution des workflows 3 jours ; l'état de travail d'extraction 60 minutes après la fin d'une exécution ; les instantanés d'annulation 30 minutes (jusqu'à 24 heures tant qu'un playbook reste inachevé) ; les fichiers et dossiers supprimés 30 jours dans la corbeille ; les brouillons d'import tabulaire mis en attente 14 jours ; les exports générés 24 heures ; les réponses brutes du modèle, conservées à des fins de dépannage, 30 jours ou jusqu'à la suppression du document ; et les e-mails entrants que le système a refusés ou n'a pas pu traiter 90 jours. Les e-mails acceptés par le système sont des données du Client et subsistent aussi longtemps que le Client les conserve.

Filetable met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'art. 28 RGPD et de l'art. 9 LPD, et permet la réalisation d'audits, y compris d'inspections, par le Client ou par un auditeur qu'il mandate, et y contribue.

Filetable ne dispose pas à ce jour de rapport SOC 2 ou ISO/CEI 27001. Elle s'acquitte de cette obligation comme suit :

• Documentation. Sur demande, Filetable fournit sa documentation de sécurité : les mesures de l'annexe 3 dans leur détail opérationnel, la description de son architecture et de ses flux de données, sa liste de sous-traitants ultérieurs et l'extrait pertinent de son registre au sens de l'art. 30(2) RGPD.
• Questionnaire écrit. Filetable remplit le questionnaire de sécurité et de protection des données propre au Client une fois par période de douze mois, dans les 30 jours suivant sa réception, et répond aux questions complémentaires raisonnables portant sur ses réponses.
• Inspection sur site ou à distance. Si la documentation et le questionnaire ne répondent pas à la question du Client, celui-ci peut auditer les locaux et les systèmes de Filetable, moyennant un préavis écrit d'au moins 30 jours, pendant les heures ouvrables, d'une manière qui ne perturbe ni les opérations de Filetable ni la confidentialité des données des autres clients. Un audit a lieu au plus une fois par période de douze mois et est aux frais du Client. Ces deux limites tombent lorsque le Client dispose de motifs raisonnables et précis de croire que Filetable viole le présent DPA, ou à la suite d'une violation de données personnelles affectant les données du Client, ou encore lorsqu'une autorité de contrôle exige un audit.

Un auditeur doit être indépendant des concurrents de Filetable, doit signer un engagement de confidentialité à des conditions raisonnables avant de commencer, et ne peut accéder ni aux données d'un autre client, ni aux informations commerciales propres à Filetable, ni à des identifiants d'accès. Filetable remédie à un constat matériel confirmé à ses propres frais et dans un délai raisonnable convenu avec le Client.

Rien dans la présente section ne limite les pouvoirs propres d'une autorité de contrôle, ni l'obligation du Client de coopérer avec elle.

Stockage en Suisse. Les documents du Client et la base de données de l'application, avec ses sauvegardes, sont stockés en Suisse, chez Microsoft Azure (région de Zurich) ; les documents sont répliqués sur trois zones de disponibilité de cette région. Les e-mails transactionnels sont envoyés depuis la Suisse (région de Zurich).

Traitement par les sous-traitants ultérieurs. Les Données personnelles du Client peuvent par ailleurs être traitées par les sous-traitants ultérieurs figurant sur la Liste (annexe 2), dans les pays qui y sont indiqués pour chacun : la Suisse, l'UE/EEE, les États-Unis et d'autres pays où ils opèrent. Filetable privilégie actuellement un traitement en Europe lorsque le fournisseur le propose ; il s'agit d'une pratique de Filetable, et non d'un engagement quant au lieu du traitement.

Complétion d'adresses. Le texte qu'un utilisateur saisit dans un champ d'adresse et, lors de l'extraction, les adresses lues dans les documents et inscrites dans des colonnes d'adresse sont transmis depuis les serveurs de Filetable au fournisseur de complétion d'adresses figurant sur la Liste, sauf si la complétion automatique est désactivée pour la colonne concernée. Le nom imprimé avec une adresse extraite est retiré de la requête lorsque l'extraction l'a identifié comme celui du destinataire ; à défaut, il peut faire partie de l'adresse transmise. Ces données peuvent être traitées hors de l'EEE, y compris aux États-Unis.

La correspondance de support — les messages que les utilisateurs du Client adressent aux adresses e-mail de Filetable, avec leurs pièces jointes — est hébergée par le fournisseur de messagerie de Filetable figurant sur la Liste, dont l'infrastructure peut inclure des localisations hors de l'EEE, y compris les États-Unis.

Pour les responsables du traitement suisses. Les transferts de la Suisse vers l'EEE ne nécessitent aucune garantie supplémentaire, les États de l'EEE figurant sur la liste des États offrant une protection adéquate établie par le Conseil fédéral en vertu de l'article 16(1) LPD et de l'annexe 1 de l'ordonnance sur la protection des données (OPDo).

Pour les responsables du traitement de l'UE et de l'EEE. Le stockage et la base de données sont situés en Suisse, qui bénéficie d'une décision d'adéquation de la Commission européenne, confirmée en dernier lieu le 15 janvier 2024. Les transferts de l'EEE vers Filetable en Suisse ne nécessitent donc aucune garantie supplémentaire.

Transferts ultérieurs. Lorsqu'un sous-traitant ultérieur peut traiter des Données personnelles du Client hors de Suisse et de l'EEE, ou lorsque sa société mère est établie aux États-Unis, Filetable s'appuie sur le Swiss–U.S. et l'EU–U.S. Data Privacy Framework pour les destinataires certifiés et, à défaut, sur le mécanisme de transfert de ce sous-traitant au sens de l'article 46 RGPD et de l'article 16(2) LPD, en règle générale les clauses contractuelles types de la Commission européenne assorties des adaptations reconnues par le PFPDT pour les transferts depuis la Suisse. La Liste indique la garantie applicable à chaque sous-traitant ultérieur ; Filetable communique le mécanisme pertinent sur demande.

Clauses contractuelles types sur demande. Lorsque la propre analyse du Client exige la conclusion de clauses contractuelles types entre le Client et Filetable, Filetable conclut sur demande les clauses contractuelles types de 2021 (module 2 ou module 3, selon le cas). Elles priment le présent DPA en cas de contradiction.

Représentant dans l'UE. Filetable désignera un représentant au sens de l'article 27 RGPD avant de proposer ses services à des clients établis dans l'UE, et publiera ses coordonnées dans sa Politique de confidentialité et dans le présent DPA.

Ordre de priorité. En cas de contradiction entre documents, l'ordre suivant s'applique, du plus élevé au moins élevé : (1) toutes clauses contractuelles types conclues entre les parties ; (2) le présent DPA ; (3) les Conditions d'utilisation ; (4) tout autre document auquel ceux-ci renvoient. Le présent DPA prime les Conditions d'utilisation sur toute question de protection des données.

Responsabilité. La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par les Conditions d'utilisation, et les deux documents sont traités comme un seul accord aux fins de tout plafond de responsabilité. Rien dans le présent DPA ne limite la responsabilité d'une partie là où la loi ne permet pas de la limiter — en particulier, rien dans le présent DPA n'affecte les droits d'une personne concernée au titre de l'art. 82 RGPD ou de l'art. 32(2) LPD, ni la responsabilité d'une partie envers une autorité de contrôle.

Modifications du présent DPA. Filetable peut modifier le présent DPA lorsqu'une modification est requise par un changement du Droit applicable en matière de protection des données, par une décision d'une autorité de contrôle ou d'un tribunal, ou par une évolution du service affectant le traitement. Filetable annonce toute modification substantielle au moins 30 jours à l'avance. Si la modification réduit sensiblement la protection dont le Client bénéficie au titre du présent DPA et que le Client s'y oppose par écrit dans ce délai, les parties en discutent de bonne foi ; à défaut d'accord, le Client peut résilier l'abonnement concerné avec remboursement des frais payés d'avance pour la partie restante non utilisée de la période. Les changements de la liste des sous-traitants ultérieurs relèvent de la section 7 et non de la présente section.

Survie. Les sections 5, 9, 10, 11 et 13 survivent à la fin des Conditions d'utilisation aussi longtemps que Filetable détient des Données personnelles du Client.

Droit applicable et for. Le présent DPA est régi par le droit matériel suisse, à l'exclusion de ses règles de conflit de lois et de la Convention de Vienne sur les contrats de vente internationale de marchandises. Les tribunaux de Genève, Suisse, sont exclusivement compétents, sous réserve de tout for impératif que le droit applicable confère à une partie. Lorsque le RGPD s'applique aux traitements du Client, ce choix de droit ne prive aucune personne concernée de la protection des règles impératives du droit qui serait autrement applicable.

La présente annexe constitue la description du traitement que l'art. 28(3) RGPD exige de faire figurer dans le DPA ; elle constitue également la description que Filetable fournit pour aider un Client à établir son propre registre au sens de l'art. 30(1) RGPD ainsi que toute analyse d'impact au sens de l'art. 35 RGPD ou de l'art. 22 LPD.

L'annexe 2 est la liste des sous-traitants ultérieurs publiée à /legal/subprocessors, telle que mise à jour conformément à la section 7. Pour chaque sous-traitant ultérieur, elle indique l'entité juridique, son rôle, les pays dans lesquels il peut traiter des Données personnelles du Client et la garantie de transfert applicable, et elle conserve un historique daté de ses modifications. Filetable fournit sur demande adressée à privacy@filetable.com une copie de la Liste telle qu'elle se présentait à une date donnée.

Stripe ne traite ni les documents du Client ni les données extraites. Elle traite des données de facturation et de paiement et, dans le cadre de Stripe Managed Payments (utilisé pour les clients hors de Suisse), agit en tant que vendeur (merchant of record) et responsable du traitement distinct.

Le fournisseur de messagerie de Filetable figure sur la Liste parce que les demandes de support, qui peuvent contenir des Données personnelles du Client, parviennent à Filetable par e-mail (sections 3 et 4).

La surveillance technique de Filetable repose sur une infrastructure exploitée par Filetable et ne fait intervenir aucun prestataire tiers.

Filetable met en œuvre les mesures techniques et organisationnelles suivantes.

Chiffrement des documents des clients. Chaque fichier reçoit sa propre clé de 256 bits et est chiffré en AES-256-GCM. Les clés sont scellées séparément et ne sont jamais partagées entre fichiers ni entre clients : la compromission de la clé d'un fichier ne s'étend donc à aucun autre fichier ni à aucun autre client. Les fichiers téléversés depuis un navigateur sont chiffrés côté client, avant que le moindre octet n'atteigne le stockage. Les fichiers qui arrivent autrement — par l'adresse e-mail entrante de l'espace de travail, ou générés par le produit à partir de données de lignes — sont chiffrés côté serveur avant d'être écrits dans le stockage.

Chiffrement en transit et au repos. TLS 1.2 ou 1.3 pour toutes les connexions au service. Les données au repos sont chiffrées en AES-256 par l'hébergeur, tant pour le stockage des fichiers que pour la base de données. L'application se connecte à la base de données via TLS avec vérification du certificat ; la connexion est refusée si le certificat ne peut pas être vérifié. Les sauvegardes de la base de données sont chiffrées et conservées dans la même région suisse que la base de données.

Contrôle d'accès. Contrôle d'accès basé sur les rôles par espace de travail, complété par des permissions granulaires par objet allant jusqu'à une table, un dossier, un fichier, une ligne ou une colonne. Chaque identifiant fourni par un utilisateur est vérifié par rapport au périmètre de l'espace de travail avant d'être utilisé, afin d'empêcher l'accès aux objets d'un autre espace de travail. L'authentification utilise des cookies de session ; les rôles et permissions sont vérifiés côté serveur à chaque requête, et non dans le navigateur.

Accès du support. L'accès à un espace de travail d'un Client est soumis à permission, doit être ouvert sous forme de session enregistrée et est journalisé du début à la fin, chaque action à l'intérieur de la session étant rattachée au collaborateur qui l'a effectuée. Ces enregistrements sont conservés 24 mois et sont conservés même en cas d'effacement d'un compte utilisateur.

Journalisation et audit. Les événements de sécurité — authentification, changements de permissions, accès du support, traitement des demandes des personnes concernées — sont écrits dans un magasin d'audit en ajout seul, dans la même transaction de base de données que l'action qu'ils enregistrent : une action ne peut donc pas être validée sans sa ligne d'audit. Ils sont conservés 12 mois, ce qui satisfait au plancher « au moins un an » de l'art. 4 OPDo. Les règles de journalisation de Filetable interdisent de journaliser le contenu des documents, les prompts et réponses des modèles, les noms de fichiers ou de dossiers et les adresses e-mail ; les journaux portent des identifiants à la place, et cette règle est contrôlée automatiquement.

Traitement par IA. Les documents des clients ne sont jamais utilisés pour entraîner ou affiner un modèle. Les contrats avec les fournisseurs d'IA leur interdisent d'utiliser les Données personnelles du Client pour entraîner leurs modèles. L'extraction produit des suggestions marquées et révisables, et non des décisions définitives.

Résilience et reprise. Un service de base de données managée avec des sauvegardes conservées 35 jours dans la région suisse. Les documents ne font pas l'objet de sauvegardes : ils sont conservés dans un stockage redondant entre trois zones de disponibilité de la région de Zurich, et un fichier supprimé ou écrasé reste récupérable pendant 7 jours grâce à la suppression réversible (soft delete) du service de stockage. Si une restauration réintroduit des données précédemment supprimées, la suppression est appliquée à nouveau avant que ces données ne soient utilisées.

Développement et gestion des changements. Les modifications de code passent par une revue avant fusion, avec vérification de types automatisée, tests unitaires et tests d'intégration adossés à la base de données. Les règles d'autorisation et de conservation des données disposent de leur propre couverture de tests : une modification qui réduirait une durée de conservation ou élargirait un périmètre d'accès est détectée avant sa mise en production.

Mesures organisationnelles. Obligations de confidentialité écrites pour tout le personnel, survivant à la fin de la relation. Accès selon le besoin d'en connaître, réexaminé en cas de changement de rôle et supprimé au départ. Instruction en matière de protection des données et de sécurité adaptée au rôle. Un programme de divulgation responsable à security@filetable.com, avec accusé de réception des signalements dans les 24 heures.

Certification. Filetable ne dispose pas à ce jour de certification SOC 2 ou ISO/CEI 27001 et prévoit d'engager une démarche de certification à mesure que l'entreprise se développe. Les clients seront informés de l'obtention d'une certification.