Contrat de sous-traitance

Préambule

Le présent contrat (le « Contrat ») fait partie des conditions générales d'utilisation et de vente de Maijin Shield (les « CG »). Il règle le traitement de données personnelles que Maijin Sàrl effectue pour le compte de ses clients lorsqu'ils utilisent le service, conformément à l'art. 9 de la loi fédérale sur la protection des données du 25 septembre 2020 (nLPD, RS 235.1) et à l'art. 7 de l'ordonnance sur la protection des données du 31 août 2022 (OPDo, RS 235.11). Lorsque le Client est soumis au règlement (UE) 2016/679 (RGPD), le Contrat tient lieu de contrat au sens de son art. 28.

Le Contrat est conclu au moment où le Client souscrit une offre payante : la personne qui souscrit (en équipe, un administrateur) l'accepte au nom du Client, en même temps que les CG. Il s'applique aussi, pour la durée de conservation restante, aux documents anonymisés avant la souscription ou après la fin de l'abonnement.

1. Parties et rôles

• Le Client : l'entreprise, l'organisation ou la personne qui souscrit une offre de Maijin Shield, identifiée par la raison sociale et l'adresse de facturation indiquées à la souscription. Pour les données personnelles contenues dans les documents qu'il soumet au service, le Client est responsable du traitement (art. 5, let. j, nLPD).
• Maijin Sàrl, Route de Saint-Julien 184, 1228 Plan-les-Ouates, Suisse, IDE CHE-300.778.667, contact@maijin.ch (« Maijin ») : sous-traitant (art. 5, let. k, nLPD) pour ces mêmes données.

Maijin est en revanche responsable du traitement, en son nom propre, des données nécessaires à la gestion des comptes et de la relation contractuelle (adresses e-mail des utilisateurs, sessions, équipes, facturation, statistiques d'usage sans contenu, journal d'audit, formulaires) ainsi que de la démo sans compte. Ces traitements sont décrits dans sa politique de confidentialité et ne relèvent pas du Contrat.

2. Objet et description du traitement

3. Instructions du Client

1. Maijin traite les données uniquement pour exécuter le service, selon les instructions documentées du Client. Constituent ces instructions : les CG et le Contrat ; l'usage que les utilisateurs du Client font des fonctions du service (dépôt, corrections dans l'aperçu, téléchargement, restitution, effacement) ; les réglages de masquage choisis par les administrateurs de l'équipe (Paramètres) ; toute instruction écrite complémentaire adressée à contact@maijin.ch et acceptée par Maijin.
2. Maijin n'utilise les données pour aucune autre finalité : ni entraînement ou amélioration de modèles, ni profilage, ni revente, ni statistiques portant sur le contenu. Les statistiques d'usage de Maijin ne contiennent que des nombres et des codes (pages, types de données masquées, durées), jamais un contenu, un nom de fichier ni une valeur détectée.
3. Si Maijin estime qu'une instruction viole le droit applicable, il en informe le Client sans délai et peut en suspendre l'exécution jusqu'à confirmation ou modification par le Client.
4. Maijin ne communique les données à un tiers que dans les cas prévus par le Contrat (sous-traitants ultérieurs, section 7) ou lorsqu'une autorité l'y oblige ; dans ce dernier cas, il en informe le Client au préalable, sauf interdiction légale.

4. Durées de conservation

5. Confidentialité

1. Maijin limite l'accès aux systèmes à un nombre restreint de personnes nommément désignées, qui en ont besoin pour exploiter le service, et les soumet par écrit à une obligation de confidentialité qui perdure après la fin de leur engagement. Elles sont informées des sanctions de l'art. 62 nLPD (violation du devoir de discrétion) et, le cas échéant, de l'art. 321 CP.
2. Aucune personne de Maijin ne consulte les tables de correspondance ni le registre des étiquettes d'un client, sauf demande écrite du Client (par exemple pour une assistance) ou obligation légale. Toute consultation de ce type est documentée.
3. Les vraies valeurs ne sont jamais envoyées à un modèle de langage ni renvoyées au navigateur autrement que dans le document restitué à l'utilisateur qui l'a anonymisé.

6. Clients soumis au secret professionnel

1. Lorsque le Client ou ses utilisateurs sont soumis à un secret professionnel protégé par l'art. 321 du Code pénal (notamment médecins, dentistes, chiropraticiens, pharmaciens, psychologues, sages-femmes, infirmiers et autres professions de la santé visées par cette disposition, avocats, notaires) ou par une autre règle de secret (secret de fonction, secret prévu par une loi cantonale sur la santé ou par le droit des assurances sociales), Maijin agit comme auxiliaire du Client pour l'exécution du service, au sens de l'art. 321, ch. 1, CP, dans la mesure où ce statut lui est reconnu.
2. Maijin s'engage à garder le secret sur tous les faits dont il prend connaissance dans ce cadre, à imposer la même obligation, par écrit, aux personnes qui ont accès aux systèmes, et à ne les communiquer à personne d'autre que ses sous-traitants ultérieurs nommés à la section 7, dans les limites du Contrat.
3. Il appartient au Client d'apprécier si le recours au service est compatible avec les règles de secret qui lui sont applicables (y compris le droit cantonal, les règles professionnelles et les éventuelles exigences de consentement ou d'information des personnes concernées), en particulier avant de confier ensuite le document anonymisé à une intelligence artificielle tierce. Maijin ne fournit pas de conseil juridique sur ce point.

7. Sous-traitants ultérieurs

Le Client donne à Maijin une autorisation générale de recourir à des sous-traitants ultérieurs (art. 9, al. 3, nLPD et art. 7 OPDo). À la date du Contrat, les sous-traitants ultérieurs autorisés sont les suivants :

1. Maijin informe le Client par e-mail, à l'adresse des administrateurs de l'équipe, au moins 30 jours à l'avance de tout ajout ou remplacement d'un sous-traitant ultérieur, en indiquant son identité, son pays et les données concernées. Le Client peut s'opposer au changement par écrit pendant ce délai, pour un motif lié à la protection des données. Si aucune solution n'est trouvée, le Client peut résilier son abonnement avec effet à la date du changement et obtenir le remboursement de la période payée non utilisée.
2. Maijin impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du Contrat, et répond envers le Client de leur respect.
3. Pour information : le paiement des abonnements passe par Stripe (Stripe Payments Europe, Ltd., Irlande, et Stripe, LLC, États-Unis). Stripe traite les données de facturation, pour lesquelles Maijin est lui-même responsable du traitement ; il ne reçoit jamais un document ni aucune donnée traitée pour le compte du Client. Stripe n'est donc pas un sous-traitant ultérieur au sens du Contrat.

8. Communication de données à l'étranger

Les données traitées pour le compte du Client sont traitées exclusivement en Suisse. Maijin ne les communique à aucun État étranger. La seule communication à l'étranger liée au service concerne les données de facturation transmises à Stripe (Irlande, État reconnu adéquat par le Conseil fédéral à l'annexe 1 de l'OPDo ; États-Unis, pour Stripe, LLC, certifiée selon le Swiss-U.S. Data Privacy Framework, reconnu adéquat depuis le 15 septembre 2024), décrite dans la politique de confidentialité.

Le Client reste seul responsable de ce qu'il transmet ensuite à une intelligence artificielle tierce, y compris lorsque son fournisseur se trouve à l'étranger. De même, lorsqu'un utilisateur se sert du dépôt par e-mail, la pièce jointe qu'il envoie et la réponse qu'il reçoit (y compris un document restitué avec les vraies valeurs) restent dans sa propre messagerie, qui peut être hébergée hors de Suisse : ce choix relève du Client.

9. Sécurité des données

Maijin met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 1, appropriées au risque, en particulier aux données sensibles (art. 8 nLPD, art. 1 à 4 OPDo). Il peut les faire évoluer, à condition de ne jamais abaisser le niveau de protection.

10. Assistance au Client

1. Droits des personnes concernées (art. 25 à 32 nLPD). Maijin transmet au Client, dans les 5 jours ouvrables, toute demande qu'il reçoit d'une personne concernée au sujet des documents du Client, sans y répondre lui-même. Il assiste le Client pour y répondre, dans la mesure où cela est techniquement possible : les tables de correspondance n'étant lisibles que par l'utilisateur qui a anonymisé le document, c'est cet utilisateur qui consulte, restitue ou efface ses documents depuis « Mes documents ». Un administrateur de l'équipe peut effacer tout document de l'équipe.
2. Analyse d'impact (art. 22 et 23 nLPD). Maijin met à la disposition du Client un dossier d'analyse d'impact décrivant le traitement, ses risques et les mesures prises, et répond à ses questions complémentaires.
3. Autorités. Maijin assiste le Client dans ses échanges avec le Préposé fédéral à la protection des données et à la transparence (PFPDT) ou une autre autorité compétente, pour ce qui concerne le service.

11. Violations de la sécurité des données

1. Maijin annonce au Client toute violation de la sécurité des données (art. 5, let. h, nLPD) touchant des données traitées pour son compte, qu'elle présente ou non un risque élevé, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance (art. 24, al. 3, nLPD), par e-mail aux administrateurs de l'équipe et, si elle est connue, à la personne de contact désignée par le Client.
2. L'annonce contient, dans la mesure où elles sont connues, les informations dont le Client a besoin pour son éventuelle annonce au PFPDT (art. 15, al. 1, OPDo) : la nature de la violation ; le moment et la durée ; les catégories et le nombre approximatif de données et de personnes concernées ; les conséquences et les risques pour les personnes concernées ; les mesures prises ou envisagées pour y remédier et en atténuer les conséquences ; le nom et les coordonnées d'une personne de contact chez Maijin. Les informations qui ne sont pas encore connues sont communiquées dès qu'elles le sont (art. 15, al. 2, OPDo).
3. Il appartient au Client, en tant que responsable du traitement, de décider d'annoncer la violation au PFPDT et d'informer les personnes concernées (art. 24, al. 1 et 4, nLPD). Maijin ne le fait pas à sa place, sauf instruction écrite du Client ou obligation légale propre.
4. Maijin documente chaque violation et conserve cette documentation au moins deux ans.

12. Fin du Contrat et effacement

1. Le Contrat prend fin avec le dernier document conservé du Client, au plus tard à la suppression de son compte ou de son équipe.
2. Pendant toute la durée du Contrat, l'utilisateur peut effacer lui-même chaque document, et supprimer son compte avec toutes ses tables, depuis l'application.
3. À la suppression du compte ou de l'équipe, ou sur demande écrite du Client après la fin de l'abonnement, Maijin efface les tables de correspondance, les versions anonymisées et le registre des étiquettes dans un délai de 30 jours. Les sauvegardes (où les tables de correspondance restent chiffrées) sont effacées au terme de leur cycle de 14 jours. Le journal d'audit, qui ne contient aucun contenu de document, est conservé jusqu'au terme de sa durée de 13 mois.
4. Les tables de correspondance n'étant pas restituables sous une forme utile hors du service (elles ne servent qu'à la restitution), le Client qui souhaite les conserver doit restituer ses documents avant la fin du Contrat. Sur demande, Maijin confirme l'effacement par écrit.

13. Contrôle et audit

1. Maijin met à la disposition du Client les informations nécessaires pour démontrer le respect du Contrat : le présent Contrat et son annexe, le dossier d'analyse d'impact, le registre des activités de traitement (partie sous-traitant), la liste des sous-traitants ultérieurs et un questionnaire de sécurité rempli, sur demande à contact@maijin.ch, gratuitement une fois par année.
2. Le Client peut faire procéder à un audit sur place, à ses frais, par lui-même ou par un auditeur indépendant tenu au secret, avec un préavis de 30 jours, pendant les heures ouvrables, au plus une fois par année, sauf après une violation de la sécurité des données ou à la demande d'une autorité. L'audit ne peut porter atteinte à la sécurité du service ni donner accès aux données d'autres clients. Les centres de données d'Infomaniak ne sont pas visitables par le Client ; Maijin fournit à leur sujet la documentation d'Infomaniak.

14. Responsabilité

1. Chaque partie répond du respect des obligations que le droit de la protection des données lui impose dans son propre rôle.
2. La responsabilité de Maijin au titre du Contrat est régie par l'article « Responsabilité » des CG, sous réserve des dispositions impératives du droit suisse (notamment l'art. 100 du Code des obligations) : elle n'est en aucun cas exclue ni limitée en cas de faute intentionnelle ou de négligence grave.
3. L'anonymisation automatique réduit fortement le risque d'identification sans le supprimer. Maijin ne répond pas d'une donnée laissée en clair que l'utilisateur pouvait voir et masquer dans l'aperçu, ni de l'usage que le Client fait du document anonymisé, en particulier auprès d'une intelligence artificielle tierce.

15. Obligations du Client

1. Le Client s'assure de pouvoir traiter licitement les données qu'il soumet au service et, le cas échéant, d'informer les personnes concernées (art. 19 nLPD).
2. Il veille à ce que ses utilisateurs relisent l'aperçu avant de télécharger le document anonymisé et de le confier à une intelligence artificielle tierce, n'utilisent le dépôt par e-mail qu'avec une messagerie dont il accepte le niveau de sécurité, et gardent leurs accès confidentiels.
3. Il choisit les catégories de données à masquer (Paramètres) en connaissance de cause : décocher une catégorie la laisse en clair dans tous les documents de l'équipe.
4. Il procède, si nécessaire, à sa propre analyse d'impact (art. 22 nLPD).

16. Modifications, droit applicable et for

1. Maijin peut modifier le Contrat selon la procédure de modification des CG (annonce par e-mail au moins 30 jours à l'avance, droit de résilier) ; les changements de sous-traitants ultérieurs suivent la section 7.
2. En cas de contradiction, le Contrat l'emporte sur les CG pour ce qui concerne la protection des données traitées pour le compte du Client.
3. Le Contrat est soumis au droit suisse. Le for est à Genève, sous réserve des fors impératifs prévus par la loi.

Annexe 1 — Mesures techniques et organisationnelles

Mesures en place à la date de cette version, classées selon les objectifs de l'art. 2 et les contrôles de l'art. 3 OPDo.

A. Confidentialité

Contrôle de l'accès aux données (art. 3, al. 1, let. a, OPDo)

• Authentification des utilisateurs sans mot de passe, par lien de connexion à usage unique, valable 15 minutes, conservé haché. Session de 7 jours, prolongée à l'usage (au plus une fois par jour), cookie « __Secure- », « HttpOnly », « SameSite=Lax » ; ni l'adresse IP ni le navigateur de la session ne sont enregistrés. Invitation à une équipe : jeton aléatoire de 32 octets, haché, à usage unique, valable 7 jours.
• Chaque requête vers les documents et les réglages vérifie la session côté serveur.
• Restitution strictement personnelle : seul l'utilisateur qui a anonymisé un document peut en retrouver les vraies valeurs, et seulement tant qu'il est membre de l'équipe ; jamais un collègue ni un administrateur.
• Les administrateurs d'équipe voient le nom anonymisé du fichier, sa date et l'adresse e-mail de son auteur, et peuvent l'effacer ; ils ne voient jamais les vraies valeurs.
• Tables de correspondance, noms de fichiers et registre des étiquettes chiffrés en AES-256-GCM, vecteur d'initialisation aléatoire par valeur, données associées (AAD) liant chaque chiffré à sa ligne et à son propriétaire (un chiffré recopié ailleurs devient indéchiffrable). Clé maître hors de la base (variable d'environnement du serveur, fichier lisible par l'administrateur seul), sous-clés dérivées par usage (HKDF-SHA-256). Une copie de la base seule ne révèle aucune valeur.
• Valeurs recherchées par empreinte à clé (HMAC-SHA-256, propre à chaque utilisateur), jamais en clair.
• Tableau de bord interne de Maijin (statistiques sans contenu) : sous-domaine distinct, comptes nominatifs, mot de passe haché (scrypt), 5 essais par 15 minutes, session de 12 heures ; aucun accès aux tables de correspondance.
• Personnel de Maijin : accès aux serveurs limité aux personnes désignées dans le règlement de traitement, interdiction de consulter les tables sauf demande écrite du Client.

Contrôle de l'accès aux locaux et aux installations (let. b)

• Serveur dans un centre de données d'Infomaniak à Genève (contrôles d'accès physiques du prestataire). Maijin n'exploite aucun serveur dans ses propres locaux.
• Postes de travail du personnel : disque chiffré et verrouillage automatique exigés par le règlement de traitement ; aucune copie de la base de production n'y est conservée.

Contrôle d'utilisation (let. c)

• Base de données non exposée à Internet (aucun port publié) ; pare-feu limitant les ports ouverts à SSH, HTTP (redirection) et HTTPS.
• Accès SSH par clé uniquement, sans mot de passe et sans connexion « root » ; déploiement automatique par une clé dédiée bridée à une seule commande.
• Secrets (clés de chiffrement, d'API, de paiement) hors du dépôt de code, dans un fichier du serveur aux droits restreints.

B. Disponibilité et intégrité

Contrôle des supports de données (art. 3, al. 2, let. a, OPDo)

• Le document d'origine n'est jamais écrit sur un support : il est lu et traité en mémoire, dans un fil d'exécution isolé (mémoire plafonnée à 768 Mo, durée bornée à 20 secondes), puis oublié. Seule sa version anonymisée est enregistrée, chiffrée, en base de données.
• Sauvegardes : fichiers lisibles par le seul administrateur du serveur ; les tables de correspondance y restent chiffrées (AES-256-GCM, clé hors de la base).

Contrôle de la mémoire (let. b)

• Seules sont conservées les données de la section 4 du Contrat, purgées automatiquement à échéance (purge horaire des tables expirées et des étiquettes orphelines, des sessions, liens et invitations expirés).

Contrôle du transport (let. c)

• HTTPS obligatoire, TLS 1.3, HSTS (2 ans, préchargement), redirection permanente de HTTP vers HTTPS.
• Requêtes vers les modèles de langage d'Infomaniak en HTTPS ; elles ne contiennent ni le nom du fichier ni l'identité du compte.
• Messagerie (IMAP, SMTP) toujours chiffrée en TLS, jamais en clair.

Restauration (let. d)

• Sauvegarde quotidienne de la base, conservée 14 jours sur le serveur, en Suisse.
• Contrôle automatique de chaque sauvegarde (copie complète, sinon trois nouvelles tentatives), alerte par e-mail en cas d'échec ou d'absence de sauvegarde depuis 26 heures ; essai de restauration trimestriel prévu par le règlement de traitement.

Disponibilité, fiabilité, intégrité (let. e)

• Plafonds sur les fichiers déposés vérifiés avant décompression (20 Mo, 200 Mo décompressés, 5 000 entrées), refus des constructions XML dangereuses ; limites de débit sur les routes sensibles.
• Intégrité des données chiffrées garantie par l'authentification AES-GCM (toute altération est détectée).
• PDF : effacement réel du texte (jamais un simple rectangle par-dessus) et contrôle qu'aucune valeur d'origine ne subsiste avant livraison.

Sécurité du système (let. f)

• Mises à jour de sécurité automatiques du système d'exploitation ; dépendances logicielles mises à jour.
• Politique de sécurité du contenu (CSP) stricte : scripts autorisés par nonce, aucune ressource tierce, aucun traceur ni outil d'analyse, polices servies par le site ; en-têtes « X-Frame-Options », « X-Content-Type-Options », « Referrer-Policy », « Permissions-Policy ».
• Journaux techniques limités en volume (3 × 10 Mo par service) ; le serveur web n'y écrit ni adresse IP, ni en-têtes (navigateur, cookies), ni paramètres d'adresse ; aucun contenu de document ni adresse e-mail dans les journaux de l'application.

C. Traçabilité

Contrôle de la saisie et de la communication (art. 3, al. 3, let. a et b, OPDo)

• Journal d'audit en ajout seul (art. 4 OPDo) : analyse d'un document (avec son destinataire, Infomaniak AI Tools), création d'un document anonymisé, restitution, effacement manuel ou automatique, consultation de l'historique de l'équipe par un administrateur, connexion au tableau de bord interne et exports ; pour chaque entrée : qui (identifiant et adresse e-mail du compte), quoi (action, identifiant du document), quand ; jamais de contenu ni de valeur. Conservé 13 mois, copié chaque jour dans un fichier distinct de la base, accessible aux seules personnes chargées de la sécurité.

Détection et réparation (let. c)

• Procédure de gestion des violations (détection, évaluation, annonce au Client sous 48 heures, documentation conservée au moins 2 ans).
• Alerte en cas d'échec de sauvegarde.

D. Mesures organisationnelles

• Règlement de traitement (art. 5 OPDo) tenu à jour et revu au moins une fois par année.
• Registre des activités de traitement (art. 12 nLPD).
• Protection des données dès la conception et par défaut (art. 7 nLPD) : toutes les catégories sont masquées par défaut ; minimisation des données envoyées aux modèles de langage.