Version du 26 Août 2026. # DATA PROCESSING AGREEMENT (DPA) – TARELIO ## 1. Parties Le présent Data Processing Agreement (« DPA ») fait partie intégrante des Conditions Générales (« CG ») de Tarelio Sàrl. Il est conclu entre : **Tarelio Sàrl** Chemin de Clamogne 27 1170 Aubonne Suisse agissant en qualité de sous-traitant (« Sous-traitant »), et le Client de Tarelio, agissant en qualité de responsable du traitement (« Responsable du traitement »). Le présent DPA s'applique lorsque et dans la mesure où Tarelio traite des données personnelles pour le compte du Responsable du traitement dans le cadre de la fourniture du Service. ## 2. Objet et législation applicable Le présent DPA définit les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement. Les traitements couverts par le présent DPA sont soumis à la Loi fédérale suisse sur la protection des données (« LPD »). Les termes relatifs à la protection des données utilisés dans le présent DPA ont le sens qui leur est donné par la LPD. ## 3. Durée du traitement Le présent DPA s'applique pendant toute la durée de la relation contractuelle entre Tarelio et le Responsable du traitement. Le traitement des données personnelles se poursuit, après la fin du contrat, uniquement pendant la période nécessaire à leur restitution, exportation, conservation temporaire et suppression conformément au présent DPA. Sauf obligation légale imposant une conservation plus longue, les données personnelles sont supprimées au plus tard soixante (60) jours après la fin du contrat, sous réserve des dispositions relatives aux sauvegardes prévues à l'article 16. ## 4. Nature et finalité du traitement Le Sous-traitant traite les données personnelles uniquement dans la mesure nécessaire à l'exécution du contrat et à la fourniture, au fonctionnement, à la maintenance, à la sécurisation et au support du Service. Les traitements peuvent notamment comprendre : * la collecte ; * l'enregistrement ; * l'organisation ; * la structuration ; * le stockage ; * la consultation ; * la modification ; * l'extraction ; * la transmission ; * l'analyse ; * la suppression ; * ainsi que tout autre traitement nécessaire à la fourniture du Service. Les finalités peuvent notamment inclure : * la gestion des comptes utilisateurs ; * la gestion des projets et des opérations ; * la planification ; * le suivi du temps, des activités et des feuilles d'heures ; * la gestion administrative ; * la gestion des factures et des paiements ; * le stockage et le traitement de documents ; * l'extraction et le traitement de données ; * les fonctionnalités reposant sur l'intelligence artificielle ; * la maintenance et le support technique ; * la sécurité et la prévention des abus ; * le fonctionnement technique du Service. Le Sous-traitant ne traite pas les données personnelles couvertes par le présent DPA pour ses propres finalités. Lorsque Tarelio traite certaines données personnelles pour ses propres finalités, notamment pour la gestion de sa relation commerciale, la facturation, la sécurité de ses propres systèmes, la conformité légale ou l'analyse de l'utilisation de ses services, Tarelio agit en qualité de responsable du traitement pour ces traitements. Ces traitements ne sont pas régis par le présent DPA mais notamment par la Politique de confidentialité de Tarelio. Tarelio peut utiliser des données véritablement anonymisées ou agrégées, ne permettant raisonnablement plus d'identifier une personne physique, notamment afin d'analyser, maintenir, développer ou améliorer le Service. ## 5. Catégories de données personnelles Les données personnelles susceptibles d'être traitées incluent notamment : * données d'identification, telles que nom, prénom et coordonnées ; * adresses électroniques et numéros de téléphone ; * données professionnelles, telles que fonction, entreprise, équipe ou rôle ; * données relatives aux comptes utilisateurs et aux habilitations ; * données d'utilisation, journaux techniques et historique d'activité ; * données relatives aux projets, tâches, interventions, chantiers ou opérations ; * données relatives au temps de travail, aux présences et aux activités ; * données financières, telles que factures, paiements, prix ou informations de facturation ; * données contenues dans les documents, fichiers, images ou autres contenus importés par le Responsable du traitement ; * données extraites ou générées dans le cadre de fonctionnalités automatisées ou reposant sur l'intelligence artificielle ; * toute autre donnée personnelle que le Responsable du traitement ou ses utilisateurs choisissent de saisir ou de traiter au moyen du Service. ## 6. Données personnelles sensibles Le Service peut occasionnellement traiter des données personnelles sensibles au sens de la LPD lorsqu'elles sont introduites dans le Service par le Responsable du traitement ou ses utilisateurs, ou lorsque leur traitement résulte raisonnablement de l'utilisation des fonctionnalités du Service. Le Responsable du traitement demeure responsable de déterminer si l'introduction et le traitement de telles données sont licites, nécessaires et appropriés. Lorsqu'il traite des données personnelles sensibles pour le compte du Responsable du traitement, le Sous-traitant les traite conformément aux instructions du Responsable du traitement et aux mesures de sécurité prévues par le présent DPA. Le Responsable du traitement s'engage à ne pas introduire de données personnelles sensibles qui ne sont pas nécessaires à son utilisation légitime du Service. ## 7. Catégories de personnes concernées Les données personnelles peuvent notamment concerner : * les employés et collaborateurs du Responsable du traitement ; * les candidats et anciens collaborateurs ; * les prestataires et sous-traitants du Responsable du traitement ; * les clients et prospects du Responsable du traitement ; * les fournisseurs ; * les contacts professionnels ; * toute autre personne dont les données sont introduites ou traitées dans le Service par le Responsable du traitement ou ses utilisateurs. ## 8. Obligations du Responsable du traitement Le Responsable du traitement demeure responsable de la licéité des traitements qu'il effectue au moyen du Service. Il garantit notamment : * disposer des bases légales nécessaires au traitement des données personnelles ; * être autorisé à collecter, transmettre et faire traiter les données personnelles concernées ; * fournir aux personnes concernées les informations requises par la législation applicable ; * ne transmettre au Sous-traitant que les données personnelles nécessaires à ses finalités légitimes ; * donner au Sous-traitant uniquement des instructions conformes à la LPD ; * respecter les droits des personnes concernées ; * prendre les mesures appropriées pour sécuriser l'accès de ses utilisateurs au Service ; * informer le Sous-traitant sans délai lorsqu'il constate ou soupçonne un accès non autorisé, une compromission de compte ou tout incident susceptible d'affecter la sécurité des données personnelles traitées via le Service. Le Responsable du traitement est responsable du contenu, de la qualité, de l'exactitude et de la licéité des données personnelles qu'il introduit ou fait traiter dans le Service. ## 9. Instructions du Responsable du traitement Le Sous-traitant traite les données personnelles uniquement sur instruction du Responsable du traitement. La conclusion du contrat, l'utilisation du Service, les paramètres configurés par le Responsable du traitement et les actions effectuées par ses utilisateurs constituent des instructions documentées permettant au Sous-traitant d'effectuer les traitements nécessaires à la fourniture du Service. Le Responsable du traitement autorise expressément le Sous-traitant à effectuer les traitements automatisés nécessaires au fonctionnement du Service, y compris lorsque ceux-ci reposent sur des technologies d'intelligence artificielle. Le Sous-traitant n'utilise pas les données personnelles couvertes par le présent DPA pour son propre compte. Si le Sous-traitant estime qu'une instruction du Responsable du traitement est contraire à la LPD, il en informe le Responsable du traitement dans la mesure raisonnablement possible. Le Sous-traitant peut suspendre l'exécution d'une telle instruction jusqu'à sa clarification ou sa modification. Le Sous-traitant n'est pas tenu d'exécuter une instruction manifestement illégale. ## 10. Confidentialité Le Sous-traitant garantit la confidentialité des données personnelles traitées pour le compte du Responsable du traitement. Il veille à ce que les personnes autorisées à traiter les données personnelles : * n'y accèdent que dans la mesure nécessaire à l'exercice de leurs fonctions ; * soient soumises à une obligation appropriée de confidentialité ; * soient informées des obligations applicables en matière de protection et de sécurité des données. Ces obligations subsistent après la fin des fonctions ou de la relation contractuelle des personnes concernées dans la mesure prévue par les engagements ou dispositions applicables. ## 11. Sécurité des données Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques liés au traitement. Ces mesures peuvent notamment comprendre : * le chiffrement des communications et des données en transit au moyen de protocoles sécurisés tels que HTTPS/TLS ; * des mécanismes d'authentification et de contrôle des accès ; * une gestion des rôles, droits et habilitations ; * une gestion sécurisée des identifiants, secrets et clés ; * la séparation logique des environnements et des données lorsque cela est approprié ; * la journalisation des accès et opérations lorsque cela est approprié ; * des procédures de sauvegarde et de restauration ; * des mesures de protection des infrastructures et environnements d'hébergement ; * des processus de gestion des vulnérabilités, mises à jour et incidents de sécurité ; * des mesures organisationnelles limitant l'accès aux données aux personnes qui en ont besoin. Les mesures peuvent évoluer en fonction de l'état de la technique, des risques identifiés, du développement du Service et des infrastructures utilisées, à condition que le niveau global de protection ne soit pas substantiellement réduit. Le Service repose en partie sur des infrastructures et prestataires tiers qui contribuent à la mise en œuvre de ces mesures. ## 12. Sous-traitants ultérieurs Le Responsable du traitement accorde au Sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture du Service. À la date du présent DPA, les prestataires suivants sont notamment susceptibles de traiter des données du Responsable du traitement dans le cadre de la fourniture du Service : * **Amazon Web Services (AWS)** – infrastructure et services cloud ; * **Microsoft Azure** – infrastructure et services cloud ; * **Vercel** – hébergement et infrastructure applicative ; * **Neon** – infrastructure et services de base de données ; * **OpenAI** – fonctionnalités reposant sur l'intelligence artificielle ; * **Plunk** – services de communication électronique et e-mail ; * **Google Analytics** – mesure et analyse de l'utilisation du Service, dans la mesure où les traitements concernés sont effectués pour le compte du Responsable du traitement. La qualification exacte d'un prestataire et l'étendue des données qu'il traite peuvent dépendre des fonctionnalités utilisées et de la nature du traitement concerné. Les traitements effectués par un prestataire dans le cadre de finalités propres à Tarelio en qualité de responsable du traitement ne sont pas couverts par le présent DPA et sont régis notamment par la Politique de confidentialité de Tarelio. Le Sous-traitant s'engage à : * sélectionner des sous-traitants ultérieurs présentant des garanties suffisantes en matière de protection et de sécurité des données ; * imposer à ces sous-traitants des obligations de protection des données appropriées à la nature des traitements qui leur sont confiés ; * demeurer responsable envers le Responsable du traitement de l'exécution des obligations qui lui incombent en vertu du présent DPA, indépendamment du recours à des sous-traitants ultérieurs. Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement prévu d'un sous-traitant ultérieur au moins quinze (15) jours avant que celui-ci ne commence à traiter des données personnelles couvertes par le présent DPA, dans la mesure raisonnablement possible. Cette information peut être transmise notamment par courrier électronique, via le Service ou au moyen d'une liste de sous-traitants mise à disposition par Tarelio. Le Responsable du traitement peut formuler, avant l'expiration du délai de notification, une objection motivée fondée sur des raisons raisonnables relatives à la protection des données. Les parties s'efforcent alors de trouver de bonne foi une solution raisonnable. Si aucune solution raisonnable ne peut être trouvée et que le recours au nouveau sous-traitant est nécessaire à la fourniture du Service, le Responsable du traitement peut résilier la partie du Service directement affectée par le changement ou, si cette partie ne peut raisonnablement être dissociée, le Service concerné. L'absence d'objection dans le délai applicable vaut acceptation du changement. ## 13. Transferts internationaux Les données personnelles peuvent être traitées ou rendues accessibles depuis des pays situés en dehors de la Suisse lorsque cela est nécessaire à la fourniture du Service. Le Sous-traitant veille à ce que toute communication de données personnelles à l'étranger soit effectuée conformément aux exigences de la LPD. Lorsque le pays destinataire ne bénéficie pas d'un niveau de protection des données reconnu comme adéquat selon le droit suisse, le Sous-traitant veille à la mise en place des garanties nécessaires, notamment, lorsque cela est approprié, au moyen de clauses contractuelles types reconnues ou adaptées conformément aux exigences du droit suisse. Le Sous-traitant veille également, dans la mesure requise, à ce que ses sous-traitants ultérieurs respectent les exigences applicables aux communications de données personnelles à l'étranger. ## 14. Assistance au Responsable du traitement Compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant assiste raisonnablement le Responsable du traitement afin de lui permettre de respecter ses obligations en vertu de la LPD. Cette assistance peut notamment concerner : * les demandes d'accès, de rectification, de suppression ou autres demandes formulées par des personnes concernées ; * la recherche, l'extraction, la correction ou la suppression de données personnelles lorsque ces opérations ne peuvent raisonnablement pas être réalisées directement par le Responsable du traitement via le Service ; * la sécurité des données ; * l'analyse et la gestion des violations de la sécurité des données ; * les analyses d'impact relatives à la protection des données lorsqu'elles sont requises ; * les demandes ou investigations d'une autorité compétente en matière de protection des données. Si le Sous-traitant reçoit directement une demande d'une personne concernée portant sur des données traitées pour le compte du Responsable du traitement, il transmet cette demande au Responsable du traitement dans la mesure où il est en mesure de l'identifier, sauf instruction contraire ou obligation légale. Toute assistance excédant le fonctionnement normal du Service ou nécessitant des travaux particuliers, des développements spécifiques ou un effort disproportionné peut faire l'objet d'une facturation raisonnable, sous réserve d'une information préalable du Responsable du traitement. ## 15. Violation de la sécurité des données Le Sous-traitant informe le Responsable du traitement sans délai injustifié après avoir pris connaissance d'une violation de la sécurité des données affectant des données personnelles traitées pour son compte. La notification comprend, dans la mesure où les informations sont disponibles : * une description de la nature de la violation ; * les catégories de données personnelles concernées ; * les catégories de personnes concernées ; * les conséquences connues ou raisonnablement prévisibles de la violation ; * les mesures prises ou envisagées afin de remédier à la violation ou d'en limiter les effets ; * les informations raisonnablement nécessaires au Responsable du traitement pour évaluer ses éventuelles obligations légales. Lorsque toutes les informations ne sont pas immédiatement disponibles, le Sous-traitant peut les communiquer progressivement à mesure qu'elles deviennent disponibles. Le Sous-traitant coopère raisonnablement avec le Responsable du traitement dans l'analyse et la gestion de la violation. La notification d'une violation ne constitue pas une reconnaissance de faute ou de responsabilité du Sous-traitant. Le Responsable du traitement demeure responsable de déterminer si une notification au Préposé fédéral à la protection des données et à la transparence, aux personnes concernées ou à toute autre personne est requise. ## 16. Restitution, conservation et suppression des données Après la fin du contrat, le Responsable du traitement peut demander ou effectuer, selon les fonctionnalités disponibles, un export des données qu'il souhaite conserver. Tarelio peut maintenir les données personnelles dans les systèmes actifs pendant une période maximale de soixante (60) jours après la date effective de fin du contrat afin notamment de permettre leur export, leur restitution et leur suppression organisée. Le Responsable du traitement peut demander une suppression anticipée de ses données pendant cette période, sous réserve des obligations légales de conservation applicables. Au plus tard à l'expiration de cette période de soixante (60) jours, les données personnelles du Responsable du traitement sont supprimées des systèmes actifs, sauf lorsque leur conservation est imposée par la loi. Des copies résiduelles peuvent subsister temporairement dans des sauvegardes techniques. Ces sauvegardes : * sont conservées uniquement conformément aux cycles normaux de sauvegarde et de rétention de Tarelio ou de ses prestataires ; * ne sont pas utilisées à des fins commerciales ou opérationnelles ordinaires ; * ne sont accessibles que lorsque cela est nécessaire à des fins de continuité, de sécurité ou de restauration ; * sont supprimées ou écrasées progressivement selon leur cycle normal de rotation. Si une sauvegarde contenant des données du Responsable du traitement doit exceptionnellement être restaurée, Tarelio prend des mesures raisonnables pour éviter que les données dont la suppression était requise ne soient remises en traitement actif au-delà de ce qui est techniquement nécessaire. Les obligations de confidentialité et de sécurité du présent DPA continuent de s'appliquer aux données subsistant temporairement dans les sauvegardes. ## 17. Audit et vérification Le Responsable du traitement peut demander au Sous-traitant les informations raisonnablement nécessaires afin de vérifier le respect des obligations prévues par le présent DPA. Dans la mesure du possible, la vérification repose en priorité sur : * la documentation communiquée par Tarelio ; * les descriptions de mesures techniques et organisationnelles ; * les certifications, rapports ou attestations disponibles ; * les réponses écrites aux demandes raisonnables du Responsable du traitement. Lorsque ces éléments sont insuffisants pour vérifier raisonnablement le respect du présent DPA, le Responsable du traitement peut demander un audit complémentaire. Sauf incident de sécurité significatif, demande d'une autorité compétente ou raison objective de suspecter une violation substantielle du présent DPA : * un audit ne peut être demandé plus d'une fois par période de douze (12) mois ; * il doit faire l'objet d'un préavis raisonnable ; * il doit être réalisé pendant les heures normales d'activité ; * sa portée doit être limitée aux traitements pertinents pour le Responsable du traitement ; * il ne doit pas compromettre la sécurité du Service, la confidentialité ou les données d'autres clients ; * tout auditeur externe doit être indépendant et soumis à une obligation de confidentialité appropriée. Les tests d'intrusion, analyses de vulnérabilité intrusives ou autres opérations susceptibles d'affecter la sécurité ou la disponibilité des systèmes ne peuvent être effectués sans l'accord écrit préalable de Tarelio. Les coûts raisonnables d'un audit demandé par le Responsable du traitement sont supportés par celui-ci, sauf lorsque l'audit met en évidence une violation substantielle du présent DPA imputable à Tarelio. Tarelio coopère de bonne foi avec toute demande ou contrôle légalement requis par une autorité compétente. ## 18. Responsabilité La responsabilité des parties relative au traitement des données personnelles est régie par les dispositions relatives à la responsabilité prévues dans les CG, sauf disposition impérative contraire de la LPD. Aucune disposition du présent DPA ne limite une responsabilité qui ne peut légalement être exclue ou limitée. ## 19. Hiérarchie des documents Le présent DPA fait partie intégrante de la relation contractuelle entre Tarelio et le Responsable du traitement. En cas de contradiction entre le présent DPA et les CG, les dispositions du présent DPA prévalent pour les questions relatives au traitement des données personnelles effectué par Tarelio en qualité de sous-traitant. Pour toutes les autres matières, l'ordre de priorité prévu par les CG demeure applicable. ## 20. Modifications du DPA Tarelio peut mettre à jour le présent DPA lorsque cela est raisonnablement nécessaire afin notamment : * de tenir compte d'une évolution de la législation applicable ; * de modifier ou préciser ses mesures de sécurité ; * de refléter une évolution de son Service ou de son infrastructure ; * de mettre à jour ses sous-traitants ultérieurs ; * de clarifier ou renforcer les dispositions relatives à la protection des données. Toute modification substantielle affectant les droits ou obligations du Responsable du traitement lui est communiquée dans un délai raisonnable avant son entrée en vigueur. Les modifications relatives aux sous-traitants ultérieurs restent soumises au mécanisme prévu à l'article 12. ## 21. Droit applicable et for Le présent DPA est régi par le droit suisse. Le for exclusif est situé dans le canton de Vaud, Suisse, sous réserve des fors impératifs prévus par la loi. La version française du présent DPA fait foi.