Contrat de sous-traitance

Version 1.0 du 21.10.2026 – Annexe aux conditions d'utilisation MaxiPos Cloud

1. Parties et rôles

1.1 Le Client (établissement qui utilise la caisse MaxiPos) est responsable du traitement des données personnelles de son personnel, de ses hôtes et de ses clients au sens de l'art. 5 let. j LPD.

1.2 MSP Group GmbH, Lerzenstrasse 8, 8953 Dietikon, IDE CHE-269.046.585 (contact protection des données : info@mspgroup.ch) (ci-après «Prestataire») traite ces données personnelles pour le compte du Client en qualité de sous-traitant au sens de l'art. 5 let. k et de l'art. 9 LPD.

1.3 Dans la mesure où le règlement général sur la protection des données de l'UE (RGPD) est applicable, le présent contrat vaut également contrat au sens de l'art. 28 RGPD.

2. Objet, durée et finalité

2.1 L'objet est le traitement de données personnelles dans le cadre des Services selon les conditions d'utilisation : exploitation des portails, synchronisation des données de caisse, stockage de sauvegardes, mise à disposition de rapports, mises à jour et télémaintenance.

2.2 Le contrat s'applique pendant la durée des conditions d'utilisation et au-delà, aussi longtemps que le Prestataire traite des données personnelles du Client.

2.3 Le type de données, les catégories de personnes concernées et les finalités sont décrits à l'annexe 1.

3. Instructions

3.1 Le Prestataire ne traite les données personnelles que de la manière dont le Client serait en droit de le faire lui-même et uniquement sur instruction documentée de celui-ci. Les conditions d'utilisation, le présent contrat et les réglages que le Client effectue dans la caisse et dans le portail valent instructions.

3.2 Si le Prestataire estime qu'une instruction viole le droit de la protection des données, il en informe le Client.

3.3 Le Prestataire n'utilise pas les données à ses propres fins, notamment pas à des fins publicitaires, et ne les communique pas à des tiers, sauf aux sous-traitants ultérieurs visés au chiffre 6 ou s'il y est tenu par la loi. Dans ce cas, il en informe le Client, pour autant que la loi ne l'interdise pas.

4. Confidentialité

4.1 Le Prestataire astreint au secret toutes les personnes qui ont accès aux données. Cette obligation subsiste après la fin de leur activité.

4.2 Seules les personnes qui en ont besoin pour l'exploitation, le support ou la correction d'erreurs ont accès aux données du Client.

5. Sécurité des données

5.1 Le Prestataire prend les mesures techniques et organisationnelles décrites à l'annexe 2 afin de garantir une sécurité des données adaptée au risque (art. 8 LPD, ordonnance sur la protection des données, OPDo).

5.2 Le Prestataire peut faire évoluer les mesures, pour autant que le niveau de protection ne diminue pas.

6. Sous-traitants ultérieurs

6.1 Le Client autorise les sous-traitants ultérieurs énumérés à l'annexe 3.

6.2 Le Prestataire informe le Client au moins 30 jours à l'avance de tout sous-traitant ultérieur nouveau ou remplacé (p. ex. dans le portail ou par e-mail). Le Client peut s'y opposer dans ce délai pour un motif important relevant de la protection des données; si les parties ne parviennent pas à un accord, le Client peut résilier le contrat pour cette date.

6.3 Le Prestataire impose contractuellement à chaque sous-traitant ultérieur des obligations équivalentes en matière de protection des données.

6.4 Les données ne sont communiquées qu'en Suisse ou dans des États disposant d'un niveau de protection des données adéquat selon l'annexe 1 OPDo (actuellement : Allemagne). Une communication vers d'autres États n'a lieu qu'en présence de garanties appropriées selon l'art. 16 al. 2 LPD.

7. Assistance au Client

7.1 Le Prestataire assiste le Client par des moyens appropriés pour répondre aux demandes des personnes concernées (p. ex. accès, rectification, effacement, remise des données). Si le Prestataire reçoit directement une telle demande, il la transmet au Client.

7.2 Le Prestataire assiste le Client lors d'une analyse d'impact relative à la protection des données et lors de demandes de l'autorité de surveillance, dans la mesure où elles concernent les Services.

7.3 Pour une assistance allant au-delà des fonctions des Services, le Prestataire peut facturer ses frais selon la liste de prix.

8. Violations de la sécurité des données

8.1 Le Prestataire annonce au Client toute violation de la sécurité des données qui concerne les données de celui-ci dans les meilleurs délais, en règle générale dans un délai de 48 heures après en avoir pris connaissance. L'annonce indique, dans la mesure où ils sont connus, la nature et l'étendue de la violation, ses conséquences et les mesures prises ou proposées.

8.2 Le Client décide si une annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) selon l'art. 24 LPD et une information des personnes concernées sont nécessaires. Le Prestataire l'assiste à cet égard.

9. Droits de contrôle

9.1 Sur demande, le Prestataire met à la disposition du Client les informations nécessaires pour démontrer le respect du présent contrat (p. ex. une description actuelle des mesures selon l'annexe 2).

9.2 Des contrôles plus étendus (p. ex. audits sur place) ont lieu après entente préalable, pendant les heures d'ouverture, dans le respect de la confidentialité à l'égard des autres clients et aux frais du Client.

10. Effacement et restitution

10.1 Après la fin du contrat, le Prestataire restitue les données au Client conformément au chiffre 10 des conditions d'utilisation (export pendant 30 jours) et les efface, copies comprises, au plus tard après 60 jours, à moins qu'une obligation légale de conservation ne lui incombe.

10.2 Pendant la durée du contrat, les délais d'effacement selon l'annexe 1 s'appliquent. La conservation des documents commerciaux incombe au Client (chiffre 4 des conditions d'utilisation).

11. Responsabilité et dispositions finales

11.1 La responsabilité est régie par les conditions d'utilisation.

11.2 En cas de contradiction, le présent contrat prime les conditions d'utilisation pour les questions de protection des données.

11.3 Le droit suisse est applicable. Le for est au Dietikon (canton de Zurich).

---

Annexe 1 – Données, personnes concernées, finalités, délais d'effacement

Catégories de personnes concernées

• Collaborateurs et utilisateurs du Client (caissiers, service, cuisine, propriétaire, comptabilité)
• Hôtes et clients du Client (p. ex. clients en livraison et à l'emporter, clients sur facture ou débiteurs, clients du programme de fidélité)
• Personnes de contact du Client (propriétaire, direction)

Catégories de données personnelles

Les données sensibles au sens de l'art. 5 let. c LPD ne sont pas traitées de manière ciblée par les Services. Le Client renonce à saisir de telles données dans des champs de texte libre (p. ex. notes).

Délais d'effacement pendant la durée du contrat

---

Annexe 2 – Mesures techniques et organisationnelles (MTO)

Accès physique et infrastructure

• Les portails fonctionnent sur des serveurs d'un hébergeur professionnel, dans des centres de données situés en Allemagne, dotés d'un contrôle des accès, d'une protection contre l'incendie et d'une alimentation électrique sans interruption (selon les indications de l'hébergeur).
• Le serveur est protégé contre les attaques et les logiciels malveillants par un pare-feu et un logiciel de protection.

Accès aux systèmes et aux données

• Transmission chiffrée de toutes les données entre la caisse, le navigateur et le portail (HTTPS/TLS).
• Les mots de passe et les codes PIN sont enregistrés uniquement sous forme de valeurs de hachage cryptographiques.
• Blocage ou temporisation après plusieurs tentatives de connexion infructueuses.
• Les caisses se connectent au moyen de clés d'appareil propres et révocables; un appareil bloqué ne peut plus envoyer de données.
• Concept de rôles et de droits dans le portail (p. ex. propriétaire, comptabilité, rapports uniquement); chaque client ne voit que ses propres données (séparation logique des mandants).
• Authentification à deux facteurs (TOTP) optionnelle, lorsqu'elle est disponible.
• Accès administratif aux serveurs et aux bases de données réservé aux personnes autorisées du Prestataire, avec des données d'accès personnelles.

Transmission et saisie

• Les fichiers de sauvegarde se trouvent dans des répertoires qui ne sont pas accessibles depuis Internet.
• Les modifications des réglages, les annulations, les corrections du mode de paiement et les autres opérations relevant de la sécurité sont journalisées avec l'utilisateur, la date et l'heure.
• Télémaintenance uniquement après autorisation du Client dans le cas d'espèce, via un serveur de télémaintenance propre avec connexion chiffrée.

Disponibilité et restauration

• La caisse fonctionne également sans connexion Internet; les données sont conservées localement et transmises ultérieurement.
• Sauvegardes automatiques de la base de données de la caisse (localement et, sur demande, dans le portail).
• Sauvegarde quotidienne de l'ensemble du serveur par l'hébergeur ; chaque sauvegarde est conservée 1 mois, puis supprimée automatiquement.

Organisation

• Engagement de confidentialité de toutes les personnes ayant accès aux données.
• Les mises à jour du logiciel sont testées de manière automatisée avant leur diffusion.
• Processus d'annonce des incidents de sécurité au Client (chiffre 8 du contrat de sous-traitance).
• Contrôle régulier des présentes mesures, au moins une fois par an.

---

Annexe 3 – Sous-traitants ultérieurs autorisés

Ne sont pas considérés comme sous-traitants ultérieurs du Prestataire les services que le Client mandate lui-même directement, notamment les terminaux de paiement et les services de paiement (p. ex. Wallee, Worldline, SumUp, TWINT). Ceux-ci sont régis par les contrats conclus entre le Client et le fournisseur concerné.