Règles & CGV

Les deux. En tant qu'entreprise suisse, nous sommes soumis à la loi fédérale révisée sur la protection des données (nLPD). Dès que nous traitons des données personnelles de personnes dans l'UE, le RGPD s'applique également. Nos contrats, processus et systèmes sont conçus pour répondre aux deux réglementations.

La loi fédérale révisée sur la protection des données est en vigueur depuis le 1er septembre 2023 et a remplacé la loi de 1992. Elle exige davantage de transparence lors de la collecte des données, la protection des données dès la conception et par défaut, un registre des activités de traitement ainsi qu'une notification au PFPDT en cas de violation grave de la sécurité des données. Seules les données des personnes physiques sont désormais protégées. Elle est aussi couramment appelée nLPD, pour nouvelle loi sur la protection des données.

Le Règlement général sur la protection des données est la législation de l'UE en matière de protection des données et s'applique depuis le 25 mai 2018. Il définit sur quelle base juridique les entreprises peuvent traiter des données personnelles, comment elles doivent en informer les personnes concernées et quels droits celles-ci possèdent. En anglais, il s'appelle General Data Protection Regulation, ou GDPR.

Les principes sont les mêmes : transparence, limitation des finalités, sécurité des données et droits étendus des personnes concernées. La nLPD a été délibérément harmonisée avec le RGPD, mais reste moins stricte sur plusieurs points.

• Autorisation : la nLPD autorise en principe le traitement, tandis que le RGPD exige une base juridique pour chaque traitement.
• Violation de données : notification au PFPDT dès que possible, dans l'UE à l'autorité de contrôle dans les 72 heures.
• Sanctions : jusqu'à 250 000 francs contre la personne responsable, dans l'UE jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires contre l'entreprise.
• Registre : non requis en Suisse pour les entreprises de moins de 250 collaborateurs présentant un faible risque, dans l'UE uniquement dans des cas très limités.
• Conseil en protection des données : facultatif en Suisse, dans l'UE un délégué à la protection des données est obligatoire selon l'activité.
• Terminologie : en Suisse, on traite des données personnelles ; dans l'UE, on traite des données à caractère personnel — il s'agit de la même chose.

Le plus souvent, les deux. La nLPD s'applique dès qu'un traitement de données produit des effets en Suisse. Le RGPD s'ajoute si vous avez un établissement dans l'UE, proposez des biens ou services à des personnes dans l'UE ou observez leur comportement. Pour les entreprises suisses ayant une clientèle dans l'UE, cela signifie : respecter les deux réglementations.

Les données personnelles sont toutes les informations qui se rapportent à une personne déterminée ou identifiable : nom, adresse, e‑mail, numéro de téléphone, adresse IP, données de localisation ou d’utilisation. Les informations particulièrement protégées comprennent les données de santé, biométriques et génétiques ainsi que les renseignements sur la religion, l’orientation politique ou l’appartenance syndicale. Le RGPD désigne les mêmes informations comme données à caractère personnel.

Vous pouvez demander des informations sur vos données, corriger les données erronées et faire supprimer les données dont vous n’avez plus besoin. Les deux lois vous donnent également le droit de demander la transmission ou la divulgation de vos données et d’opposer votre consentement à leur traitement. Un e‑mail à legal@ateso.ch suffit.

Nous mettons fin à la cause, documentons l’incident et vous informons dès que vos données sont concernées. Lorsque nous sommes responsables, nous signalons une violation de la sécurité des données à l’EDÖB dès que possible ; le RGPD impose un délai de 72 heures auprès de l’autorité de contrôle. Si nous traitons des données pour votre compte, nous vous informons de l’incident — c’est à vous d’en faire le signalement auprès de l’autorité.

Il régit la façon dont un prestataire traite les données personnelles pour le compte de son client : à quelles fins, pendant combien de temps, avec quelles mesures de sécurité et avec quels sous‑prestataires. Le revDSG parle de traitement sous mandat, le RGPD de traitement par mission. En anglais, le contrat s’appelle Data Processing Agreement (DPA).

Oui, dès que nous traitons des données personnelles pour votre compte – par exemple lors de l’exploitation d’une solution cloud, de la maintenance ou du support avec accès à vos données. Les deux lois exigent un contrat écrit. Pour éviter que vous ayez à signer un document supplémentaire, notre AVV est intégré en annexe aux CGU.

Nos solutions cloud sont exploitées dans des centres de données en Suisse. Les autres prestataires que nous utilisons, leurs missions et les lieux où ils traitent les données figurent dans notre liste de sous‑prestataires, mise à jour régulièrement.

Oui. La Commission européenne reconnaît la Suisse comme pays disposant d’un niveau de protection des données adéquat. Les données personnelles peuvent donc être transférées depuis l’UE vers la Suisse sans que vous ayez à conclure des garanties supplémentaires telles que des clauses contractuelles types. Inversement, le même principe s’applique aux transferts de la Suisse vers l’Espace économique européen.

Nos contrats, processus et systèmes sont conçus pour répondre aux deux cadres réglementaires : le contrat de traitement des commandes est annexé à nos CGV, les sous-traitants utilisés sont publiquement documentés, nos solutions cloud fonctionnent dans des centres de données suisses. Le niveau de conformité d’un système en exploitation dépend également des données que vous y traitez — nous clarifions cela dans le projet.