---

Entre :

[Nom du garage / du client] (ci-après le « Responsable du traitement »)

et

OPPO IT
Titulaire : Etienne Oppo
Nordeckstrasse 8
8636 Wald ZH
Suisse
Exploitante de la plateforme logicielle « Aurentix »
(ci-après le « Sous-traitant »)

1. Objet du contrat

Le présent contrat règle les droits et obligations des parties en lien avec le traitement de données personnelles que le sous-traitant effectue pour le responsable dans le cadre de la mise à disposition du logiciel ERP en cloud.

2. Nature et finalité du traitement

Le traitement comprend l'enregistrement, l'organisation, la gestion et la sauvegarde des données clients, véhicules, factures et rendez-vous du garage sur les serveurs du sous-traitant. Le traitement est effectué exclusivement aux fins de la fourniture des prestations logicielles convenues dans le contrat principal (abonnement SaaS).

3. Respect des instructions

Le sous-traitant traite les données personnelles exclusivement sur instruction documentée du responsable et n'utilise pas les données à ses propres fins (p. ex. publicité ou vente de données).

4. Mesures techniques et organisationnelles (MTO)

Le sous-traitant garantit un niveau de sécurité adapté au risque. Cela comprend impérativement :

• Des contrôles d'accès stricts aux serveurs physiques (centres de données suisses).
• Gestion des accès dans le logiciel (concept de rôles : admin, mécanicien, vendeur).
• Chiffrement de la transmission des données (TLS).
• Sauvegarde automatique de chaque base de données client deux fois par jour, conservation 30 jours, stockage sur des serveurs suisses sans accès depuis l'extérieur.

5. Recours à des sous-traitants ultérieurs

Le responsable consent à ce que le sous-traitant fasse appel à des sous-traitants ultérieurs. Sont mandatés : l'hébergeur suisse pour l'exploitation technique, OpenAI, L.L.C. (États-Unis) pour l'assistante IA Auri, Seventy Labs (SwissCarInfo), Sion, pour la consultation de données officielles des véhicules, ainsi que — si le responsable utilise la fonction concernée — SMG Swiss Marketplace Group AG pour la transmission d'annonces de véhicules à AutoScout24 et Amazon Web Services EMEA SARL, région de Zurich (Suisse), pour le stockage des documents confidentiels. Auri n'intervient que sur saisie active d'un utilisateur ; la question et les données nécessaires pour y répondre sont alors transmises. SwissCarInfo ne reçoit, sur demande d'un utilisateur, que le terme de recherche (numéro matricule, plaque, numéro de châssis ou réception par type), aucune donnée de détenteur ou de client ; les serveurs du prestataire se trouvent en Allemagne, qui garantit un niveau de protection des données adéquat. Toutes les autres données restent en Suisse. Le sous-traitant veille à ce que les sous-traitants ultérieurs soient soumis aux mêmes obligations de protection des données ; le transfert vers les États-Unis repose sur les clauses contractuelles types. Le sous-traitant informe le responsable de tout changement ou ajout de sous-traitants ultérieurs.

6. Obligations de notification en cas de violation de données

En cas de violation de la sécurité des données chez le sous-traitant (p. ex. cyberattaque) susceptible d'entraîner un risque élevé pour les personnes concernées, le sous-traitant en informe le client sans délai et l'assiste dans ses obligations légales de notification.

7. Restitution et suppression des données

À la fin de l'abonnement SaaS ou à la demande du client, le sous-traitant restitue toutes les données personnelles du client (export de données) ou les supprime de manière irréversible, à moins que des obligations légales de conservation ne s'y opposent.

8. For juridique et droit applicable

Le droit suisse est seul applicable. Le for juridique exclusif pour tout litige découlant du présent contrat est le siège du sous-traitant.