Contrat de traitement des données (DPA)
Version : 13 octobre 2026. Cette version est en vigueur à compter du 13 octobre 2026. En cas de modifications substantielles de cet Accord de Traitement des Données, vous en serez informé(e) en temps opportun. Ce contrat de traitement des données ("DPA") régit les obligations en matière de protection des données des parties concernant le traitement des données à caractère personnel dans le cadre de l'utilisation des services Lokbox. Il répond aux exigences légales de l'Art. 28 du RGPD ainsi que de la Loi fédérale suisse sur la protection des données (nLPD). Historique des modifications : Version 2026-10-13 – Suppression d'Infisical du § 4 : le service de gestion des identifiants de connecteurs n'est pas utilisé ; il ne stocke ni ne traite actuellement d'identifiants ni de données personnelles de clients. Version 2026-10-10 – Alignement du § 4 sur la politique de confidentialité et sur lokbox.ch/subprocessors (ajout de Google Cloud Vertex AI avec Gemini en option seulement et Anthropic Claude via Vertex AI annoncé et pas encore actif, de Plus Five Five, Inc. (Resend) et d'Infisical) et reformulation des transferts internationaux au § 5 (Clauses Contractuelles Types pour Google et Resend ; bases légales RGPD et LPD). Version 2026-09-28 – Correction du § 4 (Supabase : Suisse/Zurich) et du § 5 (les données clients sont stockées en Suisse, à Zurich) ; les deux avaient été annoncés avec la version 2026-09-03 sans être reportés dans ces paragraphes. Version 2026-09-04 – Changement de la raison de commerce, du siège et de l'adresse de domicile du Sous-traitant (désormais : Kubilé IT, Chratzernstrasse 2b, 4803 Vordemwald, canton d’Argovie ; auparavant : bubloo, Kubilé, Pfaffnau/St. Urban LU ; IDE inchangé) et modification correspondante du for (§ 11). Version 2026-09-03 – Mise à jour des sous-traitants ultérieurs et des lieux de traitement (Infomaniak Network SA, Zurich ; Supabase Zurich ; §§ 4, 5), précision du traitement Claude via le profil d'inférence géographique européen d'AWS Bedrock (§ 4), modifications rédactionnelles (orthographe suisse, nom de marque Lokbox). Version 2026-07-06 – Ajout des catégories de données à caractère personnel et des catégories de personnes concernées (§ 2), précision sur l'hébergement des données dans l'UE (§ 5), ajout d'une clause de for (§ 11), clarifications concernant les instructions et les sous-traitants ultérieurs (§§ 3, 4). Version 2026-06-16 – Version initiale.
Dernière mise à jour : 13 octobre 2026
1. Parties
Responsable du traitement (Client) : L'utilisateur des services Lokbox qui traite des données à caractère personnel dans le cadre de son compte. Sous-traitant (Fournisseur) : Kubilé IT, Chratzernstrasse 2b, 4803 Vordemwald, Suisse (IDE : CHE-190.821.402).
2. Objet, Nature et Finalité du Traitement
Le Sous-traitant traite les données à caractère personnel pour le compte et selon les instructions documentées du Responsable du traitement afin de fournir les services Lokbox (automatisation de navigateur assistée par l'IA, traitement de texte et intégrations API). Le traitement comprend la collecte, l'enregistrement, le stockage, la lecture, l'interrogation et la suppression de données. Catégories de données à caractère personnel : données de base des mandants (noms, adresses, coordonnées, informations sur la société et la forme juridique) ; identifiants (par ex. IDE, numéros de registre du commerce, fiscaux et d'assurances sociales, dans la mesure où ils sont saisis par le Responsable du traitement) ; ainsi que les données de tâches du portail (les textes de tâches confiés par le Responsable du traitement, les documents téléversés, le contexte d'accès et les données de résultats et de journalisation générées par l'agent). Catégories de personnes concernées : les mandants du Responsable du traitement et leurs représentants autorisés ou personnes de contact, les collaborateurs et utilisateurs finaux du Responsable du traitement, ainsi que d'autres personnes physiques dont le Responsable du traitement saisit les données dans le cadre d'une tâche.
3. Instructions et Confidentialité
Le Sous-traitant traite les données personnelles exclusivement sur instruction documentée du Responsable du traitement. Si le Sous-traitant estime qu'une instruction enfreint le RGPD, la nLPD ou d'autres dispositions relatives à la protection des données, il en informe le Responsable du traitement dans les meilleurs délais (Art. 28, par. 3, al. 2 du RGPD). Le Sous-traitant garantit que toutes les personnes autorisées à traiter les données (employés) se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.
4. Sous-traitants ultérieurs (Subprocessors)
Le Sous-traitant fait appel notamment aux sous-traitants ultérieurs suivants pour fournir les services : Infomaniak Network SA (hébergement Frontend & Backend, Suisse/Zurich) ; Amazon Web Services (AWS) (plateforme d'inférence Bedrock). Pour le traitement Claude actuel, Lokbox utilise le profil d'inférence géographique européen d'AWS Bedrock, avec Francfort comme région source principale. AWS peut traiter les requêtes dans les régions de destination européennes documentées pour ce profil. Pour le parcours actuel de traitement Claude via Amazon Bedrock, AWS indique que les fournisseurs de modèles n'ont pas accès aux invites ni aux complétions des clients. Toute conservation par AWS dépend du mode de conservation des données Bedrock configuré et des exceptions documentées par AWS. Google Cloud Vertex AI — Région : États membres de l'UE, hors Suisse (Gemini : europe-west4, Pays-Bas ; Claude : multi-région UE, annoncé). Finalité : Résolution et synthèse de réponse avec les modèles Gemini. Gemini : facultatif, uniquement si activé ; pas actif par défaut actuellement. Anthropic Claude via Vertex AI : annoncé, pas encore actif. Plus Five Five, Inc. (Resend) — Région : États-Unis ; envoi via la région UE (Irlande) selon la configuration du compte, traitement du compte et traitement principal aux États-Unis. Finalité : Notifications de compte, de facturation et d'espace de travail (confirmation, réinitialisation du mot de passe, invitations, demandes de documents, récapitulatifs). Supabase (base de données et stockage, Suisse/Zurich) ; Stripe (traitement des paiements, UE/Irlande) ; Sentry (suivi des erreurs, UE de.sentry.io). La liste complète et actualisée des sous-traitants ultérieurs est disponible sur lokbox.ch/subprocessors et fait foi pour l'étendue du consentement donné ; le Responsable du traitement accepte par la présente l'utilisation des sous-traitants ultérieurs qui y sont énumérés. Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données substantiellement équivalentes à celles convenues dans le présent DPA (Art. 28, par. 4 du RGPD). Le Sous-traitant informera le Responsable du traitement en temps opportun de tout changement prévu (ajout ou remplacement) ; le Responsable du traitement peut s'y opposer pour un motif légitime lié à la protection des données.
5. Transferts internationaux de données (Vers des pays tiers)
Lokbox est un fournisseur suisse. Les données clients sont stockées en Suisse (Zurich). Le traitement par l'IA, le traitement des paiements, l'envoi d'e-mails et le suivi des erreurs sont assurés par les sous-traitants ultérieurs mentionnés au § 4 et peuvent avoir lieu hors de Suisse. Si l'utilisation de certaines intégrations (par exemple Notion) implique un transfert de données vers les États-Unis, le Sous-traitant s'appuie sur les Clauses Contractuelles Types (CCT) de la Commission européenne (Art. 46, par. 2, let. c du RGPD ; Art. 16, al. 2, let. d LPD, avec les adaptations suisses) ou, dans la mesure où le destinataire est certifié, sur le EU-U.S. ou Swiss-U.S. Data Privacy Framework (DPF ; décision d'adéquation, Art. 45 du RGPD ; Art. 16, al. 1 LPD). Si les sous-traitants ultérieurs Google Cloud Vertex AI et Plus Five Five, Inc. (Resend) mentionnés au § 4 transfèrent des données vers les États-Unis, le Sous-traitant s'appuie à cet effet sur les Clauses Contractuelles Types (Art. 46, par. 2, let. c du RGPD ; Art. 16, al. 2, let. d LPD, avec les adaptations suisses). Le traitement dans les États de l'UE/EEE a lieu dans des États offrant un niveau de protection des données adéquat (annexe 1 OPDo) ; aucun instrument de transfert supplémentaire n'est requis à cet effet.
6. Mesures Techniques et Organisationnelles (MTO)
Le Sous-traitant a mis en œuvre des mesures techniques et organisationnelles appropriées conformément à l'Art. 32 du RGPD pour garantir un niveau de sécurité adapté au risque. Celles-ci incluent notamment : Chiffrement : Tous les transferts de données (TLS/SSL) ainsi que les données stockées (Data at Rest) sont chiffrés ; Isolement : Les automatisations de navigateur s'exécutent dans des environnements sandbox isolés et éphémères ; Contrôle d'accès : L'accès physique et logique est strictement contrôlé.
7. Obligations d'assistance et Notification des violations de données (Breach Notification)
Le Sous-traitant assiste raisonnablement le Responsable du traitement pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, suppression, etc.). En cas de violation de données à caractère personnel (Data Breach), le Sous-traitant le notifie au Responsable du traitement dans les meilleurs délais après en avoir pris connaissance et l'assiste dans ses obligations légales de notification et de communication (Art. 33, 34 RGPD) ainsi que pour les analyses d'impact.
8. Droits de contrôle et d'audit
Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues dans ce DPA. Le Responsable du traitement (ou un auditeur indépendant mandaté par lui) a le droit d'effectuer des audits et des inspections raisonnables, moyennant un préavis approprié.
9. Conservation et Suppression des données (Rétention)
À la fin des services, le compte utilisateur et les espaces qu'il détient sont d'abord désactivés. Les tours de conversation de la mémoire sont marqués comme supprimés et leur suppression définitive est planifiée après un délai de grâce de 30 jours. Les autres données personnelles sont supprimées ou restituées lorsque les fonctions d'exportation et de suppression disponibles le permettent et qu'aucune obligation légale ou d'audit ne s'y oppose. Lokbox indique l'état actuel et les options disponibles dans les paramètres de l'espace de travail.
10. Durée du Contrat
Ce DPA est conclu pour une durée indéterminée et prend fin automatiquement à la résiliation du contrat principal d'utilisation des services Lokbox.
11. Droit applicable et for
Le présent DPA est régi exclusivement par le droit suisse, à l'exclusion des règles de conflit de lois et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises. Le for exclusif pour tous les litiges découlant du présent DPA ou en relation avec celui-ci est Zofingue (canton d’Argovie), Suisse, sous réserve des fors impératifs prévus par la loi.