Contrat de sous-traitance

Version du 14 octobre 2026

Ce contrat complète les conditions générales. Il s'applique dès que le client (« responsable du traitement », en général une fiduciaire) dépose dans Papeto des données personnelles de ses mandants. VH Group Sàrl (« sous-traitant ») les traite pour son compte, conformément à l'article 9 nLPD et, si applicable, à l'article 28 RGPD. Il est accepté à la création du compte.

1. Objet et durée

Lecture, classement et préparation à l'export des pièces comptables, pendant toute la durée du contrat Papeto.

2. Données et personnes concernées

Pièces comptables et informations qui y figurent : noms, adresses, coordonnées, montants, numéros de TVA, numéros de facture, moyens de paiement. Personnes concernées : les mandants du client, leurs fournisseurs, leurs clients et leurs employés figurant sur les pièces. Le client s'engage à ne pas déposer de données sensibles inutiles (santé, etc.).

3. Instructions

Nous traitons les données uniquement sur instruction documentée du client, telle qu'elle résulte de l'utilisation de Papeto, et jamais à nos propres fins. Si une instruction nous paraît contraire à la loi, nous en informons le client.

4. Confidentialité

Les personnes qui ont accès aux données sont tenues à la confidentialité. L'accès est limité au strict nécessaire.

5. Sécurité

Nous mettons en place des mesures techniques et organisationnelles adaptées : chiffrement des connexions, hébergement en Suisse, pare-feu, accès au serveur par clé uniquement, mises à jour de sécurité automatiques, séparation des données de chaque client, mots de passe brouillés, code de sécurité sur chaque nouvel appareil, journal des connexions. Ces mesures sont améliorées avec le temps.

6. Sous-traitants ultérieurs

Le client autorise les sous-traitants listés sur la page sous-traitants. Nous informons le client par e-mail au moins 30 jours avant tout ajout ou remplacement ; le client peut s'y opposer et, à défaut d'accord, résilier. Nous imposons à chaque sous-traitant des obligations équivalentes.

7. Transferts à l'étranger

La lecture des pièces par l'IA implique un transfert vers les États-Unis (Anthropic), encadré par des clauses contractuelles types et les garanties prévues par la nLPD.

8. Aide au client

Nous aidons le client à répondre aux demandes des personnes concernées (accès, rectification, suppression) et à remplir ses obligations de sécurité et d'analyse d'impact, dans la mesure du raisonnable.

9. Violation de données

Nous informons le client dans les meilleurs délais, au plus tard 48 heures après en avoir eu connaissance, de toute violation de la sécurité touchant ses données, avec les informations utiles à ses propres annonces.

10. Fin du contrat

À la fin du contrat, le client peut exporter ses données pendant 30 jours. Nous les supprimons ensuite, copies de sauvegarde comprises au plus tard 60 jours plus tard, sauf obligation légale de les garder.

11. Contrôle

Nous mettons à disposition les informations nécessaires pour démontrer le respect de ce contrat et répondons aux questions du client par écrit. Un audit sur place est possible une fois par an, avec un préavis de 30 jours, aux frais du client.