Accord de sous-traitance (art. 28 RGPD et art. 9 nLPD)

Version du 6 octobre 2026.

Cet accord encadre les données personnelles que benevol.app traite pour le compte de votre organisation. Il répond à l'article 28 du règlement général sur la protection des données (RGPD) et à l'article 9 de la loi fédérale suisse sur la protection des données (nLPD). Il complète les conditions générales d'utilisation et s'applique dès que votre organisation utilise le service.

1. Parties

Responsable du traitement : l'organisation qui utilise benevol.app (« vous »), représentée par les propriétaires de son espace d'administration.
Sous-traitant : Philippe Vollenweider, particulier, éditeur de benevol.app (« nous »). Contact pour la protection des données : contact@benevol.app.

2. Objet et durée

Objet : les traitements de données personnelles que nous effectuons pour votre compte dans le cadre du service, décrits à l'annexe I.
Durée : celle de votre utilisation du service, puis jusqu'à l'effacement prévu à l'article 12.

3. Documents applicables

Pour tout ce qui touche à la protection des données que nous traitons pour votre compte, cet accord prévaut sur les conditions générales d'utilisation. Les annexes font partie de l'accord.

4. Instructions documentées

Nous ne traitons vos données que sur vos instructions documentées, y compris pour tout transfert vers un pays tiers. Votre utilisation du service (réglages, saisies, invitations, envois) vaut instruction pour les traitements de l'annexe I. Vous pouvez aussi nous donner des instructions par email à contact@benevol.app.
Nous vous informons immédiatement si une instruction nous semble contraire au droit applicable.
Seule exception : une obligation légale qui nous imposerait un traitement. Nous vous en informons alors avant le traitement, sauf si la loi l'interdit.

5. Confidentialité

Les personnes autorisées à traiter vos données sont tenues à la confidentialité, par engagement ou par la loi. Nous ne vendons, ne louons et ne communiquons pas vos données à des tiers non autorisés.

6. Sécurité

Nous appliquons les mesures techniques et organisationnelles de l'annexe II. Nous pouvons les faire évoluer sans en abaisser le niveau, et vous informons de tout changement important.

7. Sous-traitants ultérieurs

Autorisation : vous nous autorisez de manière générale à faire appel aux sous-traitants de la liste des sous-traitants, qui constitue l'annexe III.
Changements : nous vous informons par email, au moins 30 jours à l'avance, de tout ajout ou remplacement d'un sous-traitant, et nous mettons la liste à jour.
Opposition : pendant ce délai, vous pouvez vous y opposer pour un motif raisonnable, à contact@benevol.app. Nous cherchons alors une solution avec vous. À défaut, vous pouvez cesser d'utiliser le service, après avoir exporté vos données, et nous les effaçons comme prévu à l'article 12.
Nous veillons à ce que chaque sous-traitant ultérieur soit tenu d'obligations de protection des données adaptées au traitement qu'il effectue, et nous restons responsables envers vous de leur exécution. La liste indique, pour chacun, les garanties en place.

8. Transferts internationaux

Vos données sont hébergées en France. La copie de sauvegarde hors site est stockée en Suisse, chiffrée avant l'envoi. Tout transfert vers un pays qui ne bénéficie pas d'une décision d'adéquation (de la Commission européenne ou du Conseil fédéral suisse) repose sur une garantie reconnue, comme les clauses contractuelles types de la Commission européenne. La liste des sous-traitants indique, pour chacun, la localisation et les garanties de transfert.

9. Droits des personnes concernées

Nous vous aidons, par des mesures appropriées, à répondre aux demandes des personnes concernées : accès, rectification, effacement, limitation, portabilité et opposition.
Le service vous permet de le faire vous-même : export des membres, de l'archive d'un événement et du journal d'activité ; modification et désactivation d'un membre ; effacement des données personnelles d'un membre depuis sa fiche, par un propriétaire ou un organisateur.
Si une personne nous adresse directement sa demande, nous vous la transmettons dans un délai de 72 heures, sans y répondre sur le fond.

10. Assistance pour vos autres obligations

Compte tenu des informations dont nous disposons, nous vous aidons à assurer la sécurité du traitement, à notifier et communiquer une violation de données, à mener une analyse d'impact et, si nécessaire, à consulter l'autorité de contrôle.

11. Violations de données

Nous vous informons de toute violation de données qui vous concerne sans délai injustifié, aussi rapidement que possible après en avoir pris connaissance, par email aux propriétaires de votre espace.
Notre information précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables, les mesures prises ou proposées et un point de contact. Nous la complétons au fur et à mesure.
C'est à vous de décider de la notification à l'autorité compétente (le Préposé fédéral à la protection des données et à la transparence en Suisse, l'autorité de contrôle compétente dans l'Union européenne) et de l'information des personnes concernées.

12. Fin du traitement

À la fin de votre utilisation du service, vous pouvez exporter vos données depuis l'administration. Nous les effaçons ensuite, sauf obligation légale de les conserver : les données d'une organisation désactivée sont effacées automatiquement 30 jours après sa désactivation.
Vos données restent dans les sauvegardes chiffrées jusqu'à la fin de leur rotation (30 jours sur le serveur, 90 jours pour la copie hors site), sans restauration partielle possible. Si une sauvegarde devait être restaurée, les effacements intervenus depuis seraient appliqués de nouveau.
Sur demande, nous vous confirmons l'effacement par écrit.

13. Preuves et audits

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de cet accord : les mesures de l'annexe II, la liste des sous-traitants et, sur demande, les informations utiles sur les incidents qui vous concernent.
Un audit, par vous ou par un auditeur indépendant tenu à la confidentialité, peut être convenu sur demande écrite. Sa date, son périmètre et ses conditions sont fixés ensemble à l'avance, et ses frais restent à votre charge.

14. Vos obligations

En tant que responsable du traitement, vous :

déterminez la base légale de vos traitements et informez les personnes concernées (bénévoles, membres, responsables de secteur) ;
veillez à l'exactitude de ce que vous saisissez et n'y mettez que ce qui est nécessaire ;
évitez de saisir des données sensibles (santé, opinions, religion, par exemple) dans les champs libres, sauf si c'est nécessaire à l'organisation de votre événement et que les personnes en sont informées ;
utilisez le service pour les finalités de l'annexe I.

15. Responsabilité et droit applicable

La responsabilité des parties, le droit applicable et le for sont ceux des conditions générales d'utilisation, sous réserve des dispositions impératives du droit de la protection des données applicable à votre organisation.

16. Modifications

Nous pouvons faire évoluer cet accord, notamment pour suivre la loi ou le service. La date de version en haut de cette page change à chaque mise à jour, et nous vous informons par email de toute modification importante.

Annexe I : description du traitement

Personnes concernées : vos bénévoles et membres ; les responsables de secteur que vous désignez ; les administrateurs de votre espace.
Catégories de données :
- identité et coordonnées : prénom, nom, adresse email, téléphone ;
- date de naissance, seulement pour un créneau avec un âge minimum ;
- inscriptions, liste d'attente et présences ; acceptation de votre charte du bénévole ;
- réponses aux questions de vos événements ;
- disponibilités, étiquettes et notes internes ;
- commentaires et autres champs libres ;
- communications : emails, messages ciblés, notifications du navigateur et abonnements à ces notifications ;
- liens personnels d'accès (inscription, invitation, responsable de secteur) ;
- contacts des créneaux et contact le jour J d'un événement ;
- journaux d'activité (qui a fait quoi, et quand).
Catégories particulières : le service n'en demande aucune ; les champs libres peuvent en recevoir (voir l'article 14).
Nature des opérations : hébergement, enregistrement, consultation, modification, envoi d'emails et de notifications, export, sauvegarde, effacement.
Finalités : planifier les bénévoles de vos événements ; gérer les inscriptions ; envoyer les communications que vous décidez ; produire les exports et documents que vous demandez.
Durées de conservation : celles indiquées dans la politique de confidentialité.

Annexe II : mesures techniques et organisationnelles

chiffrement des échanges (HTTPS, certificats renouvelés automatiquement) ;
liens personnels et invitations stockés sous forme d'empreinte (SHA-256) et chiffrés (AES-256-GCM, clé conservée hors de la base de données) ;
mots de passe des administrateurs hachés (bcrypt) ; sessions invalidées au changement de mot de passe ;
séparation stricte des données entre organisations, vérifiée par des tests automatiques ;
rôles d'administration (propriétaire, organisateur) vérifiés par le serveur à chaque requête ;
limitation de fréquence des requêtes, contre les abus ;
liens personnels exclus des journaux d'accès et des rapports d'erreur ; aucune adresse de page transmise aux sites externes (en-tête Referer) ;
journaux d'activité sans les valeurs personnelles modifiées ;
rapports d'erreur allégés avant l'envoi ;
sauvegardes quotidiennes chiffrées (AES-256), copie hors site déjà chiffrée, durée de conservation limitée ;
effacements automatiques selon les durées de conservation ; registre des effacements, pour les appliquer de nouveau après une éventuelle restauration.

Annexe III : sous-traitants ultérieurs autorisés

La liste des sous-traitants, dans sa version en vigueur.