1. Parties et objet
Ce contrat s'applique entre vous, en tant que client professionnel de Klyrenta (responsable du traitement), et l'exploitant de Klyrenta indiqué dans les mentions légales (sous-traitant). Il porte sur les données personnelles contenues dans les documents que vous téléversez, ou que vos clients téléversent au moyen d'un lien privé de la boîte à justificatifs, par exemple les noms, adresses, coordonnées bancaires et montants de fournisseurs, de clients et de collaborateurs.
2. Finalité et instructions
Nous traitons ces données uniquement pour fournir le service que vous utilisez : lire les documents, les contrôler, vous montrer les résultats et les conserver pour le téléchargement. Votre utilisation du service et vos réglages valent instructions. Nous n'utilisons pas les données à nos propres fins, ne les vendons pas et ne les utilisons pas pour entraîner des modèles d'IA. Si nous estimons qu'une instruction viole la protection des données, nous vous en informons.
3. Confidentialité
Nous traitons les données de manière confidentielle. Seul l'exploitant de Klyrenta y a accès, et uniquement dans la mesure nécessaire pour faire fonctionner le service, répondre à vos questions ou corriger une panne. Toute personne à laquelle nous faisons appel est tenue à la même confidentialité. Nous savons que les fiduciaires et d'autres clients peuvent être tenus au secret professionnel envers leurs propres clients ; nous traitons les données en conséquence.
4. Sécurité des données
Nous prenons des mesures techniques et organisationnelles adaptées au risque (art. 8 LPD), en particulier :
- Site et données sur des serveurs en Suisse (hébergement par Infomaniak Network SA) ; toutes les connexions sont chiffrées (HTTPS).
- Accès à l'espace client uniquement par un lien de connexion unique envoyé à votre adresse e-mail ; les liens de téléversement de la boîte à justificatifs sont longs et aléatoires, et peuvent être renouvelés ou désactivés à tout moment.
- Les fichiers téléversés sont supprimés 90 jours après le traitement ; le site ne charge ni scripts ni contenus d'autres prestataires et n'utilise aucun suivi.
- Une limitation du nombre de tentatives et de téléversements protège contre les abus.
5. Sous-traitants ultérieurs
Vous nous autorisez à faire appel aux sous-traitants ultérieurs suivants. Des contrats les obligent à protéger et à sécuriser les données :
- Infomaniak Network SA, Suisse : hébergement du site et stockage des données.
- Anthropic Ireland, Limited, Irlande, avec traitement par Anthropic PBC aux États-Unis : lecture du contenu des documents téléversés. Anthropic ne peut pas utiliser ce contenu pour entraîner ses modèles ; selon Anthropic, les entrées et sorties sont supprimées dans un délai de 30 jours, sauf si une conservation plus longue est requise par la loi ou pour faire appliquer sa politique d'utilisation.
Ne sont pas des sous-traitants : Stripe, qui traite les paiements en tant que responsable propre et ne reçoit jamais vos documents, et l'Office fédéral de la statistique (OFS), qui ne reçoit que les numéros TVA publics des fournisseurs pour les rechercher dans le registre IDE.
Avant d'ajouter ou de remplacer un sous-traitant ultérieur, nous vous en informons par e-mail au moins 30 jours à l'avance. Vous pouvez vous y opposer ; si nous ne trouvons pas de solution, vous pouvez mettre fin au contrat pour la date du changement.
6. Communication à l'étranger
Selon le Conseil fédéral, l'Irlande dispose d'une protection des données adéquate. Pour le traitement aux États-Unis, le contrat de traitement des données d'Anthropic contient les clauses contractuelles types de la Commission européenne avec les adaptations pour la Suisse, reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT) (art. 16, al. 2, let. d, LPD).
7. Soutien
Nous vous aidons, dans la mesure du possible, à répondre aux demandes des personnes concernées (par exemple d'accès ou d'effacement) et à remplir vos autres obligations selon la LPD. Les demandes qui nous parviennent directement vous sont transmises.
8. Violations de la sécurité des données
Si nous apprenons une violation de la sécurité des données qui concerne vos données, nous vous en informons sans délai, au plus tard dans les 48 heures, avec les informations dont nous disposons, afin que vous puissiez évaluer si vous devez l'annoncer au PFPDT (art. 24 LPD).
9. Durée et effacement
Ce contrat s'applique tant que nous traitons des données pour vous. Les fichiers téléversés sont supprimés 90 jours après le traitement. Si vous nous demandez de fermer votre compte ou d'effacer vos données, nous effaçons vos documents et résultats dans un délai de 30 jours ; téléchargez auparavant ce que vous souhaitez conserver. Un compte sans aucune activité pendant 24 mois est supprimé avec ses documents et résultats, sauf si un abonnement mensuel est encore en cours ou si un crédit payé n'est pas encore utilisé. Nous vous en informons par e-mail 30 jours avant ; il suffit de vous connecter pour conserver le compte. Les copies de sauvegarde sont écrasées au plus tard après 35 jours. Les données que la loi nous oblige à conserver (par exemple les justificatifs de paiement) ne sont conservées qu'à cette fin.
10. Informations et contrôles
Sur demande, nous vous fournissons les informations nécessaires pour vérifier que nous respectons ce contrat. Des contrôles plus poussés, par exemple par un organe de contrôle tenu au secret, sont possibles sur accord et à vos frais.
11. Dispositions finales
Ce contrat fait partie des conditions générales. Dans la mesure où il règle plus précisément la protection des données, il prévaut. Le droit suisse s'applique ; le for est celui des conditions générales.