Contrat de sous-traitance

État : 25.10.2026 (projet, examen juridique en attente). Seule la version allemande fait foi.

Contrat de sous-traitance
entre le client au sens des conditions générales d'igs.ch (ci-après « client », responsable du traitement)
et Hunkeler Digital Services, Richard Hunkeler, Im Storchen 1, 8212 Neuhausen am Rheinfall, Suisse (ci-après « igs.ch », sous-traitant)

1. Objet et durée

• Le présent contrat régit le traitement de données personnelles par igs.ch pour le compte du client au sens de l'art. 9 de la loi fédérale sur la protection des données (LPD). Dans la mesure où le règlement général sur la protection des données de l'UE (RGPD) s'applique au client, il vaut également contrat au sens de l'art. 28 RGPD.
• Il fait partie intégrante des conditions générales (CG) d'igs.ch et s'applique pendant la durée du contrat ainsi que jusqu'à l'effacement des données selon le chiffre 9.
• Si un partenaire utilise la plateforme pour ses propres organisations clientes, igs.ch traite les données en tant que sous-traitant ultérieur du partenaire. Le partenaire s'assure qu'il peut faire appel à igs.ch en vertu des contrats conclus avec ses organisations clientes.

2. Nature et finalité du traitement

igs.ch reçoit les rapports agrégés DMARC (rua) concernant les domaines du client à l'adresse de rapport correspondante, les relève via IMAP, les lit, attribue les serveurs de messagerie expéditeurs à des expéditeurs (catalogue de services connus, DNS inverse, opérateur de réseau), les enregistre, les agrège, les affiche et les efface exclusivement afin de mettre à la disposition du client l'inventaire des expéditeurs, les résultats de contrôle et des recommandations pour l'introduction de l'authentification des e-mails. En outre, igs.ch gère les tâches de correction des erreurs que le client assigne aux utilisateurs de son compte ou à des personnes externes sans compte, avec historique, réponses et fichiers. À la demande du client, igs.ch reçoit et évalue en outre les rapports TLS-RPT relatifs à ses domaines et met à disposition sa politique MTA-STS dans les formules Projet et Partenaire.

3. Catégories de personnes concernées et de données

• Personnes concernées : exploitants et utilisateurs de serveurs de messagerie qui envoient des e-mails au nom des domaines du client, y compris les tiers qui utilisent le domaine sans autorisation ; organisations déclarantes ; personnes externes auxquelles le client assigne des tâches (p. ex. collaborateurs d'un partenaire informatique).
• Données par rapport : période du rapport, organisation déclarante et identifiant du rapport ; l'e-mail de rapport reçu avec en-têtes et pièce jointe jusqu'à sa suppression.
• Données par ligne de rapport : adresse IP du serveur de messagerie expéditeur, nombre d'e-mails, disposition, résultats SPF et DKIM, domaines et sélecteurs, alignement, domaine figurant dans le champ expéditeur (header-from) ; en sont déduits le nom d'hôte (DNS inverse), l'opérateur de réseau (ASN), l'attribution à un expéditeur et sa classification par le client ; agrégats journaliers par expéditeur.
• Données issues des rapports TLS-RPT : période du rapport, organisation déclarante avec adresse de contact, identifiant du rapport, politique, nombre de connexions chiffrées réussies et échouées, type d'erreur, nom et adresse IP du serveur de messagerie destinataire ainsi que, si elle est indiquée, adresse IP du serveur expéditeur.
• Ne sont pas traités les contenus d'e-mails, les lignes d'objet et les adresses de destinataires. Les rapports forensiques (ruf) sont écartés sans évaluation.
• Les adresses IP appartiennent pour la plupart à des systèmes d'entreprises et de fournisseurs de messagerie ; un rapport avec une personne peut exister ponctuellement (p. ex. serveur de messagerie propre d'une personne exerçant une activité indépendante). Le traitement de données personnelles sensibles n'est pas prévu.
• Données relatives aux tâches : expéditeur, erreurs constatées, délai, statut, historique avec réponses, notes internes et fichiers téléversés ; pour les personnes externes, adresse e-mail, nom (facultatif), langue et moments de consultation du lien personnel ; réponses de la personne assignée par e-mail à order@igs.ch (texte sans citation, pièces jointes dans les formats admis).
• Si d'autres fonctions sont proposées dans le cadre desquelles igs.ch traite des données personnelles pour le compte du client, igs.ch complète au préalable le présent chiffre conformément au chiffre 11 des CG.

4. Instructions

• igs.ch traite les données uniquement sur instructions documentées du client. Valent instructions le présent contrat, les réglages et actions du client sur la plateforme (p. ex. ajout et retrait de domaines, classification d'expéditeurs, assignation et clôture de tâches) et les communications écrites des utilisateurs principaux.
• Si igs.ch estime qu'une instruction est illicite, elle en informe immédiatement le client et peut en suspendre l'exécution jusqu'à clarification.
• Aucun traitement à des fins propres n'a lieu. Font exception les données qu'igs.ch traite en tant que responsable (compte et utilisateurs, facturation, sécurité de la plateforme, rapports qui ne peuvent être attribués à aucun client) ; la déclaration de protection des données s'y applique.

5. Confidentialité

igs.ch oblige toutes les personnes ayant accès aux données à la confidentialité. L'accès est limité à ce qui est nécessaire pour l'exploitation, l'assistance et la sécurité.

6. Sécurité des données

igs.ch prend les mesures techniques et organisationnelles selon l'annexe 2 et les adapte à l'état de la technique. Les modifications ne doivent pas réduire le niveau de protection.

7. Sous-traitants ultérieurs

• Le client autorise les sous-traitants ultérieurs selon l'annexe 1.
• igs.ch informe le client par e-mail au moins 30 jours à l'avance de l'engagement ou du remplacement d'un sous-traitant ultérieur. Le client peut s'y opposer pour un motif important dans ce délai ; à défaut d'accord, il peut résilier l'abonnement pour la date du changement, avec remboursement au prorata des montants déjà payés, ou fermer un compte de la formule Gratis.
• igs.ch impose aux sous-traitants ultérieurs les obligations du présent contrat, dans la mesure où elles s'appliquent à leur prestation.
• Un traitement hors de Suisse n'a lieu que dans des États offrant une protection adéquate selon l'annexe 1 de l'ordonnance sur la protection des données ou avec des garanties appropriées. Demeurent réservées les interrogations de services d'annuaire publics selon l'annexe 1, lors desquelles seule l'adresse IP d'un serveur de messagerie expéditeur est transmise.

8. Assistance au client

• Droits des personnes concernées : igs.ch transmet au client les demandes qui lui parviennent directement et l'assiste pour l'accès, la rectification, l'effacement et la remise des données. Le client peut lui-même supprimer sur la plateforme des domaines et les données de rapport correspondantes et télécharger ses données.
• Violations de la sécurité des données : igs.ch annonce au client toute violation concernant ses données le plus rapidement possible, en règle générale dans les 48 heures après en avoir eu connaissance, avec les informations disponibles sur la nature, l'étendue, les conséquences et les mesures prises. Les informations complémentaires suivent.
• igs.ch assiste le client de manière appropriée lors d'analyses d'impact relatives à la protection des données et pour les demandes des autorités de surveillance, dans la mesure où le traitement par igs.ch est concerné.

9. Restitution et effacement

• Le client peut télécharger ses données à tout moment dans l'espace client.
• Pendant le contrat, igs.ch efface les données selon les délais suivants : e-mails de rapport dans la boîte aux lettres après 7 jours ; rapports concernant des domaines sans preuve de propriété après 7 jours au maximum ; lignes de rapport individuelles après 30 jours dans la formule Gratis et après 13 mois dans les formules Projet et Partenaire ; ensuite, seuls subsistent des agrégats journaliers par expéditeur, tant que le domaine est saisi dans le compte ; tâches avec historique, fichiers et indications des personnes externes 24 mois après leur clôture ; les liens pour les personnes externes sont valables 30 jours au maximum. Si le client retire un domaine, igs.ch efface les données de rapport et les tâches correspondantes.
• Après la fin de l'abonnement ou après une interruption pour non-paiement, les données sont conservées 90 jours, puis effacées, sauf si elles sont maintenues dans les limites de la formule Gratis (chiffre 6 des CG). igs.ch le rappelle auparavant aux utilisateurs principaux par e-mail tous les 10 jours. Si le client ferme son compte, les données sont effacées immédiatement.
• Des données effacées peuvent subsister dans les sauvegardes jusqu'à leur échéance (annexe 2) ; elles ne sont plus traitées et ne redeviennent disponibles qu'en cas de restauration.
• igs.ch consigne les effacements sur demande et les fermetures de comptes dans un registre des effacements et les répète après la restauration d'une sauvegarde ; la plateforme répète elle-même les effacements automatiques à l'échéance des délais. igs.ch ne tient pas de registre des effacements de contenus individuels par le client (journal des effacements) : si une sauvegarde doit être restaurée, de tels contenus peuvent réapparaître, en règle générale au plus les effacements des 12 dernières heures. Dans ce cas, igs.ch en informe le client sans délai afin qu'il puisse répéter l'effacement.
• Les factures et preuves qu'igs.ch doit conserver sont gardées pendant le délai légal.

10. Preuves et contrôles

• Renseignements : igs.ch met à la disposition du client, sur demande, les informations nécessaires pour démontrer le respect du présent contrat, notamment les mesures techniques et organisationnelles actuelles (annexe 2), la liste des sous-traitants ultérieurs (annexe 1), un résumé du dernier test de restauration des sauvegardes ainsi que des réponses écrites à un questionnaire du client. Le client voit le journal des actions de son propre compte directement dans igs.ch.
• Contrôle : si les renseignements ne suffisent manifestement pas, le client peut contrôler lui-même le respect du contrat ou le faire contrôler par un auditeur ; de même après une violation de la sécurité des données concernant ses données ou si une autorité de surveillance l'exige. L'auditeur doit être tenu au secret et ne doit pas être un concurrent d'igs.ch.
• Déroulement : un contrôle doit être annoncé par écrit au moins 30 jours à l'avance, après une violation de la sécurité des données 5 jours ouvrables. Il a lieu au maximum une fois tous les 12 mois, sauf après une violation ou à la demande d'une autorité de surveillance, et dure en règle générale au maximum un jour ouvrable.
• Forme : les contrôles se font à distance (visioconférence, consultation de documents et de réglages). Un contrôle sur place n'a lieu que si le contrôle à distance ne suffit manifestement pas, si une autorité de surveillance l'exige ou après une violation grave de la sécurité des données concernant les données du client. Il est effectué par un auditeur indépendant tenu au secret, en un lieu en Suisse désigné par igs.ch ; les frais sont à la charge du client. Pour le centre de données de l'hébergeur, les preuves de celui-ci font foi ; les visites du centre de données ne sont pas possibles.
• Limites : le contrôle ne comprend aucun accès aux données d'autres clients, au code source, aux clés ou aux données d'accès, ni aux secrets d'affaires d'igs.ch. Les tests de sécurité contre la plateforme (p. ex. tests d'intrusion ou scans) ne sont admis qu'avec l'accord écrit préalable d'igs.ch et selon des règles convenues.
• Frais : un renseignement est gratuit une fois tous les 12 mois. Pour d'autres renseignements et pour les contrôles, chaque partie supporte ses propres frais ; igs.ch facture son travail à CHF 180 de l'heure. Si un contrôle révèle une violation importante du présent contrat par igs.ch, celle-ci supporte elle-même ses frais.
• Résultats : le client remet à igs.ch le résultat du contrôle. igs.ch corrige les défauts constatés dans un délai approprié et informe le client des mesures prises.
• Autorités : les contrôles des autorités de surveillance compétentes sont réservés ; les limitations du présent chiffre ne s'appliquent pas à elles dans la mesure prévue par le droit.

11. Responsabilité et dispositions finales

• La responsabilité est régie par les CG.
• En cas de contradiction, le présent contrat prime sur les CG pour ce qui concerne la protection des données personnelles.
• Le droit suisse est applicable. Le for est à Schaffhouse. La version allemande fait foi.
• Le présent contrat fait partie intégrante des CG et est conclu par voie électronique lors de leur acceptation à l'inscription ; un consentement séparé n'est pas nécessaire. La version des CG, le moment, la personne et l'adresse IP sont journalisés. Les modifications sont régies par le chiffre 11 des CG. La version en vigueur est publiée sur igs.ch.

Annexe 1 : sous-traitants ultérieurs

• Server4You GmbH, Hanau (Allemagne) : mise à disposition du serveur dédié d'igs.ch (plateforme, base de données, fichiers, boîte aux lettres pour les rapports agrégés, envoi d'e-mails) dans un centre de données à Strasbourg (France) ; igs.ch assure elle-même l'administration du système. La France et l'Allemagne sont des États offrant une protection adéquate des données. Il n'existe pas encore de contrat de sous-traitance distinct avec Server4You ; igs.ch vise sa conclusion d'ici au 31.03.2027. Des sauvegardes chiffrées sont en outre conservées sur un ordinateur séparé appartenant à igs.ch, en Suisse.
• Interrogation de services d'annuaire publics (pas des sous-traitants ultérieurs au sens strict, indiqués par souci de transparence) : Team Cymru, Inc. (États-Unis), service « IP to ASN », interrogé par DNS afin de déterminer l'opérateur de réseau (ASN) d'un serveur de messagerie expéditeur ; interrogations DNS inverses adressées aux serveurs de noms compétents pour la plage IP concernée. Seule l'adresse IP du serveur de messagerie expéditeur est transmise, sans indication sur le client, le domaine ou des e-mails.
• Let's Encrypt (Internet Security Research Group, États-Unis ; pas un sous-traitant ultérieur au sens strict, mentionné par transparence) : émission du certificat pour les noms mta-sts.<domaine> en cas de MTA-STS hébergé. Seuls ces noms sont transmis ; ils sont journalisés publiquement selon la procédure Certificate Transparency.
• Ne sont pas des sous-traitants ultérieurs les services qu'igs.ch utilise en tant que responsable, p. ex. le programme de comptabilité cash.simples.ch (serveur de Server4You GmbH, centre de données de Strasbourg) et le service de paiement Revolut pour les paiements par carte.
• Les e-mails à des destinataires externes sont remis via leurs propres fournisseurs de messagerie.

Annexe 2 : mesures techniques et organisationnelles

• Accès : connexion avec mot de passe (enregistré uniquement sous forme de hachage) et second facteur obligatoire (code d'une application d'authentification, clé enregistrée de manière chiffrée) ; exception : appareils de confiance uniquement sur demande et pour 90 jours au plus ; déconnexion après inactivité ; codes de récupération uniquement sous forme de hachage ; limitation des tentatives de connexion.
• Autorisations : séparation des mandants à chaque requête ; rôles utilisateur principal, éditeur et lecteur ; invitation d'autres utilisateurs uniquement par les utilisateurs principaux ; via un lien aléatoire, limité dans le temps et révocable (enregistré uniquement sous forme de hachage), les personnes externes ne voient que la tâche qui leur est assignée, sans notes internes.
• Réception des rapports : adresse de rapport propre à chaque domaine, aléatoire et impossible à deviner ; évaluation uniquement si l'identifiant concorde dans tous les en-têtes et si le domaine figurant dans le rapport correspond à l'identifiant, à défaut classement comme défectueux et mention dans le journal système ; évaluation uniquement pour les domaines dont la propriété est prouvée ; relève via IMAP exclusivement par TLS ; données d'accès de la boîte aux lettres hors du répertoire web ; vérification de la signature DKIM de l'e-mail de rapport, les rapports non authentifiés sont signalés et ne comptent pas pour les recommandations.
• Lecture des rapports : analyseur XML avec entités externes désactivées (protection contre XXE) ; uniquement les types de fichiers admis (XML, GZIP, ZIP) ; limites de taille par pièce jointe et pour la taille décompressée (protection contre les bombes ZIP) ; détection des rapports en double ; les rapports forensiques sont écartés.
• Minimisation des données : pas de contenus d'e-mails, pas de lignes d'objet ni d'adresses de destinataires ; suppression des e-mails de rapport après 7 jours ; conservation limitée des lignes de rapport, ensuite uniquement des agrégats journaliers (chiffre 9) ; seule l'adresse IP du serveur de messagerie est transmise aux services d'annuaire externes.
• Transmission : exclusivement chiffrée (HTTPS) ; Content-Security-Policy stricte sans contenus de tiers ; polices servies depuis notre propre serveur ; pas de suivi.
• Stockage : fichiers hors du répertoire web ; fichiers téléversés pour les tâches uniquement dans des formats admis (vérifiés d'après leur contenu), avec limite de taille et fourniture uniquement en téléchargement ; clés du second facteur chiffrées.
• Journalisation : actions importantes avec moment et personne (l'adresse e-mail est conservée après la suppression d'un login) ; accès aux interfaces (relève des rapports, exportations) dans une base de données séparée avec chaîne de hachage rendant décelable toute modification ultérieure (6 mois) ; journal système des rapports écartés.
• Sauvegarde : sauvegarde chiffrée de la base de données et des fichiers au moins toutes les 12 heures avec copie sur un ordinateur séparé qui nous appartient, en Suisse ; perte de données de 12 heures au maximum, redémarrage dans un délai d'un jour ouvrable ; conservation des sauvegardes 6 mois au maximum ; registre des effacements pour les demandes et fermetures de comptes, pas de journal des effacements pour les contenus individuels (chiffre 9).
• Exploitation : mises à jour du système d'exploitation et des logiciels ; surveillance de l'état du système (boîte aux lettres, relève, entrées DNS d'igs.ch, rapports non traités) et des sauvegardes avec alerte ; limitation de l'envoi d'e-mails.
• Organisation : engagement de confidentialité, accès aux données des clients uniquement si nécessaire pour l'exploitation et l'assistance, vérification régulière de ces mesures.