Contrat de sous-traitance des données.

01Objet

Le présent contrat de sous-traitance (ci-après « DPA ») définit les conditions dans lesquelles Neolia Sàrl (ci-après le « Sous-traitant ») traite, pour le compte du responsable du traitement (ci-après le « Responsable »), des données personnelles relatives aux résidents, aux visiteurs et aux utilisateurs des immeubles équipés des services Neolia.

Le DPA est une annexe indissociable des CGV Neolia et de chaque contrat d'exploitation. En cas de divergence sur le traitement des données, il prévaut. Il continue de s'appliquer tant que le Sous-traitant traite des données pour le Responsable, y compris pour le socle d'interphonie maintenu sans facturation après la fin d'un contrat d'exploitation ou pendant une suspension pour impayé.

02Rôles et désignations

Quatre rôles distincts. (1) Le titulaire du contrat en est la partie commerciale et le débiteur. (2) Le Responsable décide des finalités et des moyens des traitements des données des résidents ; c'est en principe le propriétaire, ou la régie selon son mandat. (3) Les personnes habilitées sont celles que le Responsable autorise à gérer les occupants dans l'interface de gestion. (4) Le Sous-traitant et ses sous-traitants ultérieurs traitent les données sur instruction.

• Le titulaire n'est pas, du seul fait qu'il signe ou qu'il paie, le Responsable. Un constructeur qui finance le service, y compris par des mois offerts, n'obtient de ce fait aucun accès aux données des résidents.
• Le Responsable et les personnes habilitées sont désignés par écrit avant le début des traitements, notamment avant la première activation d'un bâtiment. Le Sous-traitant ne crée aucun compte de résident et ne traite aucune donnée de résident avant cette désignation. Le présent DPA ne crée aucun mandat entre le propriétaire et la régie : leurs rôles respectifs sont confirmés par eux.
• Changement de titulaire ou de régie. L'avenant de transfert confirme le Responsable et les personnes habilitées. Les instructions en cours restent valables jusqu'à leur modification par le Responsable. Les accès de la régie sortante sont révoqués à la date d'effet.
• Service de base. Après la fin d'un contrat d'exploitation, le Responsable reste celui désigné en dernier, et la régie conserve un accès administratif limité aux opérations nécessaires à ce service (article 12 des CGV).

Pour les traitements relevant de l'exploitation propre de Neolia (comptes des clients, facturation, statistiques d'usage agrégées, amélioration du produit), Neolia agit en qualité de responsable du traitement distinct, encadré par sa politique de confidentialité.

03Traitements, selon les services souscrits

Les traitements dépendent des services souscrits. Le contrat d'exploitation ou la souscription indique lesquels. L'Annexe 1 décrit chaque traitement et sa durée de conservation, l'Annexe 2 les sous-traitants ultérieurs de chaque groupe.

• Nécessaires au bâtiment connecté : acheminement des appels de la porte vers l'application, un téléphone ordinaire ou un écran prêté ; ouverture de porte et journal des ouvertures ; relevé des compteurs et décompte individuel ; transmission des alarmes techniques ; comptes et notifications des résidents ; support.
• Plateforme de gérance, lorsqu'elle est souscrite : gestion des baux, des documents et des messages, y compris l'analyse assistée des documents.
• Intégrations facultatives : connecteurs vers des services tiers, qui ne reçoivent rien tant que le Responsable ou le résident ne les a pas activés.
• Services non activés : aucune donnée n'est traitée pour un service qui n'est ni souscrit ni activé.

La durée du traitement correspond à la durée du contrat, prolongée du socle d'interphonie s'il fonctionne et des durées de conservation de l'Annexe 1.

04Instructions du Responsable

Le Sous-traitant ne traite les données que sur instructions documentées du Responsable. Les CGV, le contrat d'exploitation, le DPA et les paramètres de l'interface de gestion constituent les instructions standards. Toute instruction additionnelle est formulée par écrit par une personne habilitée du Responsable.

Le Sous-traitant informe sans délai le Responsable s'il estime qu'une instruction viole la nLPD, le RGPD lorsqu'il s'applique, ou d'autres dispositions applicables.

05Confidentialité du personnel

Le Sous-traitant ne donne accès aux données personnelles qu'aux personnes qui en ont besoin pour exécuter le contrat, selon le principe du moindre privilège. Chacune est soumise, avant son accès, à une obligation écrite de confidentialité et reçoit une consigne écrite décrivant ce qu'elle peut consulter. La liste des personnes habilitées chez le Sous-traitant est tenue à jour et communiquée au Responsable sur demande.

06Mesures techniques et organisationnelles

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, décrites telles qu'elles existent à la date de la présente version, limites comprises, à l'Annexe 3 et dans la charte sécurité. Il ne promet pas de mesure qui n'est pas en place. En particulier, le chiffrement n'est pas généralisé : l'Annexe 3 indique ce qui est chiffré et ce qui ne l'est pas. Toute amélioration est annoncée par une nouvelle version du DPA.

07Sous-traitants ultérieurs

Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs listés à l'Annexe 2, pour les services souscrits ou activés. Le Sous-traitant :

• impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA ;
• demeure responsable envers le Responsable de l'exécution de ces obligations ;
• informe le Responsable de tout ajout ou remplacement avec un préavis de 30 jours, qui ouvre un droit d'opposition motivé ;
• indique pour chacun, à l'Annexe 2, l'état de ses garanties. Un sous-traitant marqué « à régulariser » ne reçoit pas de données des résidents d'un bâtiment pour un service mis en service après la présente version tant que son contrat de traitement et, le cas échéant, la garantie de transfert ne sont pas établis. Lorsqu'un tel sous-traitant sert déjà un service en fonctionnement, l'Annexe 2 le dit.

08Transferts internationaux

Les données de gestion (comptes, gérance, immeubles, logements, baux, documents déposés, messages, historique des appels et journal des ouvertures) sont stockées en Suisse, dans la région de Zurich de l'hébergeur de base de données. Les données d'exploitation technique sont traitées en Allemagne, à Nuremberg, pays que le Conseil fédéral reconnaît comme offrant une protection adéquate : l'acheminement des appels d'interphone et leur voix et image (non enregistrées), les comptes téléphoniques des logements, l'image prise par la platine, les relevés des compteurs et le réseau radio des compteurs, les jetons qui permettent d'envoyer les notifications aux téléphones, les comptes et photos des installateurs, les journaux techniques, et une copie de sauvegarde chiffrée de la base de données suisse, faite chaque nuit et gardée 14 jours.

Des données peuvent être transmises à des sous-traitants établis aux États-Unis (Annexe 2). Les États-Unis ne sont reconnus adéquats que pour les organisations certifiées selon le Swiss-U.S. Data Privacy Framework (annexe 1 de l'OPDo). Pour chaque prestataire, l'Annexe 2 indique si cette certification ou une autre garantie au sens de l'art. 16 nLPD est établie, à confirmer ou absente. Le Sous-traitant n'affirme pas qu'une garantie existe tant qu'il n'en a pas la preuve ; il ne pseudonymise pas systématiquement avant transfert : le service d'envoi de courriels reçoit un nom et une adresse en clair, et les notifications portent un identifiant d'appareil.

09Demandes des personnes concernées

Le Responsable répond aux demandes d'exercice des droits (accès, rectification, effacement, remise des données, opposition). Le Sous-traitant l'assiste : une demande reçue à contact@neolia.ch est transmise au Responsable, et le Sous-traitant exécute ses instructions dans un délai qui lui permet de répondre dans les délais légaux, et au plus tard sous 10 jours ouvrés.

• Ce que le résident fait lui-même. Dans l'application, le résident titulaire d'un compte exporte ses données et demande leur effacement. Sont alors effacés son profil, son compte, ses appareils enregistrés, son historique d'appels et ses images, son numéro de renvoi, ses messages et ses documents.
• Ce qui est conservé, et pourquoi. Le logement et son abonnement d'interphonie, qui appartiennent au Responsable, et les relevés de consommation nécessaires aux décomptes, qui sont des pièces du Responsable. Le Responsable décide de leur sort selon ses propres obligations.
• Personnes sans compte. Un occupant sans compte, ou une personne dont les données figurent seulement dans la gestion du Responsable, exerce ses droits auprès du Responsable, qui instruit le Sous-traitant.
• Un effacement touche les copies de sauvegarde au fil de leur rotation, dans le délai de l'article 12.

10Violation de données personnelles

En cas de violation de données concernant le traitement objet du présent DPA, le Sous-traitant notifie le Responsable sans retard injustifié après la constatation. La notification comprend :

• la nature de la violation, les catégories et le nombre approximatif de personnes concernées ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour y remédier et atténuer ses effets.

Le Sous-traitant assiste le Responsable dans ses obligations de notification au PFPDT (art. 24 nLPD) ou à l'autorité de contrôle compétente et, le cas échéant, aux personnes concernées.

11Audit et démonstration de conformité

Les informations du présent DPA et de ses annexes reposent sur une analyse documentaire du code, de la configuration et de la documentation du Sous-traitant. Elles ne résultent pas d'un audit technique externe, et aucun rapport d'audit externe n'existe à la date de la présente version. Le Sous-traitant met à disposition du Responsable, sur demande :

• le registre des activités de traitement opérées pour le Responsable ;
• la charte sécurité à jour et, s'ils existent, les rapports d'audit externes, sous engagement de confidentialité ;
• les contrats de traitement et les garanties de transfert des sous-traitants ultérieurs dont il dispose.

Le Responsable peut, à ses frais et avec un préavis de 30 jours, faire réaliser un audit sur place ou documentaire par un tiers indépendant accepté par les deux parties, dans la limite d'un audit par an, sauf incident grave.

12Fin du contrat et sort des données

Les délais ci-dessous se comptent en jours depuis la fin du contrat principal :

1. Du jour 0 au jour 90 : l'espace du Responsable reste accessible en lecture. Le Responsable y exporte lui-même, gratuitement et autant de fois qu'il le souhaite, ses données dans un format structuré et lisible. Sur demande écrite, le Sous-traitant lui remet cette exportation dans les 30 jours ;
2. Jour 75 et jour 85 : le Sous-traitant adresse au Responsable deux avis écrits, quinze jours puis cinq jours avant l'effacement ;
3. Jour 90 : le Sous-traitant efface tout ce qu'il traite pour le compte du Responsable, données et fichiers. Les copies de sauvegarde disparaissent au fil de leur rotation : au plus 90 jours plus tard pour les sauvegardes du Sous-traitant, et 7 jours pour celles de l'hébergeur de base de données ;
4. Après le jour 90 : ne subsistent que les pièces comptables du Sous-traitant, c'est-à-dire ses factures au Responsable et leurs justificatifs, conservées dix ans à compter de la fin de l'exercice (art. 958f al. 1 CO), ainsi que la preuve de l'effacement et le journal des consultations de cette archive (art. 8 Olico).

Un certificat de suppression daté est remis au Responsable sur demande.

Exception du socle d'interphonie. Lorsqu'un contrat d'exploitation de bâtiment connecté prend fin, le socle d'interphonie prévu à l'article 12 des CGV reste actif. Tant qu'il fonctionne, le Sous-traitant conserve, par dérogation au jour 90, les seules données nécessaires à son fonctionnement : la liste des unités, les occupants actifs avec leurs noms d'appel, leur moyen de réception et leurs accès, et les comptes de la régie nécessaires à l'accès administratif limité. Le présent DPA continue de s'appliquer à ces données, et le Sous-traitant les efface à l'arrêt du socle d'interphonie.

Les obligations de conservation du Responsable restent les siennes. Les baux, les décomptes et les pièces de ses immeubles sont ses pièces comptables au sens de l'art. 958f CO : il doit les conserver dix ans, et c'est pendant ces 90 jours qu'il doit les emporter. Passé ce délai, le Sous-traitant ne les a plus.

AnnexesAnnexes du DPA

Annexe 1. Traitements et durées de conservation

Durées appliquées par le code du Sous-traitant à la date de la présente version, sauf mention contraire. Aucune de ces durées ne découle d'une obligation légale propre, hormis les pièces comptables.

Annexe 2. Sous-traitants ultérieurs

a. Nécessaires au bâtiment connecté

b. Plateforme de gérance, lorsqu'elle est souscrite

La recherche dans les documents déposés se fait sur les serveurs suisses : aucun document n'en sort pour être indexé.

c. Intégrations facultatives, uniquement lorsque le Responsable ou le résident les active

Ces services ne reçoivent rien tant que personne n'a raccordé le compte correspondant. Lorsqu'un compte est raccordé, ses identifiants sont transmis au service pour qu'il réponde. Toutes sont à régulariser avant d'être proposées dans un nouveau bâtiment.

d. Services ponctuels et services non activés

e. Destinataires qui ne sont pas des sous-traitants ultérieurs

• Le système du Responsable lui-même. Lorsque le Responsable raccorde son propre logiciel à Neolia, les messages des résidents et les liens vers leurs photos d'incident sont envoyés à l'adresse qu'il a enregistrée. Le pays de destination est celui qu'il a choisi, et il en répond.
• La messagerie et l'agenda du Responsable. Lorsque le Responsable raccorde sa boîte de courriel ou son agenda (Microsoft 365, Google, iCloud, Yahoo, Infomaniak ou un autre fournisseur), Neolia relève et envoie ses courriels et ses rendez-vous chez ce fournisseur, qu'il a choisi et avec lequel il a son propre contrat. Pour trouver le bon serveur, Neolia interroge aussi, avec le seul nom de domaine de l'adresse, deux services publics de résolution de noms (Cloudflare et Google) et la base de configuration de Mozilla Thunderbird : ils ne reçoivent ni l'adresse complète, ni un contenu.
• Registres publics suisses. L'Office fédéral de la statistique (RegBL), swisstopo et Zefix reçoivent l'adresse ou la raison sociale saisie lors d'une recherche. Suisse.
• esm.sh. Bibliothèque de code chargée à l'exécution par quelques fonctions. Ne reçoit aucune donnée personnelle.

Cette page porte la version à jour de la liste. Tout ajout ou remplacement est notifié au Responsable avec le préavis de 30 jours prévu à l'article 7.

Annexe 3. Mesures techniques et organisationnelles

État relevé dans le code et la configuration le 16 septembre 2026, par analyse documentaire. Pour le détail, voir la charte sécurité.

• Chiffrement en transit : les applications, la plateforme et les sites sont servis en HTTPS ; les messages des appareils passent en TLS. L'écran mural en navigateur chiffre son audio et sa vidéo. La signalisation des appels et leur flux audio et vidéo entre l'application mobile et les serveurs ne sont pas chiffrés à ce jour.
• Chiffrement au repos : les disques des serveurs d'exploitation ne sont pas chiffrés. La base de données hébergée en Suisse est chiffrée par son exploitant selon ses propres indications, que le Sous-traitant n'a pas auditées.
• Sauvegardes : quotidiennes, chiffrées par une clé dont la partie privée n'est pas sur les serveurs, conservées 14 à 30 copies et 90 jours au plus. Elles restent sur la machine qu'elles protègent, dans le même centre de données : aucune copie hors site à ce jour. Les images d'appels manqués ne sont pas sauvegardées.
• Accès aux serveurs : connexion par clé uniquement, authentification par mot de passe désactivée, deux pare-feux indépendants, contrôle rejoué chaque heure.
• Gestion des accès : moindre privilège, journalisation, revue des clés autorisées, journal d'audit tenu hors de la base qui le produit.
• Surveillance : détection d'intrusion toutes les cinq minutes, contrôle de posture et réparation vérifiée chaque heure.
• Tests : scans de dépendances et contrôles automatiques en continu. Aucun test d'intrusion externe et aucun audit technique externe à ce jour.
• Continuité : aucun objectif chiffré de reprise n'est opposé tant qu'un exercice de restauration ne l'a pas éprouvé.