La présente convention précise les obligations des parties en ce qui concerne les exigences de la loi suisse sur la protection des données (LPD) et du Règlement général sur la protection des données de l'UE (RGPD). Elle complète les accords contractuels ("Contrat") entre Oniva SA (ci-après dénommée "Oniva") et le client. Cela peut inclure un ou plusieurs contrats entre Oniva et le client, où Oniva agit en tant que prestataire de services auprès du client.

La présente convention s'applique uniquement dans la mesure où les conditions suivantes sont remplies :
‍
a) Le client est soit responsable, soit sous-traitant au sens de la LPD et/ou du RGPD, et

b) Le client engage Oniva en tant que sous-traitant ou sous-sous-traitant dans le cadre du contrat pour le traitement des données personnelles ou des données à caractère personnel couvertes par la LPD et/ou le RGPD ("données pertinentes").

L'objet, la durée ainsi que la nature et le but du traitement sont définis dans le contrat. Les catégories des données pertinentes traitées, les catégories de personnes concernées ainsi que les mesures techniques et organisationnelles ("TOM") à mettre en place sont soit spécifiées dans le contrat, soit dans un ou plusieurs annexes à la présente convention.

Oniva traite les données pertinentes uniquement dans le but d'exécuter le contrat ou pour les buts mentionnés dans le contrat. Le client est responsable de la légalité du traitement des données en général, y compris de la légitimité du traitement par des sous-traitants et sous-sous-traitants.
‍
Les instructions du client sont documentées dans la présente convention et le contrat. Le client a le droit de donner à Oniva des instructions supplémentaires par écrit concernant le traitement des données pertinentes à tout moment. Oniva suit ces instructions dans la mesure où elles sont réalisables et objectivement raisonnables dans le cadre des prestations convenues contractuellement. Si de telles instructions entraînent des coûts supplémentaires pour Oniva ou un changement dans l'étendue des prestations, la procédure de modification contractuelle convenue est applicable.
‍
Oniva informe le client immédiatement si elle estime qu'une instruction viole la LPD ou le RGPD. Dans ce cas, Oniva peut suspendre l'exécution de l'instruction jusqu'à ce qu'elle soit confirmée ou modifiée par le client. En ce qui concerne les instructions du client concernant l'attribution des droits d'accès ou la communication des données pertinentes au client lui-même, ce qui précède ne s'applique pas, et Oniva peut toujours supposer que ces instructions sont conformes à la loi. Cependant, elle est autorisée à demander des confirmations écrites de la part du client.

Oniva traite les données pertinentes uniquement conformément aux dispositions du contrat et de la présente convention. L'exécution des obligations légales, réglementaires ou administratives par Oniva reste réservée.

Oniva mettra en place les TOM définies dans le contrat et les annexes à la présente convention pour protéger les données pertinentes. Oniva peut adapter les TOM convenues à tout moment, tant que le niveau de protection convenu n'est pas réduit. De plus, Oniva vérifie en permanence les TOM convenues à la lumière des progrès technologiques et peut proposer au client la mise en œuvre de mesures supplémentaires, qui peuvent être convenues dans le cadre d'un avenant au contrat.

Oniva s'engage à tenir un registre des activités de traitement des données pertinentes conformément à l'article 12 alinéa 1 de la LPD ou à l'article 30 alinéa 2 du RGPD. Oniva fournira au client, sur demande, un accès aux parties de ce registre qui concernent les prestations fournies par Oniva au client.

Oniva veille à ce que les employés et autres auxiliaires d'Oniva chargés du traitement des données pertinentes soient interdits de traiter les données pertinentes à d'autres fins que celles mentionnées dans le contrat et en dehors de la présente convention. Oniva veille également à ce que les personnes autorisées à traiter les données pertinentes aient des obligations de confidentialité et/ou soient soumises à une obligation légale de confidentialité appropriée. L'obligation de confidentialité/secret demeure après la fin du contrat.

Oniva informe immédiatement le client si elle découvre des violations de la protection des données pertinentes chez Oniva ou chez un de ses sous-sous-traitants (violation de données). Oniva informe le client par écrit (un e-mail suffisant) de manière appropriée sur la nature et l'ampleur de la violation ainsi que sur les mesures correctives possibles. Les parties prennent les mesures nécessaires pour assurer la protection des données pertinentes et pour réduire les éventuelles conséquences négatives pour les personnes concernées ainsi que pour les parties et se coordonnent immédiatement à cet égard.

Oniva communique au client le contact pour les questions de protection des données dans le cadre du contrat, ainsi que, lorsque cela est requis par l'article 37 du RGPD, le délégué à la protection des données.

Oniva s'engage, à la demande du client et moyennant une rémunération séparée préalablement convenue, à soutenir le client dans l'exercice des droits des personnes concernées conformément au chapitre 4 de la LPD ou au chapitre III du RGPD. En outre, Oniva peut proposer au client, moyennant une rémunération séparée, un soutien supplémentaire, par exemple en ce qui concerne une analyse d'impact sur la protection des données, la consultation de l'autorité de contrôle, les notifications à cette autorité, etc.

Les données pertinentes doivent être restituées ou supprimées à la fin du contrat conformément aux dispositions contractuelles. Oniva utilise des procédures établies dans l'industrie IT pour la suppression des données pertinentes.

Le client doit mettre en place, dans son domaine de responsabilité (par exemple, sur ses propres systèmes, bâtiments, applications/environnements sous sa responsabilité opérationnelle), des mesures techniques et organisationnelles appropriées pour protéger les données pertinentes.

Le client doit informer immédiatement Oniva s'il constate des violations des dispositions sur la protection des données lors de la fourniture des services par Oniva.

Le client communique à Oniva le contact pour les questions de protection des données dans le cadre du contrat, ainsi que, lorsque cela est requis par l'article 37 du RGPD, le délégué à la protection des données.

Si une personne concernée adresse directement à Oniva des demandes de rectification, de suppression, d'accès ou d'autres réclamations concernant les données pertinentes, Oniva renverra la personne concernée au client, si une attribution au client est possible selon les indications de la personne concernée. Le soutien d'Oniva au client concernant les demandes des personnes concernées est régi par la section 3.

Oniva est tenue de fournir au client, sur demande, des informations permettant de documenter le respect des obligations prévues par la présente convention.

Les droits d’audit éventuellement définis dans le contrat ainsi que les droits de contrôle légalement requis du client ou de ses autorités de surveillance restent réservés. Dans tous les cas, lors de tels audits, le principe de proportionnalité doit être respecté et les intérêts protégés d'Oniva (notamment en matière de confidentialité) doivent être dûment pris en compte. Sous réserve d'une disposition contraire, le client assume tous les coûts de ces audits (y compris les coûts internes d'Oniva, prouvés, engagés lors de la participation à l'audit).

Si des violations de la présente convention ou des défauts dans la mise en œuvre des obligations d'Oniva sont constatés après la présentation de preuves ou de rapports, ou dans le cadre d'un audit, Oniva doit immédiatement et gratuitement mettre en œuvre des mesures correctives appropriées.

Sauf disposition plus restrictive dans le contrat concernant le recours à des tiers, Oniva est autorisée à faire appel à des sous-traitants, mais doit informer le client au préalable si elle engage de nouveaux sous-traitants ou remplace des sous-traitants existants après l'entrée en vigueur de la présente convention. Le client peut, pour des raisons importantes liées à la protection des données, faire opposition par écrit dans un délai de 30 jours au recours à un nouveau sous-traitant ou au remplacement d’un sous-traitant existant. En cas de raison importante liée à la protection des données, et si une solution amiable entre les parties n'est pas possible, le client se voit accorder un droit de résiliation concernant la prestation concernée.

Oniva conclura avec ses sous-traitants les accords nécessaires pour garantir le respect des obligations prévues par la présente convention.

Toute divulgation de données pertinentes par Oniva à l'étranger ou à une organisation internationale n'est autorisée que si Oniva respecte les dispositions des articles 16 et suivants de la LPD ou du Chapitre V du RGPD. En revanche, si une telle divulgation de données pertinentes est souhaitée par le client ou effectuée en son nom, le respect des dispositions correspondantes incombe exclusivement au client. Les lieux à partir desquels le client ou les utilisateurs finaux du client accèdent et traitent les données personnelles ne sont ni contrôlés ni limités par Oniva.

Éléments de données utilisés et mesures techniques et organisationnelles (TOM)
‍
Éléments de données utilisés

Le client, ou les personnes concernées, fournissent à Oniva AG (ci-après dénommée « Oniva ») dans le cadre des contrats, à sa propre discrétion et à Oniva, des données personnelles (y compris, dans certains cas, des données personnelles particulièrement protégées) et/ou des données confidentielles à traiter.

Il peut s'agir de données personnelles concernant en particulier les personnes concernées suivantes :

Il peut s'agir notamment des types de données personnelles suivants :

Informations personnelles telles que prénom, nom, date de naissance, âge, sexe, nationalité, etc.
Coordonnées professionnelles telles que adresse e-mail, numéro de téléphone, adresse
Coordonnées privées telles que adresse e-mail, numéro de téléphone, adresse
Détails des documents d'identité
Informations sur la vie professionnelle telles que intitulé du poste, fonction, etc.
Informations sur la vie privée telles que état civil, loisirs, etc.
Informations d'utilisateur telles que données de connexion, numéro de client, numéro de personnel, comportement des utilisateurs, etc.
Informations techniques telles que adresse IP, informations sur les appareils, etc.

Ces catégories de données comprennent les données personnelles permettant de révéler l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que les données génétiques et biométriques permettant l'identification unique d'une personne physique, les données de santé ou les données relatives à la vie sexuelle ou à l'orientation sexuelle.

Ces données peuvent inclure des données relevant du secret professionnel, du secret bancaire, du secret officiel, de l'obligation de confidentialité en vertu du droit de la sécurité sociale, etc.

Si les données ont été cryptées par le client et ne sont donc pas accessibles à Oniva, il ne s'agit pas d'un traitement des données de commande par Oniva. L'accord sur le traitement des données de commande ne s'applique donc pas à ces données.

L'évaluation de la pertinence des mesures techniques et organisationnelles décrites ci-dessous pour protéger les données confiées à Oniva (notamment pour les données personnelles particulièrement protégées ou les données confidentielles) relève exclusivement du client.

Les chapitres suivants décrivent les mesures prises par Oniva concernant la protection des données personnelles dans le cadre du traitement des données de commande. Oniva maintient un Système de Gestion de la Sécurité de l'Information (ISMS), basé sur la norme ISO 27001 et d'autres normes internationales.

Les mesures énumérées ci-dessous sont à comprendre de manière générique et s'appliquent lorsque le contrat ne spécifie pas de mesures différentes, par exemple des mesures spécifiques aux produits ou aux clients ou l'exclusion explicite de certaines des mesures ci-dessous. Les mesures suivantes s'appliquent aux cas où Oniva traite elle-même les données pertinentes. Lorsque le traitement des données est effectué par des tiers mandatés par Oniva, Oniva veille, par des accords contractuels appropriés, à ce que ces tiers respectent des mesures comparables.

Oniva divise ses espaces en zones de sécurité de différents niveaux. Ces zones se divisent en zones publiques, sécurisées et hautement sécurisées. Les zones publiques sont accessibles à tous, telles que les zones de réception dans un bâtiment de bureaux. Pour accéder aux zones sécurisées, un badge ou une clé est nécessaire. Les badges des employés et des prestataires sont personnalisés. La distribution des clés aux personnes autorisées est enregistrée. Les visiteurs doivent s'enregistrer et sont accompagnés par des employés responsables dans les zones sécurisées. En cas d'utilisation de badges non personnalisés, une personne responsable est désignée pour enregistrer les propriétaires temporaires.

Oniva veille à ce que les centres de données utilisés par Oniva pour le stockage permanent des données soient classés comme des zones hautement sécurisées par des tiers. Dans les zones hautement sécurisées, il n'y a pas d'accès direct des zones publiques à la zone hautement sécurisée, mais uniquement via une zone sécurisée. L'accès à la zone hautement sécurisée nécessite une identification à deux éléments et est enregistré.

Les centres de données utilisés par Oniva disposent des mesures de protection physique nécessaires pour détecter rapidement une intrusion dans le périmètre du bâtiment et déclencher une alarme correspondante. Dans les bâtiments occupés 24 heures sur 24, le personnel de sécurité est formé pour traiter rapidement et professionnellement ces alarmes et prendre les mesures nécessaires. Si les bâtiments ne sont pas occupés en permanence, les alarmes sont transmises à un prestataire de sécurité ou à la police pour une intervention.

Les centres de données utilisés par Oniva disposent des mesures de protection supplémentaires nécessaires pour réduire au minimum les dangers liés aux événements naturels tels que les éclairs, la pluie, les inondations, etc., afin qu'ils ne deviennent pas pertinents pour le fonctionnement du centre de données.

L'accès aux systèmes d'Oniva se fait toujours avec des identifications personnalisées des personnes mandatées par Oniva.

L'accès aux systèmes est toujours protégé par au moins un mot de passe ou un attribut d'authentification équivalent et l'identification numérique associée. Les données d'accès sont stockées de manière à ce qu'il soit impossible de déduire directement l'attribut d'authentification valide si ces données devenaient accessibles.

Les mots de passe doivent répondre à des exigences complexes et se composer d'au moins trois classes des éléments suivants : lettres majuscules, lettres minuscules, chiffres, caractères spéciaux. Les mots de passe des comptes personnels ne sont jamais rendus accessibles à des tiers.

En cas de connexion incorrecte, l'identification peut d'abord être temporairement et après d'autres tentatives échouées, être bloquée de manière permanente.

Si l'utilisateur nécessite des droits d'administration avec une identité impersonnelle, il doit suivre une procédure de « Step-Up » : c'est-à-dire que l'employé se connecte au système avec son compte personnel puis élève ses droits sur le système. Sur les systèmes Unix, cela se fait par exemple en utilisant la commande sudo. Si aucune procédure de « Step-Up » n'est possible, Oniva peut toujours déterminer via la plateforme d'administration quel utilisateur a utilisé l'identité d'administration impersonnelle. Tous les accès administratifs sont enregistrés chez Oniva et conservés pendant une durée définie.

Les portails accessibles via Internet nécessitent, en fonction de leur classification des utilisateurs, une authentification forte pour accéder aux données pertinentes. L'authentification forte repose sur Mobile ID, l'utilisation d'un jeton électronique pour générer des mots de passe à usage unique ou d'autres moyens sécurisés comme deuxième facteur.

Mobile ID est un service de Swisscom basé sur une carte SIM spécifiquement adaptée pour les utilisateurs de Swisscom avec un module de sécurité pour téléphones mobiles et constitue donc une identification sécurisée de l'utilisateur.
‍
Les appareils qui obtiennent un accès direct au réseau de l'entreprise sont identifiés par un certificat lisible par machine. Les employés utilisant leur appareil personnel doivent se connecter pour accéder aux données pertinentes des clients via une infrastructure virtuelle.

Les autorisations sur les systèmes sont structurées en rôles. Une identité se voit attribuer un ou plusieurs rôles nécessaires à l'exécution de la fonction organisationnelle de la personne. Les rôles sont structurés de manière à ce que l'accès ne soit accordé qu'aux données nécessaires à l'accomplissement de la tâche.

La description des rôles et de leurs autorisations est documentée dans des concepts de rôle. Ces concepts sont régulièrement examinés et mis à jour. Le concept de rôle est géré et mis à jour par le responsable du système. Pour tous les rôles, il est régulièrement vérifié si les utilisateurs affectés ont encore besoin de ce rôle.

Si un employé nécessite des droits supplémentaires, il peut demander un rôle supplémentaire. L'approbation pour ce rôle supplémentaire est effectuée par le supérieur hiérarchique et le propriétaire du rôle. Le propriétaire du rôle peut décider si cette approbation est réellement nécessaire ou si une approbation automatique est possible. Un très petit nombre de rôles sont automatiquement attribués à l'employé, notamment des rôles issus de la structure organisationnelle, tels que l'appartenance à une unité organisationnelle.

Le trafic de données entre le réseau du client et Oniva est, dans la mesure du possible, crypté ou protégé par des mesures alternatives. Les mesures alternatives peuvent inclure, par exemple, l'utilisation de lignes logiques dédiées ou de connexions en fibre optique directes. Le cryptage de la connexion repose sur des protocoles et des mécanismes de protection actuels.
‍
Les accès aux systèmes sont enregistrés et peuvent être analysés à l'aide de différentes méthodes.

Les données pertinentes sont toujours accessibles via Internet en utilisant une connexion cryptée. Oniva utilise les derniers protocoles et mécanismes de protection. Cette connexion cryptée repose sur des technologies au niveau du réseau, de la session ou de l'application.

L'accès direct du client à ses données personnelles est protégé par un accord avec le client via le chemin de transport. Oniva propose des services correspondants qui permettent des connexions réseau virtuelles au client. D'autres technologies de cryptage peuvent également être utilisées pour ces connexions.

Le stockage permanent dans les centres de données utilisés par Oniva est protégé contre la perte par des mesures de protection physique. Cela inclut des alimentations électriques redondantes et les systèmes nécessaires pour permettre un fonctionnement autonome pendant une période définie.

Pour se protéger contre les dommages causés par la fumée ou les incendies, les salles à haute sécurité sont équipées de systèmes d'alarme contre les incendies et la fumée. En cas d'incident, le personnel de sécurité ou le personnel du bâtiment présent est déployé pour une première réponse ou un système d'extinction est activé pour minimiser les dommages potentiels. S'il n'y a pas de personnel sur place, l'alarme est transmise aux pompiers locaux.

En cas de défaillance, les supports de données sont rendus physiquement inutilisables par le fournisseur du centre de données utilisé afin d'exclure complètement la possibilité d'accès.

Les supports de données fonctionnels sont effacés à l'aide de méthodes de suppression standard de l'industrie de manière à rendre presque impossible la reconstruction des données qu'ils contiennent. Si une telle procédure n'est pas possible, les supports de données sont rendus physiquement inutilisables ou détruits.

Le retour des supports de données au client est possible dans des circonstances définies. Cela nécessite que le système de stockage ou le support de données ait été utilisé uniquement pour ce client. Dans ce cas, le fournisseur du centre de données utilisé par Oniva dispose d'un processus défini pour remettre les supports de données au client dans un bâtiment prédéfini et enregistré.

Lorsque Oniva est responsable de l'entrée et du traitement des données personnelles, Oniva prend les mesures techniques et organisationnelles nécessaires pour garantir que ces données sont correctement enregistrées et traitées.

Oniva collecte des données personnelles supplémentaires du client dans les systèmes d'Oniva pour la prestation de services. Ces systèmes sont utilisés, par exemple, pour enregistrer les messages d'erreur (incidents), les demandes de modification ou la facturation. Oniva utilise des mesures de qualité appropriées pour s'assurer que les données pertinentes collectées dans ce processus sont vérifiées et corrigées.

Oniva sélectionne soigneusement les sous-traitants potentiels ayant accès aux données et attribue les responsabilités en matière de protection des données aux fournisseurs.

Oniva a désigné une organisation responsable pour garantir la conformité aux exigences de protection des données. Cette organisation peut être contactée pour des demandes à l'adresse security@oniva.events. Le premier point de contact pour les questions relatives à la protection des données chez Oniva est le responsable de compte Oniva.

Selon leur rôle, les nouveaux employés d'Oniva subissent une vérification de sécurité avant le début de leur emploi. Celle-ci se compose de plusieurs étapes et est organisée différemment selon la possibilité d'accéder aux données pertinentes. Au minimum, la vérification comprend la vérification d'un CV complet, des références les plus récentes et l'obtention d'une référence personnelle. Les étapes supplémentaires comprennent la signature d'un accord de confidentialité ou une vérification conformément à la vérification de sécurité des personnes du gouvernement fédéral.

Les nouveaux employés sont familiarisés avec les règles pertinentes concernant leur propre sécurité et la sécurité des données dès le début de leur travail.

Les employés existants d'Oniva sont régulièrement formés à la gestion attentive des données. Cela se fait à travers des messages sur l'intranet, des articles de blog, des formations électroniques sur les plateformes d'apprentissage internes d'Oniva et des sessions de formation en personne.

Lorsque l'employé d'Oniva quitte l'entreprise, l'identité principale est automatiquement bloquée sur les systèmes d'Oniva. L'accès aux bâtiments est également bloqué à la fin du dernier jour de travail. Il est de la responsabilité du responsable hiérarchique de supprimer tous les autres accès et de retirer le badge et les équipements de travail d'Oniva le dernier jour de travail de l'employé.

Oniva stocke les données conformément à l'accord contractuel dans des centres de données avec le niveau de protection nécessaire. Il s'agit de centres de données tiers (voir 2.2).
‍
Pour garantir la disponibilité des données, les systèmes de stockage d'Oniva sont configurés de manière à ce que plus d'un composant puisse tomber en panne et que les données restent disponibles. Cela est réalisé grâce à des supports de données redondants et distribués ainsi qu'à des réseaux et des alimentations électriques redondants.

Oniva sauvegarde les données conformément à la description du service. La sauvegarde a toujours lieu sur des systèmes de stockage dans un autre centre de données avec une distance géographique suffisante entre les deux sites. Les différents espaces géographiques servent à minimiser les dommages possibles causés par des événements naturels tels que les éclairs, la pluie, les inondations et les coulées de boue à un minimum de sites.

En fonction des services achetés, le client peut également commander différents niveaux de sauvegarde des données. Cela est indiqué dans la description du service ou peut être demandé auprès du conseiller client d'Oniva.

Oniva a mis en œuvre les processus nécessaires pour identifier et évaluer les rapports de vulnérabilités logicielles et de correctifs et pour déterminer les mesures nécessaires. L'installation de correctifs peut nécessiter la coopération et l'approbation du client. Si un correctif doit être installé de toute urgence, il existe un processus de correctif d'urgence en fonction du service.

Oniva veille à ce que les données des clients ne puissent pas être consultées par d'autres. À cette fin, les dernières procédures de sécurité sont utilisées pour garantir la séparation des données des clients au niveau logique ou physique.

Les procédures physiques sont appropriées lorsque le service et les systèmes utilisés pour cela ne permettent pas une séparation logique adéquate. Pour des raisons de coût, Oniva s'efforce toujours d'utiliser des procédures logiques lorsque cela est possible.

En fonction de l'offre de service, le client peut demander que ses données soient physiquement séparées des données d'autres clients. Cette option n'est pas disponible dans toutes les offres.

Les procédures logiques ont été vérifiées par Oniva pour garantir que ces procédures ne peuvent pas être contournées. Si Oniva détermine que les procédures ne garantissent plus cela, Oniva prendra les mesures nécessaires pour rétablir une protection équivalente.

Oniva réalise des audits réguliers des systèmes. Dans le domaine technique, cela inclut, par exemple, un contrôle régulier du périmètre IP ou des audits de sécurité des plateformes.

Sur la base d'une analyse de risque, les nouveaux services sont soumis à un examen technique. Les défauts constatés sont rectifiés par les départements responsables. En fonction de la gravité des défauts, un audit complémentaire est effectué pour prouver l'efficacité de la correction.

Oniva met en œuvre un système de gestion des risques à l'échelle de l'entreprise pour identifier et quantifier les risques et, avec les organisations responsables, initier des mesures pour réduire les risques.

Oniva participe à un programme de bug bounty. Celui-ci permet à quiconque de signaler les vulnérabilités de sécurité identifiées dans les services d'Oniva de manière centralisée. Les rapports sont évalués et les contre-mesures nécessaires sont prises, par exemple un correctif est créé pour un logiciel ou le code d'un site Web est amélioré. Enfin, le rapport de vulnérabilité est publié par le rapporteur et ce dernier est indemnisé en fonction de la gravité de la vulnérabilité.

L'organisation de protection des données d'Oniva maintient un système de gestion des risques pour identifier et documenter les risques de protection des données d'Oniva et pour garantir que les risques identifiés sont traités en conséquence. L'organisation de protection des données veille à ce qu'une communication et une allocation appropriées des responsabilités pour les risques de protection des données soient effectuées à tous les niveaux. L'organisation de protection des données est en communication continue avec d'autres fonctions de gestion des risques chez Oniva.