Contrat de Traitement des Données (Data Processing Agreement, DPA)

1. Champ d'application et priorité

Ce Contrat de Traitement des Données ("DPA") fait partie intégrante de la relation contractuelle entre le Client et BeskarStaff AI dans le cadre des Conditions d'Utilisation, contrats de prestation de services et/ou formulaires de commande applicables (collectivement l'"Accord"). Il fixe les conditions selon lesquelles BeskarStaff AI traite des données personnelles pour le compte du Client en lien avec les Services.

Le DPA peut être mis à jour par BeskarStaff AI de temps à autre. Les modifications substantielles seront communiquées au Client via des canaux appropriés (ex. email ou notifications in-app) ou publiées sur le site web. En cas de conflit entre le DPA et l'Accord principal, les dispositions de ce DPA prévalent pour le traitement des données personnelles.

Le DPA reste en vigueur tant que BeskarStaff AI traite des données personnelles du Client dans le cadre de l'Accord. Les termes en majuscules non définis dans ce DPA ont la signification qui leur est donnée dans l'Accord ou la législation applicable en matière de protection des données.

2. Définitions

"Données Client / Données Personnelles Client": Toutes les données personnelles reçues par BeskarStaff AI des Clients ou traitées pour le compte du Client lors de l'utilisation des Services.

"Traitement / Processing": Toute opération ou ensemble d'opérations effectuées sur des données personnelles, p. ex. collecte, stockage, accès, utilisation ou suppression.

"revLPD / FADP": Loi fédérale suisse révisée sur la protection des données du 25.09.2020 incluant l'ordonnance d'exécution.

"Personne Concernée / Data Subject": Toute personne physique dont les données personnelles sont traitées.

"Sous-traitant / Sub-processor": Tout tiers mandaté par BeskarStaff AI pour le traitement de données personnelles.

3. Traitement des Données Personnelles Client

3.1 Rôles et Responsabilités

Le Client agit en tant que Responsable du traitement (Controller) selon la revLPD ; BeskarStaff AI agit en tant que Sous-traitant (Processor). Le Client est responsable de la licéité de la collecte et de la transmission des données ainsi que de la détermination de la finalité et de la base légale du traitement.

3.2 Instructions et Portée du Traitement

BeskarStaff AI traite les données personnelles Client exclusivement selon les instructions documentées du Client (DPA + Service Agreement). Des instructions supplémentaires doivent être convenues par écrit et peuvent nécessiter des ajustements de portée, calendrier ou prix.

3.3 Traitement Admissible

Les données sont traitées exclusivement pour la fourniture des Services contractuellement convenus. Tout traitement au-delà de cette finalité (y compris la divulgation à des tiers) n'est effectué que si légalement requis ou expressément autorisé contractuellement.

Note: Seules des informations publiquement accessibles sont traitées (nom, profil professionnel, photos sur des plateformes comme LinkedIn). Les données sensibles (ex. genre, origine ethnique, religion) ne sont ni traitées ni déduites. Les conclusions sur de telles caractéristiques relèvent exclusivement de la responsabilité du Client.

3.4 Support aux Droits des Personnes Concernées

BeskarStaff AI assiste le Client dans les demandes des personnes concernées (accès, rectification, suppression). Le Client reste responsable du traitement ; l'assistance de BeskarStaff AI est fournie sur demande écrite. Les coûts pour des demandes complexes ou fréquentes peuvent être facturés séparément.

3.5 Sous-traitants

Les sous-traitants ne peuvent être mandatés qu'avec l'accord du Client. Tous les sous-traitants sont contractuellement tenus de respecter des standards de protection des données comparables. Les Clients sont informés des changements et peuvent s'y opposer dans un délai raisonnable. BeskarStaff AI reste responsable du respect par les sous-traitants.

3.6 Mesures Techniques et Organisationnelles (TOM)

BeskarStaff AI met en œuvre des mesures appropriées pour protéger les données Client : chiffrement, restriction d'accès, surveillance système, sauvegarde et journaux d'audit.

3.7 Transferts Transfrontaliers de Données

Les données Client ne peuvent être transférées hors de Suisse que vers des pays ayant un niveau de protection des données adéquat (UE/EEE, pays avec décision d'adéquation) ou en utilisant des clauses contractuelles types reconnues par la Suisse (SCC 2021/914). BeskarStaff AI garantit le respect des art. 16-18 revLPD.

3.8 Suppression ou Restitution à la Fin du Contrat

À la fin des Services, sur demande écrite du Client, BeskarStaff AI restituera ou supprimera de manière sécurisée toutes les données personnelles sauf obligations légales de conservation. En l'absence de demande de restitution dans les 30 jours, BeskarStaff AI supprimera les données selon ses politiques internes.

3.9 Violation de Données

BeskarStaff AI maintient des procédures internes pour détecter et réagir aux violations de données. En cas d'incidents, BeskarStaff AI informera immédiatement le Client, y compris la nature de l'incident, les données affectées et les mesures correctives. Un support pour les obligations légales de notification aux autorités ou personnes concernées sera fourni.

3.10 Divulgations Légèrement Requises

BeskarStaff AI informera immédiatement le Client de toute ordonnance des autorités ou judiciaire sauf interdiction légale. Un support dans la réponse à de telles demandes sera fourni.

3.11 Analyse des Services

BeskarStaff AI peut analyser des données agrégées et non identifiables relatives aux performances et à l'utilisation des Services. Les données Client ne seront pas identifiables.

3.12 Responsabilité

BeskarStaff AI tient des registres des activités de traitement conformément à l'art. 12 revLPD. La preuve du respect des obligations de protection des données sera fournie sur demande.

Annexe 1 – Détails du Traitement

Exportateur de données: Client
Importateur de données: BeskarStaff AI, Suisse

Personnes Concernées: Candidats et professionnels avec profils publiquement accessibles (LinkedIn etc.)
Catégories de données: Nom, profession, expérience, formation, compétences, infos de contact publiques, liens profils, photos de profil
Finalité: Services de recrutement et talent matching
Durée: Tant que le Client utilise les Services
Sous-traitants: Seulement avec obligations équivalentes de protection des données
Autorité de Contrôle: Préposé fédéral à la protection des données et à la transparence (PFPDT)

Finalités autorisées: Identification des candidats et éventuellement premier contact

Annexe 2 – Mesures Techniques et Organisationnelles

• Hébergement dans des centres de données suisses avec mesures de sécurité physique
• Chiffrement au repos (AES-256) et en transit (TLS)
• Droits d'accès selon need-to-know, MFA pour les administrateurs
• Scans de sécurité réguliers, tests de pénétration, gestion des correctifs
• Sauvegardes quotidiennes, plans de contingence et de reprise
• Suppression ou destruction sécurisée à la fin du contrat
• Surveillance système, sauvegarde et journaux d'audit

Contact

Demandes générales: support@beskarstaff.com
Confidentialité: privacy@beskarstaff.com
Sécurité: security@beskarstaff.com

Juridiction: Zoug, Suisse.