Contrat de sous-traitance des données

Mast Finance Sàrl. En vigueur depuis le 22 octobre 2026. Version 1.0

Version française. Le présent document existe en français et en anglais, tenus à jour ensemble. En cas de divergence ou de contradiction entre les deux versions, la version française prévaut.

1. Cadre contractuel

Le présent contrat de sous-traitance des données (le « DPA ») fait partie intégrante des Conditions générales d'utilisation conclues entre Mast Finance Sàrl (« Mast Finance », « Mast » ou le « Sous-traitant ») et le client (le « Responsable du traitement »), dans lesquelles il est incorporé. En cas de contradiction, le présent DPA prévaut sur les questions relevant de la protection des données.

Le présent DPA reprend les exigences du Règlement général sur la protection des données de l'Union européenne (RGPD), en particulier son article 28, et de la loi fédérale suisse révisée sur la protection des données (nLPD).

2. Définitions

Les termes non définis dans le présent DPA ont le sens que leur donnent les Conditions générales d'utilisation ou le droit applicable en matière de protection des données. Aux fins du présent DPA :

• Responsable du traitement : le client, qui détermine les finalités et les moyens du traitement des Données Client.
• Sous-traitant : Mast Finance Sàrl, qui traite des données à caractère personnel pour le compte du Responsable du traitement.
• Données Client : les données à caractère personnel fournies par le Responsable du traitement, ou générées pour son compte, au moyen de l'utilisation du Service.
• Sous-traitant ultérieur : tout tiers auquel Mast Finance recourt pour traiter des Données Client.

3. Objet, nature et durée

Mast Finance traite les Données Client pour le compte du Responsable du traitement aux fins de fournir le Service, ce qui comprend l'hébergement, le stockage, la transmission, la consultation, le calcul, l'analyse, la production de résultats, l'assistance à la clientèle, les opérations de sécurité et la suppression.

Le traitement a lieu pendant la durée de l'abonnement et pendant toute période convenue d'export des données ou de sortie de service après la fin du contrat.

4. Catégories de données à caractère personnel et de personnes concernées

Les données à caractère personnel traitées peuvent comprendre :

• des données professionnelles de contact et de compte (noms, fonctions, coordonnées et données d'entreprise) ;
• des données d'authentification et d'accès (identifiants d'utilisateur, événements de connexion, données de session, identifiants d'appareil) ;
• des données techniques et d'utilisation (journaux, métadonnées, adresses IP, horodatages) ;
• des données de facturation et d'abonnement ;
• les Données Client, qui peuvent comprendre des données financières, comptables, de frais et de trésorerie relatives à des collaborateurs, des mandataires indépendants, des clients, des fournisseurs ou d'autres personnes physiques.

Les personnes concernées peuvent être : les collaborateurs et les mandataires indépendants du Responsable du traitement, ses clients, ses fournisseurs, ainsi que toute autre personne physique dont les données à caractère personnel figurent dans les Données Client.

5. Obligations du responsable du traitement

Le Responsable du traitement :

• confirme disposer d'une base légale pour transmettre des données à caractère personnel à Mast Finance ;
• est responsable d'assurer la transparence à l'égard des personnes concernées ;
• est responsable de l'exactitude, de la licéité et du caractère complet de ses instructions ;
• veille à ce que les Données Client ne contiennent pas de catégories particulières de données à caractère personnel (art. 9 RGPD), sauf accord écrit exprès.

5.1 Relations avec les cabinets fiduciaires (rapports tripartites)

Lorsqu'un cabinet fiduciaire, comptable ou de conseil (le « Cabinet ») travaille au moyen du Service dans le compte d'une entreprise cliente (le « Client »), qu'il ait ouvert ce compte, qu'il le détienne pour le Client jusqu'à ce que celui-ci l'accepte ou que le Client l'y ait invité :

• le Client est le responsable du traitement de ses Données Client, y compris des pièces justificatives de sa comptabilité que le Cabinet y dépose, et Mast Finance les traite en qualité de sous-traitant du Client ;
• le Cabinet agit pour le Client en vertu d'un mandat qui les lie et auquel Mast Finance n'est pas partie ; il garantit être autorisé par le Client à donner des instructions à Mast Finance s'agissant de ces Données Client, les instructions du Client et le présent DPA continuant de régir leur traitement ;
• les documents de travail que le Cabinet établit dans le compte du Client pour son propre travail, soit son dossier de révision (notes internes, points de révision, état de la revue, pièces de rapprochement), appartiennent au Cabinet, qui en est le responsable du traitement ; Mast Finance les traite pour le compte du Cabinet, selon le présent DPA. Ils ne font pas partie de l'export des données du Client, et le Cabinet peut les partager avec le Client. Par dérogation à l'art. 12, ils restent dans le compte du Client et sont supprimés avec lui ; le Cabinet en conserve lui-même ce que ses propres obligations exigent.

La répartition des responsabilités entre le Client et le Cabinet est fixée dans le mandat qui les lie. Un tel rapport n'étend en rien les obligations de Mast Finance au-delà de celles prévues par le présent DPA.

6. Obligations du sous-traitant

Mast Finance s'engage à :

• ne traiter les Données Client que sur instructions documentées du Responsable du traitement ;
• veiller à ce que le personnel autorisé soit soumis à des obligations de confidentialité appropriées ;
• mettre en œuvre et maintenir des mesures de sécurité techniques et organisationnelles appropriées ;
• ne pas traiter les Données Client pour ses propres finalités ni les communiquer à des tiers, sauf (i) dans la mesure nécessaire à la fourniture du Service ou au respect de la loi, ou (ii) lorsque le Client a expressément activé le programme d'amélioration des modèles décrit dans les Conditions générales d'utilisation, auquel cas le traitement se limite à la production d'exemples d'apprentissage rendus anonymes de manière irréversible, les données anonymisées qui en résultent échappant au champ d'application du présent contrat ;
• informer sans délai le Responsable du traitement lorsqu'une instruction contrevient au droit applicable en matière de protection des données.

Données de Service : Mast Finance agit en qualité de responsable du traitement indépendant s'agissant des Données de Service (métadonnées de compte, journaux d'utilisation, données d'adoption des fonctionnalités et autres données techniques ou comportementales générées par l'interaction avec le Service, à l'exclusion des Données Client). Mast Finance peut collecter, utiliser et analyser les Données de Service à des fins commerciales internes légitimes, selon les modalités décrites dans sa Politique de confidentialité.

7. Mesures de sécurité

Mast Finance met en œuvre des mesures de sécurité techniques et organisationnelles appropriées, notamment le chiffrement des données en transit et au repos, des contrôles d'accès, la journalisation et la surveillance, des procédures de réponse aux incidents et des évaluations de sécurité régulières.

8. Sous-traitants ultérieurs

Le Responsable du traitement donne à Mast Finance une autorisation générale de recourir à des sous-traitants ultérieurs. Mast Finance tient à jour une liste publique à l'adresse mastfinance.io/fr/sous-traitants.

Le Responsable du traitement peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables tenant à la protection des données, dans un délai de 14 jours. Si l'opposition ne peut être levée, le Responsable du traitement peut résilier la prestation concernée moyennant notification écrite.

Remplacement urgent. Lorsqu'un sous-traitant ultérieur doit être remplacé sans délai pour protéger la sécurité des Données Client, pour maintenir la disponibilité du Service (par exemple parce qu'un sous-traitant ultérieur cesse de fournir son service ou subit un incident de sécurité) ou pour respecter une obligation légale, Mast Finance peut recourir au remplaçant avant l'écoulement du délai de 14 jours. Elle publie aussitôt la modification sur la page Sous-traitants ultérieurs, en informe le Responsable du traitement sans retard injustifié et ne recourt qu'à un remplaçant offrant des garanties au moins équivalentes à celles du sous-traitant ultérieur remplacé. Le droit d'opposition du Responsable du traitement court alors à compter de cette publication, aux mêmes conditions.

Mast Finance impose aux sous-traitants ultérieurs des obligations équivalentes en matière de protection des données et demeure responsable de leurs actes et omissions.

Sous-traitants ultérieurs actuels

Pour la liste faisant foi, suivie en gestion de version, comportant les raisons sociales complètes et le fondement des transferts, voir la page Sous-traitants ultérieurs. Synthèse :

SIX BBS SA (bLink, open banking : informations des comptes bancaires et ordres de paiement, le jeton d'accès de la banque étant conservé pour le compte de Mast) est développé mais pas encore actif ; PayPal, Shopify et WooCommerce sont des sources de données marchandes connectées à l'initiative du client, et non des sous-traitants ultérieurs de Mast portant sur des données maîtrisées par Mast. Voir la page Sous-traitants ultérieurs pour la qualification complète.

9. Transferts internationaux de données

Les Données Client sont stockées en Suisse (AWS Zurich). Le personnel de Mast, comme les développeurs externes (art. 8), n'y accède que depuis la Suisse ou depuis un pays que le Conseil fédéral reconnaît comme offrant, pour toutes les organisations qui s'y trouvent, une protection adéquate des données, comme les pays de l'Union européenne, y compris en déplacement, et depuis nulle part ailleurs. La politique de confidentialité indique ces pays. Lorsque le RGPD s'applique aux Données Client, un pays situé hors de la Suisse et de l'Espace économique européen doit en outre être reconnu par la Commission européenne comme offrant une protection adéquate. Les documents numérisés sont lus par Microsoft Azure AI Document Intelligence en Suisse (Zurich), qui les conserve avec le résultat 24 heures au plus (art. 8) ; rien ne quitte la Suisse dans ce flux. Les exceptions limitées, situées dans l'Union européenne, énumérées à l'art. 8 et décrites dans la Politique de confidentialité, sont les suivantes : l'inférence d'intelligence artificielle s'exécute à Zurich ou dans une région de l'Union européenne choisie par AWS, et le reclassement des résultats à Francfort ; les sauvegardes de la base de données de production restent en Suisse et sont conservées 12 mois ; les courriers électroniques transactionnels sont acheminés depuis AWS SES en Irlande (eu-west-1) ; et, lorsque le responsable du traitement active la réception des factures par courrier électronique, les messages entrants et leurs pièces jointes sont conservés de manière transitoire (7 jours au plus) par SES et S3 en Irlande. L'ensemble de ces traitements est couvert par la décision d'adéquation Suisse-UE. L'assistance par intelligence artificielle utilisée par le personnel de Mast (Anthropic, PBC, art. 8) est traitée aux États-Unis en vertu de l'avenant relatif au traitement des données d'Anthropic et des clauses contractuelles types qu'il intègre. Lorsque des transferts hors de Suisse ou de l'Espace économique européen sont nécessaires, des garanties appropriées sont assurées, notamment :

• les décisions d'adéquation reconnues au titre du RGPD ou de la nLPD suisse, y compris la décision d'adéquation Suisse-UE pour les traitements effectués dans les régions de l'Union européenne ;
• le Data Privacy Framework UE-États-Unis et le Data Privacy Framework Suisse-États-Unis pour les transferts vers des destinataires certifiés aux États-Unis (en qualité de responsable du traitement suisse, Mast se fonde sur le Data Privacy Framework Suisse-États-Unis pour ses propres transferts vers les États-Unis) ;
• les clauses contractuelles types approuvées par la Commission européenne, ou les clauses suisses équivalentes reconnues par le PFPDT ;
• tout autre mécanisme de transfert reconnu et applicable.

10. Assistance au responsable du traitement

Mast Finance apporte une assistance raisonnable :

• pour répondre aux demandes des personnes concernées ;
• pour satisfaire aux obligations en matière de sécurité et de notification des violations ;
• pour réaliser, lorsque cela est requis, des analyses d'impact relatives à la protection des données.

Cette assistance peut donner lieu à une rémunération raisonnable lorsqu'elle exige un effort important dépassant la fourniture ordinaire du Service.

11. Violations de données à caractère personnel

Mast Finance notifie le Responsable du traitement sans retard injustifié (dans les 72 heures lorsque cela est possible) après avoir eu connaissance d'une violation affectant des Données Client, en précisant la nature, l'étendue et les conséquences de celle-ci ainsi que les mesures correctives prises.

12. Suppression et restitution des données

À la fin du contrat, les Données Client suivent un cycle de vie en trois étapes :

• Jour 0 à jour 30 : les Données Client demeurent entièrement intactes et exportables.
• Jour 30 : les données à caractère personnel qu'elles contiennent sont anonymisées et l'espace client est archivé.
• Jour 90 : les données financières restantes rattachées à l'espace client sont définitivement purgées du Service ; les sauvegardes prises auparavant expirent dans les 12 mois qui suivent leur création. Seuls subsistent ensuite un enregistrement minimal de l'espace client (raison sociale et métadonnées d'abonnement), des empreintes cryptographiques de la piste d'audit (sans contenu) et les pièces de facturation propres à Mast Finance, tels que requis par l'obligation de conservation de dix ans qui lui incombe en vertu de l'art. 958f CO.

Avant la purge, Mast Finance restitue les Données Client au responsable du traitement sous la forme d'une archive complète, préparée à la fermeture du compte, sauf si celui-ci y renonce par écrit. Mast Finance fournit sur demande une confirmation écrite de la suppression. Le cycle de vie complet, y compris les modalités de demande de suppression, est exposé dans la Politique de conservation des données et de suppression de compte.

13. Droits d'audit

Les droits d'audit sont ordinairement satisfaits au moyen des mécanismes à distance suivants :

• le renseignement du questionnaire standard de sécurité et de conformité de Mast Finance ;
• la remise des rapports d'audit ou certifications établis par des tiers dont Mast Finance dispose au moment de la demande.

Les audits physiques ou sur site ne sont pas accordés de plein droit. Lorsque les obligations réglementaires du responsable du traitement exigent davantage que les mécanismes ci-dessus, les parties conviennent de bonne foi d'une solution alternative proportionnée. Les demandes d'audit peuvent être adressées à contact@mastfinance.io et ne peuvent être présentées plus d'une fois par année civile, sauf à la suite d'une violation avérée.

14. Responsabilité

La responsabilité est soumise aux limitations prévues par les Conditions générales d'utilisation, dans la mesure permise par le droit applicable en matière de protection des données.

15. Droit applicable et for

Le présent DPA est soumis au droit suisse et interprété conformément à celui-ci, à l'exclusion des règles de conflit de lois. Les parties conviennent du for exclusif des tribunaux de Lausanne, Suisse. Aucune disposition de la présente section ne restreint le droit d'une personne concernée d'agir devant toute juridiction compétente dans la mesure permise par le droit applicable en matière de protection des données.

16. Langue

Le présent document existe en français et en anglais, tenus à jour ensemble. En cas de divergence entre les deux versions, la version française prévaut. Toute version dans une autre langue n'est fournie qu'à titre d'information.

Mast Finance Sàrl, Rue Centrale 15, 1003 Lausanne, Suisse. contact@mastfinance.io