---

Avis important : Le présent document est une traduction de courtoisie. Seule la version anglaise, disponible sur whisperit.ai/legal/data-protection/ch, fait foi et prévaut en cas de divergence.

---

Clients suisses - Version Entreprise

Loi fédérale sur la protection des données (LPD)

Whisperit SA

Version du 15.01.2026

Préambule

Le présent accord de traitement des données (« DPA ») complète les conditions générales de Whisperit SA et régit le traitement des données personnelles effectué par Whisperit SA (« Sous-traitant ») au nom du Client (« Responsable du traitement ») dans le contexte de l'utilisation du logiciel Whisperit.

Le présent DPA est conforme à la Loi fédérale révisée sur la protection des données (LPD, en vigueur depuis le 1er septembre 2023) et à l'Ordonnance sur la protection des données (OPD).

Le présent DPA Entreprise fournit des garanties renforcées adaptées aux exigences des grandes organisations et des secteurs réglementés.

1. Définitions

Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable.

Données personnelles sensibles : Données sur les convictions religieuses, philosophiques, politiques ou syndicales ou sur les activités correspondantes ; données sur la santé, la sphère intime ou l'origine raciale ou ethnique ; données génétiques et biométriques ; données sur les procédures ou sanctions pénales ou administratives ; données concernant les mesures d'aide sociale.

Traitement : Toute opération effectuée sur des données personnelles, quel que soit le moyen utilisé, notamment en particulier la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la divulgation, l'archivage, l'effacement ou la destruction.

Responsable du traitement : Le Client qui détermine les finalités et les moyens du traitement.

Sous-traitant : Whisperit SA, qui traite les données au nom du Responsable du traitement.

Violation de la sécurité des données : Toute violation de la sécurité entraînant la perte, l'effacement, la destruction, la modification ou la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci.

PFPDT : Préposé fédéral à la protection des données et à la transparence.

2. Sujet et champ d'application du traitement

2.1 - Catégories de données traitées

2.2 - Catégories de personnes concernées

• Utilisateurs du logiciel (employés, collaborateurs du Client)
• Personnes mentionnées dans les documents traités par le logiciel
• Contacts professionnels du Client

2.3 - Finalités du traitement

Le traitement est effectué exclusivement pour :

• La fourniture des services Whisperit SaaS conformément au Contrat
• La maintenance technique, la correction des bogues et la résolution des incidents
• L'amélioration des performances et de la stabilité du logiciel
• Le support client et l'assistance technique
• La facturation et la gestion administrative du Contrat
• Le respect des obligations légales applicables au Sous-traitant

2.4 - Exclusions absolues

Les données ne sont jamais utilisées pour :

• L'entraînement, le fine-tuning ou l'amélioration de modèles d'intelligence artificielle
• La revente, la location ou le partage commercial avec des tiers
• Le profilage, la publicité ciblée ou le marketing direct
• L'analyse comportementale à des fins commerciales
• Toute finalité non expressément prévue dans le présent DPA

2.5 - Données personnelles sensibles

Principe : Le logiciel n'est pas conçu pour traiter les données personnelles sensibles au sens de l'art. 5 let. c LPD.

Exception : Si le Responsable du traitement utilise le logiciel pour traiter des documents contenant des données sensibles (notamment les données de santé dans le contexte de dossiers juridiques), il en informe le Sous-traitant par écrit préalablement. Dans ce cas :

a) Le Sous-traitant applique des mesures de sécurité renforcées

b) L'accès aux données est limité aux personnes strictement nécessaires

c) Un chiffrement supplémentaire peut être mis en œuvre sur demande

d) Le Responsable du traitement assume la responsabilité de la licéité du traitement

3. Obligations du Sous-traitant

3.1 - Instructions documentées

Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Responsable du traitement. Les instructions peuvent être données :

• Par écrit (email, lettre)
• Via l'interface d'administration du logiciel
• Par tout moyen permettant la conservation d'une preuve

Si le Sous-traitant considère qu'une instruction viole la LPD ou d'autres dispositions légales, il informe immédiatement le Responsable du traitement. Le Sous-traitant peut suspendre l'exécution de l'instruction jusqu'à confirmation écrite du Responsable du traitement. Le Sous-traitant peut refuser d'exécuter une instruction manifestement illégale.

3.2 - Confidentialité du personnel

Le Sous-traitant garantit que :

a) Toutes les personnes impliquées dans le traitement des données, y compris les auxiliaires et les personnes autorisées à traiter des données personnelles, sont soumises à une obligation contractuelle ou légale de confidentialité.

b) Le personnel reçoit une formation initiale et continue sur :

• La protection des données (LPD, OPD)
• Le secret professionnel de l'avocat (art. 321 du Code pénal suisse et art. 13 LLCA/BGFA)
• Les politiques de sécurité interne
• La gestion des incidents

c) L'accès aux données est limité au personnel dont les fonctions l'exigent (principe du besoin d'accès).

d) Un registre des personnes autorisées est maintenu et disponible sur demande.

3.3 - Secret professionnel de l'avocat

Article 321 du Code pénal suisse et article 13 LLCA/BGFA : Le Sous-traitant reconnaît expressément occuper la position d'auxiliaire au sens de l'art. 321 al. 1 du Code pénal suisse et de l'art. 13 de la Loi fédérale sur la libre circulation des avocats (LLCA/BGFA).

Le Sous-traitant s'engage à :

a) Conformité absolue : Ne pas divulguer aucune information couverte par le secret professionnel, à aucune autorité, sans le consentement écrit préalable du Client.

b) Formation spécifique : Veiller à ce que tout employé ou sous-traitant ultérieur ayant un accès potentiel aux données du Client reçoive une formation sur les obligations découlant du secret professionnel de l'avocat, y compris :

• La nature et l'étendue du secret professionnel
• Les sanctions pénales applicables (art. 321 du Code pénal suisse)
• Les procédures en cas de demandes d'accès

c) Procédure en cas de demande d'autorité :

• Informe immédiatement le Client de toute demande, sauf si cette information est légalement interdite
• Ne procède à aucune divulgation sans instruction écrite du Client
• Conteste toute demande incompatible avec le secret professionnel
• Épuise les recours disponibles si le Client l'en demande, le Client étant responsable du paiement de l'intégralité des frais correspondants

d) Demandes d'autorités étrangères : Refuse toute demande d'une autorité étrangère et en informe immédiatement le Client, sauf si la notification est légalement interdite en Suisse.

e) Survie de l'obligation : Les obligations relatives au secret professionnel survivent à la fin du Contrat sans limitation de durée.

3.4 - Mesures de sécurité technique

Le Sous-traitant met en œuvre les mesures techniques suivantes :

Chiffrement :

• Données au repos : AES-256
• Données en transit : TLS 1.2 minimum, TLS 1.3 négocié par défaut
• Clés de chiffrement : Gestion sécurisée avec rotation périodique

Contrôle d'accès :

• Authentification multifacteur (MFA) obligatoire
• Contrôle d'accès basé sur les rôles (RBAC)
• Politique de mot de passe robuste (min. 12 caractères, complexité)
• Verrouillage automatique après 5 tentatives échouées
• Sessions expirées après 30 minutes d'inactivité

Protection de l'infrastructure :

• Pare-feu d'application web (WAF)
• Système de détection et de prévention des intrusions (IDS/IPS)
• Protection contre les attaques DDoS
• Segmentation du réseau
• Analyse mensuelle des vulnérabilités
• Tests de pénétration annuels

Journalisation :

• Journaux d'accès et d'action conservés conformément au calendrier de conservation des journaux détaillé à la section 3.4bis
• Journaux de sécurité conservés conformément au calendrier de conservation des journaux détaillé à la section 3.4bis
• Intégrité des journaux garantie (horodatage, signature)
• Surveillance en temps réel avec alertes

3.4bis - Calendrier de conservation des journaux

Le Sous-traitant centralise les événements pertinents pour la sécurité et les conserve conformément aux périodes ci-dessus. Lorsqu'une obligation réglementaire ou contractuelle spécifique exige une conservation plus longue, le Sous-traitant et le Responsable du traitement peuvent convenir par écrit d'une conservation prolongée.

3.5 - Mesures de sécurité organisationnelle

Gouvernance :

• Politique de sécurité de l'information documentée
• Responsable de la sécurité désigné
• Comité de sécurité avec examens trimestriels

Gestion des accès :

• Processus d'intégration/départ formalisé
• Examen semestriel des droits d'accès
• Principe du privilège minimal

Gestion des incidents :

• Procédure documentée de réponse aux incidents
• Équipe de réponse aux incidents désignée
• Tests de procédure annuels

Continuité des activités :

• Plan documenté de continuité des activités (PCA)
• Plan de reprise d'activité testé (PRA)
• RTO (Objectif de temps de récupération) : 4 heures
• RPO (Objectif de point de récupération) : 1 heure

3.6 - Sauvegardes et restauration

• Sauvegardes complètes quotidiennes
• Sauvegardes incrémentielles toutes les 4 heures
• Réplication géographique en Suisse
• Tests de restauration documentés mensuels
• Conservation des sauvegardes : 30 jours glissants

3.7 - Sous-traitement

Autorisation générale : Le Responsable du traitement autorise le Sous-traitant à s'engager auprès des sous-traitants ultérieurs énumérés sur Sous-traitants à la date de signature du Contrat.

Procédure de modification :

a) Le Sous-traitant notifie le Responsable du traitement par écrit au moins 30 jours avant l'ajout, le remplacement ou la suppression d'un sous-traitant ultérieur

b) La notification comprend :

• Identité et localisation du sous-traitant ultérieur
• Nature du traitement concerné
• Garanties en matière de protection des données
• Justification de l'engagement

c) Le Responsable du traitement dispose de 15 jours ouvrables pour formuler une objection motivée

d) En cas d'objection :

• Les parties se consultent de bonne foi
• À défaut d'accord, le Responsable du traitement peut résilier sans frais la partie du Contrat concernée

Obligations imposées aux sous-traitants ultérieurs :

• Obligations équivalentes à celles du présent DPA
• Droit d'audit du Responsable du traitement
• Responsabilité du Sous-traitant pour les actes de ses sous-traitants ultérieurs

3.8 - Localisation des données

Hébergement en Suisse : Les données de contenu client du Responsable du traitement (documents, conversations, transcriptions, enregistrements utilisateur) sont hébergées exclusivement sur des serveurs situés physiquement en Suisse.

Cette garantie couvre :

• Les données de production
• Les sauvegardes
• Les journaux au niveau de l'application et les métadonnées

Exception des services opérationnels : Certains services opérationnels qui ne traitent pas le contenu privilégié des documents client peuvent être hébergés en dehors de la Suisse :

• Surveillance des erreurs (Sentry, UE - Allemagne) : traite uniquement les journaux d'erreurs d'application, aucun contenu de document client
• Traçabilité et observabilité LLM (LangSmith, UE - Allemagne) : traite les invites et réponses LLM pour le débogage et l'assurance qualité. Configurable par locataire ; peut être désactivé sur demande écrite (voir la section 3.8bis)
• E-mails transactionnels (Loops, États-Unis) : traite uniquement les adresses e-mail et le contenu des notifications
• Analyse des produits (Mixpanel, États-Unis) : traite les statistiques d'utilisation anonymisées, aucun contenu client

Sur demande écrite adressée à legal@whisperit.ai, le Client peut demander la désactivation de tout service opérationnel impliquant un traitement non-suisse, étant entendu que certaines capacités de support technique et de diagnostic peuvent être réduites.

Exception pour les services d'IA : Le traitement par les API d'IA peut impliquer un transit temporaire en dehors de la Suisse. Dans ce cas :

• Aucune donnée n'est conservée par le fournisseur d'IA au-delà de la session
• Les garanties contractuelles interdisent toute utilisation pour l'entraînement
• Le Client peut demander la désactivation des fonctionnalités d'IA impliquant un transit en dehors de la Suisse

3.8bis - Fonctionnalité Deep Research (traitement aux États-Unis)

Le logiciel comprend une fonctionnalité Deep Research qui utilise l'API OpenAI (États-Unis) pour la recherche avancée basée sur Internet. Seule la requête de recherche de l'utilisateur est transmise à OpenAI ; aucun document client ou son contenu n'est envoyé. La politique d'utilisation des données d'OpenAI stipule que les données de l'API ne sont pas utilisées pour l'entraînement des modèles.

Cette fonctionnalité est disponible sur tous les niveaux de résidence des données sur une base d'opt-in. Pour les clients soumis au secret professionnel, l'utilisation de cette fonctionnalité exige une reconnaissance écrite explicite que les requêtes de recherche transitent par l'infrastructure américaine. Le Client peut choisir d'utiliser ou de s'abstenir d'utiliser cette fonctionnalité à sa discrétion.

4. Droits des personnes concernées

4.1 - Assistance renforcée

Le Sous-traitant assiste le Responsable du traitement en répondant aux demandes des personnes concernées exerçant leurs droits :

4.2 - Procédure

a) Le Responsable du traitement transmet la demande au Sous-traitant par écrit

b) Le Sous-traitant accuse réception dans les 24 heures

c) Le Sous-traitant exécute la demande dans les délais indiqués

d) Le Sous-traitant confirme l'exécution par écrit avec, le cas échéant, un certificat d'effacement

4.3 - Demandes directes

Si une personne concernée adresse une demande directement au Sous-traitant, le Sous-traitant :

a) Informe le Responsable du traitement dans les 48 heures

b) Ne répond pas directement sauf s'il est instruit par le Responsable du traitement

c) Redirige la personne vers le Responsable du traitement le cas échéant

5. Notification des violations de données

5.1 - Délai de notification

En cas de violation de la sécurité des données, le Sous-traitant notifie le Responsable du traitement :

• Violations critiques (exfiltration, ransomware) : Dans les 24 heures
• Autres violations : Dans les 48 heures

Le délai court à partir du moment où le Sous-traitant a connaissance de la violation.

5.2 - Contenu de la notification initiale

La notification initiale comprend au minimum :

a) Date et heure de détection de la violation

b) Nature de la violation (confidentialité, intégrité, disponibilité)

c) Catégories de données concernées

d) Nombre estimé de personnes concernées

e) Nombre estimé de dossiers concernés

f) Description des conséquences probables

g) Mesures immédiates prises

h) Détails du point de contact

5.3 - Notification supplémentaire

Dans les 72 heures suivant la notification initiale, le Sous-traitant fournit :

a) Analyse détaillée de la cause de la violation

b) Chronologie précise des événements

c) Liste des systèmes et données affectés

d) Évaluation de l'impact

e) Mesures correctives mises en œuvre

f) Recommandations pour le Responsable du traitement

5.4 - Coopération

Le Sous-traitant :

a) Coopère pleinement avec le Responsable du traitement pour toute notification au PFPDT

b) Fournit les informations nécessaires pour la notification aux personnes concernées

c) Participe aux réunions de crise si demandé

d) Met en œuvre les mesures correctives convenues

5.5 - Documentation

Le Sous-traitant maintient un registre des violations comprenant :

• Description de la violation
• Données et personnes concernées
• Mesures prises
• Décisions de notification

Ce registre est mis à la disposition du Responsable du traitement sur demande.

6. Audit et contrôle

6.1 - Droit d'audit

Le Responsable du traitement a un droit d'audit annuel pour vérifier la conformité du Sous-traitant aux obligations du présent DPA.

6.2 - Procédures d'audit

Demande d'audit :

• Demande écrite 30 jours civils à l'avance
• Champ d'application de l'audit défini conjointement
• Auditeur indépendant soumis au secret professionnel

Conduite :

• Pendant les heures de bureau (9h00–17h00, jours ouvrables)
• Durée maximale : 3 jours
• Accès aux locaux pertinents, systèmes et documentation
• Possibilité d'entretiens avec le personnel désigné

Limitations :

• Aucune perturbation significative des opérations
• Protection des secrets commerciaux du Sous-traitant
• Aucun accès aux données d'autres clients
• Aucun accès au code source propriétaire

6.3 - Rapport d'audit

• L'auditeur soumet son rapport aux deux parties
• Le Sous-traitant a 30 jours pour répondre aux observations
• Un plan de correction est établi pour les non-conformités
• Un audit de suivi peut être demandé pour les non-conformités critiques

6.4 - Frais

• Honoraires de l'auditeur : supportés par le Responsable du traitement
• Temps du personnel du Sous-traitant : inclus (max. 16 heures/an)
• Au-delà : facturé au taux horaire convenu

6.5 - Certifications et rapports

En plus ou à titre alternatif à l'audit sur site, le Sous-traitant met à disposition :

• Rapports SOC 2 Type II (cible : 2027)
• Certificat ISO 27001 (cible : 2027)
• Rapports de tests de pénétration (version expurgée)
• Attestation annuelle de conformité signée par la direction

7. Assistance aux obligations légales

7.1 - Analyse d'impact relative à la protection des données (AIPD)

Le Sous-traitant assiste le Responsable du traitement pour effectuer des analyses d'impact relatives à la protection des données :

a) Fourniture des informations techniques nécessaires

b) Description des mesures de sécurité

c) Évaluation des risques liés au traitement

d) Recommandations pour les mesures d'atténuation

L'assistance est fournie dans les 15 jours ouvrables suivant la demande.

7.2 - Registre des activités de traitement

Le Sous-traitant maintient un registre des activités de traitement conformément à l'art. 12 LPD, comprenant :

• Identité du Sous-traitant et du Responsable du traitement
• Catégories de traitement effectuées
• Transferts vers des pays tiers
• Mesures de sécurité

Un extrait du registre est disponible sur demande.

7.3 - Coopération avec les autorités

En cas de demande du PFPDT :

a) Le Sous-traitant informe immédiatement le Responsable du traitement (sauf si légalement interdite)

b) Les parties se consultent sur la réponse à fournir

c) Le Sous-traitant divulgue uniquement le strict nécessaire

d) Le Responsable du traitement est tenu informé de l'évolution

8. Durée et fin du traitement

8.1 - Durée

Le présent DPA entre en vigueur à la date de signature du Contrat principal et reste en vigueur pour toute sa durée.

8.2 - Restitution des données

À la fin du Contrat, le Responsable du traitement a 90 jours pour demander la restitution de ses données.

Formats de restitution disponibles :

• JSON (JavaScript Object Notation)
• CSV (données tabulaires)
• PDF (documents)
• Format natif original (si disponible)

Documentation fournie :

• Schéma des données exportées
• Dictionnaire des champs
• Guide d'importation

8.3 - Suppression sécurisée

À la fin de la période de restitution ou sur demande anticipée du Responsable du traitement :

a) Le Sous-traitant procède à la suppression sécurisée de tous les données

b) La suppression couvre :

• Les données de production
• Les sauvegardes (dans les 30 jours suivants)
• Les journaux contenant des données personnelles
• Les données détenues par les sous-traitants ultérieurs

c) Certificat de destruction : Le Sous-traitant émet un certificat attestant :

• Date de suppression
• Champ d'application des données supprimées
• Méthode de suppression utilisée
• Confirmation de la notification aux sous-traitants ultérieurs

8.4 - Obligations survivantes

Les obligations suivantes survivent à la fin du Contrat :

• Confidentialité et secret professionnel : sans limitation
• Conservation des journaux de sécurité : 1 an après la suppression
• Disponibilité pour les audits post-contractuels : 1 an

9. Transferts internationaux

9.1 - Principe

Les données de contenu client sont hébergées exclusivement en Suisse. Aucun transfert vers un pays n'offrant pas un niveau adéquat de protection ne s'effectue sans garanties appropriées.

9.2 - Pays adéquats

La Suisse reconnaît comme adéquats les pays énumérés par le Conseil fédéral (Annexe 1 OPD), notamment les États membres de l'EEE.

9.3 - Garanties pour les fournisseurs d'IA

Pour les services d'IA impliquant un transit de données :

a) Traitement éphémère : Aucune conservation au-delà de la session de traitement

b) Garanties contractuelles :

• Clauses contractuelles types si applicable
• Interdiction d'utilisation pour l'entraînement
• Engagement de sécurité équivalent

c) Évaluation des risques : Le Sous-traitant maintient une évaluation documentée des risques pour chaque fournisseur d'IA

9.4 - Option de désactivation

Le Responsable du traitement peut demander la désactivation des fonctionnalités impliquant un transit de données en dehors de la Suisse. Dans ce cas, certaines fonctionnalités d'IA peuvent être limitées.

10. Garanties spécifiques à l'intelligence artificielle

10.1 - Non-entraînement

Le Sous-traitant garantit que les données du Responsable du traitement ne sont jamais utilisées pour :

• L'entraînement de modèles d'IA
• Le fine-tuning de modèles existants
• L'amélioration d'algorithmes
• Constituer des ensembles de données d'entraînement

Cette garantie s'applique au Sous-traitant et à tous ses fournisseurs d'IA.

10.2 - Transparence

Le Sous-traitant maintient à jour :

a) La liste des modèles d'IA utilisés dans le logiciel

b) La localisation du traitement pour chaque modèle

c) Les garanties obtenues auprès de chaque fournisseur

Ces informations sont disponibles sur Sous-traitants.

10.3 - Contrats API Entreprise

Tous les fournisseurs d'IA sont liés par des accords de niveau Entreprise comprenant :

• Exclusion explicite de l'entraînement sur les données client
• Engagement de non-conservation
• Droit d'audit
• Notification du changement de politique

10.4 - Changement de politique du fournisseur

En cas de modification des conditions de service d'un fournisseur d'IA incompatible avec les garanties du présent DPA :

a) Le Sous-traitant cesse immédiatement d'utiliser ce fournisseur

b) Le Responsable du traitement est informé dans les 48 heures

c) Un fournisseur alternatif est mis en place dans les 30 jours

d) Faute de quoi, le Responsable du traitement peut résilier le Contrat sans frais, étant entendu que tous les montants dus par le Responsable du traitement au Sous-traitant à la date de la résiliation restent dus.

11. Responsabilité

11.1 - Responsabilité du Sous-traitant

Le Sous-traitant est responsable des dommages causés par un traitement non conforme au présent DPA ou aux instructions du Responsable du traitement (dans les limites de la section 3.1).

11.2 - Limitation

La responsabilité du Sous-traitant en vertu du présent DPA est soumise aux limitations prévues aux Conditions générales, sauf en cas de :

• Violation intentionnelle ou fortement négligente
• Violation du secret professionnel (art. 321 du Code pénal suisse)
• Violation des obligations essentielles de sécurité

11.3 - Indemnisation

Le Sous-traitant indemnise le Responsable du traitement contre toute amende ou sanction administrative découlant directement d'une violation du présent DPA par le Sous-traitant, dans les plafonds de responsabilité contractuels.

12. Dispositions finales

12.1 - Hiérarchie des documents

En cas de conflit :

1. Le présent DPA prévaut sur les Conditions générales pour les questions de protection des données
2. Les annexes complètent le corps du DPA
3. Les instructions spécifiques du Responsable du traitement complètent le DPA

12.2 - Modifications

Toute modification du présent DPA exige la forme écrite et la signature des deux parties.

12.3 - Droit applicable

Le présent DPA est régi par le droit suisse.

12.4 - Juridiction

Tout différend relatif au présent DPA est soumis aux tribunaux de Prilly, Suisse.

12.5 - Clause de sauvegarde

Si une disposition du présent DPA est invalide, les autres dispositions restent en vigueur. Les parties conviennent de remplacer la disposition invalide par une disposition valide se rapprochant au maximum de l'intention originale.

Annexe A : Mesures techniques et organisationnelles détaillées

A.1 - Sécurité physique des centres de données

A.2 - Sécurité logique

A.3 - Sécurité organisationnelle

A.4 - Gestion des vulnérabilités

A.5 - Continuité et récupération

Annexe B : Liste des sous-traitants ultérieurs

Voir : Sous-traitants

La liste comprend pour chaque sous-traitant ultérieur :

• Nom et adresse de la société
• Localisation du traitement
• Nature des services
• Garanties en matière de protection des données
• Date d'ajout à la liste

Annexe C : Points de contact

Protection des données :

• Email : legal@whisperit.ai
• Adresse : Whisperit SA, Prilly, Suisse

Incidents de sécurité :

• Email : security@whisperit.ai
• Téléphone : +41 21 539 46 60 (ligne d'urgence 24/7)

Support :

• Email : support@whisperit.ai
• Portail : Support

---

Whisperit SA — Prilly, Suisse