Annexe sur le traitement des données
Cette annexe complète le chiffre 5a des conditions générales. Elle règle le traitement de données personnelles que Jomax Group SA (« l'exploitant ») effectue pour le compte du client (art. 9 nLPD). En cas de contradiction sur la protection des données, elle prime sur les conditions générales.
1. Objet, durée et finalité
L'exploitant traite les données que le client et ses utilisateurs saisissent dans Teixa, uniquement pour fournir le service décrit dans les conditions (hébergement, affichage, calculs, envoi d'e-mails et de documents demandés par le client, lecture de documents par l'IA lorsque le client l'utilise, sauvegardes, support). Le traitement dure aussi longtemps que le contrat, puis jusqu'à la suppression prévue au chiffre 9.
2. Données et personnes concernées
| Personnes concernées | Données |
|---|---|
| Utilisateurs du client | Nom, e-mail, rôle, fonction, journal des connexions et des modifications |
| Collaborateurs du client | Identité, coordonnées, heures, absences, notes de frais ; numéro AVS (administrateurs seulement) ; absences pour maladie ou accident et certificats médicaux (données sensibles, si le client les saisit) |
| Clients, fournisseurs, sous-traitants, partenaires et autres contacts | Identité, coordonnées, IBAN, offres, factures, paiements, courriers, e-mails, documents, contrats |
| Personnes visibles sur les chantiers | Photos de chantier (avec leurs métadonnées, p. ex. la position), journaux de chantier, plans |
3. Instructions
Les instructions du client sont les conditions, cette annexe et les réglages qu'il fait dans Teixa (applications activées, droits, IA activée ou non, suppressions, exports). Toute autre instruction est donnée par écrit à info@jomax.ch. L'exploitant informe le client s'il estime qu'une instruction viole le droit de la protection des données. Il ne traite pas les données à ses propres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d'IA.
4. Confidentialité
Seules les personnes qui en ont besoin pour l'exploitation et le support accèdent aux données ; elles sont tenues à la confidentialité par contrat ou par la loi. L'accès aux données d'un client pour le support n'a lieu qu'à sa demande ou pour corriger un incident.
5. Mesures de sécurité
- Hébergement : centre de données dans l'UE (Pays-Bas), base de données PostgreSQL et fichiers sur un volume dédié.
- Cloisonnement : chaque client a un espace séparé au niveau de la base de données (sécurité par ligne, chaque requête limitée à l'espace du client).
- Transmission : connexions chiffrées (HTTPS/TLS) ; politique de sécurité du contenu stricte, sans scripts ni services de tiers sur les pages de l'application.
- Accès : mots de passe stockés sous forme de hachage (scrypt), sessions stockées sous forme de hachage, rôles (administrateur, responsable, client, partenaire), données de santé visibles seulement par la personne et les administrateurs.
- Secrets : mots de passe des boîtes e-mail chiffrés (AES) ; aucune clé dans le code source.
- Traçabilité : journal des modifications de la comptabilité en ajout seul, scellé par une chaîne de hachage ; journaux techniques conservés 30 jours au plus.
- Historique et corbeille : l'état d'un élément avant chaque modification ou suppression est gardé chiffré, pour que le client puisse le restaurer : 12 mois pour l'historique, 90 jours pour la corbeille ; puis effacement automatique, fichiers compris. Ces copies font partie de l'export et de la suppression prévue au chiffre 9 ; un administrateur du client peut les effacer plus tôt.
- after #128's « Historique et corbeille »
- Discussions et téléphone : les messages directs ne sont visibles que de leurs participants ; les messages sont conservés 24 mois par défaut (réglable par le client) puis effacés ; les notifications sur le téléphone ne transmettent aux services de notification (Apple, Google, Mozilla, Microsoft) qu'une adresse technique et un message vide, jamais de contenu ; aucune mesure de l'activité des personnes.
- Disponibilité : sauvegardes quotidiennes de la base et des fichiers ; copie hors site chiffrée (AES-256) ; copies conservées 12 mois au plus ; alertes automatiques aux administrateurs de la plateforme.
- IA : désactivable par le client pour tout son espace ; résumés RH pseudonymisés, sans données de santé ; le prestataire n'entraîne pas ses modèles avec les données.
- Contrôles : revue de sécurité du code et tests d'isolation entre clients avant les mises en production ; correctifs de sécurité appliqués sans délai.
L'exploitant adapte ces mesures à l'état de la technique. Il ne les réduit pas en dessous du niveau décrit ici.
6. Sous-traitants ultérieurs
| Prestataire | Fonction | Lieu |
|---|---|---|
| Railway Corporation | Hébergement, base de données, fichiers | Serveurs aux Pays-Bas (UE) ; société aux États-Unis |
| Google LLC (Google Workspace) | Envoi des e-mails de la plateforme | États-Unis / UE |
| Anthropic (Claude) | Lecture de documents et assistance par IA, seulement si l'IA est activée ; pas d'entraînement des modèles, données effacées dans les 30 jours | États-Unis ; Anthropic Ireland pour l'EEE |
| Stripe Payments Europe Ltd. | Paiement des achats groupés Bulkit, seulement si le paiement en ligne est activé | Irlande (UE) |
| Apple (iCloud Drive) | Copie hors site des sauvegardes, chiffrée, sans accès à la clé | États-Unis / UE |
Le client autorise ces sous-traitants. L'exploitant leur impose des obligations de protection des données équivalentes à cette annexe et répond de leur respect. Il annonce tout nouveau sous-traitant ou tout changement au moins 30 jours à l'avance par e-mail aux administrateurs. Le client peut s'y opposer pour un motif lié à la protection des données dans ce délai ; si aucune solution n'est trouvée, il peut résilier le contrat sans frais pour la date du changement.
7. Transferts à l'étranger
Les données sont stockées dans l'UE, dont le niveau de protection est reconnu adéquat par la Suisse. Un accès depuis les États-Unis n'a lieu que dans les cas prévus au chiffre 6, sur la base du Swiss-U.S. Data Privacy Framework lorsque le prestataire est certifié, sinon des clauses contractuelles types de l'UE avec les adaptations au droit suisse (art. 16 nLPD).
8. Assistance au client
- Demandes des personnes concernées : le client peut consulter, corriger, exporter et supprimer les données lui-même dans Teixa. Une demande reçue par l'exploitant est transmise au client dans les 5 jours ouvrables ; l'exploitant n'y répond pas lui-même sans instruction.
- Violation de la sécurité des données : l'exploitant l'annonce au client sans délai, au plus tard 48 heures après en avoir eu connaissance, avec ce qu'il sait : nature, données et personnes touchées, conséquences probables, mesures prises ou proposées, contact. Il complète l'information dès qu'il en sait plus et aide le client à annoncer la violation au PFPDT et aux personnes concernées lorsque c'est nécessaire (art. 24 nLPD).
- Analyse d'impact et consultation : l'exploitant fournit les informations dont le client a besoin pour une analyse d'impact (art. 22 nLPD) ou une consultation du PFPDT.
9. Fin du contrat
Le client exporte ses données avant la fin du contrat (export complet avec les fichiers). L'exploitant supprime les données de l'espace 30 jours après la résiliation, puis elles disparaissent des sauvegardes au plus tard 12 mois plus tard. Sur demande, l'exploitant confirme la suppression par écrit. Les obligations légales de conservation du client (p. ex. livres et pièces comptables pendant 10 ans) restent à sa charge.
10. Contrôle
L'exploitant fournit au client, sur demande, les informations nécessaires pour vérifier le respect de cette annexe. Le client peut faire un audit une fois par an, ou après une violation de la sécurité des données, à ses frais, avec un préavis de 30 jours, par lui-même ou par un auditeur tenu au secret qui n'est pas un concurrent de l'exploitant. L'audit n'a pas accès aux données des autres clients et ne perturbe pas l'exploitation.
11. Responsabilité et droit applicable
La responsabilité suit le chiffre 7 des conditions générales. Le droit suisse et le for du chiffre 8 s'appliquent. Teixa s'adresse aux entreprises suisses ; si le RGPD devait néanmoins s'appliquer à un client, cette annexe vaut contrat au sens de l'art. 28 RGPD.
Version du 30 octobre 2026 · Annexe aux conditions générales ; elle s'applique aussi aux versions anglaise et allemande des conditions. · Voir aussi la politique de confidentialité.