Version 1.1 · État au 29 octobre 2026
Ceci est une traduction. En cas de divergence, la version allemande fait foi. Deutsch
Le présent accord s’applique entre le service spécialisé LBA (GwG-Fachstelle) qui utilise le module service spécialisé de ComplySwiss (ci-après «le service spécialisé») et l’exploitant de ComplySwiss selon les mentions légales (ci-après «ComplySwiss»). Le service spécialisé le conclut en le confirmant lors de l’ouverture du compte ou en remettant une version signée.
1.1 Le service spécialisé utilise le module service spécialisé de la plateforme ComplySwiss pour des intermédiaires financiers qui lui ont confié des tâches visant à remplir leurs obligations de diligence selon la loi sur le blanchiment d’argent (LBA) (ci-après «les mandants») et, le cas échéant, pour ses propres besoins. Cela comprend en particulier l’identification de la clientèle et l’évaluation de son risque, la vérification des personnes politiquement exposées et des sanctions, la surveillance des transactions, la clarification et la documentation des anomalies ainsi que, le cas échéant, l’identification par vidéo et par pièce d’identité. Chaque mandant est géré sur la plateforme comme une organisation distincte. Le contrat d’utilisation entre les parties (ci-après le «contrat principal») en constitue la base.
1.2 Ce faisant, ComplySwiss traite des données personnelles pour le compte du service spécialisé. Le présent accord règle les obligations des parties selon l’art. 9 de la loi sur la protection des données (LPD) et l’ordonnance sur la protection des données (OPDo). L’objet, le but, les catégories de données et les personnes concernées sont décrits à l’annexe 1.
1.3 Lorsque le service spécialisé traite des données personnelles pour le compte d’un mandant, le mandant est le responsable du traitement au sens de l’art. 5, let. j, LPD, le service spécialisé est son sous-traitant et ComplySwiss est sous-traitant ultérieur du service spécialisé. Lorsque le service spécialisé traite des données personnelles pour ses propres besoins, par exemple pour gérer ses mandats et ses utilisateurs, il est lui-même responsable du traitement.
1.4 Le service spécialisé garantit que chaque mandant a préalablement autorisé le recours à ComplySwiss (art. 9, al. 3, LPD) et que son contrat de mandat contient des obligations de protection des données au moins équivalentes au présent accord. Tant que l’autorisation n’est pas donnée, il n’enregistre aucune donnée personnelle pour ce mandant sur la plateforme. Sur demande, il apporte la preuve de l’autorisation.
1.5 Le service spécialisé est l’unique interlocuteur de ComplySwiss pour ses mandants. ComplySwiss n’accepte les instructions d’un mandant que par l’intermédiaire du service spécialisé, sauf si celui-ci n’est plus joignable ou a cessé son activité.
1.6 Si le service spécialisé accorde l’accès à la plateforme à des collaborateurs d’un mandant, à une société d’audit ou à d’autres tiers, il le fait sur ses propres instructions. Ces tiers ne sont pas des sous-traitants de ComplySwiss; le service spécialisé règle lui-même sa relation avec eux.
2.1 ComplySwiss traite les données personnelles exclusivement pour fournir les prestations convenues et selon les instructions du service spécialisé. Le contrat principal, le présent accord et l’utilisation des fonctions de la plateforme par le service spécialisé valent instructions.
2.2 ComplySwiss ne traite pas les données à ses propres fins et ne les communique pas à des tiers. Les obligations légales sont réservées; dans ce cas, ComplySwiss informe préalablement le service spécialisé, pour autant que la loi ne l’interdise pas. Les communications au Bureau de communication en matière de blanchiment d’argent (MROS) sont effectuées exclusivement par les mandants ou par le service spécialisé en leur nom.
2.3 Si ComplySwiss estime qu’une instruction est illicite, elle en informe sans délai le service spécialisé et peut en suspendre l’exécution jusqu’à clarification.
3.1 ComplySwiss traite toutes les données du service spécialisé et de ses mandants de manière confidentielle. Les personnes ayant accès aux données sont tenues par écrit à la confidentialité, pour autant qu’elles ne soient pas déjà soumises à une obligation légale de secret.
3.2 ComplySwiss n’accède aux données que dans la mesure nécessaire à l’exploitation, à la maintenance, à la correction d’erreurs ou au support. Les accès de support au contenu n’ont lieu que sur demande ou avec l’accord du service spécialisé.
3.3 ComplySwiss respecte l’interdiction d’informer selon l’art. 10a LBA: elle n’informe ni les clients concernés ni des tiers des clarifications ou communications dont elle a connaissance dans le cadre du traitement.
3.4 L’obligation de confidentialité subsiste après la fin du présent accord.
4.1 ComplySwiss prend les mesures techniques et organisationnelles selon l’art. 8 LPD et les art. 1 ss OPDo qui sont appropriées au risque du traitement (annexe 2).
4.2 ComplySwiss peut faire évoluer les mesures, pour autant que le niveau de protection convenu ne soit pas réduit. ComplySwiss communique les modifications importantes au service spécialisé.
4.3 Le service spécialisé est responsable de l’utilisation sûre de son côté, en particulier de l’attribution des rôles à ses collaborateurs et aux utilisateurs de ses mandants, de l’activation de la connexion à deux facteurs, de la protection des identifiants, de la suppression des accès des personnes parties et des mandats terminés ainsi que du stockage sûr des documents téléchargés.
5.1 Le service spécialisé approuve le recours aux sous-traitants énumérés à l’annexe 3, y compris au nom de ses mandants.
5.2 ComplySwiss informe le service spécialisé au moins 30 jours à l’avance du recours prévu à un sous-traitant ou de son remplacement, afin qu’il puisse informer ses mandants à temps. Le service spécialisé peut s’y opposer dans ce délai pour un juste motif, y compris en raison de l’opposition d’un mandant. Si les parties ne parviennent pas à s’entendre, le service spécialisé peut résilier le contrat principal pour la date du changement.
5.3 ComplySwiss transfère ses obligations découlant du présent accord à chaque sous-traitant et reste responsable envers le service spécialisé de l’exécution de leurs obligations.
5.4 Les sous-traitants auxquels il n’est fait appel que pour une fonction optionnelle sont désignés comme optionnels à l’annexe 3. Leur intervention n’est réputée approuvée que lorsque le service spécialisé active la fonction.
6.1 Les données personnelles sont stockées et traitées en Suisse, sous réserve du chiffre 6.4.
6.2 Une communication à l’étranger n’a lieu qu’avec l’accord écrit préalable du service spécialisé et dans le respect des art. 16 et 17 LPD.
6.3 Si le service spécialisé connecte son propre service, par exemple un fournisseur d’analyses blockchain avec sa propre clé d’accès, ComplySwiss transmet sur ses instructions les données nécessaires (par exemple des adresses de wallet). Ce fournisseur n’est pas un sous-traitant de ComplySwiss; le service spécialisé conclut lui-même le contrat avec lui.
6.4 Assistant IA optionnel. Le service spécialisé peut activer dans la plateforme un assistant IA qui rédige des projets de texte relatifs aux alertes et aux dossiers. Par l’activation effectuée par une personne disposant de droits d’administrateur, le service spécialisé donne l’accord écrit préalable au sens du chiffre 6.2 à la communication à Mistral AI en France (annexe 3), y compris au nom des mandants pour les alertes et dossiers desquels il utilise l’assistant. Il garantit que ces mandants ont consenti à la communication et les informe d’une révocation. Les règles suivantes s’appliquent :
a) Seules sont transmises les informations relatives à l’alerte ou au dossier pour lequel une personne autorisée demande un projet.
b) Les noms, raisons sociales, numéros de client, adresses, ayants droit économiques, adresses e-mail, IBAN, adresses de portefeuille et numéros de téléphone sont remplacés par des marqueurs avant l’envoi.
c) Les images de pièces d’identité et de visages ainsi que les enregistrements vidéo et audio ne sont jamais transmis.
d) Mistral AI ne peut pas utiliser les données pour entraîner des modèles et les conserve au maximum 30 jours pour détecter les abus.
e) Le projet est une aide ; l’appréciation et la décision incombent exclusivement au service spécialisé et à ses mandants.
f) Le service spécialisé peut révoquer son accord à tout moment dans la plateforme ou par écrit. Dès la révocation, plus aucune donnée n’est transmise.
ComplySwiss journalise l’activation, la révocation et chaque demande avec la date et l’utilisateur.
7.1 Si le service spécialisé utilise la fonction d’identification par pièce d’identité, visage et vidéo, ComplySwiss traite des images de pièces d’identité, des images du visage ainsi que des enregistrements vidéo et audio des personnes à identifier. Les images du visage analysées pour identifier une personne de manière univoque sont des données biométriques et donc des données sensibles (art. 5, let. c, ch. 4, LPD).
7.2 Le traitement sert exclusivement à l’identification du cocontractant selon la LBA et les prescriptions de l’organisme d’autorégulation du mandant concerné. Toute utilisation à d’autres fins, notamment pour l’entraînement de modèles, est exclue.
7.3 Avant la saisie, la personne à identifier est informée du traitement et le confirme. L’appel vidéo n’est enregistré qu’avec son consentement séparé. Le service spécialisé veille à ce que l’information et le consentement satisfassent aux obligations du mandant.
7.4 La reconnaissance de texte, le contrôle de la zone de lecture automatique et la comparaison faciale s’effectuent sur des serveurs de ComplySwiss en Suisse. Aucun service externe n’est utilisé pour les analyses biométriques. Les appels vidéo sont transmis de manière chiffrée; ComplySwiss exploite les serveurs relais en Suisse.
7.5 Les saisies et enregistrements ne sont stockés chez ComplySwiss que temporairement et sont supprimés automatiquement à l’expiration du délai de 24 heures affiché dans l’application. Dans ce délai, le service spécialisé télécharge les documents nécessaires comme preuve et les conserve lui-même de manière protégée ou les remet au mandant. Le stockage temporaire de ComplySwiss n’est pas une archive au sens de l’art. 7 LBA.
7.6 Les résultats de l’analyse automatique sont des aides. Ils ne prouvent ni l’authenticité d’une pièce d’identité ni la présence réelle ou l’identité d’une personne. La décision sur l’identification appartient au service spécialisé ou au mandant.
8.1 ComplySwiss assiste le service spécialisé, dans une mesure raisonnable, dans l’exercice des droits des personnes concernées (en particulier accès, rectification, effacement et remise des données selon les art. 25 ss LPD). ComplySwiss transmet sans délai au service spécialisé les demandes qui lui parviennent directement; celui-ci les transmet au mandant concerné. Le service spécialisé et le mandant apprécient les restrictions du droit d’accès, notamment pour respecter l’interdiction d’informer selon la LBA.
8.2 Sur demande, ComplySwiss met à la disposition du service spécialisé les informations dont lui-même ou ses mandants ont besoin pour une analyse d’impact relative à la protection des données (art. 22 LPD) et pour le registre des activités de traitement (art. 12 LPD).
8.3 ComplySwiss peut facturer les prestations dépassant l’utilisation normale de la plateforme aux tarifs du contrat principal, après annonce préalable.
9.1 ComplySwiss annonce au service spécialisé une violation de la sécurité des données concernant des données du service spécialisé ou de ses mandants dans les meilleurs délais (art. 24, al. 3, LPD), au plus tard dans les 48 heures après en avoir eu connaissance. L’annonce indique les mandants concernés.
9.2 L’annonce contient, dans la mesure où ils sont connus: la nature de la violation, les catégories de données concernées et le nombre approximatif de personnes concernées, les conséquences possibles ainsi que les mesures prises et proposées. Les informations manquantes sont fournies ultérieurement.
9.3 Le service spécialisé informe sans délai les mandants concernés. L’annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) et l’information des personnes concernées incombent au responsable du traitement concerné. ComplySwiss apporte son soutien.
10.1 Le service spécialisé peut vérifier le respect du présent accord. Sur demande, ComplySwiss lui fournit les renseignements et documents nécessaires, y compris à l’intention de ses mandants, de leurs organismes d’autorégulation et sociétés d’audit LBA ou de la FINMA.
10.2 Des contrôles plus étendus, y compris par un organe de contrôle tenu au secret et mandaté par le service spécialisé ou un mandant, sont possibles d’entente entre les parties moyennant un préavis d’au moins 14 jours. Ils sont coordonnés par le service spécialisé et ont lieu au maximum une fois par an, sauf en cas de soupçon fondé de violation du présent accord ou à la demande d’une autorité de surveillance.
11.1 Le présent accord s’applique pendant la durée du contrat principal.
11.2 Pendant la durée de l’accord, le service spécialisé peut exporter lui-même les données de chaque mandant ou demander à ComplySwiss un export dans un format courant.
11.3 Si le mandat avec un mandant prend fin, le service spécialisé exporte les données de ce mandant, les lui remet dans la mesure prévue par le contrat de mandat et supprime les accès de ses utilisateurs. À la demande du service spécialisé, ComplySwiss supprime les données de ce mandant dans un délai de 30 jours et confirme la suppression par écrit.
11.4 Après la fin du contrat principal, le service spécialisé peut encore exporter ses données ou demander un export pendant 30 jours. Au plus tard 90 jours après la fin du contrat, ComplySwiss supprime toutes les données du service spécialisé et de ses mandants, y compris les documents téléversés. Les copies dans les sauvegardes sont écrasées selon le cycle de rotation ordinaire. Sur demande, ComplySwiss confirme la suppression par écrit.
11.5 Les obligations de conservation des mandants, en particulier la conservation de dix ans selon l’art. 7, al. 3, LBA, sont remplies par un export et une remise effectués à temps; le service spécialisé y veille. Un archivage au-delà de la fin du contrat peut être convenu séparément.
12.1 La responsabilité est régie par le contrat principal. À défaut de disposition dans celui-ci, les dispositions légales s’appliquent.
12.2 Le service spécialisé libère ComplySwiss des prétentions de ses mandants fondées sur l’absence d’une autorisation selon le chiffre 1.4 ou sur une instruction du service spécialisé contraire au contrat de mandat.
13.1 En matière de protection des données, le présent accord prime le contrat principal.
13.2 ComplySwiss peut adapter le présent accord, par exemple en cas de modification de la loi ou de nouveaux sous-traitants. Les modifications sont communiquées au service spécialisé au moins 30 jours à l’avance; le chiffre 5.2 s’applique par analogie. Les accords dérogatoires requièrent la forme écrite; une signature électronique ou un scan signé suffit.
13.3 Si une disposition devait être invalide, le reste de l’accord demeure valable.
13.4 Le droit suisse est applicable. Le for est au siège de ComplySwiss.
| Prestation | Mise à disposition, exploitation et maintenance du module service spécialisé en tant qu’application web, y compris la gestion de plusieurs mandants sous un compte d’entreprise, la gestion de l’équipe, l’hébergement, la sauvegarde des données, le support et les notifications par e-mail; le cas échéant, identification par pièce d’identité, visage et vidéo ; sur demande, l’assistant IA optionnel (chiffre 6.4). |
|---|---|
| But | Exécution des obligations de diligence LBA des mandants par le service spécialisé: identification du cocontractant et détermination des ayants droit économiques et des détenteurs du contrôle; évaluation du risque; vérification des personnes politiquement exposées et des sanctions; surveillance des transactions et jeu de règles; alertes, clarifications et gestion des dossiers (avec principe des quatre yeux optionnel); revues périodiques; documentation et exports pour les audits; gestion des mandats. |
| Nature du traitement | Saisie, importation, réception via des liens d’onboarding, stockage, affichage, modification, analyse automatisée (risque, règles, reconnaissance de texte, comparaison faciale), exportation, envoi de notifications, journalisation, sauvegarde et suppression ; sur demande, rédaction de projets de texte par l’assistant IA optionnel. |
| Personnes concernées | Clients des mandants et leurs représentants; ayants droit économiques et détenteurs du contrôle; mandataires; contreparties des transactions, dans la mesure où elles sont saisies; organes et personnes de contact des mandants; utilisateurs du service spécialisé et des mandants. |
| Catégories de données | Données d’identification (nom, date de naissance, nationalité, adresse, données de la pièce d’identité); coordonnées; indications sur la profession, l’origine des valeurs patrimoniales et le but de la relation d’affaires; données d’entreprise des personnes morales; données de mandat (raison sociale, secteur, statut); données de transaction et adresses de wallet; évaluation du risque et son historique; vérifications PEP et sanctions avec leurs résultats; alertes, notes de dossier et résultats de clarification; documents téléversés; images de pièces d’identité et du visage ainsi qu’enregistrements vidéo et audio (temporaires); comptes utilisateurs (login, rôle, statut à deux facteurs); données de journalisation (heure, utilisateur, action, adresse IP). |
| Données sensibles | Données biométriques lors de la saisie du visage (art. 5, let. c, ch. 4, LPD). Des données sur des poursuites ou sanctions administratives ou pénales (art. 5, let. c, ch. 5, LPD) peuvent également figurer, par exemple dans des clarifications ou des correspondances avec des listes de sanctions. Le service spécialisé décide quelles données de ce type il saisit. |
| Séparation des mandants | Chaque service spécialisé dispose de son propre compte d’entreprise; chacun de ses mandants est géré comme une organisation distincte. Les utilisateurs disposant d’un accès d’entreprise ne voient que les organisations de leur service spécialisé, les utilisateurs d’une organisation uniquement celle-ci. Toutes les requêtes sont limitées côté serveur à ces autorisations. |
|---|---|
| Contrôle d’accès | Autorisations basées sur les rôles (administration d’entreprise, administration, compliance officer, collaborateurs, révision, formation); chaque action modificatrice est vérifiée côté serveur. Les rôles de révision et de formation n’ont qu’un accès en lecture. |
| Authentification | Comptes utilisateurs personnels; mots de passe stockés uniquement sous forme de hash; connexion à deux facteurs disponible, secrets stockés de manière chiffrée; protection contre les tentatives de connexion répétées; liens de réinitialisation du mot de passe à usage unique et limités dans le temps. |
| Principe des quatre yeux | À la demande du service spécialisé, une même personne ne peut pas à la fois ouvrir et clore un dossier ou une alerte; le réglage s’applique à tous les mandants du service spécialisé. |
| Transmission et stockage | Transmission chiffrée via HTTPS. Les documents téléversés ne peuvent être consultés qu’après vérification des autorisations. Les appels vidéo sont transmis de manière chiffrée; les saisies et enregistrements sont supprimés automatiquement après 24 heures. |
| Journalisation | Les connexions et les modifications des clients, des évaluations du risque, des alertes, des dossiers et des règles sont journalisées dans l’audit log avec l’heure et l’utilisateur. |
| Disponibilité | Hébergement en Suisse; sauvegardes régulières; sauvegarde de la base de données avant chaque modification de celle-ci. |
| Gestion des changements | Les nouvelles versions sont d’abord testées dans un environnement de test séparé avec des données fictives. |
| Organisation | Engagement de confidentialité de toutes les personnes ayant accès; accès au contenu uniquement pour l’exploitation et le support; processus d’annonce des incidents de sécurité selon le chiffre 9. |
| Assistant IA (optionnel) | Uniquement après activation par le service spécialisé ; masquage des noms, raisons sociales, numéros de client, adresses, ayants droit économiques, adresses e-mail, IBAN, adresses de portefeuille et numéros de téléphone avant l’envoi ; transmission chiffrée (HTTPS) ; entraînement désactivé chez le fournisseur ; journalisation de chaque demande avec l’utilisateur, la date et le modèle ; contingent mensuel. |
| hosttech GmbH, Seestrasse 15a, 8805 Richterswil | Hébergement de l’application web, de la base de données et des fichiers; envoi des notifications par e-mail; serveur virtuel pour l’identification par pièce d’identité, visage et vidéo, y compris serveurs relais pour les appels vidéo. Lieu: Suisse. |
|---|---|
| Mistral AI, 15 rue des Halles, 75001 Paris, France (optionnel) | Rédaction de projets de texte relatifs aux alertes et aux dossiers par l’assistant IA ; uniquement après activation par le service spécialisé (chiffre 6.4). Lieu : France (UE). Pas d’entraînement ; conservation chez le fournisseur jusqu’à 30 jours pour détecter les abus. |
Voir aussi: Déclaration de protection des données · Mentions légales · Accord de traitement des données (module intermédiaire).
