Liste de nos sous-traitants
Pour fournir le service CoSec, nous faisons appel à un nombre restreint de sous-traitants triés sur le volet, choisissez pour leur conformité à la LPD suisse et leur souveraineté suisse autant que possible. Voici la liste complète, à jour, mise à disposition de toute partie intéressée.
1. Principe général
Conformément à l'art. 9 LPD, tout sous-traitant que nous engageons est lié contractuellement par un Accord de Sous-traitance (DPA) garantissant la sécurité des données conformément à l'art. 8 LPD et à l'OPDo. La sous-sous-traitance fait l'objet d'une autorisation préalable. Les modifications de cette liste sont notifiées aux Organisations clientes au moins 30 jours avant entrée en vigueur, par e-mail à l'adresse de l'owner.
Tout client peut s'opposer à un nouveau sous-traitant pour motif raisonnable lié à la protection de ses données ; dans ce cas, il dispose d'un droit de résiliation sans frais avant l'entrée en vigueur du changement.
2. Sous-traitants principaux
2.1 Infomaniak Network SA
| Raison sociale | Infomaniak Network SA |
|---|---|
| Pays / siège | Suisse · Rue Eugène-Marziano 25, 1227 Les Acacias (Genève) |
| Numéro IDE | CHE-103.167.648 |
| Site web | www.infomaniak.com |
| Services utilisés |
|
| Catégories de données traitées | Toutes les données utilisateurs et organisations CoSec : compte, contenu, conversations IA, documents téléversés, logs, sauvegardes |
| Localisation effective | Datacenters Infomaniak en Suisse uniquement (Genève az-1, az-2 ; Zurich az-3) |
| Transferts hors Suisse | Aucun |
| Garanties |
|
| Politique de confidentialité | infomaniak.com/fr/cgv/politique-de-confidentialite |
2.2 Stripe Payments Europe Ltd.
| Raison sociale | Stripe Payments Europe Ltd. |
|---|---|
| Pays / siège | Irlande (UE) · 1 Grand Canal Street Lower, Dublin 2 ; groupe basé aux États-Unis |
| Site web | stripe.com |
| Services utilisés |
|
| Catégories de données traitées |
|
| Localisation effective | Stockage principal en Irlande et UE ; infrastructure de groupe répartie aux USA pour la haute disponibilité |
| Transferts à l'étranger | Suisse → Irlande (UE) → groupe USA pour réplication interne |
| Bases légales LPD pour les transferts |
|
| Sous-processeurs ultérieurs Stripe | stripe.com/legal/service-providers (liste publique mise à jour par Stripe ; préavis de 30 jours pour tout changement) |
| Politique de confidentialité Stripe | stripe.com/privacy |
| DPA Stripe (version 18 novembre 2025) | stripe.com/legal/dpa |
| Data Transfers Addendum (SCCs UE) | stripe.com/legal/dta |
3. Sous-traitants secondaires (services support)
Les services suivants sont utilisés ponctuellement et n'ont pas accès aux données utilisateurs CoSec, mais sont mentionnés par souci de transparence :
3.1 Let's Encrypt
| Service | Émission et renouvellement automatique des certificats TLS pour cosec.ch et app.cosec.ch |
|---|---|
| Données traitées | Aucune donnée utilisateur ; uniquement des challenges techniques de validation de domaine |
| Localisation | USA (Internet Security Research Group, organisation à but non lucratif) |
4. Sous-traitants explicitement écartés
Pour des raisons de souveraineté, de conformité et de positionnement produit, CoSec n'utilise pas et n'utilisera pas les services suivants :
- OpenAI, Anthropic, Google Gemini, Meta Llama hébergés hors UE/CH, Cohere : aucun appel d'IA tierce hors Suisse
- Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform : pas d'hébergement chez les hyperscalers étrangers
- Cloudflare : pas de proxy, WAF ou CDN devant les services CoSec (refus pour préserver la souveraineté)
- Google Analytics, Hotjar, Mixpanel, Meta Pixel : aucun outil d'analytics tiers ni pixel marketing
- Réseaux sociaux : aucun bouton de partage ni embed tiers sur la landing
5. Notification des modifications
Toute modification de cette liste (ajout d'un nouveau sous-traitant, changement de localisation d'un sous-traitant existant, modification substantielle des garanties contractuelles) fait l'objet d'une notification :
- Par e-mail à l'adresse de l'owner de chaque Organisation cliente, au moins 30 jours avant l'entrée en vigueur
- Par mise à jour de la présente page (date affichée en tête)
- Par bandeau d'information dans l'application app.cosec.ch lors de la prochaine connexion
Si le changement affecte substantiellement la protection de vos données (par exemple : ajout d'un sous-traitant hors d'un État à protection adéquate au sens de l'Annexe 1 OPDo, sans garanties équivalentes au sens de l'art. 16 al. 2 LPD), vous disposez du droit de résilier votre abonnement sans frais avant l'entrée en vigueur.
6. Demandes spécifiques (DPA, audit)
Notre modèle de Contrat de Sous-traitance (DPA) standalone est librement téléchargeable et reprend les garanties listées dans cette page (art. 9 LPD). Sur demande motivée d'une Organisation cliente (administration, hôpital, banque, organisation avec exigence interne), nous pouvons par ailleurs :
- Signer un Accord de Sous-traitance (DPA) formel reprenant les présentes garanties
- Fournir copie des DPA en vigueur avec nos sous-traitants principaux (DPA Infomaniak signé · DPA Stripe applicable, version du 18 novembre 2025)
- Permettre un audit de conformité raisonnable, sur préavis 30 jours, dans la mesure où il ne perturbe pas l'opération du Service ni ne compromet la confidentialité des données d'autres clients
Contact : legal@cosec.ch
Pour comprendre l'infrastructure souveraine CoSec, voir notre page Sécurité & souveraineté.
Pour le détail des données traitées et vos droits, voir notre Politique de confidentialité.
Pour les conditions générales d'utilisation du Service, voir nos CGU.