Hébergement des données
Hébergement des données : où vont vos données, qui y accède
En Suisse, chez AWS, sous contrat.
Cette page décrit l’infrastructure réellement utilisée et les règles qui s’appliquent à vos données : localisation, sous-traitants, accès, sauvegarde, conservation, restitution. Chaque point renvoie au document qui l’engage.
15 jours d’essai gratuit · 2 licences incluses · Aucun moyen de paiement requis
En bref
- Hébergeur
- Amazon Web Services EMEA SARL
- Localisation
- Suisse, région eu-central-2 (Zurich)
- Sous-traitants
- AWS et HERE, listés au DPA ; liste complète sur demande
- Vos données
- Elles restent votre propriété ; restitution sur demande à la fin du contrat
- Cadre
- CGU, DPA, politique de confidentialité
Infrastructure réellement utilisée
Qui héberge et qui traite quoi
Les prestataires et les traitements présentés ici sont ceux que les documents contractuels décrivent et engagent.
| Quoi | Qui et où | Source |
|---|---|---|
| Hébergement de la plateforme | Amazon Web Services EMEA SARL ; centres de données en Suisse, région eu-central-2 « Switzerland (Zurich) ». | DPA, annexe 3 |
| Cartographie et itinéraires poids lourd | HERE Europe B.V. (Pays-Bas) : API de cartographie, de calcul d’itinéraire et de navigation intégrées à l’application Nereva Transports ; données transmises : positions GPS et requêtes de routage des missions actives ; traitement dans l’Union européenne, encadré par un DPA avec HERE. | DPA, annexe 3 · CGU, art. 14 bis |
| Autres prestataires techniques | Authentification, monitoring, paiement, messagerie transactionnelle : liste complète et actualisée sur demande à privacy@nereva.com ; toute modification est notifiée avec un préavis d’au moins 30 jours et ouvre un droit d’objection. | DPA, art. 10 · CGU, art. 36 |
| Sécurité physique | Mesures de sécurité physique mises en œuvre par AWS dans ses centres de données en Suisse, certifiés ISO 27001 et selon des référentiels équivalents (certification du fournisseur d’hébergement). | DPA, annexe 2 |
Localisation
Hébergées en Suisse. Certaines données transitent chez des sous-traitants.
Les données de la plateforme, données à caractère personnel comprises, sont hébergées en Suisse. Pendant les missions, le calcul d’itinéraire poids lourd passe par HERE, dans l’Union européenne, et d’autres prestataires techniques listés au DPA peuvent intervenir.
Hébergement
Infrastructure AWS en Suisse (Zurich). Les données à caractère personnel sont hébergées exclusivement en Suisse à la date du DPA.
Traitements chez des sous-traitants
HERE, dans l’Union européenne, pour la cartographie et le routage des missions actives ; autres prestataires listés sur demande.
Transferts
Tout transfert hors de Suisse ou de l’EEE est encadré : autorisation du Client ou garanties appropriées (clauses contractuelles types, évaluation du pays destinataire).
Accès et responsabilités
Qui est responsable de quoi
Pour les données traitées dans le cadre du service, votre entreprise est responsable du traitement et Nereva agit en sous-traitant, sur vos instructions documentées. Pour le site et les espaces non-client, Nereva est responsable du traitement.
Accès de Nereva
Les collaborateurs habilités de Nereva accèdent aux données dans la stricte mesure nécessaire au fonctionnement et au support du service ; accès au moindre privilège, journalisation des actions sensibles.
Accès des utilisateurs
Chaque utilisateur accède aux informations de son entreprise, selon son compte, son rôle et ses permissions. Les donneurs d’ordre désignés par un transporteur voient ce que celui-ci partage.
Rôles et profilsSous-traitants
Chaque sous-traitant est tenu par des obligations équivalentes à celles du DPA ; Nereva reste responsable de leur exécution vis-à-vis du Client.
Audit
Le Client, ou un auditeur indépendant mandaté, peut auditer les traitements une fois par année civile, avec un préavis de 30 jours ; les éléments généraux des plans de continuité et de reprise sont communiqués sur demande motivée.
Sauvegarde et continuité
Ce que le contrat prévoit
Les engagements ci-dessous sont des obligations de moyens, décrites dans le DPA, les CGU et le SLA.
| Point | Ce que dit le contrat | Source |
|---|---|---|
| Chiffrement | En transit (TLS 1.2 ou supérieur) et au repos, bases de données et sauvegardes comprises. | DPA, annexe 2 |
| Sauvegardes | Sauvegarde régulière des données et documentation des procédures de reprise d’activité. | DPA, art. 9 · CGU, art. 20.2 |
| Continuité et reprise | Plan de continuité et plan de reprise d’activité documentés et révisés périodiquement ; objectifs cibles indicatifs : point de reprise 24 heures, temps de reprise 48 heures. | SLA, art. 14 |
| Maintenance | Maintenance programmée hors heures ouvrées, en priorité entre 22h et 6h (CET), annoncée avec préavis ; maintenance d’urgence possible pour préserver la sécurité des données. | SLA, art. 7 · CGU, art. 18 |
| Violation de données | Notification au Client dans les meilleurs délais et au plus tard 72 heures après la prise de connaissance, avec la nature, les conséquences probables et les mesures prises. | DPA, art. 13 |
Propriété et restitution
Vos données restent les vôtres ; voici exactement ce que cela couvre
Les CGU distinguent les Données du Client, qui demeurent sa propriété exclusive, et les Données dérivées, anonymisées de façon irréversible, qui appartiennent à Nereva.
Vos données
- Propriété exclusive du Client : saisies, bons, photos, commentaires (CGU, art. 10.2)
- Licence d’utilisation par Nereva limitée à la fourniture, la sécurité et l’amélioration du service, révocable à la résiliation
- Relevés et rapports téléchargeables en PDF ou XLSX ; statistiques exportables en Excel
- À la fin du contrat : restitution sur demande écrite pendant 90 jours, dans un format structuré et lisible par machine
- Puis suppression ou anonymisation irréversible, certifiée par écrit
Ce que Nereva conserve
- Les données dérivées, anonymisées de façon irréversible et agrégées : statistiques, amélioration du service, entraînement des modèles
- Les modèles entraînés à partir de ces données anonymisées
- Jamais vos données identifiantes à ces fins : l’anonymisation est irréversible et tracée
- Les données soumises à une obligation légale de conservation, le temps prévu
Sources : CGU, art. 10 et 30 ; DPA, art. 14 ; politique IA et données, art. 6 à 10. Une prestation de réversibilité au-delà du périmètre standard peut être facturée.
Durées de conservation
Conservées le temps prévu, pas plus
Les durées ci-dessous sont celles de la politique de confidentialité (art. 11). Au-delà, les données sont supprimées ou irréversiblement anonymisées, sous réserve des obligations légales et des procédures en cours.
| Données | Durée | Source |
|---|---|---|
| Comptes clients et utilisateurs | Durée de la relation contractuelle, prolongée des délais de prescription légale, sauf instruction contraire du Client. | Politique de confidentialité, art. 11 |
| Facturation et comptabilité | 10 ans à compter de la fin de l’exercice (art. 958f CO). | Politique de confidentialité, art. 11 |
| Géolocalisation (application Nereva Transports) | 12 mois à compter de l’enregistrement, prolongeables en cas de litige ; visibilité de l’historique de trajet par un donneur d’ordre limitée à 30 jours par défaut. | Politique de confidentialité, art. 11 · CGU, art. 14 bis |
| Logs techniques et de sécurité | 6 à 12 mois, sauf incident de sécurité. | Politique de confidentialité, art. 11 |
| Données de prospects | 3 ans à compter du dernier contact. | Politique de confidentialité, art. 11 |
| Données anonymisées d’entraînement | 36 mois au maximum, sauf nécessité documentée. | Politique IA et données, art. 19 |
Documents juridiques
Les textes qui engagent Nereva
- Accord de traitement des données (DPA)Mesures de sécurité, sous-traitants autorisés, transferts, fin de contrat, audit
- Politique de confidentialité des donnéesDonnées collectées, finalités, durées de conservation, droits des personnes
- Conditions générales d’utilisationPropriété des données (art. 10), sécurité (art. 20), réversibilité (art. 30)
- Accord de niveau de serviceDisponibilité, maintenance, continuité et reprise
- Politique IA et donnéesZones du data lake, anonymisation, finalités d’entraînement
- SécuritéAccès, traçabilité, sécurité du service, disponibilité
Vos questions
L’hébergement, en clair
Où sont hébergées les données ?
En Suisse, sur l’infrastructure d’Amazon Web Services, région eu-central-2 (Zurich). À la date du DPA, les données à caractère personnel sont hébergées exclusivement en Suisse.
Toutes les données restent-elles toujours en Suisse ?
L’hébergement est en Suisse, mais certains traitements passent par des sous-traitants listés au DPA : la cartographie et le calcul d’itinéraire poids lourd sont assurés par HERE Europe B.V., dans l’Union européenne, pour les missions actives. Tout transfert hors de Suisse ou de l’EEE est encadré par des garanties appropriées.
Nereva est-elle conforme au RGPD et à la nLPD ?
Les traitements sont conçus pour respecter le RGPD et la nLPD : rôles définis (le Client responsable du traitement, Nereva sous-traitant), DPA, mesures de sécurité, durées de conservation, droits des personnes. Les documents juridiques décrivent précisément ce qui est fait.
Nereva peut-elle utiliser ou partager nos données ?
Vos données ne sont pas vendues ; les destinataires sont limités aux collaborateurs habilités, aux sous-traitants et aux donneurs d’ordre que vous désignez. Nereva exploite en revanche des données dérivées, anonymisées de façon irréversible et agrégées, pour ses statistiques, l’amélioration du service et l’entraînement de ses modèles (CGU, art. 10.5).
Peut-on récupérer ses données ?
Les relevés et les rapports se téléchargent en PDF ou XLSX, les statistiques s’exportent en Excel. À la fin du contrat, la restitution des données se demande par écrit pendant 90 jours, dans un format structuré et lisible par machine ; les données sont ensuite supprimées ou irréversiblement anonymisées.
Combien de temps les données sont-elles conservées ?
Selon leur nature : la facturation 10 ans, la géolocalisation 12 mois, les logs techniques 6 à 12 mois, les données de prospects 3 ans ; les données de compte pendant la relation contractuelle, prolongée des délais de prescription.
Mes données sont-elles sauvegardées ?
Le contrat prévoit une sauvegarde régulière, le chiffrement au repos des bases et des sauvegardes, et des plans de continuité et de reprise documentés, avec des objectifs cibles indicatifs de 24 heures de point de reprise et de 48 heures de temps de reprise. Ce sont des obligations de moyens.
Nereva intervient-elle dans la relation commerciale ?
Non. Vos partenaires et vos relations commerciales restent les vôtres. Nereva synchronise les opérations sans s’interposer dans la relation commerciale. Elle ne prélève aucune commission sur les flux.
D’autres questions ? La FAQ générale et les documents juridiques détaillent chaque point.
Pour aller plus loinOù sont hébergées vos données, qui y accède, et ce que prévoit le contrat.
15 jours d’essai gratuit avec 2 licences. Aucun moyen de paiement requis. Abonnement mensuel ensuite, sans engagement de durée.