Déclaration de protection des données

En vigueur dès le 10 juin 2026 · Version 1.0 · Bêta · La loi fédérale suisse sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) est déterminante.

1. Responsable du traitement

Le responsable du traitement au sens de l’art. 5 let. j nLPD est :

Ueli Iff
Adresse sur demande, Suisse
E-mail : [email protected]

Pour toute demande relative à la protection des données, veuillez utiliser le même contact avec la mention « Protection des données » en objet. Vous pouvez en outre exercer à tout moment vos droits d’accès et d’effacement directement dans l’espace connecté, sous « Mon compte ».

2. Aperçu

Nous ne traitons des données personnelles que dans la mesure nécessaire à la fourniture du service. Concrètement :

• Pas de suivi publicitaire, pas de traceurs externes. Nous n’utilisons aucun cookie de Google, Meta, LinkedIn ou de fournisseurs similaires. Uniquement des cookies de session techniquement nécessaires.
• Les modèles d’IA s’exécutent souverainement sur notre propre infrastructure en Suisse. Vos saisies ne sont pas transmises à OpenAI, Anthropic ou d’autres fournisseurs tiers, sauf si vous l’activez expressément dans les paramètres de votre organisation.
• Hébergement dans l’UE (Allemagne), conforme au RGPD. L’ensemble des données de contenu est stocké sur des serveurs d’un centre de données certifié dans l’UE (Allemagne). Le traitement IA s’exécute souverainement en Suisse.
• Isolation stricte des organisations. Au niveau de la base de données, il est garanti qu’aucune organisation ne peut consulter les données d’autres organisations (Row-Level-Security).

3. Quelles données nous traitons

3.1 Lors de la visite du site web (sans connexion)

Lors de l’accès à la plateforme, le serveur web enregistre automatiquement les données suivantes dans des fichiers journaux :

• Adresse IP (tronquée après 24 h, entièrement supprimée après 30 jours)
• Date et heure de la requête
• URL consultée et code de statut HTTP
• Volume de données transféré
• Référent (page précédente)
• User-Agent (navigateur, système d’exploitation)

Base légale : art. 31 al. 1 let. d nLPD (intérêt prépondérant à la sécurité d’exploitation et à la prévention des abus). Durée de conservation : 30 jours, puis suppression automatique.

3.2 Lors de l’inscription (compte)

Pour la connexion, nous utilisons une gestion des identités exploitée par nos soins sur notre propre infrastructure. Sont traités :

• Adresse e-mail (obligatoire)
• Prénom et nom (facultatif)
• Mot de passe stocké sous forme chiffrée (selon les standards de l’industrie, avec sel individuel)
• Rôles attribués et appartenances aux organisations
• Date et heure de la dernière connexion (à des fins de sécurité)
• Facultatif : deuxième facteur (2FA), s’il est activé

Base légale : art. 31 al. 1 nLPD (exécution du contrat). Durée de conservation : jusqu’à la suppression du compte par vos soins ou par nous après 24 mois d’inactivité.

3.3 Lors de l’utilisation du chatbot

• Vos questions et les réponses de l’IA — enregistrées par session, afin que vous puissiez consulter l’historique.
• Documents téléversés (PDF, DOCX, XLSX, CSV, TXT) — stockés dans un espace de stockage objet chiffré, dans un centre de données certifié dans l’UE (Allemagne), conforme au RGPD.
• Index et représentations mathématiques de vos documents — pour la recherche rapide, stockés dans notre propre base de données.
• Journal d’audit — accès pseudonymisés aux documents (art. 12 nLPD — registre des activités de traitement).

Base légale : art. 31 al. 1 nLPD (exécution du contrat). Durée de conservation : tant que le compte existe ; sur demande, les données peuvent être supprimées et exportées (voir section 8).

3.4 Lors de la prise de contact

Si vous nous contactez par e-mail, nous traitons les données transmises (adresse e-mail, contenu, le cas échéant d’autres données personnelles) afin de traiter votre demande.

Durée de conservation : 36 mois à compter du dernier contact, puis suppression ou anonymisation.

4. Cookies

Nous utilisons exclusivement des cookies techniquement nécessaires, indispensables au fonctionnement et à la sécurité de la plateforme :

• Cookie de session — votre connexion (HttpOnly, Secure, SameSite=Lax, expiration 30 jours)
• Cookies d’identité — gèrent la session de connexion active (HttpOnly, Secure)
• Cookie de langue — langue choisie
• Cookie de thème — schéma de couleurs choisi (clair/sombre)

Un consentement séparé n’est pas requis pour ces cookies en droit suisse, car ils sont strictement nécessaires à la fourniture du service expressément demandé par l’utilisateur.

Nous n’utilisons pas de cookies de suivi, de cookies analytiques ni de cookies publicitaires de tiers.

5. Traitement de vos contenus par l’IA

La plateforme utilise des modèles de langage IA pour répondre à vos questions sur la base des documents que vous mettez à disposition. Par défaut, tous les modèles s’exécutent sur notre propre infrastructure en Suisse, sans transmission à des fournisseurs tiers. Seuls des modèles qui ne sont pas entraînés sur les saisies des utilisateurs sont utilisés.

Vos saisies ne quittent pas nos serveurs. Les journaux des modèles sont conservés au maximum 7 jours à des fins d’analyse d’erreurs, puis supprimés (pseudonymisés, sans contenu en clair).

Fournisseurs tiers optionnels : les administrateurs d’organisation peuvent activer en option des fournisseurs commerciaux dans les paramètres de l’organisation. Dans ce cas, les saisies sont transmises à ces fournisseurs ; leurs conditions de protection des données s’appliquent en sus. Cette option est désactivée par défaut.

6. Destinataires des données

Les données ne sont communiquées qu’aux destinataires suivants :

6.1 Sous-traitants

• Hébergeur UE (Allemagne) — hébergement de l’application (serveurs, base de données, stockage objet) dans un centre de données certifié dans l’UE (Allemagne), conforme au RGPD. Contrat de sous-traitance (AVV/DPA) conclu selon l’art. 28 RGPD et l’art. 9 nLPD. Le traitement IA s’exécute séparément et souverainement sur notre propre infrastructure en Suisse.
• Cloudflare Inc., San Francisco (US) — DNS, CDN, protection DDoS. Une transmission vers les États-Unis a lieu exclusivement pour des métadonnées réseau (adresse IP, en-têtes de requête, métadonnées de routage — aucune donnée de contenu), sur la base des clauses contractuelles types suisses et de l’auto-certification d’adéquation Suisse/UE de Cloudflare.

6.2 Autorités

Nous ne communiquons des données aux autorités que si la loi nous y oblige (p. ex. code de procédure pénale suisse, LBA, obligation de renseigner les autorités fiscales, ordonnance de production judiciaire). Nous examinons chaque demande individuellement et informons la personne concernée dans la mesure où cela est légalement admissible.

6.3 En cas de vente de l’entreprise

Si la plateforme devait être vendue à un tiers ou fusionnée avec un tiers, les données personnelles feraient partie des actifs transférés. Vous en seriez informé en temps utile et pourriez vous opposer au transfert.

7. Communication à l’étranger

Des données personnelles sont communiquées à l’étranger aux destinataires suivants :

• UE (Allemagne) — l’application et l’ensemble des données de contenu (documents, historique de chat, réponses de l’IA) sont hébergés dans un centre de données certifié dans l’UE (Allemagne). Selon la nLPD, l’UE est considérée comme un État offrant un niveau de protection des données adéquat ; le traitement est conforme au RGPD.
• Cloudflare (USA) — base : clauses contractuelles types suisses (art. 16 ss nLPD), limité aux métadonnées réseau.

Les données de contenu sont stockées exclusivement dans l’UE (Allemagne) et ne sont transmises ni aux États-Unis ni à d’autres États tiers. Le traitement IA s’exécute souverainement en Suisse.

8. Vos droits selon la nLPD

Vous disposez à tout moment des droits suivants :

• Accès (art. 25 nLPD) aux données enregistrées vous concernant. Libre-service : Mon compte → Exporter les données fournit un fichier ZIP contenant toutes les données enregistrées à votre sujet.
• Rectification des données inexactes (art. 32 al. 1 nLPD)
• Effacement de vos données (art. 32 al. 2 nLPD) — sous réserve d’obligations légales de conservation impératives. Libre-service : Mon compte → Supprimer le compte. Un délai de grâce de 30 jours s’applique, pendant lequel vous pouvez révoquer la suppression.
• Limitation du traitement — sur demande par e-mail.
• Remise des données dans un format électronique usuel (art. 28 nLPD).
• Opposition aux traitements fondés sur des intérêts prépondérants.
• Réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), edoeb.admin.ch.

9. Sécurité des données

• Chiffrement de transport de toutes les connexions (HTTPS uniquement) selon les standards de l’industrie
• En-tête HSTS avec une durée de validité d’un an
• Isolation stricte des organisations au niveau de la base de données (Row-Level-Security)
• Mots de passe stockés sous forme chiffrée avec sel individuel
• Authentification par jetons avec jetons d’accès de courte durée (validité 1 heure)
• Journal d’audit de tous les accès en lecture et en écriture aux documents
• Sauvegardes quotidiennes chiffrées hors site sur du matériel séparé
• Limitation de débit sur tous les points de terminaison API
• Durcissement des serveurs : clés SSH uniquement, pare-feu, mises à jour de sécurité régulières

Nous mettons une documentation technique de sécurité détaillée à la disposition des clients commerciaux sur demande, sous accord de confidentialité (NDA).

10. Modifications de la présente déclaration

Nous nous réservons le droit d’adapter la présente déclaration de protection des données, notamment en cas de modifications légales ou de changements dans le traitement. La version actuelle est disponible à cette URL. Les modifications essentielles sont communiquées aux utilisatrices et utilisateurs enregistrés par e-mail au moins 14 jours à l’avance.

11. Aperçu des bases légales