Politique de confidentialité

Version 2026-07-19 · régie par la nLPD (CH) + le RGPD (UE)

1. Responsable du traitement et DPO

Responsable du traitement : SwissPlanif Sàrl, Collombey, Suisse. Contact du délégué à la protection des données (DPO) : contact@swissplanif.ch. Pour les clients établis en DE/AT, le responsable du traitement des données employés est l'organisation cliente ; SwissPlanif est le sous-traitant (voir le DPA).

2. Données collectées

Auprès de l'administrateur de l'espace de travail

  • Compte : nom, email, langue, nom de l'organisation.
  • Authentification : mot de passe haché (Argon2id), secret TOTP (chiffré par enveloppe).
  • Facturation : traitée via Stripe, conservée uniquement sous forme d'identifiant client Stripe + URL de facture.

Issues des fiches employés (saisies par le Client)

  • Identité : prénom, nom, email, téléphone (facultatif).
  • Emploi : type de contrat, heures hebdomadaires, coût horaire, compétences, lieux de travail.
  • Activité : créneaux planifiés, pointages (avec géolocalisation facultative).
  • Absences avec motif.

Issues de l'usage du produit

  • Journal d'audit : chaque action modifiant l'état, avec acteur + horodatage + IP.
  • Appels LLM : fournisseur, modèle, tokens, latence, coût estimé. Les décisions IA à impact employé (suggestion de planning, scoring) sont journalisées avec leur contexte dans le journal de décisions IA — pour la traçabilité (art. 21 nLPD) et conservées 5 ans.
  • Analytique : événements PostHog en opt-in (pages vues, usage). Auto-hébergé en Suisse.

3. Bases légales

  • Exécution du contrat — fournir le Service à l'administrateur de l'espace de travail.
  • Intérêt légitime — détection de fraude (module anomalies), incidents de sécurité, analytique produit agrégée.
  • Obligation légale — conservation du journal d'audit, pièces fiscales, notifications de violation.
  • Consentement — opt-in aux LLM frontière, cookies analytiques au-delà du strict nécessaire.

4. Durées de conservation

  • Données de compte et d'espace de travail : durée de l'abonnement + 30 jours, puis effacement.
  • Journal d'audit : 10 ans — journal en append-only, imposé au niveau de la base de données (trigger PostgreSQL).
  • Sauvegardes : roulement de 30 jours.
  • Logs / traces : 30 jours.

5. Destinataires

Les données applicatives (plannings, employés, pointages, documents) sont hébergées et traitées en Suisse (Infomaniak Network SA). Font exception, chacun divulgué au registre des sous-traitants : la facturation via Stripe (Irlande), les notifications push mobiles via Expo (société américaine — contenu minimisé en mode souverain strict) et les fonctionnalités d'IA frontière, uniquement sur opt-in explicite de l'organisation. La liste complète et à jour figure sur la page dédiée : sous-processeurs (version 2026-09-15). Les sous-traitants facultatifs (LLM frontière, connecteurs POS, support) ne sont activés que sur autorisation explicite du Client.

6. Mode de souveraineté des données

Chaque organisation choisit son mode de souveraineté parmi trois niveaux : Souveraineté suisse stricte (aucune donnée employé transmise à un fournisseur hors de Suisse ; les fonctionnalités qui l'exigeraient sont désactivées ou basculent sur un traitement local), Suisse d'abord (défaut — traitement en Suisse, fonctionnalités externes activables individuellement) et IA internationale activée (modèles d'IA frontière disponibles après opt-in). Ce choix est appliqué côté serveur : chaque appel à une fonctionnalité IA ou à un service externe est contrôlé par l'API avant exécution — il ne s'agit pas d'un simple réglage d'interface. Tout changement de mode et tout consentement sont journalisés (auteur, date, portée) et révocables.

7. Vos droits

Au titre de la nLPD et du RGPD, vous disposez des droits d'accès, de rectification, d'effacement (« droit à l'oubli »), de limitation, de portabilité et d'opposition au traitement. Les administrateurs exercent ces droits en self-service via /api/gdpr/employees/:id/export et /api/gdpr/employees/:id/forget. Les employés s'adressent d'abord à leur employeur (responsable du traitement) ; contactez-nous directement si l'employeur reste sans réponse.

8. Transferts internationaux

Hors les flux divulgués au registre des sous-traitants (facturation Stripe en Irlande, notifications push Expo), aucun transfert international par défaut. L'opt-in aux LLM frontière transfère les prompts et sorties vers Anthropic — dont l'inférence peut s'exécuter hors UE/EEE, notamment aux États-Unis — ou vers la région Azure UE d'OpenAI ; ces transferts sont encadrés par des clauses contractuelles types et le Data Privacy Framework UE–US, uniquement après activation explicite dans Paramètres → Souveraineté & IA ; le consentement est journalisé et révocable à tout moment.

9. Sécurité

HTTPS partout (Let’s Encrypt, HSTS), MFA TOTP disponible sur chaque compte, Row-Level Security PostgreSQL. Une API de provisioning SCIM 2.0 (création, liste et désactivation d'utilisateurs) est ouverte sur les formules Moyenne et supérieures ; le SSO SAML est en développement. Voir /security.

10. Autorités & réclamations

  • Suisse — PFPDT, Berne
  • Allemagne — BfDI
  • Autriche — Datenschutzbehörde
Politique de confidentialité — SwissPlanif