Politique de confidentialité

1.1 La présente politique de confidentialité explique comment Solodesk Sàrl (« Solodesk », « nous », « notre ») collecte et traite les données personnelles lorsque vous utilisez l'application Solodesk et le site web solodesk.ch (le « Service »).

1.2 Nous traitons les données personnelles conformément à la Loi fédérale suisse sur la protection des données (LPD révisée / nLPD, en vigueur depuis le 1er septembre 2023) et à son ordonnance. Le Service étant réservé aux entreprises enregistrées en Suisse et aux indépendants résidant en Suisse, notre traitement est régi par le droit suisse. Lorsque le Règlement général sur la protection des données de l'UE (RGPD) s'applique néanmoins à vos données personnelles, les §2.3 et §10 précisent les droits supplémentaires dont vous bénéficiez.

1.3 Pour les données personnelles relatives à votre compte utilisateur et à votre entreprise, Solodesk est le responsable du traitement. Pour les informations que vous téléchargez sur vos propres clients et fournisseurs, votre rôle et le nôtre sont distincts : voir §6.

2.1 La présente politique porte sur les données personnelles concernant : (a) les personnes physiques qui s'inscrivent et utilisent le Service pour le compte d'une entreprise (titulaires de compte et leurs utilisateurs) ; (b) les visiteurs de notre site web ; et (c) les personnes qui nous contactent (par exemple pour le support ou les demandes commerciales).

2.2 Remarque terminologique : la LPD révisée protège les données personnelles des personnes physiques uniquement. Les données relatives exclusivement à des personnes morales (entreprises) ne constituent pas des « données personnelles » au sens du droit suisse.

2.3 Champ d'application et RGPD. Le Service est exclusivement accessible aux entreprises enregistrées en Suisse et aux indépendants résidant en Suisse (voir les Conditions d'utilisation), et notre traitement est régi par le droit suisse. Si, dans votre cas particulier, le RGPD de l'UE s'applique à vos données personnelles, le §10 explique les droits équivalents dont vous disposez et comment déposer une plainte.

Nous collectons les catégories de données personnelles suivantes :

3.2 Le Service est destiné aux documents commerciaux et comptables et ne requiert pas de catégories particulières de données personnelles sensibles. Lorsque de telles données figurent néanmoins dans un document que vous choisissez de télécharger, vous en êtes responsable en tant que responsable du traitement (voir §6).

Nous traitons des données personnelles pour :

• (a) fournir le Service – créer et gérer votre compte utilisateur, héberger et traiter vos documents et données, effectuer la classification et l'extraction par intelligence artificielle, tenir votre comptabilité, générer des factures et des rapports, et activer les fonctionnalités de votre abonnement ;
• (b) gérer la facturation – assurer la gestion des abonnements, des périodes d'essai, de la facturation et du paiement via Stripe ;
• (c) communiquer avec vous – envoyer des messages relatifs au Service, à la sécurité, aux transactions et au compte, et répondre à vos demandes ;
• (d) sécuriser et maintenir le Service – authentification, prévention de la fraude et des abus (notamment via reCAPTCHA), journalisation, résolution des incidents et sauvegardes ;
• (e) améliorer le Service – en utilisant les données d'utilisation et des statistiques agrégées ou anonymisées ;
• (f) envoyer des communications marketing – lorsque vous y avez consenti (voir §13.4) ;
• (g) respecter la loi et faire appliquer nos conditions, établir, exercer ou défendre des droits en justice.

5.1 La LPD révisée n'exige pas de « base légale » spécifique pour chaque opération de traitement, contrairement au RGPD de l'UE. En droit suisse, une entreprise privée peut traiter des données personnelles à condition de respecter les principes de traitement de l'art. 6 LPD – légalité, bonne foi, proportionnalité, limitation de la finalité, exactitude et sécurité des données – et de ne pas porter atteinte de manière illicite aux droits de la personnalité de la personne concernée (art. 30 LPD).

5.2 Une justification (art. 31 LPD) n'est requise que lorsqu'une opération de traitement porterait autrement atteinte à vos droits de la personnalité, par exemple pour communiquer des données personnelles sensibles à des tiers ou traiter des données au-delà de ce que vous seriez raisonnablement en droit d'attendre. Lorsqu'une justification est nécessaire, nous nous appuyons sur l'une des bases suivantes : votre consentement ; un intérêt privé prépondérant, notamment un traitement directement lié à la conclusion ou à l'exécution de notre contrat avec vous (art. 31 al. 2 lit. a LPD) ; ou une obligation légale.

5.3 Lorsque nous vous demandons votre consentement (par exemple pour les e-mails marketing ou les cookies non essentiels), vous pouvez le retirer à tout moment ; le retrait est sans effet sur les traitements déjà effectués.

6.1 Pour tenir votre comptabilité, vous téléchargez des documents et saisissez des informations sur vos contreparties commerciales (clients et fournisseurs), notamment des factures, des justificatifs, des relevés de compte, des noms, des adresses, des IDE et des IBAN. Ces informations constituent principalement des données commerciales relatives à des entreprises.

6.2 Le droit suisse de la protection des données distingue les personnes morales des personnes physiques :

• Les informations relatives à une personne morale (par exemple une SA, une Sàrl ou une AG) ne constituent pas des données personnelles au sens de la LPD révisée et n'entrent pas dans le champ d'application du droit suisse de la protection des données.
• Les informations relatives à une personne physique sont protégées, y compris celles concernant la raison individuelle (Einzelunternehmen), qui demeure une personne physique même lorsqu'elle agit dans un cadre commercial, ainsi que toute personne physique nommément désignée en lien avec une entreprise (une personne de contact, un signataire ou un employé).

Étant donné que de nombreuses entreprises suisses exercent sous raison individuelle et que les factures, justificatifs et relevés de compte mentionnent régulièrement des personnes physiques, une part significative des informations relatives aux contreparties que vous téléchargez constitue des données personnelles protégées.

6.3 Pour ces données personnelles protégées :

• vous êtes le responsable du traitement et déterminez les finalités et les modalités du traitement ; et
• Solodesk agit en votre nom en tant que prestataire de services (sous-traitant), en traitant ces données uniquement pour fournir le Service et selon vos instructions.

6.4 En tant que responsable du traitement de ces données, vous êtes tenu de disposer d'une base légale pour les collecter et les télécharger, et de respecter toute obligation d'information ou autre obligation envers les personnes concernées. Nous mettons le Service à votre disposition pour vous aider à les stocker et à les traiter de manière sécurisée, et nous agissons uniquement selon vos instructions. Nous n'utilisons pas ces données relatives aux contreparties à nos propres fins ; une telle utilisation à nos propres fins (par exemple pour nos propres analyses ou pour entraîner des modèles d'intelligence artificielle) ferait de nous un responsable du traitement pour cet usage, ce que nous ne faisons pas.

6.5 Lorsque nous agissons en tant que votre sous-traitant, ce traitement est régi par un contrat de traitement des données (disponible sur demande). Contactez-nous à l'adresse privacy@solodesk.ch pour en conclure un.

7.1 Pour classifier les documents et en extraire les données (contrepartie, montants, dates, postes, texte), le Service transmet les documents concernés et leur contenu à notre prestataire de traitement par intelligence artificielle, Google Cloud Vertex AI (modèles Gemini), qui retourne des résultats structurés. Il s'agit d'une fonctionnalité essentielle du Service.

7.2 Les résultats de l'intelligence artificielle sont probabilistes et peuvent contenir des erreurs ; le Service met en évidence les résultats incertains pour votre vérification, et vous devez les contrôler.

7.3 Aucune rétention, aucun entraînement des modèles. Dans le cadre de notre configuration Vertex AI (rétention zéro des données), Google ne conserve pas votre contenu après vous avoir renvoyé le résultat et, conformément à ses conditions d'utilisation pour les entreprises, n'utilise pas votre contenu pour entraîner ses modèles d'intelligence artificielle de base. Votre contenu est traité uniquement pour vous retourner les résultats.

7.4 Pour effectuer ce traitement, votre contenu est transmis à Google Cloud Vertex AI, ce qui peut impliquer un traitement en dehors de la Suisse (voir §8 et §11).

7.5 Absence de décision entièrement automatisée. Nous ne prenons pas de décisions produisant des effets juridiques à votre égard, ou vous affectant de manière similairement significative, sur la base d'un traitement exclusivement automatisé (art. 21 LPD / art. 22 RGPD). Notre système d'intelligence artificielle classe et extrait les informations des documents pour votre examen ; il ne prend pas de décisions vous concernant.

8.1 Nous ne vendons pas de données personnelles. Nous les partageons uniquement avec des prestataires de services qui les traitent pour notre compte dans le cadre d'un contrat, et uniquement dans la mesure nécessaire au fonctionnement du Service. Nos principaux sous-traitants sont les suivants :

8.2 Nous pouvons également communiquer des données personnelles lorsque la loi ou une autorité compétente l'exige, pour faire respecter nos conditions d'utilisation, pour protéger nos droits, notre sécurité et notre patrimoine ou ceux d'autrui, ou dans le cadre d'une fusion, d'une acquisition ou d'une cession d'actifs (sous réserve de garanties appropriées).

8.3 Une liste actualisée de nos sous-traitants est disponible sur demande à l'adresse privacy@solodesk.ch.

8.4 Notre site web marketing public utilise Plausible et Mautic, que nous hébergeons nous-mêmes sur notre propre infrastructure Google Cloud en Suisse, de sorte que les données qu'ils traitent restent chez nous et ne sont pas partagées avec des tiers, ainsi que Google Tag Manager, qui charge des balises de mesure et de publicité Google. Ces outils sont décrits au §13.

9.1 Localisation de l'hébergement. Le Service central, y compris la base de données et vos documents téléchargés, est hébergé sur l'infrastructure Google Cloud située en Suisse (région Zurich).

9.2 Copies numériques, et non vos documents originaux. Solodesk stocke des copies numériques des documents et données que vous téléchargez, à des fins d'hébergement et de traitement. Les documents et dossiers originaux restent en votre possession, et l'obligation légale de conserver les livres de comptes et la correspondance commerciale (notamment l'obligation de conservation de 10 ans au sens de l'art. 958f CO) vous incombe. Vous ne devez pas considérer Solodesk comme le seul dépositaire des documents que vous êtes légalement tenu de conserver.

9.3 Conservation. Nous conservons les données personnelles pendant la durée d'activité de votre compte et aussi longtemps que nécessaire pour fournir le Service, puis uniquement dans la mesure requise pour respecter nos propres obligations légales (notamment nos obligations de conservation comptable et TVA pour les documents commerciaux que nous générons, tels que les documents de facturation), résoudre des litiges et faire appliquer nos accords. Les journaux de serveur et les données de sécurité sont conservés pour une durée limitée.

9.4 Suppression et exportation. Vous pouvez supprimer des données dans le Service et demander la suppression de votre compte utilisateur. Lors de la fermeture du compte, celui-ci est désactivé et vos données sont conservées pendant 30 jours, durant lesquels vous pouvez les exporter ; après ce délai, nous les supprimons (sous réserve du §9.3). Avant de fermer votre compte, exportez les données et documents que vous devez conserver (§10 lit. e), car Solodesk ne détient que des copies et l'obligation légale de conservation vous incombe (§9.2).

10.1 En vertu de la LPD révisée, vous disposez du droit :

• (a) d'information et d'accès – d'obtenir la confirmation que nous traitons vos données personnelles et d'en recevoir une copie ainsi que les informations correspondantes ;
• (b) de rectification – de faire corriger les données inexactes ;
• (c) d'effacement – de demander la suppression de vos données personnelles, sous réserve de nos obligations légales impératives et de nos motifs légitimes de conservation ;
• (d) d'opposition et de limitation – de vous opposer à certains traitements et de vous opposer à tout moment au marketing direct (voir §13.4) ;
• (e) de portabilité des données – de recevoir les données personnelles que vous nous avez communiquées dans un format électronique courant, ou de les faire transférer, lorsque les conditions de la LPD sont remplies ;
• (f) de retrait du consentement – lorsque le traitement est fondé sur le consentement, à tout moment, sans effet sur les traitements antérieurs ;
• (g) de ne pas faire l'objet de décisions exclusivement automatisées produisant des effets juridiques ou similairement significatifs (voir §7.5).

10.2 Pour exercer vos droits, contactez privacy@solodesk.ch. Nous pourrions être amenés à vérifier votre identité ; nous répondrons dans les délais prévus par la loi (en règle générale, 30 jours).

10.3 Si le RGPD de l'UE s'applique à vous, vous bénéficiez de droits équivalents (notamment accès, rectification, effacement, limitation, portabilité et opposition) et pouvez déposer une plainte auprès de votre autorité de surveillance de la protection des données de l'UE/EEE compétente, en plus de l'autorité suisse ci-dessous.

10.4 Autorité de surveillance suisse. Vous pouvez signaler toute préoccupation en matière de protection des données au Préposé fédéral à la protection des données et à la transparence (PFPDT / EDÖB), Feldeggweg 1, 3003 Berne (www.edoeb.admin.ch), qui surveille le respect de la LPD, peut mener des investigations et ordonner des mesures correctives, mais n'accorde pas de réparations individuelles. Vous pouvez également faire valoir vos droits devant les tribunaux civils. Nous vous saurions gré de nous donner la possibilité de traiter votre préoccupation en premier lieu.

11.1 Notre infrastructure centrale, y compris la base de données et vos documents téléchargés, est située en Suisse (§9.1). Toutefois, certains de nos prestataires (notamment Stripe, SendGrid, Sentry et Google pour le traitement par intelligence artificielle, le support ou l'administration) sont des organisations internationales susceptibles d'accéder à des données personnelles ou de les traiter en dehors de la Suisse. L'accès à des données personnelles depuis l'étranger est également considéré comme une communication à l'étranger.

11.2 Nous communiquons des données personnelles à l'étranger uniquement lorsque la LPD le permet, en nous appuyant sur :

• la liste des États disposant d'une législation assurant un niveau de protection adéquat établie par le Conseil fédéral (qui inclut l'EEE et, pour les États-Unis, les destinataires certifiés dans le cadre du Data Privacy Framework Suisse–États-Unis) ; ou
• à défaut d'une décision d'adéquation, des garanties appropriées, notamment les clauses contractuelles types de l'UE avec les adaptations requises par le PFPDT pour le droit suisse, accompagnées d'une évaluation de l'impact du transfert ; ou
• une exception légale au sens de l'art. 17 LPD (par exemple, un transfert nécessaire à l'exécution de notre contrat avec vous).

11.3 Les principaux pays destinataires sont l'Union européenne / EEE et les États-Unis. Vous pouvez demander des précisions sur les garanties sur lesquelles nous nous appuyons à l'adresse privacy@solodesk.ch.

12.1 Nous appliquons des mesures techniques et organisationnelles appropriées au niveau de risque, notamment : hébergement en Suisse ; chiffrement des données personnelles en transit et au repos ; contrôle d'accès et authentification ; stockage privé des documents ; gestion et révocation des sessions ; journalisation et surveillance ; et restriction de l'accès du personnel au strict nécessaire.

12.2 Aucun système n'est totalement sécurisé. Vous êtes responsable de la confidentialité de vos identifiants et de la sécurité de vos propres appareils.

13.1 Dans l'application Solodesk. Au sein du produit authentifié, nous utilisons uniquement les cookies et technologies similaires nécessaires au fonctionnement du Service et à sa sécurité, par exemple les cookies d'authentification et de session ainsi que le mécanisme Google reCAPTCHA utilisé pour prévenir les abus (qui partage des données limitées avec Google à cette fin). Nous n'utilisons pas de publicité ni de suivi intersites dans l'application.

13.2 Sur notre site web marketing public. Notre site utilise :

• Des cookies essentiels, nécessaires au fonctionnement et à la sécurité du site ;
• Plausible, une solution d'analyse respectueuse de la vie privée, sans cookies, hébergée sur notre propre infrastructure suisse ; elle mesure l'utilisation du site de manière agrégée et ne pose pas de cookies de suivi ni ne vous identifie ;
• Mautic, notre outil d'automatisation du marketing, hébergé sur notre propre infrastructure suisse ; il peut poser un cookie pour vous reconnaître et mesurer la façon dont vous interagissez avec notre site web et nos e-mails (ces données restent chez nous) ;
• Google Tag Manager, qui charge des balises de mesure et de publicité Google susceptibles de poser des cookies et de partager des données avec Google, notamment pour la mesure des conversions et la publicité.

13.3 Vos choix (cookies). En vertu du droit suisse (art. 45c LTC), nous pouvons utiliser des cookies dès lors que nous vous en informons et que vous pouvez les refuser. Nous recueillons votre consentement, via un bandeau de cookies, avant de poser des cookies non essentiels à des fins marketing ou publicitaires (suivi Mautic et balises publicitaires Google) ; les cookies essentiels et l'analyse sans cookies ne nécessitent pas de consentement. Si le RGPD s'applique à vous, nous recueillons un consentement opt-in préalable pour les cookies non essentiels. Vous pouvez également gérer les cookies via les paramètres de votre navigateur.

13.4 E-mails marketing. Nous envoyons des e-mails marketing uniquement lorsque vous avez donné votre consentement, par exemple en cochant la case relative aux e-mails marketing lors de l'inscription. Vous pouvez retirer votre consentement et vous désabonner à tout moment via le lien figurant dans chaque e-mail marketing ou en contactant privacy@solodesk.ch. Les messages relatifs au Service, à la sécurité et aux transactions font partie du Service et ne constituent pas des communications marketing.

14.1 Le Service est un outil professionnel destiné aux adultes agissant dans un cadre commercial et n'est pas destiné aux mineurs. Nous ne traitons pas sciemment de données personnelles de mineurs dans le cadre du Service.

15.1 Nous pouvons mettre à jour la présente politique de confidentialité de temps à autre. Nous publierons la version mise à jour avec une nouvelle date d'entrée en vigueur et, pour les modifications importantes, nous vous en informerons par un moyen approprié. La poursuite de l'utilisation du Service après l'entrée en vigueur de la modification vaut prise de connaissance de la politique mise à jour.

Solodesk Sàrl
Chemin des Coquelicots 16, 1214 Vernier, Suisse
Contact pour la protection des données : privacy@solodesk.ch