Politique de confidentialité

Safe Swiss Cloud (hébergement, stockage et traitement Swiss LLM)

La plateforme est exploitée sur l'infrastructure certifiée ISO 27001 de Safe Swiss Cloud en Suisse, où sont stockées toutes les données de contenu. Safe Swiss Cloud est un fournisseur suisse qui n'est pas soumis au US CLOUD Act. Le mode Swiss LLM sélectionnable ainsi que la comparaison de documents, le séparateur, l'espace dossiers, la chronologie, la reconnaissance de texte (OCR) et l'anonymisation passent également par Safe Swiss Cloud. La base est un contrat de sous-traitance au sens de l'art. 9 LPD.

Microsoft Azure (traitement IA via Azure OpenAI)

Microsoft Azure est utilisé en mode standard pour le traitement des requêtes IA. L'emplacement principal est la région Switzerland North, de sorte que les données personnelles restent en Suisse. Pour certaines fonctions, Microsoft peut utiliser d'autres centres de données au sein de la géographie choisie (Suisse/UE). Azure OpenAI (Fourniture de modèles): Le traitement s'effectue de préférence en Suisse (région Switzerland North) ; si un modèle spécifique n'est pas disponible régionalement, le traitement s'effectue dans la géographie choisie (CH/UE). Pas d'entraînement des modèles avec nos contenus ; les prompts/outputs peuvent être stockés jusqu'à 30 jours pour la surveillance des abus ; la rétention zéro des données est possible sur demande. En option, nous utilisons des clés gérées par le client (CMK) via Azure Key Vault.

• Obligation de rendre compte (art. 5 al. 2 RGPD) : Microsoft nous aide à remplir nos obligations de preuve par une documentation appropriée et des rapports d'audit pendant toute la durée du contrat.
• Recours à d'autres sous-traitants (art. 28 al. 2 RGPD) : Microsoft ne peut faire appel à d'autres sous-traitants qu'avec autorisation préalable. En cas d'autorisation générale, Microsoft informe à l'avance des modifications afin que nous puissions faire opposition.
• Respect des instructions (art. 28 al. 3 RGPD) : Microsoft traite les données exclusivement sur nos instructions documentées. Une transmission vers des pays tiers ou à des organisations internationales n'a lieu que s'il existe une base juridique. Si Microsoft est obligé par la loi de divulguer des données, Microsoft nous informe – dans la mesure du possible.
• Confidentialité : Toutes les personnes employées chez Microsoft qui sont en contact avec des données personnelles sont tenues à la confidentialité.
• Mesures techniques et organisationnelles (art. 32 RGPD ; art. 1-3 OPDo) : Microsoft garantit un niveau de protection adapté au risque par le cryptage, les contrôles d'accès, la pseudonymisation, les procéduures de sauvegarde et de restauration ainsi que des audits de sécurité réguliers.
• Assistance pour les droits des personnes concernées et AIPD (art. 28 al. 3 let. e-f RGPD) : Microsoft nous aide, dans la mesure du possible, à répondre aux demandes d'accès, de suppression ou de portabilité ainsi qu'à la réalisation d'analyses d'impact sur la protection des données.
• Restitution/Suppression (art. 28 al. 3 let. g RGPD) : À la fin du contrat, toutes les données personnelles sont, selon notre choix, soit supprimées soit restituées, sauf si une obligation légale de conservation s'y oppose.
• Preuves et audits (art. 28 al. 3 let. h RGPD) : Microsoft nous met à disposition les informations nécessaires et permet des vérifications, y compris des audits indépendants.
• Responsabilité pour les sous-traitants (art. 28 al. 4 RGPD) : Microsoft s'assure que les tiers mandatés respectent les mêmes obligations de protection des données et répond de leur conformité.
• Niveau de sécurité des données (art. 32 RGPD) : Microsoft et nous prenons ensemble des mesures techniques et organisationnelles appropriées pour assurer l'intégrité, la confidentialité, la disponibilité et la résilience des systèmes.
• Notification des violations de données (art. 33 RGPD ; art. 24 LPD) : Si Microsoft a connaissance d'une violation de la protection des données personnelles, Microsoft nous informe immédiatement et fournit toutes les informations disponibles conformément à l'art. 33 al. 3 RGPD, afin que nous puissions remplir notre obligation de notification envers le PFPDT.

Google Firebase (Authentification)

Pour la gestion des comptes utilisateurs (inscription, connexion, réinitialisation du mot de passe), nous utilisons Google Firebase Authentication. Google Ireland Limited (pour l'EEE/Suisse) ou Google LLC (USA) agit en tant que sous-traitant au sens de l'art. 9 LPD et de l'art. 28 RGPD.

• Types de données :: Adresses e-mail; Mots de passe (cryptés, procédé de hachage); Chaînes User-Agent et adresses IP (pour renforcer la sécurité et détecter les abus)
• Conservation :: Les données d'authentification restent dans le système jusqu'à la suppression du compte utilisateur. Après cela, les données sont supprimées des systèmes live et de sauvegarde dans un délai maximum de 180 jours.
• Transfert international de données :: Firebase Authentication est exploité aux États-Unis. Le transfert de données personnelles vers les États-Unis est sécurisé par : Clauses contractuelles types (CCT, version 2021) conformément à l'art. 16 LPD et à l'art. 46 RGPD; Swiss-U.S. Data Privacy Framework (état 2023); Mesures techniques supplémentaires telles que le cryptage et les restrictions d'accès
• Certifications et normes de sécurité :: Firebase Authentication est certifié selon les normes suivantes : ISO 27001 (Gestion de la sécurité de l'information); ISO 27017 (Contrôles de sécurité cloud); ISO 27018 (Protection des données dans les clouds publics); SOC 1, SOC 2, SOC 3 (rapports d'audit réguliers)
• Respect des instructions : Google traite les données exclusivement sur instruction documentée du client.
• Confidentialité : Seuls les employés autorisés avec obligation de secret correspondante ont accès aux données.
• Mesures techniques et organisationnelles : Google met en œuvre des MTOs étendues, incluant le cryptage, les contrôles d'accès et des audits de sécurité réguliers.
• Assistance pour les droits des personnes concernées : Google nous aide à répondre aux demandes d'accès, de suppression et de portabilité conformément à la LPD/RGPD.
• Assistance pour les AIPD : Google s'assure que les informations nécessaires sont disponibles pour réaliser des analyses d'impact sur la protection des données.
• Sous-traitants : Google peut faire appel à des sous-processeurs, mais informe de manière transparente de leur utilisation. Ceux-ci sont contractuellement tenus de respecter les mêmes normes de protection des données.
• Restitution/Suppression : Après la clôture du compte, les données sont entièrement supprimées ou anonymisées, sauf si une obligation légale de conservation s'y oppose.

Mesures techniques (extrait) :

• Cryptage au repos/en transit (p. ex. AES-256, TLS 1.2+), gestion des clés avec HSM/Key-Vault, rotation.
• Contrôles d'accès (MFA, SSO), segmentation réseau, moindre privilège, durcissement des terminaux.
• Journalisation des événements pertinents pour la sécurité (p. ex. authentifications, modifications de rôles) ; surveillance SIEM, alertes, conservation des preuves selon OPDo.
• Développement logiciel sécurisé (revues de code, gestion des secrets, scans de dépendances), gestion des vulnérabilités et des correctifs, tests de pénétration réguliers.
• Stratégie de sauvegarde/restauration (testée régulièrement), continuité d'activité & reprise après sinistre.

Mesures organisationnelles (extrait) :

• Concept de rôles et d'autorisations (processus JML), principe des quatre yeux & séparation des fonctions dans les processus sensibles.
• Politiques de protection des données et de sécurité, formations pour les employés, engagements de confidentialité.
• Sous-traitance réglementée contractuellement (CCT/DPF si nécessaire), gouvernance des sous-processeurs avec notification des modifications.
• Processus de réponse aux incidents incluant le système de notification selon LPD/OPDo ; exercices réguliers.
• Classification des données, minimisation des données, pseudonymisation/anonymisation si possible ; concept de conservation et de suppression.

Contrôles de processus, de preuve et d'efficacité :

• Obligation de mise en œuvre et de documentation : Nous veillons à ce que tous les processus et mesures décrits soient effectivement mis en œuvre et documentés (preuves MTO, contrats avec sous-traitants, rapports AIPD, plans de mesures).
• Contrôle d'efficacité : Revues/audits réguliers (internes/externes), contrôles techniques (p. ex. analyses de logs, revues d'accès, rapports de pen-tests), évaluations de la direction et amélioration continue.
• Artefacts de responsabilité : Registre des activités de traitement, inventaire MTO, preuves de formation, liste des sous-processeurs, registre des risques incluant mesures CAPA (Actions correctives/préventives).
• Processus AIPD : En cas de risque élevé, nous effectuons une analyse d'impact sur la protection des données selon l'art. 22 LPD : les résultats, risques résiduels et MTO décidées sont documentés, régulièrement vérifiés et mis à jour si nécessaire.

Notes sur la journalisation & conservation (précision) :

Les journaux pertinents pour la sécurité (accès/traitements) sont tenus de manière à pouvoir vérifier a posteriori si les données ont été traitées conformément à leur finalité ; la conservation se fait de manière adaptée au risque et conformément aux exigences de l'OPDo. Justification & Guide : Les compléments ci-dessus correspondent au guide du PFPDT sur les MTO (gouvernance, mise en œuvre, preuves, vérification d'efficacité) et opérationnalisent les exigences de l'OPDo/LPD pour un environnement SaaS.

Délais concrets :

• Journaux de sécurité selon l'art. 4 OPDo (accès/traitements) sont conservés au moins 12 mois.
• Journaux d'exploitation/d'application sans référence personnelle : 90 jours.
• Documents/correspondance pertinents pour l'activité selon CO 958f : 10 ans.
• Données de contenu IA : pas de stockage permanent sans consentement ; lors de l'utilisation d'Azure OpenAI, surveillance des abus côté service jusqu'à 30 jours, sans entraînement des modèles.

Archivage :

Si une obligation légale existe, les données personnelles sont conservées exclusivement à des fins d'archivage conformément à l'art. 6 al. 4 LPD. L'archivage se fait exclusivement en tenant compte des exigences légales et avec des mesures de protection techniques et organisationnelles appropriées (p. ex. restriction d'accès, cryptage).