Politique de confidentialité

Partie B: Application (app.agency-atelier.ch)

Le responsable du traitement des données personnelles dans l'application app.agency-atelier.ch est Marcel Heiniger, entreprise individuelle agissant sous la marque agency-atelier, Ipsachstrasse 1, 2563 Ipsach, Suisse. Pour toute question relative à la protection des données, vous pouvez nous écrire à hello@agency-atelier.com.

La présente politique (partie B) s'applique à l'utilisation de l'application par nos clients et par les personnes qu'ils invitent dans leur organisation. Pour le site agency-atelier.ch et pour les points qui ne sont pas réglés ici (prestataires mandatés, sécurité des données, vos autres droits, droit de recours auprès du PFPDT), la politique de confidentialité du site (partie A, disponible en allemand) s'applique en complément : https://agency-atelier.ch/datenschutz/. Pour l'application, la présente partie B prévaut en cas de divergence.

B.1 Données traitées. Données de compte (nom, adresse e-mail, mot de passe uniquement sous forme d'empreinte irréversible, données de l'authentification à deux facteurs), données relatives à l'organisation et au contrat (raison sociale, adresse, plan choisi, statut de l'abonnement et des paiements) ainsi que les données de journalisation décrites au ch. B.2. Les paiements sont traités par notre prestataire Payrexx AG (Suisse) ; nous ne recevons pas les données de carte.

B.2 Journal des modifications (journal d'audit). Toute transaction dans l'application fait partie de l'exécution du contrat. Nous enregistrons donc les opérations que vous-même ou les personnes de votre organisation effectuez dans l'application, notamment l'inscription, la conclusion, la modification, la résiliation et la réactivation de l'abonnement, les paiements et remboursements, les invitations, les changements de rôle, les clés API ainsi que la réinitialisation des données de l'organisation. Une entrée indique qui a agi (identifiant d'utilisateur ou type d'acteur), quand, quelle action a été effectuée sur quel objet et quelles données ont été modifiées. Selon l'opération, elle peut en outre contenir l'adresse e-mail de la personne qui agit au moment de l'opération, l'adresse IP et l'identifiant du navigateur (user agent). Les opérations déclenchées par le système lui-même (notifications du prestataire de paiement, tâches planifiées) sont enregistrées comme opérations du système.

Finalité : preuve de la conclusion, du contenu et de l'exécution du contrat, traçabilité des livres comptables, sécurité de la plateforme et prévention des abus. Nous n'utilisons pas ce journal à des fins publicitaires, de profilage ni de surveillance du comportement des collaborateurs.

Motif justificatif : traitement de données concernant le cocontractant en relation directe avec la conclusion et l'exécution du contrat (art. 31 al. 2 let. a LPD) et notre intérêt prépondérant à la conservation des preuves (art. 31 al. 1 LPD), ce dernier valant aussi pour les personnes invitées qui ne sont pas elles-mêmes parties au contrat. Lorsque le RGPD s'applique : art. 6 par. 1 let. b et f RGPD.

Conservation : 10 ans à compter de la fin de l'année civile de l'opération, conformément au délai de prescription de l'art. 127 CO ; les entrées sont ensuite supprimées ou anonymisées. Cela vaut aussi après la fin du contrat et après la suppression de l'organisation. Les entrées ne peuvent pas être modifiées après coup.

Consultation : les personnes disposant de droits d'administration dans votre organisation peuvent consulter le journal de l'organisation.

Vos droits : vous pouvez à tout moment demander l'accès aux entrées qui vous concernent. L'effacement ou la rectification d'entrées avant l'échéance n'est pas possible dans la mesure où elles sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice ; nous limitons alors le traitement à cette fin et ajoutons sur demande une mention de contestation. Adressez votre demande à l'adresse indiquée ci-dessus.

B.3 Données de tiers (sous-traitance). Les données personnelles de tiers que vous saisissez dans l'application (p. ex. contacts, clients, notes, factures, demandes de support) sont traitées par nous en tant que sous-traitant, exclusivement pour votre compte et selon vos instructions ; vous en êtes responsable. Nous vous remettons sur demande un contrat de sous-traitance.

Fournisseur d'e-mail que vous choisissez : les e-mails que vous envoyez depuis l'application (p. ex. factures, offres, rappels) passent par le fournisseur d'e-mail que votre organisation a elle-même choisi et connecté dans les réglages (p. ex. Microsoft 365 / Outlook, Google Workspace / Gmail, Cloudflare Email Service, Resend ou votre propre serveur SMTP). Nous transmettons ces e-mails à ce fournisseur sur votre instruction. Il les traite sur la base de votre propre contrat avec lui et n'est pas notre sous-traitant. Selon le fournisseur, les e-mails et leurs pièces jointes peuvent être traités hors de Suisse, notamment aux États-Unis ; les indications sur nos propres prestataires et sur l'hébergement en Suisse (partie A) ne s'appliquent pas à ce fournisseur. Le choix du fournisseur et le contrat conclu avec lui, y compris la communication de données à l'étranger qui en découle, relèvent de votre responsabilité. Pour la connexion, nous conservons sous forme chiffrée les identifiants nécessaires (mot de passe d'application, clé API ou jeton d'accès Microsoft) ainsi que, pour Microsoft, l'adresse de la boîte connectée. Nous les supprimons lorsque vous changez de fournisseur ou supprimez la configuration ; dans les sauvegardes, ils subsistent jusqu'à leur effacement périodique. Vous pouvez aussi révoquer l'accès à tout moment directement auprès du fournisseur.