Protection des données

1. Qui est responsable

Le service SwissPME est exploité par LGMA SA, Route de Champ Colin 12-16, 1260 Nyon, Suisse (« SwissPME », « nous »).

Pour toute question sur vos données ou pour exercer vos droits : contact@swisspme.app.

Cette déclaration applique la loi fédérale sur la protection des données (nLPD) et son ordonnance.

2. Nos deux rôles

Nous décidons nous-mêmes des traitements liés au site, aux comptes utilisateurs, aux abonnements et à leur facturation, au support et au programme d’affiliation. Nous en sommes responsables.

Nous agissons pour le compte de nos clients pour les données qu’ils enregistrent dans SwissPME : documents et courrier, contacts, dossiers des collaborateurs, absences, notes de frais, devis, bons de commande. L’entreprise cliente en est responsable ; nous les traitons uniquement pour lui fournir le service, selon ses instructions et les réglages de son espace. Si vous êtes, par exemple, collaborateur d’une entreprise cliente, adressez vos demandes d’abord à votre employeur ; nous l’aiderons à y répondre.

3. Les données que nous traitons

Quand vous visitez le site

• Aucun outil de mesure d’audience, aucun traceur publicitaire, aucun pixel de réseau social.
• Nos serveurs enregistrent des journaux techniques (adresse IP, navigateur, page demandée, date) pour assurer le fonctionnement et la sécurité du service, et pour en tirer des statistiques de visite anonymes (nombre de visites, pages vues, site de provenance), sans cookie ni outil extérieur.
• Si vous arrivez par le lien d’un partenaire, nous enregistrons la visite pour attribuer une éventuelle inscription : page d’arrivée, site d’origine, éventuelle campagne, famille du navigateur et du système (par exemple Chrome sur macOS) et une empreinte de l’adresse IP, calculée avec une clé secrète (jamais l’adresse elle-même).
• Si vous nous écrivez par le formulaire de contact, votre nom, votre adresse e-mail, votre entreprise et votre message nous parviennent par e-mail ; ils ne sont pas enregistrés dans l’application. Votre adresse IP sert seulement à limiter les envois abusifs : elle reste dans la mémoire du serveur, sans être enregistrée, et ne sert plus au bout de dix minutes.
• Votre navigateur note, le temps de la visite, le site d’où vous arrivez (son nom seulement), la page d’arrivée et l’éventuelle campagne. Cette note ne nous est transmise que si vous créez un compte ; sinon, elle disparaît à la fermeture de l’onglet.
• Si vous posez une question à l’assistant du site, elle est transmise à OpenAI, aux États-Unis, qui rédige la réponse à partir des seules pages publiques du site. La question et la réponse sont conservées 90 jours, avec la page où vous vous trouviez, sans votre nom ni votre adresse IP, pour savoir ce que les visiteurs cherchent et améliorer le site ; elles sont ensuite effacées. N’y indiquez pas de données personnelles. Si vous écrivez à l’équipe depuis la conversation, votre message nous parvient par e-mail, comme par le formulaire de contact.

Votre compte

• Nom, prénom, adresse e-mail et, si vous l’ajoutez, une photo.
• Votre mot de passe, conservé uniquement sous une forme protégée qui ne permet pas de le relire.
• L’historique de vos connexions (date, adresse IP, navigateur, déconnexions et mots de passe refusés), qui sert à sécuriser votre compte.
• D’où vous êtes arrivé au moment de votre inscription (voir ci-dessus).
• Vos préférences de notification.

Votre entreprise et votre abonnement

• Raison sociale, adresse, e-mail de facturation, modules souscrits, licences et factures.
• Le paiement de votre abonnement SwissPME par carte se fait sur les pages de Stripe. Pour ce paiement, nous ne conservons jamais le numéro de carte ni son cryptogramme : seulement la marque, les quatre derniers chiffres et la date d’expiration.

Ce que nos clients enregistrent dans SwissPME

• Les documents et le courrier déposés ou transférés par e-mail, et les informations qui en sont extraites (fournisseur, montant, échéance, coordonnées de paiement…). Ces documents peuvent contenir des données de tiers.
• Les contacts (personnes et entreprises) et leurs coordonnées.
• Selon les modules utilisés : dossiers des collaborateurs (y compris numéro AVS, coordonnées bancaires, contrats et documents), absences — dont les absences pour maladie ou accident, qui sont des données sensibles —, notes de frais et justificatifs, devis et leur acceptation en ligne, bons de commande, abonnements de l’entreprise.
• Les cartes de paiement de l’entreprise, si elle les enregistre dans les modules Abonnements ou Bon de commande : titulaire, numéro et date d’expiration, conservés chiffrés (seuls les quatre derniers chiffres restent en clair, pour l’affichage). Le cryptogramme n’est jamais demandé.
• Les échanges avec l’assistant IA, lorsque l’entreprise l’utilise, et les journaux qui retracent ses actions.

L’accès à ces données dépend des droits que l’administrateur de l’entreprise attribue à chaque utilisateur. Les modules qui contiennent des données sensibles (ressources humaines, absences) sont fermés par défaut, et ces données ne sont jamais envoyées par e-mail.

Lorsqu’un utilisateur pose une question à l’assistant IA, la question et les données consultées pour y répondre, dans les modules auxquels cet utilisateur a accès, sont transmises à OpenAI, aux États-Unis, ou au fournisseur d’intelligence artificielle que l’entreprise a elle-même configuré. Par exemple : les salaires, les absences avec leur type (maladie, accident…) et, si l’entreprise l’a rendu visible, leur motif. Le numéro AVS, l’IBAN, la date de naissance et la famille enregistrés dans le dossier d’un collaborateur ne sont jamais transmis.

Le programme d’affiliation

• Identité et coordonnées du partenaire, statut TVA, coordonnées bancaires (chiffrées), clients apportés et commissions.

Le support

• Les échanges avec notre équipe. Pour résoudre un problème, notre support peut accéder à l’espace d’une entreprise pour une durée limitée : l’accès est motivé, l’entreprise en est informée et il est inscrit dans un journal.
• Si vous écrivez à notre support par e-mail, un agent d’intelligence artificielle peut vous répondre. Seulement si votre adresse est vérifiée, il peut consulter l’état du compte de votre entreprise : son statut, les logiciels ouverts et les essais, l’installation, le nombre d’utilisateurs, l’existence d’un mandat de fiduciaire et, si vous administrez l’entreprise, l’abonnement et le nombre de factures SwissPME en retard. Jamais le contenu de votre espace (documents, contacts, montants). Chaque consultation est inscrite dans un journal que les administrateurs de l’entreprise voient, conservé 12 mois.

4. Pourquoi nous les traitons

• fournir le service et ses fonctions (lecture et classement des documents, notifications, PDF…) ;
• créer et sécuriser les comptes, gérer les accès et prévenir les abus ;
• gérer les abonnements, la facturation et les paiements ;
• répondre aux demandes et assurer le support ;
• attribuer et verser les commissions du programme d’affiliation ;
• respecter nos obligations légales, notamment comptables.

Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires. Nous ne les utilisons pas non plus pour entraîner des modèles d’intelligence artificielle.

5. Où sont vos données, et qui intervient

Hébergement en Suisse. L’application, la base de données, les documents déposés et les sauvegardes sont hébergés en Suisse, chez Infomaniak Network SA. Les e-mails envoyés par SwissPME passent également par Infomaniak, en Suisse.

Nous faisons appel aux prestataires suivants, uniquement pour les besoins décrits :

• OpenAI (États-Unis) — lecture automatique des documents de MailRoom, réponses de l’assistant IA et de l’assistant du site, et compte rendu des visioconférences de SwissPME (voir Fireflies, ci-dessous). Le document, la question et les données consultées pour y répondre, ou la retranscription d’une séance, sont transmis à OpenAI pour être traités, aux États-Unis. OpenAI ne s’en sert pas pour entraîner ses modèles ; selon ses conditions, il peut en garder une copie au plus 30 jours pour détecter les abus. Les fichiers, eux, restent stockés sur nos serveurs en Suisse. Pour l’assistant IA, une entreprise peut aussi configurer son propre fournisseur d’intelligence artificielle : ses données sont alors transmises à ce fournisseur.
• xAI (États-Unis) — les agents d’intelligence artificielle de SwissPME, qui écrivent aux entreprises que nous contactons, répondent au support par e-mail et proposent l’abonnement aux entreprises en offre gratuite ou en essai. Les e-mails échangés avec eux, l’état du compte de la personne qui écrit au support (voir « Le support »), le nom et l’adresse e-mail de l’administrateur d’une entreprise en offre gratuite ou en essai, ainsi que le nom des partenaires et des commerciaux de SwissPME avec les montants qui leur sont dus, sont traités par xAI, aux États-Unis.
• Anthropic (États-Unis) — d’autres agents d’intelligence artificielle de SwissPME (développement, produit, contenu, contrôle de la conformité). Ils lisent les dossiers de la relation client qui les concernent et, pour le contrôle de la conformité, un échantillon des e-mails envoyés par nos agents. Ces données sont traitées par Anthropic, aux États-Unis.
• Fireflies.ai (États-Unis) — l’enregistrement et la retranscription des visioconférences que l’équipe de SwissPME tient avec les entreprises qu’elle rencontre, quand les participants l’ont accepté. La retranscription, le nom et l’adresse e-mail des participants sont traités par Fireflies, aux États-Unis ; SwissPME les reprend dans le dossier de l’entreprise pour en faire le compte rendu, envoyé au participant seulement si l’équipe le décide.
• Stripe (Stripe Payments Europe Ltd, Irlande) — paiement des abonnements. Stripe peut traiter certaines données aux États-Unis.
• ElevenLabs (États-Unis) — uniquement pour le module « Devis par l’assistant », lorsque la saisie à la voix est utilisée : la voix et le contenu de la conversation, y compris ce que l’assistant consulte pour préparer le devis, y sont traités, aux États-Unis. Pour formuler ses réponses, ElevenLabs s’appuie sur un modèle d’OpenAI, auquel le texte de la conversation est transmis. Nous demandons à ElevenLabs de ne pas enregistrer l’audio et d’effacer la transcription après un jour.
• bexio (bexio AG, Suisse) et ClickUp (États-Unis) — uniquement si l’entreprise connecte elle-même son compte : échange des contacts, factures fournisseurs, offres (bexio) ou création de tâches à partir des devis acceptés (ClickUp).
• DuckDuckGo (États-Unis) — affichage automatique du logo des entreprises enregistrées dans le module Contacts, d’après l’adresse de leur site, lorsqu’aucun logo n’a été téléversé : c’est le navigateur de l’utilisateur qui demande ce logo à DuckDuckGo, qui reçoit donc son adresse IP et le nom de domaine du site de l’entreprise.

Lorsque des données sont traitées dans un pays qui n’offre pas un niveau de protection adéquat selon le Conseil fédéral, le transfert repose sur les garanties prévues par la nLPD, par exemple des clauses contractuelles types.

6. Combien de temps nous les conservons

• Pendant le contrat : les données du compte et de l’entreprise sont conservées tant que l’espace est actif.
• Après la fermeture du compte : l’entreprise peut demander à récupérer ses documents pendant 90 jours ; les données sont ensuite supprimées, à l’exception des pièces que la loi nous oblige à garder (pièces comptables et factures : 10 ans).
• Sauvegardes : une copie chaque nuit, gardée 14 jours, puis une par semaine sur 8 semaines et une par mois sur 12 mois. Elles sont chiffrées avant de quitter nos serveurs et conservées en Suisse, chez Infomaniak. Les sauvegardes d’un compte fermé s’effacent au plus tard 12 mois après sa fermeture.
• Notifications : les notifications lues sont supprimées après un an.
• Historique des connexions : 12 mois, puis il est effacé automatiquement.
• Questions posées à l’assistant du site : 90 jours, puis elles sont effacées automatiquement.
• Conversations avec l’assistant IA, transcriptions de la saisie à la voix comprises : 90 jours après le dernier message, puis elles sont effacées automatiquement. Le journal technique n’en garde ensuite que la trace (date, utilisateur, outils utilisés, coût), sans le texte des questions ni des réponses.
• Boîte de dépôt du courrier : les courriels envoyés à l’adresse de dépôt sont effacés de cette boîte 30 jours après leur arrivée, une fois traités. Ceux qui ont été refusés sont rangés dans un dossier à part, et effacés eux aussi 30 jours après leur arrivée. Les documents créés dans SwissPME à partir de ces courriels suivent les règles ci-dessus.
• Liens envoyés par e-mail : le lien de confirmation d’adresse expire après une heure, les liens de signature et de partage après sept jours.
• Cookie de parrainage : 90 jours.

7. Cookies

SwissPME n’utilise que des cookies propres, sans publicité ni mesure d’audience :

• le cookie de session, qui vous garde connecté à votre espace ;
• des cookies temporaires lors de la connexion à bexio ou ClickUp, pour sécuriser l’opération ;
• le cookie de parrainage, déposé seulement si vous arrivez par le lien d’un partenaire (90 jours).

Votre navigateur conserve aussi une préférence d’affichage (le menu épinglé), le temps de l’onglet, et votre conversation avec l’assistant du site. Si vous cliquez sur « Commander » ou « Essayer » avant d’avoir un compte, le logiciel et le nombre de licences choisis sont enregistrés avec votre compte à l’inscription, pour vous les proposer à votre arrivée dans votre espace ; rien n’est acheté sans votre geste. Vous pouvez supprimer les cookies dans les réglages de votre navigateur ; sans cookie de session, la connexion n’est pas possible.

8. Sécurité

• connexions chiffrées (HTTPS) et hébergement en Suisse ;
• données de chaque entreprise cloisonnées, accès selon les droits définis par l’administrateur ;
• mots de passe conservés sous forme protégée, nombre de tentatives de connexion limité ;
• chiffrement des éléments les plus sensibles confiés au service : accès aux comptes bexio et ClickUp, mots de passe enregistrés dans le module Abonnements, cartes de paiement enregistrées dans les modules Abonnements et Bon de commande, coordonnées bancaires des partenaires ;
• accès du support limité dans le temps, signalé à l’entreprise et journalisé ;
• sauvegardes quotidiennes, chiffrées et copiées hors de nos serveurs, en Suisse.

9. Vos droits

Selon la nLPD, vous pouvez :

• savoir si nous traitons des données vous concernant et en obtenir une copie ;
• faire corriger des données inexactes ;
• demander leur suppression ou vous opposer à un traitement, dans les limites de la loi ;
• recevoir vos données dans un format courant, lorsque c’est applicable.

Écrivez-nous à contact@swisspme.app. Nous répondons dans un délai de 30 jours et pouvons vous demander de justifier de votre identité. Plusieurs informations se modifient aussi directement dans votre compte, et chaque document se télécharge depuis l’application.

Vous pouvez également vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT), www.edoeb.admin.ch.

10. Modifications

Nous pouvons adapter cette déclaration, par exemple lorsque le service évolue. La version en vigueur est publiée sur cette page avec sa date. En cas de changement important, nous en informons nos clients. Voir aussi les conditions générales et les mentions légales.