Politique de
Confidentialité

§1— Responsable du traitement

Le responsable du traitement au sens de la Loi fédérale sur la protection des données (nLPD) est :

§2— Données traitées

Utilisateurs (clients SaaS)

• Nom, prénom, email professionnel
• Mot de passe (haché bcrypt cost 12 — jamais stocké en clair)
• Secret 2FA TOTP (chiffré AES-256-GCM at-rest)
• Entreprise, plan tarifaire, modules activés
• IBAN bénéficiaire (chiffré AES-256-GCM at-rest)
• Identifiants SMTP custom optionnels (chiffrés AES-256-GCM)
• IP de connexion, user-agent, horodatages

Débiteurs (personnes tierces)

• Nom, raison sociale, NPA, localité
• Email, téléphone, adresse postale — tous chiffrés AES-256-GCM at-rest
• Historique des relances envoyées
• Score de solvabilité (issu de sources publiques suisses : ZEFIX, FOSC)

Données techniques

• Journal d'audit (toutes les actions CRUD + auth) — conservation 10 ans
• Logs applicatifs (90 jours)
• Logs serveur (14 jours)
• Cookies de session technique uniquement — pas de cookies de tracking

§3— Finalités du traitement

• Exécution du contrat SaaS (authentification, gestion du compte, facturation)
• Recouvrement amiable pour le compte du client (en tant que sous-traitant art. 9 nLPD)
• Sécurité applicative (audit trail, rate-limiting, détection d'abus)
• Obligations légales suisses (CO art. 957a — conservation 10 ans)

§4— Base légale

• Exécution du contrat (art. 31 al. 2 let. a nLPD) — données utilisateurs et débiteurs
• Intérêt légitime (art. 31 al. 2 let. d nLPD) — sécurité, prévention de la fraude
• Obligation légale (CO art. 957a) — comptabilité
• Consentement (art. 31 al. 1 nLPD) — newsletter (opt-in explicite)

§5— Durée de conservation

• Données utilisateurs et débiteurs : pendant la durée du contrat. Puis, à la résiliation, export disponible 30 jours ; suppression des données opérationnelles à J+60 ; les pièces comptables (factures, avoirs) et le journal d'audit sont conservés 10 ans (art. 958f CO) puis supprimés.
• Journal d'audit : 10 ans (art. 958f CO), puis supprimé
• Logs techniques : 90 jours (logs applicatifs), 14 jours (logs serveur)
• Backups DB chiffrés : 30 jours, plus une copie mensuelle conservée 12 mois (Swiss Backup, Suisse)

§6— Destinataires & transferts

Les données de nos clients et de leurs débiteurs sont hébergées et traitées exclusivement en Suisse. Pour le développement et la maintenance de la plateforme, nous pouvons recourir à des outils d'assistance dont les serveurs sont situés à l'étranger (États-Unis), sur des extraits pseudonymisés ou fictifs ; aucun traitement de production n'a lieu hors de Suisse. Détails contractuels : contrat de sous-traitance (DPA).

Aucun tiers commercial, aucun partage marketing, aucun cookie de tracking (Google Analytics, Facebook Pixel, etc.).

Sous-traitant d'hébergement : Infomaniak Network SA (Genève, Suisse) pour l'hébergement de nos serveurs, le serveur SMTP, le stockage S3 (Object Storage Swiss Backup), lié par un contrat de sous-traitance. Outils d'assistance au développement : voir le registre des sous-traitants (communiqué sur demande à contact@alexium.ch).

§7— Mesures de sécurité

• Chiffrement AES-256-GCM at-rest sur les données sensibles (IBAN, email/tel/adresse débiteurs, secrets 2FA, identifiants SMTP)
• Chiffrement TLS 1.3 en transit (Let's Encrypt, HSTS preload, vérification certificat PostgreSQL)
• Double authentification (2FA TOTP) disponible pour tous les comptes, obligatoire pour les comptes d'administration d'Alexium, fortement recommandée
• Mots de passe bcrypt cost 12
• Limitation de débit sur les points sensibles (inscription, connexion, 2FA, administration)
• Journal d'audit des opérations sensibles, conservé 10 ans
• Backups chiffrés GPG AES-256 vers Swiss Backup (Suisse) : 30 jours, plus une copie mensuelle conservée 12 mois
• Firewall UFW, fail2ban, mises à jour de sécurité automatiques
• Tests automatisés sur les chemins financiers critiques

§8— Vos droits

Conformément aux art. 25 et 32 nLPD, vous disposez des droits suivants :

• Droit d'accès aux données vous concernant et au traitement effectué
• Droit de rectification des données inexactes ou incomplètes
• Droit de suppression (« droit à l'oubli »)
• Droit à la portabilité via export ZIP CSV+JSON (`/parametres` > Résiliation & Export)
• Droit d'opposition à un traitement fondé sur l'intérêt légitime

§9— Cookies

Alexium n'utilise aucun cookie de tracking. Seuls les cookies techniques strictement nécessaires sont utilisés :

• next-auth.session-token / __Secure-next-auth.session-token — session utilisateur (8h, HttpOnly, Secure, SameSite=Lax)
• alexium-admin — session super-admin (8h, HttpOnly, Secure, SameSite=Strict)

Aucun cookie Google Analytics, Facebook Pixel ou autre traceur tiers. Aucune bannière de consentement n'est nécessaire.

§10— Demandes d'accès d'essai

Lorsque vous demandez un accès d'essai à Alexium via notre site, nous collectons votre nom et prénom, le nom de votre entreprise, votre adresse e-mail professionnelle, votre numéro de téléphone (facultatif) et, si vous le renseignez, votre secteur d'activité.

Ces données servent uniquement à traiter votre demande : vous contacter, activer votre accès d'essai et vous accompagner lors de la mise en place. Elles ne sont pas utilisées à des fins publicitaires et ne sont jamais transmises à des tiers.

Elles sont hébergées en Suisse (Infomaniak) et chiffrées au repos. Si votre demande n'aboutit pas à une utilisation d'Alexium, elles sont supprimées au plus tard 12 mois après leur réception. Si vous devenez utilisateur, elles sont reprises dans votre compte et traitées selon les règles applicables aux clients.

Vous pouvez à tout moment demander l'accès à vos données, leur rectification ou leur suppression en écrivant à contact@alexium.ch.

§11— Autorité de surveillance

Si vous estimez que vos droits ne sont pas respectés, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT) : edoeb.admin.ch.

§12— Modifications

Toute modification substantielle de la présente politique sera notifiée aux utilisateurs par email au moins 30 jours avant sa prise d'effet. La date de dernière mise à jour est affichée en haut de cette page.