La présente politique décrit comment SwissFacture (« nous ») collecte, utilise et protège vos données personnelles dans le cadre de l'utilisation de l'application disponible sur swissfacture.ch. Elle est rédigée conformément à la Loi fédérale suisse sur la protection des données (LPD révisée, entrée en vigueur le 1er septembre 2023) ainsi qu'au Règlement général sur la protection des données (RGPD / UE 2016/679) pour nos utilisateurs résidant dans l'Union européenne.
1. Responsable du traitement
Le responsable du traitement au sens de l'art. 5 let. j LPD est :
Hemeryt SNC (exploitant de SwissFacture)
Rue des Charmilles 16, 1203 Genève, Suisse
IDE : CHE-202.779.743
Contact protection des données : privacy@swissfacture.ch
2. Données personnelles collectées
Nous collectons les catégories suivantes :
- Données d'identification du compte : adresse email, mot de passe (hashé), date de création, date de dernière connexion.
- Données d'entreprise : raison sociale, adresse postale, numéro UID/IDE, numéro de TVA, IBAN, logo, secteur d'activité.
- Données métier : clients (nom, adresse, email, téléphone, N° TVA), projets, factures, devis, paiements, catalogue d'articles, modèles d'emails, timesheet.
- Données vocales : dictées vocales utilisées pour créer des factures. Le fichier audio est transmis via une connexion sécurisée à notre service de transcription (Whisper, hébergé chez Infomaniak en Suisse), traité de manière éphémère pour produire la transcription, puis n'est pas conservé (cf. § 6).
- Données techniques : adresse IP, type de navigateur, horodatage des requêtes, cookies de session (strictement nécessaires au fonctionnement).
3. Données de prospects (formulaire de diagnostic, liste d'attente)
Si vous nous contactez via le formulaire de diagnostic ou la liste d'attente sur swissfacture.ch, sans créer de compte, nous collectons :
- Formulaire de diagnostic : nom et téléphone (requis) ; e-mail, métier et message (facultatifs).
- Liste d'attente : adresse e-mail.
Finalité : vous recontacter et évaluer votre demande (prospection commerciale). Aucune revente à des tiers, aucun profilage.
Durée de conservation : le temps de la prospection. Vous pouvez demander la suppression de ces données à tout moment, sans justification, à privacy@swissfacture.ch.
4. Finalités et bases légales du traitement
Conformément à l'art. 6 RGPD et art. 31 LPD :
- Exécution du contrat : création et gestion de votre compte, génération de factures et devis, envoi par email, génération de PDF, intégration QR-facture suisse.
- Obligation légale : conservation des pièces comptables pendant 10 ans (art. 958f CO), respect des règles TVA (LTVA).
- Intérêts légitimes : amélioration du service, prévention de la fraude, sécurité technique.
- Consentement : utilisation des modules optionnels (assistant IA Vox, scraping de votre site web lors de l'onboarding).
5. Hébergement et sous-traitants
Objectif 100% suisse : SwissFacture s'est engagée à héberger toutes vos données dans des datacenters suisses chez Infomaniak (Genève, Bâle, Zurich) sous juridiction suisse exclusive.
État actuel (mise à jour 17 mai 2026) : pendant la phase de migration en cours, certains sous-traitants restent temporairement en place. La liste exhaustive de nos sous-traitants actuels :
- Infomaniak SA (CH, Genève) — hébergement application et base de données Postgres (Public Cloud OpenStack, datacenter suisse), IA générative (Qwen), transcription voix (Whisper), scraping web (Crawl4AI), Mail SMTP, stockage objet (Swiss Backup S3), DNS du domaine. Toutes les données applicatives sont hébergées en Suisse.
- Payrexx AG (CH, Thoune) — traitement des paiements de l'abonnement SwissFacture. Aucune donnée de carte bancaire ne transite par nos serveurs.
- Registres et services publics suisses — lors d'une recherche d'entreprise, l'UID/nom saisi est transmis au registre suisse du commerce (Zefix) ; lors d'une saisie d'adresse, à Swisstopo/Geoadmin (Administration fédérale, CH).
- CDN pour modèles d'IA locale (Hugging Face, jsDelivr — US) — les modèles de transcription/OCR exécutés dans votre navigateur sont téléchargés une seule fois depuis ces CDN ; aucune de vos données n'y est envoyée (seul le téléchargement du modèle transite).
Les transferts vers des prestataires hors Suisse/UE sont encadrés par des Clauses Contractuelles Types (SCC) de la Commission européenne, conformes à l'art. 16 LPD.
6. Durées de conservation
- Factures, devis, pièces comptables : 10 ans à compter de la fin de l'exercice (art. 958f CO).
- Données de compte (email, nom) : pendant la durée d'utilisation du service + 12 mois après suppression du compte.
- Logs techniques : 90 jours maximum.
- Transcriptions vocales : non conservées (traitement éphémère uniquement).
- Données scrapées lors de l'onboarding : conservées tant que vous utilisez votre profil métier Vox, supprimées à la suppression de votre compte.
7. Vos droits
Vous disposez des droits suivants (art. 25 LPD et art. 15-22 RGPD) :
- Droit d'accès : obtenir une copie de vos données dans un format lisible (export JSON/CSV).
- Droit de rectification : modifier vos données via votre espace ou sur demande.
- Droit à l'effacement : supprimer votre compte et l'intégralité des données associées (factures, clients, etc.). Une exception subsiste pour les pièces comptables soumises à conservation légale (10 ans, art. 958f CO).
- Droit à la portabilité : récupérer vos données dans un format structuré (CSV/JSON).
- Droit d'opposition : refuser certains traitements fondés sur l'intérêt légitime.
- Droit de retirer le consentement : à tout moment, sans effet rétroactif.
Pour exercer ces droits : email à privacy@swissfacture.ch avec preuve d'identité. Réponse sous 30 jours maximum.
8. Sécurité
- Chiffrement TLS 1.3 en transit et chiffrement au repos (AES-256).
- Mots de passe hachés avec scrypt (fonction à coût mémoire élevé, résistante au brute-force).
- Cloisonnement strict des données par compte : chaque requête est filtrée par l'identifiant de l'utilisateur, garantissant qu'un utilisateur n'accède qu'à ses propres données.
- Backups quotidiens chiffrés conservés 30 jours.
- Audit régulier de la chaîne d'approvisionnement logicielle.
- En cas de violation de données présentant un risque élevé pour vos droits, nous notifierons la PFPDT et les personnes concernées dans les meilleurs délais (art. 24 LPD).
9. Cookies
SwissFacture utilise uniquement des cookies strictement nécessaires au fonctionnement (cookie de session pour vous maintenir connecté). Aucun cookie de tracking publicitaire ni de profilage tiers n'est utilisé. Aucun consentement préalable n'est requis pour ces cookies essentiels (art. 5 al. 3 ePrivacy / art. 4 LPD).
Suivi d'ouverture des e-mails : si vous l'activez explicitement dans vos réglages (désactivé par défaut), les e-mails que vous envoyez à vos clients (factures, relances) peuvent contenir un pixel invisible indiquant quand le destinataire a ouvert le message. Cette option est facultative, sous votre contrôle ; nous vous recommandons d'en informer vos destinataires.
10. Décisions automatisées et IA
L'assistant Vox (intelligence artificielle générative Qwen hébergée chez Infomaniak en Suisse) vous aide à créer vos factures et à gérer vos données. Toutes les décisions liées à vos documents (envoi, archivage, modifications) restent sous votre contrôle explicite. Aucune décision juridiquement significative n'est prise de manière entièrement automatisée (art. 21 LPD).
11. Réclamations
Vous pouvez à tout moment déposer une plainte auprès de l'autorité de contrôle suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne — www.edoeb.admin.ch.
12. Modifications
Nous pouvons mettre à jour cette politique. Toute modification substantielle sera notifiée par email aux utilisateurs concernés au moins 30 jours avant son entrée en vigueur.
⚠ Document en phase de finalisation pré-lancement. Une version définitive sera validée par un avocat suisse spécialisé avant l'ouverture publique du service.