Politique de confidentialité

1. Introduction

Schweizerform (« nous », « notre ») exploite la plateforme Schweizerform — un service de création de formulaires Swiss-Made, chiffré de bout en bout. La présente Politique de confidentialité explique comment nous collectons, utilisons, stockons et protégeons vos informations lorsque vous utilisez notre plateforme.

Nous nous engageons à protéger votre vie privée grâce à notre architecture zero-knowledge. Cela signifie que la majorité des données que vous traitez via Schweizerform sont chiffrées dans votre navigateur avant d'atteindre nos serveurs, et nous sommes techniquement dans l'impossibilité d'y accéder.

2. Architecture Zero-Knowledge

Schweizerform utilise un modèle de chiffrement zero-knowledge de bout en bout. Ce n'est pas simplement une fonctionnalité — c'est le fondement de notre plateforme. Voici ce que cela signifie pour vos données :

• Réponses aux formulaires : Toutes les données de soumission de formulaire sont chiffrées dans le navigateur du répondant avec le chiffrement AES-256-GCM avant d'être transmises à nos serveurs. Nous ne stockons que des blobs chiffrés que nous ne pouvons pas déchiffrer.
• Pièces jointes : Les fichiers téléchargés sont chiffrés côté client avant le téléchargement. Les noms de fichiers originaux sont remplacés par des identifiants randomisés sur nos serveurs.
• Clé du coffre : Votre clé principale est dérivée dans votre navigateur à partir de votre clé du coffre, au moyen de PBKDF2-HMAC-SHA256, avec 600 000 itérations et un sel individuel. Votre clé du coffre n'est à aucun moment transmise aux systèmes de Schweizerform ni stockée sur ceux-ci, et la clé principale n'existe en clair que dans la mémoire de votre navigateur. Nous conservons en outre une copie de la clé principale chiffrée avec votre code de récupération, afin que vous puissiez retrouver l'accès à vos données au moyen de ce code. Le code de récupération lui-même n'est jamais transmis ni stocké — cette copie est donc inutilisable pour Schweizerform.
• Clés de chiffrement : Les clés privées RSA et les clés AES de niveau formulaire sont chiffrées avec votre clé principale avant le stockage. Nous ne stockons que du matériel de clé chiffré.

3. Informations que nous collectons

3.1 Informations de compte

Lorsque vous créez un compte, nous collectons votre adresse e-mail et, si vous l'indiquez, votre nom. Ces données sont utilisées pour l'authentification du compte (codes de connexion à usage unique, et votre mot de passe si vous en définissez un), la récupération du mot de passe et les communications liées au service. Nous ne collectons ni votre adresse postale, ni votre numéro de téléphone, ni vos données de paiement lors de l'inscription. Si vous choisissez par la suite de payer par facture QR suisse, nous collectons en outre l'adresse de facturation qui doit figurer sur la facture : un nom de contact, un nom d'entreprise facultatif, une rue et un numéro, un code postal et une localité, une adresse e-mail de facturation et, si vous le souhaitez, votre propre référence de commande ou de centre de coûts.

3.2 Métadonnées de formulaire

Nous stockons les métadonnées de formulaire nécessaires au fonctionnement du service, y compris les titres de formulaires, les dates de création, les informations d'état, les paramètres de planification et le nombre de soumissions. Le contenu des réponses de formulaire est toujours chiffré et inaccessible pour nous.

3.3 Abonnement et facturation

Les paiements par carte et par TWINT sont traités par Stripe Payments Europe, Ltd., Dublin (Irlande) — notre cocontractant pour ces paiements. Nous ne recevons ni ne stockons votre numéro de carte de crédit. Nous recevons de Stripe uniquement un identifiant client, le statut d'abonnement, les détails du plan et les informations de cycle de facturation nécessaires à la gestion de votre abonnement. Stripe procède à un transfert intragroupe vers Stripe, LLC (États-Unis), qui est certifiée au titre du Swiss–U.S. Data Privacy Framework ; l'annexe 1 de l'ordonnance sur la protection des données reconnaît aux destinataires certifiés aux États-Unis une protection adéquate. Lorsque ce cadre ne s'applique pas, l'avenant de traitement des données de Stripe se fonde sur les clauses contractuelles types de la Commission européenne. Si vous payez par facture QR suisse, aucun prestataire de paiement n'intervient : nous collectons une adresse de facturation, émettons nous-mêmes la facture, et vous virez le montant sur notre compte bancaire suisse. Dans ce cas, nous conservons le nom, l'adresse et l'adresse e-mail de facturation figurant sur la facture, ainsi que le montant et les dates ; Stripe ne reçoit rien. Le droit suisse nous oblige à conserver dix ans les factures émises — voir la section 7.

3.4 Données analytiques

Sur notre propre site (pages marketing et espace connecté), nous mesurons l'utilisation afin d'améliorer le service : pages vues, identifiant de session dérivé d'une empreinte de navigateur sans cookie, type d'appareil et pays. Cet identifiant de session est pseudonyme et non anonyme : il ne contient pas votre nom, mais il permet de regrouper plusieurs consultations. Nous n'utilisons aucun service d'analyse, de publicité ou de suivi de tiers, et ces données sont conservées exclusivement sur notre propre infrastructure suisse. Sur les pages publiques de formulaire, ce dispositif ne s'applique pas : aucune session d'analyse n'y est ouverte, aucune empreinte de navigateur n'y est calculée, aucun pays n'y est évalué et aucun service d'analyse, de publicité ou de suivi de tiers n'y est intégré. Nous y conservons : des compteurs journaliers agrégés par formulaire (nombre de consultations, nombre de soumissions, catégorie d'appareil — ordinateur de bureau, mobile ou tablette — et canal d'accès, lien ou code QR) ; des compteurs agrégés par question (combien de fois une question a été affichée et combien de fois elle a reçu une réponse) ; ainsi que, pour chaque soumission, le temps de remplissage, le nombre de questions, le nombre de réponses, la taille totale stockée de la soumission (les réponses chiffrées et les éventuelles pièces jointes chiffrées) et la langue d'affichage utilisée. La catégorie d'appareil est déduite côté serveur au moment de l'envoi à partir de l'agent utilisateur ; l'agent utilisateur lui-même n'est pas conservé. Sur les formulaires pour lesquels le titulaire active les compteurs étendus — un réglage par formulaire, désactivé par défaut —, nous conservons en outre, par lien personnalisé, le nombre de fois où ce lien a été ouvert et le moment de sa dernière ouverture ; ces valeurs ne contiennent ni enregistrement par visite, ni adresse IP, ni agent utilisateur, ni réponse, sont présentées au titulaire à côté du nombre de réponses parvenues par ce lien et sont supprimées avec le lien ou le formulaire. Les compteurs agrégés ne sont jamais croisés entre eux, ni avec les questions, ni avec des soumissions individuelles. Ils sont supprimés en même temps que le formulaire. Cet identifiant est conservé dans la sessionStorage de votre navigateur uniquement pendant la durée de votre visite et supprimé à la fermeture de l'onglet ; nous ne vous reconnaissons pas d'une visite à l'autre. Lorsque vous vous connectez, l'utilisation enregistrée au cours de la même visite est associée à votre compte.

3.5 Données techniques

Lorsque vous utilisez la plateforme, nous pouvons collecter des données techniques nécessaires à la fourniture du service, y compris les jetons de session (stockés en tant que cookies HTTP-only), les jetons CSRF, les préférences linguistiques et les journaux d'erreurs. Les journaux d'erreurs sont assainis pour exclure toute information sensible ou personnellement identifiable. Pour protéger les comptes et les formulaires contre les abus, nous tenons en outre des compteurs anti-abus de courte durée, parfois avec votre adresse IP ; chaque compteur dure au plus un jour et est supprimé automatiquement lors du prochain nettoyage suivant son expiration.

3.6 Traduction automatique et langue de soumission

Si vous, en tant que propriétaire d'un formulaire, activez la traduction automatique, le contenu que vous avez rédigé — textes des questions, options et libellés — est transmis à Infomaniak AI Services et traité entièrement en Suisse afin de générer des versions traduites. Aucune donnée des répondants ni aucun contenu de réponse n'est jamais concerné par ce traitement. Lorsqu'un répondant envoie un formulaire, nous enregistrons également la langue dans laquelle son interface était affichée — une valeur limitée et anonyme — dans le cadre de nos statistiques agrégées et non identifiantes.

4. Comment nous utilisons vos informations

Nous utilisons les informations collectées exclusivement aux fins suivantes :

• Exploiter et maintenir la plateforme Schweizerform
• Authentifier votre identité et gérer votre compte
• Traiter les paiements d'abonnement — par carte ou TWINT via Stripe, ou directement par facture QR suisse, sans prestataire de paiement
• Envoyer des communications liées au service (p. ex. récupération de mot de passe, confirmations d'abonnement, notifications relatives à l'activité de vos propres formulaires)
• Améliorer notre service sur la base de statistiques d'utilisation pseudonymes et de compteurs agrégés
• Diagnostiquer et résoudre les problèmes techniques à l'aide de journaux d'erreurs assainis

Nous ne vendons, ne louons ni ne partageons vos informations personnelles avec des tiers à des fins de marketing. Nous n'utilisons pas vos données pour la publicité ou le profilage.

En tant que titulaire d'un compte, vous pouvez recevoir occasionnellement des e-mails de notre part concernant les nouvelles fonctionnalités, les améliorations et les annonces relatives à la plateforme. Chacun de ces e-mails contient un lien de désabonnement, et le désabonnement prend effet immédiatement. Vous pouvez aussi les désactiver à tout moment dans Paramètres → Compte, ou au moyen de la fonction de désabonnement que votre messagerie affiche le cas échéant pour ces e-mails. Les e-mails relatifs à votre compte et à sa sécurité — codes de connexion, réinitialisations de mot de passe, facturation et les notifications que vous activez pour vos propres formulaires — sont nécessaires à la fourniture du service et sont envoyés tant que votre compte existe.

5. Cookies et stockage local

Schweizerform utilise les mécanismes de stockage côté client suivants :

• Cookie de session : Un cookie de session sécurisé (HttpOnly) vous authentifie. Il dure jusqu'à 30 jours et se renouvelle au fil de votre utilisation ; un minuteur d'inactivité distinct et configurable (24 heures par défaut, réglable jusqu'à 1 heure) déconnecte ce navigateur et efface votre coffre de sa mémoire. Vos autres appareils et sessions ne sont pas affectés.
• Cookie de jeton CSRF : Un cookie contenant un jeton CSRF est utilisé pour prévenir les attaques de falsification de requêtes intersites.
• Stockage local : Si vous choisissez d'enregistrer votre clé du coffre localement, une version chiffrée est stockée dans le localStorage de votre navigateur. La clé de chiffrement est une CryptoKey non extractible stockée dans IndexedDB. Votre clé du coffre en clair n'est jamais stockée.
• Préférence linguistique : La langue sélectionnée est stockée localement pour une expérience utilisateur cohérente.
• Cookie de pays : Un cookie fonctionnel met en cache le pays déterminé pour votre connexion afin de ne pas le revérifier à chaque page. Il sert uniquement à limiter l'inscription à la Suisse — jamais au suivi ni à la publicité.
• Identifiant de session d'analyse : Un identifiant pseudonyme pour nos propres statistiques d'audience est conservé dans la sessionStorage pendant la durée de votre visite et supprimé à la fermeture de l'onglet. Il ne persiste jamais d'une visite à l'autre, n'est transmis à aucun tiers et n'est pas utilisé sur les pages de formulaires publics.
• Aides au choix du plan et au paiement : Lorsque vous choisissez un plan avant d'être connecté, nous gardons ce choix dans le localStorage afin que vous arriviez là où vous vouliez aller après l'inscription. Cette entrée ne contient que le plan, la périodicité et la version des prix — aucune donnée personnelle, aucun montant — et est supprimée dès qu'elle a servi, ou écartée si nos prix ont changé entre-temps.
• Expiration de la clé du coffre : Si vous enregistrez votre clé du coffre localement, la date d'expiration de cette copie est stockée à côté d'elle dans le localStorage, afin que votre navigateur l'efface à temps.
• Préférences sur les formulaires publics : Sur une page de formulaire public, la langue que vous avez choisie et un marqueur indiquant que vous avez déjà envoyé ce formulaire sont stockés dans le localStorage de votre propre navigateur. Ils restent sur votre appareil, ne nous sont jamais transmis et n'identifient personne.

Nous n'utilisons pas de cookies publicitaires, de cookies de suivi ni de cookies d'analyse tiers.

6. Partage de données

Nous ne partageons vos informations que comme décrit ci-dessous, strictement dans la mesure nécessaire à l'exploitation du Service :

• Stripe Payments Europe, Ltd. (Dublin, Irlande) : Pour le traitement des paiements par carte et TWINT et la gestion des abonnements. Stripe traite vos détails de paiement directement — nous ne recevons jamais vos informations complètes de carte. Stripe procède à un transfert intragroupe vers Stripe, LLC (États-Unis), qui est certifiée au titre du Swiss–U.S. Data Privacy Framework ; lorsque ce cadre ne s'applique pas, l'avenant de traitement des données de Stripe se fonde sur les clauses contractuelles types de la Commission européenne. Si vous payez par facture QR suisse, Stripe n'intervient pas du tout dans votre paiement et n'en reçoit aucune donnée.
• Fournisseurs d'infrastructure (hébergement, stockage et courriels transactionnels) : Nos fournisseurs d'hébergement et de stockage sont situés exclusivement en Suisse et y conservent les données chiffrées pour notre compte ; ils n'ont pas accès aux clés de chiffrement et ne peuvent déchiffrer aucune donnée utilisateur. Les courriels transactionnels — codes à usage unique, messages de compte et invitations à un espace de travail — sont remis par le prestataire nommé dans notre contrat de sous-traitance, qui opère dans l'Espace économique européen (Norvège ; traitement en Allemagne et en Finlande). Aucune réponse de formulaire ni pièce jointe n'est jamais envoyée par courriel.
• Infomaniak AI Services (facultatif) : Si vous activez la traduction automatique des formulaires, le contenu textuel de votre formulaire est envoyé aux services d'IA d'Infomaniak — traité exclusivement en Suisse — uniquement pour produire des traductions. Si vous utilisez la création de formulaire par IA, la consigne que vous saisissez est également envoyée aux services d'IA d'Infomaniak en Suisse, uniquement pour ébaucher un formulaire. Dans les deux cas, les réponses des répondants et le contenu des soumissions ne sont jamais envoyés.
• Espaces d'équipe (si vous en créez un ou en rejoignez un) : Les formulaires, soumissions, étiquettes et profils au sein d'un espace sont partagés avec ses autres membres selon leur rôle (propriétaire, administrateur, membre ou lecteur). Ces données restent chiffrées de bout en bout — chaque membre détient la clé de l'espace enveloppée avec ses propres clés — et ne sont jamais partagées en dehors de l'espace. Le propriétaire de l'espace agit comme responsable du traitement de son contenu.
• Bjørnerås Labs (service « EuSend »), n° d'org. 938 162 336, Norvège : Pour l'envoi des courriels transactionnels (codes à usage unique, messages de compte et d'invitation, notifications relatives à l'activité de vos propres formulaires et, si vous payez par facture QR suisse, courriels de facturation — numéro de facture, montant, référence de paiement et lien vers la facture, jamais la facture elle-même ni votre adresse postale). Le prestataire traite l'adresse du destinataire, l'objet et le contenu du message. Le contenu des messages est traité et conservé exclusivement sur une infrastructure située dans l'EEE, en Allemagne et en Finlande ; le prestataire supprime les journaux d'envoi, y compris le contenu rendu des messages, dans un délai de 90 jours. Il ne reçoit jamais de soumissions de formulaire ni de réponses des répondants.

Nous ne vendons ni ne louons vos informations et ne les partageons à aucune fin de marketing, de publicité ou de profilage. En dehors des destinataires énumérés ci-dessus, nous ne communiquons vos informations que si la loi suisse l'exige. Même dans ce cas, notre architecture zero-knowledge signifie que nous ne pouvons fournir que des données chiffrées que nous ne pouvons pas déchiffrer.

7. Conservation des données

Nous conservons vos données de compte et les données de formulaires chiffrées associées aussi longtemps que votre compte reste actif. Si un compte gratuit ne présente aucune activité pendant 12 mois — aucune connexion, aucune utilisation du compte et aucune nouvelle soumission à ses formulaires —, nous pouvons le supprimer avec toutes ses données, après avoir envoyé au moins deux rappels à l'adresse e-mail du compte, le premier au moins 30 jours à l'avance ; une connexion empêche la suppression. Les comptes disposant d'un abonnement payant et les comptes propriétaires d'un espace de travail comptant des membres actifs ne sont pas supprimés pour inactivité. Si vous supprimez votre compte, toutes les données personnelles, données de formulaires, soumissions chiffrées et fichiers associés sont définitivement supprimés de nos systèmes ; la suppression que vous déclenchez vous-même depuis le Service prend effet immédiatement et est irréversible — exportez donc vos données au préalable. Dans les journaux d'audit, l'adresse IP et l'agent utilisateur sont automatiquement effacés après 90 jours, l'entrée d'événement elle-même étant conservée. Les entrées des journaux d'envoi de courriels, y compris le contenu rendu des messages, sont supprimées après 90 jours. Ces deux opérations sont exécutées par un processus automatique récurrent. Une exception s'applique, et elle découle d'une obligation légale et non de votre accord : si nous vous avons émis une facture — ce qui n'arrive que sur le moyen de paiement facture QR suisse —, le droit suisse nous oblige à conserver les factures pendant dix ans (art. 958f CO). Un exemplaire comptable de chaque facture est donc conservé pendant cette durée et n'est pas supprimé lorsque vous supprimez votre compte. Il contient le nom, l'adresse et l'adresse e-mail de facturation figurant sur la facture, le montant, les dates et la référence de paiement, et ne sert à rien d'autre qu'à cette obligation comptable légale. Rien d'autre concernant votre compte ne survit à la suppression.

La base de données est sauvegardée quotidiennement par notre fournisseur d'infrastructure en Suisse, avec une conservation glissante de sept jours ; les données supprimées sont normalement écrasées dans les sauvegardes dans un délai de huit jours, et dans tous les cas dans un délai maximal de 30 jours. Les compteurs journaliers agrégés par formulaire (consultations, soumissions, catégorie d'appareil, canal d'accès) ne contiennent aucune donnée personnelle — il s'agit de simples totaux numériques par formulaire et par jour — et ils sont supprimés en même temps que le formulaire concerné, par suppression en cascade dans la base de données. Les données de mesure de nos pages marketing et de l'espace connecté, y compris l'identifiant de session pseudonyme, sont pseudonymes et non anonymes ; elles sont supprimées automatiquement 13 mois après la dernière activité de la visite concernée. Une visite effectuée pendant une session ouverte sur votre compte est rattachée à celui-ci ; ce rattachement est supprimé lorsque vous supprimez votre compte. Lorsque la copie destinée à la personne qui répond est activée, seul est consigné, auprès de la soumission concernée, le moment auquel la copie a été établie ; cette mention est supprimée avec la soumission. Si le titulaire du compte active pour un formulaire l'enregistrement en vue d'une reprise ultérieure, les réponses partielles enregistrées sont conservées chiffrées comme les soumissions et supprimées automatiquement 30 jours après leur dernier enregistrement.

8. Vos droits

En vertu de la loi fédérale sur la protection des données (nLPD) et des réglementations applicables, vous disposez des droits suivants :

• Droit d'accès : Demander une copie des données personnelles que nous détenons à votre sujet.
• Droit de rectification : Demander la correction de données personnelles inexactes.
• Droit de suppression : Demander la suppression de votre compte et de toutes les données associées.
• Droit à la portabilité des données : Demander vos données dans un format portable. Note : les données de formulaires chiffrées ne peuvent être déchiffrées qu'avec votre clé du coffre.
• Droit d'opposition : Vous opposer au traitement de vos données à des fins spécifiques.
• Droit de réclamation : Adresser une réclamation au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne.

Pour exercer l'un de ces droits, veuillez nous contacter à support@schweizerform.ch.

En cas de violation de la sécurité des données susceptible d'entraîner un risque élevé pour votre personnalité ou vos droits fondamentaux, nous l'annoncerons dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) ; nous vous en informerons lorsque cela est nécessaire à votre protection ou lorsque le PFPDT l'exige, conformément à l'art. 24 nLPD. Lorsque vous utilisez Schweizerform pour collecter des données personnelles au moyen de vos propres formulaires, vous êtes le responsable du traitement de ces données, et il vous incombe d'informer les personnes qui remplissent vos formulaires ; notre contrat de sous-traitance régit la manière dont nous vous accompagnons dans l'exécution de cette obligation.

Une notification au sens de la présente section est effectuée en exécution d'obligations légales et ne constitue ni une reconnaissance de faute ni une reconnaissance de responsabilité.

9. Conformité à la protection des données suisse

Schweizerform est régi par la Loi fédérale sur la protection des données (nLPD), entrée en vigueur le 1er septembre 2023. Toutes les données de formulaire, les soumissions, les fichiers et la base de données sont hébergés exclusivement en Suisse, chez Infomaniak. Hors de Suisse n'ont lieu que le traitement des paiements par carte et TWINT, en Irlande — un paiement par facture QR suisse ne quitte pas la Suisse —, et l'envoi des courriels transactionnels, dans l'EEE (Norvège, Allemagne, Finlande). Ces États figurent à l'annexe 1 de l'ordonnance suisse sur la protection des données comme offrant une protection adéquate ; la communication est donc licite selon l'art. 16 al. 1 nLPD, sans garanties supplémentaires. Notre architecture zero-knowledge dépasse les exigences de protection des données fixées par la loi fédérale suisse, la majorité des données utilisateur étant chiffrées de manière à empêcher même l'opérateur du service d'y accéder.

10. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre pour refléter les changements dans nos pratiques ou les lois applicables. Nous vous informerons de tout changement significatif en publiant la politique mise à jour sur notre site Web et en mettant à jour la date de « Dernière mise à jour ». Votre utilisation continue de la plateforme après les modifications constitue une acceptation de la politique mise à jour.

11. Contact

Si vous avez des questions concernant cette Politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :