Politique de confidentialité

1. Introduction

Schweizerform (« nous », « notre ») exploite la plateforme Schweizerform — un service de création de formulaires Swiss-Made, chiffré de bout en bout. La présente Politique de confidentialité explique comment nous collectons, utilisons, stockons et protégeons vos informations lorsque vous utilisez notre plateforme.

Nous nous engageons à protéger votre vie privée grâce à notre architecture zero-knowledge. Cela signifie que la majorité des données que vous traitez via Schweizerform sont chiffrées dans votre navigateur avant d'atteindre nos serveurs, et nous sommes techniquement dans l'impossibilité d'y accéder.

2. Architecture Zero-Knowledge

Schweizerform utilise un modèle de chiffrement zero-knowledge de bout en bout. Ce n'est pas simplement une fonctionnalité — c'est le fondement de notre plateforme. Voici ce que cela signifie pour vos données :

• •Réponses aux formulaires : Toutes les données de soumission de formulaire sont chiffrées dans le navigateur du répondant avec le chiffrement AES-256-GCM avant d'être transmises à nos serveurs. Nous ne stockons que des blobs chiffrés que nous ne pouvons pas déchiffrer.
• •Pièces jointes : Les fichiers téléchargés sont chiffrés côté client avant le téléchargement. Les noms de fichiers originaux sont remplacés par des identifiants randomisés sur nos serveurs.
• •Clé du coffre : Votre clé principale est dérivée dans votre navigateur à partir de votre clé du coffre, au moyen de PBKDF2-HMAC-SHA256, avec 600 000 itérations et un sel individuel. Votre clé du coffre n'est à aucun moment transmise aux systèmes de Schweizerform ni stockée sur ceux-ci, et la clé principale n'existe en clair que dans la mémoire de votre navigateur. Nous conservons en outre une copie de la clé principale chiffrée avec votre code de récupération, afin que vous puissiez retrouver l'accès à vos données au moyen de ce code. Le code de récupération lui-même n'est jamais transmis ni stocké — cette copie est donc inutilisable pour Schweizerform.
• •Clés de chiffrement : Les clés privées RSA et les clés AES de niveau formulaire sont chiffrées avec votre clé principale avant le stockage. Nous ne stockons que du matériel de clé chiffré.

3. Informations que nous collectons

3.1 Informations de compte

Lorsque vous créez un compte, nous collectons votre adresse e-mail et votre nom complet. Ces données sont utilisées pour l'authentification du compte, la récupération du mot de passe et les communications liées au service. Nous ne collectons ni votre adresse postale, ni votre numéro de téléphone, ni vos données de paiement lors de l'inscription.

3.2 Métadonnées de formulaire

Nous stockons les métadonnées de formulaire nécessaires au fonctionnement du service, y compris les titres de formulaires, les dates de création, les informations d'état, les paramètres de planification et le nombre de soumissions. Le contenu des réponses de formulaire est toujours chiffré et inaccessible pour nous.

3.3 Abonnement et facturation

Le traitement des paiements est entièrement géré par Stripe Payments Europe, Ltd., Dublin (Irlande) — notre cocontractant pour les paiements. Nous ne recevons ni ne stockons votre numéro de carte de crédit. Nous recevons de Stripe uniquement un identifiant client, le statut d'abonnement, les détails du plan et les informations de cycle de facturation nécessaires à la gestion de votre abonnement. Stripe procède à un transfert intragroupe vers Stripe, LLC (États-Unis), qui est certifiée au titre du Swiss–U.S. Data Privacy Framework ; l'annexe 1 de l'ordonnance sur la protection des données reconnaît aux destinataires certifiés aux États-Unis une protection adéquate. Lorsque ce cadre ne s'applique pas, l'avenant de traitement des données de Stripe se fonde sur les clauses contractuelles types de la Commission européenne.

3.4 Données analytiques

Sur notre propre site (pages marketing et espace connecté), nous mesurons l'utilisation afin d'améliorer le service : pages vues, identifiant de session dérivé d'une empreinte de navigateur sans cookie, type d'appareil et pays. Cet identifiant de session est pseudonyme et non anonyme : il ne contient pas votre nom, mais il permet de regrouper plusieurs consultations. Nous n'utilisons aucun service d'analyse, de publicité ou de suivi de tiers, et ces données sont conservées exclusivement sur notre propre infrastructure suisse. Sur les pages publiques de formulaire, ce dispositif ne s'applique pas : aucune session d'analyse n'y est ouverte, aucune empreinte de navigateur n'y est calculée, aucun pays n'y est évalué et aucun service d'analyse, de publicité ou de suivi de tiers n'y est intégré. Nous y conservons : des compteurs journaliers agrégés par formulaire (nombre de consultations, nombre de soumissions, catégorie d'appareil — ordinateur de bureau, mobile ou tablette — et canal d'accès, lien ou code QR) ; des compteurs agrégés par question (combien de fois une question a été affichée et combien de fois elle a reçu une réponse) ; ainsi que, pour chaque soumission, le temps de remplissage, le nombre de questions, le nombre de réponses, la taille totale stockée de la soumission (les réponses chiffrées et les éventuelles pièces jointes chiffrées) et la langue d'affichage utilisée. La catégorie d'appareil est déduite côté serveur au moment de l'envoi à partir de l'agent utilisateur ; l'agent utilisateur lui-même n'est pas conservé. Les compteurs agrégés ne sont jamais croisés entre eux, ni avec les questions, ni avec des soumissions individuelles. Ils sont supprimés en même temps que le formulaire. Cet identifiant est conservé dans la sessionStorage de votre navigateur uniquement pendant la durée de votre visite et supprimé à la fermeture de l'onglet ; nous ne vous reconnaissons pas d'une visite à l'autre. Lorsque vous vous connectez, l'utilisation enregistrée au cours de la même visite est associée à votre compte.

3.5 Données techniques

Lorsque vous utilisez la plateforme, nous pouvons collecter des données techniques nécessaires à la fourniture du service, y compris les jetons de session (stockés en tant que cookies HTTP-only), les jetons CSRF, les préférences linguistiques et les journaux d'erreurs. Les journaux d'erreurs sont assainis pour exclure toute information sensible ou personnellement identifiable.

3.6 Traduction automatique et langue de soumission

Si vous, en tant que propriétaire d'un formulaire, activez la traduction automatique, le contenu que vous avez rédigé — textes des questions, options et libellés — est transmis à Infomaniak AI Services et traité entièrement en Suisse afin de générer des versions traduites. Aucune donnée des répondants ni aucun contenu de réponse n'est jamais concerné par ce traitement. Lorsqu'un répondant envoie un formulaire, nous enregistrons également la langue dans laquelle son interface était affichée — une valeur limitée et anonyme — dans le cadre de nos statistiques agrégées et non identifiantes.

4. Comment nous utilisons vos informations

Nous utilisons les informations collectées exclusivement aux fins suivantes :

• •Exploiter et maintenir la plateforme Schweizerform
• •Authentifier votre identité et gérer votre compte
• •Traiter les paiements d'abonnement via Stripe
• •Envoyer des communications liées au service (p. ex. récupération de mot de passe, confirmations d'abonnement, notifications relatives à l'activité de vos propres formulaires)
• •Améliorer notre service sur la base de statistiques d'utilisation pseudonymes et de compteurs agrégés
• •Diagnostiquer et résoudre les problèmes techniques à l'aide de journaux d'erreurs assainis

Nous ne vendons, ne louons ni ne partageons vos informations personnelles avec des tiers à des fins de marketing. Nous n'utilisons pas vos données pour la publicité ou le profilage.

En tant que titulaire d'un compte, vous pouvez recevoir occasionnellement des e-mails de notre part concernant les nouvelles fonctionnalités, les améliorations et les annonces relatives à la plateforme. Chacun de ces e-mails contient un lien de désabonnement, et le désabonnement prend effet immédiatement. Les e-mails relatifs à votre compte et à sa sécurité — codes de connexion, réinitialisations de mot de passe, facturation et les notifications que vous activez pour vos propres formulaires — sont nécessaires à la fourniture du service et sont envoyés tant que votre compte existe.

5. Cookies et stockage local

Schweizerform utilise les mécanismes de stockage côté client suivants :

• •Cookie de session : Un cookie de session sécurisé (HttpOnly) vous authentifie. Il dure jusqu'à 30 jours et se renouvelle au fil de votre utilisation ; un minuteur d'inactivité distinct et configurable (2 heures par défaut) déconnecte ce navigateur et efface votre coffre de sa mémoire. Vos autres appareils et sessions ne sont pas affectés.
• •Cookie de jeton CSRF : Un cookie contenant un jeton CSRF est utilisé pour prévenir les attaques de falsification de requêtes intersites.
• •Stockage local : Si vous choisissez d'enregistrer votre clé du coffre localement, une version chiffrée est stockée dans le localStorage de votre navigateur. La clé de chiffrement est une CryptoKey non extractible stockée dans IndexedDB. Votre clé du coffre en clair n'est jamais stockée.
• •Préférence linguistique : La langue sélectionnée est stockée localement pour une expérience utilisateur cohérente.
• •Cookie de pays : Un cookie fonctionnel met en cache le pays déterminé pour votre connexion afin de ne pas le revérifier à chaque page. Il sert uniquement à limiter l'inscription à la Suisse — jamais au suivi ni à la publicité.
• •Identifiant de session d'analyse : Un identifiant pseudonyme pour nos propres statistiques d'audience est conservé dans la sessionStorage pendant la durée de votre visite et supprimé à la fermeture de l'onglet. Il ne persiste jamais d'une visite à l'autre, n'est transmis à aucun tiers et n'est pas utilisé sur les pages de formulaires publics.

Nous n'utilisons pas de cookies publicitaires, de cookies de suivi ni de cookies d'analyse tiers.

6. Partage de données

Nous ne partageons vos informations que comme décrit ci-dessous, strictement dans la mesure nécessaire à l'exploitation du Service :

• •Stripe Payments Europe, Ltd. (Dublin, Irlande) : Pour le traitement des paiements et la gestion des abonnements. Stripe traite vos détails de paiement directement — nous ne recevons jamais vos informations complètes de carte. Stripe procède à un transfert intragroupe vers Stripe, LLC (États-Unis), qui est certifiée au titre du Swiss–U.S. Data Privacy Framework ; lorsque ce cadre ne s'applique pas, l'avenant de traitement des données de Stripe se fonde sur les clauses contractuelles types de la Commission européenne.
• •Fournisseurs d'infrastructure (hébergement, stockage et courriels transactionnels) : Nos fournisseurs d'hébergement et de stockage sont situés exclusivement en Suisse ; ils y conservent les données chiffrées pour notre compte. La présente rubrique couvre l'hébergement, le stockage et l'envoi de courriels transactionnels ; la remise des courriels transactionnels est décrite dans les entrées ci-dessous. Ils n'ont pas accès aux clés de chiffrement et ne peuvent déchiffrer aucune donnée utilisateur.
• •Infomaniak AI Services (facultatif) : Si vous activez la traduction automatique des formulaires, le contenu textuel de votre formulaire est envoyé aux services d'IA d'Infomaniak — traité exclusivement en Suisse — uniquement pour produire des traductions. Si vous utilisez la création de formulaire par IA, la consigne que vous saisissez est également envoyée aux services d'IA d'Infomaniak en Suisse, uniquement pour ébaucher un formulaire. Dans les deux cas, les réponses des répondants et le contenu des soumissions ne sont jamais envoyés.
• •Espaces d'équipe (si vous en créez un ou en rejoignez un) : Les formulaires, soumissions, étiquettes et profils au sein d'un espace sont partagés avec ses autres membres selon leur rôle (propriétaire, administrateur, membre ou lecteur). Ces données restent chiffrées de bout en bout — chaque membre détient la clé de l'espace enveloppée avec ses propres clés — et ne sont jamais partagées en dehors de l'espace. Le propriétaire de l'espace agit comme responsable du traitement de son contenu.
• •Bjørnerås Labs (service « EuSend »), n° d'org. 938 162 336, Norvège : Pour l'envoi des courriels transactionnels (codes à usage unique, messages de compte et d'invitation, et notifications relatives à l'activité de vos propres formulaires). Le prestataire traite l'adresse du destinataire, l'objet et le contenu du message. Le contenu des messages est traité et conservé exclusivement sur une infrastructure située dans l'EEE, en Allemagne et en Finlande ; le prestataire supprime les journaux d'envoi, y compris le contenu rendu des messages, après 30 jours. Il ne reçoit jamais de soumissions de formulaire ni de réponses des répondants.

Nous ne vendons ni ne louons vos informations et ne les partageons à aucune fin de marketing, de publicité ou de profilage. En dehors des destinataires énumérés ci-dessus, nous ne communiquons vos informations que si la loi suisse l'exige. Même dans ce cas, notre architecture zero-knowledge signifie que nous ne pouvons fournir que des données chiffrées que nous ne pouvons pas déchiffrer.

7. Conservation des données

Nous conservons vos données de compte et les données de formulaires chiffrées associées aussi longtemps que votre compte reste actif. Si vous supprimez votre compte, toutes les données personnelles, données de formulaires, soumissions chiffrées et fichiers associés sont définitivement supprimés de nos systèmes ; la suppression que vous déclenchez vous-même depuis le Service prend effet immédiatement et est irréversible — exportez donc vos données au préalable. Dans les journaux d'audit, l'adresse IP et l'agent utilisateur sont automatiquement effacés après 90 jours, l'entrée d'événement elle-même étant conservée. Les entrées des journaux d'envoi de courriels, y compris le contenu rendu des messages, sont supprimées après 90 jours. Ces deux opérations sont exécutées par un processus automatique récurrent.

La base de données est sauvegardée quotidiennement par notre fournisseur d'infrastructure en Suisse, avec une conservation glissante de sept jours ; les données supprimées sont normalement écrasées dans les sauvegardes dans un délai de huit jours, et dans tous les cas dans un délai maximal de 30 jours. Les compteurs journaliers agrégés par formulaire (consultations, soumissions, catégorie d'appareil, canal d'accès) ne contiennent aucune donnée personnelle — il s'agit de simples totaux numériques par formulaire et par jour — et ils sont supprimés en même temps que le formulaire concerné, par suppression en cascade dans la base de données. Les données de mesure de nos pages marketing et de l'espace connecté, y compris l'identifiant de session pseudonyme, sont pseudonymes et non anonymes ; nous ne les conservons qu'aussi longtemps qu'elles sont nécessaires à l'évaluation statistique.

8. Vos droits

En vertu de la loi fédérale sur la protection des données (nLPD) et des réglementations applicables, vous disposez des droits suivants :

• •Droit d'accès : Demander une copie des données personnelles que nous détenons à votre sujet.
• •Droit de rectification : Demander la correction de données personnelles inexactes.
• •Droit de suppression : Demander la suppression de votre compte et de toutes les données associées.
• •Droit à la portabilité des données : Demander vos données dans un format portable. Note : les données de formulaires chiffrées ne peuvent être déchiffrées qu'avec votre clé du coffre.
• •Droit d'opposition : Vous opposer au traitement de vos données à des fins spécifiques.
• •Droit de réclamation : Adresser une réclamation au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne.

Pour exercer l'un de ces droits, veuillez nous contacter à support@schweizerform.ch.

En cas de violation de la sécurité des données susceptible d'entraîner un risque élevé pour votre personnalité ou vos droits fondamentaux, nous l'annoncerons dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) ; nous vous en informerons lorsque cela est nécessaire à votre protection ou lorsque le PFPDT l'exige, conformément à l'art. 24 nLPD. Lorsque vous utilisez Schweizerform pour collecter des données personnelles au moyen de vos propres formulaires, vous êtes le responsable du traitement de ces données, et il vous incombe d'informer les personnes qui remplissent vos formulaires ; notre contrat de sous-traitance régit la manière dont nous vous accompagnons dans l'exécution de cette obligation.

Une notification au sens de la présente section est effectuée en exécution d'obligations légales et ne constitue ni une reconnaissance de faute ni une reconnaissance de responsabilité.

9. Conformité à la protection des données suisse

Schweizerform est régi par la Loi fédérale sur la protection des données (nLPD), entrée en vigueur le 1er septembre 2023. Toutes les données de formulaire, les soumissions, les fichiers et la base de données sont hébergés exclusivement en Suisse, chez Infomaniak. Hors de Suisse n'ont lieu que le traitement des paiements, en Irlande, et l'envoi des courriels transactionnels, dans l'EEE (Norvège, Allemagne, Finlande). Ces États figurent à l'annexe 1 de l'ordonnance suisse sur la protection des données comme offrant une protection adéquate ; la communication est donc licite selon l'art. 16 al. 1 nLPD, sans garanties supplémentaires. Notre architecture zero-knowledge dépasse les exigences de protection des données fixées par la loi fédérale suisse, la majorité des données utilisateur étant chiffrées de manière à empêcher même l'opérateur du service d'y accéder.

10. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre pour refléter les changements dans nos pratiques ou les lois applicables. Nous vous informerons de tout changement significatif en publiant la politique mise à jour sur notre site Web et en mettant à jour la date de « Dernière mise à jour ». Votre utilisation continue de la plateforme après les modifications constitue une acceptation de la politique mise à jour.

11. Contact

Si vous avez des questions concernant cette Politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :