Politique de protection des données

Qui est responsable de vos données

La loi impose de dire clairement qui décide du traitement. Chez nous, la réponse tient en une ligne et il n'y a pas d'intermédiaire.

Le responsable du traitement

LYVIA SNC, Kleinschönberg 10, 1700 Fribourg, Suisse, IDE CHE-433.051.153, est responsable du traitement des données personnelles décrit dans la présente politique, au sens de la loi fédérale sur la protection des données et, lorsqu'il s'applique, du règlement général sur la protection des données de l'Union européenne. Toute question relative à cette politique peut être adressée à office@lyvia.swiss.

Nous n'avons pas désigné de conseiller à la protection des données

La désignation d'un conseiller à la protection des données prévue à l'art. 10 LPD est facultative pour une entreprise privée. Nous n'en avons pas nommé. Les demandes sont traitées directement par la direction de LYVIA, à l'adresse indiquée ci-dessus.

Le registre des activités de traitement

L'art. 12 al. 5 LPD, précisé par l'art. 24 de l'ordonnance sur la protection des données, dispense les entreprises privées de moins de deux cent cinquante collaborateurs de tenir un registre des activités de traitement, pour autant que leurs traitements ne présentent pas de risque élevé. Nous remplissons ces conditions à ce jour. Cette dispense ne nous dispense pas de savoir ce que nous traitons, et la présente page décrit l'ensemble des traitements que nous opérons pour notre propre compte.

Les données que nous traitons, canal par canal

Plutôt qu'une liste générale, nous décrivons chaque situation dans laquelle une donnée vous concernant peut arriver chez nous, avec la finalité qui la justifie.

La simple consultation du site

Lorsque vous ouvrez une page de lyvia.swiss, notre hébergeur enregistre techniquement votre adresse IP, la date et l'heure de la requête, la page demandée, le code de réponse du serveur, le volume transféré ainsi que le type de navigateur et de système d'exploitation. Ces journaux servent exclusivement à assurer le fonctionnement du site, à diagnostiquer une panne et à détecter une tentative d'abus. Nous ne les exploitons ni pour établir des statistiques de fréquentation, ni pour vous identifier, ni pour vous adresser un message.

Le formulaire de contact

Le formulaire nous transmet votre nom, votre adresse électronique, le nom de votre entreprise, votre numéro de téléphone si vous choisissez de l'indiquer, la taille de votre équipe, les outils que vous utilisez et la description de votre situation. Ces informations nous permettent de comprendre votre demande, de vous répondre et de préparer un éventuel diagnostic. Le champ de description est libre, et nous vous recommandons de ne pas y faire figurer de données sensibles ni d'informations couvertes par un secret professionnel.

Les échanges par courriel et par téléphone

Lorsque vous nous écrivez ou que vous nous appelez, nous conservons le contenu de l'échange, vos coordonnées et les notes que nous prenons, afin d'assurer le suivi de la relation et de disposer d'une trace de ce qui a été convenu. Nous n'enregistrons pas les conversations téléphoniques.

La relation contractuelle

Si une collaboration se noue, nous traitons les données nécessaires à son exécution et à sa facturation, notamment l'identité et les coordonnées des interlocuteurs, les informations relatives aux prestations, les données de facturation et de paiement, ainsi que les échanges liés au mandat. Ces traitements sont indispensables à l'exécution du contrat et à la tenue de notre comptabilité.

La recherche d'entreprise

Notre site propose un outil qui interroge l'index central des raisons de commerce Zefix. La requête part de notre serveur et non de votre navigateur, ce qui signifie que votre adresse IP n'est pas communiquée à l'exploitant du registre. Nous transmettons uniquement le terme recherché. Les résultats affichés proviennent d'un registre public et nous ne les conservons pas au delà de la durée de l'affichage, hormis dans les journaux techniques mentionnés plus haut.

Les candidatures spontanées

Si vous nous adressez un dossier de candidature, nous traitons les données qu'il contient aux seules fins d'évaluer votre profil. Nous conservons le dossier six mois après la clôture du processus, puis nous le supprimons, sauf si vous nous autorisez expressément à le garder plus longtemps.

Sur quelle base juridique nous nous appuyons

Le droit suisse et le droit européen n'abordent pas cette question de la même manière. Nous exposons les deux, parce que notre site est consultable depuis l'Union européenne.

Sous le droit suisse

La loi fédérale sur la protection des données n'exige pas de base légale préalable pour qu'une personne privée traite des données personnelles. Elle impose en revanche le respect des principes de l'art. 6 LPD, à savoir la licéité, la bonne foi, la proportionnalité, la reconnaissabilité, la finalité déterminée et l'exactitude des données. Nos traitements se rattachent à l'exécution ou à la préparation d'un contrat, ainsi qu'à nos intérêts prépondérants à faire fonctionner notre site et à sécuriser notre infrastructure, au sens des art. 30 et 31 LPD.

Sous le règlement européen

Pour un visiteur situé dans l'Union européenne, le traitement des données du formulaire et des échanges préalables repose sur l'art. 6 par. 1 let. b RGPD, qui couvre les mesures précontractuelles prises à la demande de la personne, puis sur cette même disposition pour l'exécution du contrat. Les journaux techniques du serveur reposent sur l'intérêt légitime au sens de l'art. 6 par. 1 let. f RGPD, qui consiste à assurer la disponibilité et la sécurité du site. La conservation des documents comptables repose sur l'obligation légale au sens de l'art. 6 par. 1 let. c RGPD combiné au droit suisse.

Le consentement

Nous ne sollicitons aujourd'hui aucun consentement, parce qu'aucun de nos traitements n'en dépend. Si nous activons un jour un service qui l'exige, notamment une mesure d'audience ou un envoi d'informations commerciales, nous le demanderons de manière explicite, séparée et révocable, et nous mettrons cette page à jour avant l'activation.

Qui d'autre voit vos données

Nous ne vendons aucune donnée, nous n'en louons aucune et nous ne pratiquons aucun échange à des fins publicitaires. Certaines données transitent toutefois par des prestataires que nous nommons ici.

Infomaniak Network SA

L'hébergement du site et de notre messagerie est assuré par Infomaniak Network SA, à Genève. Cette société agit comme sous-traitante et traite les données sur des infrastructures situées en Suisse. Elle a accès aux journaux techniques du serveur et aux courriels qui transitent par ses systèmes, dans la stricte mesure de l'exploitation du service.

Les polices de caractères

Les polices de caractères sont servies depuis notre propre serveur, en Suisse, comme le reste du site. Votre navigateur n'établit aucune connexion vers Google ni vers un autre fournisseur pour les télécharger, et aucune donnée vous concernant n'est transmise à ce titre.

L'exploitant du registre Zefix

Les recherches d'entreprise effectuées sur notre site partent de notre serveur. Le terme de recherche est transmis à l'infrastructure qui exploite l'index central des raisons de commerce, sans votre adresse IP ni aucune donnée vous identifiant.

Les autres destinataires

Nous pouvons communiquer des données à notre fiduciaire et à nos conseils professionnels, tenus au secret, dans la mesure nécessaire à la tenue de notre comptabilité et à la défense de nos droits, ainsi qu'aux autorités lorsque la loi ou une décision nous y oblige. Aucune autre communication n'a lieu sans votre accord.

Un point que nous voulons dire honnêtement

Nous n'avons pas encore remplacé le chargement des polices Google par un hébergement local, ce qui serait la solution la plus protectrice. Nous l'avons identifié et nous prévoyons de le faire. Tant que ce n'est pas fait, nous l'écrivons ici plutôt que de le passer sous silence.

Les transferts hors de Suisse

La communication de données personnelles à l'étranger obéit à des règles précises, et nous devons vous dire où vos données peuvent aller.

Le principe applicable

Selon l'art. 16 LPD, des données personnelles ne peuvent être communiquées à l'étranger que si l'État concerné assure une protection adéquate, reconnue par le Conseil fédéral, ou si l'une des garanties prévues par la loi est mise en place. L'art. 17 LPD prévoit en outre des dérogations, notamment lorsque la communication est indispensable à l'exécution d'un contrat.

Ce qui vous concerne concrètement

L'hébergement du site et de notre messagerie a lieu en Suisse. Le seul transfert structurel hors de Suisse résulte du chargement des polices de caractères depuis les serveurs de Google, qui met en relation votre navigateur avec une infrastructure établie en Irlande et susceptible de faire intervenir des serveurs aux États Unis. La Commission européenne et le Conseil fédéral ont reconnu une protection adéquate pour les États Unis dans le cadre du cadre de protection des données applicable aux entreprises certifiées, et Google recourt en outre aux clauses contractuelles types.

Lorsqu'un mandat implique d'autres pays

Si l'exécution d'un mandat nécessite de recourir à un logiciel ou à un prestataire établi hors de Suisse, nous en informons le client avant la mise en oeuvre, avec le pays concerné et le fondement du transfert. La décision d'accepter cette configuration lui appartient.

Combien de temps nous conservons vos données

Nous supprimons ce dont nous n'avons plus besoin. Voici les durées que nous appliquons.

Les journaux techniques du serveur

Ils sont conservés par notre hébergeur pendant une durée courte, de l'ordre de quelques semaines, puis effacés automatiquement. Ils ne sont consultés qu'en cas d'incident ou de suspicion d'abus.

Les demandes restées sans suite

Les messages reçus par le formulaire ou par courriel qui ne débouchent sur aucune collaboration sont conservés vingt-quatre mois, afin de pouvoir retrouver le fil d'une discussion reprise plus tard, puis supprimés.

Les dossiers clients

Les données liées à une relation contractuelle sont conservées pendant la durée du mandat, puis dix ans après sa fin. Cette durée correspond au délai de prescription ordinaire de l'art. 127 CO et à l'obligation de conserver les livres et les pièces comptables prévue par le droit suisse.

Les données que nous traitons pour un client

Lorsque nous accédons à des données personnelles se trouvant dans les systèmes d'un client, nous ne les conservons pas au delà de ce qu'exige la prestation. À la fin du mandat, ces données sont restituées ou détruites selon les instructions écrites du client.

Comment nous protégeons ces données

L'art. 8 LPD impose des mesures techniques et organisationnelles appropriées au risque. Nous décrivons ce que nous faisons, sans prétendre à une sécurité absolue que personne ne peut promettre.

Les mesures en place

Le site est servi exclusivement en connexion chiffrée. L'accès à nos comptes professionnels est protégé par une authentification à deux facteurs et par des mots de passe uniques conservés dans un gestionnaire dédié. Les accès aux systèmes de nos clients sont limités à ce qui est nécessaire, nominatifs lorsque c'est possible et révoqués à la fin d'un mandat. Nos postes de travail sont chiffrés et tenus à jour.

En cas de violation de la sécurité

Si une violation de la sécurité des données entraîne un risque élevé pour les personnes concernées, nous l'annonçons au Préposé fédéral à la protection des données et à la transparence dans les meilleurs délais, conformément à l'art. 24 LPD, et nous informons les personnes concernées lorsque la loi l'exige ou lorsque cela leur permet de se protéger. Lorsque le RGPD s'applique, nous respectons les délais et les modalités qu'il prévoit.

Ce que nous ne pouvons pas garantir

Aucune transmission par Internet et aucun système informatique ne peut être tenu pour inviolable. Nous mettons en oeuvre des mesures proportionnées et nous les revoyons, sans pouvoir exclure qu'une atteinte survienne malgré elles.

Vos droits et la manière de les exercer

La loi vous donne des droits concrets sur les données qui vous concernent. Nous y répondons sans exiger de motif et sans facturer quoi que ce soit dans les cas ordinaires.

Le droit d'accès

L'art. 25 LPD vous permet de demander si nous traitons des données vous concernant et, dans l'affirmative, d'en obtenir la communication ainsi que les informations nécessaires pour faire valoir vos droits. Nous répondons en principe dans les trente jours. Ce droit est gratuit, sauf dans les cas exceptionnels prévus par l'ordonnance.

La rectification, l'effacement et l'opposition

Vous pouvez exiger que des données inexactes soient corrigées et, aux conditions des art. 30 à 32 LPD, que le traitement cesse, que les données soient effacées ou détruites, ou que leur communication à des tiers soit interdite. Nous donnons suite à ces demandes lorsqu'aucun motif justificatif ni aucune obligation légale de conservation ne s'y oppose, et nous vous expliquons alors précisément lequel.

La remise et la transmission de vos données

L'art. 28 LPD vous permet, aux conditions qu'il fixe, d'obtenir les données que vous nous avez communiquées dans un format électronique courant, ou d'en demander la transmission à un tiers.

Si le règlement européen vous est applicable

Vous disposez alors des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition prévus aux art. 15 à 21 RGPD, ainsi que du droit de retirer un consentement à tout moment sans que cela affecte la licéité du traitement antérieur. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle au sens de l'art. 77 RGPD.

Comment nous saisir

Écrivez à office@lyvia.swiss ou à LYVIA SNC, Kleinschönberg 10, 1700 Fribourg, Suisse, en décrivant votre demande. Nous pouvons vous demander un élément permettant de vérifier votre identité, uniquement lorsque c'est nécessaire pour éviter de communiquer vos données à quelqu'un d'autre, et nous ne conservons pas cet élément au delà de la vérification.

Cookies, mesure d'audience et publicité

Cette section est courte parce que la situation est simple, et nous nous engageons à la mettre à jour avant qu'elle ne change.

Aucun cookie de suivi à ce jour

Le site lyvia.swiss ne dépose aucun cookie de suivi, aucun cookie publicitaire et aucun cookie de mesure d'audience. Il n'utilise ni Google Analytics, ni pixel de réseau social, ni outil de profilage. C'est la raison pour laquelle vous ne rencontrez aucune fenêtre de consentement en arrivant sur le site.

Ce que le site utilise éventuellement

Seuls peuvent être utilisés des mécanismes strictement nécessaires au fonctionnement du site, par exemple pour mémoriser un choix d'affichage ou pour protéger un formulaire contre les envois automatisés. Ces éléments ne servent ni à vous identifier, ni à vous suivre d'un site à l'autre.

Notre engagement si cela devait changer

Si nous décidons un jour d'activer une mesure d'audience ou tout autre traitement soumis à consentement, nous mettrons en place l'information et le mécanisme de consentement requis, et nous actualiserons la présente page avant l'activation et non après.

Le signal de refus de suivi

Comme nous ne pratiquons aucun suivi, le signal de refus émis par certains navigateurs n'a rien à désactiver chez nous. Nous le respecterions si nous devions un jour introduire un tel traitement.

Autorité de contrôle, visiteurs européens et mises à jour

Quelques précisions institutionnelles, y compris une que beaucoup de sites préfèrent taire.

L'autorité suisse

L'autorité de surveillance compétente est le Préposé fédéral à la protection des données et à la transparence, Feldeggweg 1, 3003 Berne. Toute personne qui estime que nous traitons ses données de manière contraire au droit peut le saisir, indépendamment de la démarche qu'elle entreprend auprès de nous.

Les visiteurs de l'Union européenne

Nous sommes établis en Suisse et nous adressons nos prestations à des entreprises suisses. Le règlement européen s'applique néanmoins à un traitement lorsque les conditions de son art. 3 sont réunies, en particulier si nous offrons des biens ou des services à des personnes situées dans l'Union ou si nous suivons leur comportement. Nous ne ciblons pas ce marché, nous ne pratiquons aucun suivi comportemental, et nous n'avons donc pas désigné de représentant dans l'Union.

Pourquoi nous le disons ainsi

Nous préférons décrire notre situation réelle plutôt que d'afficher une conformité que nous ne pourrions pas démontrer. L'art. 27 par. 2 let. a RGPD dispense de désigner un représentant le traitement occasionnel, qui n'implique pas de données sensibles à grande échelle et qui ne présente pas de risque pour les personnes. Nous estimons remplir ces conditions. Si notre activité évoluait vers une offre dirigée vers l'Union, nous procéderions à la désignation requise et nous l'indiquerions ici.

Modifications de la présente politique

Nous adaptons cette page lorsque nos traitements changent. La version en vigueur est celle publiée sur lyvia.swiss, avec sa date et son numéro de version. Un changement substantiel est signalé de manière visible sur le site, et nous vous invitons à consulter cette page avant de nous transmettre des informations si vous ne l'avez pas fait depuis longtemps.