Politique de confidentialité

1. Vue d'ensemble et double rôle

SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Suisse (ci-après « nous », « notre », « le fournisseur »), prend au sérieux la protection des données personnelles. La présente déclaration décrit quelles données personnelles nous traitons, à quelles fins, sur quelle base juridique, pendant combien de temps et avec qui nous les partageons.

Dans la relation avec nos clientes et clients (intermédiaires d'assurance, courtiers, pools de courtiers, assureurs), nous agissons dans un double rôle :

• Responsable du traitement (art. 5 let. j nLPD / art. 4 ch. 7 RGPD) : pour le traitement des données de nos utilisatrices et utilisateurs enregistrés (compte utilisateur, connexion, facturation, support, utilisation du site web).
• Sous-traitant (de données) (art. 5 let. k nLPD / art. 4 ch. 8 RGPD) : pour le traitement des données que nos clients introduisent, en tant que responsables, dans la plateforme, notamment les données mandants et polices. Ce traitement n'a lieu que sur instruction du client, sur la base d'un contrat de sous-traitance des données (DPA).

2. Responsable du traitement et contact

SOTHURA SAFE GmbH
Wassergasse 5
4573 Lohn-Ammannsegg, Suisse

Pour les personnes concernées de l'UE/EEE, nous recevons les demandes à l'adresse ci-dessus. Un représentant selon l'art. 27 RGPD sera désigné lorsque les conditions d'application seront dépassées et publié à cet endroit.

3. Champ d'application

La présente déclaration s'applique au traitement de données personnelles en relation avec (i) la visite de notre site web, (ii) l'utilisation de la plateforme SOTHURA SAFE (portails admin et clients, accès mobile, API), (iii) l'initiation et l'exécution de contrats B2B, (iv) la communication via nos canaux e-mail et de prise de rendez-vous.

Pour les données que nos clients introduisent dans la plateforme en leur qualité de responsables, ce sont en premier lieu les politiques de confidentialité respectives du client à l'égard de ses clients finaux qui font foi. Nous traitons ces données uniquement conformément au DPA.

4. Catégories de données personnelles traitées

4.1 Données utilisateurs et de contact

• Nom, prénom, adresse e-mail professionnelle, numéro de téléphone
• Fonction, employeur, unité organisationnelle, rôle, lieu
• Données d'authentification : hachages de mot de passe (Argon2/bcrypt), secrets 2FA, jetons de session
• Consentements, préférences, historique de communication

4.2 Données mandants et de conseil (pour le compte de nos clients)

• Données de base des clients finaux (nom, adresse, date de naissance, contact)
• Numéro AVS, IBAN, données fiscales, situation professionnelle et familiale
• Polices d'assurance, certificats de prévoyance, historique des sinistres, offres
• Procès-verbaux de conseil, profils de risque, analyses de besoins, documentations de conseil (art. 45 LSA)
• Documents téléchargés et leurs contenus extraits

Les données traitées peuvent comprendre des données personnelles particulièrement sensibles au sens de l'art. 5 let. c nLPD ou des catégories particulières selon l'art. 9 RGPD (notamment données de santé pour les indemnités journalières maladie et les assurances vie). Nous ne traitons ces données que sur la base d'un DPA valable et avec les mesures de sécurité décrites à la clause 9.

4.3 Données d'utilisation et techniques

• Adresse IP, User-Agent, informations sur l'appareil et le navigateur
• Journaux d'accès et d'activité (horodatages, actions, endpoints)
• Télémétrie de performance et d'erreurs pour stabiliser la plateforme

4.4 Données de facturation et contractuelles

• Entreprise, adresse, IDE, numéro de TVA, données de paiement
• Factures, historique de rappels et de communication

4.5 Données de traitement IA

• Contenu des documents téléchargés pour analyse
• Historiques de prompts, réponses des modèles, retours d'erreurs pour l'assurance qualité
• Aucune utilisation de données clients identifiables pour l'entraînement de modèles IA

5. Finalités et bases juridiques

6. Traitement IA et décisions individuelles automatisées

La plateforme met en œuvre une intelligence artificielle pour lire des documents, calculer des comparaisons de polices, évaluer des couvertures, soutenir le conseil et permettre des contrôles de conformité.

Aucune décision autonome avec effet juridique. Toutes les sorties IA constituent un soutien à la décision pour les conseillères et conseillers de nos clients. Seul le conseiller prend la décision technique à l'égard du client final et porte la responsabilité réglementaire (art. 3 LCA, art. 45 LSA). Aucune décision individuelle automatisée au sens de l'art. 21 nLPD ou de l'art. 22 RGPD n'a lieu.

Traitement par des services IA. Pour l'analyse de documents et de questions techniques, nous utilisons des modèles de langage exploités exclusivement dans des centres de calcul situés en Suisse et dans l'Union européenne. La base juridique est le traitement sur mandat selon l'art. 9 nLPD. Les contenus transmis sont traités de manière volatile en mémoire vive et ne sont pas conservés chez le fournisseur ; l'entraînement des modèles sur vos données ainsi que toute consultation par des personnes du fournisseur sont exclus contractuellement. Les sous-traitants IA concrets sont indiqués sur la page Sous-traitants ultérieurs.

7. Catégories de destinataires et sous-traitants ultérieurs

Nous transmettons des données personnelles aux catégories de destinataires suivantes, à chaque fois uniquement dans la mesure nécessaire et sur la base de garanties contractuelles :

• Fournisseurs cloud et d'infrastructure pour l'hébergement, la base de données, le stockage et la gestion des clés. Centres de calcul en Suisse (Zurich) et dans l'Union européenne
• Services IA pour l'analyse de contenus: Suisse et UE, sans entraînement sur les données clients
• Fournisseurs e-mail et transactionnels pour les communications de connexion, de notification et de support
• Prestataires de paiement et de comptabilité pour le paiement par carte, la facturation et le rappel
• Outils de monitoring, logging et support pour assurer l'exploitation
• Partenaires d'intégration, uniquement en cas d'intégration activée par le client (par ex. Microsoft 365 ou services Office et de collaboration comparables)
• Détenteurs du secret professionnel (avocats, fiscalistes, auditeurs, assureurs) et autorités, dans la mesure légalement requise
• Successeurs juridiques en cas de restructuration, fusion, scission ou transaction d'entreprise

Une liste actuelle et versionnée des sous-traitants est tenue sur la page Sécurité et mise à jour avant les changements avec un délai d'annonce.

Aucune transmission à des fins publicitaires à des tiers non liés contractuellement n'a lieu.

8. Transfert de données à l'étranger

L'hébergement principal des données et la base de données clients se trouvent en Suisse. Certains sous-services (notamment traitement IA, e-mail, support, monitoring) sont fournis dans des États UE/EEE ou. Dans des cas exceptionnels justifiés, dans des États tiers comme les États-Unis.

Pour les transmissions vers des États sans niveau de protection adéquat, nous assurons la protection par :

• les clauses contractuelles types UE (CCT) dans leur version actuelle, complétées par les précisions suisses reconnues par le PFPDT ;
• des mesures techniques supplémentaires (chiffrement au stockage et en transit, chiffrement au niveau des champs pour les données sensibles, souveraineté propre des clés) ;
• des mesures organisationnelles (contrôles d'accès, journaux d'audit) ;
• des Transfer Impact Assessments là où indiqué.

En cas de demande d'autorités étatiques d'États tiers visant la remise de données, nous examinons chaque ordre quant à sa licéité juridique et informons. Dans la mesure légalement admissible, le client concerné.

9. Mesures techniques et organisationnelles (TOM)

Le fournisseur met en œuvre, sous la conduite technique du Head of Security & Infrastructure, un dispositif de sécurité multi-niveaux. La base est constituée par la nLPD, le RGPD, les circulaires FINMA pertinentes sur le risque opérationnel ainsi que les standards reconnus. L'infrastructure cloud sous-jacente est exploitée dans des centres de calcul certifiés ISO/IEC 27001 et SOC 2 Type II ; le fournisseur s'oriente sur ces standards ainsi que sur le NIST Cybersecurity Framework.

9.1 Cryptographie

• Chiffrement AES-256 des données au repos (« at rest »)
• Chiffrement TLS 1.2+ des données en transit (« in transit »), HSTS, Perfect Forward Secrecy
• Clés de chiffrement propres avec gestion adossée au matériel ; possibilité de suppression cryptographique par révocation de clé
• Client-Side Field Level Encryption (CSFLE) pour les champs particulièrement sensibles (numéro AVS, IBAN, date de naissance, numéro de police, numéros de sinistre)
• Rotation régulière des clés ; séparation entre gestion des données et gestion des clés

9.2 Sécurité réseau et infrastructure

• Private Networking (isolation réseau, endpoints privés). Aucun endpoint public de base de données
• IP statique Cloud-NAT pour les connexions sortantes, IP allowlisting aux interfaces critiques
• Service Accounts séparés avec Least Privilege pour App, Analytics et Backup
• Web Application Firewall et Rate-Limiting sur l'ingress

9.3 Authentification et autorisation

• Séparation stricte Admin-Auth et Portal-Auth (pas d'interface de session commune)
• Authentification multi-facteurs (MFA) pour tous les collaborateurs du fournisseur
• Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège
• Rotation de session, cookies HTTP-only posés côté serveur (jetons non en Browser Storage)
• Signed URLs avec validité maximale de 15 minutes pour les uploads de fichiers

9.4 Séparation des mandants (Multi-Tenant Isolation)

• Séparation logique stricte des données clients au niveau de la base de données (« Tenant-Scoping »)
• Principe fail-closed : en l'absence de contexte tenant, aucune donnée n'est renvoyée
• Les accès cross-tenant sont systématiquement empêchés par des tests d'intégration et E2E

9.5 Catalogue obligatoire de Security-Gates (SG-001 à SG-009)

Chaque modification produit est vérifiée avant mise en service contre le catalogue de gates suivant ; la preuve est documentée de manière résistante à l'audit :

9.6 Audit, logging et monitoring

• Journaux d'audit immuables et résistants à l'audit avec conservation jusqu'à 10 ans
• Journaux d'accès, d'admin et de prompts IA avec horodatage et identité de l'acteur
• Monitoring 24/7 et alertes basées sur l'anomalie

9.7 Sauvegarde, restauration, résilience

• Continuous Backups avec Point-in-Time Recovery dans des centres de calcul suisses
• Buckets de stockage versionnés (« résistants aux ransomwares »)
• Procédures de reprise et de Disaster Recovery documentées

9.8 Procédure de développement et de déploiement sécurisée

• Obligation de revue de code et de quatre yeux pour les modifications pertinentes en production
• Monitoring des dépendances, scans automatisés de vulnérabilités, gestion des correctifs
• Gestion des secrets via Cloud Keyvault, aucun secret dans le code source
• Environnements séparés Dev/Staging/Prod avec ingress prod filtré par IP

9.9 Mesures organisationnelles

• Contrats de sous-traitance des données (DPA) avec tous les sous-traitants
• Analyse d'impact relative à la protection des données (AIPD) pour les traitements à haut risque
• Registre des activités de traitement selon l'art. 12 nLPD / art. 30 RGPD
• Obligation de confidentialité et formation annuelle de tous les collaborateurs
• Background Checks pour les personnes ayant un accès productif aux données
• Procédure écrite d'Incident Response, annonce aussi rapide que possible (art. 24 nLPD) ; en cas de référence UE en outre dans les 72 heures (art. 33 RGPD)

Pour plus de détails et le changelog, voir la page Sécurité sous /fr-ch/sicherheit.

10. Conservation et suppression

À l'expiration du délai de conservation, les données sont supprimées ou anonymisées de manière fiable. Si des obligations légales ou contractuelles s'opposent à une suppression, le traitement ultérieur est verrouillé.

11. Droits des personnes concernées

Vous disposez notamment des droits suivants :

• Droit d'accès (art. 25 nLPD / art. 15 RGPD): Nous vous informons dans un délai de 30 jours sur les données que nous traitons à votre sujet.
• Rectification de données inexactes (art. 32 al. 1 nLPD / art. 16 RGPD).
• Suppression de données plus nécessaires ou traitées illicitement (art. 32 al. 2 let. c nLPD / art. 17 RGPD).
• Limitation du traitement en cas de litige sur l'exactitude ou la licéité (art. 18 RGPD).
• Portabilité des données, remise dans un format courant lisible par machine (art. 28 nLPD / art. 20 RGPD).
• Opposition aux traitements fondés sur un intérêt prépondérant et révocation à tout moment des consentements donnés avec effet pour l'avenir.
• Réclamation auprès de l'autorité de surveillance compétente (clause 13).

Pour exercer vos droits, vous pouvez nous joindre à datenschutz [at] sothura [dot] com. Pour empêcher l'usurpation d'identité, nous nous réservons d'exiger une preuve d'identité appropriée avant de fournir l'information.

Si votre demande concerne des données mandants qu'un client a introduites dans la plateforme en tant que responsable, nous transmettons votre demande au client compétent ou vous prions de vous adresser directement à lui.

12. Cookies, tracking et analyse du site web

12.1 Cookies techniquement nécessaires et stockage local

Nous utilisons des cookies de session techniquement nécessaires pour l'authentification, la sécurité (protection CSRF) et le load balancing. Ces cookies ne requièrent pas de consentement (art. 45c LTC/analogue, art. 25 al. 2 TTDSG pour DE). En outre, nous stockons dans le localStorage de votre navigateur votre consentement aux cookies ainsi qu'un identifiant visiteur généré aléatoirement sans lien avec un compte, afin de mémoriser votre choix lors de visites ultérieures.

12.2 Statistiques d'utilisation avec PostHog (soumis à consentement)

Avec votre consentement, nous mettons en œuvre PostHog, un outil d'analyse produit exploité par PostHog Inc. Nous utilisons l'instance Cloud UE (hébergement à Francfort, Allemagne) et collectons exclusivement des pages vues et interactions anonymisées, afin de comprendre l'utilisation de la plateforme et améliorer le produit. Nous n'utilisons pas PostHog à des fins publicitaires, de tracking inter-sites ou de profilage au sens de l'art. 5 let. f nLPD. Les enregistrements de session sont désactivés.

12.3 Vos possibilités de choix

Lors de la première visite, vous voyez une bannière de cookies avec trois options : « Tout accepter », « Seulement les nécessaires » et « Paramètres » (pour une sélection individuelle). Sans votre consentement, PostHog n'est pas chargé. La plateforme continue de fonctionner sans restriction.

Vous pouvez révoquer votre consentement à tout moment. Pour ce faire, supprimez l'entrée sothura-cookie-consent dans les paramètres de votre stockage local du navigateur (DevTools → Application → Local Storage) ou contactez-nous à datenschutz [at] sothura [dot] com. Nous vous aiderons volontiers. Un bouton central de révocation dans le footer est en préparation.

Pour chaque consentement, nous tenons une entrée d'audit anonymisée (ID visiteur, choix, date, IP hachée) afin de remplir notre obligation de preuve selon l'art. 12 nLPD ou l'art. 7 al. 1 RGPD.

12.4 Renonciation à d'autres trackers

Nous renonçons sciemment aux trackers marketing et cookies publicitaires. Une exception est Cloudflare Turnstile, que nous utilisons comme protection anti-bot techniquement nécessaire dans nos formulaires publics (détails voir clause 12.5). Si nous introduisons d'autres services soumis à consentement, nous étendrons la bannière de consentement en conséquence et vous demanderons à nouveau votre consentement.

12.5 Cloudflare Turnstile (protection anti-bot, techniquement nécessaire)

Sur les formulaires publics (par ex. l'inscription à la liste d'attente sur cette page), nous utilisons Cloudflare Turnstile, une protection anti-bot sans captcha de Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA).

13. Autorités de surveillance

Les autorités de surveillance compétentes pour les personnes concernées sont notamment :

• Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne. www.edoeb.admin.ch
• UE/EEE : l'autorité de protection des données de votre État de résidence ou du lieu de la violation alléguée.

14. Incidents de sécurité et obligations d'annonce

Nous exploitons une procédure écrite d'Incident Response. Nous annonçons au PFPDT, sans retard selon l'art. 24 nLPD ou dans les 72 heures selon l'art. 33 RGPD, les violations de la sécurité des données susceptibles d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées et. Dans la mesure nécessaire, aux personnes concernées. Nous annonçons les événements pertinents pour les incidents à nos clients en leur qualité de responsables dans les 72 heures.

15. Mineurs

La plateforme s'adresse exclusivement aux utilisatrices et utilisateurs commerciaux ; elle n'est pas adressée aux mineurs. Nous ne traitons pas sciemment de données de personnes de moins de 16 ans à des fins propres.

16. Modifications de la présente déclaration

Nous adaptons la présente politique de confidentialité lorsque la situation juridique, la technologie ou les traitements changent. La version actuelle est consultable sur cette page avec son numéro de version. Nous communiquons les modifications substantielles également par e-mail ou via la plateforme.