Politique de confidentialité

1. Vue d'ensemble et double rôle

SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Suisse (ci-après « nous », « notre », « le fournisseur »), prend au sérieux la protection des données personnelles. La présente déclaration décrit quelles données personnelles nous traitons, à quelles fins, sur quelle base juridique, pendant combien de temps et avec qui nous les partageons.

Dans la relation avec nos clientes et clients (intermédiaires d'assurance, courtiers, pools de courtiers, assureurs), nous agissons dans un double rôle :

• Responsable du traitement (art. 5 let. j nLPD / art. 4 ch. 7 RGPD) : pour le traitement des données de nos utilisatrices et utilisateurs enregistrés (compte utilisateur, connexion, facturation, support, utilisation du site web).
• Sous-traitant (de données) (art. 5 let. k nLPD / art. 4 ch. 8 RGPD) : pour le traitement des données que nos clients introduisent, en tant que responsables, dans la plateforme, notamment les données mandants et polices. Ce traitement n'a lieu que sur instruction du client, sur la base d'un contrat de sous-traitance des données (DPA).

2. Responsable du traitement et contact

SOTHURA SAFE GmbH
Wassergasse 5
4573 Lohn-Ammannsegg, Suisse

Pour les personnes concernées de l'UE/EEE, nous recevons les demandes à l'adresse ci-dessus. Un représentant selon l'art. 27 RGPD sera désigné lorsque les conditions d'application seront dépassées et publié à cet endroit.

3. Champ d'application

La présente déclaration s'applique au traitement de données personnelles en relation avec (i) la visite de notre site web, (ii) l'utilisation de la plateforme SOTHURA SAFE (portails admin et clients, accès mobile, API), (iii) l'initiation et l'exécution de contrats B2B, (iv) la communication via nos canaux e-mail et de prise de rendez-vous.

Pour les données que nos clients introduisent dans la plateforme en leur qualité de responsables, ce sont en premier lieu les politiques de confidentialité respectives du client à l'égard de ses clients finaux qui font foi. Nous traitons ces données uniquement conformément au DPA.

4. Catégories de données personnelles traitées

4.1 Données utilisateurs et de contact

• Nom, prénom, adresse e-mail professionnelle, numéro de téléphone
• Fonction, employeur, unité organisationnelle, rôle, lieu
• Données d'authentification : hachages de mot de passe (Argon2/bcrypt), secrets 2FA, jetons de session
• Consentements, préférences, historique de communication

4.2 Données mandants et de conseil (pour le compte de nos clients)

• Données de base des clients finaux (nom, adresse, date de naissance, contact)
• Numéro AVS, IBAN, données fiscales, situation professionnelle et familiale
• Polices d'assurance, certificats de prévoyance, historique des sinistres, offres
• Procès-verbaux de conseil, profils de risque, analyses de besoins, documentations de conseil (art. 45 LSA)
• Documents téléchargés et leurs contenus extraits

Les données traitées peuvent comprendre des données personnelles particulièrement sensibles au sens de l'art. 5 let. c nLPD ou des catégories particulières selon l'art. 9 RGPD (notamment données de santé pour les indemnités journalières maladie et les assurances vie). Nous ne traitons ces données que sur la base d'un DPA valable et avec les mesures de sécurité décrites à la clause 9.

4.3 Données d'utilisation et techniques

• Adresse IP, User-Agent, informations sur l'appareil et le navigateur
• Journaux d'accès et d'activité (horodatages, actions, endpoints)
• Télémétrie de performance et d'erreurs pour stabiliser la plateforme

4.4 Données de facturation et contractuelles

• Entreprise, adresse, IDE, numéro de TVA, données de paiement
• Factures, historique de rappels et de communication

4.5 Données de traitement IA

• Contenu des documents téléchargés pour analyse
• Historiques de prompts, réponses des modèles, retours d'erreurs pour l'assurance qualité
• Aucune utilisation de données clients identifiables pour l'entraînement de modèles IA

5. Finalités et bases juridiques

6. Traitement IA et décisions individuelles automatisées

La plateforme met en œuvre une intelligence artificielle pour lire des documents, calculer des comparaisons de polices, évaluer des couvertures, soutenir le conseil et permettre des contrôles de conformité.

Aucune décision autonome avec effet juridique. Toutes les sorties IA constituent un soutien à la décision pour les conseillères et conseillers de nos clients. Seul le conseiller prend la décision technique à l'égard du client final et porte la responsabilité réglementaire (art. 3 LCA, art. 45 LSA). Aucune décision individuelle automatisée au sens de l'art. 21 nLPD ou de l'art. 22 RGPD n'a lieu.

Traitement par des services IA. Pour l'analyse de documents et de questions techniques, nous utilisons des modèles de langage exploités exclusivement dans des centres de calcul situés en Suisse et dans l'Union européenne. La base juridique est le traitement sur mandat selon l'art. 9 nLPD. L'entraînement des modèles sur vos données est exclu contractuellement. Pour la lutte contre les abus, le fournisseur peut conserver saisies et réponses pour une durée limitée et, en cas de soupçon, les faire examiner par son propre personnel ; les données restent dans la région choisie et n'alimentent aucun entraînement de modèle. Les sous-traitants IA concrets sont indiqués sur la page Sous-traitants ultérieurs.

7. Catégories de destinataires et sous-traitants ultérieurs

Nous transmettons des données personnelles aux catégories de destinataires suivantes, à chaque fois uniquement dans la mesure nécessaire et sur la base de garanties contractuelles :

• Fournisseurs cloud et d'infrastructure pour l'hébergement, la base de données, le stockage et la gestion des clés. Centres de calcul en Suisse (Zurich) et dans l'Union européenne
• Services IA pour l'analyse de contenus: Suisse et UE, sans entraînement sur les données clients
• Fournisseurs e-mail et transactionnels pour les communications de connexion, de notification et de support
• Prestataires de paiement et de comptabilité pour le paiement par carte, la facturation et le rappel
• Outils de monitoring, logging et support pour assurer l'exploitation
• Partenaires d'intégration, uniquement en cas d'intégration activée par le client (par ex. Microsoft 365 ou services Office et de collaboration comparables)
• Détenteurs du secret professionnel (avocats, fiscalistes, auditeurs, assureurs) et autorités, dans la mesure légalement requise
• Successeurs juridiques en cas de restructuration, fusion, scission ou transaction d'entreprise

Une liste actuelle et versionnée des sous-traitants est tenue sur la page Sécurité et mise à jour avant les changements avec un délai d'annonce.

Aucune transmission à des fins publicitaires à des tiers non liés contractuellement n'a lieu.

8. Transfert de données à l'étranger

L'hébergement principal des données et la base de données clients se trouvent en Suisse. Certains sous-services (notamment traitement IA, e-mail, support, monitoring) sont fournis dans des États UE/EEE ou, dans des cas exceptionnels justifiés, dans des États tiers comme les États-Unis.

Pour les transmissions vers des États sans niveau de protection adéquat, nous assurons la protection par :

• les clauses contractuelles types UE (CCT) dans leur version actuelle, complétées par les précisions suisses reconnues par le PFPDT ;
• des mesures techniques supplémentaires (chiffrement au stockage et en transit, chiffrement au niveau des champs pour les données sensibles, souveraineté propre des clés) ;
• des mesures organisationnelles (contrôles d'accès, journaux d'audit) ;
• des Transfer Impact Assessments là où indiqué.

En cas de demande d'autorités étatiques d'États tiers visant la remise de données, nous examinons chaque ordre quant à sa licéité juridique et informons, dans la mesure légalement admissible, le client concerné.

La prise de rendez-vous sur notre site web renvoie par un lien vers Calendly, un prestataire externe établi aux États-Unis ; les données que vous y saisissez sont soumises à ses propres dispositions en matière de protection des données.

9. Mesures techniques et organisationnelles (TOM)

Le fournisseur met en œuvre, sous la conduite technique du Head of Security & Infrastructure, un dispositif de sécurité multi-niveaux. La base est constituée par la nLPD, le RGPD, les circulaires FINMA pertinentes sur le risque opérationnel ainsi que les standards reconnus. L'infrastructure cloud sous-jacente est exploitée dans des centres de calcul certifiés ISO/IEC 27001 et SOC 2 Type II ; le fournisseur s'oriente sur ces standards ainsi que sur le NIST Cybersecurity Framework.

9.1 Cryptographie

• Chiffrement AES-256 des données au repos (« at rest »)
• Chiffrement TLS 1.2+ des données en transit (« in transit »), HSTS, Perfect Forward Secrecy
• Clés de chiffrement propres avec gestion adossée au matériel ; possibilité de suppression cryptographique par révocation de clé
• Client-Side Field Level Encryption (CSFLE) pour les champs particulièrement sensibles (numéro AVS, IBAN, date de naissance, numéro de police, numéros de sinistre)
• Rotation régulière des clés ; séparation entre gestion des données et gestion des clés

9.2 Sécurité réseau et infrastructure

• Private Networking (isolation réseau, endpoints privés). Aucun endpoint public de base de données
• IP statique Cloud-NAT pour les connexions sortantes, IP allowlisting aux interfaces critiques
• Service Accounts séparés avec Least Privilege pour App, Analytics et Backup
• Web Application Firewall et Rate-Limiting sur l'ingress

9.3 Authentification et autorisation

• Séparation stricte Admin-Auth et Portal-Auth (pas d'interface de session commune)
• Authentification multi-facteurs (MFA) pour tous les collaborateurs du fournisseur
• Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège
• Rotation de session, cookies HTTP-only posés côté serveur (jetons non en Browser Storage)
• Signed URLs avec validité maximale de 15 minutes pour les uploads de fichiers

9.4 Séparation des mandants (Multi-Tenant Isolation)

• Séparation logique stricte des données clients au niveau de la base de données (« Tenant-Scoping »)
• Principe fail-closed : en l'absence de contexte tenant, aucune donnée n'est renvoyée
• Les accès cross-tenant sont systématiquement empêchés par des tests d'intégration et E2E

9.5 Catalogue obligatoire de Security-Gates (SG-001 à SG-009)

Chaque modification produit est vérifiée avant mise en service contre le catalogue de gates suivant ; la preuve est documentée de manière résistante à l'audit :

9.6 Audit, logging et monitoring

• Journaux d'audit immuables et résistants à l'audit avec conservation jusqu'à 10 ans
• Journaux d'accès, d'admin et de prompts IA avec horodatage et identité de l'acteur
• Monitoring 24/7 et alertes basées sur l'anomalie

9.7 Sauvegarde, restauration, résilience

• Continuous Backups avec Point-in-Time Recovery dans des centres de calcul suisses
• Buckets de stockage versionnés (« résistants aux ransomwares »)
• Procédures de reprise et de Disaster Recovery documentées

9.8 Procédure de développement et de déploiement sécurisée

• Obligation de revue de code et de quatre yeux pour les modifications pertinentes en production
• Monitoring des dépendances, scans automatisés de vulnérabilités, gestion des correctifs
• Gestion des secrets via Cloud Keyvault, aucun secret dans le code source
• Environnements séparés Dev/Staging/Prod avec ingress prod filtré par IP

9.9 Mesures organisationnelles

• Contrats de sous-traitance des données (DPA) avec tous les sous-traitants
• Analyse d'impact relative à la protection des données (AIPD) pour les traitements à haut risque
• Registre des activités de traitement selon l'art. 12 nLPD / art. 30 RGPD
• Obligation de confidentialité et formation annuelle de tous les collaborateurs
• Background Checks pour les personnes ayant un accès productif aux données
• Procédure écrite d'Incident Response, annonce aussi rapide que possible (art. 24 nLPD) ; en cas de référence UE en outre dans les 72 heures (art. 33 RGPD)

Pour plus de détails et le changelog, voir la page Sécurité sous /fr-ch/sicherheit.

10. Conservation et suppression

À l'expiration du délai de conservation, les données sont supprimées ou anonymisées de manière fiable. Si des obligations légales ou contractuelles s'opposent à une suppression, le traitement ultérieur est verrouillé.

11. Droits des personnes concernées

Vous disposez notamment des droits suivants :

• Droit d'accès (art. 25 nLPD / art. 15 RGPD): Nous vous informons dans un délai de 30 jours sur les données que nous traitons à votre sujet.
• Rectification de données inexactes (art. 32 al. 1 nLPD / art. 16 RGPD).
• Suppression de données plus nécessaires ou traitées illicitement (art. 32 al. 2 let. c nLPD / art. 17 RGPD).
• Limitation du traitement en cas de litige sur l'exactitude ou la licéité (art. 18 RGPD).
• Portabilité des données, remise dans un format courant lisible par machine (art. 28 nLPD / art. 20 RGPD).
• Opposition aux traitements fondés sur un intérêt prépondérant et révocation à tout moment des consentements donnés avec effet pour l'avenir.
• Réclamation auprès de l'autorité de surveillance compétente (clause 13).

Pour exercer vos droits, vous pouvez nous joindre à datenschutz [at] sothura [dot] com. Pour empêcher l'usurpation d'identité, nous nous réservons d'exiger une preuve d'identité appropriée avant de fournir l'information.

Si votre demande concerne des données mandants qu'un client a introduites dans la plateforme en tant que responsable, nous transmettons votre demande au client compétent ou vous prions de vous adresser directement à lui.

12. Cookies et tracking

12.1 Cookies techniquement nécessaires

Nous utilisons des cookies de session techniquement nécessaires pour l'authentification, la sécurité (protection CSRF) et le load balancing. Ces cookies ne requièrent pas de consentement (art. 45c LTC/analogue, art. 25 al. 2 TTDSG pour DE).

12.2 Aucun cookie soumis à consentement

Nous renonçons sciemment aux trackers marketing, aux cookies publicitaires et à la mesure d'audience. Nous n'utilisons donc aucun service soumis à consentement et ne recueillons aucun consentement pour les cookies — vous ne voyez par conséquent pas de bannière de cookies. La seule exception à cette retenue est Cloudflare Turnstile, que nous utilisons comme protection anti-bot techniquement nécessaire dans nos formulaires publics (détails voir clause 12.3). Il repose sur notre intérêt prépondérant à la sécurité et à la fonctionnalité de nos services (art. 31 al. 1 let. d nLPD, art. 6 al. 1 let. f RGPD), et non sur votre consentement. Si nous introduisons à l'avenir des services soumis à consentement, nous vous en informerons au préalable et recueillerons votre consentement.

12.3 Cloudflare Turnstile (protection anti-bot, techniquement nécessaire)

Sur les formulaires publics (par ex. l'inscription à la liste d'attente sur cette page), nous utilisons Cloudflare Turnstile, une protection anti-bot sans captcha de Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA).

13. Autorités de surveillance

Les autorités de surveillance compétentes pour les personnes concernées sont notamment :

• Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne. www.edoeb.admin.ch
• UE/EEE : l'autorité de protection des données de votre État de résidence ou du lieu de la violation alléguée.

14. Incidents de sécurité et obligations d'annonce

Nous exploitons une procédure écrite d'Incident Response. Nous annonçons au PFPDT, sans retard selon l'art. 24 nLPD ou dans les 72 heures selon l'art. 33 RGPD, les violations de la sécurité des données susceptibles d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées et, dans la mesure nécessaire, aux personnes concernées. Nous annonçons les événements pertinents pour les incidents à nos clients en leur qualité de responsables dans les 72 heures.

15. Mineurs

La plateforme s'adresse exclusivement aux utilisatrices et utilisateurs commerciaux ; elle n'est pas adressée aux mineurs. Nous ne traitons pas sciemment de données de personnes de moins de 16 ans à des fins propres.

16. Modifications de la présente déclaration

Nous adaptons la présente politique de confidentialité lorsque la situation juridique, la technologie ou les traitements changent. La version actuelle est consultable sur cette page avec son numéro de version. Nous communiquons les modifications substantielles également par e-mail ou via la plateforme.

17. Module complémentaire Outlook

Pour l'utilisation dans Microsoft Outlook, nous mettons à disposition un module complémentaire Outlook (add-in). Nous traitons à cette occasion les données personnelles suivantes :

• Le module s'exécute au sein de Microsoft Outlook et n'est activé que par une action délibérée de l'utilisatrice ou de l'utilisateur
• Sur ce déclenchement, il traite le contenu de l'e-mail ouvert ainsi que ses pièces jointes afin de les classer dans le dossier client sur la plateforme
• La connexion au module se fait via le compte Microsoft de l'utilisatrice ou de l'utilisateur (Microsoft Entra ID) ; nous recevons à cette occasion les données de compte transmises pour cette connexion
• Le couplage du module au compte du portail compare l'adresse de connexion du compte Microsoft à celle d'un compte du portail ; si l'attribution est univoque, le couplage se fait automatiquement, sinon un code de couplage à usage unique est nécessaire, que l'utilisatrice ou l'utilisateur génère dans le portail et saisit dans le module

Stockage à 100 % en Suisse ; l'analyse par IA s'exécute à Zurich et ne bascule vers un site UE qu'en cas de surcharge — traitement donc exclusivement en Suisse et dans l'UE, les données clients, contractuelles et documentaires ne sont pas transférées vers les États-Unis ou d'autres États tiers.

Les mêmes finalités, bases juridiques et mesures de sécurité que pour le reste de la plateforme (ch. 4–9) s'appliquent aux données traitées via le module.