Politique de confidentialité

1Responsable du traitement et contact

Le responsable du traitement de vos données personnelles est :

E-mail : contact@vediram.com

Pour toute question relative à la protection des données, y compris pour exercer vos droits, veuillez nous écrire à privacy@vediram.com.

2Champ d’application de la présente politique

La présente politique de confidentialité explique comment Vediram GmbH (« Vediram », « nous ») collecte, utilise, conserve et communique des données personnelles en lien avec :

• notre site web à l’adresse vediram.com (le « Site ») ; et
• nos produits et services logiciels destinés aux entreprises, y compris les applications de bureau, les plateformes cloud et les outils associés (ensemble, le « Service »).

La présente politique ne concerne que les données personnelles de personnes physiques. Selon la loi fédérale révisée sur la protection des données (nLPD), en vigueur depuis le 1^er septembre 2023, les données qui se rapportent exclusivement à des personnes morales ne sont pas des données personnelles et sortent du champ d’application de la présente politique.

Lorsque nous traitons des données personnelles pour le compte de nos clients entreprises en qualité de sous-traitant (par exemple les données personnelles des collaborateurs de nos clients contenues dans le Service), la politique de confidentialité du client concerné régit ce traitement. Nos obligations de sous-traitant sont fixées dans le contrat de sous-traitance conclu avec chaque client.

3Données personnelles que nous collectons

3.1 Formulaire de contact du Site

Lorsque vous utilisez le formulaire de contact de notre Site, nous collectons :

• L’adresse e-mail – pour répondre à votre demande.
• Le nom (s’il est indiqué) – pour vous répondre personnellement.
• Le contenu du message – qui peut contenir d’autres données personnelles que vous choisissez de communiquer.

Nous utilisons ces données uniquement pour répondre à votre demande. Nous n’envoyons ni e-mails publicitaires, ni lettres d’information, ni autres communications non sollicitées à la suite d’un envoi par le formulaire de contact.

3.2 Analyse d’audience du Site

Nous utilisons Pirsch Analytics, un service d’analyse web sans cookies fourni par Emvi Software GmbH (Allemagne), pour comprendre comment les visiteurs utilisent notre Site. Pirsch génère une empreinte non réversible à partir de votre adresse IP, de l’agent utilisateur de votre navigateur, de la date et d’un sel propre au site. Cette empreinte sert d’identifiant temporaire de visiteur, qui ne peut pas être rattaché à vous et expire au bout de 24 heures. Votre adresse IP n’est jamais conservée. Aucun cookie n’est déposé sur votre appareil. Pirsch traite ces données sur des serveurs situés en Allemagne. Cela vaut pour notre site web, notre site d’assistance, notre page d’état et notre console d’administration. Dans la console d’administration, les pages dont l’adresse contient un identifiant d’enregistrement – un appareil, un complément, une politique, un catalogue LLM ou une session d’audit déterminés – sont exclues de l’analyse, de sorte qu’aucun identifiant d’enregistrement d’un client n’est transmis à Pirsch.

Nous collectons : les pages vues, les adresses de provenance, le type de navigateur, le système d’exploitation, le type d’appareil, la résolution d’écran, le pays (déduit de l’adresse IP avant le hachage) et la durée de la session. Aucune de ces données ne vous identifie personnellement.

3.3 Données liées au Service (clients entreprises)

Lorsque des clients entreprises utilisent le Service, nous pouvons traiter les catégories suivantes de données personnelles pour fournir le Service :

• Données de compte utilisateur : nom, adresse e-mail professionnelle, fonction et rôle au sein de l’organisation des utilisateurs autorisés.
• Données d’authentification : jetons d’authentification unique (SSO) et identifiants de session nécessaires pour accéder au Service.
• Données d’utilisation et de télémétrie (« Données de service ») : indicateurs de performance du système, schémas d’utilisation des fonctions, journaux d’erreurs, informations sur l’appareil et le navigateur, et données de session – collectés pour exploiter, maintenir, sécuriser et améliorer le Service. Les Données de service ne comprennent pas les Données du client (telles que définies dans nos conditions d’utilisation).

Nous ne traitons pas de catégories particulières de données personnelles (données sensibles) telles que les données de santé, les données biométriques, l’origine raciale ou ethnique, les opinions politiques ou les convictions religieuses.

4Finalités et bases juridiques

En droit suisse (nLPD)

Le droit suisse de la protection des données repose sur un modèle d’autorisation : le traitement de données personnelles est en principe permis, pour autant qu’il ne porte pas illicitement atteinte à la personnalité de la personne concernée. Nous traitons les données personnelles dans le respect des principes de licéité, de bonne foi, de proportionnalité, de finalité, d’exactitude et de sécurité des données (art. 6 à 8 nLPD).

Lorsqu’un motif justificatif est nécessaire (art. 31 nLPD), nous nous fondons sur :

• Le consentement – lorsque vous avez communiqué vos données volontairement (par exemple par notre formulaire de contact).
• L’intérêt privé prépondérant – pour exploiter et améliorer notre Service et notre Site, garantir la sécurité et remplir nos obligations contractuelles.
• La nécessité contractuelle – pour les traitements requis afin d’exécuter nos obligations contractuelles envers les clients entreprises.

En droit de l’UE (RGPD)

Pour les personnes situées dans l’Espace économique européen (EEE), nous traitons les données personnelles sur les bases juridiques suivantes, en application de l’art. 6, par. 1, RGPD :

Lorsque nous nous fondons sur l’intérêt légitime, nous avons procédé à une pondération des intérêts et conclu que nos intérêts ne prévalent pas sur les droits et libertés des personnes concernées, compte tenu du caractère B2B de la relation, de la sensibilité limitée des données traitées et des attentes raisonnables de professionnels.

5Destinataires et communication des données

Nous pouvons communiquer des données personnelles aux catégories de destinataires suivantes :

• Emvi Software GmbH (Pirsch Analytics), Rheda-Wiedenbrück, Allemagne – sous-traitant pour l’analyse d’audience du Site. Les données sont traitées au sein de l’UE (Allemagne). Un contrat de sous-traitance est en place. Pirsch n’utilise pas de cookies et ne transfère pas de données hors de l’UE.
• Cloudflare, Inc., San Francisco, États-Unis – nous utilisons Cloudflare Turnstile sur notre formulaire de contact pour vérifier que les envois proviennent de personnes. Lorsque vous envoyez le formulaire de contact, Cloudflare traite votre adresse IP et les métadonnées de votre navigateur pour générer une réponse au test. Cloudflare est certifié au titre du EU-US Data Privacy Framework. Un contrat de sous-traitance est en place.
• Microsoft Corporation (Azure) – nous utilisons Microsoft Azure (régions Switzerland North et Switzerland West) pour héberger le Service. Microsoft intervient comme sous-traitant ultérieur en vertu de notre contrat de sous-traitance et du Data Protection Addendum de Microsoft.
• Conseillers professionnels : réviseurs, conseils juridiques et fiduciaires, dans la mesure nécessaire à des fins juridiques, fiscales ou comptables.
• Autorités : autorités de poursuite pénale ou de surveillance, lorsque le droit applicable ou une procédure valable nous y oblige.
• Transferts d’activité : en cas de fusion, d’acquisition ou de vente d’actifs, les données personnelles peuvent être transférées à l’entité acquéreuse, sous réserve de la présente politique de confidentialité.

Nous ne vendons pas de données personnelles. Nous ne les communiquons pas à des tiers pour leurs propres besoins de marketing.

Une liste à jour de nos sous-traitants ultérieurs est disponible sur demande à l’adresse privacy@vediram.com.

6Communication de données à l’étranger

Transferts depuis la Suisse

Le Conseil fédéral reconnaît à tous les États membres de l’UE et de l’EEE un niveau de protection des données adéquat. Les transferts de données personnelles de la Suisse vers l’UE et l’EEE (y compris vers Pirsch Analytics en Allemagne) ne requièrent donc aucune garantie supplémentaire.

Pour les transferts vers les États-Unis, le Conseil fédéral a reconnu le caractère adéquat du Swiss-US Data Privacy Framework (Swiss-US DPF) avec effet au 15 septembre 2024, applicable aux entreprises américaines certifiées dans ce cadre. Notre principal fournisseur d’infrastructure, Microsoft Corporation, est certifié au titre du Swiss-US DPF. Cloudflare, Inc. est également certifié au titre du Swiss-US Data Privacy Framework.

Pour les transferts vers des pays dont le niveau de protection n’est pas reconnu comme adéquat, nous mettons en place des garanties appropriées, notamment les clauses contractuelles types de l’UE (version 2021) telles que le PFPDT les reconnaît, complétées au besoin par des mesures techniques et organisationnelles supplémentaires.

Transferts depuis l’UE et l’EEE

La Suisse bénéficie d’une décision d’adéquation de l’UE au titre de l’art. 45 RGPD, reconfirmée par la Commission européenne le 15 janvier 2024. Les données personnelles peuvent donc circuler librement de l’UE et de l’EEE vers la Suisse, sans mécanisme de transfert supplémentaire.

7Conservation des données

Nous ne conservons les données personnelles que le temps nécessaire pour atteindre les finalités décrites dans la présente politique, sauf si la loi exige ou permet une durée de conservation plus longue.

8Cookies et technologies de suivi

Lorsque vous choisissez un thème de couleurs (automatique, clair ou sombre), le présent Site enregistre ce choix dans un seul cookie, vediram-theme, afin que notre site web, notre site d’assistance et notre console d’administration s’ouvrent dans le thème que vous avez choisi. Le cookie ne contient que ce choix, est déposé sur le domaine vediram.com, vediram.cloud ou vediram.dev que vous visitez, expire au bout d’un an et n’est pas utilisé à des fins de suivi. Un lien entre nos sites sur des domaines différents porte le même choix dans son adresse (theme=), qui est retiré de l’adresse dès l’ouverture de la page. Comme ce cookie se contente de mémoriser un réglage que vous avez fait, aucune bannière de consentement aux cookies n’est requise.

Lorsque vous choisissez une langue (anglais, allemand, français ou italien), le présent Site enregistre ce choix dans un seul cookie, vediram-lang, afin de s’ouvrir dans la langue choisie à votre prochaine visite. Le cookie ne contient que ce choix, est déposé sur le domaine vediram.com, vediram.cloud ou vediram.dev que vous visitez, expire au bout d’un an et n’est pas utilisé à des fins de suivi. Lors de votre première visite, le réglage de langue de votre navigateur est lu dans votre navigateur, sans nous être transmis, pour ouvrir les pages en allemand, en français ou en italien si vous préférez l’une de ces langues. Comme ce cookie se contente de mémoriser un réglage que vous avez fait, aucune bannière de consentement aux cookies n’est requise.

Le présent Site n’utilise aucun cookie ni aucune technologie de suivi similaire en dehors de ces deux-là, vediram-theme et vediram-lang. Notre service d’analyse (Pirsch Analytics) fonctionne entièrement sans cookies.

Si nous introduisons à l’avenir d’autres cookies ou technologies de suivi, nous mettrons à jour la présente politique et mettrons en place des mécanismes de consentement appropriés, conformément au droit applicable.

9Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre l’accès non autorisé, la modification, la divulgation ou la destruction, conformément à l’art. 8 nLPD et à l’art. 32 RGPD. Ces mesures comprennent :

• Le chiffrement des données en transit (TLS 1.2+) et au repos (AES-256).
• Des contrôles d’accès fondés sur le principe du moindre privilège.
• Des évaluations de sécurité et des tests de vulnérabilité réguliers.
• L’hébergement sur l’infrastructure Microsoft Azure, certifiée ISO/IEC 27001, ISO 27017, ISO 27018, SOC 1/2/3 et CSA STAR.
• Des procédures de réaction aux incidents, avec des délais de notification définis.

10Vos droits

Selon la nLPD suisse

Vous disposez des droits suivants concernant vos données personnelles :

• Droit d’accès (art. 25 nLPD) : vous pouvez demander si nous traitons vos données personnelles et en obtenir une copie. Nous répondons dans un délai de 30 jours.
• Droit à la remise ou à la transmission des données (art. 28 nLPD) : vous pouvez demander à recevoir vos données dans un format électronique courant ou à les faire transmettre à un autre responsable du traitement.
• Droit à la rectification et à l’effacement : vous pouvez demander la correction de données inexactes ou la suppression de données qui ne sont plus nécessaires aux finalités indiquées.
• Droit de faire réexaminer une décision individuelle automatisée (art. 21 nLPD) : si nous prenons des décisions fondées exclusivement sur un traitement automatisé qui ont des effets juridiques ou significatifs pour vous, vous pouvez demander un réexamen par une personne.

Selon le RGPD (pour les personnes situées dans l’EEE)

En plus des droits ci-dessus, vous disposez des droits suivants au titre du RGPD :

• Droit de rectification (art. 16 RGPD)
• Droit à l’effacement (« droit à l’oubli ») (art. 17 RGPD)
• Droit à la limitation du traitement (art. 18 RGPD)
• Droit à la portabilité des données (art. 20 RGPD)
• Droit d’opposition à un traitement fondé sur l’intérêt légitime (art. 21 RGPD)
• Droit de retirer son consentement à tout moment, sans remettre en cause la licéité du traitement fondé sur le consentement effectué avant le retrait (art. 7, par. 3, RGPD)

Pour exercer l’un de ces droits, veuillez nous écrire à privacy@vediram.com. Nous répondons dans un délai de 30 jours (nLPD) ou d’un mois (RGPD), qui peut être prolongé de deux mois supplémentaires pour les demandes complexes.

Nous ne facturons pas le traitement de votre demande, sauf si elle est manifestement infondée ou excessive.

11Droit de déposer une plainte

Si vous estimez que le traitement de vos données personnelles enfreint le droit de la protection des données applicable, vous avez le droit de déposer une plainte auprès d’une autorité de surveillance.

Autorité de surveillance suisse :
Préposé fédéral à la protection des données et à la transparence (PFPDT)
Feldeggweg 1
CH-3003 Berne, Suisse
Site web : https://www.edoeb.admin.ch

Autorités de surveillance de l’UE :
Si vous vous trouvez dans l’EEE, vous pouvez déposer une plainte auprès de l’autorité de surveillance de l’État membre de l’UE où se situent votre résidence habituelle ou votre lieu de travail, ou le lieu de la violation alléguée (art. 77 RGPD). Une liste des autorités de surveillance de l’UE est disponible à l’adresse https://edpb.europa.eu.

12Modifications de la présente politique

Nous pouvons modifier la présente politique de confidentialité de temps à autre pour tenir compte de l’évolution de nos pratiques de traitement, des exigences légales ou de nos activités. Les modifications importantes seront portées à votre connaissance par un avis bien visible sur notre Site. La date « Dernière mise à jour » figurant en tête de la présente politique indique quand elle a été révisée pour la dernière fois.

13Droit applicable

La présente politique de confidentialité est régie par la loi fédérale suisse sur la protection des données (nLPD, RS 235.1) et, dans la mesure applicable, par le Règlement général de l’UE sur la protection des données (règlement (UE) 2016/679). En cas de conflit entre les deux régimes, nous appliquons la norme qui offre à la personne concernée le niveau de protection le plus élevé.