Déclaration de confidentialité

Le responsable du traitement au sens de la présente déclaration est :

CorVpoint STUDIO Sylvain Sébastian Amiet Le Centre 29 1784 Courtepin Suisse

E-mail : info@CorVpoint.ch

La présente déclaration s'applique au site public CorVpoint.ch, aux demandes de contact et de projet, au portail client lorsqu'il est utilisé, ainsi qu'à l'administration commerciale propre de CorVpoint.

CorVpoint est responsable pour les données du site, des intéressés, des clients et de sa propre activité. Si CorVpoint agit dans un projet comme sous-traitant pour des données personnelles du client, cela n'a lieu que sur la base d'un accord distinct, typiquement un contrat de sous-traitance. Cette déclaration de site ne remplace pas un tel contrat.

Le droit suisse de la protection des données s'applique, en particulier la loi fédérale sur la protection des données (LPD, RS 235.1) et l'ordonnance sur la protection des données (OPDo, RS 235.11).

Le règlement général sur la protection des données de l'UE peut s'appliquer en plus lorsque CorVpoint offre des prestations à des personnes dans l'EEE ou observe leur comportement sur le site (art. 3 RGPD). Le site est disponible en allemand, français, italien et anglais et accepte des demandes de projet depuis l'étranger. Pour ces cas, la présente déclaration indique aussi les bases et droits RGPD, sans prétendre que chaque loi mondiale de protection des données s'applique automatiquement.

Sont notamment traités :

• données de base et de contact, telles que nom, entreprise, adresse, e-mail, numéro de téléphone, dans la mesure où elles sont communiquées
• données de communication et de projet issues de formulaires, briefings, pièces jointes, e-mails et messages de portail
• données de compte pour la connexion, les rôles, la réinitialisation du mot de passe et les sessions
• métadonnées d'offres, de contrats, de factures et de paiements, y compris statut, horodatages, versions de documents, hachages ou instantanés et références du prestataire
• données techniques d'utilisation et de sécurité, telles qu'adresse IP, user-agent, référent, moment, ressource appelée et notes internes de contrôle
• en cas de géolocalisation IP configurée, indications approximatives au niveau pays, région ou ville

Les sources sont vos indications, les journaux techniques du site, les confirmations de paiement du prestataire de paiement ainsi que les saisies administratives internes. CorVpoint n'achète pas de listes d'adresses et n'exploite pas de profilage marketing.

Le site est exploité sur une infrastructure propre dans un environnement de serveur loué. Lors de l'accès, des données de connexion techniquement nécessaires naissent afin de livrer les pages, de détecter les erreurs et de prévenir les abus.

Il n'y a pas de conservation durable de chaque consultation de page comme profil marketing.

Pour la stabilité, la prévention des abus et la traçabilité, les journaux de serveur, d'accès, d'erreurs et d'audit peuvent contenir l'adresse IP, le user-agent, le référent, le moment et des marqueurs de sécurité internes.

Une attribution facultative d'une adresse IP à des données géographiques approximatives n'a lieu que si elle est configurée côté serveur. Les journaux de visiteurs sont conservés selon une politique liée à la capacité. Les entrées bloquées ou particulièrement risquées peuvent être conservées plus longtemps si cela est nécessaire pour la sécurité.

Si vous utilisez le formulaire de contact, le briefing de projet ou un téléversement, CorVpoint traite les indications que vous saisissez, les pièces jointes, la langue, le contexte de page, un contrôle captcha technique ainsi que l'IP de l'expéditeur et des métadonnées de navigateur pour le traitement de la demande et la prévention des abus.

L'envoi est volontaire. Sans certaines indications, une demande ne peut pas être traitée complètement. Veuillez n'envoyer que les données nécessaires à l'objet. Les données particulièrement sensibles ne doivent pas être transmises spontanément.

Pour un compte client sont traités le nom d'utilisateur ou l'e-mail, le hachage du mot de passe, le rôle, le statut d'activation et les données de session. Une réinitialisation de mot de passe stocke des hachages de jetons limités dans le temps, en règle générale une heure.

Le cookie de session est httpOnly, sameSite=lax et vaut sept jours. Les messages du portail et le statut du projet restent liés au compte.

Pour les offres, acceptations numériques, factures, acomptes, étapes et portes de démarrage de projet, sont traités des données contractuelles et de facturation, le statut, les horodatages, des métadonnées IP et de navigateur lors d'une acceptation en ligne, des versions de documents, hachages ou instantanés, des identifiants de prestataire et des notes internes de contrôle.

CorVpoint ne stocke pas de données de carte, TWINT ou bancaires. Les paiements peuvent s'effectuer via Stripe Checkout. Les statuts de paiement ne sont dérivés que de messages de prestataire vérifiés côté serveur, de webhooks, de preuves d'administration ou de contrôles manuels documentés. Les pages de retour après un paiement servent uniquement à l'orientation de l'utilisateur.

Les messages système et de demande sont envoyés par SMTP. Selon la configuration, cela peut être un hôte de messagerie du prestataire de serveur. Le contenu, les destinataires et les journaux techniques d'acheminement du message concerné sont traités pour la communication et la traçabilité.

Les voies d'e-mail ouvertes peuvent présenter des failles de sécurité. Les documents particulièrement confidentiels ne doivent être envoyés que par la voie expressément prévue.

Les outils facultatifs sous Projets, Contrôles gratuits, traitent des données uniquement à leur fin :

• Lors du test de débit Internet, les mesures sont calculées dans le navigateur. Pour les limites de débit, l'adresse IP, le moment et le volume de données peuvent être traités brièvement côté serveur. Aucun résultat de mesure personnel durable n'est créé.
• Lors du contrôle de sécurité de site, l'URL publique saisie est interrogée une fois côté serveur. Le domaine, les résultats individuels et les en-têtes de réponse complets ne sont pas stockés de manière durable et ne sont pas repris dans des profils marketing.

Aucun des deux outils n'exige de compte.

Les articles d'actualité publiés peuvent apparaître dans le plan du site. Un abonnement à une lettre d'information n'est actuellement pas mis en place.

Les icônes de réseaux sociaux du pied de page ne sont liées que si une adresse est définie. Après avoir quitté le site, les règles du service concerné s'appliquent. Aucun plugin social, pixel de suivi ou réseau publicitaire n'est chargé depuis ce site.

Le site public n'exécute actuellement aucun chatbot visiteur ni aucune publication automatique de contenus de pages générés par IA.

Dans les projets, CorVpoint peut utiliser des outils d'IA ou d'automatisation pour l'analyse, la structuration ou l'aide au texte, au code et aux données, lorsque cela est utile et convenu. Les données confidentielles des clients ne sont pas transmises de manière incontrôlée à des modèles externes. Les exigences particulières de secret ou de secteur doivent être communiquées au préalable.

Aucun traceur d'analyse, publicitaire ou social et aucun cookie marketing de tiers n'est actuellement utilisé. Une bannière de consentement n'est donc pas mise en place. La poursuite de la navigation n'est pas traitée comme un consentement.

Les mécanismes de première partie techniquement nécessaires sont :

• corvpoint_session : connexion à l'administration ou au portail client, httpOnly, 7 jours
• corvpoint_preferred_locale : choix de langue, cookie et localStorage, 1 an
• corvpoint_admin_locale : langue de l'administration, 1 an, administration uniquement
• cp_template_preview : cookie de prévisualisation signé pour les modèles, 8 heures, administration uniquement
• captcha de contact : HMAC de courte durée dans le formulaire, 15 minutes

Ces accès servent l'exploitation, la sécurité, la langue ou une prévisualisation d'administration expressément lancée. Si des traceurs non nécessaires sont introduits plus tard, ils ne seront pas chargés avant consentement.

Outre les cookies, le site utilise localStorage pour le choix du thème public (CorVpoint-theme) et, séparément, pour l'apparence de l'administration. sessionStorage peut mémoriser la langue de retour après une déconnexion d'administration.

Des couches de démonstration peuvent utiliser leurs propres clés localStorage ou sessionStorage. Elles ne constituent pas le traitement productif des clients. IndexedDB et Cache Storage ne sont actuellement pas utilisés comme traitement de données pour le site public.

Les données personnelles ne sont pas vendues. Une communication n'a lieu que dans la mesure nécessaire à :

• prestataires d'hébergement et d'infrastructure
• service d'e-mail ou SMTP
• prestataires de paiement, actuellement Stripe Checkout, lorsqu'un paiement est déclenché
• éventuellement un service d'information IP, uniquement s'il est activé côté serveur
• autorités ou tribunaux en cas d'obligation légale

Stripe peut traiter des données en Suisse, dans l'EEE ou dans d'autres États. Les conditions de Stripe s'appliquent en complément. CorVpoint reçoit le statut de paiement et des références de prestataire, pas les données complètes de carte.

L'exploitation et le stockage principal ont lieu dans l'environnement de serveur suisse, dans la mesure où l'infrastructure utilisée le reflète.

Les transferts vers l'EEE peuvent s'appuyer sur une adéquation ou sur des bases contractuelles. Les transferts vers les États-Unis, en particulier en lien avec Stripe, n'ont lieu que si ce service est utilisé et uniquement selon les règles de transfert alors applicables au service. Des clauses contractuelles types ou un addendum suisse ne sont mentionnés ici que s'ils sont effectivement utilisés pour le service concret. Aucune affirmation générale n'est faite sur tous les outils futurs possibles.

Des logiques distinctes s'appliquent :

• conservation légale pour les livres de commerce, contrats et factures selon le droit suisse des obligations et fiscal, typiquement dix ans lorsque cela s'applique
• demandes, briefings et téléversements : aussi longtemps que nécessaire pour le traitement, l'offre, le contrat ou la preuve ; pas de délai de suppression automatique dans le système en cours, suppression possible via l'administration
• jetons de réinitialisation de mot de passe : une heure
• session : sept jours
• captcha : quinze minutes
• journaux de visiteurs : liés à la capacité, au moins 24 heures sauf pertinence pour la sécurité
• fragments temporaires de téléversement : deux heures

Après la fin de la finalité, les données sont supprimées, anonymisées ou limitées dans le traitement, sauf si une base légale ou probatoire subsiste.

CorVpoint prend des mesures techniques et organisationnelles appropriées, notamment des contrôles d'accès, une protection des sessions, un contrôle côté serveur des formulaires et téléversements, des limites de débit et la journalisation d'événements pertinents pour la sécurité.

Une sécurité absolue de la communication électronique n'est pas garantie.

En cas de violation de la sécurité des données, CorVpoint examine si, selon la LPD, une notification au PFPDT et une information des personnes concernées sont nécessaires, en particulier en cas de risque élevé probable pour la personnalité ou les droits fondamentaux.

Lorsque le RGPD s'applique, ses délais de notification s'appliquent en complément. Aucun résultat n'est promis.

Selon le droit suisse, vous pouvez notamment demander l'accès, la rectification, l'effacement ou la limitation, vous opposer lorsque cela est prévu, et retirer un consentement pour l'avenir.

Lorsque le RGPD s'applique, s'y ajoutent les droits des articles 12 à 22 RGPD, y compris la portabilité des données le cas échéant. Des preuves appropriées peuvent être demandées pour vérifier l'identité. Adressez vos demandes à info@CorVpoint.ch.

Vous pouvez déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), dans la mesure où celui-ci est compétent.

Les personnes dans l'EEE peuvent en outre s'adresser à l'autorité de contrôle de leur lieu de résidence, de travail ou de l'atteinte alléguée. Aucune autorité étrangère concrète n'est désignée ici comme compétente, car cela dépend du cas d'espèce.

CorVpoint ne prend sur ce site aucune décision individuelle automatisée ayant un effet juridique ou un effet similairement significatif. Les portes commerciales et les contrôles de sécurité soutiennent le traitement, mais ne remplacent pas une décision humaine sur un contrat ou un refus.

L'offre ne s'adresse pas aux enfants. Les données personnelles particulièrement sensibles ne doivent pas être envoyées spontanément via des formulaires. Si elles sont néanmoins communiquées, le traitement se limite à ce qui est indispensable pour la demande.

La présente déclaration peut être adaptée lorsque le droit, la technique ou les processus changent. S'applique la version publiée sur le site, avec la version et la date d'effet indiquées.