Protection des données

Partie A : déclaration de protection des données

Cette déclaration se fonde sur la loi fédérale suisse sur la protection des données (LPD) et sur l’ordonnance correspondante (OPDo).

1. Responsable du traitement

HuusFlow Kotsakidis
Steinackerstrasse 2a
8302 Kloten, Suisse

Contact pour les questions de protection des données : contact@huusflow.ch

2. Quelles données nous traitons sur ce site

Données d’accès au serveur : lors de la consultation de ce site, notre serveur enregistre automatiquement des indications techniques (adresse IP, date et heure, page consultée, type de navigateur). Ces données servent à la sécurité et à la stabilité de l’exploitation et ne sont pas recoupées avec d’autres sources de données.

Demandes de contact et de démonstration : si vous nous contactez au moyen du formulaire de démonstration ou par courriel, nous traitons les données que vous indiquez (nom, courriel, téléphone, entreprise, message) exclusivement pour répondre à votre demande et pour préparer un éventuel contrat.

Aucun traceur publicitaire : ce site n’utilise ni cookies publicitaires, ni suivi comportemental, ni pixels de réseaux sociaux, ni mesure d’audience par des tiers.

Aucune requête vers des tiers : nous livrons les polices de caractères et toutes les autres ressources depuis notre propre serveur. Lors de la consultation de ce site, votre adresse IP n’est transmise à aucun prestataire tiers.

3. Hébergement

Ce site et l’application HuusFlow sont exploités sur des serveurs situés en Suisse (Infomaniak Network SA, Genève). La base de données et les justificatifs enregistrés s’y trouvent également. Hors de Suisse, des données personnelles ne sont traitées que pour l’étape de reconnaissance de texte décrite au chiffre 4.

4. Traitement des données dans l’application HuusFlow

Pour les clients qui utilisent HuusFlow, nous traitons des données de justificatifs (factures, quittances, bulletins de livraison) pour le compte du client. La transmission est chiffrée. Les détails sont réglés par le contrat de sous-traitance, résumé dans la partie B.

Où le traitement par l’IA a lieu : la reconnaissance et l’imputation automatiques passent par Google Vertex AI. Nous avons fixé le traitement sur la région de centre de données Pays-Bas (europe-west4) et ne l’avons pas laissé sur le réglage par défaut, où le prestataire choisit lui-même le lieu. Pour cette étape, vos justificatifs quittent la Suisse. Aucun traitement n’a lieu aux États-Unis. Les Pays-Bas sont un État membre de l’UE et figurent sur la liste du Conseil fédéral des États offrant une protection des données adéquate (annexe 1 OPDo), raison pour laquelle la communication se fonde sur l’art. 16 al. 1 LPD et qu’aucune garantie supplémentaire n’est nécessaire. Nous précisons que les prestataires dont la société mère se trouve aux États-Unis peuvent être soumis au US CLOUD Act indépendamment du lieu de traitement.

Traitement sur des serveurs suisses sur demande : sur demande, nous configurons votre mandat sur un modèle qui fonctionne entièrement sur des serveurs suisses. La reconnaissance de texte a alors lieu elle aussi en Suisse. Nous ne le recommandons pas comme standard, car notre propre test comparatif portant sur environ 3000 justificatifs a montré un taux de correction nettement plus élevé et une durée de traitement plus longue. Ce que cela signifie en détail, nous le publions avec des chiffres sur notre page de transparence.

Aucun traitement ultérieur : pour Vertex AI, Google s’engage contractuellement à ce que les contenus transmis ne soient pas utilisés pour entraîner ou améliorer des modèles d’IA et ne soient pas rendus accessibles à d’autres clients. Vos justificatifs servent exclusivement au traitement de votre propre demande.

Aucune décision individuelle automatisée : les propositions du système vous sont soumises pour contrôle et ne sont transférées qu’après votre validation. Il n’y a pas de décision individuelle automatisée au sens de l’art. 21 LPD.

5. Communication des données

Nous ne vendons pas de données et ne les transmettons pas à des fins publicitaires. Une communication n’a lieu qu’aux sous-traitants ultérieurs mentionnés dans la partie B, dans la mesure où cela est nécessaire à l’exploitation, ainsi que lorsque nous y sommes tenus par la loi, en particulier envers les autorités suisses dans le cadre d’une procédure licite.

6. Conservation et effacement

Nous ne conservons les données personnelles que le temps nécessaire à la finalité concernée ou exigé par des obligations légales. En détail :

Données d’accès au serveur : 90 jours, puis effacement automatique.

Demandes de contact et de démonstration : 24 mois après le dernier contact, si aucun contrat n’est conclu.

Données de justificatifs et écritures des clients : pour la durée du contrat. À la fin du contrat, nous les effaçons dans les 30 jours, à moins que vous n’ayez demandé un export au préalable.

Copies de sauvegarde : dans le cadre du cycle de sauvegarde ordinaire, au plus tard 90 jours après la date d’effacement.

Jetons d’accès pour les systèmes connectés : jusqu’à 12 mois après la dernière utilisation.

Journaux des accès du support : pour la durée du contrat.

Sur demande, nous confirmons l’effacement sous forme écrite ou par voie électronique.

7. Obligations de conservation et archivage

Les livres de comptes et les pièces comptables doivent être conservés dix ans en vertu de l’art. 958f CO et de l’ordonnance concernant la tenue et la conservation des livres de comptes. Cette obligation vous incombe en tant qu’entreprise, et non à nous.

HuusFlow n’est pas votre archive. Les justificatifs traités sont transférés dans votre système comptable et y sont conservés. Nous gardons les données à disposition pendant la durée du contrat pour l’exploitation courante, et non comme archive à long terme à l’épreuve de la révision. Veuillez vous assurer que votre conservation y est réglée.

8. Sécurité des données

Nous prenons les mesures techniques et organisationnelles prévues par l’art. 8 LPD et les art. 1 ss OPDo. En font notamment partie :

Chiffrement : transmission exclusivement par TLS. Les fichiers et la base de données sont chiffrés au repos avec AES-256. Les mots de passe ne sont pas enregistrés en clair, mais sous forme de valeurs de contrôle non réversibles.

Séparation des mandats : les données de chaque client sont tenues séparément. La séparation est imposée au niveau de la requête de données, et non au niveau de l’interface utilisateur.

Accès de notre part : nous n’accédons pas à vos contenus. Si le traitement d’une demande de support rend nécessaire une consultation de votre affichage, nous recueillons au préalable votre accord exprès, en règle générale directement pendant l’entretien de support. L’accès reste limité au nécessaire, il est journalisé et prend fin avec la clôture de la demande.

Centre de données : exploitation chez Infomaniak Network SA à Genève. Selon ses propres indications, l’exploitant est certifié ISO/IEC 27001.

Copies de sauvegarde : nous conservons plusieurs copies sur des systèmes distincts et restaurons régulièrement la sauvegarde à titre de test.

Le développement et l’exploitation s’orientent aux exigences d’ISO 27001. La certification est en préparation.

9. Violations de la sécurité des données

En cas de violation de la sécurité des données susceptible d’entraîner un risque élevé pour les personnes concernées, nous l’annonçons au Préposé fédéral à la protection des données et à la transparence dans les meilleurs délais (art. 24 LPD).

Si des données de clients que nous traitons sur mandat sont touchées, nous informons le client sans délai, au plus tard dans les 48 heures après en avoir eu connaissance, avec les indications disponibles. Dans ce cas, l’annonce à l’autorité de surveillance et, le cas échéant, aux personnes concernées incombe au client.

10. Vos droits

En vertu des art. 25 à 29 LPD, vous avez le droit d’obtenir des renseignements sur les données traitées à votre sujet, de faire rectifier des données inexactes, d’obtenir l’effacement ou la limitation du traitement, la remise ou la transmission de vos données dans un format électronique courant, ainsi que le droit de vous opposer à un traitement.

Adressez-vous pour cela à contact@huusflow.ch. Nous répondons aux demandes en règle générale dans les 30 jours. Nous pouvons exiger des indications supplémentaires afin de vérifier votre identité.

Vous avez en outre le droit de déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Bern.

11. Modifications

Nous pouvons adapter cette déclaration si notre traitement ou la situation juridique change. La version publiée sur cette page fait foi. Nous informons en outre les clients des modifications essentielles sous forme écrite ou par voie électronique.

Partie B : la sous-traitance en un coup d’œil

Cette partie résume ce qui s’applique lorsque nous traitons des données de justificatifs pour votre compte. Le contrat de sous-traitance complet fait foi ; nous vous le remettons avant la conclusion du contrat et le fournissons à tout moment sur demande.

12. Rôles

Vous êtes responsable du traitement au sens de la LPD, HuusFlow est sous-traitant. Nous traitons vos données exclusivement sur vos instructions documentées et jamais à nos propres fins.

Si vous êtes fiduciaire, vous restez responsable envers vos propres mandants. L’article 9 LPD exige de vous que vous vous assuriez que nous sommes en mesure de garantir la sécurité des données, et exige votre autorisation préalable pour le recours à des sous-traitants ultérieurs. C’est pourquoi nous les indiquons ici nommément.

13. Lieux de traitement

Stockage, base de données, fichiers et exploitation : Suisse, Genève.

Reconnaissance de texte et extraction de données : Pays-Bas, région europe-west4.

États-Unis : aucun traitement.

Nous présentons le cheminement complet d’un justificatif étape par étape sur notre page de transparence.

14. Sous-traitants ultérieurs

Infomaniak Network SA, Genève, Suisse : exploitation des serveurs, de la base de données et du stockage de fichiers. Traitement en Suisse. Société suisse sans société mère étrangère.

Google (Vertex AI) : reconnaissance de texte et extraction de données assistées par IA à partir des justificatifs. Traitement aux Pays-Bas. La communication se fonde sur l’art. 16 al. 1 LPD. Remarque : société mère ayant son siège aux États-Unis, un accès en vertu du US CLOUD Act n’est pas exclu. Contractuellement, les données des clients ne sont pas utilisées pour l’entraînement des modèles.

Votre système comptable n’est pas un sous-traitant ultérieur de notre part. Le transfert vers celui-ci a lieu sur votre instruction, vers un système que vous exploitez et dont vous répondez vous-même.

Nous vous informons au moins 30 jours à l’avance sous forme écrite ou par voie électronique avant qu’un sous-traitant ultérieur supplémentaire ne s’ajoute ou qu’un sous-traitant existant ne change. Vous pouvez vous y opposer pour un motif important relevant de la protection des données.

15. Mesures de protection

Les mesures décrites au chiffre 8 s’appliquent. Sur demande, nous mettons à votre disposition les indications dont vous avez besoin pour vous assurer, conformément à l’art. 9 al. 2 LPD, que nous sommes en mesure de garantir la sécurité des données.

16. Vos droits en tant que client

Vous pouvez à tout moment exiger un export complet de vos données dans un format courant.

Vous pouvez contrôler le respect du contrat de sous-traitance, en règle générale par la consultation de la documentation, de rapports et de certificats, et, dans un cas justifié, également sur place après annonce préalable.

Nous vous soutenons pour les demandes de renseignements, de rectification, d’effacement et de remise émanant de vos propres clients. Si une telle demande nous est adressée directement, nous la transmettons et n’y répondons pas nous-mêmes.

À la fin du contrat, nous vous remettons vos données et les effaçons ensuite conformément au chiffre 6.

17. Questions

Vous avez des questions sur le lieu et la manière dont vos données sont traitées ? Écrivez-nous à contact@huusflow.ch. Vous recevrez des indications concrètes, pas des phrases marketing.