Transparence

Où se trouvent réellement
vos données.

Presque tous les logiciels de comptabilité affichent aujourd’hui « données en Suisse ». Ce que cela signifie concrètement figure ensuite dans la déclaration de protection des données, dans des phrases que presque personne ne lit et que moins de monde encore comprend. Cette page explique notre fonctionnement étape par étape, en mots simples, y compris les endroits où nous ne pouvons pas affirmer que tout reste en Suisse.

Stockage en Suisse. Traitement IA dans l’UE. Aucun transfert aux États-Unis.

Posez-nous toutes vos questions Voir la protection des données
Pourquoi cela compte

C’est vous qui répondez, pas votre logiciel.

Lorsque vous confiez les justificatifs de vos mandants à un prestataire, la loi suisse sur la protection des données vous laisse la responsabilité du choix de ce prestataire. L’article 9 LPD le dit clairement : vous devez vous assurer que votre prestataire est en mesure de garantir la sécurité des données. Une phrase publicitaire sur une page d’accueil n’y suffit pas. Nous exposons donc ici ce que nous faisons réellement, afin que vous puissiez le vérifier au lieu de devoir le croire.

Étape par étape

Ce qui arrive vraiment
à un justificatif.

Du moment où vous prenez une photo jusqu’à l’écriture dans bexio. Chaque étape indique où elle se déroule.

  1. 01

    Vous vous connectez

    Suisse

    Nous conservons votre adresse e-mail et votre mot de passe, ce dernier non pas en clair mais sous forme d’une valeur de contrôle à partir de laquelle le mot de passe ne peut pas être reconstitué. Si vous l’oubliez, nous ne pouvons pas vous le communiquer, seulement le réinitialiser. Ce n’est pas un défaut, c’est le principe même.

  2. 02

    Vous téléversez un justificatif

    Suisse

    Le fichier arrive chiffré sur notre serveur à Genève et y est enregistré chiffré en AES-256. Site web, application, base de données et fichiers se trouvent tous sur la même infrastructure suisse chez Infomaniak. Il n’y a aucune escale chez un prestataire américain, pas même pour le site web.

  3. 03

    L’IA lit le justificatif

    UE, Pays-Bas

    Pour la reconnaissance de texte, nous envoyons l’image à Google Vertex AI, dans la région des Pays-Bas. C’est la seule étape qui quitte la Suisse. Nous l’avons volontairement fixée sur un emplacement européen déterminé plutôt que sur le réglage par défaut, où le prestataire choisit lui-même où le calcul a lieu dans le monde. Rien n’est traité aux États-Unis.

  4. 04

    Le prestataire ne peut rien en faire

    Par contrat

    Nous utilisons le service professionnel payant, pas l’application gratuite. Google s’y engage contractuellement à ne pas utiliser les données clients pour entraîner ses modèles. Les variantes gratuites indiquent expressément le contraire dans leurs conditions : les contenus peuvent y être utilisés pour améliorer les services et être examinés par des personnes. Même modèle, contrat totalement différent.

  5. 05

    Le résultat revient

    Suisse

    Compte, montant, taux de TVA et libellé reviennent à Genève avec le justificatif original. À partir de là, le justificatif ne quitte plus la Suisse.

  6. 06

    Vous validez, nous transférons

    Suisse vers bexio

    Ce n’est qu’après votre validation que l’écriture part vers bexio, via leur interface officielle. C’est bexio qui décide où bexio conserve ses données, pas nous. Cela figure dans leur déclaration de protection des données, et vous devriez l’y lire comme vous lisez la nôtre.

Les trois malentendus

Des phrases qui sonnent autrement
que ce qu’elles disent.

Aucune de ces phrases n’est un mensonge. Elles sont simplement comprises autrement qu’elles ne sont formulées, et certains prestataires en vivent plutôt bien.

« Vos données sont en Suisse »
C’est une affirmation sur le lieu de stockage, pas sur le lieu de traitement. Un fichier peut se trouver à Zurich et être malgré tout envoyé à l’étranger pour y être lu. Les deux sont licites, les deux sont courants, mais ce n’est pas la même chose. Celui qui ne nomme que le lieu de stockage n’a pas répondu à la vraie question.
« Nous hébergeons sur des serveurs européens »
L’emplacement d’un serveur ne dit rien du droit auquel son exploitant est soumis. L’Office fédéral de la justice et la préposée à la protection des données du canton de Zurich le rappellent depuis des années : un centre de données en Europe n’exclut pas l’accès des autorités américaines au titre du CLOUD Act tant qu’un groupe américain se trouve derrière. Cela nous concerne également, puisque nous recourons à un prestataire américain pour la reconnaissance de texte. Nous l’écrivons plutôt que de l’omettre.
« Nous utilisons l’IA, conforme au RGPD bien sûr »
L’accès à un modèle que le prestataire a souscrit fait une très grande différence. Pour un modèle identique, les conditions peuvent indiquer dans un cas que rien n’est utilisé pour l’entraînement, et dans l’autre que les contenus peuvent être conservés et lus par des personnes. Le nom du modèle ne vous apprend donc rien. Demandez le contrat, pas le modèle.
Où se situe notre limite

Ce que nous ne vous promettons pas.

Cette rubrique manque sur la plupart des sites de prestataires. C’est précisément pour cela qu’elle figure ici.

L’étape IA n’est pas en Suisse

Elle se déroule aux Pays-Bas. Nous pourrions écrire « traitement en Europe » et vous penseriez probablement à la Suisse. Nous préférons nommer le pays.

Le traitement pourrait se faire en Suisse, mais ce n’est pas le cas

Des prestataires suisses font tourner des modèles capables de lire des images sur leurs propres serveurs. Nous les avons testés et avons délibérément choisi autre chose. Le pourquoi, chiffres à l’appui, figure plus bas sur cette page.

En procédure pénale, la loi prime le contrat

Si les autorités suisses exigent légalement des données dans le cadre d’une procédure pénale, nous devons les remettre. Cela vaut pour nous comme pour tout autre prestataire en Suisse. Quiconque vous promet le contraire promet une chose qu’il ne peut pas tenir.

Mesuré, pas affirmé

Nous avons fait courir
les deux voies l’une contre l’autre.

Avant de trancher, nous avons fait passer environ 3000 justificatifs par les deux systèmes. Photos et PDF de toutes les qualités, du scan propre au ticket froissé sous une mauvaise lumière. Les mêmes fichiers, une fois via un modèle ouvert fonctionnant entièrement sur des serveurs suisses, une fois via notre architecture actuelle.

environ 3000 justificatifs comparés, photos et PDF issus de l’exploitation réelle
35 à 40 % des champs ont dû être corrigés à la main avec le modèle suisse
5 à 10 % avec notre architecture actuelle

À cela s’ajoute le temps : notre architecture actuelle était environ 40 pour cent plus rapide. Un changement signifierait donc pour vous davantage de corrections et une attente plus longue, et le gain de temps que nous garantissons disparaîtrait.

C’est pourquoi notre architecture actuelle est la solution standard. Nous mettons malgré tout en place le traitement sur des serveurs suisses si vous le souhaitez, et nous vous disons à l’avance ce qu’il vous coûte en précision et en temps. Nous refaisons la comparaison dès qu’un nouveau modèle suisse paraît, car ce marché évolue vite.

Dernière comparaison : juillet 2026, test réalisé par nos soins sur notre propre corpus de justificatifs. Nous ne nommons pas le prestataire testé, car l’état d’un modèle aujourd’hui peut être dépassé en six mois et nous ne voulons figer personne sur un instantané.

Sous le capot

Pourquoi tout cela tiendra
encore demain.

Un service peut être irréprochable en matière de protection des données et perdre malgré tout vos justificatifs. C’est pourquoi cette partie figure sur la même page.

Centre de données
Notre infrastructure se trouve chez Infomaniak à Genève. Selon l’exploitant, leurs centres de données sont conçus selon le niveau Tier III. En clair : l’alimentation électrique et le refroidissement existent en double, et la maintenance est possible sans interrompre l’exploitation. Une panne isolée n’arrête rien.
Chiffrement
Chiffré pendant le transfert, chiffré au repos en AES-256. Celui qui mettrait la main sur le disque n’en tirerait rien.
Copies de sauvegarde
Vos données ne se trouvent pas à un seul endroit. Nous conservons trois copies : la copie de travail et deux sauvegardes, sur deux systèmes différents, dont l’une dans un autre centre de données. La sauvegarde est automatique chaque nuit à 03:00, fuseau horaire Europe/Zurich. Et nous restaurons régulièrement la sauvegarde à titre de test, car une sauvegarde jamais restaurée n’est pas une sauvegarde mais un espoir. Dernière sauvegarde planifiée : 19 août 2026, 03:00. Dernière restauration réussie : 16 août 2026.
Séparation des mandats
Chaque mandat est séparé au niveau des données. Aucun client ne voit les justificatifs d’un autre, même par inadvertance, car la séparation ne dépend pas de l’interface mais de la requête elle-même.
L’exploitant
Selon ses propres indications, Infomaniak est certifié ISO 27001 depuis 2018 et appartient majoritairement à une fondation suisse, et non à un groupe étranger.
À vérifier vous-même

Cinq questions à poser
à chaque prestataire.

À nous y compris. Si un prestataire élude l’une de ces questions ou renvoie vaguement à sa déclaration de protection des données sans citer le passage, vous en savez assez.

  1. 1

    Dans quel pays le justificatif est-il lu, et non stocké ?

    La réponse doit être un pays, pas un continent ni « dans le cloud ». Notre réponse : les Pays-Bas.

  2. 2

    Quel accès IA exactement, et que disent les conditions sur l’entraînement ?

    Le nom du modèle ne suffit pas. Notre réponse : Google Vertex AI en service professionnel, aucune utilisation pour l’entraînement des modèles.

  3. 3

    Un groupe américain se trouve-t-il derrière le traitement ?

    Si oui, le CLOUD Act est un sujet, quel que soit l’emplacement du serveur. Notre réponse : pour la reconnaissance de texte oui, pour le stockage et l’exploitation non.

  4. 4

    Où cela figure-t-il exactement dans votre déclaration de protection des données ?

    Faites-vous montrer le passage. Si la page d’accueil dit autre chose que la déclaration, c’est la déclaration qui fait foi.

  5. 5

    Quand votre sauvegarde a-t-elle été restaurée avec succès pour la dernière fois ?

    Presque aucun prestataire ne peut donner de date. C’est là que l’on voit à quel point quelqu’un travaille proprement.

État : août 2026. Nous mettons cette page à jour dès qu’un élément de notre architecture change.

Posez-nous toutes vos questions.

Si quelque chose sur cette page n’est pas clair ou si vous avez besoin de plus de détails, par exemple pour votre propre documentation au sens de l’article 9 LPD, écrivez-nous. Vous obtiendrez des indications concrètes, pas des formules marketing.

Réserver une démo