Politique de confidentialité

1. Introduction et champ d’application

La présente Politique de confidentialité définit les modalités de collecte, d’utilisation, de conservation et de divulgation de vos données à caractère personnel par COPIL SA, dont le siège social est situé Route du Nant-d'Avril 96NPA / Localité 1217 Meyrin. Elle s’applique à l’ensemble des traitements réalisés dans le cadre de votre navigation sur le site développé avec Webflow, accessible à l’adresse www.copil.ch, ainsi qu’aux formulaires et services en ligne proposés.‍ Cette Politique complète les informations prévues dans les Mentions légales et s’inscrit dans le respect du Federal Act on Data Protection (FADP) entré en vigueur le 1ᵉʳ septembre 2023.

2. Définitions et principes de base

2.1 Définitions clés

1. Données à caractère personnel
   Désigne « toute information se rapportant à une personne physique identifiée ou identifiable » (nom, adresse, adresse e-mail, etc.) et vise à protéger la personnalité et les droits fondamentaux des individus.
2. Traitement de données
   Tout « opération ou ensemble d’opérations » appliqué quelles que soient les modalités (collecte, enregistrement, conservation, modification, consultation, etc.) aux données.
3. Responsable du traitement
   La personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données.
4. Sous-traitant
   La personne physique ou morale qui traite les données pour le compte du responsable du traitement et selon ses instructions.

2.2 Principes fondamentaux (Art. 5 FADP et bonnes pratiques)

1. Licéité
   Tout traitement doit reposer sur une base légale (consentement, exécution d’un contrat, obligation légale, intérêts légitimes, etc.) afin d’être « lawfully » effectué.
2. Loyauté et transparence
   Le responsable informe clairement les personnes concernées des finalités, des destinataires et de la durée de conservation de leurs données. Les modalités doivent être rédigées en langage simple et accessibles.
3. Limitation des finalités
   Les données ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités.
4. Minimisation des données
   Seules les données strictement nécessaires par rapport aux finalités poursuivies peuvent être collectées ou conservées (« adequate, relevant and limited to what is necessary »).
5. Exactitude et mise à jour
   Les données doivent être exactes et tenues à jour. Le responsable met en place des procédures pour rectifier ou effacer les données inexactes sans délai.
6. Conservation limitée
   Les données ne doivent pas être conservées sous une forme permettant l’identification des personnes au-delà de la durée nécessaire aux finalités déclarées, sauf obligation légale contraire.
7. Responsabilité (accountability)
   Le responsable du traitement doit être en mesure de démontrer la conformité de ses traitements (registre des activités, analyses d’impact, etc.) et adopter des mesures techniques et organisationnelles appropriées.

3. Types et finalités des données collectées

En naviguant sur le site www.copil.ch, COPIL SA peut collecter plusieurs catégories de données à caractère personnel afin de fournir, sécuriser et améliorer ses services tout en respectant le Federal Act on Data Protection (FADP).

3.1 Types de données collectées

1. Données d’identité et de contact
   • Nom, prénom, adresse e-mail, numéro de téléphone recueillis via les formulaires de contact ou de demande de devis.
2. Données d’usage et de connexion
   • Informations techniques (adresse IP, type de navigateur, pages visitées, durée de la visite) collectées automatiquement pour analyser la performance du site et détecter d’éventuelles fraudes.
3. Données de marketing et préférences
   • Consentement au dépôt de cookies marketing, historique de navigation et centres d’intérêt pour des campagnes ciblées et l’envoi de newsletters.
4. Données sensibles (le cas échéant)
   • Origine raciale, opinions politiques, données de santé, uniquement si vous les transmettez explicitement et après consentement exprès.

3.2 Finalités du traitement

1. Fourniture de services et exécution de contrats
   • Gestion des demandes de devis, suivi de projet, facturation et relation client.
2. Communication et support
   • Réponses à vos demandes, envoi d’informations administratives ou marketing selon vos préférences.
3. Amélioration et sécurité du site
   • Analyse de la navigation pour optimiser l’ergonomie, détection d’incidents de sécurité et prévention des fraudes.
4. Respect des obligations légales et réglementaires
   • Archivage des données pour se conformer aux exigences fiscales, comptables et légales suisses.

4. Partage et transferts de données

COPIL SA s’engage à garantir la confidentialité de vos données : seules les personnes habilitées au sein de l’entreprise, ainsi que les prestataires dûment désignés, ont accès aux informations personnelles collectées. Les services internes (équipe projet, support client, service comptabilité) traitent vos données strictement dans le cadre de leurs missions respectives et conformément aux finalités décrites ci-dessus.

Les prestataires tiers (sous-traitants techniques, hébergeur, outils d’analyse) sont sélectionnés avec soin et soumis à un accord de sous-traitance (Data Processing Agreement) garantissant le respect du FADP, incluant l’obligation de mise en place de mécanismes de transfert adéquats (clauses contractuelles types, règles d’entreprise contraignantes) lorsque le traitement s’effectue hors Suisse. Avant tout engagement, Webflow réalise une due diligence approfondie (sécurité, juridique, confidentialité) et signe un contrat DPA incluant un mécanisme de transfert valide pour chaque sous-traitant concerné.

4.1 Transferts hors de Suisse

Conformément à l’art. 6 al. 1 let. c FADP et à l’Ordonnance sur la protection des données (OPDa), les données personnelles peuvent être transmises à l’étranger uniquement si le pays destinataire offre un niveau de protection adéquat, tel que déterminé par le Conseil fédéral et publié en annexe de l’OPDa. Le simple accès à distance depuis l’étranger à des données hébergées en Suisse est également considéré comme un transfert sortant et est soumis aux mêmes garanties.

Pour les pays ne figurant pas sur la liste d’adéquation, COPIL SA met en œuvre des garanties supplémentaires :

• Signature de Clauses Contractuelles Types (CCT) reconnues par la Commission fédérale pour la protection des données ;
• Adoption de Règles d’Entreprise Contraignantes (BCR) en interne, lorsqu’elles sont applicables ;
• Recueil du consentement exprès de la personne concernée, après information claire sur les risques éventuels du transfert.

4.2 Information des personnes concernées

Avant tout transfert significatif (vers un tiers ou un pays tiers), COPIL SA informe expressément les utilisateurs :

• de l’identité du ou des destinataires extérieurs ;
• de la nature des données transmises ;
• de la finalité du transfert ;
• des garanties mises en place pour assurer un niveau de protection conforme au FADP.

5. Cookies et traceurs

Conformément à la Loi fédérale sur la protection des données (LPD/FADP) et aux bonnes pratiques, seuls les cookies strictement nécessaires à la fourniture du service peuvent être déposés sans consentement préalable Tous les autres cookies (analyse, marketing, réseaux sociaux, etc.) sont considérés comme non essentiels et requièrent le consentement explicite de l’utilisateur avant dépôt ou lecture.

5.1. Types de cookies

• Cookies techniques (essentiels) :
  Visent exclusivement à « effectuer la transmission d’une communication par la voie d’un réseau de communications électroniques » ou sont « strictement nécessaires » à la fourniture d’un service expressément demandé par l’utilisateur. Ils ne nécessitent pas de consentement.
• Cookies de marketing :
  Ces cookies sont utilisés pour diffuser des publicités plus pertinentes pour vous et vos intérêts. Ils peuvent également être utilisés pour limiter le nombre de fois que vous voyez une publicité et mesurer l'efficacité des campagnes publicitaires. Les réseaux publicitaires les placent généralement avec l'autorisation de l'opérateur du site Web.
• Cookies de personalisation :
  Ces éléments permettent au site Web de se souvenir de vos choix (tels que votre nom d'utilisateur, votre langue ou la région dans laquelle vous vous trouvez) et de fournir des fonctionnalités améliorées et plus personnelles. Par exemple, un site Web peut vous fournir des bulletins météo locaux ou des informations sur le trafic en stockant des données sur votre position actuelle.‍
• Cookies d’analytics :
  Ces éléments aident l'opérateur du site Web à comprendre comment son site Web fonctionne, comment les visiteurs interagissent avec le site et s'il existe d'éventuels problèmes techniques. Ce type de stockage ne collecte généralement pas d'informations permettant d'identifier un visiteur.

5.2. Recueil et gestion du consentement

1. Bannière de cookies
   À la première visite, une bannière s’affiche pour informer l’utilisateur de l’usage de cookies, détailler leurs finalités et proposer un choix clair (« Accepter » / « Refuser »).
2. Action positive claire
   L’acceptation doit résulter d’un acte positif clair (clic sur « J’accepte », sélection de cases à cocher, etc.).

5.3. Retrait et modification du consentement

• L’utilisateur peut retirer son consentement à tout moment, aussi facilement qu’il l’a donné, via :
  • un lien permanent « Paramètres cookies » en pied de page du site ;
  • l’interface de gestion des préférences accessible depuis la bannière cookie.
• En cas de retrait, COPIL SA s’engage à effacer tous les cookies non essentiels déposés antérieurement, sauf impossibilité technique majeure.

5.4. Configuration via le navigateur

Les utilisateurs peuvent également paramétrer leur navigateur pour :

• bloquer tous les cookies ;
• n’autoriser que les cookies de confiance ;
• ou supprimer les cookies existants.

Les modalités varient selon le navigateur (Chrome, Firefox, Safari, Edge…) et sont détaillées sur les sites officiels des éditeurs.

6. Sécurité des données

Le responsable du traitement et le sous-traitant mettent en œuvre des mesures techniques et organisationnelles (TOM) appropriées pour garantir la sécurité des données, conformément à l’art. 3 OPDa et art. 7 FADP.

Ces mesures incluent notamment :

• Gestion des accès : contrôle des droits d’accès aux systèmes contenant des données personnelles pour assurer la confidentialité et l’intégrité.
• Chiffrement : cryptage des données au repos et en transit via des protocoles reconnus (TLS, AES 256-bit).
• Sauvegardes régulières : mise en place de backups automatisés et tests de restauration pour assurer la disponibilité en cas d’incident.
• Journalisation et surveillance : suivi des accès, des modifications et des incidents afin de détecter rapidement toute anomalie ou violation de sécurité.
• Plan de gestion des incidents : procédures documentées pour la réponse aux violations de données, incluant la notification des autorités compétentes et des personnes concernées dans les délais légaux (Art. 15 OPDa).
• Sensibilisation et formation : programmes réguliers de formation à la sécurité pour les collaborateurs afin de garantir une culture de sécurité durable.
• Tests de vulnérabilité et audits : audits de sécurité périodiques et tests de pénétration pour identifier et corriger les failles potentielles.

Ainsi, COPIL SA s’assure que la confidentialité, l’intégrité et la disponibilité des données sont maintenues, conformément aux exigences du FADP.

7. Durées de conservation

La durée de conservation des données personnelles doit être définie « dans la mesure du possible, par un délai de conservation ou selon des critères permettant de le déterminer » (art. 12 al. 2 LPD).

7.1 Exemples de durées et critères de conservation

• Données de facturation et comptabilité
  Conformément à l’art. 958f CO, les pièces justificatives relatives aux paiements (factures, bons de commande, relevés bancaires) doivent être conservées 10 ans à compter de la date de la transaction.
• Données issues des formulaires de contact et demandes de devis
  Les données (nom, e-mail, téléphone, contenu de la demande) peuvent être conservées 1 an à compter de la dernière prise de contact, sauf si un contrat est conclu, auquel cas s’appliquent alors les durées légales correspondantes.
• Journaux de connexion et logs de sécurité
  Pour détecter et prévenir les incidents de sécurité, les traces techniques (adresses IP, horodatage, activité suspecte) sont conservées 6 mois au minimum.
• Cookies et consentements
  Le registre des consentements aux cookies (bannière, préférences) est conservé 2 ans, conformément aux bonnes pratiques recommandées pour l’analyse de la récurrence des consentements.
• Dossiers du personnel (si pertinent)
  Les données RH (contrats de travail, certificats, fiches de paie) sont conservées 5 à 10 ans selon la nature (p. ex. salaires : 10 ans, attestations : 10 ans, évaluations : 5 ans) et les prescriptions de l’art. 127–128 CO.
• Archivage à des fins légales
  Tout document pouvant être exigé par l’administration fiscale, l’autorité de régulation ou la justice (conventions, contrats, correspondances) est archivé 10 ans, comme prévu par la loi fédérale sur la comptabilité et la révision.

7.2 Critères de détermination

Lorsque la loi ne prévoit pas de durée précise, COPIL SA fixe la conservation en fonction :

1. De la finalité du traitement (ex. gestion de la relation client, exécution d’un contrat).
2. Des obligations légales (fiscales, comptables, prud’homales).
3. De la proportionnalité et du principe de minimisation (données effacées dès que la finalité n’est plus atteinte).

7.3 Suppression et anonymisation

À l’issue de la durée de conservation ou lorsque les critères de détermination ne sont plus remplis, COPIL SA :

• Efface les données personnelles à moins qu’une conservation subsistante ne soit requise par la loi.
• Anonymise les données dont la suppression totale n’est pas justifiée mais dont l’identification n’est plus nécessaire.

8. Droits des personnes concernées

Les personnes concernées disposent de plusieurs droits afin de contrôler l’usage de leurs données à caractère personnel et garantir la transparence des traitements effectués par COPIL SA.

8.1 Droit d’accès

Conformément à l’art. 25 LPD, toute personne peut demander au responsable du traitement de lui indiquer si des données personnelles la concernant sont traitées, et obtenir une copie de ces données dans un format compréhensible et, en principe, gratuitement dans un délai de 30 jours.

8.2 Droit de rectification

La personne concernée peut obtenir la rectification, sans délai, des données inexactes la concernant et l’achèvement des données incomplètes, y compris par l’apport d’une déclaration complémentaire.

8.3 Droit à l’effacement (« droit à l’oubli »)

Lorsque les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées, la personne concernée peut exiger leur effacement, sauf si une conservation est imposée par une obligation légale (ex. obligations fiscales).

8.4 Droit à la limitation du traitement

Sur demande, la personne concernée peut obtenir la restriction du traitement de ses données lorsque :

• elle conteste l’exactitude des données (pendant la vérification) ;
• le traitement est illicite et elle s’oppose à l’effacement ;
• COPIL SA n’a plus besoin des données mais elles sont requises pour la constatation, l’exercice ou la défense de droits en justice ;
• elle s’est opposée au traitement (le temps de vérifier si les motifs légitimes de l’entreprise prévalent).

8.5 Droit à la portabilité

Lorsque le traitement est fondé sur le consentement ou l’exécution d’un contrat, la personne concernée peut obtenir la remise de ses données dans un format structuré, couramment utilisé et lisible par machine, ou demander leur transmission directe à un autre responsable, dans la mesure du possible.

8.6 Droit d’opposition

La personne peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à ce que des données la concernant fassent l’objet d’un traitement basé sur un intérêt public ou légitime de COPIL SA, excepté lorsque des raisons impérieuses et légitimes prévalent ou pour la constatation, l’exercice ou la défense de droits en justice.

8.7 Retrait du consentement

Le consentement donné pour le traitement de données personnelles peut être retiré à tout moment, sans affecter la licéité des traitements fondés sur le consentement avant son retrait.

8.8 Réclamation auprès de la PFPDT

En cas de violation présumée de ses droits ou pour toute question relative au traitement de ses données, la personne concernée peut déposer une réclamation auprès de la Préposée fédérale à la protection des données et à la transparence (PFPDT), indépendante et compétente en Suisse.

9. Contact et mise à jour de la politique

9.1 Contact

Pour toute question relative à la présente Politique de confidentialité ou pour l’exercice de vos droits, vous pouvez contacter :

• Délégué à la protection des données (DPO) : Dang Quoc Dung
• Email : dang@copil.ch
• Adresse postale : Route du Nant-d'Avril 96, NPA / Localité 1217 Meyrin

Le DPO est chargé de veiller à la conformité des traitements de données personnelles et de répondre à vos demandes dans les meilleurs délais.

9.2 Mise à jour de la politique

1. Fréquence de révision
   La Politique de confidentialité est révisée au moins une fois par an et chaque fois que de nouveaux traitements ou fonctionnalités impliquant des données personnelles sont déployés sur le site.
2. Date de la dernière mise à jour
   La date de la dernière mise à jour est indiquée en haut de cette page.
3. Notification des modifications
   Tout changements (corrections de forme, précisions et autres modifications) : mis en ligne directement, sans notification individuelle.‍
4. Consultation permanente
   Vous êtes invité·e à consulter régulièrement cette page et à vérifier la date de dernière mise à jour afin de prendre connaissance des éventuelles modifications.