Politique de confidentialité
Dernière mise à jour : mai 2026
1. Responsable du traitement
neOcan
Marly (FR), Suisse
contact@neocan.ch
neOcan est exploité en tant qu'activité de personne physique en phase pré-constitution. Les références à « neOcan » ou « nous » désignent le responsable du traitement ci-dessus.
La présente politique s'applique conformément à la Loi fédérale sur la protection des données (nLPD, en vigueur depuis le 1er septembre 2023) et à l'Ordonnance sur la protection des données (OPDo).
2. Données collectées
2.1 Données de compte
- Nom, prénom
- Adresse email
- Mot de passe (stocké sous forme de hachage bcrypt, jamais en clair)
- Nom de l'entreprise
- Rôle (Concepteur, Constructeur, Coordinateur)
2.2 Données d'entreprise
- Raison sociale, adresse, téléphone, email
- Numéro IDE (CHE-xxx.xxx.xxx)
- Numéro TVA
- IBAN (chiffré AES-256-GCM au repos)
2.3 Données de projet
- Nom du projet, référence, lieu
- Informations du client (nom, adresse, téléphone, email)
- Soumissions, chiffrages, contrats
2.4 Données de signature
- Signature numérique (image PNG, chiffrée AES-256-GCM au repos)
- Tampon d'entreprise (image PNG, chiffrée au repos)
- Adresse IP et horodatage au moment de la signature (pour la non-répudiation)
2.5 Données techniques
- Adresse IP (pour la limitation de débit et la sécurité)
- Agent utilisateur du navigateur
- Journaux d'audit des actions (connexion, modification, export)
3. Finalités du traitement
| Données | Finalité | Base légale (nLPD) |
|---|---|---|
| Nom, email | Création et gestion du compte | Exécution du contrat (Art. 31) |
| Mot de passe | Authentification | Exécution du contrat |
| Données entreprise | Facturation, identification | Exécution du contrat |
| IBAN | Paiements | Exécution du contrat |
| Signatures | Non-répudiation des contrats | Exécution du contrat |
| Adresse IP | Sécurité, limitation de débit | Intérêt légitime (Art. 31) |
| Journaux d'audit | Traçabilité, conformité | Intérêt légitime |
4. Sous-traitants et transferts de données
Nous utilisons les sous-traitants suivants pour le fonctionnement de la plateforme. Un contrat de traitement des données (DPA) conforme à l'Art. 9 nLPD est en place avec chacun d'eux.
| Sous-traitant | Fonction | Localisation | Données traitées |
|---|---|---|---|
| Infomaniak (Jelastic Cloud) | Base de données PostgreSQL applicative | Suisse (Genève / Sierre) | Toutes les données applicatives (comptes, projets, soumissions, signatures chiffrées) |
| Infomaniak Network SA | Envoi d'e-mails transactionnels (SMTP) et hébergement de la boîte de contact (IMAP) | Suisse (Genève) | Email, nom du destinataire, contenu des notifications |
| Vercel | Hébergement de l'application Next.js, CDN | Global (edge) | Requêtes HTTP, logs serveur (pas de stockage des données applicatives) |
| Upstash | Limitation de débit (Redis) | UE (Irlande) | Adresses IP (TTL 15min-1h) |
| Stripe | Traitement des paiements d'abonnement | Irlande / USA | Nom, email, données de facturation (le numéro de carte n'est jamais transmis à neOcan) |
Données hébergées en Suisse : la base de données applicative est hébergée par Infomaniak (Jelastic Cloud) en Suisse, et l'envoi d'e-mails transactionnels ainsi que l'hébergement de la boîte de contact passent par Infomaniak Network SA en Suisse. Les données applicatives ne quittent donc pas le territoire suisse.
Transferts hors Suisse : Vercel peut traiter des requêtes HTTP via ses points de présence mondiaux (edge) sans stocker les données applicatives. Upstash opère depuis l'UE (Irlande) et Stripe traite les paiements depuis l'Irlande et les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et les garanties supplémentaires conformément à l'Art. 16-17 nLPD.
5. Durée de conservation
| Données | Durée |
|---|---|
| Compte utilisateur | Jusqu'à suppression du compte |
| Projets et soumissions | Jusqu'à suppression du compte |
| Contrats signés | 10 ans (obligation légale suisse) |
| Journaux d'audit | 12 mois, puis anonymisés |
| Adresses IP (rate limiting) | 15 minutes à 1 heure (automatique) |
| Adresses IP (signatures) | 12 mois |
6. Vos droits
Conformément à la nLPD, vous disposez des droits suivants :
- Droit d'accès (Art. 25 nLPD) : Vous pouvez exporter l'ensemble de vos données personnelles depuis Paramètres > Exporter mes données.
- Droit de rectification (Art. 6 nLPD) : Vous pouvez modifier vos informations depuis les paramètres de votre compte.
- Droit de suppression (Art. 6 nLPD) : Vous pouvez supprimer votre compte depuis Paramètres > Supprimer mon compte. Vos données seront effacées et les journaux d'audit anonymisés.
- Droit à la portabilité (Art. 28 nLPD) : L'export de données est fourni au format JSON, lisible par machine.
- Droit de révoquer le consentement : Vous pouvez désactiver l'authentification à deux facteurs et révoquer les accès à tout moment.
Pour exercer vos droits, contactez-nous à contact@neocan.ch.
7. Mesures de sécurité
- Chiffrement HTTPS/TLS pour toutes les communications
- Mots de passe hachés avec bcrypt (10 rounds)
- Données sensibles chiffrées au repos (AES-256-GCM) : IBAN, signatures, secrets 2FA
- Authentification à deux facteurs (TOTP ou email)
- Limitation de débit sur les endpoints d'authentification
- Headers de sécurité HTTP (HSTS, CSP, X-Frame-Options)
- Journaux d'audit de toutes les actions sensibles
8. Violation de données
En cas de violation de la sécurité des données, neOcan notifiera le Préposé fédéral à la protection des données (PFPDT) dans les plus brefs délais conformément à l'Art. 24 nLPD. Les personnes concernées seront informées si la violation présente un risque élevé pour leurs droits.
8bis. Usurpation d'identité
neOcan n'effectue pas de contrôle d'identité physique des utilisateurs. La vérification du numéro IDE auprès de l'OFS et l'attestation sur l'honneur (signée manuscritement, horodatée, tracée) sont des mesures de prévention mais ne constituent pas une garantie absolue contre la fraude.
neOcan décline toute responsabilité en cas d'usurpation d'identité ou de fausse déclaration commise par un utilisateur. Les détails sont précisés à la section 3 des Conditions Générales d'Utilisation. Les données de trace (adresse IP, horodatage, contenu signé) sont mises à disposition des autorités judiciaires sur réquisition légale.
9. Contact et réclamations
Pour toute question relative à la protection de vos données :
contact@neocan.ch
Vous avez également le droit de déposer une réclamation auprès du :
Préposé fédéral à la protection des données et à la transparence (PFPDT)
Feldeggweg 1, 3003 Berne
www.edoeb.admin.ch