Politique de confidentialité

1. À qui s'applique cette politique ?

À toute personne dont nous traitons des données lors de :

• la vente et la location de matériel événementiel (devis, commandes, livraisons, retours, SAV) ;
• la fourniture de prestations informatiques (conseil, développement, hébergement/maintenance, support) ;
• la visite de ce site et l'utilisation de ses formulaires ;
• vos échanges avec nous par e-mail, téléphone ou WhatsApp ;
• nos relations fournisseurs/partenaires et candidatures.

Nous appliquons la LPD (Suisse) en vigueur et, lorsque le RGPD s'applique (p. ex. utilisateurs/clients situés dans l'UE/EEE), nous en respectons les principes.

2. Quelles données traitons-nous ?

Selon les cas :

• Identification & contact : nom, prénom, société, UID/TVA, adresses, e-mail, téléphone.
• Contrats & facturation : devis, commandes, bons, IBAN/coordonnées de paiement, rappels, garanties, cautions.
• Événementiel : lieux, horaires, accès, besoins techniques, inventaires confiés, historique de location, incidents/dégradations.
• IT & support : comptes utilisateurs, rôles, tickets, journaux techniques (logs), sauvegardes/restaurations, adresses IP source, métadonnées d'erreurs.
• Site : données saisies dans les formulaires (nom, e-mail, téléphone, message, créneau de rappel) et adresse IP de l'expéditeur, transmises ensemble par e-mail ; journaux techniques du serveur ; cookie technique de session du formulaire.
• Fournisseurs/partenaires : interlocuteurs, contrats, livraisons.
• Candidats : CV, dossier, évaluations, références (si fournies).

3. Finalités du traitement

• Exécution du contrat : préparer et livrer une commande/prestation, assurer la continuité de prestation IT.
• Administration : facturation, comptabilité (conservation légale), gestion des litiges.
• Sécurité & qualité : journalisation, prévention des abus, sauvegardes, tests, amélioration de nos prestations.
• Communication : réponse à vos demandes, rappels téléphoniques demandés, suivi de la relation commerciale (offres, échanges liés à un mandat). Nous n'envoyons pas de newsletter.
• Conformité légale : obligations fiscales/commerciales, réponses aux autorités compétentes.

4. Provenance des données

• Directement auprès de vous (formulaires, commandes, tickets).
• Dans le cadre du mandat (accès techniques fournis par le client).
• De tiers autorisés (références, partenaires logistiques, prestataires de paiement).
• Automatiquement via ce site : journaux techniques du serveur et cookie technique de session des formulaires de contact (voir §12). Aucun cookie de mesure d'audience ou de publicité n'est utilisé ; le seul contenu tiers intégré (publications Instagram de la page Portfolio, voir §12) s'affiche automatiquement lors de la consultation de cette page.

5. Bases légales (LPD/RGPD)

Sous LPD, nous respectons les principes de proportionnalité, finalité, sécurité et transparence. Sous RGPD (si applicable), nos bases typiques sont : contrat (art. 6-1-b), intérêt légitime (6-1-f), obligation légale (6-1-c) et consentement (6-1-a) lorsque vous le donnez. L'affichage des publications Instagram sur la page Portfolio repose sur notre intérêt légitime à présenter nos réalisations.

6. Destinataires & sous-traitants

Nous confions certains traitements à des prestataires liés par contrat (confidentialité, sécurité, instructions). Les principaux sont :

• Infomaniak Network SA (Suisse) : hébergement de ce site et du formulaire de contact, messagerie e-mail, stockage de fichiers ;
• serveurs d'Alterium en Suisse : logiciel de gestion interne (clients, projets, factures) et partage de fichiers ;
• Zoho (groupe Zoho Corporation) : établissement des devis et des factures. Notre compte est ouvert sur le centre de données européen de Zoho : les données sont hébergées dans l'Union européenne. Les équipes de support et d'exploitation du groupe Zoho, situées notamment en Inde, peuvent y accéder à distance (voir §7) ;
• Anthropic (Claude) et OpenAI (ChatGPT) (États-Unis) : outils d'intelligence artificielle qui nous assistent pour rédiger des e-mails et des documents, analyser des pièces et développer des logiciels. Nous ne leur transmettons que les données nécessaires à la tâche, jamais de données sensibles, et les résultats sont relus par une personne ;
• WhatsApp / Meta Platforms (Irlande et États-Unis) : si vous nous contactez par WhatsApp ;
• Instagram / Meta Platforms (Irlande et États-Unis) et LightWidget (Black Sail Division, Pologne ; hébergement en Allemagne) : lorsque vous consultez la page Portfolio, dont les publications Instagram s'affichent automatiquement. LightWidget recourt lui-même à des prestataires techniques (p. ex. Cloudflare, Amazon Web Services) qui peuvent traiter des données hors de l'Union européenne.

La liste détaillée peut être obtenue sur demande.

7. Transferts internationaux

Les données sont hébergées principalement en Suisse. Certains prestataires les traitent dans l'Union européenne (Zoho, LightWidget), dont le niveau de protection est reconnu comme adéquat par la Suisse. Des données peuvent en outre être transmises ou consultées dans des pays qui n'offrent pas un niveau de protection adéquat :

• États-Unis, Meta Platforms (WhatsApp, Instagram) : uniquement si vous nous contactez par WhatsApp ou consultez la page Portfolio (publications Instagram) ; Meta Platforms est certifiée selon le Swiss-U.S. Data Privacy Framework ;
• États-Unis, Anthropic et OpenAI : ces fournisseurs ne sont pas certifiés selon le Swiss-U.S. Data Privacy Framework ; les transferts reposent sur les clauses contractuelles types prévues dans leurs conditions de traitement des données ;
• Inde et autres pays, groupe Zoho : accès à distance pour le support et l'exploitation, encadrés par les clauses contractuelles types de l'accord de traitement des données de Zoho ;
• prestataires de LightWidget : selon les garanties prévues par LightWidget, si vous consultez la page Portfolio.

Pour tout autre transfert vers un pays sans niveau de protection adéquat, nous utilisons des clauses contractuelles types.

8. Durées de conservation

• Dossiers contractuels & comptables : 10 ans après la fin de l'exercice concerné.
• Demandes de contact et prospects (formulaires, e-mails, demandes de rappel, adresse IP comprise) : 2 ans au plus après le dernier échange lorsqu'aucun contrat n'est conclu ; sinon, la demande rejoint le dossier contractuel et suit sa durée de conservation.
• Protection du formulaire contre les envois répétés : une empreinte (hachage) de l'adresse IP et l'heure des envois ne sont plus prises en compte après 30 minutes, puis sont effacées avec les fichiers temporaires du serveur.
• Journaux du serveur web (adresse IP, date et heure, page demandée, navigateur) : tenus par notre hébergeur pour la sécurité et le diagnostic, conservés 12 mois au plus.
• Données de support IT & journaux des systèmes gérés : durée opérationnelle nécessaire (p. ex. 6–24 mois), sauf incident/litige.
• Candidatures : 6 mois en principe (si refus), sauf accord pour conserver plus longtemps.

Au-delà, nous supprimons ou anonymisons les données.

9. Sécurité

Mesures techniques et organisationnelles adaptées : contrôle d'accès (RBAC), chiffrement en transit (TLS), sauvegardes, journalisation, revue périodique des droits et des fournisseurs, principe du moindre privilège, tests de restauration.

10. Vos droits

Conformément à la LPD, vous disposez notamment des droits d'accès, rectification, effacement, portabilité (dans les conditions prévues) et opposition/limitation lorsque cela s'applique. Pour exercer vos droits :

• écrire à contact@alterium.ch (joindre une preuve d'identité si nécessaire) ; nous répondons dans les 30 jours ;
• vous pouvez également contacter l'autorité de contrôle compétente (Préposé fédéral à la protection des données et à la transparence – PFPDT/FDPIC).

11. Violations de données (data breach)

En cas d'incident présentant un risque élevé pour les droits/personnalité des personnes concernées : notification à l'autorité compétente et, le cas échéant, information aux personnes affectées dans les meilleurs délais, avec les mesures prises et recommandations.

12. Cookies & technologies similaires

Ce site n'utilise aucun cookie de mesure d'audience ni de publicité et ne charge aucune police ou script de suivi externe. Seul un cookie technique de session (PHPSESSID) est déposé, et seulement lorsque vous commencez à remplir un formulaire de la page Contact (clic ou saisie dans un champ) : il protège le formulaire contre les envois abusifs et est supprimé à la fermeture du navigateur. La simple visite des pages, y compris de la page Contact, ne dépose aucun cookie.

Les publications Instagram de la page Portfolio s'affichent automatiquement lorsque vous consultez cette page (chargement à l'approche de la section). Instagram (Meta Platforms) et LightWidget (Black Sail Division, Pologne) reçoivent alors votre adresse IP et peuvent déposer leurs propres cookies. Pour l'éviter, ne consultez pas la page Portfolio ou bloquez ces contenus tiers dans votre navigateur ; le lien vers notre profil Instagram reste disponible.

13. Spécificités par activité

13.1 Événementiel (vente/location de matériel)

• Traitements typiques : identité & coordonnées, planning, sites d'installation, inventaires, cautions, incidents/assurance, photos techniques de montage si nécessaire (preuves).
• Base & finalité : exécution du contrat, sécurité, preuves en cas de litige, obligations légales (p. ex. comptabilité).
• Partage : assureurs, transporteurs, lieux partenaires (accès/site), sous-traitants techniques nécessaires.

13.2 Prestations informatiques

• Traitements typiques : comptes & rôles utilisateurs, tickets, accès techniques (logs, IP), sauvegardes, monitoring de disponibilité.
• Base & finalité : exécution du contrat (SLA), sécurité et continuité, amélioration de la prestation.
• Sous-traitance : hébergeur, e-mail, outils tiers (p. ex. dépôts de code, messagerie), selon mandat/documentation. Lorsque nous traitons les données des utilisateurs ou des clients de nos clients, voir §14.

14. Alterium sous-traitant de ses clients

Pour l'hébergement, la maintenance et le support de sites et de systèmes, ainsi que pour le développement et l'exploitation d'applications, Alterium traite des données personnelles pour le compte de ses clients (p. ex. visiteurs d'un site client, employés ou clients d'une entreprise qui utilise une application développée par Alterium). Dans ce cas :

• le client est le responsable du traitement : il détermine les finalités et les moyens, informe les personnes concernées par sa propre déclaration de confidentialité et répond à leurs demandes ;
• Alterium agit comme sous-traitant (art. 9 LPD ; art. 28 RGPD lorsqu'il s'applique) : elle traite ces données uniquement selon les instructions du client et pour les besoins du mandat, en assure la confidentialité et la sécurité, assiste le client (demandes des personnes concernées, violations de données) et restitue ou supprime les données à la fin du mandat ;
• ces engagements peuvent être précisés dans un contrat de sous-traitance (DPA) conclu avec le client ; à défaut, les obligations minimales de sécurité, d'assistance et d'effacement prévues au §7 des conditions générales s'appliquent ;
• Alterium ne fait appel à des sous-traitants ultérieurs (p. ex. hébergeur, stockage, messagerie) qu'avec l'autorisation préalable, générale ou spécifique, du client et en leur imposant des obligations de protection équivalentes ; la liste est communiquée au client sur demande.

Si vos données sont traitées dans ce cadre, adressez vos demandes en priorité au client concerné. Si vous nous écrivez, nous lui transmettons votre demande.

15. Décisions automatisées / profilage

Nous n'utilisons pas de décisions entièrement automatisées produisant des effets juridiques ou significatifs. Les outils d'intelligence artificielle mentionnés au §6 assistent notre travail ; leurs résultats sont relus et aucune décision vous concernant n'est prise par eux seuls. Si cela devait évoluer, nous informerions au préalable des logiques et des droits associés (incluant l'intervention humaine).

16. Mineurs

Nos prestations s'adressent principalement à des professionnels et adultes. Si un traitement implique des mineurs, nous adaptons l'information et, lorsque requis, obtenons les consentements parentaux.

17. Comment exercer vos droits / Autorité compétente

• Contact : contact@alterium.ch (réponse dans les 30 jours ; gratuit, sauf demande manifestement abusive).
• Autorité de contrôle : Préposé fédéral à la protection des données et à la transparence (PFPDT/FDPIC).

18. Mises à jour

Nous pouvons modifier cette politique si nos traitements, nos prestataires ou la loi évoluent. La version en vigueur est celle publiée sur cette page, avec sa date en tête du document.