Politique de confidentialité

Dernière mise à jour : 30 octobre 2026

La présente politique a pour objet d'informer les personnes concernées des traitements de données personnelles opérés par ark.swiss sàrl, conformément à l'article 19 de la loi fédérale sur la protection des données (LPD, révisée au 1^er septembre 2023) et à l'article 13 du Règlement général sur la protection des données (RGPD).

1. Responsable de traitement

ark.swiss sàrl
Chemin de la Duchesne 13, 1806 St-Légier, canton de Vaud, Suisse
Email général : [email protected]
Email protection des données : [email protected]

2. Personnes concernées et données collectées

• Visiteurs du site arkstock.ch : logs serveur techniques (adresse IP tronquée, user-agent, page visitée, date et durée de la consultation).
• Mesure de fréquentation d'arkstock.ch : identifiant de visiteur aléatoire, pages consultées, origine de la visite (paramètres de campagne utm_*, site d'origine, page d'entrée), langue, largeur d'écran, navigateur et empreinte de l'adresse IP. Le détail figure dans la Politique Cookies.
• Balise Google Ads sur arkstock.ch (avec votre accord) : identifiant de clic publicitaire, identifiants des cookies Google, page consultée, adresse IP, navigateur et, après une inscription Starter ou une demande de devis, son identifiant aléatoire. Le détail figure dans la Politique Cookies.
• Prospects (formulaire d'inscription) : prénom, nom, adresse email, numéro de téléphone éventuel, nom d'organisation, sous-domaine souhaité, produit et plan choisis. Pour un essai Starter, l'origine de la visite (paramètres utm_* et site d'origine) est jointe à l'inscription.
• Clients : identifiants de connexion, préférences, historique de facturation, correspondance de support.
• Contenu Client hébergé dans l'Instance (données de tiers éventuelles) : fiches articles, conteneurs, projets de location, clients de l'entreprise, pièces associées ; traités pour le compte du Client, qui en est le responsable de traitement. ark.swiss sàrl agit en qualité de sous-traitant.

3. Finalités du traitement

• Exécution du contrat d'abonnement et fourniture du Service.
• Facturation et recouvrement.
• Support technique et communication transactionnelle.
• Sécurité, prévention de la fraude et maintien de l'intégrité du Service.
• Amélioration du Service sur la base de statistiques agrégées.
• Connaître les campagnes et les sites qui amènent des visites et des essais, essai par essai.
• Respect des obligations légales applicables (comptabilité, fiscalité, conservation des pièces).
• Mesurer l'efficacité de nos annonces Google, avec votre accord.

4. Base légale du traitement

• Exécution du contrat (art. 6 §1 let. b RGPD ; art. 31 al. 2 let. a LPD) — données de compte, de facturation, de support.
• Obligation légale (art. 6 §1 let. c RGPD ; art. 958f CO) — conservation comptable des factures pendant 10 ans.
• Intérêt légitime (art. 6 §1 let. f RGPD ; art. 31 al. 1 LPD) — sécurité du Service, prévention des abus, amélioration produit sur base agrégée, mesure de l'origine des visites et des essais.
• Fonctions d'IA — exécution du contrat et intérêt légitime (art. 6 §1 let. b et f RGPD ; art. 31 LPD) : le Client est informé des fournisseurs utilisés (section 16) et peut demander la désactivation de ces fonctions.
• Consentement (art. 6 §1 let. a RGPD ; art. 31 al. 1 LPD) — pour les communications non strictement contractuelles et pour la balise Google Ads sur arkstock.ch, que vous pouvez refuser ou retirer à tout moment.

5. Destinataires et sous-traitants ultérieurs

ark.swiss sàrl n'utilise aucun service tiers commercial d'analyse du comportement (ni Google Analytics, ni Meta Pixel, ni LinkedIn Insight, ni Hotjar, ni Intercom). Les fournisseurs d'IA sont utilisés selon leurs conditions d'API, qui excluent en principe l'entraînement de leurs modèles sur les données transmises.

Mesure interne. Les événements de visite et l'origine des essais sont enregistrés dans la centrale app.ark.swiss. Cette centrale est le propre système de ark.swiss sàrl, qui l'exploite elle-même. Ces données ne sont pas vendues. Une seule information sort : pour un essai démarré après un clic sur une annonce Google, l'identifiant de ce clic et l'heure de l'inscription sont transmis à Google Ads, sans nom ni adresse e-mail.

Balise Google Ads. Si vous l'acceptez, arkstock.ch charge la balise Google Ads décrite dans la Politique Cookies. L'application ark.stock n'utilise ni cette balise ni aucun autre traceur publicitaire.

6. Transferts à l'étranger

Notre infrastructure applicative, sa continuité d'activité et ses sauvegardes sont hébergées exclusivement en Europe. La production principale est opérée par netcup GmbH à Vienne (Autriche, Union européenne), avec une copie de secours des bases répliquée en continu chez Infomaniak Network SA à Genève et des sauvegardes historiques Borg indépendantes sur une infrastructure propre à ark.swiss en Suisse. Les données strictement nécessaires au traitement des paiements transitent par Stripe Payments Europe Ltd. (Irlande, Union européenne) dans le cadre des décisions d'adéquation applicables. Les requêtes IA sont traitées par le fournisseur choisi : en Suisse pour Infomaniak ; OpenAI, Anthropic, Google et OpenRouter peuvent les traiter hors d'Europe, notamment aux États-Unis. Les transferts vers les États-Unis (Cloudflare) sont encadrés par le cadre de protection des données UE-États-Unis et, subsidiairement, par les clauses contractuelles types de la Commission européenne. Avec votre accord, la balise Google Ads transmet des données à Google LLC aux États-Unis, certifiée selon le Data Privacy Framework UE-États-Unis et Suisse-États-Unis.

7. Durées de conservation

• Données de compte : durée de l'abonnement + 30 jours après résiliation.
• Contenu Client : durée de l'abonnement + 30 jours (fenêtre d'export).
• Factures et pièces comptables : 10 ans (art. 958f CO). Cette obligation légale est opposable au droit d'effacement.
• Logs techniques : 14 jours dans la journalisation centrale ; les copies incluses dans les sauvegardes disparaissent avec leur rotation (au plus 24 mois).
• Données de prospection : 24 mois maximum après le dernier contact.
• Identifiant de visiteur (ark_vid) : renouvelé 13 mois après sa création. Vous pouvez l'effacer plus tôt depuis votre navigateur.
• Origine de la visite dans le navigateur : jusqu'à la fermeture de l'onglet.
• Événements de visite et origine de la première visite dans la centrale : 13 mois, puis suppression automatique.
• Origine jointe à un essai (source et campagne de la visite, identifiant de clic publicitaire, site de provenance) : 24 mois après l'inscription, ou jusqu'à la suppression du compte si elle intervient avant.
• Cookies Google Ads sur arkstock.ch (avec votre accord) : 90 jours ; votre choix (ark_consent) : 6 mois.

Les données de mesure d'audience ne sont transmises à aucun tiers, sauf l'identifiant de clic Google Ads et, avec votre accord, les données de la balise Google Ads décrits à la section 5. Vous pouvez demander leur suppression avant ces échéances (section 9).

8. Sécurité

Les mesures techniques et organisationnelles comprennent : chiffrement en transit (TLS 1.2 minimum, via Cloudflare), chiffrement au repos des identifiants, jetons et réglages sensibles en AES-256-GCM, base de données propre à chaque client, export quotidien des bases et archives Borg chiffrées en Suisse, double authentification disponible pour les comptes, accès aux serveurs par clé SSH uniquement, journal des actions sensibles dans chaque Instance, analyses de sécurité automatiques (Trivy, Semgrep) à chaque build, surveillance des services et des sauvegardes avec alertes.

9. Droits des personnes concernées

Conformément aux art. 25 ss LPD et aux art. 15 à 22 RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 25 LPD / art. 15 RGPD).
• Droit de rectification (art. 32 LPD / art. 16 RGPD).
• Droit d'effacement (art. 32 LPD / art. 17 RGPD), sous réserve de la conservation légale de 10 ans pour les factures.
• Droit à la portabilité (art. 28 LPD / art. 20 RGPD) — export CSV ou Excel, avec les fichiers joints.
• Droit d'opposition (art. 30 LPD / art. 21 RGPD).
• Droit de retirer son consentement à tout moment (art. 30 LPD / art. 7 §3 RGPD).

Pour exercer ces droits, écrivez à [email protected]. Une réponse est apportée dans un délai maximal de 30 jours. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur l'identité du requérant.

10. Décisions automatisées et profilage

ark.swiss sàrl ne prend aucune décision individuelle automatisée produisant des effets juridiques au sens de l'art. 21 LPD et de l'art. 22 RGPD. Les propositions produites par les modèles d'IA (fiches d'articles, réponses de l'assistant) sont soumises à la validation de l'utilisateur ; aucune fiche n'est modifiée sans son accord.

11. Cookies

Les cookies et traceurs sont décrits dans la Politique Cookies.

12. Violations de données

Lorsqu'une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, ark.swiss sàrl l'annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais (art. 24 LPD). Elle informe les personnes concernées lorsque leur protection l'exige ou que le PFPDT le demande.

Lorsque le RGPD s'applique, ark.swiss sàrl notifie l'autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes concernées (art. 33 RGPD), et informe celles-ci si le risque est élevé (art. 34 RGPD).

13. Autorité de contrôle

Vous disposez du droit d'introduire une réclamation auprès d'une autorité de contrôle :

• Suisse — Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.
• Union européenne — autorité de contrôle du pays de résidence (par exemple la CNIL en France).

14. Contact protection des données

ark.swiss sàrl n'est pas légalement tenue de désigner un délégué à la protection des données (DPD/DPO). Les demandes sont traitées par un point de contact dédié : [email protected].

Pour les clients B2B soumis à la nLPD ou au RGPD, un Accord de traitement des données (DPA) formel, conforme à l'art. 28 RGPD et à l'art. 9 LPD, est disponible et accepté automatiquement lors de la souscription. Une version PDF signée bilatéralement peut être fournie sur demande à [email protected].

15. Modifications

La présente politique peut être modifiée. Toute modification substantielle est notifiée par email et une version archivée reste disponible sur demande.

16. Fonctions d'intelligence artificielle

ark.stock propose des fonctions d'IA pour compléter une fiche d'article, analyser et classer les documents déposés et rechercher dans l'inventaire.

Fournisseurs. L'administrateur de l'Instance choisit le modèle dans les réglages IA : « Souverain » utilise un modèle hébergé en Suisse par Infomaniak, « Performant » un modèle d'OpenAI. Des modèles d'Anthropic et de Google peuvent aussi être configurés ; la recherche web d'une fiche passe par Google. Le classement de certains documents peut utiliser un modèle de décision accessible par OpenRouter, lorsque ce routage est configuré. Les données envoyées transitent alors par les serveurs du fournisseur concerné, selon ses conditions, y compris hors d'Europe.

Le Client peut demander la désactivation des fonctions d'IA de son Instance à [email protected].

En cas de divergence entre les versions linguistiques, la version française fait foi.