Dernière mise à jour : 14 avril 2026
La présente politique a pour objet d'informer les personnes concernées des traitements de données personnelles opérés par ark.swiss sàrl, conformément à l'article 19 de la loi fédérale sur la protection des données (LPD, révisée au 1er septembre 2023) et à l'article 13 du Règlement général sur la protection des données (RGPD).
1. Responsable de traitement
ark.swiss sàrl
Chemin de la Duchesne 13, 1806 St-Légier, canton de Vaud, Suisse
Email général : info@arkstock.ch
Email protection des données : privacy@ark.swiss
2. Personnes concernées et données collectées
- Visiteurs du site arkstock.ch : logs serveur techniques (adresse IP tronquée, user-agent, page visitée, date et durée de la consultation).
- Prospects (formulaire d'inscription) : prénom, nom, adresse email, numéro de téléphone éventuel, nom d'organisation, sous-domaine souhaité, produit et plan choisis.
- Clients : identifiants de connexion, préférences, historique de facturation, correspondance de support.
- Données comptables et fiduciaires du Client (données de tiers) : écritures, pièces justificatives, données de contacts et de mandants, traitées pour le compte du Client, qui en est le responsable de traitement ; ark.swiss sàrl agit en qualité de sous-traitant.
3. Finalités du traitement
- Exécution du contrat d'abonnement et fourniture du Service (Compta, Fiduciaire, Budget).
- Facturation et recouvrement.
- Support technique et communication transactionnelle.
- Sécurité, prévention de la fraude et maintien de l'intégrité du Service.
- Amélioration du Service sur la base de statistiques agrégées.
- Respect des obligations légales (comptabilité, fiscalité, LBA le cas échéant pour la clientèle fiduciaire).
4. Base légale du traitement
- Exécution du contrat (art. 6 §1 let. b RGPD ; art. 31 al. 2 let. a LPD) — données de compte, de facturation, de support.
- Obligation légale (art. 6 §1 let. c RGPD ; art. 958f CO) — conservation comptable des factures pendant 10 ans.
- Intérêt légitime (art. 6 §1 let. f RGPD ; art. 31 al. 1 LPD) — sécurité du Service, prévention des abus, amélioration produit sur base agrégée.
- Consentement (art. 6 §1 let. a RGPD ; art. 31 al. 1 LPD) — pour les fonctionnalités d'IA optionnelles et les communications non strictement contractuelles.
5. Destinataires et sous-traitants ultérieurs
| Sous-traitant | Localisation | Finalité |
|---|---|---|
| Infomaniak Network SA | Genève, Suisse | Hébergement applicatif et base de données, SMTP transactionnel |
| Stripe Payments Europe Ltd. | Dublin, Irlande (UE) | Encaissement des paiements par carte |
| Cloudflare, Inc. | San Francisco, États-Unis | CDN, DNS, protection réseau (SCC + adéquation) |
| OpenAI Ireland Ltd. | Dublin, Irlande (UE) | Modèles IA pour catégorisation comptable (activation optionnelle) |
| Anthropic Ireland Ltd. | Dublin, Irlande (UE) | Modèles IA pour assistance et rédaction (activation optionnelle) |
| Google Cloud EMEA Ltd. | Dublin, Irlande (UE) | Modèles IA complémentaires (activation optionnelle) |
| Umami (auto-hébergé par ark.swiss sàrl) | Suisse | Analytics sans cookies |
ark.swiss sàrl n'utilise aucun service tiers commercial d'analyse du comportement (ni Google Analytics, ni Meta Pixel, ni LinkedIn Insight, ni Hotjar, ni Intercom). Les fournisseurs d'IA ne sont utilisés qu'avec des engagements contractuels interdisant l'entraînement de leurs modèles sur les données Client.
6. Transferts à l'étranger
Les données applicatives (comptes, écritures comptables, documents fiduciaires) sont hébergées exclusivement en Suisse chez Infomaniak Network SA. Les données strictement nécessaires au traitement des paiements transitent par Stripe Payments Europe Ltd. (Irlande, Union européenne) dans le cadre des décisions d'adéquation applicables. Les requêtes vers les fournisseurs d'IA transitent par des entités européennes lorsque cela est techniquement possible. Les transferts vers les États-Unis (Cloudflare) sont encadrés par le cadre de protection des données UE-États-Unis et, subsidiairement, par les clauses contractuelles types de la Commission européenne.
7. Durées de conservation
- Données de compte : durée de l'abonnement + 30 jours après résiliation.
- Contenu Client : durée de l'abonnement + 30 jours (fenêtre d'export).
- Factures et pièces comptables : 10 ans (art. 958f CO). Cette obligation légale est opposable au droit d'effacement.
- Logs techniques : 12 mois maximum.
- Données de prospection : 24 mois maximum après le dernier contact.
8. Sécurité
Les mesures techniques et organisationnelles incluent : chiffrement en transit (TLS 1.2 minimum), chiffrement au repos des credentials et tokens en AES-256-GCM, isolation de la base de données par container, sauvegardes quotidiennes chiffrées, journalisation des accès, authentification multi-facteur obligatoire sur les comptes administrateurs, revue trimestrielle des droits, tests de sécurité réguliers.
9. Droits des personnes concernées
Conformément aux art. 25 ss LPD et aux art. 15 à 22 RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 25 LPD / art. 15 RGPD).
- Droit de rectification (art. 32 LPD / art. 16 RGPD).
- Droit d'effacement (art. 32 LPD / art. 17 RGPD), sous réserve de la conservation légale de 10 ans pour les factures.
- Droit à la portabilité (art. 28 LPD / art. 20 RGPD) — export JSON/CSV et export Crésus natif pour ark.stock Compta.
- Droit d'opposition (art. 30 LPD / art. 21 RGPD).
- Droit de retirer son consentement à tout moment (art. 30 LPD / art. 7 §3 RGPD).
Pour exercer ces droits, écrivez à privacy@ark.swiss. Une réponse est apportée dans un délai maximal de 30 jours. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur l'identité du requérant.
10. Décisions automatisées et profilage
ark.swiss sàrl ne prend aucune décision individuelle automatisée produisant des effets juridiques au sens de l'art. 21 LPD et de l'art. 22 RGPD. Les suggestions de catégorisation comptable produites par les modèles d'IA sont toujours soumises à la validation humaine du Client ou de son comptable ; aucune écriture n'est enregistrée sans validation.
11. Cookies
Les cookies et traceurs sont décrits dans la Politique Cookies.
12. Violations de données
En cas de violation de la sécurité des données présentant un risque pour les personnes concernées, ark.swiss sàrl notifie le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les 72 heures suivant la prise de connaissance (art. 24 LPD, art. 33 RGPD) et informe les personnes concernées si le risque est élevé (art. 34 RGPD).
13. Autorité de contrôle
Vous disposez du droit d'introduire une réclamation auprès d'une autorité de contrôle :
- Suisse — Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.
- Union européenne — autorité de contrôle du pays de résidence (par exemple la CNIL en France).
14. Contact protection des données
ark.swiss sàrl n'est pas légalement tenue de désigner un délégué à la protection des données (DPD/DPO). Les demandes sont traitées par un point de contact dédié : privacy@ark.swiss.
Pour les clients B2B (fiduciaires, cabinets, entreprises soumises au RGPD/nLPD), un Accord de traitement des données (DPA) formel, conforme à l'art. 28 RGPD et à l'art. 9 LPD, est disponible et accepté automatiquement lors de la souscription. Une version PDF signée bilatéralement peut être fournie sur demande à privacy@ark.swiss.
15. Modifications
La présente politique peut être modifiée. Toute modification substantielle est notifiée par email et une version archivée reste disponible sur demande.
En cas de divergence entre les versions linguistiques, la version française fait foi.