1. Contexte — la nLPD de 2023
La nouvelle loi fédérale sur la protection des données (« nLPD » ou LPD révisée) est entrée en vigueur le 1er septembre 2023. Elle remplace l'ancienne LPD de 1992 et renforce les droits des personnes concernées ainsi que les obligations des responsables de traitement et des sous-traitants. ark.stock a été conçu pour se conformer à ce cadre légal, en parallèle du respect du RGPD pour la clientèle européenne.
2. Pourquoi ark.stock est conçu « nLPD-first »
- Infrastructure applicative exclusivement européenne : production dans l'Union européenne, continuité et sauvegardes indépendantes en Suisse.
- Isolation par client : chaque client dispose de sa propre base de données et de son propre espace de fichiers. Sur la plateforme Starter, l'application est commune à tous les clients ; une Instance Enterprise tourne dans un environnement dédié.
- Chiffrement au repos des identifiants, jetons et réglages sensibles en AES-256-GCM.
- Flux transfrontières documentés : production applicative dans l'Union européenne, continuité et sauvegardes en Suisse ; les autres flux sont précisés par sous-traitant et par finalité.
- Analytics sans cookies (Umami auto-hébergé) ; balise Google Ads seulement avec votre accord, jamais dans l'application.
- IA encadrée : le Client est informé des fournisseurs d'IA utilisés et peut demander la désactivation de ces fonctions ; les fournisseurs sont utilisés selon leurs conditions d'API, qui excluent en principe l'entraînement sur les données transmises.
3. Tableau des obligations nLPD et notre réponse
| Article nLPD | Obligation | Réponse ark.stock |
|---|---|---|
| Art. 5 | Définitions (données, traitement, profilage) | Terminologie reprise dans toutes nos pages légales |
| Art. 6 | Principes : licéité, bonne foi, proportionnalité, finalité, exactitude, conservation limitée | Finalités et durées détaillées dans la Politique de confidentialité |
| Art. 8 | Sécurité des données | Mesures techniques et organisationnelles décrites à la section 4 |
| Art. 9 | Traitement par un sous-traitant | Clauses d'encadrement dans les CGU ; liste publique des sous-traitants ultérieurs |
| Art. 12 | Registre des activités de traitement | Registre tenu lorsque l'art. 12 LPD l'exige |
| Art. 16-17 | Communication transfrontière | Production applicative dans l'UE ; continuité et sauvegardes en Suisse ; autres flux documentés par sous-traitant et finalité |
| Art. 19-21 | Devoir d'information, décisions automatisées | Couvert par la Politique de confidentialité ; aucune décision automatisée à effet juridique |
| Art. 22 | Analyse d'impact relative à la protection des données (AIPD) | Analyse d'impact lorsqu'un traitement présente un risque élevé, comme le prévoit l'art. 22 LPD |
| Art. 24 | Annonce de violations de la sécurité des données | Annonce au PFPDT dans les meilleurs délais en cas de risque élevé |
| Art. 25 | Droit d'accès | Réponse sous 30 jours à [email protected] |
| Art. 28 | Droit à la remise ou à la transmission des données | Export CSV ou Excel disponible, avec les fichiers joints |
| Art. 30 | Traitements portant atteinte à la personnalité, droit d'opposition | Traité par le point de contact privacy |
| Art. 32 | Droit de rectification et d'effacement | Réponse sous 30 jours, sous réserve des obligations comptables de 10 ans |
| Art. 49 | Plainte au PFPDT | Coordonnées fournies dans la Politique de confidentialité |
4. Mesures techniques et organisationnelles (résumé)
- Transit : TLS 1.2 minimum et TLS 1.3 disponible via Cloudflare, HSTS, en-têtes CSP.
- Repos : AES-256-GCM pour les identifiants, jetons et réglages sensibles.
- Accès : double authentification disponible pour les comptes ; rôles et droits configurables dans l'Instance ; accès aux serveurs par clé SSH uniquement.
- Résilience : export quotidien des bases, réplication continue vers Genève, archives Borg chiffrées en Suisse (14 quotidiennes, 8 hebdomadaires, 24 mensuelles) ; chaque cycle complet contrôle l'intégrité des archives et restaure un fichier témoin.
- Surveillance : contrôles automatiques des services, de la réplication et des sauvegardes, avec alertes.
- Développement : analyses de sécurité Trivy et Semgrep à chaque build.
5. Renvois
- Politique de confidentialité — mentions substantives d'information
- Politique Cookies — traceurs et stockage local
- Conditions générales d'utilisation — cadre contractuel
- Accord de traitement des données (DPA) — sous-traitance (art. 28 RGPD / art. 9 LPD)
6. Contact protection des données
En cas de divergence entre les versions linguistiques, la version française fait foi.