Déclaration de protection des données

Le responsable du traitement au sens de la loi sur la protection des données est :

Fristo — une offre de Hoang Nguyen
Hohfurristrasse 24, 8408 Winterthur, Suisse
datenschutz@fristo.ch

Pour les clients de l’EEE : nous traitons les données depuis la Suisse. L’UE reconnaît à la Suisse un niveau de protection des données adéquat.

Cette déclaration décrit ce que nous faisons nous-mêmes des données : sur notre site web, lors de la connexion, de la facturation et du support.

Pour les données qu’une entreprise saisit dans Fristo — y compris celles de ses collaborateurs et des entreprises externes, ainsi que les signalements faits via les étiquettes QR —, c’est l’entreprise qui est responsable. Nous les traitons pour son compte et selon ses instructions (CG § 8 et convention de sous-traitance). Le mieux est d’adresser vos questions à ce sujet à l’entreprise ; ce qui nous parvient, nous le lui transmettons.

Compte : nom, adresse e-mail, numéro de téléphone (facultatif), rôle, langue.

Données d’exploitation : bâtiments, installations, ordres de travail, signalements, échéances de contrôle, documents, photos et plans, ainsi que les justificatifs correspondants — c’est-à-dire ce que vous saisissez vous-même.

Messages : les messages, photos et fichiers que les personnes d’une entreprise s’échangent sont enregistrés par nous en tant que données d’exploitation, pour le compte de l’entreprise. Peuvent les lire les membres de la conversation ; une conversation liée à un ordre de travail, toutes les personnes autorisées à voir cet ordre de travail. L’administration de l’entreprise ne lit pas les conversations directes et les groupes dont elle n’est pas membre. Un message supprimé perd immédiatement son texte et ses pièces jointes. Dans le navigateur, les messages arrivent par un service de Laravel Cloud à Francfort ; sur le téléphone, par Apple (section « L’app Fristo »). Ils sont conservés aussi longtemps que dure le contrat de l’entreprise.

Signalements sans compte : qui signale une panne via une étiquette QR indique un texte et, facultativement, un nom et une adresse e-mail — l’adresse lui permet d’apprendre quelle suite a été donnée. Aucun compte n’est créé à cette occasion.

Annonces sans compte : les entreprises externes annoncent via un lien leur intervention auprès d’une entreprise qui dispose du module complémentaire Accès et clés — avec une personne de contact, les personnes qui viennent et une signature ; une entreprise de nettoyage confirme son travail dans le module complémentaire Nettoyage via le lien de son badge. L’entreprise est responsable (section « Ce dont l’entreprise est responsable ») ; aucun compte n’est créé à cette occasion.

Connexion : le moment de la dernière connexion, la session et les codes de connexion, chacun avec l’adresse IP (section « Journaux et adresses IP »).

Acceptation des conditions : qui ouvre un compte accepte les CG et les conditions d’utilisation. Nous consignons qui a accepté quelle version, à quel moment et dans quelle langue.

Contrats : si vous signez dans Fristo un contrat avec nous, nous consignons à titre de preuve le nom, la fonction, l’adresse e-mail, le moment, l’adresse IP et l’identification du navigateur.

Facturation : adresse de facturation, palier, factures et paiements. Nous ne voyons jamais les données de carte. Si vous choisissez la QR-facture, nous vérifions le numéro IDE de votre entreprise dans le registre IDE public de l’Office fédéral de la statistique. Nous consignons le résultat, la raison sociale selon le registre et le moment, et tenons compte de votre comportement de paiement envers nous (rappels). Nous ne consultons aucune agence de renseignements commerciaux.

E-mails qui nous sont adressés et notre carnet d’adresses : qui nous écrit — via le formulaire de contact ou par e-mail — figure ensuite dans notre carnet d’adresses, avec son nom, son adresse e-mail et ce qu’il nous communique (par exemple entreprise, téléphone, fonction), ainsi que les messages eux-mêmes. Ainsi, nous retrouvons l’échange et ne repartons pas de zéro à chaque fois.

Demandes de renseignements, de suppression et de limitation : nous consignons qui a demandé quoi et quand, et ce que nous avons fait — à titre de preuve, dans un procès-verbal signé.

Formulaire de contact et visite de nos pages publiques : chacun dans sa propre section ci-dessous.

Pour faire fonctionner l’application : calculer les échéances, attribuer les ordres, produire les justificatifs, vous connecter et vous avertir. En outre pour la facturation et le support, pour la sécurité et pour détecter et corriger les erreurs. Vos données d’exploitation ne sont pas analysées à d’autres fins et ne sont pas vendues à des tiers.

Selon la finalité :

Exécution du contrat (art. 31 al. 2 let. a LPD, art. 6 par. 1 let. b RGPD) — pour exploiter l’application et facturer.

Intérêt légitime (art. 31 al. 1 LPD, art. 6 par. 1 let. f RGPD) — pour la sécurité, la lutte contre les abus et la recherche d’erreurs, le comptage anonyme des pages consultées, la protection anti-spam du formulaire de contact et la conservation des documents qu’exige le droit suisse.

Consentement (art. 6 par. 1 let. a RGPD) — exclusivement pour la statistique de visites avec identifiant. Vous pouvez le retirer à tout moment via « Paramètres des cookies » en bas de chaque page ; ce qui a été collecté jusque-là reste licite.

Au-delà, nous ne faisons rien qui exigerait un consentement : pas de pistage publicitaire, pas de profils, pas de transmission à des fins étrangères. Nous ne prenons pas de décisions individuelles automatisées.

L’application et la base de données fonctionnent sur des serveurs à Francfort-sur-le-Main (région eu-central-1), exploités via Laravel Cloud sur Amazon Web Services. Les sauvegardes quotidiennes s’y trouvent également.

Les fichiers — photos, documents, plans, justificatifs — sont stockés dans un espace de stockage de Cloudflare (R2) que Laravel Cloud exploite pour nous. Son emplacement n’est pas limité à l’UE.

Du point de vue suisse, il s’agit d’une communication à l’étranger. Vers les États de l’EEE, elle est licite parce que le Conseil fédéral leur reconnaît un niveau de protection des données adéquat (annexe 1 de l’ordonnance sur la protection des données). Ce qui est transmis aux États-Unis et la garantie sur laquelle nous nous fondons pour cela figurent dans la section suivante.

Certains de nos prestataires ont leur siège aux États-Unis et peuvent y être contraints par les autorités de remettre des données. Les contrats conclus avec eux les obligent à examiner de telles demandes et à nous en informer, dans la mesure où la loi le permet. La transmission est chiffrée, et nous-mêmes ne remettons des données que dans la mesure où la loi nous y oblige.

Nous recourons à des prestataires qui traitent des données pour notre compte. Nous avons conclu un contrat de sous-traitance avec chacun d’eux.

– Laravel Holdings Inc. (États-Unis) avec Laravel Cloud : exploitation de l’application, de la base de données, du stockage de fichiers et des sauvegardes. Laravel fait appel pour cela à ses propres sous-traitants ultérieurs, notamment Amazon Web Services (centres de données à Francfort) et Cloudflare (stockage de fichiers et le réseau qui achemine chaque requête et repousse les attaques ; votre adresse IP est alors traitée).

– Laravel Nightwatch (également Laravel Holdings Inc.) : surveillance des erreurs et des temps de réponse. Pour chaque consultation sont consignés l’adresse appelée, le moment, la durée et le résultat, ainsi qu’une adresse IP tronquée et l’identifiant de la personne connectée — ni son nom, ni son adresse e-mail, ni ce que vous saisissez dans les formulaires. En outre, les messages d’erreur et l’objet des e-mails envoyés. Les données se trouvent dans l’UE et sont supprimées après 90 jours.

– cyon GmbH (Bâle, Suisse) : envoi de nos e-mails — codes de connexion, notifications, accusés de réception, factures. Le traitement a lieu en Suisse.

– Anthropic PBC (États-Unis) : uniquement si vous utilisez « Reprendre du document », la reconnaissance des locaux sur le plan d’étage ou le module Saisie de justificatifs par IA. Le document choisi est transmis à un modèle de langage pour analyse ; la proposition revient dans un formulaire que vous voyez et modifiez avant d’enregistrer. Contractuellement, Anthropic n’utilise pas les données pour l’entraînement et supprime les entrées et les résultats dans un délai de 30 jours — sauf obligation de les conserver plus longtemps en raison d’un abus ou en vertu de la loi. Le même modèle peut nous aider à formuler des réponses à vos messages ; le texte du message est alors transmis lui aussi.

– Stripe Payments Europe Ltd. (Irlande) : paiements par carte, dès que vous payez un abonnement payant par carte. Les données de carte vont directement à Stripe ; nous ne les voyons ni ne les stockons jamais. Pour la lutte contre la fraude et les obligations légales, Stripe est responsable en propre et transmet à cet effet des données à Stripe Inc. (États-Unis).

– Google LLC (États-Unis) : reCAPTCHA dans le formulaire de contact (section « Le formulaire de contact et sa protection anti-spam »).

– Apple (Apple Distribution International Ltd., Irlande, et Apple Inc., États-Unis) : acheminement des notifications vers l’app Fristo. Apple fonde le transfert vers les États-Unis sur les clauses contractuelles types de la Commission européenne.

PostFinance AG (Berne) récupère pour nous les paiements reçus sur les QR-factures ; en tant que banque, elle traite les données sous sa propre responsabilité.

Pour notre propre communication et notre administration — e-mail, applications bureautiques, comptabilité, envois — nous utilisons des services usuels ayant leur siège ou leurs centres de données en Suisse et dans l’UE. Ce que vous nous écrivez s’y trouve.

Des données sont transmises aux États-Unis à Laravel, Cloudflare, Anthropic, Stripe, Google et Apple. Laravel, Cloudflare, Stripe et Google sont certifiés selon le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et son volet Suisse-États-Unis ; pour les entreprises certifiées, la Suisse et l’UE reconnaissent un niveau de protection adéquat. Avec Anthropic s’appliquent les clauses contractuelles types de la Commission européenne, dans la version reconnue par le PFPDT ; il en va de même, à titre complémentaire, pour tous les autres si une certification venait à disparaître.

Au-delà, nous ne transmettons aucune donnée — sauf obligation légale.

À chaque consultation, notre hébergeur et son réseau traitent votre adresse IP afin de livrer la page et de repousser les attaques.

Nous-mêmes limitons par adresse IP les tentatives de connexion, les signalements et les demandes envoyées via le formulaire de contact ; ces compteurs expirent au plus tard après une heure. Pour un code de connexion, nous enregistrons votre adresse e-mail et votre adresse IP et supprimons les deux après 30 jours. Votre session peut contenir l’adresse IP et l’identification du navigateur ; elle prend fin deux heures après la dernière consultation. Si vous signez un contrat dans Fristo, nous consignons l’adresse IP et l’identification du navigateur à titre de preuve, aussi longtemps que le contrat doit être conservé.

Au-delà, nous n’enregistrons aucune adresse IP — ni dans le formulaire de contact ni lors des signalements via une étiquette QR.

Tant que votre compte existe. Après la fin du contrat, les données de votre entreprise restent encore accessibles en lecture seule pendant un certain temps, afin que vous puissiez les exporter intégralement — au moins 30 jours et au plus un an ; nous vous indiquons le délai exact avec la résiliation. Ensuite, nous les supprimons. Les justificatifs que vous avez déposés vous-même restent lisibles tels quels jusque-là.

Les sauvegardes remontent à un mois ; les plus anciennes sont supprimées. Des données supprimées peuvent donc y figurer encore pendant ce laps de temps.

Codes de connexion : 30 jours. Demandes envoyées via le formulaire de contact et e-mails qui nous sont adressés, avec l’échange qui s’y rapporte : deux ans après le dernier message — ensuite, nous les supprimons automatiquement, et avec eux l’entrée dans le carnet d’adresses, à moins que vous ne soyez client ou partenaire commercial. Statistique de visites avec identifiant : 14 mois. Procès-verbaux des renseignements, suppressions et limitations : dix ans, à titre de preuve.

Nous conservons les factures et pièces comptables dix ans, parce que le code des obligations l’exige (art. 958f CO). Nous conservons les contrats signés et l’acceptation des conditions aussi longtemps que les prétentions qui en découlent ne sont pas prescrites — jusqu’à dix ans après la fin du contrat (art. 127 CO).

Mesures techniques et organisationnelles selon l’état de la technique :

Transmission chiffrée (TLS) sur tous les chemins.

Connexion sans mot de passe — par code unique ou passkey. Avec une passkey, l’empreinte digitale et le visage restent sur votre appareil ; nous ne les recevons jamais.

Séparation des entreprises au niveau de la base de données, et pas seulement dans l’interface.

Sauvegardes quotidiennes et accès du support journalisés.

Personne ne peut garantir une sécurité absolue. Si nous constatons une violation de la sécurité des données qui vous concerne, nous vous en informons, ainsi que — lorsque la loi l’exige — l’autorité de contrôle.

Lors de votre première visite, nous vous demandons quels cookies vous autorisez. Vous pouvez modifier votre choix à tout moment via « Paramètres des cookies » en bas de chaque page.

Nécessaires — toujours actifs, car la page ne fonctionne pas sans eux :
– fristo-session : votre session et votre connexion, deux heures après la dernière consultation
– XSRF-TOKEN : protection contre l’abus de formulaires, même durée
– appearance : votre choix d’apparence, un an ; sidebar_state : si la barre latérale de l’application est ouverte, sept jours
– fristo_consent : votre réponse à cette question, un an
– fristo_reinigung : le badge d’une entreprise de nettoyage sur le téléphone qui a ouvert le lien du badge, un an

Analyse — uniquement avec votre consentement :
– fristo_av : un identifiant aléatoire qui nous permet de reconnaître les visites récurrentes, un an. Il ne contient rien sur vous et n’est lu que sur nos pages publiques.

En outre, la page enregistre dans la mémoire de votre navigateur (pas sous forme de cookie, et sans nous l’envoyer) : vos aides à la lecture, la devise choisie pour les prix et votre choix en matière de cookies.

Nous ne posons aucun cookie pour des tiers. Seule exception : Google reCAPTCHA. Il est chargé dès que la section contenant le formulaire de contact apparaît à l’écran et peut alors poser ses propres cookies (section « Le formulaire de contact et sa protection anti-spam »).

Ce que vous écrivez dans le formulaire — nom, adresse e-mail, facultativement entreprise et téléphone, votre message —, nous le conservons pour vous répondre. Nous supprimons automatiquement la demande et l’échange qui s’y rapporte deux ans après le dernier message.

Contre les envois en masse, nous utilisons Google reCAPTCHA v3. Dès que la section contenant le formulaire apparaît à l’écran, votre navigateur charge un script de Google. À partir de ce moment, des indications techniques sur votre appareil et votre comportement sur la page sont transmises à Google — y compris aux États-Unis —, et lors de l’envoi, elles sont converties en un score indiquant la probabilité que vous soyez un être humain. La base est notre intérêt légitime à disposer d’un formulaire qui reste joignable (art. 31 al. 1 LPD, art. 6 par. 1 let. f RGPD) ; pour le transfert aux États-Unis, nous nous fondons sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et son volet Suisse-États-Unis, au titre desquels Google est certifié.

La politique de confidentialité et les conditions d’utilisation de Google s’appliquent en outre (policies.google.com). De ce contrôle, nous ne conservons que le score, afin de pouvoir juger si le seuil est bien placé. Si la protection anti-spam retient votre demande, vous pouvez nous joindre par e-mail à email@fristo.ch.

Nous voulons savoir comment nos pages publiques — page d’accueil, pages juridiques, inscription — sont utilisées, afin de les améliorer. Pour cela, il existe deux niveaux.

Sans consentement, nous comptons anonymement : une ligne par jour avec la page, la langue, le type d’appareil (téléphone ou ordinateur) et le nom du site d’où quelqu’un venait — et un compteur. Aucune adresse IP, aucun identifiant dans votre navigateur, aucune heure. Rien ne permet de remonter à une visite, pas même pour nous.

Avec votre consentement, nous enregistrons en plus, pour chaque page consultée :
– l’identifiant aléatoire du cookie fristo_av et un identifiant de la session
– la page consultée avec son adresse, y compris les indications de campagne (utm)
– la page d’où vous veniez
– le navigateur, le système d’exploitation et le type d’appareil, déduits de l’identification que votre navigateur transmet
– le pays et, si disponible, la ville — déterminés à partir de l’adresse IP par le réseau placé en amont de notre hébergeur
– la langue, le moment et la rapidité de réponse de la page

Ne sont pas enregistrés : votre adresse IP (pas même chiffrée ou tronquée), votre nom, votre adresse e-mail ni aucun lien avec un compte. Les données sont stockées chez notre hébergeur à Francfort, ne sont pas transmises et sont supprimées après 14 mois.

Derrière la connexion, il n’y a ni statistique de visites ni analyse de votre comportement. Pour que Fristo fonctionne de manière fiable, nous y consignons des indications techniques sur chaque consultation — quelle page, à quelle vitesse, si une erreur s’est produite (Nightwatch, section « Qui d’autre a accès »).

Nous informons les comptes de nos clients dans Fristo des nouvelles fonctions, des maintenances et des pannes, les invitons à des événements et leur adressons nos vœux pour les jours fériés. Une telle circulaire apparaît parmi les notifications et sous « Actualités » ; les plus importantes, nous les envoyons en outre par e-mail ou sous forme de notification sur le téléphone (section « L’app Fristo »).

Pour cela, nous utilisons ce que votre compte contient déjà — nom, langue, rôle et entreprise —, afin qu’une circulaire atteigne les bonnes personnes, dans leur langue et à leur nom. Pour chaque personne, nous consignons si et quand elle l’a ouverte, si elle lui a déjà été affichée à l’ouverture de Fristo et si elle lui a été envoyée par e-mail : ainsi, elle compte comme lue et n’apparaît pas deux fois. Seul le nombre est évalué, jamais la personne — nous voyons combien de personnes ont ouvert une circulaire, pas lesquelles. Nous n’enregistrons pas si vous ouvrez un e-mail.

Vous pouvez vous désabonner à tout moment des circulaires par e-mail concernant les événements, les jours fériés et les nouvelles fonctions — par le lien figurant dans chaque e-mail de circulaire ou dans Fristo sous « Actualités ». Dans Fristo même, elles continuent d’apparaître. Font exception les communications sur les pannes, les maintenances et les corrections ainsi que les messages personnels concernant votre contrat : ils font partie de notre prestation et vous parviennent même après un désabonnement.

Les images des circulaires se trouvent à une adresse publique au nom aléatoire, la même pour tous les destinataires — sinon votre messagerie ne les afficherait pas. Elles ne contiennent aucune donnée d’entreprises.

Un modèle de langage d’Anthropic peut nous proposer et traduire le texte (section « Qui d’autre a accès »). Seuls nos propres textes y sont transmis, aucune indication sur vous ou votre entreprise.

La base est, pour les communications sur les pannes, les maintenances, les corrections et votre contrat, l’exécution du contrat (art. 31 al. 2 let. a LPD, art. 6 par. 1 let. b RGPD) et, pour les autres circulaires, notre intérêt légitime à informer nos clients sur Fristo (art. 31 al. 1 LPD, art. 6 par. 1 let. f RGPD).

L’app pour iPhone est un accès supplémentaire à la même application ; tout ce que contient cette déclaration s’applique aussi à elle. S’y ajoute :

Appareil : lors du couplage, nous enregistrons ce qu’est l’appareil (« iPhone »), les versions de l’app et du système d’exploitation, un nom tel que « iPhone de Marco » et la date de sa dernière utilisation. Ainsi, vous et votre entreprise voyez dans Fristo quels appareils sont connectés et pouvez déconnecter chacun d’eux séparément. Un appareil inutilisé pendant 90 jours est déconnecté automatiquement — après 30 jours pour les entreprises disposant de leur propre système de connexion.

Notifications : si vous autorisez les notifications, l’app reçoit d’Apple un identifiant auquel nous envoyons des notifications — par exemple « Nouvel ordre pour vous » avec le titre et le lieu de l’ordre de travail, ou un nouveau message avec l’expéditeur et le début du texte. Elles sont acheminées par le service push d’Apple. La déconnexion supprime l’identifiant chez nous.

Caméra et photos : la caméra lit les codes QR sur l’appareil ; seul le code reconnu est transmis. Les photos que vous prenez pour un ordre de travail, un signalement ou dans une conversation, ou que vous choisissez dans vos photos, sont transmises à Fristo comme une photo téléversée dans le navigateur.

Dictée : la reconnaissance vocale fonctionne sur l’appareil. Seul le texte reconnu est transmis, jamais l’enregistrement.

Face ID et code de l’appareil : la vérification est effectuée par le système d’exploitation. L’app apprend seulement si elle a réussi.

Sur l’appareil : pour que vous puissiez travailler sans réseau, l’app enregistre vos propres ordres de travail avec les bâtiments, installations et documents correspondants, ainsi que les saisies pas encore envoyées — avec la protection des fichiers du système d’exploitation. Les widgets, l’écran verrouillé et la Dynamic Island n’affichent que ce qui se trouve déjà sur l’appareil. À la déconnexion, l’app supprime tout cela.

Pas de publicité, pas de suivi : l’app ne contient aucune publicité ni aucun service d’analyse ou de suivi de tiers.

Le téléchargement et les mises à jour passent par l’App Store ; Apple en est elle-même responsable.

Vous pouvez demander des renseignements sur vos données et en obtenir une copie, les faire rectifier, effacer ou limiter, et les recevoir dans un format électronique courant afin de les transmettre (art. 25, 28 et 32 LPD, art. 15 à 20 RGPD).

L’essentiel se fait sans nous. Vous téléchargez les renseignements dans le profil, sous « Vos données » — un PDF signé à lire et un fichier JSON à transmettre ; pour l’entreprise entière, l’administration s’en charge sous « Support et protection des données ». Vous rectifiez vos indications dans le profil ; l’administration télécharge l’intégralité des données de l’entreprise avec l’export des données. Vous demandez la suppression et la limitation aux mêmes endroits ; nous les traitons dans un délai de 30 jours et vous envoyons un procès-verbal signé. La limitation signifie : vos données restent enregistrées et lisibles, mais elles ne sont plus modifiées ni traitées ultérieurement.

Ce que nous devons conserver à titre de preuve subsiste même après une suppression — factures, contrats signés et acceptation des conditions (section « Combien de temps »). Là où votre entreprise fait référence à vous dans ses documents — ordres de travail, retours, justificatifs —, figure ensuite « Ex-Mitarbeiter/in » (ancien·ne collaborateur·rice). Les attestations d’instruction aux dispositifs médicaux conservent nom, numéro de personnel et signature, car l’entreprise les garde comme preuve pour l’appareil (registre des dispositifs médicaux).

Sans compte ou pour toute question : datenschutz@fristo.ch. S’il s’agit de données qu’une entreprise a saisies dans Fristo, c’est elle qui en est responsable ; si vous demandez la suppression ou la limitation dans l’application, nous l’en informons, et elle peut s’y opposer dans un délai de dix jours. Si vous n’obtenez pas satisfaction, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence (edoeb.admin.ch) ; dans l’EEE, à l’autorité de contrôle compétente pour vous.

Lorsque nous nous fondons sur un intérêt légitime, vous pouvez vous opposer à tout moment au traitement — pour des raisons tenant à votre situation particulière. Un message à datenschutz@fristo.ch suffit. Nous cessons alors de traiter les données, à moins qu’il n’existe des motifs impérieux qui prévalent sur vos intérêts, ou que nous en ayons besoin pour faire valoir des droits en justice ou nous défendre contre des prétentions.

Au quotidien, nous ne voyons vos données que si vous libérez l’accès de manière visible pour une affaire précise. Il est limité dans le temps et journalisé ; vous pouvez consulter le journal.

Font exception les accès nécessaires sans votre autorisation : remédier à une panne ou à un incident de sécurité, restaurer une sauvegarde, donner suite à un indice d’abus ou remplir une obligation légale. Nous limitons de tels accès au nécessaire et les consignons.

Nous adaptons cette déclaration lorsque l’application ou la situation juridique change. L’état figure en haut. En cas de modification importante, nous informons l’administration des entreprises par e-mail ou dans l’application.