Politique de confidentialité

Dernière mise à jour : 20 octobre 2026

1. Préambule et engagements

SAI ERP Sàrl (« nous », « SosJack ») attache la plus grande importance à la protection des données à caractère personnel. La présente politique décrit la manière dont nous collectons, utilisons, protégeons et partageons les données dans le cadre du service SosJack.

Le traitement des données personnelles s'inscrit dans le respect de la Loi fédérale suisse sur la protection des données (nLPD) et du Règlement général sur la protection des données (RGPD) de l'Union européenne lorsque celui-ci est applicable.

La présente politique est communiquée à titre d'information. Pour les données que nous traitons pour le compte des organisations clientes, l'accord de traitement des données (DPA) prévaut en cas de divergence.

2. Responsable du traitement

Pour les organisations utilisatrices du Service, SAI ERP Sàrl agit en qualité de sous-traitant (au sens du RGPD) ou de prestataire (au sens de la nLPD) pour le traitement des données des remplaçants contactés via la plateforme. Chaque organisation cliente reste responsable de traitement pour les données de son propre vivier de remplaçants.

SAI ERP Sàrl n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas requise au regard de la nature et du volume des traitements qu'elle opère.

3. Données collectées

3.1 Comptes utilisateurs (employeurs, gestionnaires, administrateurs)

• Identité : prénom, nom, rôle dans l'organisation
• Contact : adresse e-mail professionnelle
• Authentification : mot de passe haché (bcrypt), jetons de session
• Organisation de rattachement et plan tarifaire souscrit

3.2 Remplaçants (contacts importés par les organisations)

• Identité : prénom, nom
• Coordonnées : e-mail, numéro de téléphone mobile
• Métadonnées opérationnelles : tags, cercle de priorité, disponibilités, historique des réponses et des remplacements, heures effectuées, statut d'activité, consentement et désinscription
• Contrats de mission et éléments de preuve de leur signature (signature tracée, date et heure, adresse IP et navigateur, confirmation par code reçu par SMS, empreinte du document signé)

3.3 Données d'usage et techniques

• Journaux d'accès (adresse IP, horodatage, agent utilisateur) à des fins de sécurité et de diagnostic
• Événements d'usage anonymisés (création de demande, réponse, confirmation)
• Abonnements aux notifications push (s'ils sont activés par l'utilisateur)

3.4 Données de facturation

• Raison sociale, adresse et identifiants fiscaux (IDE / TVA) de l'organisation cliente
• Historique des factures et consommation de crédits

Nous ne stockons pas les données de carte bancaire. Les paiements sont traités par des prestataires spécialisés conformes à la norme PCI-DSS.

4. Finalités et bases légales

• Fourniture du Service - base légale : exécution d'un contrat ou mesures précontractuelles
• Envoi de notifications aux remplaçants (e-mail, SMS, WhatsApp), base légale : intérêt légitime du client à pourvoir un remplacement, avec possibilité de désinscription en un clic
• Facturation et comptabilité - base légale : exécution du contrat et obligations légales
• Sécurité, prévention des abus, maintenance - base légale : intérêt légitime
• Amélioration produit (statistiques agrégées, non identifiantes), base légale : intérêt légitime
• Notifications push navigateur - base légale : consentement révocable à tout moment

5. Destinataires et sous-traitants

Les données sont accessibles aux collaborateurs autorisés de SAI ERP Sàrl, ainsi qu'aux sous-traitants suivants, tous encadrés contractuellement :

Pour le Service :

• Hébergement : Hetzner Online GmbH, centres de données situés en Allemagne (Union européenne)
• Envoi d'e-mails transactionnels : Mailgun, du groupe Sinch, région Union européenne
• Envoi de SMS et messages WhatsApp : Twilio Inc., États-Unis
• Messagerie WhatsApp : WhatsApp Ireland Ltd. et Meta Platforms, Inc., Irlande et États-Unis, dont l'infrastructure achemine les messages WhatsApp transmis par Twilio
• Encaissement des paiements : Stripe Payments Europe, Limited, Irlande, conforme PCI-DSS. Aucune donnée de carte bancaire n'est stockée par SAI ERP Sàrl. Stripe agit en partie comme sous-traitant pour notre compte et en partie comme responsable du traitement indépendant, notamment pour l'exécution des paiements et la lutte contre la fraude.

Pour les pages publiques (site vitrine et blog) :

• Mesure d'audience : Google LLC (Google Analytics 4), États-Unis, uniquement après votre consentement. Voir la section 9.

La liste qui fait foi, avec le détail des garanties applicables à chaque sous-traitant du Service, figure à la section 7 de l'accord de traitement des données. Toute question : admin@sosjack.com.

6. Transferts hors Suisse / UE

Les données du Service sont hébergées dans l'Union européenne (Allemagne, chez Hetzner), et le seront en Suisse après la migration annoncée à la section 5. L'acheminement des e-mails et l'encaissement des paiements ont lieu au sein de l'Espace économique européen. L'acheminement des SMS et des messages WhatsApp fait intervenir Twilio Inc., aux États-Unis, et, pour WhatsApp, WhatsApp Ireland Ltd. et Meta Platforms, Inc. ; Twilio Inc. et Meta Platforms, Inc. sont certifiées au Swiss-U.S. Data Privacy Framework. La mesure d'audience des pages publiques fait intervenir Google LLC, aux États-Unis, et uniquement après votre consentement. Tout transfert vers un État qui n'offre pas un niveau de protection adéquat est encadré par des garanties appropriées, notamment une telle certification ou des clauses contractuelles types, conformément au RGPD et à la nLPD.

7. Durées de conservation

• Données de l'organisation cliente : pendant toute la durée du contrat. Le Client peut les exporter à tout moment ; au terme du contrat, elles restent exportables pendant trente (30) jours, puis sont effacées par anonymisation, sous réserve des durées légales de conservation ci-dessous
• Données de remplaçants : tant qu'elles sont utiles à l'organisation cliente ; sur demande d'effacement, elles sont anonymisées dans un délai de trente (30) jours
• Journaux techniques et de connexion : 12 mois
• Contrats de mission signés et factures : 10 ans (obligation légale de conservation, art. 958f CO)
• Consentements et désinscriptions : conservés en preuve pour la durée strictement nécessaire à l'administration de la preuve

8. Vos droits

Dans les limites prévues par la nLPD et le RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données
• Droit de rectification des données inexactes
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit d'opposition au traitement fondé sur l'intérêt légitime
• Droit à la portabilité des données que vous nous avez fournies
• Droit de retirer votre consentement à tout moment, sans remise en cause de la licéité du traitement antérieur
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, écrivez à admin@sosjack.com en précisant votre demande et en justifiant de votre identité.

Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) ; dans l'UE, l'autorité de votre pays de résidence.

8 bis. Désinscription des notifications par messagerie

Vous disposez en permanence de la possibilité de vous désinscrire de toutes les notifications que nous vous envoyons. Les modalités diffèrent selon le canal utilisé :

• E-mail : chaque e-mail contient en bas un lien « Se désinscrire » qui révoque immédiatement votre consentement, sans création de compte ni authentification supplémentaire.
• SMS : répondez simplement STOP au message reçu. Votre demande est traitée automatiquement par notre prestataire (Twilio) et propagée à notre base dans les délais légaux.
• WhatsApp : vous disposez de deux options équivalentes.
  • Bloquer le contact SAI ERP Sàrl (+41 27 539 19 88) directement dans l'application WhatsApp (menu du contact > « Bloquer »). C'est la méthode officielle WhatsApp pour ne plus recevoir de messages d'un expéditeur.
  • Répondre STOP au message reçu. Votre réponse est traitée comme une demande formelle de désinscription au sens de la nLPD et du RGPD, et est propagée à notre base.
• Désinscription globale, tous canaux confondus : écrivez à admin@sosjack.com en précisant votre numéro de téléphone et/ou votre adresse e-mail. Nous traitons votre demande dans les 30 jours, conformément à la nLPD.

Conformément à la nLPD (art. 30) et au RGPD (art. 21), une demande d'opposition au traitement fondé sur l'intérêt légitime est satisfaite sans frais et sans justification. La désinscription cesse l'envoi de nouvelles notifications mais n'efface pas les données personnelles déjà collectées ; pour cela, exercez votre droit à l'effacement (cf. section 8).

9. Cookies et traceurs

Le Service utilise uniquement les cookies strictement nécessaires à son fonctionnement : cookie de session pour maintenir votre authentification, cookies de sécurité (CSRF). Aucun cookie publicitaire ou de suivi comportemental tiers n'est déposé sur le Service.

Les pages publiques (site vitrine et blog) utilisent Google Analytics 4 pour mesurer l'audience de façon agrégée. Cet outil est chargé en « consentement refusé par défaut » (Google Consent Mode v2) : aucun cookie de mesure n'est déposé et aucune donnée n'est transmise à Google tant que vous n'avez pas cliqué « Accepter » sur la bannière affichée lors de votre première visite. Vous pouvez refuser, ou revenir sur votre choix à tout moment en effaçant les données du site dans votre navigateur. Les données collectées après consentement sont traitées par Google (Google LLC, ce qui peut impliquer un transfert hors de Suisse et de l'UE) à des fins de mesure d'audience uniquement ; elles ne sont pas exploitées à des fins publicitaires.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données :

• Chiffrement TLS 1.2+ de toutes les communications
• Mots de passe hachés (bcrypt, facteur de coût élevé)
• Cloisonnement des données par organisation (tenant isolation)
• Journalisation des accès sensibles
• Sauvegardes chiffrées régulières
• Contrôle d'accès par rôle (RBAC) et revue périodique des accès

11. Mineurs

Le Service n'est pas destiné à être utilisé directement par des mineurs de moins de 16 ans. Si une organisation cliente gère des données relatives à des mineurs dans le cadre de son activité (par exemple des stagiaires), elle reste responsable du recueil des consentements appropriés.

12. Modifications

Nous pouvons mettre à jour la présente politique pour refléter des évolutions du Service ou de la réglementation. Toute modification substantielle sera portée à votre connaissance par e-mail ou via le Service au moins 30 jours avant son entrée en vigueur.

13. Contact

Pour toute question relative à vos données personnelles : admin@sosjack.com.