Politique de confidentialité

Dernière mise à jour : 29 octobre 2026

La présente politique a pour objet d'informer les personnes concernées des traitements de données personnelles opérés par ark.swiss sàrl, conformément à l'article 19 de la loi fédérale sur la protection des données (LPD, révisée au 1^er septembre 2023) et à l'article 13 du Règlement général sur la protection des données (RGPD).

1. Responsable de traitement

ark.swiss sàrl
Chemin de la Duchesne 13, 1806 St-Légier, canton de Vaud, Suisse
Email général : info@arkflow.ch
Email protection des données : privacy@ark.swiss

2. Personnes concernées et données collectées

Visiteurs du site arkflow.ch : logs serveur techniques (adresse IP tronquée, user-agent, page visitée, date et durée de la consultation).
Prospects (formulaire d'inscription) : prénom, nom, adresse email, numéro de téléphone éventuel, nom d'organisation, sous-domaine souhaité, produit et plan choisis.
Clients : identifiants de connexion, préférences, historique de facturation, correspondance de support.
Données comptables et fiduciaires du Client (données de tiers) : écritures, pièces justificatives, données de contacts et de mandants, traitées pour le compte du Client, qui en est le responsable de traitement ; ark.swiss sàrl agit en qualité de sous-traitant.

3. Finalités du traitement

Exécution du contrat d'abonnement et fourniture du Service (Compta, Fiduciaire).
Facturation et recouvrement.
Support technique et communication transactionnelle.
Sécurité, prévention de la fraude et maintien de l'intégrité du Service.
Amélioration du Service sur la base de statistiques agrégées.
Respect des obligations légales (comptabilité, fiscalité, LBA le cas échéant pour la clientèle fiduciaire).

4. Base légale du traitement

Exécution du contrat (art. 6 §1 let. b RGPD ; art. 31 al. 2 let. a LPD) — données de compte, de facturation, de support.
Obligation légale (art. 6 §1 let. c RGPD ; art. 958f CO) — conservation comptable des factures pendant 10 ans.
Intérêt légitime (art. 6 §1 let. f RGPD ; art. 31 al. 1 LPD) — sécurité du Service, prévention des abus, amélioration produit sur base agrégée.
Exécution du contrat et intérêt légitime (art. 6 §1 let. b et f RGPD ; art. 31 al. 1 et al. 2 let. a LPD) — fonctions d'IA intégrées au Service, signalées dans la présente politique et désactivables sur demande.
Consentement (art. 6 §1 let. a RGPD ; art. 31 al. 1 LPD) — communications non strictement contractuelles.

5. Destinataires et sous-traitants ultérieurs

Sous-traitant	Localisation	Finalité
netcup GmbH	Karlsruhe, Allemagne ; serveur à Vienne, Autriche (UE)	Production applicative et base de données d'ark.flow Compta
Infomaniak Network SA	Genève, Suisse	Production d'ark.flow Fiduciaire, secours chaud d'ark.flow Compta, SMTP transactionnel et modèles IA hébergés en Suisse (désactivable sur demande)
Stripe Payments Europe Ltd.	Dublin, Irlande (UE)	Encaissement des paiements par carte
Cloudflare, Inc.	San Francisco, États-Unis	CDN, DNS, protection réseau (SCC + adéquation)
Anthropic, OpenAI, Google (API Gemini)	États-Unis	Modèles IA pour la catégorisation comptable, la lecture des documents et l'assistance (désactivable sur demande)
OpenRouter	États-Unis	Routage vers des modèles IA tiers, lorsqu'il est configuré (désactivable sur demande)
Umami (auto-hébergé par ark.swiss sàrl)	Union européenne	Analytics sans cookies

ark.swiss sàrl n'utilise aucun service tiers commercial d'analyse du comportement (ni Google Analytics, ni Meta Pixel, ni LinkedIn Insight, ni Hotjar, ni Intercom). Les fournisseurs d'IA sont utilisés selon leurs conditions d'API, qui excluent en principe l'entraînement sur les données transmises. Les fonctions IA peuvent être désactivées sur demande.

6. Transferts à l'étranger

Notre infrastructure applicative, sa continuité d'activité et ses sauvegardes sont hébergées exclusivement en Europe. La production d'ark.flow Compta est opérée par netcup GmbH sur un serveur à Vienne (Autriche, Union européenne), avec un site de secours chaud chez Infomaniak Network SA à Genève. ark.flow Fiduciaire est exploité en production chez Infomaniak Network SA à Genève (Suisse). Les sauvegardes historiques Borg sont conservées sur une infrastructure propre à ark.swiss en Suisse. Les données strictement nécessaires au traitement des paiements transitent par Stripe Payments Europe Ltd. (Irlande, Union européenne) dans le cadre des décisions d'adéquation applicables. Lorsque les fonctions IA sont utilisées, les extraits nécessaires sont envoyés au fournisseur configuré : avec Infomaniak, le traitement a lieu en Suisse ; avec Anthropic, OpenAI, Google (API Gemini) ou OpenRouter, il peut avoir lieu aux États-Unis. Les transferts vers les États-Unis (Cloudflare) sont encadrés par le cadre de protection des données UE-États-Unis et, subsidiairement, par les clauses contractuelles types de la Commission européenne.

7. Durées de conservation

Données de compte : durée de l'abonnement + 30 jours après résiliation.
Contenu Client : durée de l'abonnement + 30 jours (fenêtre d'export).
Factures et pièces comptables : 10 ans (art. 958f CO). Cette obligation légale est opposable au droit d'effacement.
Journaux techniques centralisés : 14 jours.
Données de prospection : 24 mois maximum après le dernier contact.

8. Sécurité

Les mesures techniques et organisationnelles incluent : connexions HTTPS via Cloudflare avec HSTS, chiffrement au repos des identifiants et tokens en AES-256-GCM, une base de données propre à chaque Instance, sauvegardes Borg quotidiennes chiffrées avec contrôle d'intégrité, journalisation des actions sensibles dans l'application, analyses de sécurité Trivy et Semgrep à chaque build. Le détail figure sur la page Sécurité et dans le DPA.

9. Droits des personnes concernées

Conformément aux art. 25 ss LPD et aux art. 15 à 22 RGPD, vous disposez des droits suivants :

Droit d'accès (art. 25 LPD / art. 15 RGPD).
Droit de rectification (art. 32 LPD / art. 16 RGPD).
Droit d'effacement (art. 32 LPD / art. 17 RGPD), sous réserve de la conservation légale de 10 ans pour les factures.
Droit à la portabilité (art. 28 LPD / art. 20 RGPD) — export JSON/CSV et export Crésus natif pour ark.flow Compta.
Droit d'opposition (art. 30 LPD / art. 21 RGPD).
Droit de retirer son consentement à tout moment (art. 30 LPD / art. 7 §3 RGPD).

Pour exercer ces droits, écrivez à privacy@ark.swiss. Une réponse est apportée dans un délai maximal de 30 jours. Une pièce d'identité pourra être demandée en cas de doute raisonnable sur l'identité du requérant.

10. Décisions automatisées et profilage

ark.swiss sàrl ne prend aucune décision individuelle automatisée produisant des effets juridiques au sens de l'art. 21 LPD et de l'art. 22 RGPD. Les suggestions de catégorisation comptable produites par les modèles d'IA sont relues par le Client ou son comptable avant l'import ; aucune écriture n'est enregistrée sans cette confirmation, et les propositions sous 95 % de confiance restent en brouillon jusqu'à leur validation.

11. Cookies

Les cookies et traceurs sont décrits dans la Politique Cookies.

12. Violations de données

Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, ark.swiss sàrl l'annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais (art. 24 LPD). Lorsque le RGPD est applicable, l'autorité de contrôle compétente est notifiée dans les 72 heures après la prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque (art. 33 RGPD). Les personnes concernées sont informées lorsque la loi l'exige (art. 24 al. 4 LPD, art. 34 RGPD).

13. Autorité de contrôle

Vous disposez du droit d'introduire une réclamation auprès d'une autorité de contrôle :

Suisse — Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.
Union européenne — autorité de contrôle du pays de résidence (par exemple la CNIL en France).

14. Contact protection des données

ark.swiss sàrl n'est pas légalement tenue de désigner un délégué à la protection des données (DPD/DPO). Les demandes sont traitées par un point de contact dédié : privacy@ark.swiss.

Pour les clients B2B (fiduciaires, cabinets, entreprises soumises au RGPD/nLPD), un Accord de traitement des données (DPA) formel, conforme à l'art. 28 RGPD et à l'art. 9 LPD, est disponible et accepté automatiquement lors de la souscription. Une version PDF signée bilatéralement peut être fournie sur demande à privacy@ark.swiss.

15. Modifications

La présente politique peut être modifiée. Toute modification substantielle est notifiée par email et une version archivée reste disponible sur demande.

En cas de divergence entre les versions linguistiques, la version française fait foi.