Politique de confidentialité

1. Responsable du traitement

2. Données collectées et finalités

2.1 Données de compte

Lors de la création d'un compte, nous collectons :

• Adresse email — identification, authentification, notifications de service
• Mot de passe — stocké sous forme de hash bcrypt (jamais en clair). Exigences minimales : 12 caractères, une majuscule, un chiffre.
• Statut de vérification email (email_verified_at) — horodatage de confirmation de l'adresse email via lien envoyé à l'inscription
• Consentements horodatés — CGU, politique de confidentialité, marketing (base légale : obligation légale nLPD art. 6)

Ces données sont nécessaires à l'exécution du contrat de service (art. 31 al. 2 let. a nLPD).

2.2 Données de profil (facultatives)

Vous pouvez compléter votre profil avec :

• Prénom, nom, fonction, entreprise
• Adresse postale (facturation)
• Numéro de téléphone avec indicatif pays
• Numéro TVA (si applicable)

Ces données sont utilisées pour la personnalisation et la génération de documents de facturation. Leur fourniture est facultative sauf indication contraire.

2.3 Données d'utilisation

• URLs analysées — traitées à la volée, résultats stockés 90 jours pour l'historique, puis supprimés automatiquement
• Scores et résultats d'analyse — stockés pendant la durée du compte actif + 30 jours après suppression
• Logs d'accès — adresse IP, user-agent, horodatage — conservés 30 jours maximum à des fins de sécurité et de détection d'abus
• Compteurs d'utilisation — nombre d'analyses quotidiennes, nombre de connexions — utilisés pour la gestion des quotas

2.4 Données de facturation

• Factures et transactions — conservées 10 ans conformément à l'art. 958f CO (obligation légale de conservation comptable)
• Référence de transaction Payrexx (aucune donnée de carte bancaire n'est stockée sur nos serveurs)

2.5 Cookies et technologies similaires

Ce service utilise :

• Cookies de session (essentiels) — gestion de l'authentification. Durée : session navigateur. Aucun consentement requis.
• Cookie de préférence cookies (essentiel) — mémorisation de votre choix de consentement. Durée : 12 mois.
• Matomo Analytics (mesure d'audience, non essentiel) — outil open-source auto-hébergé sur nos serveurs suisses. Aucune donnée transmise à des tiers. Anonymisation de l'adresse IP activée. Utilisé uniquement avec votre consentement explicite.

Conformément au Guide du PFPDT (février 2025), vous pouvez à tout moment retirer votre consentement ou vous opposer à l'utilisation des cookies non essentiels via le lien « Gérer les cookies » en bas de chaque page.

3. Base légale du traitement

Traitement	Base légale
Compte et authentification	Exécution du contrat (art. 31 al. 2 let. a nLPD)
Facturation	Obligation légale (art. 958f CO)
Consentements	Obligation légale (nLPD art. 6)
Newsletter	Consentement explicite (opt-in double)
Analytics Matomo	Consentement explicite
Logs de sécurité	Intérêt légitime (sécurité du service)

4. Destinataires des données

Vos données personnelles ne sont pas vendues ni transmises à des tiers à des fins commerciales. Elles peuvent être communiquées à :

• Infomaniak Network SA (Genève, CH) — hébergeur, sous-traitant au sens de la nLPD. Contrat de traitement des données signé. Données stockées exclusivement en Suisse.
• Payrexx AG (Burgdorf, CH) — prestataire de paiement suisse. Traitement des transactions uniquement. Aucune donnée de carte stockée chez nous.
• Anthropic PBC (San Francisco, USA) — API Claude utilisée pour les fonctions d'explication contextuelle (bouton « Comprendre ») et de recommandations (Top 3). Les données transmises sont : le code de la règle SEO et le moteur cible, sans données personnelles identifiantes. Zero Data Retention activé sur notre compte. Transfert couvert par les clauses contractuelles types (CCT).

Aucun autre transfert de données hors de Suisse n'est effectué.

Code source et hébergement : transparence complète

Les données personnelles des utilisateurs de seo.ataraxialab.ch (comptes, analyses, facturation) sont hébergées exclusivement chez Infomaniak, en Suisse, et n'en sortent pas.

Le code source de la plateforme est versionné sur GitHub (Microsoft Corporation, États-Unis). Ce choix est pragmatique, pas idéologique : GitHub est la solution la plus accessible pour une association disposant de ressources limitées, et son usage se limite strictement au versionnement du code — aucune donnée utilisateur n'y transite.

Cette situation crée une tension réelle avec nos valeurs de souveraineté numérique, que nous ne cherchons pas à minimiser. Une migration vers une alternative souveraine (GitLab auto-hébergé en Suisse ou équivalent) est documentée dans notre backlog technique, sera dressée et adressée lorsque les ressources de l'association le permettront.

Nous préférons nommer cette limite plutôt que de la taire.

5. Durées de conservation

Données	Durée de conservation
Données de compte (actif)	Durée du compte + 30 jours après suppression
Résultats d'analyse	90 jours glissants
Logs d'accès	30 jours maximum
Données de facturation	10 ans (art. 958f CO)
Consentements enregistrés	5 ans (preuve de conformité)
Cookie de préférence	12 mois

6. Vos droits (nLPD art. 25–32)

Conformément à la nLPD, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données personnelles (disponible via votre profil, onglet « Mes données »)
• Droit de rectification — corriger des données inexactes (email, mot de passe, depuis votre profil)
• Droit de suppression — demander l'effacement de vos données depuis votre profil (sous réserve des obligations légales de conservation : factures conservées 10 ans, art. 958f CO)
• Droit à la portabilité — recevoir vos données dans un format structuré JSON (disponible via votre profil, onglet « Mes données », export immédiat)
• Droit d'opposition et retrait du consentement — vous pouvez vous désinscrire de la newsletter à tout moment depuis votre profil ou en nous écrivant. Pour toute autre opposition à un traitement spécifique, contactez-nous à l'adresse ci-dessous.

Pour exercer ces droits, utilisez les fonctionnalités disponibles dans votre profil ou écrivez à privacy@ataraxialab.ch. Nous répondrons dans un délai de 30 jours (art. 25 nLPD).

Vous avez également le droit de déposer une plainte auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT).

7. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des communications (HTTPS/TLS)
• Hachage des mots de passe (bcrypt, coût 12) avec exigences de complexité : minimum 12 caractères, une majuscule, un chiffre
• Authentification à deux facteurs (2FA TOTP) disponible pour tous les comptes utilisateurs
• Accès administrateur protégé par authentification forte
• Vérification de l'adresse email à l'inscription (lien de confirmation horodaté, token à usage unique)
• Aucune donnée de carte bancaire stockée sur nos serveurs — paiements traités exclusivement par Payrexx AG (certifié PCI-DSS)
• Sauvegardes quotidiennes chiffrées, hébergées en Suisse (Swiss Backup Infomaniak)
• Cloisonnement des accès : chaque composant du service n'accède qu'aux données strictement nécessaires à son fonctionnement

En cas de violation de données présentant un risque élevé pour vos droits, nous notifierons le PFPDT et les personnes concernées dans les meilleurs délais conformément à l'art. 24 nLPD.

8. Droit applicable

La présente politique est régie par le droit suisse, notamment la nLPD (RS 235.1) et l'OPDo (RS 235.11). En cas de litige, le for juridique est le canton de Neuchâtel.

9. Modifications

Nous nous réservons le droit de modifier la présente politique. En cas de modification substantielle, les utilisateurs enregistrés seront informés par email. La date de dernière mise à jour figure en bas de cette page.

10. Contact

Pour toute question relative à la protection de vos données :
privacy@ataraxialab.ch

Dernière mise à jour : 29 juin 2026 — v1.1