Politique de confidentialité

La présente politique a pour objet d’informer les visiteurs et utilisateurs du site www.palambur.ch (ci-après « le Site ») sur la manière dont leurs données personnelles sont collectées, utilisées et protégées par Palambur.

Elle est rédigée conformément à la Loi fédérale sur la protection des données du 25 septembre 2020 (nLPD), entrée en vigueur le 1er septembre 2023, ainsi qu’à son ordonnance d’application (OPDo). Pour les utilisateurs résidant dans l’Espace économique européen, elle prend également en compte les exigences du Règlement (UE) 2016/679 (RGPD).

1. Responsable du traitement

Le responsable du traitement des données personnelles est :

• Palambur · Victor Semblanet (raison individuelle)
• 2300 La Chaux-de-Fonds, Suisse
• Courriel : contact@palambur.ch
• Téléphone : +41 78 263 18 13

Conformément à l’art. 10 nLPD, Palambur n’est pas tenu de désigner un conseiller à la protection des données. Toutefois, Monsieur Victor Semblanet assume personnellement la fonction de personne de contact pour toute question relative à la protection des données et peut être joint aux coordonnées ci-dessus.

2. Principes généraux

Palambur traite les données personnelles dans le respect des principes suivants :

• Licéité, bonne foi et proportionnalité (art. 6 nLPD)
• Finalités déterminées et reconnaissables au moment de la collecte
• Exactitude et mise à jour des données
• Conservation limitée à la durée nécessaire
• Sécurité technique et organisationnelle appropriée (art. 8 nLPD)
• Transparence et information préalable des personnes concernées (art. 19 nLPD)

3. Données collectées et finalités

Palambur collecte uniquement les données nécessaires aux finalités décrites ci-dessous. Aucune donnée sensible au sens de l’art. 5 let. c nLPD n’est collectée volontairement.

3.1 Formulaire de contact

• Données : nom, prénom, entreprise et taille de l’entreprise, adresse e-mail, numéro de téléphone, nature de la demande, description du besoin (champ libre)
• Finalité : répondre aux demandes d’information et de prise de contact
• Base légale : intérêt légitime du Site à répondre aux sollicitations (art. 31 al. 1 nLPD ; art. 6 §1 let. f RGPD), exécution de mesures précontractuelles le cas échéant
• Durée de conservation : 12 mois après le dernier échange, sauf relation contractuelle en cours

3.2 Compte client / espace membre

• Données : identifiants de connexion (adresse e-mail et mot de passe haché, ou code à usage unique envoyé par e-mail), nom, prénom, coordonnées professionnelles, historique des prestations et facturation, palier d’abonnement, solde et mouvements d’écus
• Finalité : gestion de la relation contractuelle, fourniture des prestations, support, facturation
• Infrastructure : l’authentification et les données de l’espace client sont gérées par notre propre serveur PocketBase, hébergé en Suisse chez Infomaniak (voir §4.1). Aucune donnée de compte ne quitte le territoire suisse.
• Base légale : exécution du contrat (art. 31 al. 2 let. a nLPD ; art. 6 §1 let. b RGPD) ; obligations légales comptables (CO art. 957 et s.)
• Durée de conservation : durée de la relation contractuelle, puis 10 ans pour les pièces comptables (art. 958f CO)

3.2 bis Livrables des outils IA

• Données : les documents produits avec Méneval et Jacquard, et les transcriptions produites avec Volney, rattachés à votre compte
• Finalité : vous permettre de retrouver, télécharger ou supprimer ce que vous avez produit
• Durée de conservation : 7 jours pour les productions de Méneval et de Jacquard, 12 heures pour les transcriptions de Volney, puis suppression automatique. Vous pouvez supprimer chaque ligne avant l’échéance depuis votre espace client.
• Jomini, l’outil d’anonymisation, ne conserve aucun contenu.
• Infrastructure : ces données sont stockées sur notre serveur PocketBase (voir §3.2).
• Base légale : exécution du contrat (art. 31 al. 2 let. a nLPD ; art. 6 §1 let. b RGPD)

3.3 Paiement en ligne

• Données que nous transmettons à Stripe : montant, référence de commande, adresse e-mail du compte client.
• Données collectées par Stripe sur sa page de paiement : nom, adresse de facturation, moyen de paiement (données de carte bancaire, ou Twint), adresse IP et adresse e-mail, selon le moyen de paiement choisi. Les données de carte bancaire sont saisies directement sur la page sécurisée de Stripe et ne transitent jamais par nos serveurs ; nous n’en conservons que ce que Stripe nous en communique, par exemple la référence du paiement et le statut de l’abonnement.
• Moyens de paiement : carte bancaire et Twint, selon ce qui est proposé lors de la commande. Lorsque vous payez avec Twint, le paiement est exécuté par Twint via Stripe, selon les conditions et la politique de confidentialité de Twint.
• Portail client Stripe : pour gérer ou résilier votre abonnement, vous êtes redirigé vers le portail client de Stripe (bouton « gérer mon abonnement »). Stripe y traite les données de votre abonnement, vos moyens de paiement et vos factures pour vous permettre cette gestion.
• Finalité : encaissement des prestations achetées depuis l’espace client, gestion de l’abonnement et facturation
• Rôle de Stripe : Stripe traite ces données pour notre compte, et aussi, pour certaines d’entre elles, pour ses propres obligations (lutte contre la fraude, conformité réglementaire), selon sa propre politique de confidentialité, à laquelle nous vous renvoyons.
• Infrastructure : Stripe Payments Europe, Limited, société irlandaise (Dublin), entité contractante de Stripe pour les marchands hors zone Amériques ; infrastructure technique opérée par Stripe, LLC (États-Unis). Certifiée PCI DSS (voir §4.1 et §5)
• Base légale : exécution du contrat (art. 31 al. 2 let. a nLPD ; art. 6 §1 let. b RGPD)
• Durée de conservation : 10 ans pour les pièces comptables (art. 958f CO)

3.4 Données de navigation et cookies

• Données : cookies strictement nécessaires au fonctionnement du Site, décrits dans la Politique de cookies. La mesure d’audience, qui ne dépose aucun cookie, fait l’objet du § 3.5 ci-dessous
• Finalité : assurer le bon fonctionnement du Site et la sécurité des échanges
• Base légale : intérêt légitime (cookies strictement nécessaires). Aucun cookie soumis à consentement n’est déposé ; le plan Google Maps de la page Contact ne se charge que si vous cliquez.
• Durée de conservation : voir la Politique de cookies

3.5 Mesure d’audience

Depuis le 17 août 2026, le Site compte ses pages vues avec son propre outil, écrit par nous et hébergé en Suisse. Il remplace Google Analytics, retiré la veille. Il ne dépose rien sur votre appareil, ne vous demande donc aucun accord, et ne transmet rien à personne.

Il compte des pages vues, pas des personnes. Aucune colonne ne relie deux lignes entre elles : l’outil est incapable de reconstituer une visite, de reconnaître un appareil déjà venu, ou de dire combien de personnes distinctes ont lu une page. Cette incapacité est délibérée, et c’est le prix de l’absence de cookie.

• Ce qui est enregistré : le chemin de la page consultée ; la catégorie de provenance (accès direct, moteur de recherche, assistant IA, réseau social, autre lien, lien interne) ; la catégorie d’appareil (téléphone, tablette, ordinateur, inconnu, automate) ; la langue de votre navigateur, en deux lettres ; l’étiquette de campagne que nous avons nous-mêmes posée dans nos propres liens, le cas échéant ; le nom de certains gestes volontaires (envoi du formulaire de contact, téléchargement d’un document) ; la date et l’heure.
• Ce qui n’est pas enregistré : aucune adresse IP ; aucun identifiant, même haché, même valable une seule journée ; aucun nom ni version de navigateur ; aucune dimension d’écran ; aucune adresse complète du site d’où vous venez, seulement sa catégorie ; aucune durée de visite ; aucun texte que vous saisissez, où que ce soit sur le Site.
• Finalité : savoir quelles pages sont lues et par quel canal les visiteurs arrivent
• Base légale : intérêt légitime (art. 31 al. 1 nLPD ; art. 6 §1 let. f RGPD). Aucun consentement n’est requis, puisque rien n’est déposé sur votre terminal au sens de l’art. 45c LTC et qu’aucune donnée permettant de vous identifier n’est conservée
• Hébergement : notre serveur PocketBase chez Infomaniak, à Plan-les-Ouates (GE). Aucun tiers n’y a accès et aucune de ces données ne quitte la Suisse
• Durée de conservation : 24 mois, puis effacement automatique

Le serveur reçoit votre adresse IP, comme tout serveur web qui vous répond : c’est ce qui lui permet de vous renvoyer la page. Elle sert uniquement à limiter le nombre de requêtes par minute, protection contre les envois massifs. Elle n’est écrite dans aucun champ de la mesure d’audience, ni en clair, ni tronquée, ni transformée en identifiant.

Si vous ne voulez pas être compté, dites-le à votre navigateur. Le Site respecte les signaux « Do Not Track » et « Global Privacy Control » : lorsque l’un des deux est actif, aucun envoi ne part de votre appareil, et notre serveur refuserait celui qui lui parviendrait quand même. Ces signaux n’ont pas de valeur contraignante en droit suisse ; nous les respectons par choix.

4. Destinataires et sous-traitants

Vos données personnelles peuvent être communiquées aux catégories de destinataires suivantes, dans la stricte mesure nécessaire aux finalités décrites :

• Palambur et Monsieur Victor Semblanet en qualité de seul responsable du traitement
• Prestataires techniques agissant en qualité de sous-traitants (art. 9 nLPD ; art. 28 RGPD), liés par des engagements contractuels de confidentialité et de sécurité
• Autorités publiques ou judiciaires lorsque la loi suisse l’exige

4.1 Liste complète des sous-traitants

Cette liste est exhaustive. Aucun autre tiers ne reçoit de données depuis le Site.

• Infomaniak Network SA (Suisse) : hébergement du Site, du serveur de l’espace client (PocketBase) et de la mesure d’audience du § 3.5, qui vit sur ce même serveur. Données stockées exclusivement en Suisse.
• Stripe Payments Europe, Limited (Irlande), pour l’infrastructure technique Stripe, LLC (États-Unis) : traitement des paiements en ligne (carte bancaire, Twint) et portail client de gestion de l’abonnement, depuis l’espace client. Stripe agit pour notre compte et, pour certaines données, pour ses propres obligations (lutte contre la fraude, conformité). Données de paiement susceptibles d’être traitées en Irlande et aux États-Unis (voir §5).
• Twint (Suisse) : moyen de paiement proposé via Stripe. Lorsque vous payez avec Twint, Twint reçoit les données nécessaires à l’exécution du paiement, selon sa propre politique de confidentialité.
• Google Ireland Ltd / Google LLC (Irlande / États-Unis) : uniquement Google Maps, pour le plan d’accès de la page Contact. Le plan n’est pas chargé automatiquement : il faut cliquer sur « Afficher le plan ». Tant que vous ne le faites pas, aucune donnée ne leur est transmise. Google Analytics a été retiré du Site le 16 août 2026 : plus aucune donnée de navigation ne part vers Google.

Les polices de caractères du Site sont hébergées sur nos propres serveurs : aucune requête n’est adressée à Google Fonts. Le Site n’utilise ni pixel Meta / Facebook, ni LinkedIn Insight Tag, ni aucun autre traceur publicitaire.

Palambur veille à ce que ces sous-traitants présentent des garanties suffisantes en matière de sécurité et de confidentialité, conformément aux exigences de la nLPD et, le cas échéant, du RGPD.

5. Transferts de données à l’étranger

L’hébergement du Site et les données de l’espace client (comptes, connexions, demandes, documents) sont assurés exclusivement en Suisse. Le traitement des paiements passe, lui, par notre prestataire Stripe (voir §3.3 et §4.1) et implique un transfert de données vers l’Irlande et les États-Unis, décrit ci-dessous.

Trois gestes, et trois seulement, peuvent provoquer un transfert de données à l’étranger :

• Effectuer un paiement depuis l’espace client : les données nécessaires à l’encaissement (montant, référence de commande, adresse e-mail, ainsi que les données que vous saisissez sur la page de Stripe, voir §3.3) sont transmises à Stripe Payments Europe, Limited (Irlande), dont l’infrastructure technique est opérée par Stripe, LLC (États-Unis). Il en va de même lorsque vous ouvrez le portail client Stripe pour gérer votre abonnement. Les données de carte bancaire elles-mêmes ne transitent jamais par nos serveurs ; elles sont saisies directement sur la page sécurisée de Stripe
• Afficher le plan d’accès (Google Maps), sur la seule page Contact, en cliquant sur « Afficher le plan »
• Dans l’outil Chaptal, ouvrir un prompt dans Claude (Anthropic, États-Unis). Seul le texte du prompt, qui est notre propre contenu, accompagne l’ouverture : ni votre identité, ni vos favoris, ni ce que vous avez écrit dans l’outil. Le bouton « IA Infomaniak » fait la même chose sans quitter la Suisse

Si vous ne faites aucun de ces trois gestes, aucune donnée ne sort de Suisse.

Conformément à l’art. 16 nLPD :

• Les transferts vers des États reconnus par le Conseil fédéral comme offrant un niveau de protection adéquat (notamment les États membres de l’UE/EEE) sont effectués librement
• Les transferts vers les États-Unis sont encadrés par le Swiss-U.S. Data Privacy Framework (DPF) lorsque le sous-traitant y est certifié, ou à défaut par des clauses contractuelles types reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT)

Une copie des garanties applicables peut être obtenue sur demande adressée à contact@palambur.ch.

6. Durée de conservation

Les données sont conservées pendant la durée strictement nécessaire à la réalisation des finalités mentionnées, puis archivées ou supprimées conformément aux durées de conservation indiquées ci-dessus. Les délais légaux de conservation (notamment comptables et fiscaux : 10 ans selon les art. 958f CO et 70 LTVA) priment lorsqu’ils sont applicables.

7. Sécurité des données

Palambur met en œuvre des mesures techniques et organisationnelles appropriées pour préserver la confidentialité, l’intégrité et la disponibilité des données traitées, conformément à l’art. 8 nLPD et à l’art. 32 RGPD :

• Chiffrement des échanges (protocole HTTPS / TLS)
• Restriction des accès aux seules personnes habilitées
• Mots de passe robustes et stockage haché des identifiants
• Sauvegardes régulières et plan de continuité
• Sensibilisation et engagement de confidentialité du titulaire et des éventuels collaborateurs

En cas de violation de la sécurité des données entraînant un risque élevé pour les droits des personnes concernées, le PFPDT et, le cas échéant, les personnes concernées seront notifiés dans les meilleurs délais, conformément à l’art. 24 nLPD.

8. Droits des personnes concernées

Conformément aux art. 25 et suivants nLPD (et, pour les résidents de l’EEE, aux art. 15 à 22 RGPD), toute personne concernée dispose des droits suivants :

• Droit d’accès aux données la concernant
• Droit de rectification des données inexactes ou incomplètes
• Droit à l’effacement (« droit à l’oubli ») dans les conditions prévues par la loi
• Droit de s’opposer au traitement, notamment à des fins de prospection commerciale
• Droit à la limitation du traitement
• Droit à la portabilité des données (art. 28 nLPD ; art. 20 RGPD)
• Droit de retirer un consentement à tout moment, sans que cela affecte la licéité du traitement antérieur
• Droit d’introduire une réclamation auprès d’une autorité de contrôle : le PFPDT en Suisse (www.edoeb.admin.ch) ou l’autorité compétente du lieu de résidence dans l’UE

Ces droits peuvent être exercés en écrivant à contact@palambur.ch. Une preuve d’identité pourra être demandée afin d’éviter toute communication à un tiers non autorisé. Palambur s’engage à répondre dans un délai maximal de 30 jours, conformément à l’art. 25 al. 7 nLPD.

9. Décisions individuelles automatisées

Palambur ne prend aucune décision exclusivement fondée sur un traitement automatisé, au sens de l’art. 21 nLPD, susceptible d’avoir un effet juridique sur les personnes concernées ou de les affecter de manière significative.

10. Cookies et traceurs

Le Site utilise des cookies et technologies similaires dont la finalité, la durée et les modalités de gestion du consentement sont décrites en détail dans la Politique de cookies, accessible depuis le pied de page du Site.

11. Mineurs

Le Site ne s’adresse pas spécifiquement aux personnes mineures. Les prestations proposées par Palambur sont destinées à un public adulte. Lorsqu’un mineur est susceptible d’interagir avec le Site, l’accord préalable des titulaires de l’autorité parentale est nécessaire.

La création d’un compte est réservée aux personnes de 18 ans ou plus : l’inscription demande de le confirmer par une case à cocher, sans laquelle le compte n’est pas créé. Palambur ne demande ni ne conserve la date de naissance. Si vous apprenez qu’une personne mineure a créé un compte, écrivez àcontact@palambur.ch : le compte et ses données seront supprimés.

12. Modifications de la présente politique

La présente politique peut être modifiée à tout moment afin de refléter l’évolution des prestations, des outils utilisés ou du cadre légal. La date de dernière mise à jour figure en tête du document. Toute modification substantielle sera signalée aux personnes concernées, par exemple via un encart sur le Site ou par courriel.

13. Contact

Pour toute question relative à la présente politique ou pour exercer vos droits :

• Par courriel : contact@palambur.ch
• Préposé fédéral à la protection des données et à la transparence (PFPDT) : Feldeggweg 1, 3003 Berne, Suisse · www.edoeb.admin.ch

© 2025-2026 Palambur · Victor Semblanet.