Politique de confidentialité — MyWorld et Mesuro
Version du [À COMPLÉTER : date de publication] — projet du 16.10.2026
Cette politique s'applique aux deux services :
- MyWorld (https://s-world-liard.vercel.app) : le compte unique, l'accueil d'apps et les mini-apps (dont QR-facture).
- Mesuro (https://mesuro-erp.vercel.app) : l'ERP comptable pour PME suisses.
Elle est rédigée selon la loi fédérale sur la protection des données (LPD, RS 235.1, en vigueur depuis le 1er septembre 2023) et son ordonnance (OPDo, RS 235.11). Les références « art. » renvoient à la LPD sauf mention contraire.
1. Qui est responsable ?
| Rôle | Pour quelles données | Qui |
|---|---|---|
| Responsable du traitement (art. 5 let. j) | Votre compte (MyWorld et Mesuro), vos préférences, les journaux techniques, les factures que vous créez dans la mini-app QR-facture pour vous-même | [ÉDITEUR À COMPLÉTER — Stéphane Coelho, entreprise individuelle ExcelPro, Genève — raison sociale exacte, adresse, IDE] |
| Sous-traitant (art. 5 let. k, art. 9) | Les données comptables, commerciales et RH que votre société saisit dans Mesuro (clients, fournisseurs, écritures, salaires, collaborateurs, pièces jointes) | Mesuro agit sur instruction de la société cliente, qui reste responsable du traitement. Voir le contrat de sous-traitance (résumé dans Contrat de sous-traitance). |
Contact pour toute question sur vos données : [À COMPLÉTER : adresse e-mail dédiée, p. ex. donnees@…].
Aucun conseiller à la protection des données n'est désigné (art. 10 : facultatif pour un responsable privé).
2. Quelles données, pourquoi, sur quelle base ?
2.1 Votre compte (MyWorld et Mesuro)
| Données | D'où | Finalité | Base (art. 6, 31) |
|---|---|---|---|
| Prénom, nom, adresse e-mail, mot de passe (haché par Supabase Auth, jamais lisible) | Formulaire d'inscription | Créer et sécuriser votre compte, vous connecter aux deux services avec un seul identifiant (connexion unique) | Exécution du contrat d'utilisation (art. 31 al. 2 let. a) |
| Nom affiché, rôle dans une société (admin / membre), sociétés auxquelles vous appartenez | Mesuro (profils, invitations) | Donner accès aux bonnes sociétés, avec le bon niveau | Exécution du contrat |
| Préférences d'interface (colonnes, favoris, cartes masquées, menu d'apps) | Vos réglages | Retrouver votre écran tel que vous l'avez laissé | Intérêt légitime (confort d'utilisation) |
| Journal des e-mails envoyés depuis Mesuro (destinataire, sujet, date, erreur éventuelle) | Envoi d'une facture / d'un rappel par vous | Prouver l'envoi d'une pièce, diagnostiquer un échec | Intérêt légitime et obligation de conservation des pièces |
| Journaux techniques (adresse IP, navigateur, horodatage des requêtes, erreurs) | Hébergeurs (Vercel, Supabase) | Sécurité, détection d'abus, diagnostic de pannes | Intérêt légitime (sécurité, art. 8) |
| Mini-app QR-facture : vos coordonnées d'émetteur, IBAN / QR-IBAN, logo, factures enregistrées | Votre saisie | Produire des QR-factures conformes à la norme SIX | Exécution du contrat |
Ce que nous ne faisons pas : aucun traceur publicitaire, aucun outil d'analyse d'audience tiers, aucune revente ou location de données, aucune décision automatisée au sens de l'art. 21, aucun profilage.
2.2 Les données de votre société dans Mesuro (nous sommes sous-traitant)
Votre société saisit dans Mesuro des données qui peuvent concerner des tiers : clients, fournisseurs, collaborateurs (salaires, numéro AVS, date de naissance, absences — données sensibles au sens de l'art. 5 let. c). Pour ces données :
- votre société décide des finalités et reste responsable (information des personnes concernées, exercice de leurs droits) ;
- Mesuro les stocke, les traite et les sauvegarde uniquement pour fournir le service et selon vos instructions ;
- nous n'y accédons que pour la maintenance, le support que vous demandez, ou si la loi l'exige ;
- les PDF (factures, décomptes, certificats de salaire) sont générés dans votre navigateur : aucune donnée n'est envoyée à un service de rendu externe.
3. À qui les données sont-elles transmises ? (destinataires et sous-traitants)
Nous n'avons aucun salarié. Les seules personnes et sociétés qui peuvent accéder aux données sont :
| Sous-traitant | Rôle | Lieu des données | Pays du siège | Garantie (art. 16-17) |
|---|---|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage des pièces jointes et archives | Zurich, Suisse (région AWS eu-central-2) | États-Unis | Données en Suisse ; pour l'accès support depuis les USA : [À COMPLÉTER : DPA Supabase signé + vérification de la certification Swiss-U.S. Data Privacy Framework, ou clauses contractuelles types] |
| Vercel Inc. | Hébergement de l'application, exécution des fonctions serveur, journaux | Francfort, Allemagne (région fra1) | États-Unis | Allemagne = État à protection adéquate (annexe 1 OPDo) ; pour l'accès support depuis les USA : [À COMPLÉTER : DPA Vercel + Swiss-U.S. DPF ou clauses types] |
| GitHub, Inc. (Microsoft) | Hébergement du code source et des sauvegardes nocturnes chiffrées de la base | [À COMPLÉTER : région du dépôt de sauvegarde] | États-Unis | Sauvegardes chiffrées avant envoi (la clé n'est pas chez GitHub) ; [À COMPLÉTER : DPA GitHub / DPF] |
| Infomaniak Network SA | Envoi des e-mails transactionnels (confirmation de compte, factures, rappels) | Genève, Suisse | Suisse | Aucun transfert à l'étranger |
| [FOURNISSEUR D'E-MAILS À COMPLÉTER si un autre service que le SMTP Infomaniak est retenu] | ||||
| Banque nationale suisse (BNS) / Administration fédérale des contributions (AFC) | Source des cours de change mensuels | Suisse | Suisse | Aucune donnée personnelle transmise : Mesuro ne fait que consulter des cours publics [À COMPLÉTER : confirmer que la lecture est manuelle ou automatisée] |
Autres cas de transmission : les destinataires des e-mails que vous envoyez depuis Mesuro (vos clients, votre fiduciaire), et les autorités si une loi nous y oblige.
Aucune donnée n'est transmise dans un pays sans protection adéquate sans l'une des garanties de l'art. 17 (contrat approuvé, clauses types, DPF).
4. Combien de temps gardons-nous les données ?
| Données | Durée | Pourquoi |
|---|---|---|
| Compte (prénom, nom, e-mail) | Tant que le compte existe, puis effacement dans les 30 jours après la suppression du compte | Art. 6 al. 4 LPD |
| Société mise à la corbeille dans Mesuro | 30 jours à la corbeille, puis purge automatique définitive | Permettre un retour en arrière, puis destruction |
| Pièces comptables (factures, écritures, justificatifs) d'une société active | 10 ans dès la fin de l'exercice (art. 958f CO) — c'est l'obligation de votre société ; Mesuro conserve tant que la société existe dans le service et vous fournit un export complet à tout moment | Art. 958f CO, art. 70 LTVA |
| Sauvegardes de la base | 30 jours glissants | Reprise après incident |
| Journal des e-mails envoyés | Même durée que la pièce envoyée (10 ans) | Preuve d'envoi |
| Journaux techniques des hébergeurs | [À COMPLÉTER : durée fixée par Vercel / Supabase, en général 30 jours à 12 mois] | Sécurité |
Brouillon et préférences gardés dans votre navigateur (localStorage) | Jusqu'à ce que vous les effaciez ou videz le navigateur | Ils ne quittent jamais votre appareil |
Important : quand une société est purgée, ses pièces comptables sont détruites. La loi vous oblige à les conserver 10 ans : exportez votre société avant de la supprimer (bouton « Exporter la société » dans Mesuro).
5. Cookies et stockage dans le navigateur
- Cookies de session (Supabase Auth, posés par le service) : strictement nécessaires pour rester connecté. Pas de cookies publicitaires ni de mesure d'audience.
localStorage/sessionStorage: préférences d'affichage (Mesuro), brouillon de QR-facture et logo (mini-app QR-facture), adresse e-mail reprise entre l'inscription et la connexion (effacée après lecture). Ces données restent sur votre appareil.
Aucune bannière de consentement n'est nécessaire pour des cookies strictement nécessaires ; [À COMPLÉTER : à confirmer par le juriste].
6. Sécurité (art. 8 LPD, art. 1-3 OPDo)
- Chiffrement en transit (HTTPS) et au repos (Supabase).
- Cloisonnement par société en base de données (règles RLS activées sur toutes les tables) : un membre ne voit que les sociétés dont il est membre.
- Mot de passe actuel exigé pour en changer ; confirmation par e-mail à l'inscription.
- Sauvegardes nocturnes chiffrées avant de quitter l'infrastructure.
- Archives d'exercice scellées par empreinte SHA-256 à la clôture.
- Limite d'envoi d'e-mails par société (1 000 / jour) contre les abus.
- En cas de violation de la sécurité présentant un risque élevé pour vous, nous informons le Préposé fédéral (PFPDT) et, si nécessaire, les personnes concernées (art. 24).
7. Vos droits
| Droit | Article | Comment |
|---|---|---|
| Savoir si nous traitons des données sur vous et en obtenir une copie | Art. 25 | E-mail à [À COMPLÉTER] ; réponse dans les 30 jours, gratuite sauf abus |
| Faire corriger des données inexactes | Art. 32 al. 1 | Depuis « Mon compte » ou par e-mail |
| Faire effacer vos données / supprimer votre compte | Art. 32 al. 2 let. c | [À COMPLÉTER : bouton « Supprimer mon compte » prévu — en attendant, par e-mail] ; refus possible si vous êtes le seul administrateur d'une société non purgée ou si une obligation légale de conservation s'y oppose |
| Recevoir vos données dans un format courant (portabilité) | Art. 28 | Export de société (ZIP : CSV, XLSX, PDF, JSON) ; export du compte sur demande |
| Vous opposer à un traitement, le faire limiter | Art. 30-32 | Par e-mail |
| Recours | Art. 49 | Vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT, www.edoeb.admin.ch) ou les tribunaux civils |
Pour les données saisies par une société cliente dans Mesuro (vous êtes son client, fournisseur ou collaborateur) : adressez-vous d'abord à cette société, responsable du traitement ; nous l'aidons à vous répondre.
Nous pouvons vous demander une preuve d'identité avant de répondre.
8. Modifications
Nous pouvons adapter cette politique. La date en tête change à chaque version ; une modification importante vous est annoncée à la connexion ou par e-mail.
9. Contact
[ÉDITEUR À COMPLÉTER]
[Adresse postale]
[E-mail]
Sources : LPD RS 235.1 (https://www.fedlex.admin.ch/eli/cc/2022/491/fr), OPDo RS 235.11 (https://www.fedlex.admin.ch/eli/cc/2022/568/fr), CO RS 220 art. 958f (https://www.fedlex.admin.ch/eli/cc/27/317_321_377/fr), PFPDT (https://www.edoeb.admin.ch).