Déclaration de confidentialité — CNS Sàrl
1. En bref
CNS Sàrl fabrique à Orbe des présentoirs à QR code et les vend aux entreprises établies en Suisse. Nous traitons les données nécessaires à vos commandes, et seulement celles-là. Nous ne vendons aucune donnée, n'utilisons ni cookies de suivi ni publicité ciblée, et ne prenons aucune décision automatisée à votre sujet : certains e-mails, comme un rappel avec une date limite, partent automatiquement à la date prévue, mais ce qui se passe ensuite est toujours décidé par une personne.
2. Responsable du traitement
CNS Sàrl, Route des Granges-St-Martin 12, 1350 Orbe, Suisse (IDE CHE-300.823.345).
Pour toute question sur vos données ou pour exercer vos droits : qr@cns-sarl.ch, 079 399 10 24.
3. Lois applicables
La présente déclaration est établie selon la loi fédérale du 25 septembre 2020 sur la protection des données (LPD, RS 235.1), souvent appelée « nouvelle LPD » ou « nLPD », en vigueur depuis le 1er septembre 2023, et son ordonnance (OPDo, RS 235.11). CNS s'adresse aux entreprises établies en Suisse et livre uniquement en Suisse : le règlement général européen sur la protection des données (RGPD) ne s'applique donc en principe pas à nos traitements. S'il devait s'appliquer à un traitement, les précisions du point 11 valent en complément.
Elle concerne les personnes physiques dont nous traitons les données : la personne de contact de l'entreprise cliente, le titulaire d'une entreprise individuelle et la personne qui signe le bon de commande. Les données d'une entreprise en tant que telle, comme la raison sociale d'une Sàrl ou d'une SA, ne sont pas des données personnelles.
4. Les données que nous traitons
Le bon de commande, rempli avec nous lors d'une visite ou par vous en ligne, sur un formulaire hébergé par Tally : nom de l'établissement, prénom, nom, e-mail, téléphone, adresse de livraison, produit choisi, nom et texte à imprimer, logo, destination du QR code (un lien, votre fiche Google, ou le nom et le mot de passe d'un réseau WiFi), signature dessinée à l'écran, date et heure de la signature, et le fait que la commande a été prise sur place ou en ligne.
Le suivi de votre commande : bons à tirer, validations, demandes de correction écrites sur votre page de validation, e-mails échangés avec nous et historique de la commande.
Les données obtenues ailleurs : pour un QR code « Avis Google », nous recherchons la fiche Google publique de votre établissement (nom, adresse, identifiant de la fiche, note et nombre d'avis). Pour un paiement par virement, notre banque nous transmet le nom et l'IBAN du compte payeur.
La facturation et le paiement : montant, date, moyen et état du paiement. Les données de carte sont traitées par notre prestataire de paiement ; nous n'y avons pas accès.
Les journaux techniques de nos pages (cns-sarl.ch et qr.cns-sarl.ch, y compris les images affichées pendant que vous remplissez le bon de commande ou que vous consultez votre bon à tirer) : adresse IP, date et heure, adresse demandée, page d'origine, navigateur. L'adresse de votre page de validation, qui contient votre lien secret, n'est pas enregistrée.
Les champs obligatoires du bon de commande sont nécessaires pour conclure et exécuter la commande : sans eux, nous ne pouvons pas la traiter.
5. Pourquoi nous les traitons
- traiter votre commande : bon de commande, bon à tirer, fabrication, livraison et garantie ;
- vous écrire au sujet de votre commande (copie du bon de commande signé, bon à tirer, rappels, facture, suivi) et répondre à vos messages ;
- facturer, encaisser et tenir notre comptabilité ;
- après la livraison, vous demander un avis sur notre travail ; vous pouvez refuser ces messages à tout moment ;
- assurer la sécurité de nos systèmes et pouvoir prouver la commande en cas de litige.
Nous n'utilisons pas vos données à d'autres fins, notamment publicitaires.
6. Qui reçoit vos données
Nous ne vendons ni ne louons aucune donnée. Nous ne communiquons vos données qu'aux destinataires ci-dessous, pour les besoins du point 5. Google, La Poste, notre banque et Telegram traitent vos données sous leur propre responsabilité, selon leurs propres règles ; Stripe aussi, pour ses propres besoins (notamment la prévention de la fraude et ses obligations légales). Pour chacun, nous indiquons le pays et, hors de Suisse, la garantie qui encadre la communication (art. 16 et 17 LPD).
| Destinataire | Rôle | Données reçues | Pays | Garantie |
|---|---|---|---|---|
| Infomaniak Network SA, Genève | serveur, base de données, e-mails, sauvegardes | toutes | Suisse | — |
| Tally BV, Gand (Belgique) | formulaire du bon de commande | tout le bon de commande, signature comprise | Union européenne (hébergement en Belgique ; fichiers envoyés par le formulaire chez Cloudflare, dans l'UE) ; protection contre les robots : États-Unis (Cloudflare, sans accès aux réponses) | pays adéquats ; Swiss-U.S. Data Privacy Framework (Cloudflare, Inc.) |
| Formagrid Inc. (Airtable), San Francisco | tableau interne de suivi des commandes | nom et localité de l'établissement, nom, e-mail et téléphone du contact, adresse de livraison, produit et textes à imprimer, logo, destination du QR code, bon à tirer, montant et état | États-Unis | clauses contractuelles types de la Commission européenne, adaptées au droit suisse, prévues par le contrat de traitement signé avec Airtable (art. 16 al. 2 let. d LPD) |
| Telegram Messenger Inc. | notifications internes à CNS | n° de commande, nom et localité de l'établissement, produit, montant, état, bon à tirer (image et légende, avec la destination du QR code), logo que nous ajoutons à la commande, demandes de correction telles que vous les écrivez, téléphones et e-mails masqués. Nous n'y envoyons ni votre téléphone, ni votre adresse de livraison, ni votre signature, ni votre bon de commande ; ils n'y figurent que s'ils font partie de la destination du QR code (par exemple l'adresse de votre fiche Google ou un numéro WhatsApp) ou si vous les écrivez dans une demande de correction. Une adresse e-mail ou un prénom que nous corrigeons à votre demande y passe et en est aussitôt effacé | Telegram n'indique pas où sont stockées les données d'un compte suisse ; sa politique cite des centres de données dans plusieurs pays et des sociétés du groupe à Dubaï (Émirats arabes unis) et aux Îles Vierges britanniques | communication en relation directe avec l'exécution de votre commande (art. 17 al. 1 let. b LPD) |
| Google (Google Cloud EMEA Ltd, Irlande, et Google LLC, États-Unis) | recherche de la fiche Google de l'établissement, y compris les suggestions proposées pendant la saisie sur cns-sarl.ch | texte de recherche de la fiche (en général nom et localité de l'établissement) | Irlande (UE), États-Unis | pays adéquat ; Swiss-U.S. Data Privacy Framework (Google LLC) |
| Stripe Payments Europe Ltd, Irlande (avec Stripe, LLC, États-Unis) | paiement par carte et TWINT | montant, nom, e-mail, données de paiement et de l'appareil utilisé | Irlande (UE), Royaume-Uni, États-Unis, Inde | pays adéquats ; Swiss-U.S. Data Privacy Framework (Stripe, LLC) ; clauses contractuelles types adaptées au droit suisse pour les autres sociétés Stripe (art. 16 al. 2 let. d LPD) |
| bexio AG, Rapperswil | facturation et comptabilité | établissement, contact, adresse, e-mail, montants | Suisse (sauvegardes possibles dans l'UE ou l'EEE) | pays adéquats |
| PostFinance SA, Berne | encaissement des virements | nom et IBAN du payeur, montant, référence de la facture | Suisse | — |
| La Poste Suisse (Poste CH SA, Berne) | livraison | nom, adresse de livraison | Suisse, Liechtenstein, Allemagne | pays adéquats |
Si une facture reste impayée, nous pouvons communiquer les données nécessaires pour la recouvrer (nom et adresse de l'établissement et du contact, facture, commande et échanges utiles) à l'office des poursuites compétent, à un tribunal ou à un avocat, en Suisse.
En clair : un « pays adéquat » est un pays dont la Suisse reconnaît que la loi protège vos données aussi bien que la loi suisse ; c'est le cas des pays de l'Union européenne et de l'EEE, du Royaume-Uni et des entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework (annexe 1 de l'OPDo). Les « clauses contractuelles types » sont un contrat standard, reconnu par les autorités, qui oblige le prestataire à protéger vos données comme en Suisse. Nous pouvons aussi communiquer des données si la loi l'exige, par exemple à une autorité.
7. Combien de temps nous les gardons
- Bon de commande signé, bon à tirer validé et sa validation (date et heure), factures, paiements et données nécessaires pour les comprendre : 10 ans dès la fin de l'exercice comptable de la commande, durée imposée par le droit comptable suisse (art. 958f CO).
- Soumission du formulaire chez Tally : effacée 30 jours après la commande, une fois la signature et le logo copiés sur notre serveur en Suisse ; si cette copie échoue, nous la faisons à la main, puis nous effaçons la soumission.
- Autres données de la commande (logo, versions non validées du bon à tirer, mot de passe WiFi, y compris dans nos e-mails, historique, suivi interne, notifications internes) : pendant la commande et la garantie, puis effacées ou rendues anonymes au plus tard 12 mois après la livraison ou l'abandon de la commande.
- Journaux techniques, historique de nos automatisations et sauvegardes de notre serveur : 14 jours.
- E-mails échangés avec nous : aussi longtemps que nécessaire pour le suivi et la garantie ; ceux qui justifient une écriture comptable, 10 ans.
8. Sécurité
Notre serveur, notre base de données, nos fichiers et nos e-mails sont hébergés en Suisse, chez Infomaniak, sur un serveur protégé (pare-feu, mises à jour de sécurité automatiques, connexions chiffrées). Les signatures, les bons de commande signés et les logos d'origine sont gardés dans un dossier privé, jamais publié sur Internet. Votre page de validation et les images de votre bon à tirer ne sont accessibles qu'à des adresses secrètes, propres à votre commande. Une sauvegarde est faite chaque nuit. Les copies confiées aux destinataires du point 6 sont protégées par leurs propres mesures de sécurité.
Si une violation de la sécurité de vos données présentait un risque élevé, nous l'annoncerions dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) et nous vous en informerions lorsque cela serait nécessaire à votre protection (art. 24 LPD).
9. Vos droits
Vous pouvez à tout moment, en écrivant à qr@cns-sarl.ch :
- savoir si nous traitons des données vous concernant et en obtenir une copie (droit d'accès) ;
- recevoir les données que vous nous avez fournies dans un format électronique courant, ou les faire transmettre à une autre entreprise si cela ne demande pas d'efforts disproportionnés (remise et transmission) ;
- faire rectifier des données inexactes ;
- demander l'effacement de vos données ou vous opposer à un traitement, par exemple à nos demandes d'avis, sous réserve des données que la loi nous oblige à garder (point 7).
Nous répondons gratuitement dans les 30 jours ; s'il nous faut plus de temps, nous vous le disons dans ce délai. Ces droits s'exercent dans les limites prévues par la loi (art. 25 à 28 et 32 LPD). Nous pouvons vous demander de prouver votre identité. Vous pouvez aussi vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT, www.edoeb.admin.ch).
10. Cookies et outils de mesure
Nos pages (cns-sarl.ch et qr.cns-sarl.ch) n'utilisent ni cookies ni outils de mesure d'audience ou de publicité. Si vous choisissez l'affichage clair ou sombre sur cns-sarl.ch, ce choix est enregistré seulement dans votre navigateur et ne nous est jamais envoyé. Les polices de caractères sont hébergées sur notre serveur : votre navigateur ne contacte aucun autre service pour les afficher.
Le bon de commande est hébergé par Tally (tally.so), qui applique ses propres règles : tally.so/help/privacy-policy. Sur cns-sarl.ch, il est intégré dans la page et ne se charge que lorsque vous ouvrez la commande ; les choix faits dans l'aperçu « Sur mesure » (taille, finition, matière, destination, nom et localité de l'établissement, nom et texte à imprimer, lien) lui sont alors transmis pour préparer le bon. Avant cela, une seule chose quitte votre appareil : quand vous tapez le nom et la localité de votre établissement dans « Votre fiche Google », ils sont envoyés à notre serveur, qui interroge Google pour vous proposer les fiches correspondantes (point 6). Ni la recherche ni la réponse ne sont enregistrées, pas même dans nos journaux techniques.
11. Si le RGPD s'applique
Si le RGPD devait s'appliquer à un traitement, les précisions suivantes valent en complément :
- Bases légales : l'exécution du contrat (art. 6 §1 let. b RGPD) lorsque vous êtes vous-même notre client, par exemple comme titulaire d'une entreprise individuelle ; notre intérêt légitime (art. 6 §1 let. f) à traiter avec la personne de contact de l'entreprise cliente, à assurer la sécurité de nos systèmes, à vous demander un avis et à respecter nos obligations légales suisses, notamment comptables.
- Droits : en plus de ceux du point 9, vous pouvez demander la limitation d'un traitement et vous opposer aux traitements fondés sur notre intérêt légitime. Nous répondons dans un délai d'un mois.
- Plainte : vous pouvez saisir l'autorité de protection des données de l'État de l'Union européenne ou de l'EEE où vous résidez, travaillez ou où la violation alléguée a eu lieu (en France, la CNIL).
- Transferts : la Suisse est reconnue par l'Union européenne comme offrant une protection adéquate (décision 2000/518/CE, confirmée le 15 janvier 2024). Pour les États-Unis : EU-U.S. Data Privacy Framework (Google LLC, Stripe, LLC, Cloudflare, Inc.) ou clauses contractuelles types de la Commission européenne (Airtable).
12. Modifications
Nous pouvons adapter cette déclaration, par exemple si nos prestataires changent. La version publiée sur qr.cns-sarl.ch/confidentialite, reprise sur cns-sarl.ch/confidentialite, fait foi.
Version du 17 octobre 2026 à 23 h 16