YESbusiness

Politique de protection des données de YESbusiness

1. Introduction

YESbusiness Sàrl, IDE CHE-444.646.675, dont le siège social est situé Reichenbachstrasse 118A, 3004 Berne, Suisse, attache une importance capitale à la protection et à la confidentialité des données personnelles de ses utilisateurs.

La présente politique détaille les modalités de collecte, de traitement, de conservation et de protection de ces données dans le cadre du site web de YESbusiness et de sa plateforme en ligne (ci-après « la Plateforme »).

2. Responsable du traitement

Le responsable du traitement des données est :

YESbusiness Sàrl
Reichenbachstrasse 118A
3004 Berne
Suisse
support@yesbusiness.ch

YESbusiness n’a pas désigné de délégué à la protection des données. Toute question ou demande relative au traitement de vos données personnelles est traitée par le responsable du traitement, à l’adresse support@yesbusiness.ch (mention « Protection des données » dans l’objet du message). YESbusiness s’engage à répondre dans les meilleurs délais.

3. Champ d’application territorial

Les services de YESbusiness sont destinés exclusivement à des personnes et entreprises domiciliées ou ayant leur siège en Suisse. Les traitements décrits ci-après sont soumis à la loi fédérale sur la protection des données (LPD) révisée, en vigueur depuis le 1er septembre 2023.

YESbusiness respecte en outre les principes du Règlement général sur la protection des données (RGPD) de l’Union européenne lorsque celui-ci s’applique.

4. Bases légales du traitement

YESbusiness traite les données personnelles sur les bases suivantes :

  • l’exécution du contrat conclu avec l’utilisateur (fourniture de la Plateforme, facturation, support) ;
  • le respect d’obligations légales ;
  • les intérêts légitimes de YESbusiness à fournir, sécuriser et améliorer ses services ;
  • le consentement de la personne concernée, lorsqu’il est requis (assistant IA, assistants IA connectés, newsletter, cookies et balises publicitaires du site public).

5. Finalités du traitement des données

Les données personnelles collectées sont traitées exclusivement dans le cadre des finalités suivantes :

  • Gestion des comptes utilisateurs et authentification
  • Fourniture des services SaaS (comptabilité, TVA, import et connexions bancaires, espace partenaire)
  • Fonctionnement de l’assistant IA, lorsque l’utilisateur l’a activé
  • Gestion des paiements et facturation via Stripe
  • Envoi de communications transactionnelles et support client
  • Respect des obligations légales et réglementaires
  • Sécurité de la Plateforme, prévention des abus et des usages illicites
  • Amélioration continue des services (analyse d’utilisation, qualité des réponses de l’assistant)
  • Mesure de l’efficacité des campagnes publicitaires (quel canal amène des inscriptions et des clients)

6. Catégories de données traitées

YESbusiness traite notamment les catégories suivantes de données personnelles :

  • Données d’identification : nom, prénom, adresse, e-mail, numéro de téléphone, langue
  • Données professionnelles : statut professionnel, entreprise, numéro IDE, rôle et droits d’accès
  • Données comptables et financières : écritures comptables, pièces justificatives et documents importés, transactions bancaires importées ou synchronisées, IBAN, décomptes de TVA
  • Données de facturation : abonnement, historique de paiement et factures. Les données de carte de crédit sont saisies et traitées directement par Stripe et ne sont pas conservées par YESbusiness
  • Données de communication : échanges avec le support, notifications et alertes
  • Conversations avec l’assistant IA, lorsque celui-ci est activé (art. 9)
  • Données techniques et d’utilisation : adresse IP, informations de connexion, navigateur et appareil, journaux d’utilisation, pages consultées, interactions et enregistrements de session (art. 8)
  • Données d’attribution marketing : paramètres de campagne (utm_source, utm_medium, utm_campaign, utm_term, utm_content) et identifiants de clic publicitaire (gclid pour Google, fbclid pour Meta, li_fat_id pour LinkedIn), rattachés au profil d’analyse de la personne (art. 8.2 et 8.4)

6.1 Données de tiers saisies par l’utilisateur

L’utilisateur saisit ou importe dans la Plateforme des données concernant des tiers (clients, fournisseurs, collaborateurs, contreparties bancaires). Pour ces données, l’utilisateur est le responsable du traitement et YESbusiness intervient comme sous-traitant, agissant sur instruction de l’utilisateur et dans le seul cadre de la fourniture du service. Il appartient à l’utilisateur de disposer d’une base légale suffisante pour ce traitement et d’informer les personnes concernées.

7. Newsletter et marketing

  • Lorsque vous vous inscrivez à notre newsletter ou acceptez de recevoir des communications marketing de notre part, nous utilisons vos données personnelles (principalement votre nom et votre adresse e-mail) afin de vous envoyer des informations sur nos produits, services, nouveautés et offres spéciales.
  • L’inscription à la newsletter suit une procédure de double opt-in : après avoir saisi votre adresse e-mail, vous recevez un e-mail de confirmation contenant un lien d’activation. Ce n’est qu’après avoir cliqué sur ce lien que votre inscription sera effective.
  • Les e-mails sont envoyés au moyen du service Postmark (art. 10).
  • Vous pouvez vous désabonner à tout moment, soit via le lien prévu à cet effet dans chaque e-mail, soit en nous écrivant à support@yesbusiness.ch. Une fois désabonné, vous ne recevrez plus de communications commerciales, sauf si vous vous réinscrivez volontairement.
  • Nous mesurons la performance de nos envois (taux d’ouverture et de clics). Ces données sont analysées de manière agrégée, sans profilage individuel.

8. Cookies, mesure d’audience et journaux techniques

8.1 Cookies strictement nécessaires

YESbusiness utilise des cookies strictement nécessaires au bon fonctionnement de la Plateforme, notamment pour la gestion de la session utilisateur et la sécurisation des accès. Ces cookies ne peuvent pas être désactivés sans rendre le service inutilisable.

8.2 Mesure d’audience et analyse d’utilisation (PostHog)

YESbusiness utilise PostHog, hébergé dans l’Union européenne, pour comprendre comment son site et son application sont utilisés. Sont collectés à ce titre :

  • les pages consultées, les clics et les interactions avec l’interface (capture automatique des événements) ;
  • des enregistrements de session reconstituant la navigation dans l’interface ;
  • des informations techniques (navigateur, appareil, pays approximatif dérivé de l’adresse IP) ;
  • une fois l’utilisateur connecté, le rattachement de ces événements à son compte au moyen d’un identifiant utilisateur;
  • à l’inscription, les données d’attribution marketing décrites à l’art. 6, enregistrées sur le profil d’analyse de la personne (la première visite fait foi), afin de mesurer le coût de chaque canal par client.

Un cookie déposé sur le domaine .yesbusiness.ch permet de relier la visite du site public et l’utilisation de l’application par la même personne. Ce cookie, copié dans le stockage local du navigateur, est déposé dès le chargement de la page, sans bannière. Il contient la provenance de la visite et l’adresse de la première page visitée ; si cette adresse comporte des paramètres de campagne ou un identifiant de clic publicitaire (gclid, fbclid, li_fat_id), ils s’y trouvent aussi. Lorsqu’une personne arrive directement sur la page d’inscription de l’application, ces paramètres sont aussi conservés dans le stockage local du navigateur. Les requêtes transitent par un sous-domaine de yesbusiness.ch avant d’atteindre l’infrastructure de PostHog.

Ces traitements reposent sur l’intérêt légitime de YESbusiness à comprendre l’usage réel de son service, à en améliorer l’ergonomie, à détecter les erreurs et à mesurer le coût de ses campagnes par client. Les données PostHog ne sont ni vendues ni utilisées pour du remarketing, et YESbusiness n’utilise ni Google Analytics ni système comparable.

Vous pouvez vous opposer à cette mesure d’audience en écrivant à support@yesbusiness.ch, ou en bloquant ces requêtes au moyen des réglages ou extensions de votre navigateur.

8.3 Journaux techniques

L’infrastructure de Cloudflare et les serveurs applicatifs enregistrent des journaux techniques (adresse IP, horodatage, requête, code de réponse, erreurs) à des fins de sécurité, de prévention des abus et de diagnostic. Ces journaux sont conservés pour une durée limitée.

8.4 Mesure des campagnes publicitaires (Google Ads, Meta, LinkedIn)

Où. YESbusiness mesure l’efficacité de ses campagnes publicitaires au moyen de balises de Google Ads, de Meta et de LinkedIn. Ces balises ne fonctionnent que sur le site public www.yesbusiness.ch. Elles ne sont jamais chargées dans l’application.

Consentement. Les balises de Google Ads, de Meta et de LinkedIn ne se chargent qu’après votre accord, donné au moyen de la bannière de consentement. Les paramètres de campagne et l’identifiant de clic contenus dans l’adresse de la page d’arrivée sont, eux, déjà enregistrés par notre outil de mesure d’audience (art. 8.2), sans bannière. Si vous refusez, rien ne change dans le site ni dans l’application. Vous pouvez retirer votre consentement à tout moment par le lien en pied de page du site.

Ce qui est collecté. Les balises collectent les cookies propres à chaque plateforme, l’adresse IP, des informations sur le navigateur et l’appareil, la page consultée, l’identifiant de clic publicitaire (gclid, fbclid ou li_fat_id) et l’événement de conversion (inscription ou abonnement).

Comment la conversion parvient aux plateformes. Selon la plateforme, par sa balise sur www.yesbusiness.ch, ou par YESbusiness, qui lui transmet l’identifiant de clic, l’identifiant de navigateur déposé par sa balise, le type de navigateur (user agent) et le fait qu’une inscription ou un abonnement a eu lieu. Dans les deux cas, YESbusiness ne transmet jamais de nom, d’adresse e-mail, de numéro de téléphone ni de donnée d’entreprise, pas même sous forme chiffrée (hachée). Aucune donnée comptable n’est transmise.

Rôle des plateformes. Google, Meta et LinkedIn ne sont pas des sous-traitants de YESbusiness. Pour la collecte sur notre site, chaque plateforme et YESbusiness agissent comme responsables conjoints du traitement. Pour ce que la plateforme fait ensuite des données, notamment pour ses propres finalités publicitaires, elle est responsable du traitement à part entière. Leurs politiques de confidentialité :

Cookies (Google et LinkedIn : noms et durées attendus, confirmés lorsque leurs balises seront ajoutées) :

  • Google : _gcl_au – environ 90 jours
  • Meta : _fbp, _fbc – environ 90 jours
  • YESbusiness : ybs_consent – 6 mois, garde votre choix dans la bannière
  • LinkedIn : li_sugr, bcookie, lidc – de la session à environ 1 an

Pays. Google (Irlande / États-Unis), Meta (Irlande / États-Unis), LinkedIn (Irlande / États-Unis).

9. Assistant IA

9.1 Caractère facultatif

L’assistant IA de la Plateforme est facultatif et suppose une activation explicite par l’utilisateur. La Plateforme reste pleinement utilisable sans lui.

9.2 Données transmises

Lorsque l’assistant est utilisé, sont transmis au prestataire du modèle : le contenu de la conversation ainsi que les données de la société nécessaires au contexte de la demande (par exemple soldes, écritures comptables, informations sur l’entreprise et les documents concernés). Ces données peuvent inclure des données concernant des tiers saisies par l’utilisateur (art. 6.1).

9.3 Prestataire et utilisation des données par celui-ci

Le modèle utilisé est Gemini de Google, via l’offre payante de l’interface de programmation de Google (Vertex AI). Conformément aux conditions applicables à cette offre, Google n’utilise pas les requêtes ni les réponses pour entraîner ou améliorer ses modèles. Google journalise les requêtes et les réponses pendant une durée limitée, uniquement afin de détecter les violations de sa politique d’usage, d’assurer la sécurité du service et de répondre à ses obligations légales.

9.4 Lieu du traitement

Les requêtes adressées à l’assistant sont traitées sur l’infrastructure européenne de Google : en Suisse, dans la région de Zurich, ou, lorsque le modèle utilisé n’y est pas disponible, dans une région de l’Union européenne. Elles ne sont pas transférées aux États-Unis aux fins de ce traitement.

Lorsque le traitement a lieu dans l’Union européenne, il repose sur l’addendum de traitement des données de Google et, en tant que de besoin, sur les clauses contractuelles types de la Commission européenne ; les États de l’Union européenne figurent en outre parmi les États dont la législation assure une protection adéquate au sens du droit suisse.

9.5 Conservation par YESbusiness

Les conversations sont conservées par YESbusiness dans sa base de données hébergée en Suisse. Elles sont utilisées :

  • pour améliorer la qualité du service et des réponses de l’assistant ;
  • pour vérifier que la Plateforme n’est pas utilisée à des fins illicites ou illégales.

Lorsque l’assistant est utilisé sans compte (avant l’inscription), l’adresse IP et la conversation sont conservées pendant 90 jours à des fins de sécurité et de prévention des abus, puis supprimées automatiquement ; seuls les administrateurs de YESbusiness y ont accès.

Il est recommandé de ne pas saisir dans l’assistant de données personnelles sensibles qui ne seraient pas nécessaires à la demande.

9.6 Assistants IA connectés (connecteur YESbusiness)

Indépendamment de l’assistant intégré décrit aux articles 9.1 à 9.5, l’utilisateur peut relier à la Plateforme un assistant IA de son choix (par exemple Claude d’Anthropic, ChatGPT d’OpenAI ou un autre client compatible) au moyen du connecteur YESbusiness. Cette connexion est facultative ; elle est établie par l’utilisateur lui-même, après connexion à son compte, sur un écran de consentement où il choisit les sociétés concernées, le niveau de droits accordé (lecture seule ; préparation d’écritures que l’utilisateur valide lui-même ; écritures autonomes dans la limite d’un plafond de montant qu’il fixe) et, par une case à cocher distincte, s’il autorise la lecture du contenu de ses pièces justificatives.

Le fournisseur de l’assistant connecté est choisi par l’utilisateur et n’est pas un sous-traitant de YESbusiness. Les données que l’utilisateur demande à son assistant (par exemple soldes, écritures, transactions bancaires, décomptes de TVA et, s’il l’a autorisé, le contenu de documents) lui sont transmises par le connecteur, puis traitées par ce fournisseur selon ses propres conditions, en ses propres lieux de traitement et selon sa propre politique de confidentialité, sur la base du contrat qui lie l’utilisateur à ce fournisseur. Les engagements des articles 9.3 et 9.4 (absence d’entraînement, traitement en Suisse ou dans l’Union européenne) ne s’appliquent pas à ce traitement. Il appartient à l’utilisateur de vérifier les conditions de son fournisseur, en particulier pour les données concernant des tiers (art. 6.1).

YESbusiness ne transmet par le connecteur que ce que l’assistant demande dans le cadre des droits accordés, et jamais les données d’abonnement et de paiement, les membres et invitations ni les identifiants bancaires. Pour chaque appel, YESbusiness journalise l’outil utilisé, la société concernée, la date et l’heure, le résultat et, pour les textes libres, uniquement leur longueur. Chaque écriture créée par un assistant est marquée comme telle et figure dans la liste d’activité IA de la société, où elle peut être annulée. Ces journaux sont conservés à des fins de sécurité, de preuve et de support, conformément à l’article 13.

L’utilisateur peut à tout moment consulter et révoquer ses connexions dans les paramètres de son compte (« Applications connectées ») ; la déconnexion de toutes les sessions met également fin aux connexions. La révocation n’efface pas les données déjà transmises au fournisseur de l’assistant, dont la suppression relève de ce dernier.

10. Destinataires et sous-traitants

YESbusiness travaille avec plusieurs prestataires techniques pour assurer la fourniture de ses services. Ces sous-traitants peuvent accéder aux données dans le strict cadre de leurs missions. Les principaux prestataires sont :

  • Xano (Suisse) : base de données, logique applicative et stockage des fichiers
  • Google Cloud (Suisse) : infrastructure d’hébergement
  • Cloudflare (États-Unis, réseau mondial) : distribution, sécurité et exécution de l’application web ; journaux techniques
  • Google – Gemini (Suisse – région de Zurich, ou Union européenne) : assistant IA (art. 9)
  • Google – Places API : suggestions d’adresses lors de la saisie ; le texte saisi dans le champ d’adresse est transmis à Google à cette fin
  • Stripe (Irlande / États-Unis) : traitement des paiements par carte
  • Postmark (États-Unis) : envoi d’e-mails transactionnels et de la newsletter
  • PDF.co (États-Unis) : génération de documents PDF
  • PostHog (Union européenne) : mesure d’audience et analyse d’utilisation (art. 8.2)

Destinataires qui ne sont pas des sous-traitants. Google Ads (Irlande / États-Unis), Meta (Irlande / États-Unis) et LinkedIn (Irlande / États-Unis) reçoivent les données décrites à l’art. 8.4 pour la mesure de nos campagnes publicitaires. Ils ne sont pas nos sous-traitants et traitent aussi ces données pour leurs propres finalités.

YESbusiness ne vend pas de données personnelles. Elle ne communique des données à des fins publicitaires que dans la mesure décrite à l’art. 8.4 et rien d’autre. Une communication à des autorités n’intervient que si une obligation légale l’impose.

11. Transferts hors de Suisse

Les transferts de données personnelles vers des pays tiers, notamment les États-Unis, s’effectuent uniquement sous réserve de garanties appropriées assurant un niveau de protection conforme aux exigences légales suisses et européennes : décision d’adéquation, participation au cadre de protection des données applicable, ou clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant par des mesures additionnelles. Les transferts vers Google, Meta et LinkedIn reposent sur le cadre de protection des données Suisse–États-Unis lorsque la société y participe, et sinon sur des clauses contractuelles types.

YESbusiness s’engage à vérifier régulièrement que ses sous-traitants respectent ces exigences et à mettre à jour les mesures de protection selon l’évolution de la législation et de la jurisprudence.

12. Mesures de sécurité

YESbusiness met en œuvre des mesures techniques et organisationnelles adaptées afin d’assurer la confidentialité, l’intégrité et la disponibilité des données, notamment :

  • Chiffrement des communications (HTTPS/TLS)
  • Accès aux données restreint selon le principe du moindre privilège
  • Hébergement des données principales sur des serveurs situés en Suisse
  • Sauvegardes automatiques quotidiennes permettant la restauration des données
  • Séparation des environnements de développement, de test et de production
  • Journalisation des opérations critiques et surveillance des systèmes
  • Procédures internes de gestion des incidents de sécurité

L’accès au compte est protégé par un mot de passe dont l’utilisateur est responsable ; l’authentification à deux facteurs n’est pas proposée à ce jour.

13. Durée de conservation des données

Les données personnelles sont conservées aussi longtemps que nécessaire pour fournir les services, respecter les obligations légales et protéger les droits de YESbusiness.

À la fin d’un abonnement ou d’une période d’essai, la société concernée est archivée et ses données ne sont pas supprimées : elles restent conservées afin de permettre une réactivation ultérieure, conformément aux conditions générales. Les conversations avec l’assistant IA sont conservées selon l’article 9.5. Les données d’attribution marketing restent sur le profil d’analyse tant que celui-ci existe et sont supprimées avec lui sur demande. La durée des cookies publicitaires figure à l’art. 8.4.

L’utilisateur peut demander en tout temps la suppression définitive de ses données en écrivant à support@yesbusiness.ch. Il est donné suite à cette demande sous réserve des obligations légales de conservation, des données nécessaires à la facturation et à la preuve, ainsi que des sauvegardes techniques, qui sont écrasées automatiquement dans un délai limité.

Les obligations légales de conservation portant sur la comptabilité de l’utilisateur lui-même, notamment le délai de dix ans de l’art. 958f CO, lui incombent et ne sont pas assumées par YESbusiness.

14. Droits des personnes concernées

Conformément à la LPD et, le cas échéant, au RGPD, chaque utilisateur dispose des droits suivants sur ses données personnelles :

  • Droit d’accès : obtenir la confirmation que YESbusiness traite ses données, et en demander une copie
  • Droit de rectification : faire corriger des données inexactes ou incomplètes
  • Droit à l’effacement : demander la suppression de ses données, sous réserve des obligations légales
  • Droit à la limitation du traitement : s’opposer à certains traitements ou en limiter la portée
  • Droit à la portabilité : recevoir ses données dans un format structuré et lisible, pour les transmettre à un autre fournisseur
  • Droit d’opposition : refuser que ses données soient traitées à des fins de marketing ou de mesure d’audience
  • Droit de retirer son consentement à tout moment, notamment pour l’assistant IA, les assistants IA connectés, la newsletter et les balises publicitaires (par le lien en pied de page du site), sans impact sur la licéité des traitements réalisés avant le retrait

La Plateforme ne propose pas à ce jour de fonction libre-service d’export global ou de suppression du compte. Ces droits s’exercent par e-mail à support@yesbusiness.ch ; YESbusiness s’engage à répondre dans un délai raisonnable et conforme à la réglementation applicable.

Toute personne concernée a par ailleurs le droit de s’adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT).

15. Profilage et décisions automatisées

YESbusiness ne prend pas de décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative l’utilisateur.

Les réponses de l’assistant IA sont des suggestions non contraignantes, que l’utilisateur vérifie et valide lui-même ; elles ne constituent pas une décision automatisée. Les analyses d’utilisation et les données d’attribution (art. 8.2 et 8.4) servent à mesurer des canaux et des campagnes ; elles ne sont pas utilisées pour cibler ou évaluer une personne individuellement. Les plateformes publicitaires peuvent utiliser ce que leurs balises collectent pour leur propre publicité, selon leurs propres politiques (art. 8.4).

16. Gestion des violations de données personnelles

En cas de violation avérée des données personnelles, YESbusiness s’engage à :

  • Évaluer rapidement la nature et la gravité de la violation
  • Prendre toutes les mesures correctives nécessaires pour limiter les impacts
  • Informer, si nécessaire, les autorités compétentes conformément aux obligations légales en vigueur
  • Notifier les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés

YESbusiness tient un registre des incidents de sécurité et met en œuvre un plan de réponse aux incidents.

17. Modifications de la politique de protection des données

YESbusiness se réserve le droit de modifier cette politique à tout moment. Toute modification sera communiquée aux utilisateurs via la Plateforme ou par e-mail, avec une prise d’effet au minimum 30 jours après notification.

18. Contact

Pour toute question ou demande relative à la protection des données, veuillez contacter : support@yesbusiness.ch