Politique de confidentialité

Responsable du traitement

Le responsable du traitement des données en lien avec ce site web est :

Solarstream AG
c/o Switzerland Innovation Park Central
Suurstoffi 18b
6343 Rotkreuz
Suisse

CHE-224.276.663

E-mail : info@solarstream.ch

Pour les questions relatives à la protection des données, veuillez contacter : christian.bertschy@solarstream.ch

---

Mise à disposition du site web (logfiles)

Description et étendue du traitement des données

Lorsque vous accédez à notre site web, c'est-à-dire même si vous ne vous enregistrez pas ou ne transmettez pas d'informations d'une autre manière, des informations de nature générale sont automatiquement collectées. Ces informations (fichiers journaux du serveur) comprennent par exemple le type de navigateur Web, le système d'exploitation utilisé, le nom de domaine de votre fournisseur d'accès Internet, votre adresse IP, l'URL de référence, la date et l'heure d'accès et d'autres informations similaires.

Ils sont notamment traités aux fins suivantes :

• Assurer une connexion sans problème du site web,
• Assurer une utilisation sans problème de notre site web,
• assurer et évaluer la sécurité et la stabilité du système, notamment pour détecter les abus
• pour une présentation techniquement correcte et l'optimisation de notre site web.

Ces données sont également enregistrées dans les fichiers journaux de notre système. Ces données ne sont pas enregistrées avec d'autres données personnelles de l'utilisateur. Nous n'utilisons pas vos données pour tirer des conclusions sur votre personne. Nous nous réservons toutefois le droit de vérifier ultérieurement les fichiers journaux du serveur si des indices concrets devaient indiquer une utilisation illégale.

Destinataires des données

Pour l'exploitation et la maintenance de notre site web, nous faisons appel à des prestataires de services qui agissent en tant que nos sous-traitants. Tous les prestataires de services sont tenus par contrat de traiter vos données de manière confidentielle.

---

Catégories de sous-traitants et autres destinataires de données

Nous ne communiquons des données personnelles que lorsque cela est nécessaire aux finalités décrites dans la présente déclaration. Selon la fonction utilisée, les destinataires appartiennent notamment aux catégories suivantes :

• prestataires d’hébergement, de bases de données, d’authentification, de stockage de fichiers, de synchronisation, de sauvegarde et de sécurité technique ;
• prestataires de fonctions de messagerie, de calendrier, de notification et de communication ;
• prestataires d’analyse de produits, de diagnostic d’erreurs et de journalisation technique ;
• prestataires d’analyse assistée par IA, de reconnaissance de documents, de transcription et d’automatisation ;
• plateformes d’intégration, de planification, de comptabilité, de signature ou d’approvisionnement choisies par le client ; et
• autorités, gestionnaires de réseau et services publics de géodonnées lorsque cela est nécessaire à une fonction demandée ou imposé par la loi.

Le registre actuel des sous-traitants et autres destinataires de données indique chaque organisme, son rôle, sa finalité, les catégories de données concernées, le lieu de traitement, les garanties applicables aux transferts et la base contractuelle. Le registre complète la présente déclaration et peut être actualisé lorsque des éléments opérationnels changent. Les modifications substantielles de la finalité, des catégories de données, de la catégorie de destinataires ou d’un transfert à l’étranger restent soumises à un examen juridique et sont communiquées séparément.

---

Transferts internationaux de données

Certains de nos sous-traitants ont leur siège aux États-Unis. Toutes les données personnelles au repos sont stockées en Suisse (Zurich) ou dans l'UE (Francfort).

Les transferts de données personnelles sont garantis par les mesures suivantes :

• Contrats de sous-traitance des données (DPA) signés

• Clauses contractuelles types de l'UE (SCCs)

• Certification Swiss-US Data Privacy Framework

• Pour l'automatisation des annonces de travaux via Browserbase, approuvée séparément, aucun transfert régulier n'a lieu tant que la fonction n'a pas été explicitement activée pour un compte client. Avant l'activation, nous vérifions et documentons la région effective de traitement ainsi que les garanties applicables. Sans cette vérification, la fonction reste désactivée.
  L'Allemagne bénéficie d'un niveau de protection adéquat au sens de la loi fédérale sur la protection des données (LPD) — aucune mesure de protection supplémentaire n'est requise pour le traitement des données à Francfort.

---

Prise de contact

Description et étendue du traitement des données

Notre site Internet comporte un formulaire de contact qui peut être utilisé pour une prise de contact électronique. Si vous faites usage de cette possibilité, les données personnelles saisies dans le masque de saisie nous seront transmises et enregistrées. Le traitement de vos données personnelles nous sert uniquement à traiter votre demande.

Au moment de l'envoi du message, les données suivantes sont également transmises et enregistrées :

• date et heure de la demande
• URL à partir de laquelle la demande a été effectuée
• adresse IP

Il est également possible de prendre contact via les adresses e-mail mises à disposition. Dans ce cas, les données personnelles de l'utilisateur transmises par e-mail sont enregistrées. Il s'agit notamment des données suivantes

• la date et l'heure de la demande
• URL à partir de laquelle la demande a été effectuée
• l'adresse IP
• ainsi que des informations sur les serveurs impliqués dans la communication par e-mail.

En outre, vous pouvez nous contacter via le numéro de téléphone mis à disposition. Dans ce cas, nous collectons des données de protocole contenant votre numéro de téléphone et la durée de la conversation. En principe, nous n'enregistrons pas les conversations.

Destinataires des données

Notre site web est entretenu par des prestataires de services qui agissent en tant que sous-traitants. Si vous nous envoyez une demande d'offre, les prestataires de services auxquels nous faisons appel peuvent recevoir des données à ces fins, dans la mesure où ils ont besoin des données pour l'exécution de leurs prestations respectives (p. ex. services informatiques, centre d'appels). Tous les prestataires de services sont tenus par contrat de traiter vos données de manière confidentielle.

---

Newsletter

Description et étendue du traitement des données

Vos données sont utilisées exclusivement pour vous envoyer par e-mail la newsletter à laquelle vous êtes abonné et, dans la mesure où vous y avez consenti, pour évaluer la manière dont vous utilisez la newsletter et, le cas échéant, les contenus qui y sont liés. L'indication de votre nom permet de s'adresser personnellement à vous dans la newsletter et, le cas échéant, de vous identifier si vous souhaitez faire usage de vos droits en tant que personne concernée.

Afin de vérifier que l'inscription est effectivement effectuée par le propriétaire d'une adresse e-mail, nous utilisons la procédure de "double opt-in" (procédure DOI) lors d'une inscription en ligne. Cela signifie que suite à votre inscription à la newsletter, vous recevez un e-mail dans lequel vous devez confirmer votre inscription à la newsletter en cliquant sur un lien.

Au moment de la confirmation DOI, les données suivantes sont en outre enregistrées :

• Lieu, date et heure de l'inscription
• adresse IP
• adresse électronique
• Le cas échéant, titre, prénom, nom de famille

De plus, nous analysons votre comportement de lecture et d'utilisation afin d'améliorer constamment notre newsletter et de l'adapter à vos intérêts et besoins. Pour ce faire, nous analysons si vous lisez nos newsletters et ce que vous cliquez dessus, afin de les rendre encore plus attrayantes.

Destinataires des données

Pour l'envoi et les analyses effectuées, nous faisons appel à des prestataires de services qui agissent en tant que nos sous-traitants. Tous les prestataires de services sont tenus par contrat de traiter vos données de manière confidentielle.

---

Enregistrement

Description et étendue du traitement des données

Sur notre site web, nous vous offrons la possibilité de vous enregistrer en indiquant vos données personnelles. Les données sont alors saisies dans un masque de saisie, puis nous sont transmises et enregistrées. Les données ne sont pas transmises à des tiers. Les données suivantes sont collectées dans le cadre du processus d'enregistrement :

• Prénom, nom de famille
• adresse électronique
• Mot de passe

Au moment de l'enregistrement, les données suivantes sont également enregistrées :

• adresse IP
• Date et heure de l'enregistrement

Dans le cadre du processus d'enregistrement, nous vous demandons votre consentement pour le traitement de ces données.

Destinataires des données

Pour le processus d'enregistrement, nous faisons appel à des prestataires de services techniques qui agissent en tant que nos sous-traitants. Tous les prestataires de services sont contractuellement tenus de traiter vos données de manière confidentielle.

---

Stockage de fichiers

Les utilisateurs peuvent télécharger des fichiers (documents, images, pièces jointes) dans l'application. Ces fichiers sont stockés à Zurich, en Suisse (Supabase Storage, AWS eu-central-2).

L'accès aux fichiers est contrôlé par des politiques de sécurité au niveau des lignes (row-level security). Les fichiers sont chiffrés au repos (AES-256) et en transit (TLS 1.2+). Les fichiers téléchargés sont supprimés lorsque le projet ou le compte associé est supprimé.

---

Intégration de messagerie

Les utilisateurs peuvent connecter leur boîte aux lettres Microsoft 365 ou Google Workspace à l'application. L'accès se fait via l'API Microsoft Graph ou l'API Gmail respectivement.

Données collectées

• Contenu des e-mails et pièces jointes
• Adresses d'expéditeur et de destinataire
• Objets des messages et horodatages
• Données de contact (nom, adresse e-mail) lorsque l'importation de contacts est activée

Finalité

Les données sont utilisées pour afficher et envoyer des e-mails au nom des utilisateurs au sein de l'application et pour faire correspondre les contacts avec le carnet d'adresses de l'utilisateur.

Mise en œuvre technique

• Microsoft 365 : Authentification via OAuth2 avec les autorisations Mail.ReadWrite, Contacts.Read
• Google Workspace : Authentification via OAuth2 avec les autorisations gmail.modify, contacts.readonly
• Les données de messagerie restent dans le locataire ou le compte de l'utilisateur
• Les métadonnées mises en cache (expéditeur, objet, date) sont stockées dans notre base de données (voir la section « Catégories de sous-traitants et autres destinataires de données »)

---

Analyse d'e-mails par intelligence artificielle

Description

Lorsque la fonctionnalité est activée par le titulaire du compte, les e-mails entrants sont automatiquement analysés par un modèle d'IA (fourni par Infomaniak SA en Suisse). Le traitement s'effectue exclusivement exclusivement en Suisse.

Données collectées et traitées

• Contenu textuel de l'e-mail (sans les pièces jointes)
• Adresses de l'expéditeur et des destinataires
• Objet du message
• Contexte du projet au sein de l'application

Résultats de l'analyse

• Résumé et analyse du sentiment
• Détection d'actions requises et de dates
• Suggestions d'attribution à des projets et des contacts
• Détection de nouveaux leads potentiels
• Ébauche de modèle de réponse

Pas de décision individuelle automatisée

Les résultats de l'analyse sont présentés à l'utilisateur sous forme de suggestions. Toutes les attributions et actions nécessitent une confirmation manuelle de l'utilisateur. Aucune décision entièrement automatisée au sens de l'art. 21 LPD n'a lieu.

Stockage des données

Les résultats d'analyse sont stockés de manière chiffrée (AES-256-GCM) dans notre base de données et automatiquement supprimés après 90 jours par défaut. Le titulaire du compte peut prolonger la durée de conservation ou la définir comme illimitée dans les paramètres du compte. Le contenu original de l'e-mail n'est pas stocké de manière permanente.

Désactivation

L'analyse par IA peut être désactivée à tout moment dans les paramètres du compte.

---

Création de projets et de leads assistée par IA

Description

Lorsqu'un utilisateur utilise le nouveau flux de création de projet ou de lead, il peut coller ou téléverser des e-mails, des notes, du contenu PDF ou des informations commerciales similaires. Solarstream transmet les contenus sélectionnés côté serveur au service IA d'Infomaniak SA afin de générer des suggestions pour les champs de projet, de lead, de contact et d'adresse. Le traitement a lieu exclusivement exclusivement en Suisse.

Données collectées et traitées

• textes collés, extraits de documents ou contenus d'e-mails sélectionnés par l'utilisateur
• noms, adresses e-mail, numéros de téléphone et adresses lorsqu'ils figurent dans les contenus fournis
• contexte de projet ou de lead dans l'application

Finalité et contrôle par l'utilisateur

Les résultats servent uniquement à suggérer ou préremplir des champs de formulaire. Les utilisateurs vérifient et confirment les suggestions avant l'enregistrement. Aucune décision entièrement automatisée n'a lieu.

Transfert, entraînement et conservation

La transmission utilise uniquement des connexions TLS côté serveur. Le service IA d'Infomaniak est configuré de sorte que les contenus soient traités en Suisse Nord, ne soient pas utilisés pour entraîner les modèles d'Infomaniak et ne soient pas conservés après l'inférence. Pour cette fonction, Solarstream journalise uniquement des métadonnées techniques et des compteurs, et non les contenus de champs extraits. Seules les données de projet, de lead ou de contact confirmées par l'utilisateur sont conservées selon les durées de conservation régulières.

---

Synchronisation du calendrier

Les utilisateurs peuvent connecter leur calendrier Microsoft 365 ou Google à l'application pour afficher les rendez-vous dans la planification des ressources.

Données collectées

• Événements du calendrier (titre, période, participants)
• ID du calendrier et statut de synchronisation

Mise en œuvre technique

• Microsoft 365 : Authentification via OAuth2 (Calendars.Read)
• Google Workspace : Authentification via OAuth2 (calendar.readonly, calendar.events)
• Les données du calendrier sont mises en cache dans notre base de données (voir la section « Catégories de sous-traitants et autres destinataires de données »)

---

Intégration Bexio

Les utilisateurs peuvent connecter leur compte Bexio pour importer des données de contact dans l'application.

Données collectées

• Données de contact : nom, adresse, adresse e-mail, numéro de téléphone
• Nom de l'entreprise et numéro de client

Flux de données

Les données circulent exclusivement de Bexio vers Solarstream (importation à sens unique). Aucune donnée n'est renvoyée à Bexio.

Mise en œuvre technique

• Authentification via OAuth2 avec des autorisations en lecture seule (contact_show, project_show)
• Les contacts importés sont stockés dans notre base de données (voir la section « Catégories de sous-traitants et autres destinataires de données »)

Offre numérique et portail client

Description et étendue du traitement des données

Lorsqu'une offre PV vous est transmise via notre portail client (/portal/[token]), vous pouvez y consulter et mettre à jour vos coordonnées et vos informations de paiement, et accepter l'offre électroniquement. L'accès se fait via un lien limité dans le temps et non devinable (jeton), sans connexion séparée.

Données collectées

• Civilité, prénom, nom, raison sociale
• Adresse e-mail, numéro de téléphone
• Adresse (rue, numéro, code postal, ville)
• IBAN/coordonnées bancaires, si indiquées pour le traitement du paiement
• lors de l'acceptation de l'offre : adresse IP, identifiant du navigateur (user-agent) et horodatage de l'acceptation comme preuve de la signature électronique (voir la section « Catégories de sous-traitants et autres destinataires de données », DeepCloud AG/DeepSign)

Finalité

Les données servent à examiner et traiter votre offre, à mettre à jour vos coordonnées et, en cas d'acceptation, de documentation probante pour la signature électronique juridiquement valable.

Mise en œuvre technique et conservation

Les données d'accès au portail sont stockées dans notre base de données à Zurich, Suisse (voir « Catégories de sous-traitants et autres destinataires de données »). Le jeton d'accès est valable 90 jours ; les jetons expirés sont supprimés automatiquement. Les données d'offre et de signature des offres archivées sont supprimées automatiquement après 365 jours. Les accès sont protégés contre les abus par la sécurité au niveau des lignes (RLS) et une limitation de débit.

Automatisation des annonces de travaux via des portails

Description et portée du traitement

Solarstream prévoit une fonctionnalité approuvée séparément permettant de préparer ou de déposer des annonces de travaux via des portails officiels. Cette fonctionnalité est désactivée par défaut et n'est activée pour un compte client qu'après une étape d'approbation supplémentaire.

Si la fonctionnalité est activée, les données suivantes peuvent notamment être traitées :

• référence du projet ou du dossier
• nom, adresse e-mail et numéro de téléphone du propriétaire ou de la personne de contact
• adresse du site
• informations techniques sur l'installation solaire
• formulaires, plans, procurations et justificatifs téléchargés
• numéros de confirmation, reçus et, si nécessaire, captures d'écran du dépôt

Destinataires et finalité

Si la fonctionnalité est activée, ces données peuvent être transmises à l'opérateur du portail concerné ainsi qu'à Browserbase Inc. en tant que sous-traitant pour l'automatisation du navigateur. Le traitement sert exclusivement à préparer et déposer une annonce de travaux et à documenter la preuve du dépôt.

Transferts internationaux de données

La fonctionnalité reste désactivée tant que la région concrète de traitement et les garanties applicables pour Browserbase n'ont pas été documentées contractuellement. Sans cette documentation, aucune utilisation en production n'a lieu.

Conservation

• documents téléchargés pour un dépôt : en règle générale 30 jours après le dépôt réussi
• reçus / confirmations : en règle générale 365 jours
• captures d'écran à titre de preuve : en règle générale 30 jours et uniquement lorsqu'un numéro de référence ou un reçu ne suffit pas
• journaux techniques en cas d'échec : en règle générale 14 jours

---

Mesure de la portée

Description et portée du traitement des données

Nous évaluons le comportement des utilisateurs à l'aide d'outils d'analyse. Vous trouverez une description plus détaillée de ces outils dans le chapitre "Outils d'analyse" de la présente déclaration de protection des données.

Le traitement est effectué sur la base de notre intérêt légitime. La mesure de l'audience et les informations qui en découlent sont appropriées pour adapter l'offre web.

Destinataires des données

Pour l'exploitation et la maintenance de notre site web, nous faisons appel à des prestataires de services techniques qui agissent en tant que nos sous-traitants. Tous les prestataires de services sont contractuellement tenus de traiter vos données de manière confidentielle.

---

Outils d'analyse utilisés

Utilisation de PostHog

Nous utilisons sur notre site PostHog (PostHog Inc., USA), un puissant outil d'analyse open source, pour analyser le comportement des utilisateurs de manière anonyme et sans utiliser de cookies. Les données sont stockées et traitées sur un serveur européen à Francfort, en Allemagne (instance UE). Cette utilisation se fait uniquement avec des données anonymes et agrégées afin d'améliorer l'expérience utilisateur et d'analyser la performance de nos contenus. Les informations collectées par PostHog comprennent des données techniques telles que le système d'exploitation, le navigateur et la résolution de l'écran, ainsi que des modèles d'utilisation tels que les pages visitées, le temps passé sur le site, les chemins de clics de la page d'origine et les enregistrements de session.

---

Protection et sécurité des données

Les données de l'application sont stockées à Zurich, en Suisse (AWS eu-central-2). Les données d'analyse sont stockées et traitées à Francfort, en Allemagne (UE). Toutes les données sont chiffrées au repos avec AES-256 et en transit avec TLS 1.2+. L'accès aux données est contrôlé par des politiques de sécurité au niveau des lignes (row-level security) au niveau de la base de données.

Pour les visiteurs non connectés du site web, PostHog ne collecte pas de données personnelles telles que les noms ou les adresses e-mail. Pour les utilisateurs connectés de l'application — à condition que le consentement aux analyses ait été donné — des données utilisateur pseudonymisées (identifiant utilisateur, adresse e-mail, nom) sont transmises à PostHog pour analyser l'utilisation du produit et améliorer l'expérience utilisateur. Ces données sont traitées exclusivement sur l'instance UE (Francfort).

---

Transmission à des tiers

Nous communiquons des données personnelles à des sous-traitants, des responsables du traitement indépendants, des destinataires choisis par le client ainsi qu’à des organismes légalement ou publiquement compétents dans les catégories décrites ci-dessus. Les destinataires ne peuvent traiter les données personnelles que pour la finalité concernée et sur la base contractuelle ou légale applicable. Les informations actuelles figurent dans le registre des sous-traitants et autres destinataires de données.

---

Durées de conservation

Nous conservons vos données pendant les durées suivantes :

• Fichiers journaux du serveur : 30 jours
• Données du formulaire de contact : durée de la relation commerciale + 1 an
• Données de la newsletter : jusqu'à la désinscription
• Données du compte utilisateur : durée du contrat + 30 jours après la suppression du compte
• Fichiers téléchargés : durée du contrat, supprimés avec le compte
• Cache des métadonnées de messagerie : durée du contrat
• Résultats d'analyse IA : 90 jours après la création par défaut (configurable par le titulaire du compte), suppression automatique
• Création de projets/leads assistée par IA : Le service IA d'Infomaniak ne conserve pas les contenus après l'inférence ; Solarstream conserve uniquement les données de projet, de lead ou de contact confirmées par l'utilisateur selon les durées de conservation régulières
• Cache du calendrier : durée du contrat
• Contacts Bexio importés : durée du contrat, supprimés avec le compte
• Données d'analyse : selon la configuration dans PostHog (instance UE)
• Documents pour les dépôts numériques d'annonces de travaux : en règle générale 30 jours après le dépôt réussi
• Reçus / confirmations d'annonce de travaux : en règle générale 365 jours
• Captures d'écran d'annonce de travaux : en règle générale 30 jours et uniquement lorsqu'elles sont nécessaires comme preuve
• Journaux d'erreurs des exécutions d'annonce de travaux : en règle générale 14 jours pour les exécutions échouées

---

Droits de la personne concernée

Vous disposez des droits suivants en ce qui concerne les données personnelles vous concernant :

• le droit d'obtenir des informations sur les données personnelles que nous détenons à votre sujet et sur la manière dont nous les traitons ;
• le droit de recevoir une copie de vos données personnelles dans un format courant ;
• le droit de rectifier vos données personnelles ;
• le droit de demander la suppression de vos données personnelles ;
• le droit de s'opposer au traitement de vos données personnelles.

Veuillez noter que ces droits sont soumis à des exceptions. Dans la mesure où la loi le permet, nous pouvons refuser votre demande d'exercer ces droits.

Vous pouvez à tout moment révoquer auprès de nous le consentement que vous avez donné au traitement de vos données personnelles. Veuillez noter que la révocation n'a d'effet que pour l'avenir. Les traitements effectués avant la révocation ne sont pas concernés.

Pour obtenir des informations sur les données personnelles que nous traitons, veuillez envoyer votre demande d'information à christian.bertschy@solarstream.ch.

Les utilisateurs connectés à l'application Solarstream peuvent supprimer eux-mêmes leur compte à tout moment sous Paramètres → Sécurité → Supprimer le compte. La suppression anonymise immédiatement les contenus que vous avez créés et archive vos appartenances d'équipe ; les sauvegardes automatisées de la base de données peuvent conserver des copies pendant 30 jours au maximum avant suppression définitive.

Pour les demandes de protection des données concernant les données collectées par HubSpot, vous pouvez également soumettre une demande directement via le portail de confidentialité HubSpot.

Vous avez en outre le droit de déposer une plainte auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT).