Politique de confidentialité

1 · Responsable du traitement

Le responsable des données personnelles traitées via alpflo est :

2 · Quelles données nous collectons

• Adresse du bien soumise — pour identifier la parcelle et compiler votre rapport. Une adresse soumise peut elle-même être une donnée personnelle lorsqu'il s'agit du domicile d'une personne.
• Données de paiement — traitées par Stripe ; aucune donnée de carte n'est stockée par le fournisseur.
• Adresse IP — l'adresse IP de votre appareil est lue à chaque requête et utilisée uniquement pour la prévention des abus (limitation de débit de la recherche, des suggestions d'adresse et de l'affichage des rapports). Elle n'est conservée qu'en mémoire et n'est pas stockée durablement contre votre commande.

alpflo n'utilise aucune analytique marketing ni aucun traceur tiers : pas de traceurs publicitaires ni de cookies tiers. Les pages sont rendues côté serveur. alpflo dépose les cookies fonctionnels de première partie suivants — chacun pour faire fonctionner le Service, aucun pour la publicité :

• alpflo_vid — un identifiant visiteur opaque généré aléatoirement, pour l'analytique produit de première partie : comment une visite passe de la recherche au résultat. Il ne contient lui-même aucune donnée personnelle et n'est jamais partagé ni utilisé pour la publicité. En tant qu'identifiant analytique, il n'est pas une barrière de paiement — il ne décide pas si un rapport est payant ; il sert toutefois aussi de clé de session pour un quota quotidien d'affichages de rapports sans e-mail (prévention des abus), de sorte que l'effacer réinitialise ce quota.
• alpflo_lang — la langue d'interface que vous avez choisie.
• alpflo_assembly — un horodatage de courte durée (trois minutes) pour que l'indicateur de progression avance correctement pendant la génération d'un rapport.
• alpflo_order_access — la preuve d'accès à une commande unique, limitée à sa page de confirmation. C'est un véritable facteur d'accès : si vous bloquez les cookies, vous n'ouvrirez pas un rapport acheté par ce lien et devrez rétablir l'accès en reconfirmant votre adresse e-mail.
• alpflo_account_claim — la preuve que vous avez confirmé une adresse e-mail durant cette session. Il contient cette adresse e-mail sous forme signée et relisible, et vaut jusqu'à 8 heures, afin que vous puissiez consulter d'autres rapports pour d'autres biens dans la même session sans confirmer un nouveau code à chaque fois. Ensuite il expire.
• alpflo_pending_order — l'identifiant opaque d'une commande dont vous avez commencé le paiement sans l'achever, afin que la page d'accueil puisse vous proposer le chemin de retour vers cette commande. Il ne contient que cet identifiant — ni adresse, ni e-mail — vaut un jour et est supprimé dès que la commande est payée.

L'adresse e-mail que vous confirmez pour consulter un rapport est utilisée pour vos commandes — livraison du rapport, encaissement du paiement et, pendant 8 heures au plus, déblocage d'autres rapports dans la même session — et n'est ni mémorisée contre l'identifiant du cookie visiteur ni préremplie lors d'une visite ultérieure.

Sur l'hôte applicatif (app.alpflo.ch), alpflo charge un SDK de diagnostic navigateur auto-hébergé (Azure Application Insights) qui rapporte les affichages de page, les temps de chargement et les erreurs JavaScript au propre espace de télémétrie Azure du fournisseur. Il est configuré sans cookies, n'est chargé depuis aucun CDN tiers et sert au diagnostic d'exploitation, non à la publicité ; les chaînes de requête sont retirées des URL et les noms de champs personnels connus sont caviardés avant l'envoi.

Pour le site marketing public (www.alpflo.ch), alpflo utilise Google Search Console et Bing Webmaster Tools pour diagnostiquer la recherche organique — couverture d'indexation et termes de recherche menant à alpflo. Les deux sont vérifiés par un enregistrement DNS, ne déposent aucun cookie et n'ajoutent aucun traceur côté client, et ne rapportent que des données de recherche agrégées observées côté serveur. Ils concernent le site marketing, non le Service lui-même.

3 · Pourquoi nous traitons (base légale — nLPD art. 13)

• Adresse — nécessité contractuelle (pour livrer le rapport commandé).
• Paiement — nécessité contractuelle (pour encaisser le paiement du rapport).
• Usage / analytique — intérêt légitime (nLPD art. 31) : analytique produit de première partie via le cookie visiteur fonctionnel, maintenue dé-identifiée (un identifiant visiteur opaque, le canton public et une empreinte à sens unique à clé de l'identifiant du bâtiment, jamais l'identifiant lui-même — jamais votre adresse ni votre e-mail) afin qu'alpflo puisse comprendre et améliorer l'usage du Service. Pas de publicité ni de profilage. Des journaux serveur opérationnels minimaux sont également conservés pour exploiter et sécuriser le Service (voir conservation ci-dessous).

4 · Conservation

Les rapports sont livrés sous forme d'enregistrements de commande immuables et datés. L'enregistrement de paiement d'une commande est conservé pendant 10 ans pour satisfaire aux obligations suisses de conservation comptable (CO art. 958f) ; il est tenu contre un identifiant client de substitution, non votre e-mail, de sorte qu'il subsiste même après la suppression de vos données personnelles. Les recherches de registre mises en cache expirent après une période limitée.

Les parties personnelles d'une commande — l'adresse du bien recherchée, votre e-mail de facturation et le document de rapport stocké (qui contient l'adresse et l'identifiant du bâtiment) — sont purgées automatiquement un an après la commande, laissant l'enregistrement de paiement sans elles. Vous pouvez également nous demander de les supprimer plus tôt (voir Vos droits ci-dessous).

Les journaux de diagnostic opérationnels et les journaux d'audit de gestion des clés sont conservés 30 jours. L'analytique produit est conservée à raison d'une ligne par événement, et non en agrégat ; chaque ligne porte une référence client pseudonyme et un identifiant de session visiteur, ni votre e-mail ni l'adresse recherchée. Cette référence est remplacée par un marqueur anonyme sur demande d'effacement vérifiée, et en tout état de cause un an après la commande. Le cookie visiteur fonctionnel expire après deux ans au plus ou lorsque vous l'effacez.

5 · Partage

Le fournisseur ne partage les données personnelles qu'avec les sous-traitants nécessaires à l'exploitation du Service, chacun agissant sur les instructions du fournisseur dans le cadre d'un contrat de sous-traitance :

• Stripe Payments Europe, Ltd. — traitement des paiements ; peut transférer des données hors de Suisse sous clauses contractuelles types (nLPD art. 16). Voir l'accord de traitement des données avec Stripe.
• Microsoft Azure — hébergement, stockage des rapports et diagnostic, dans la région Switzerland North (dans le pays, pas un transfert transfrontière). Cela inclut Azure Communication Services, qui envoie votre e-mail de confirmation de commande depuis le même tenant Azure suisse (emplacement des données en Suisse), de sorte que cet e-mail n'est pas un transfert transfrontière.
• Infomaniak Network SA — DNS et routage des e-mails entrants, exploités en Suisse (pas un transfert transfrontière).
• Cloudflare, Inc. — relais de sortie pour les consultations du registre RDPPF en Suisse romande (VD, GE, FR), dont les services cantonaux bloquent les requêtes issues des centres de données Azure suisses. Ne transitent par ce relais que l'identifiant de parcelle résolu et l'extrait RDPPF public — aucune donnée de contact ni de paiement. Cloudflare a son siège aux États-Unis (voir Transferts transfrontières ci-dessous).

L'adresse soumise et l'identifiant de parcelle qui en découle sont en outre interrogés auprès de registres officiels suisses : swisstopo/GeoAdmin (géocodage et données de bâtiment du RegBL), les services cantonaux RDPPF (cadastre des restrictions de droit public à la propriété foncière) et CECB/GEAK (certificat énergétique des bâtiments). Ces organismes sont des autorités publiques indépendantes, non des sous-traitants du fournisseur, et tous situés en Suisse.

Nous ne vendons pas vos données.

6 · Transferts transfrontières (nLPD art. 16)

Stripe a son siège aux États-Unis ; les transferts vers cette entité sont protégés par des clauses contractuelles types (standard contractual clauses) reconnues par le droit suisse. Cloudflare, Inc. a également son siège aux États-Unis : les consultations de registre pour la Suisse romande passent par son réseau edge, où la connexion TLS se termine. Seules des données de registre publiques transitent par cette voie — l'identifiant de parcelle résolu et l'extrait RDPPF — à l'exclusion de toute donnée de contact ou de paiement. L'hébergement et le stockage des rapports Microsoft Azure sont dans la région Switzerland North, et le DNS et le routage des e-mails entrants chez Infomaniak Network SA en Suisse ; ces deux-là ne sont pas des transferts transfrontières.

7 · Vos droits (nLPD art. 25)

Vous avez le droit d'accéder à vos données personnelles, de les faire rectifier, de les faire supprimer et de vous opposer à leur traitement. Pour exercer un droit, contactez le fournisseur à info@alpflo.ch ; nous répondons dans les 30 jours.

Nous honorons ces demandes par un mécanisme réel, non par une simple promesse. Sur une demande d'accès vérifiée, nous compilons ce que nous détenons sur votre e-mail — vos commandes, les rapports livrés et vos comptages d'événements. Sur une demande de suppression vérifiée, nous retirons irréversiblement les parties personnelles — vos adresses de commande, votre e-mail de facturation, vos documents de rapport stockés et votre historique de recherche — et retirons l'identifiant de nos enregistrements d'usage dé-identifiés, en ne conservant que l'enregistrement de paiement anonymisé que la loi nous impose de conserver (voir Conservation ci-dessus).

8 · Réclamations

Vous pouvez déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT/FDPIC), edoeb.admin.ch.