Dernière mise à jour : 21 mai 2026 · Version : 2.0
SANC AG (« nous », « notre » ou « nos ») exploite la plateforme LumaBill (le « Service »), une solution suisse de facturation, comptabilité et gestion commerciale. La présente politique explique comment nous recueillons, utilisons, divulguons et protégeons les données personnelles lorsque vous utilisez notre Service, conformément à la loi fédérale suisse sur la protection des données (nLPD) entrée en vigueur le 1er septembre 2023.
SANC AG, Binzstrasse 16, 8712 Stäfa, Suisse.
Contact général : support@lumabill.ch. Contact protection des données : datenschutz@lumabill.ch.
LumaBill s'adresse aux entreprises domiciliées en Suisse. Nous ne ciblons pas activement les clients de l'UE/EEE et n'avons pas désigné de représentant au titre de l'article 27 du RGPD. Si vous accédez au Service depuis l'étranger, cette politique s'applique également ; nous appliquons le droit suisse de la protection des données (nLPD) comme cadre principal. Les utilisateurs de l'UE conservent les droits que leur confère le RGPD lorsqu'il est applicable ; nous traitons les demandes vérifiées dans les délais prévus par la nLPD ci-dessous.
Conformément à l'art. 31 nLPD (et, pour les utilisateurs de l'UE le cas échéant, à l'art. 6 RGPD), nous nous appuyons sur les bases légales suivantes :
| Finalité | Données | Base légale |
|---|---|---|
| Fournir le Service dans le cadre de notre contrat avec vous | Compte, profil, factures, clients, données comptables | Exécution contractuelle — art. 31 al. 2 let. a nLPD / art. 6 par. 1 let. b RGPD |
| Respect des obligations comptables suisses (CO art. 958f, Olico/GeBüV) | Écritures, factures, dépenses, justificatifs, rapports financiers | Obligation légale — art. 31 al. 2 let. c nLPD / art. 6 par. 1 let. c RGPD |
| Traitement des paiements d'abonnement | Identifiant client Stripe, adresse de facturation, métadonnées de paiement | Exécution contractuelle |
| Fonctionnalités IA (uniquement avec abonnement au module IA) | Images de reçus, descriptions de dépenses, données de transaction | Consentement — art. 6 al. 6 nLPD / art. 6 par. 1 let. a RGPD ; révocable à tout moment |
| E-mails marketing | Adresse e-mail, indicateur d'opt-in | Consentement ; révocable à tout moment via lien de désinscription ou paramètres du compte |
| Analytique (Google Analytics) | ID cookie, adresse IP, pages vues, infos appareil | Consentement — uniquement après acceptation dans la bannière cookies |
| Sécurité, prévention de la fraude, dépannage | Logs serveur, journal d'audit | Intérêt légitime prépondérant — art. 31 nLPD / art. 6 par. 1 let. f RGPD |
LumaBill propose des fonctionnalités optionnelles basées sur l'IA en tant que module payant. Les fonctionnalités IA sont entièrement facultatives (opt-in) — elles ne sont jamais activées sauf si vous souscrivez explicitement au module IA et lancez une action IA.
Infrastructure IA : Le traitement IA est effectué via Amazon Web Services (AWS) Bedrock en utilisant un profil d'inférence multirégional UE. Pour des raisons de capacité et de disponibilité, une même requête peut être routée par Bedrock entre régions UE (notamment Zurich, eu-central-2, et Francfort, eu-central-1). Le modèle sous-jacent est Anthropic Claude Sonnet 4.6, fourni par AWS au titre de l'AWS Customer Agreement et de l'AWS Data Processing Addendum.
AWS s'engage contractuellement à ce que les contenus envoyés à Bedrock ne soient pas utilisés pour entraîner les modèles sous-jacents et à ne pas les conserver après la fin de la requête. Les entrées et sorties restent dans l'UE.
Contrôle humain : Les suggestions IA sont toujours présentées comme des propositions. Vous gardez le contrôle total et devez confirmer ou rejeter chaque suggestion avant qu'elle ne soit appliquée. Nous ne prenons pas de décisions individuelles automatisées au sens de l'art. 21 nLPD.
Nous utilisons les informations collectées pour :
Nous ne vendons pas vos données personnelles. Pour fournir le Service, nous faisons appel aux sous-traitants suivants, chacun sous contrat écrit de sous-traitance :
| Sous-traitant | Entité juridique et localisation | Service / données | Garanties |
|---|---|---|---|
| AWS — infrastructure | Amazon Web Services EMEA SARL, Luxembourg. Traitement à Zurich (eu-central-2). E-mail transactionnel via Amazon SES à Francfort (eu-central-1). | Lambda, RDS PostgreSQL, S3, Cognito, SES, CloudFront. Traite toutes les données de compte, données comptables, fichiers téléchargés et e-mails sortants. | AWS Service Terms & Data Processing Addendum ; clauses contractuelles types UE lorsque applicables. |
| AWS Bedrock — IA | Amazon Web Services EMEA SARL, Luxembourg. Profil d'inférence multirégional UE (Zurich / Francfort / Irlande). | Inférence de modèles (Anthropic Claude Sonnet 4.6). Uniquement avec module IA actif : images de reçus, textes de dépenses, données de transaction. | AWS DPA. AWS garantit contractuellement l'absence d'utilisation pour l'entraînement et l'absence de conservation après la requête. |
| Stripe — paiements | Stripe Payments Europe Ltd., Irlande ; transfert possible vers Stripe Inc. (USA). | Facturation d'abonnement et traitement des paiements. Adresse e-mail, adresse de facturation, métadonnées de paiement. | Contrat de sous-traitance Stripe ; clauses contractuelles types UE avec addendum suisse pour les transferts vers les USA. |
| Google Analytics | Google Ireland Ltd., Irlande ; transfert possible vers Google LLC (USA). | Analyse d'usage web anonymisée. Chargé uniquement après consentement. ID cookie, IP, pages vues, infos appareil. | Conditions de traitement Google Ads ; clauses contractuelles types UE avec addendum suisse. |
Nous informons les utilisateurs des sous-traitants nouveaux ou modifiés au moins 30 jours à l'avance, par e-mail et par mise à jour de la présente politique.
Nous pouvons également divulguer vos informations si la loi l'exige, en réponse à une procédure juridique valide, ou pour protéger nos droits et la sécurité de nos utilisateurs.
Notre infrastructure principale et nos bases de données se trouvent en Suisse (région AWS Zurich, eu-central-2). La Suisse reconnaît l'UE et l'EEE comme offrant un niveau adéquat de protection des données (annexe 1 de l'OPDo / liste du PFPDT) ; aucun mécanisme supplémentaire n'est donc requis pour les transferts au sein de l'UE/EEE.
Pour les transferts vers les États-Unis — en particulier par Stripe (paiements) et Google (analytique) — nous nous appuyons sur les clauses contractuelles types UE combinées à l'addendum suisse reconnu par le PFPDT.
Cookies essentiels (toujours actifs) :
Cookies optionnels (uniquement après consentement) :
_ga, _ga_*) — mesure d'usage. Durée jusqu'à 2 ans.Vous pouvez accorder, refuser ou retirer le consentement à l'analytique à tout moment via la bannière cookies ou en effaçant les cookies de notre domaine. Le retrait n'affecte pas les traitements antérieurs.
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au sens de l'art. 8 nLPD :
Aucune méthode électronique n'est sûre à 100 % ; nous ne pouvons garantir une sécurité absolue.
Conformément à l'art. 24 nLPD, si une violation de la sécurité des données entraîne probablement un risque élevé pour vos droits, nous informerons le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais après en avoir eu connaissance. Lorsque la loi l'exige, nous informerons également les utilisateurs concernés sans délai en décrivant la nature de la violation, ses conséquences probables et les mesures prises.
Nous tenons un registre interne des activités de traitement conformément à l'art. 12 nLPD et le mettons à disposition du PFPDT sur demande.
Au titre de la nLPD, vous disposez des droits suivants :
Nous répondons aux demandes vérifiées dans un délai de 30 jours conformément à l'art. 25 nLPD. Pour exercer vos droits : datenschutz@lumabill.ch.
Vous pouvez également déposer une plainte auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch.
Contact protection des données : datenschutz@lumabill.ch.
Nous n'avons pas formellement désigné de conseiller à la protection des données au sens de l'art. 10 nLPD ; nos volumes de traitement et notre profil de risque ne l'exigent pas. Le représentant autorisé de notre société (voir Impressum) est Christian Sandrini.
Nous pouvons mettre à jour cette politique. Les modifications substantielles sont annoncées par e-mail et notification in-app au moins 30 jours avant leur entrée en vigueur. Les précisions mineures sont reflétées dans la date « Dernière mise à jour ».
Historique des versions
Questions générales : support@lumabill.ch.
Protection des données / exercice de vos droits : datenschutz@lumabill.ch.