Accord sur le traitement des données
Version du 10.11.2026
Cet accord s'applique quand une PPE utilise Étagio en ligne. La PPE est responsable du traitement ; l'éditeur d'Étagio traite les données pour elle, comme sous-traitant au sens de l'art. 9 nLPD.
1. Objet et rôles
La PPE, représentée par son administrateur, décide quelles données elle saisit et pourquoi. L'éditeur fournit le logiciel et l'hébergement, et traite ces données uniquement sur ses instructions, pour fournir le service.
2. Données et personnes concernées
Copropriétaires et membres de leur ménage, contacts, fournisseurs, administrateurs et utilisateurs : noms, adresses, e-mails, téléphones, IBAN, quotes-parts, factures, paiements, relevés de compteurs, documents de la PPE.
3. Ce qu'Étagio s'engage à faire
- Traiter les données seulement pour fournir le service, jamais pour ses propres fins
- Garder les données en Suisse, sans transfert à l'étranger
- Ne jamais les revendre, les utiliser pour de la publicité ou pour entraîner une IA
- Imposer la confidentialité à toute personne qui intervient sur le service
- Annoncer sans délai à la PPE toute violation de la sécurité des données
- Aider la PPE à répondre aux demandes des personnes concernées
- Permettre l'export complet des données à tout moment
4. Sous-traitants
L'éditeur fait appel aux prestataires suivants. Tous traitent les données en Suisse.
| Prestataire | Rôle | Lieu |
|---|---|---|
| Infomaniak Network SA, Genève | Hébergement des serveurs, de la base de données et des pièces | Suisse |
| L'éditeur d'Étagio, sur son propre serveur | Envoi des e-mails (relais SMTP) | Suisse |
| L'éditeur d'Étagio, sur son propre serveur | Lecture des factures et des documents par l'IA | Suisse |
| Stockage hors site | Copie de sauvegarde hors site, chiffrée | Suisse |
Tout nouveau sous-traitant est annoncé 30 jours à l'avance ; la PPE peut s'y opposer et résilier.
5. Mesures de sécurité
- HTTPS pour tous les échanges
- IBAN, notes, secrets de connexion et pièces chiffrés en AES-256-GCM
- Mots de passe protégés par Argon2id, connexion en deux étapes avec codes de secours
- Accès selon le rôle de chaque utilisateur, PPE séparées les unes des autres
- Journal des actions chaîné par empreintes SHA-256, pièces vérifiées par leur empreinte
- Sauvegarde chaque nuit et avant chaque mise à jour, copie hors site chiffrée, en Suisse
- La console d'administration de l'éditeur n'a aucun accès aux données des PPE
6. Fin du traitement
À la fin du contrat, la PPE reçoit un export complet. Ses données sont ensuite effacées des serveurs dans les 30 jours, et des sauvegardes à leur échéance.
7. Contrôle
La PPE peut demander à l'éditeur les informations nécessaires pour vérifier le respect de cet accord.
8. Responsabilité et droit applicable
La responsabilité suit les conditions d'utilisation. Droit suisse. For au siège de l'éditeur.