Politique de Confidentialité

MotorOS est un logiciel de gestion destiné aux garages automobiles suisses. Cette politique explique quelles données personnelles sont traitées, par qui, où elles sont stockées, combien de temps, et comment exercer ses droits.

Elle est rédigée au regard de la loi fédérale sur la protection des données (LPD, RS 235.1, en vigueur depuis le 1^er septembre 2023) et de son ordonnance (OPDo), qui constituent le régime applicable. Lorsqu'un garage traite des données de personnes situées dans l'Union européenne, le RGPD peut s'appliquer en complément ; les droits décrits ci-dessous couvrent les deux régimes.

1. L'essentiel en bref

• -Les données de vos clients vous appartiennent. C'est le garage qui décide de ce qu'il en fait ; MotorOS n'est que l'outil qui les héberge et les traite pour son compte.
• -Tout reste en Suisse : application, base de données, fichiers déposés (y compris les pièces d'identité) et serveur d'intelligence artificielle sont hébergés chez Infomaniak, à Genève.
• -Trois exceptions, et trois seulement : Stripe (paiement de votre abonnement), SendGrid (envoi des e-mails) et Twilio (envoi des SMS) traitent des données à l'étranger. Aucun ne reçoit de pièce d'identité, de document ou de donnée de véhicule.
• -Aucune donnée n'est vendue, ni exploitée à des fins publicitaires pour le compte de MotorOS, ni utilisée pour entraîner des modèles d'intelligence artificielle. Un garage peut, avec le consentement explicite et révocable de son client, lui adresser de la prospection commerciale (section 5) — c'est alors une décision du garage envers son propre client, pas un usage de MotorOS pour son propre compte.
• -Les pièces comptables sont conservées 10 ans, parce que la loi suisse l'impose — c'est la principale limite au droit à l'effacement (section 10).

2. Qui est responsable de quoi

La LPD distingue le responsable du traitement — celui qui décide pourquoi et comment des données sont traitées — du sous-traitant (art. 9 LPD), qui traite les données pour le compte du responsable et selon ses instructions. Dans MotorOS, les deux rôles coexistent :

Concrètement : MotorOS ne décide pas quels clients un garage enregistre, ni ce qu'il en fait. Nous n'utilisons pas ces données pour notre compte, nous ne les cédons à personne, et nous n'y accédons que pour fournir le service, assurer le support ou remplir une obligation légale.

Cette répartition implique un contrat de sous-traitance entre le garage et MotorOS(art. 9 LPD), qui encadre les instructions, la confidentialité, la sécurité, le recours à des sous-traitants ultérieurs et le sort des données en fin de contrat.

À compléter — confirmer la forme sous laquelle le contrat de sous-traitance (DPA) est conclu avec chaque garage — annexe aux CGV ou document séparé — et indiquer ici où l'obtenir

3. Nous contacter

Pour les traitements dont MotorOS est responsable, l'interlocuteur est :

MotorOS n'a pas désigné de conseiller à la protection des données au sens de l'art. 10 LPD (désignation facultative pour une entreprise privée). Les demandes sont traitées à l'adresse ci-dessus.

À compléter — si un conseiller à la protection des données est désigné, indiquer son nom et ses coordonnées et retirer la phrase précédente

4. Catégories de données traitées

Le service traite les catégories suivantes. Celles marquées « garage » relèvent de la sous-traitance : c'est le garage qui les saisit et qui en répond.

• -Compte et utilisateurs : nom du garage, adresse, numéro IDE, nom du responsable, e-mail, téléphone ; pour chaque utilisateur : nom, prénom, e-mail professionnel, rôle, mot de passe haché (bcrypt).
• -Clients et prospects du garage (garage) : nom, prénom ou raison sociale, adresse, e-mail, téléphone, numéro TVA/IDE, notes, historique de la relation.
• -Pièces d'identité (garage) — catégorie particulièrement sensible : lorsqu'un garage scanne la pièce d'identité d'un client pour gagner du temps à la saisie, le document est analysé automatiquement pour en extraire le nom, le prénom, la date de naissance, la nationalité et le numéro de la pièce. Cette analyse est exécutée sur le serveur d'intelligence artificielle en Suisse (section 6). Le document est chiffré au repos.
• -Véhicules et documents associés (garage) : marque, modèle, numéro de matricule, numéro de châssis (VIN), kilométrage, prix, photos, historique d'entretien, permis de circulation, factures, contrats scannés, rapports d'expertise.
• -Contrats et signatures électroniques (garage) : contenu du contrat, image de la signature manuscrite tracée par le signataire, date et heure de la signature, ainsi que l'adresse IP et le navigateur (user-agent) du signataire. Ces deux dernières données ne servent qu'à constituer la preuve de la signature à distance et à la rattacher à un dispositif ; elles ne sont pas utilisées à d'autres fins.
• -Dossiers de leasing (garage) : en plus de l'identité du demandeur, ses revenus mensuels, ses charges, son employeur et sa profession, ainsi que les justificatifs qu'il dépose (fiches de salaire, pièce d'identité). Ces champs financiers et socio-professionnels sont chiffrés (AES-256-GCM) dans la base de données. Le formulaire recueille un consentement daté, avec l'adresse IP et le navigateur au moment du consentement, et ce consentement est révocable.
• -Données bancaires et comptables (garage) : IBAN du garage, et — pour le rapprochement des paiements — les relevés bancaires importés au format ISO 20022 (camt.053 / camt.054) ou CSV. Ces relevés contiennent le nom et l'IBAN des contreparties, les montants, les dates et les communications. Les fichiers importés sont chiffrés au repos.
• -Communications sortantes (garage) : e-mails et SMS envoyés aux clients du garage — devis, contrats, rappels, relances de signature et, sur consentement explicite, prospection commerciale (offres, actualités) — leur contenu, leur statut d'envoi, le cas échéant leur indicateur d'ouverture (section 9) et, pour la prospection commerciale, la date du consentement et celle d'un éventuel retrait.
• -Scores et segments commerciaux (garage) : un score et un segment sont calculés automatiquement pour chaque client et prospect (section 8).
• -Facturation de l'abonnement : plan souscrit, cycle, montants, historique de paiement. Les données de carte bancaire sont saisies chez Stripe et ne transitent pas par nos serveurs.
• -Données techniques et de sécurité : adresse IP, navigateur, horodatages de connexion, journal des actions effectuées dans le service (qui a modifié quoi et quand), événements de sécurité (échecs de connexion, activité suspecte), rapports d'incident applicatif — ces derniers pouvant contenir une capture d'écran, laquelle est chiffrée au repos.
• -Formulaire de contact : nom, e-mail, objet, message et adresse IP de l'expéditeur. Ces éléments sont enregistrés comme demande de support et transmis à notre boîte de contact.

5. Finalités et bases légales

En droit suisse, un traitement de données est licite en soi ; il doit respecter la bonne foi, la proportionnalité et la finalité annoncée (art. 6 LPD). Une justification (art. 31 LPD) n'est requise que lorsqu'un traitement porte atteinte à la personnalité. Les finalités poursuivies sont :

• -Fournir le service (gestion du stock, des clients, des contrats, de l'atelier, des finances, du leasing, de la marketplace) — exécution du contrat conclu avec le garage.
• -Authentifier les utilisateurs et sécuriser le service (détection d'abus, journalisation, limitation du nombre de requêtes) — intérêt légitime à la sécurité.
• -Générer les contrats et recueillir les signatures, y compris la preuve de signature à distance — exécution du contrat et constitution d'un moyen de preuve.
• -Envoyer les e-mails et SMS déclenchés par le garage dans le cadre d'une opération en cours (devis, contrat, rappel, relance de signature) — exécution du contrat.
• -Prospection commerciale du garage envers ses propres clients (offres, actualités, relances commerciales) — uniquement sur consentement explicite et révocable à tout moment de la personne concernée (art. 3 al. 1 let. o de la loi fédérale contre la concurrence déloyale [LCD] ; art. 6 et 19 nLPD pour le traitement des données personnelles impliqué). Chaque envoi de ce type comporte un lien de désinscription immédiate ; le retrait du consentement est pris en compte sans délai et ne remet pas en cause les communications non commerciales ci-dessus.
• -Facturer l'abonnement et gérer les impayés — exécution du contrat.
• -Assister l'utilisateur (lecture automatique de documents, assistant, suggestions commerciales) — exécution du contrat.
• -Respecter les obligations légales, notamment la conservation des pièces comptables (art. 958f CO, art. 70 LTVA).

En dehors des finalités listées ci-dessus, les données ne sont utilisées à aucune autre fin. En particulier, MotorOS ne vend ni ne loue aucune donnée, ne l'exploite pas à des fins publicitaires pour son propre compte, et ne l'utilise pas pour entraîner des modèles d'intelligence artificielle. La seule exception est la prospection commerciale décrite ci-dessus : c'est une décision du garage, responsable du traitement pour ces données (section 2), envers ses propres clients consentants — jamais un usage de MotorOS pour son propre compte, ni un partage avec un tiers.

6. Où sont les données

L'ensemble de la chaîne de traitement des données métier et sensibles est en Suisse, chez Infomaniak Network SA (Rue Eugène-Marziano 25, 1227 Les Acacias, Genève) :

• -l'application web ;
• -la base de données PostgreSQL ;
• -les fichiers déposés : documents de véhicules, contrats scannés, pièces d'identité, justificatifs de leasing, relevés bancaires et signatures ;
• -les sauvegardes ;
• -le serveur d'intelligence artificielle, qui effectue la lecture automatique des documents — y compris des pièces d'identité — et fait fonctionner l'assistant métier.

Ce dernier point mérite d'être souligné : les traitements les plus sensibles du service — la lecture d'une carte d'identité, l'analyse d'un contrat, les questions posées à l'assistant sur les données du garage — ne sont pas envoyés à un fournisseur d'intelligence artificielle étranger. Ils sont exécutés sur une infrastructure dédiée en Suisse. Le contenu analysé est traité de manière éphémère, il n'est pas conservé sur le serveur d'inférence, et il n'est jamais utilisé pour entraîner ou améliorer un modèle.

Les fichiers considérés comme sensibles (documents clients, contrats, leasing, signatures, relevés bancaires, captures de rapports d'incident) sont chiffrés au repos en AES-256-GCM, et les échanges avec le service sont chiffrés en transit (TLS).

7. Sous-traitants et transferts à l'étranger

Nous recourons aux sous-traitants suivants (sous-traitants ultérieurs au sens de l'art. 9 al. 3 LPD lorsqu'il s'agit de données confiées par un garage) :

Portée exacte des transferts hors de Suisse. Seuls Stripe, SendGrid et Twilio traitent des données à l'étranger, et uniquement pour ce qu'ils font : encaisser un abonnement, acheminer un e-mail, envoyer un SMS. Aucun d'eux ne reçoit de pièce d'identité, de document scanné, de dossier de leasing, de relevé bancaire ni de donnée de véhicule.

Les États-Unis ne figurent pas parmi les États dotés d'une protection adéquate au sens de l'annexe 1 OPDo. Ces transferts s'appuient donc sur des garanties contractuelles — clauses types de protection des données reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT), au sens de l'art. 16 al. 2 let. d LPD.

À compléter — confirmer, pour Stripe, SendGrid et Twilio, la référence du contrat de sous-traitance signé et des clauses types applicables (et l'entité contractante : Stripe Payments Europe Ltd ou Stripe Inc.)

Par ailleurs, lorsque le garage le décide lui-même, des données peuvent être communiquées à des destinataires qui ne sont pas nos sous-traitants mais les siens ou ses partenaires : partenaires de financement auxquels il envoie un dossier de leasing (par exemple Cembra Money Bank, BANK-now, Multilease), plateformes de publication d'annonces, ou son propre serveur d'envoi d'e-mails s'il en configure un. Ces envois résultent d'une action du garage.

Nous informons les garages avant toute modification de la liste de nos sous-traitants, afin qu'ils puissent s'y opposer.

8. Score client, segmentation et intelligence artificielle

Le service calcule automatiquement, pour chaque client et prospect enregistré par un garage, un score de 0 à 100 et un segment parmi : VIP, RÉCURRENT, OCCASIONNEL, DORMANT et RISQUE. Il s'agit d'un profilage au sens de l'art. 5 let. f LPD, et nous l'annonçons comme tel.

• -Logique utilisée : le calcul est déterministe — il n'utilise pas d'intelligence artificielle. Il combine quatre critères objectifs issus des données du garage : le volume d'activité (transactions et contrats finalisés), la valeur cumulée des affaires, l'ancienneté du dernier contact et la durée de la relation.
• -Finalité : aider le garage à prioriser ses relances commerciales. Le segment « RISQUE » désigne une relation ancienne n'ayant jamais donné lieu à une affaire — c'est un indicateur commercial, et non une évaluation de solvabilité, de fiabilité de paiement ou d'honorabilité.
• -Conséquences : ce score ne déclenche par lui-même aucune décision. Il est affiché au garage, qui reste libre de sa décision commerciale. Il ne conditionne ni l'accès à un service, ni un prix, ni l'acceptation d'un dossier de financement.

Le service comporte en outre des fonctions d'intelligence artificielle : lecture automatique de documents (pièces d'identité, permis de circulation, factures), assistant métier, aide à la rédaction et suggestions. Elles produisent des propositions que l'utilisateur vérifie et valide ; la décision reste humaine. Comme indiqué à la section 6, ces traitements sont exécutés en Suisse.

Aucun de ces traitements ne constitue à notre sens une décision individuelle automatisée produisant des effets juridiques ou affectant la personne de manière significative au sens de l'art. 21 LPD, puisqu'une personne décide toujours en dernier ressort. Si un garage devait utiliser ces résultats pour automatiser entièrement une décision de ce type, c'est à lui, en tant que responsable, qu'il appartiendrait d'en informer la personne concernée et de lui permettre de faire valoir son point de vue.

9. Cookies et suivi des e-mails

Sur le site et dans l'application, seuls des cookies fonctionnels sont utilisés : un cookie de session pour maintenir la connexion d'un utilisateur authentifié, et un cookie de préférences d'affichage. Aucun cookie publicitaire ni outil d'analyse comportementale tiers n'est déposé. Aucun consentement préalable n'est requis pour des cookies strictement nécessaires.

Dans les e-mails envoyés depuis le service (devis, contrats, relances), une image de suivi d'un pixel peut être incorporée. Son chargement enregistre la date d'ouverture, l'adresse IP et le navigateur du destinataire, afin d'indiquer au garage si son envoi a été ouvert. C'est le garage qui, en tant que responsable, décide d'utiliser cette fonction. La plupart des messageries permettent de bloquer le chargement automatique des images, ce qui neutralise ce suivi.

10. Durées de conservation

Comment 10 ans se concilient avec le droit à l'effacement. Une pièce comptable ne peut pas être supprimée avant le délai légal. Lorsqu'une personne demande l'effacement et que ses données sont liées à des contrats ou des écritures, le service procède par anonymisation : les données d'identification et de contact (nom, prénom, e-mail, téléphone, adresse, notes) sont remplacées par des valeurs neutres, tandis que les contrats et les écritures comptables sont conservés pour la durée légale. La personne n'est alors plus identifiable dans le service, et l'obligation de conservation est respectée.

À l'expiration des durées, les données sont supprimées des serveurs de production ; les sauvegardes sont purgées selon leur cycle de rotation.

11. Vos droits et comment les exercer

Toute personne concernée dispose des droits suivants :

• -Droit d'accès (art. 25 LPD) : savoir si des données vous concernant sont traitées et en obtenir une copie.
• -Droit de rectification (art. 32 al. 1 LPD) : faire corriger des données inexactes.
• -Droit à l'effacement et à l'opposition (art. 32 al. 2 LPD), dans les limites des obligations légales de conservation décrites à la section 10.
• -Droit à la remise ou à la transmission des données (art. 28 LPD) : recevoir vos données dans un format courant et lisible par machine. Les garages disposent d'un export CSV et PDF depuis leur tableau de bord.

À qui adresser la demande ? Cela dépend de qui est responsable du traitement (section 2) :

• -Vous êtes client d'un garage qui utilise MotorOS (achat ou vente de véhicule, réparation, dossier de leasing) : adressez-vous au garage, qui est le responsable du traitement. Nous ne pouvons pas répondre à sa place, car nous n'avons pas la maîtrise de ces données. Si vous nous écrivez malgré tout, nous transmettons votre demande au garage concerné et vous en informons.
• -Vous êtes utilisateur d'un compte MotorOS, ou vous nous avez écrit via le formulaire de contact : adressez-vous directement à privacy@motoros.ch.

Un formulaire est également à disposition pour déposer une demande d'effacement. Nous répondons dans un délai de 30 jours. Une demande peut nécessiter la vérification de votre identité, afin de ne pas divulguer vos données à un tiers.

Vous pouvez en tout temps vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT) : www.edoeb.admin.ch

12. Sécurité

• -Cloisonnement strict des données entre garages : chaque requête est filtrée par garage.
• -Chiffrement en transit (TLS) et chiffrement au repos en AES-256-GCM des fichiers sensibles et des champs financiers du leasing.
• -Mots de passe stockés sous forme hachée (bcrypt) ; sessions expirantes et révocables.
• -Chiffrement des identifiants de services externes configurés par chaque garage.
• -Journalisation des accès et des actions, surveillance des événements de sécurité, limitation du nombre de requêtes sur les routes sensibles.
• -Accès du personnel limité à ce qui est nécessaire ; les interventions de support sur un compte sont tracées.
• -Sauvegardes régulières, hébergées en Suisse.

13. En cas de violation de la sécurité des données

Le rôle de chacun découle de la répartition décrite à la section 2 :

• -Données confiées par un garage : nous informons le garage concerné dans les meilleurs délais dès que nous avons connaissance d'une violation, avec les éléments dont nous disposons. C'est ensuite au garage, en tant que responsable, d'annoncer le cas au PFPDT lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (art. 24 LPD), et d'informer ces personnes lorsque la loi l'exige. Nous lui apportons notre assistance.
• -Données dont nous sommes responsables (comptes, facturation, support) : nous procédons nous-mêmes à l'annonce au PFPDT et à l'information des personnes concernées dans les mêmes conditions.

14. Modifications de la politique

Cette politique porte un numéro de version et une date de publication, affichés en tête de page. Toute modification substantielle est communiquée aux garages par e-mail au moins 30 jours avant son entrée en vigueur. La version en vigueur est toujours celle publiée sur cette page.