Responsable du traitement
KMU base GmbH (en cours de constitution), représentée par Susanne Egger, Fichtenweg 6, 4537 Wiedlisbach, Suisse. Téléphone +41 31 561 10 90, e-mail datenschutz@hrbase.ch. Personne de contact pour la protection des données : Andreas Toscan. KMU base GmbH (en cours de constitution) est responsable du traitement au sens de la loi suisse sur la protection des données (LPD) et, dans la mesure où il s’applique, du RGPD. Jusqu’à l’inscription au registre du commerce, le responsable du traitement est KMU base GmbH (en cours de constitution), représentée par Susanne Egger ; ensuite, la KMU base GmbH inscrite.
Champ d’application
Les sites web de la famille de produits (kmubase.ch, hrbase.ch, financebase.ch, qmsbase.ch, docubase.ch, salesbase.ch), l’application (app.hrbase.ch) ainsi que les applications du personnel pour iOS et Android. (a) Nous agissons en tant que responsable du traitement pour les sites web, les demandes et les comptes clients ; (b) nous agissons en tant que sous-traitante pour les données que les entreprises clientes traitent dans l’application (p. ex. les données du personnel dans ) – l’entreprise cliente concernée en est responsable ; un contrat de sous-traitance en constitue la base (art. 9 LPD / art. 28 RGPD).
Hébergement et lieu de stockage
L’application, les sites web et toutes les sauvegardes sont hébergés sur notre propre serveur virtuel (VPS) chez Infomaniak Network SA à Genève, dans des centres de données en Suisse. Infomaniak est certifiée ISO 27001 (sécurité de l’information), ISO 9001 (management de la qualité), ISO 14001 (management environnemental) et ISO 50001 (management de l’énergie). Les données de l’application sont stockées exclusivement en Suisse ; les sauvegardes quotidiennes également. La LPD suisse et, dans la mesure où il s’applique, le RGPD s’appliquent.
Sites web
Fichiers journaux du serveur (adresse IP, date et heure, page consultée, navigateur) à des fins de sécurité, durée de conservation de 14 jours (art. 6, par. 1, let. f, RGPD). Aucun traceur d’analyse ou publicitaire. Sur les sites web, nous utilisons des cookies uniquement lorsque vous changez de langue : un cookie techniquement nécessaire mémorise la langue choisie (durée de validité de 12 mois). Les polices sont fournies localement, sans transmission à Google.
Demandes de contact, de démonstration et d’offre
Nom, entreprise, e-mail, téléphone, message ; finalité : traitement de la demande (art. 6, par. 1, let. b et f, RGPD) ; conservation jusqu’au traitement complet, au maximum 24 mois sans conclusion de contrat ; protection contre les abus par limitation par adresse IP.
Démo à essayer
Pour la démo à essayer, nous traitons l’entreprise, le prénom, le nom, le téléphone et l’adresse e-mail, facultativement la branche et la langue, ainsi que le moment du consentement et l’adresse IP (protection contre les abus). Finalité : vous envoyer le lien vers l’entreprise de démonstration, mettre la démo à disposition et vous contacter à ce sujet. Vous recevez le lien par e-mail ; ce n’est qu’avec lui que vous accédez à l’entreprise de démonstration. Celle-ci ne contient que des données fictives et est supprimée automatiquement après 7 jours ; vous recevez un rappel la veille. Nous conservons vos coordonnées comme prospect dans notre vente () jusqu’à ce que vous en demandiez la suppression (datenschutz@hrbase.ch). Veuillez ne saisir aucune donnée personnelle réelle dans la démo.
Préinscription et précommande
Vous pouvez vous préinscrire sur le site web en vue du lancement ou précommander des apps sans engagement. Nous enregistrons votre adresse e-mail et, si vous les indiquez, votre nom, votre entreprise, le nombre de personnes employées, votre téléphone et votre message, pour une précommande en outre l’adresse, l’IDE, le début souhaité et votre sélection (apps, reprise des données, code de recommandation), ainsi que la date et l’heure du consentement et l’adresse IP (protection contre les abus). Finalité : vous contacter avant le lancement, vous proposer une mise en place en priorité et, pour une précommande, créer votre compte avec la sélection choisie. La base est votre consentement (art. 6, par. 1, let. a, RGPD), que vous confirmez au moyen du lien de confirmation dans l’e-mail (double opt-in). Nous supprimons immédiatement toutes les données via le lien de suppression présent dans chaque e-mail ou sur message à datenschutz@hrbase.ch. Nous supprimons les inscriptions non confirmées au plus tard après 90 jours, les inscriptions confirmées au plus tard 24 mois après le lancement, si aucun contrat n’est conclu.
Application
Cookies techniquement nécessaires : cookie de session (httpOnly, expire à la fermeture du navigateur ou après 12 heures d’inactivité) et cookie de langue (langue choisie, 12 mois). Données de connexion (e-mail, mot de passe uniquement sous forme de hachage Argon2), journal des accès (qui a consulté ou modifié quelles données personnelles et quand), conservation selon les instructions de l’entreprise cliente. Candidatures : suppression après le délai fixé par l’entreprise cliente (6 mois par défaut), vivier de talents uniquement avec consentement.
Application du personnel
Dans l’app collaborateurs et dans le navigateur, nous utilisons les fonctions de votre appareil uniquement pour le but indiqué, uniquement avec votre accord (demande du système d’exploitation) et – lorsque c’est précisé – uniquement si votre employeur active la fonction : • Caméra : scan de votre badge QR et de codes, photos de justificatifs, de documents et de cartes de visite. Au terminal de timbrage, votre employeur peut activer une photo justificative lors du timbrage : elle montre la personne qui timbre, est effacée après le délai fixé par l’entreprise (30 jours par défaut) et n’est consultée que par des personnes autorisées selon le principe des quatre yeux. • Microphone : uniquement pour la dictée à l’assistant IA ; l’enregistrement est converti en texte chez Infomaniak (Suisse) et n’est pas conservé. • Localisation : uniquement au moment du timbrage, si votre employeur l’active – aucune localisation en arrière-plan. • Face ID, Touch ID ou empreinte digitale : uniquement pour confirmer sur votre appareil ; les données biométriques ne quittent jamais l’appareil et ne nous parviennent pas. • NFC : lecture de votre badge au terminal de timbrage (uniquement l’identifiant du badge). • Notifications : push via Apple Push Notification Service ou Firebase Cloud Messaging (Google), sans contenu confidentiel ; SMS (invitation, code de connexion) via ASPSMS (Suisse). Les jetons de connexion sont stockés dans la zone protégée de l’appareil. Aucun traceur ni SDK publicitaire.
Assistant IA
L’assistant IA (Assistant IA) n’est actif que si votre entreprise l’a activé et a expressément consenti au traitement des données. Il travaille exclusivement avec vos droits. Votre question, les données de l’application nécessaires à cet effet et les dictées sont transmises à Infomaniak AI Services (Infomaniak Network SA, Suisse) et y sont traitées ; selon le fournisseur, les requêtes ne sont ni enregistrées ni utilisées pour l’entraînement, un stockage temporaire pour le traitement est possible. Vos données ne sont jamais utilisées pour l’entraînement. Chaque action de l’IA est journalisée ; les historiques de conversation sont effacés après le délai fixé par l’entreprise.
Application (iOS et Android)
L’application (nom du paquet ch.kmubase.app) est distribuée via l’Apple App Store et Google Play. Apple et Google sont responsables du téléchargement, de votre compte Store et des éventuels rapports de plantage du système d’exploitation ; leurs politiques de confidentialité s’appliquent. Les notifications push passent par l’Apple Push Notification Service (APNs) ou Firebase Cloud Messaging (FCM, Google) et ne contiennent aucun contenu confidentiel. L’application ne vous suit pas à travers les applications ou sites web d’autres fournisseurs (aucun pistage), ne contient aucune publicité ni aucun SDK publicitaire ou d’analyse. Elle utilise l’appareil photo, le microphone, la localisation, Face ID ou l’empreinte digitale, la NFC et les notifications uniquement comme décrit dans les sections « Application du personnel » et « Assistant IA », et uniquement avec votre accord. La section « Supprimer des données » explique comment faire supprimer votre compte et vos données.
Supprimer des données
Comment demander la suppression : • Collaborateurs et candidats : vos données dans l’application et l’app sont gérées par votre employeur en tant que responsable du traitement. Adressez-vous d’abord à lui ; il supprime ou anonymise vos données dans . Vous pouvez aussi écrire directement à datenschutz@hrbase.ch – nous transmettons votre demande à votre employeur. • Comptes d’entreprise (clients) : la résiliation ou la suppression de l’ensemble du compte est demandée par une personne autorisée par e-mail à info@kmubase.ch ou datenschutz@hrbase.ch. • Préinscription et demandes : via le lien figurant dans chaque e-mail ou par e-mail à datenschutz@hrbase.ch – nous supprimons immédiatement. Ce qui est supprimé et ce qui est conservé : nous supprimons vos données personnelles et de compte. Les documents à conserver légalement – notamment les décomptes de salaire et les pièces comptables – sont conservés pendant le délai légal de 10 ans (art. 958f CO, OelDI), puis supprimés. Délai : après la fin du contrat, les comptes d’entreprise peuvent encore exporter leurs données pendant 30 jours ; nous les supprimons ensuite. Les sauvegardes locales sont conservées 14 jours. La sauvegarde complète externe est effectuée chaque jour ; les copies quotidiennes sont conservées 30 jours et les copies mensuelles 12 mois. Les données effacées peuvent subsister jusqu’à 12 mois dans les sauvegardes. Elles sont utilisées exclusivement pour la restauration, leur accès est restreint et elles sont à nouveau effacées après une restauration.
Envoi d’e-mails
Pour l’envoi des messages système (p. ex. invitations, liens de mot de passe, notifications), nous faisons appel à un prestataire d’envoi spécialisé en tant que sous-traitant, tenu contractuellement à la confidentialité. Les e-mails ne contiennent pas de données confidentielles du personnel, mais des indications avec un lien vers l’application. Si votre employeur le configure, l’envoi passe par son propre serveur de messagerie ou son compte Microsoft-365.
Destinataires et sous-traitants
Infomaniak Network SA (hébergement, sauvegardes ainsi qu’assistant IA et dictée, Suisse) ; un prestataire d’envoi spécialisé (envoi des e-mails système) ; ASPSMS (envoi de SMS, Suisse) ; Apple Inc. et Google Ireland Ltd. (push, identifiants techniques uniquement) ; pour la facturation aux entreprises clientes : Invoice Ninja (instance auto-hébergée) et PayPal (en cas de paiement par PayPal) ; à la demande de l’entreprise cliente : SwissSalary/Microsoft Business Central (salaires), JobCloud AG (offres d’emploi). Pingen GmbH (Suisse) : impression et envoi postal de lettres sur mandat de l’entreprise cliente ; contenu du document et adresse du destinataire sont transmis. Les serveurs sont en Suisse ; des centres d’impression à l’étranger sont également utilisés pour les envois internationaux.
Pays tiers
Les données de l’application sont stockées et traitées en Suisse ; le développement, l’exploitation et le suivi sont assurés depuis la Suisse. Une communication à l’étranger n’a lieu qu’aux services mentionnés ci-dessus (envoi d’e-mails, push, paiement) et uniquement dans des États offrant une protection adéquate des données ou sur la base de clauses contractuelles types (art. 16 LPD / art. 46 RGPD).
Sécurité
Chiffrement TLS des transmissions, stockage chiffré des documents et chiffrement des secrets, authentification à deux facteurs (TOTP, activable par client), gestion des rôles et des droits, journal des accès ainsi que sauvegardes quotidiennes en Suisse ; exploitation dans les centres de données d’Infomaniak certifiés ISO 27001.
Vos droits
Accès, rectification, effacement, limitation, portabilité des données, opposition, retrait du consentement (art. 25 ss LPD, art. 15–21 RGPD). Pour les données dans l’application, les membres du personnel et les personnes candidates s’adressent d’abord à leur employeur.
Réclamation
En Suisse, auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) ; dans l’UE, auprès d’une autorité de contrôle de la protection des données.
État
Octobre 2026.