Politique de confidentialité

Cette politique explique comment CRM Financier, édité par DigitWebStudio, traite les données personnelles, conformément à la loi fédérale suisse sur la protection des données (nLPD) et, lorsqu’il s’applique, au règlement général européen sur la protection des données (RGPD). Les coordonnées de l’éditeur figurent dans les mentions légales.

1. Rôles

• Comptes utilisateurs (conseillers, managers, directeurs) : DigitWebStudio est responsable du traitement.
• Données des prospects et clients saisies par un cabinet : le cabinet est responsable du traitement ; DigitWebStudio agit comme sous-traitant et traite ces données uniquement pour fournir le service.

2. Données traitées

• Compte : nom, prénom, adresse e-mail, rôle, préférences, facteur de double authentification.
• Données métier saisies par le cabinet : prospects, documents, rendez-vous, signatures, commissions.
• Mailing : adresse de la boîte mail connectée, modèles, campagnes, statut d’envoi de chaque e-mail, réponses reçues sur les fils de discussion concernés, liste des personnes désinscrites.
• Données techniques : journaux de sécurité et d’audit, sans mot de passe ni contenu complet des e-mails.

3. Finalités et bases légales

• Fournir le CRM et ses fonctionnalités (exécution du contrat).
• Sécuriser les comptes et prévenir les abus (intérêt légitime, obligations de sécurité).
• Envoyer des e-mails depuis la boîte connectée d’un utilisateur, à sa demande. Le cabinet qui envoie reste responsable de disposer du consentement des destinataires ou d’une autre base légale.

4. Connexion des boîtes mail (Gmail, Outlook)

La connexion passe par l’écran d’autorisation de Google ou de Microsoft, via notre prestataire Nylas. Le CRM ne demande ni ne conserve jamais le mot de passe de la boîte. L’accès sert uniquement à envoyer les e-mails demandés par l’utilisateur et à détecter les réponses aux e-mails envoyés depuis le CRM. L’utilisateur peut déconnecter sa boîte à tout moment ; l’autorisation est alors révoquée.

L’utilisation des données reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée (Limited Use).

5. Désinscription

Chaque e-mail envoyé depuis le module mailing contient un lien de désinscription. Une adresse désinscrite est conservée dans une liste d’opposition afin de ne plus être contactée par le cabinet concerné.

6. Sous-traitants

• Vercel (hébergement de l’application).
• Supabase (base de données, authentification, stockage des fichiers).
• Nylas (connexion aux boîtes Gmail et Outlook, envoi des e-mails ; région UE).
• Inngest (file d’exécution des envois).
• Resend (e-mails transactionnels du CRM, par exemple les invitations).
• Google et Microsoft (lorsque l’utilisateur connecte son agenda ou sa boîte mail).

Certains prestataires peuvent traiter des données hors de Suisse ou de l’Union européenne. Ces transferts sont encadrés par des garanties appropriées (clauses contractuelles types ou mécanismes équivalents).

7. Durées de conservation

• Données de compte et données métier : pendant la durée de l’abonnement, puis suppression selon le contrat.
• Liste d’opposition : conservée tant que nécessaire pour respecter l’opposition exprimée.
• Journaux de sécurité et d’audit : [DURÉE À COMPLÉTER].

8. Vos droits

Vous pouvez demander l’accès, la rectification, l’effacement ou la limitation de vos données, vous opposer à un traitement et demander la portabilité de vos données en écrivant à [ADRESSE E-MAIL DE CONTACT À COMPLÉTER]. Pour les données de prospects gérées par un cabinet, adressez-vous d’abord à ce cabinet. Vous pouvez aussi saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT) ou l’autorité de contrôle de votre pays.

9. Sécurité

Isolation des données par cabinet au niveau de la base de données, double authentification obligatoire, accès aux documents par liens temporaires, secrets conservés uniquement côté serveur et journal des actions sensibles.