Politique de confidentialité

Cette politique explique quelles données personnelles Prospex traite, pourquoi, et ce que vous pouvez faire à ce sujet. Elle est rédigée au regard de la loi fédérale suisse sur la protection des données (LPD / nLPD). Lorsque le RGPD s'applique — aux visiteurs situés dans l'UE et aux personnes de l'UE figurant dans les données de registres publics que nous traitons — il s'applique en plus, et cette politique est rédigée pour satisfaire aux deux.

Prospex est un service interentreprises. La quasi-totalité des données qu'il traite concerne des entreprises. Certaines n'en sont pas moins des données personnelles, car un dirigeant nommé dans un registre officiel est une personne, et cette politique est précise sur ce point.

1. Qui est responsable

Le responsable du traitement est:

Sidorenko Consulting
Semion Sidorenko
Chemin du Frêne 7
1004 Lausanne
Suisse

Pour toute question sur cette politique, écrivez à hello@prospex.ch.

2. Si vous avez un compte Prospex

Nous détenons les éléments suivants au sujet de nos clients:

• Compte — votre adresse e-mail, qui est aussi votre identifiant, un mot de passe haché (jamais le mot de passe lui-même), la date de votre inscription et celle de votre dernière connexion.
• Préférences — la description de ce que vous vendez, ainsi que les secteurs, tailles d'entreprise, cantons et clientèles sur lesquels vous filtrez, et la fonction que vous avez sélectionnée lors de la mise en route.
• Utilisation du service — les pistes que vous avez marquées comme traitées, les recherches que vous avez enregistrées, les retours que vous avez donnés sur des pistes individuelles, les entreprises que vous suivez et vos réglages de résumé par e-mail.
• Facturation — vos identifiants client et abonnement Stripe, l'état de votre abonnement et la fin de la période en cours. Aucune donnée de carte ne parvient jamais à Prospex; les coordonnées de paiement sont saisies sur les pages de Stripe et y restent.
• HubSpot — si, et seulement si, vous connectez votre compte HubSpot, nous conservons les jetons d'accès de cette connexion et le relevé de ce que nous avons écrit dans votre CRM.
• Journaux serveur — les journaux ordinaires du serveur web et de l'application, adresses IP comprises, conservés pour l'exploitation et la sécurité.

La finalité est la fourniture du service auquel vous avez souscrit, et la base légale est le contrat entre nous (art. 6, par. 1, let. b RGPD / art. 31, al. 2, let. a LPD). Les pièces de facturation sont aussi conservées pour satisfaire aux obligations comptables suisses.

3. Données d'entreprises et de registres concernant d'autres personnes

Prospex collecte des informations publiquement accessibles sur les entreprises suisses et les transforme en signaux de vente pour ses clients. Lorsque le registre du commerce suisse les publie, ces informations comprennent les noms, fonctions et droits de signature des dirigeants — administrateurs, directeurs, associés et signataires autorisés. Ces noms proviennent de publications officielles et peuvent figurer dans les titres de signaux que nous montrons à nos clients, par exemple «Nouveau directeur nommé». Les mêmes publications indiquent la commune d'origine ou la nationalité de chaque personne ainsi que son domicile, et nous conservons ces deux indications telles que publiées. Les noms des dirigeants, et les publications elles-mêmes, figurent aussi sur la page publique de l'entreprise.

Tout provient de sources accessibles au public, des types suivants: les registres suisses du commerce et de la propriété intellectuelle ainsi que les feuilles officielles fédérales et cantonales qui en publient les avis; les offres d'emploi publiées; les sites web d'entreprises et les pages et publications que les entreprises consacrent à elles-mêmes sur les réseaux sociaux et professionnels; et les annuaires d'entreprises et répertoires de startups publics. Nous n'achetons aucune donnée personnelle auprès de courtiers en données.

La base légale est notre intérêt légitime, et celui de nos clients, à disposer d'informations commerciales sur les entreprises (art. 6, par. 1, let. f RGPD / art. 31, al. 1 LPD). Nous l'avons mis en balance avec les intérêts des personnes concernées. Il prévaut selon notre appréciation parce que: la donnée a déjà été publiée officiellement, en vertu de la loi, précisément pour que le public puisse s'y fier; nous ne la traitons qu'à titre professionnel, en tant qu'organe d'une entreprise; nous ne construisons aucun profil comportemental, n'inférons rien de la vie privée et ne traitons aucune donnée sensible; et ce que nous conservons sur une personne correspond à ce que le registre a publié à son sujet: nom, commune d'origine ou nationalité, domicile, fonction, droit de signature et dates des inscriptions, pour chaque entreprise où elle est inscrite.

Une entrée reprise telle quelle du registre du commerce suisse, ou des feuilles officielles qui en publient les avis, reste visible, y compris après une opposition. La loi rend ces entrées publiques pour que chacun puisse vérifier qui agit pour une entreprise et qui a agi pour elle, et Prospex les affiche, avec leur historique, dans le même but. Nous corrigeons une telle entrée lorsqu'elle s'écarte de l'avis publié.

Nous employons aussi de grands modèles de langage pour résumer et classer ce matériel. Ils produisent la formulation d'un signal. Ils ne prennent aucune décision produisant un effet juridique ou comparable pour quiconque.

4. Mesure d'audience

Chaque page de ce site, y compris les pages publiques, charge PostHog (PostHog EU Cloud). Votre navigateur envoie ces données à g.prospex.ch, un domaine qui nous appartient et qui les transmet à l'infrastructure européenne de PostHog; le destinataire est PostHog dans les deux cas. Il enregistre les pages vues et les interactions, ainsi que votre adresse IP, et dépose des cookies dans votre navigateur. Si vous êtes connecté, nous transmettons aussi à PostHog votre identifiant, votre adresse e-mail et votre nom d'utilisateur, afin que l'usage du produit puisse être rattaché à un compte.

Nos serveurs envoient également à PostHog les étapes de l'inscription et de l'abonnement — la création d'un compte, l'affichage de la page d'abonnement, le démarrage d'un paiement, et le démarrage, le renouvellement ou le changement d'état d'un abonnement, avec le montant facturé. L'état actuel de votre abonnement y est conservé sur votre profil. Aucune donnée de carte ne parvient jamais à PostHog; elles ne sont détenues que par Stripe (section 5).

PostHog fait aussi tourner le chat d'assistance derrière le bouton Help dans le produit. Il ne s'ouvre que lorsque vous cliquez dessus, et il fonctionne pour les clients connectés quel que soit votre choix pour Analyse — c'est un service que vous avez demandé, pas une mesure de vous. Ce qu'il conserve, c'est la conversation elle-même, votre identifiant d'utilisateur et un identifiant du chat, écrit dans le stockage local de votre navigateur au chargement du produit pour que vous retrouviez votre propre fil. Rien d'autre de votre visite n'est enregistré lorsque Analyse est désactivée.

Nous chargeons également le code de suivi de HubSpot, le CRM dans lequel nous tenons nos dossiers clients. Il dépose les cookies __hstc, __hssc, __hssrc et hubspotutk, et enregistre les pages que vous consultez ainsi que des caractéristiques techniques de votre navigateur, que HubSpot utilise pour reconnaître un visiteur qui revient. Si vous êtes connecté, il reçoit aussi votre adresse e-mail, afin que ces pages vues apparaissent dans votre dossier client. Votre navigateur envoie ces données à prospex.ch, qui les transmet à l'infrastructure européenne de HubSpot; le destinataire est HubSpot.

Nous utilisons aussi le pixel publicitaire Reddit et déclarons les conversions à Reddit depuis nos serveurs. Le pixel se charge sur chaque page, dépose un cookie propriétaire _rdt_uuid dans votre navigateur et signale qu'une page a été vue. Séparément, nos serveurs indiquent à Reddit qu'un compte a été créé, qu'un paiement a été démarré et qu'un abonnement a démarré — ce dernier avec le montant facturé — accompagnés d'une forme hachée (SHA-256) de votre adresse e-mail, d'un identifiant de compte haché, de votre adresse IP, de l'agent utilisateur de votre navigateur et de l'identifiant de clic Reddit de l'annonce par laquelle vous êtes arrivé. Reddit ne reçoit jamais votre adresse e-mail en clair, ni de données de carte.

Nous utilisons la balise Google Ads aux mêmes conditions. Elle se charge sur chaque page et pose des cookies propriétaires commençant par _gcl, qui retiennent l'identifiant de clic de l'annonce par laquelle vous êtes arrivé: c'est ce qui permet d'attribuer à celle-ci une inscription survenue des semaines plus tard. Lorsque vous créez un compte, entamez un paiement ou souscrivez un abonnement, la balise signale l'événement à Google, le dernier avec le montant facturé, accompagné d'une forme hachée (SHA-256) de votre adresse e-mail. Comme pour Reddit, Google ne reçoit jamais votre adresse en clair, ni aucune donnée de carte. Contrairement à Reddit, rien n'est envoyé depuis nos serveurs: si vous refusez les cookies marketing, l'événement n'est pas transmis.

Nous utilisons également le pixel publicitaire OpenAI, qui mesure les annonces que nous achetons dans ChatGPT. Il se charge sur chaque page, signale qu'une page a été vue et peut déposer des cookies dans votre navigateur. Lorsque vous créez un compte, démarrez un paiement ou démarrez un abonnement, le pixel signale cet événement à OpenAI, le dernier avec le montant facturé. Comme pour Google, rien n'est envoyé depuis nos serveurs: si vous refusez les cookies marketing, l'événement reste non signalé. Aucune adresse e-mail, hachée ou non, ne parvient à OpenAI, et aucune donnée de carte non plus.

Les cookies d’analyse du navigateur et de publicité nécessitent votre consentement. CookieYes gère vos choix dans le monde entier. Vous pouvez accepter ou refuser les cookies Analytique (PostHog et HubSpot) et Publicité dans la bannière, puis modifier vos choix via le lien Cookies. Les cookies nécessaires à la connexion et à la mémorisation de vos choix restent actifs. CookieYes conserve votre choix dans le cookie cookieyes-consent pendant un an au maximum. Nous en conservons une copie dans notre propre cookie consent_mirror pendant un an au maximum, afin que votre choix s’applique aussi lorsque vous revenez d’une connexion avec Google ou d’une page de paiement. Tant que vous n’avez pas fait de choix, l’analyse du navigateur reste désactivée. Si vous refusez les cookies Analytique, PostHog mesure les visites et les interactions de base sans cookies analytiques ni identifiants de visiteur stockés. Il estime le nombre de visiteurs à l’aide d’une empreinte calculée côté serveur qui change chaque jour. Votre adresse IP n’est pas conservée avec ces visites. L’identification de votre compte et les enregistrements de session restent désactivés dans ce mode. Après votre acceptation des cookies Analytique, nous déposons aussi notre cookie first_touch. Il mémorise la première page visitée avec l’analyse activée, sa langue, le domaine d’origine et les paramètres de campagne pendant 30 jours, afin de comprendre quelles visites conduisent à une inscription. Il ne contient aucun identifiant de visiteur. Le retrait de votre consentement à l’analyse supprime ce cookie. Modifier vos choix de cookies. PostHog est aussi la destination de nos données internes d'observabilité sur les appels de modèles.

5. Qui d'autre traite les données

Nous faisons appel aux prestataires suivants. Ils agissent sur nos instructions et sont liés par des clauses de traitement des données.

Prestataire	Finalité	Où
Cloudflare	DNS, CDN et pare-feu applicatif web	Mondial
PostHog	Analyse du produit	UE
Stripe	Paiements et facturation des abonnements	UE / États-Unis
HubSpot	Synchronisation CRM — uniquement si vous la connectez	UE / États-Unis
HubSpot	Dossiers clients et suivi du site	UE / États-Unis
Reddit (Reddit Ads)	Mesure publicitaire	États-Unis
Google (Google Ads)	Mesure publicitaire	États-Unis
OpenAI (OpenAI Ads)	Mesure publicitaire	États-Unis

Notre base de données, notre index de recherche et notre ordonnanceur de tâches tournent sur notre propre serveur; ce ne sont pas des tiers. Nous ne vendons pas de données personnelles et ne les partageons avec personne en dehors de cette liste, sauf lorsque la loi l'exige.

6. Transferts hors de Suisse et de l'UE

PostHog conserve les données en Europe. Stripe, HubSpot, Reddit, Google et OpenAI impliquent un traitement aux États-Unis, et Cloudflare opère dans le monde entier. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne, sur le cadre de protection des données Suisse–États-Unis lorsque le destinataire y est certifié, et sur la reconnaissance correspondante en droit suisse.

7. Combien de temps nous conservons les données

Les données de compte sont conservées aussi longtemps que vous avez un compte, puis uniquement lorsqu'un délai légal de conservation l'exige — les pièces de facturation, par exemple, pendant dix ans en droit commercial suisse. Fermez votre compte et écrivez-nous, et nous supprimerons le reste.

Les données collectées auprès des sources publiques de la section 3 sont conservées tant que Prospex est en service, sous la forme des documents bruts que nous avons récupérés et des enregistrements qui en ont été extraits. Ce sont les documents d'origine qui nous permettent de corriger une erreur plus tard.

8. Vos droits

Vous avez le droit de:

• demander quelles données personnelles nous détenons à votre sujet, et en obtenir une copie
• faire rectifier des données inexactes
• faire supprimer des données lorsque la loi le prévoit
• vous opposer à un traitement fondé sur l'intérêt légitime; les entrées du registre du commerce restent visibles (section 3)
• recevoir dans un format portable les données que vous nous avez fournies
• retirer un consentement que vous avez donné, sans effet sur ce qui a été fait auparavant

Pour les exercer, écrivez à hello@prospex.ch.

Si vous n'êtes pas satisfait, vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT, Feldeggweg 1, 3003 Berne), ou l'autorité de contrôle de votre État membre de l'UE.

9. Sécurité

Tout le trafic vers le site est servi en TLS. Le serveur d'origine est placé derrière Cloudflare et n'accepte de trafic web que de sa part; la base de données n'écoute que sur l'interface locale et n'est pas joignable depuis Internet. Les mots de passe sont stockés sous forme de hachages salés et ne sont jamais récupérables, ni par nous ni par quiconque. L'accès administratif est limité au propriétaire.

Nous ne prétendons pas que les données stockées sont chiffrées au repos. Aucun système n'est parfaitement sûr, et nous disons ce que nous faisons réellement plutôt que ce qui paraît rassurant.

10. Modifications

Nous mettrons cette politique à jour lorsque le service changera. La date figurant en haut est celle de la version en vigueur. Les modifications importantes concernant les clients sont annoncées par e-mail.

Ce document est une traduction fournie par commodité. En cas de divergence entre cette version et la version anglaise, la version anglaise prévaut.