Accord de traitement et information sur les données ILYGO Password
Version 1.5 du 25 octobre 2026. Ce document comporte l’information relative aux traitements propres d’ILYGO et, lorsque vous agissez comme responsable professionnel, les engagements de sous-traitance correspondant aux données que vous confiez.
1. Responsables, périmètre et finalités
ILYGO Sàrl, Chemin des Bossons 5, 1081 Montpreveyres, Suisse, IDE CHE-135.509.084, contact protection des données : julien@ilygo.ch (Julien Tscherrig, associé gérant), est responsable des traitements nécessaires à la gestion du compte, à la sécurité, à la relation avec l’utilisateur et à l’exploitation du service. Pour un client professionnel agissant comme responsable du traitement, ILYGO intervient comme sous-traitant pour l’hébergement, la transmission, les sauvegardes et les opérations de service sur les données confiées. Les catégories de personnes et données concernées dépendent de l’utilisation autorisée par ce client : collaborateurs, clients, partenaires ou autres personnes dont les identifiants ou documents sont conservés.
Les traitements servent à exécuter la relation de service, prouver et sécuriser les accès, permettre les partages demandés, prévenir les abus et satisfaire les obligations légales applicables. Les données ne sont pas vendues ni utilisées pour de la publicité ou l’entraînement d’une IA. Aucune décision exclusivement automatisée produisant un effet juridique sur l’utilisateur n’est organisée par Password.
2. Données et visibilité
Une demande d’inscription contient prénom, nom, adresse de messagerie, dates, IP, navigateur et références des textes acceptés. Le compte comprend le profil, les identifiants techniques, les empreintes de mots de passe de connexion le cas échéant, les clés publiques et les paramètres d’authentification. Les dates et événements d’accès, volumes, noms et liens des dossiers, destinataires et permissions de partage sont des métadonnées de fonctionnement visibles au service.
Le contenu des entrées et des pièces jointes, les clés privées et clés de coffre enveloppées sont transmis sous forme chiffrée par le navigateur. Le mot de passe du coffre n’est pas transmis à ILYGO. Le secret MFA est chiffré côté serveur avec une clé d’exploitation distincte. Le chiffrement du coffre ne rend pas anonymes les données de compte ni les journaux techniques.
Icônes de sites, fonction facultative. L’affichage est activé par défaut. Pour récupérer une icône, le navigateur transmet à ILYGO le seul nom de domaine associé à l’entrée, à l’exclusion du chemin et des paramètres de l’adresse enregistrée. Ce nom de domaine devient ainsi visible au service ; l’opération ne transmet aucun mot de passe, contenu d’entrée ou secret de coffre. Le serveur ILYGO contacte le site concerné ou la destination de récupération de l’icône : ce destinataire voit l’adresse réseau du serveur ILYGO, et peut se trouver à l’étranger. Le choix des sites dépend de vos entrées. Vous pouvez désactiver cette fonction dans la liste des entrées ; le réglage est local à ce navigateur et bloque les requêtes d’icônes tant qu’il y est conservé. Une requête antérieure peut déjà avoir été reçue par le service ou le site concerné.
Le cache d’icônes côté serveur est en mémoire, cloisonné par utilisateur, limité en volume et sans enregistrement dans la base ou le stockage objet. La durée de réutilisation prévue est de sept jours pour une icône et de six heures pour une recherche sans résultat ; l’arrêt du processus vide ce cache. Une réponse peut être mise en cache dans le navigateur pendant une journée. Le nom de domaine figure dans la requête HTTP et peut apparaître dans les journaux techniques d’accès. Les règles de conservation des journaux techniques figurent dans la section 6 et leurs lieux de traitement dans l’annexe.
3. Courriels et destinataires
Le titulaire reçoit les messages transactionnels nécessaires à la confirmation, à la connexion, à la sécurité et au service, envoyés par no-reply@ilygo.ch. ILYGO reçoit les notifications de demande puis d’activation contenant les seules coordonnées et métadonnées utiles. Ces notifications internes ne contiennent aucun mot de passe, secret du coffre, secret MFA ou jeton d’activation. L’acheminement jusqu’à la boîte du destinataire dépend aussi de son propre fournisseur de messagerie, éventuellement situé à l’étranger.
L’accès interne est limité aux personnes habilitées selon leur fonction et soumises à la confidentialité. Les prestataires techniques sont identifiés dans l’annexe. Une communication à une autorité n’intervient que lorsqu’elle est requise ou autorisée par le droit applicable. La distribution optionnelle des extensions passe par Google, Microsoft ou Apple selon la boutique ; leurs traitements de compte de boutique sont régis par leurs propres informations. Les boutiques ne reçoivent pas le contenu du coffre par l’extension Password.
4. Instructions et garanties de sous-traitance
Le client professionnel autorise les opérations nécessaires au service et les instructions qu’il transmet par les fonctions du produit ou par un échange documenté avec ILYGO. Il reste responsable de leur licéité et de l’information des personnes. ILYGO n’utilise pas les données confiées pour ses propres finalités ; une instruction manifestement contraire aux règles de protection des données est signalée au client. Les personnes autorisées sont tenues à la confidentialité.
Le client donne une autorisation générale aux seuls sous-traitants ultérieurs de l’annexe. ILYGO leur impose des obligations de protection appropriées, reste responsable de la bonne exécution de ses obligations et annonce un ajout ou remplacement au moins 30 jours avant le changement prévu, sauf nécessité urgente de sécurité ou légale. Le client peut présenter une objection motivée liée à la protection des données ; les parties recherchent une solution et, si elle n’est pas possible, organisent la fin de l’opération concernée avant le changement.
ILYGO assiste raisonnablement le client pour les droits des personnes, la sécurité, les analyses d’impact et les échanges avec l’autorité compétente, compte tenu de la nature des opérations et des informations disponibles. ILYGO met à disposition les informations nécessaires pour démontrer ses engagements et permet une vérification proportionnée, organisée sans exposer les données d’autres clients. Un audit sur place est coordonné quant à sa confidentialité, sa portée et sa sécurité ; il ne peut neutraliser les protections du service.
5. Sécurité et incidents
Les mesures comprennent le chiffrement du contenu côté navigateur, TLS, des surfaces utilisateur et administrateur séparées, des contrôles de permissions, la limitation des tentatives, la traçabilité, la protection des secrets d’exploitation, des sauvegardes chiffrées et des restaurations isolées contrôlées. L’efficacité de ces mesures est réexaminée en fonction des risques. Le poste utilisateur, ses extensions et les destinataires autorisés restent des éléments déterminants de la sécurité.
ILYGO analyse et documente les incidents. Lorsqu’il intervient comme sous-traitant, il informe le client sans délai injustifié d’une violation affectant les données confiées et lui transmet les informations disponibles sur la nature, les conséquences, les mesures et le point de contact, puis les compléments utiles. Chacun réalise les notifications aux autorités et personnes qui lui incombent selon la loi ; aucun délai chiffré universel de notification n’est présumé applicable à tous les cas.
6. Conservation, restitution et effacement
| Catégorie | Durée et modalités |
|---|---|
| Demande non activée | Sept jours à compter de la demande, puis suppression lors du passage quotidien suivant, avec ses jetons et files associées ; lien valable 24 heures seulement. |
| Compte et données confiées | Durée du compte. Clôture sur demande vérifiée, restitution des données accessibles puis effacement opérationnel dans les 30 jours, sous réserve d’obligations légales précisément justifiées. |
| Preuve d’acceptation | Version, empreinte des textes, compte et date conservés pendant la vie du compte. Les IP et informations de navigateur sont retirées après 90 jours en PROD ; la suppression du compte supprime sa demande associée. |
| Journaux applicatifs | 90 jours dans le service de production, puis effacement par lots quotidiens ; 30 jours dans l’environnement de test. En cas de volume supérieur à la capacité d’un lot, le traitement se poursuit aux passages suivants. Le traitement d’un incident ou une obligation légale peut nécessiter une conservation distincte, limitée et documentée. |
| Journaux techniques centralisés | 90 jours dans le service de production ; 30 jours pour les nouveaux journaux de l’environnement de test. Leur suppression est asynchrone et peut nécessiter un délai technique supplémentaire. Les journaux de test collectés avant le changement de durée restent soumis à la politique de 90 jours applicable lors de leur collecte. Le traitement d’un incident ou une obligation légale peut justifier une copie distincte, limitée et documentée. |
| Jetons, sessions et files temporaires | Secrets expirés et sessions expirées : nettoyage après une journée ; files de courriels et notifications : sept jours. Une information déjà reçue en messagerie relève aussi de la conservation de cette messagerie. |
| Archives de sauvegarde | Objectif de conservation de 30 jours. L’effacement des archives s’effectue par lots contrôlés, après une marge de sécurité de 72 heures et un délai d’annulation de 24 heures, avec validation de deux opérateurs distincts. Il ne s’agit pas d’un effacement automatique au trentième jour. Une restauration en cours, une archive nécessaire à une chaîne de sauvegarde, une protection de sécurité ou une obligation légale peut suspendre l’effacement. Le motif, les copies concernées et leur réexamen sont documentés. Une copie conservée pour ces seuls motifs reste protégée et ne revient pas à l’usage courant du service. |
Les suppressions de données partagées ne retirent pas les copies déjà exportées par les destinataires. Les archives résiduelles ne doivent pas être remises en service sans réapplication des suppressions intervenues depuis leur création. Une rétention légale exceptionnelle doit être séparée, limitée à son objet et inaccessible à l’usage ordinaire du service.
7. Droits et contact
Vous pouvez écrire à julien@ilygo.ch pour demander les informations sur vos données, leur rectification, leur effacement et les autres droits applicables, notamment la remise ou transmission lorsque ses conditions légales sont réunies. ILYGO vérifie l’identité de manière proportionnée, sans demander le secret du coffre, et répond dans le délai légal applicable ; si une réponse complète n’est pas possible dans les 30 jours, il informe du motif et de la suite prévue. Lorsqu’ILYGO est sous-traitant, il transmet la demande au client responsable et l’assiste. Une plainte peut être adressée au Préposé fédéral à la protection des données et à la transparence ou à l’autorité compétente selon le droit applicable.
Annexe : prestataires et lieux
| Opération | Prestataire et lieu | Portée |
|---|---|---|
| Application, base de données, stockage des pièces jointes et messagerie transactionnelle | Infomaniak Network SA, Suisse. Infrastructure applicative et stockage objet configurés en Suisse ; transport SMTP Infomaniak. | Données de service et données chiffrées selon l’opération ; message transactionnel pour la messagerie. Le fournisseur du destinataire reçoit le message. |
| Gestion et conservation des sauvegardes | OVH / OVHcloud, Allemagne. Les sauvegardes et leurs métadonnées sont traitées en Allemagne. | Archives chiffrées et métadonnées de sauvegarde. Les opérations de sauvegarde impliquent un traitement en Allemagne. |
| Collecte et tampon local des journaux techniques | OVH / OVHcloud, Allemagne, pour la collecte et le tampon technique. Stockage objet persistant : Infomaniak Network SA, Suisse. | Journaux de sécurité et d’exploitation pouvant contenir des identifiants, adresses IP et noms de domaines. |
Les lieux de traitement comprennent la Suisse et l’Allemagne, selon les opérations décrites dans l’annexe. La communication à l’étranger est encadrée par la LPD : niveau de protection adéquat ou garanties appropriées lorsque celles-ci sont nécessaires. Les obligations de sécurité, de confidentialité et de sous-traitance restent applicables. Le fournisseur de messagerie du destinataire et les sites contactés pour une icône facultative peuvent traiter des données dans d’autres États selon votre usage.