Déclaration de protection des données

Batzenbank traite des données de parents et de leurs enfants. Parce que des données d'enfants sont concernées, nous en faisons un usage plus mesuré que ce que la loi exige.

Batzenbank s'adresse aux familles en Suisse. La loi suisse sur la protection des données (LPD) s'applique. Qui utilise l'application depuis ailleurs peut le faire, mais nous ne destinons pas notre offre à d'autres pays.

Qui en répond

Responsable du traitement de ces données :

Severin Frei, Suisse

kontakt@batzenbank.ch

C'est à cette adresse que vont les questions, demandes d'accès, rectifications et oppositions. Cela dit, tu obtiens l'accès à tout ce qui est enregistré immédiatement et sans demande sous Compte → Mes données.

Quelles données nous enregistrons

Du compte : adresse e-mail, nom d'affichage facultatif, langue, moment de la dernière connexion, et la version des conditions d'utilisation et de la présente déclaration que tu as acceptée. Si tu actives Threema, ton identifiant Threema et le moment de la confirmation. Pas de mot de passe, car la connexion passe par un code envoyé par e-mail. Pas de nom, pas d'adresse postale, pas de numéro de téléphone.

De l'enfant : prénom, date de naissance facultative, région et monnaie. Délibérément pas de nom de famille.

Appartenances : quels adultes sont inscrits pour quel enfant. C'est sur cette base que se décide qui peut voir et saisir quoi.

De l'utilisation : plans de versement, remises, cassettes, donc le protocole pour lequel l'application existe. Chaque écriture est enchaînée à la précédente par une somme de contrôle, pour que des modifications ultérieures se remarquent.

Des personnes invitées : si tu invites quelqu'un, nous enregistrons son adresse e-mail jusqu'à ce que l'invitation soit acceptée ou expire. L'e-mail d'invitation nomme la personne qui a invité et renvoie à la présente déclaration. Qui ne réagit pas n'entend plus parler de nous.

Technique : sessions avec désignation de l'appareil, moments des tentatives de connexion et codes de connexion sous forme de somme de contrôle. Il en va de même pour le code avec lequel tu confirmes un identifiant Threema : nous n'enregistrons que sa somme de contrôle, plus sa durée de validité et le nombre de saisies erronées. Ton adresse IP, nous ne l'enregistrons pas. Pour parer aux abus, nous comptons les tentatives de connexion par adresse ; dans ce comptage, l'adresse ne figure que comme somme de contrôle, et tout le comptage est effacé après 24 heures. Les journaux d'erreurs contiennent le moment, l'endroit concerné du programme et des numéros internes, pas d'adresses ni de noms.

Sur ton appareil : en plus des cookies mentionnés plus bas, ton navigateur garde les fichiers de l'application dans un cache pour qu'elle démarre vite. Tes données n'y figurent pas.

D'où viennent les données

Presque tout, c'est toi qui le saisis : ton compte, les indications sur l'enfant, les écritures. Une petite part technique vient de ton appareil dès que tu ouvres l'application, à savoir la désignation de ton navigateur et les moments de tes connexions.

Deux choses ne viennent pas de la personne dont il s'agit, et cela mérite d'être dit :

Les indications sur l'enfant, c'est un parent qui les saisit, pas l'enfant lui-même. L'enfant a les mêmes droits sur ses données que toi sur les tiennes, voir plus bas.

L'adresse d'une personne invitée, nous la tenons de celle qui invite. C'est pourquoi l'e-mail d'invitation dit d'où nous tenons l'adresse, combien de temps nous la gardons, et renvoie à la présente déclaration. Qui ne réagit pas n'entend plus parler de nous.

Il n'y a pas d'autres sources. Nous n'achetons pas d'adresses, nous ne complétons rien à partir d'annuaires ou de réseaux sociaux, et personne ne nous signale quoi que ce soit à ton sujet.

Pour quoi

Exclusivement pour exploiter l'application : connexion, tenue du protocole et rappels. Pas de publicité, pas de transmission, pas d'analyse à d'autres fins.

Cookies

Nous posons sept cookies, tous techniquement nécessaires ou déclenchés par toi-même :

• `bb_session` : connexion, un an, prolongé de manière glissante
• `bb_challenge` : lie le code de connexion à ton navigateur, dix minutes
• `bb_csrf` : protection contre l'abus de formulaires, prend fin avec le navigateur
• `bb_email` : retient ton adresse sur cet appareil, seulement si tu coches la case
• `lang` : retient ton choix de langue sur cet appareil, un an
• `theme` : retient clair ou sombre sur cet appareil, un an
• `palette` : apporte le choix de couleurs de ton compte sur cet appareil, un an

Pas de pistage, pas de mesure d'audience, pas de tiers, pas de polices externes. C'est pourquoi nous n'avons pas non plus besoin d'une bannière de consentement.

Combien de temps

• Sessions : jusqu'à leur expiration, au plus un an sans utilisation
• Tentatives de connexion : 24 heures
• Invitations : valables 14 jours, supprimées 30 jours après expiration
• Autres jetons : 30 jours après expiration
• Messages envoyés : 90 jours
• Codes de récupération : 90 jours après la suppression du compte
• Identifiant Threema : jusqu'à ce que tu désactives Threema ou supprimes ton compte
• Identifiant Threema saisi mais jamais confirmé : 30 jours après l'expiration du code
• Journaux techniques (sorties d'erreurs et de cron) : 14 jours
• Journal de nos interventions (blocage, activation, consultation) : 3 ans
• Copies de sauvegarde : états quotidiens 7 jours, états mensuels au plus un an ; chez Hostpoint en plus [délai selon l'offre choisie]
• Compte : 30 jours après l'ordre de suppression, puis anonymisé
• Compte inutilisé : supprimé après 24 mois sans connexion et sans remise saisie pour tes enfants ; nous t'avertissons deux fois par e-mail, 30 et 5 jours avant la suppression
• Enfant sans personne inscrite : 90 jours, puis supprimé
• Écritures : jusqu'à la suppression de l'enfant

Rappels

Les rappels partent par e-mail. Threema peut s'y ajouter si nous avons débloqué le canal pour ton compte ; le désactiver, tu peux le faire toi-même à tout moment.

Tu choisis toi-même, pour chaque enfant, les occasions qui te sont signalées : remises en attente ou saisies, anniversaire, rentrée scolaire et une date à marquer. Les occasions choisies et les dates que tu as notées sont enregistrées avec tes réglages.

E-mail. Envoi via les serveurs de messagerie de Hostpoint en Suisse. Les e-mails sont chiffrés en transit, pour autant que le serveur du destinataire le prenne en charge. Si ta boîte se trouve chez un fournisseur étranger, le contenu quitte en outre la Suisse. Nous n'y pouvons rien. Le contenu de nos rappels est donc volontairement succinct : prénom de l'enfant et date, pas de montant, pas de nom de famille, pas de soldes, pas d'historiques.

Threema. Le canal n'est pas là d'emblée. Nous le débloquons compte par compte ; ce n'est qu'ensuite qu'il apparaît sous Compte → Rappels par Threema.

Pour l'activer, tu saisis ton identifiant Threema. Nous demandons à Threema si cet identifiant existe et lui envoyons un code à six chiffres. Le canal n'est actif qu'une fois que tu l'as retapé. Ce détour a une raison : sinon, quelqu'un pourrait saisir l'identifiant d'une autre personne, et le Threema de celle-ci recevrait des rappels concernant des enfants étrangers.

Ensuite, tu décides chez chaque enfant ce qui arrive par e-mail et ce qui arrive par Threema. Au début, le rappel de remise est coché sur les deux voies, là où il passait déjà par e-mail. Nous ne touchons pas à tes réglages e-mail.

L'envoi passe par le Threema Gateway de Threema GmbH en Suisse, chiffré de bout en bout. Threema voit le destinataire et le moment, pas le contenu. Le message lui-même est aussi bref que l'e-mail : prénom de l'enfant et date, pas de montant.

Si tu désactives Threema, ton identifiant et toutes les cases cochées sur Threema disparaissent. Les réglages e-mail restent. Il en va de même si nous ne laissons plus le canal débloqué pour ton compte : le rappel ne disparaît alors pas, il repart par e-mail.

Même si tu installes Batzenbank sur ton téléphone, cela ne change pas : l'application n'envoie pas de notifications push et n'accède à rien sur l'appareil. C'est un site web qui s'ouvre comme une application.

Tes droits

Accès. Sous Compte → Mes données, tu obtiens immédiatement tout ce qui est enregistré, dans un fichier au format courant que tu peux aussi réutiliser ailleurs. Si tu préfères une demande écrite, nous répondons dans les 30 jours et gratuitement. Nous vérifions alors que la demande vient bien de toi.

Rectification. Les données du compte et de l'enfant, tu peux les modifier toi-même à tout moment. Les écritures ne se laissent pas réécrire après coup, c'est le sens d'un protocole. Une écriture erronée est corrigée par une écriture d'extourne, les deux restent visibles.

Contestation. Si tu n'es pas d'accord avec une écriture et qu'on ne peut pas établir qui a raison, tu peux apposer toi-même une mention à l'écriture indiquant qu'elle est contestée. Tu choisis parmi quatre motifs ; il n'y a délibérément pas de champ de texte libre. La mention ne change pas l'écriture, elle se place à côté. Elle est visible pour toutes les personnes concernées et subsiste. Si la chose se clarifie plus tard, tu peux la marquer comme réglée ; elle ne disparaît alors pas, il s'ajoute seulement une ligne.

Opposition et révocation. Threema, tu peux le désactiver toi-même à tout moment, même si nous n'avons entre-temps plus laissé le canal débloqué. Tu peux t'opposer au traitement dans son ensemble ; en pratique, cela revient à la suppression du compte.

Suppression. Ton compte, tu peux le supprimer à tout moment. Ensuite tu es déconnecté partout et tu ne reçois plus de rappels. L'adresse et le nom d'affichage subsistent 30 jours comme délai de réflexion ; si tu te reconnectes pendant ce temps, la suppression est annulée. Qui ne veut pas de délai de réflexion peut aussi supprimer immédiatement et définitivement.

Lors de l'exécution, nous retirons l'adresse e-mail, le nom d'affichage, l'identifiant Threema, les sessions, les réglages et les messages envoyés. Les écritures subsistent. Elles sont en même temps le protocole de l'enfant, dont une autre personne dépend ; pour des parents qui vivent séparés, c'est précisément le but. Comme auteur n'apparaît ensuite plus que « Compte supprimé ».

Avec le dernier message, tu reçois pour chaque enfant un code de récupération, valable 90 jours. Il te permet de rejoindre à nouveau un enfant ; les autres personnes concernées en sont informées. Chez nous, le code est enregistré sans lien avec ton adresse.

Supprimer un enfant n'est possible qu'avec l'accord de toutes les personnes concernées et avec 14 jours de délai de réflexion. Toutes sont informées, chacune peut annuler jusqu'à l'exécution. Un parent ne doit pas pouvoir anéantir seul la vérité commune. Ensuite tout est définitivement retiré : plans, écritures, cassettes.

Si plus personne n'est inscrit pour un enfant, il est supprimé automatiquement 90 jours après le départ de la dernière personne.

Droits de l'enfant. L'enfant a les mêmes droits sur ses données. Tant qu'il est jeune, vous les exercez comme parents. Un enfant assez grand pour comprendre de quoi il s'agit peut aussi s'adresser directement à nous.

Où ces droits s'arrêtent. Il y a deux limites, et toutes deux ont une raison.

Les écritures ne peuvent pas être réécrites ni supprimées une à une, même sur demande. Elles sont en même temps le protocole de l'enfant, dont une autre personne dépend. Pour cela il y a l'écriture d'annulation et la mention indiquant qu'une écriture est contestée.

Et nous pouvons restreindre un renseignement lorsque des intérêts prépondérants d'autres personnes s'y opposent (art. 26 LPD). Chez nous, cela ne vaut qu'une seule fois : si nous bloquons un compte pour abus et t'envoyons le renseignement, les adresses et noms d'affichage des autres personnes concernées en sont retirés. Sinon, ce renseignement-là mettrait des coordonnées de tiers entre les mains de quelqu'un. Tout ce qui te concerne toi-même y figure intégralement.

Déroulements automatiques. Trois choses se produisent sans qu'une personne y regarde : un compte est supprimé après 24 mois sans connexion, un enfant sans personne inscrite 90 jours après le départ de la dernière, et qui demande beaucoup de codes de connexion coup sur coup doit attendre l'heure suivante. Ce sont des délais qui s'appliquent de la même façon à tous, et non une appréciation de ta personne. La suppression du compte, nous l'annonçons deux fois, 30 et 5 jours à l'avance, et tu l'écartes en te connectant une seule fois.

Nous ne prenons pas de décision individuelle automatisée au sens de l'art. 21 LPD. Si malgré tout quelque chose de décidé automatiquement devait te toucher, écris-nous : une personne s'y penchera.

Réclamation. Si tu estimes que nous ne traitons pas tes données correctement, écris-nous d'abord. Au-delà, tu peux t'adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT).

Qui traite

L'exploitation tourne chez Hostpoint AG, Rapperswil-Jona. La base de données et les fichiers s'y trouvent, et nos messages partent par leurs serveurs de messagerie. Hostpoint est sous-traitante : elle ne peut traiter les données que pour l'exploitation de l'hébergement, pas à ses propres fins. C'est réglé dans la convention de sous-traitance, qui fait partie des CG de Hostpoint. Hostpoint se réserve le droit de consulter des contenus en cas de panne, sur ordre d'une autorité ou par sondage.

Hostpoint peut recourir à des sous-traitants ultérieurs pour certaines prestations. Ce que cela signifie pour le lieu du traitement figure à la section d'après.

Les messages Threema passent par le Gateway de Threema GmbH en Suisse, également sous-traitante selon nos instructions.

Les demandes concernant tes données, tu nous les adresses à nous, pas à Hostpoint. Hostpoint nous transmet de toute façon de telles demandes.

Comme tout serveur web, celui de Hostpoint écrit des journaux d'accès avec l'adresse IP complète, le moment, l'adresse consultée et l'identifiant du navigateur. Ces journaux servent à la sécurité de l'exploitation et à la recherche d'erreurs. Ils sont supprimés après [X jours] et ne sont pas reliés à ton compte.

Sinon, personne ne transmet les données. Pas d'analyse, pas de publicité, pas de transmission à des tiers.

Si des données partent à l'étranger

Nous-mêmes ne transmettons aucune donnée à l'étranger. La base de données, les fichiers et nos copies de sauvegarde se trouvent en Suisse, les serveurs de messagerie sont en Suisse, et les messages Threema passent par une passerelle suisse.

Deux chemins mènent tout de même vers l'extérieur. Aucun des deux ne dépend de nous, et c'est pour cela qu'ils figurent ici :

Ta boîte aux lettres. Si ton adresse e-mail est hébergée chez un fournisseur étranger, chaque message qui t'est destiné quitte la Suisse au moment où il est remis. Nous n'y avons aucune influence. C'est justement pour cela que le contenu de nos rappels est aussi bref. Si cela compte pour toi, prends une adresse chez un fournisseur suisse.

Les sous-traitants ultérieurs de Hostpoint. Hostpoint peut faire appel à des tiers pour certaines prestations et doit nous informer 60 jours à l'avance avant qu'un changement intervienne. Si un jour un organisme hors de Suisse devait entrer en jeu, nous le nommerions ici avec le pays et avec la base sur laquelle repose le transfert, et ce avant que cela ne s'applique. Les 60 jours servent exactement à cela.

Ce que nous voyons nous-mêmes

Pour l'exploitation, il existe un espace d'administration. De ton compte, nous y voyons : l'adresse e-mail, s'il est actif ou bloqué, la langue, le tarif en vigueur et donc si Threema est débloqué pour toi, la date de création, ta dernière connexion, combien d'appareils sont connectés, s'il reste des invitations en attente, combien d'enfants y sont rattachés et pour combien d'entre eux aucun plan de versement n'existe encore. S'y ajoute une liste des derniers messages qui te sont destinés, avec le motif, le moment et la mention indiquant si la remise a fonctionné.

Ne sont pas visibles : les prénoms des enfants, les montants, les écritures, les pots de garde, les relevés de compte, le contenu des messages et ton identifiant Threema. Nous débloquons le canal, nous ne voyons pas pour quel identifiant tu l'utilises. Nous ne pouvons pas non plus nous connecter à ta place. Si tu as besoin d'aide pour une écriture précise, nous ne pouvons pas la consulter, seulement t'expliquer comment la rectifier toi-même.

Chaque consultation d'un compte et chaque intervention sont journalisées : qui, quand, quoi et pour quel motif. Nous conservons ce journal trois ans. Si tu supprimes ton compte, l'entrée subsiste, mais l'adresse qui s'y trouve est remplacée par un identifiant qui ne mène plus à toi.

Si nous bloquons un compte, tu en apprends le motif dès que tu saisis ton prochain code de connexion.

Lors d'un blocage pour abus, nous pouvons en même temps marquer le compte pour suppression. Nous t'envoyons alors par e-mail un relevé de tes données enregistrées, sous forme de fichier, comme tu aurais aussi pu le télécharger toi-même. Les indications sur les autres personnes concernées, leur adresse et leur nom d'affichage, en sont retirées, afin que le relevé ne donne à personne les coordonnées d'autrui. Le compte est ensuite traité comme une demande de suppression et anonymisé après 30 jours. Comme tu es bloqué, tu ne peux pas arrêter toi-même cette suppression ; les écritures subsistent en tant que journal de l'enfant.

Il faut distinguer cela de l'accès technique au serveur. Qui en dispose atteint la base de données et donc, en principe, toutes les données. Une seule personne a cet accès, et il sert à l'exploitation et au dépannage, pas à regarder dans les familles.

Copies de sauvegarde

Une fois par jour, une copie de la base de données est créée et transférée, chiffrée, vers un système privé en Suisse (canton de Zurich) que j'exploite moi-même. Les copies de sauvegarde servent uniquement à rétablir l'exploitation après une panne. Elles ne sont pas analysées et ne sont pas utilisées pour l'exploitation normale. Les sauvegardes quotidiennes sont écrasées après sept jours, les états mensuels après un an.

En plus, Hostpoint crée ses propres copies de sauvegarde de ses systèmes.

Si tu supprimes ton compte ou un enfant, c'est immédiatement effectif dans l'application. Mais des données supprimées peuvent encore exister dans les copies de sauvegarde de Hostpoint jusqu'à [délai selon l'offre choisie] et dans nos propres sauvegardes jusqu'à un an. Elles n'en sont pas restaurées, sauf pour remédier à une panne totale. Pour qu'une restauration n'annule pas ta suppression, nous tenons un journal des suppressions : chaque suppression est notée avec son moment, et après la remise en place d'une copie de sauvegarde, toutes les suppressions survenues depuis sont appliquées à nouveau avant que l'application soit rouverte.

Sécurité

La connexion à l'application est chiffrée (TLS). Nous n'enregistrons pas de mots de passe, parce qu'il n'y en a pas ; les codes de connexion et les sessions ne sont chez nous que des sommes de contrôle. La base de données n'est pas accessible de l'extérieur. Les sauvegardes sont transférées chiffrées [et stockées]. Une seule personne a accès au serveur et aux sauvegardes. La sécurité absolue n'existe pas ; s'il arrive quelque chose, nous informons les personnes concernées. Si Hostpoint apprend une violation de la sécurité des données, elle nous l'annonce, et nous t'informons s'il existe un risque pour toi ou ton enfant.

Si Batzenbank s'arrête

Si nous mettons fin à l'exploitation, nous t'informons au moins 90 jours à l'avance par e-mail. Pendant ce temps, tu peux télécharger toutes les données sous Compte → Mes données. Ensuite, nous supprimons la base de données chez Hostpoint et nos propres sauvegardes.

Modifications

Si quelque chose change dans le traitement des données et que cela te concerne, par exemple un nouveau canal de rappel ou un autre délai de conservation, nous t'informons par e-mail avant que cela s'applique. Il en va de même si Hostpoint modifie les conditions de la sous-traitance d'une manière qui te concerne. Les petites corrections du texte se font sans annonce. C'est la version publiée sur batzenbank.ch qui s'applique.

Cette déclaration est rédigée en allemand. Les traductions doivent la rendre compréhensible, pas la modifier. En cas de contradiction entre les versions linguistiques, le texte allemand fait foi.