Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via ce site est :

Anthony Chavez · ACiD Studio
Lausanne, Suisse
Email : contact@acidstudio.ch

2. Cadre légal

Cette politique respecte la Loi fédérale suisse sur la protection des données (nLPD) entrée en vigueur le 1^er septembre 2023, ainsi que le Règlement général sur la protection des données (RGPD - UE 2016/679) pour les visiteurs ressortissants de l'Espace économique européen.

3. Données collectées

Nous collectons les catégories de données suivantes :

• Données fournies volontairement via les formulaires de contact, de devis et tunnel d'achat : nom, prénom, email, téléphone (optionnel), description de projet, type et budget approximatif.
• Données techniques via Google Analytics 4 (uniquement après consentement explicite via la bannière cookies) : adresse IP anonymisée, type de navigateur, pages visitées, durée de visite, origine (referrer).
• Données de paiement via Stripe pour les commandes : numéro et expiration de carte, nom du titulaire. Ces données ne transitent jamais par nos serveurs — elles sont collectées et stockées directement par Stripe (PCI-DSS Level 1).
• Données techniques de session pour les clients connectés au portail : tokens d'authentification, identifiants de session.

4. Bases légales et finalités

• Exécution d'un contrat (RGPD art. 6.1.b / nLPD art. 31.2.a) : gestion des commandes, factures, livraisons, support client.
• Intérêt légitime (RGPD art. 6.1.f) : répondre à vos demandes de contact, améliorer nos services.
• Consentement (RGPD art. 6.1.a) : analyse d'audience via Google Analytics, communications marketing (newsletter — pas active à ce jour).
• Obligation légale (RGPD art. 6.1.c) : conservation des factures (10 ans en Suisse, art. 962 CO).

5. Durée de conservation

• Leads et demandes de contact non converties : 3 ans à compter du dernier contact.
• Données clients (commandes, factures) : 10 ans (obligation comptable suisse, art. 958f CO).
• Logs techniques (sessions, IP) : 90 jours.
• Données Google Analytics : 14 mois (paramètre par défaut GA4).
• Cookies de consentement : 12 mois ou jusqu'à révocation.

6. Sous-traitants et transferts internationaux

Pour exécuter notre service, nous faisons appel à des sous-traitants (au sens RGPD art. 28 / nLPD art. 9) :

• Infomaniak (Suisse) — hébergement web, emails, base de données. Données stockées en Suisse.
• Stripe Payments Europe Ltd (Irlande, avec transferts vers Stripe Inc. aux États-Unis) — traitement des paiements. Stripe est certifié sous le cadre EU-US Data Privacy Framework.
• Google Ireland Limited / Google LLC — Google Analytics. Données pseudonymisées (IP tronquée). Transferts vers les États-Unis encadrés par les Clauses Contractuelles Types et le Data Privacy Framework.

7. Cookies

Notre site utilise des cookies essentiels au fonctionnement (session, préférences) ainsi que, uniquement après votre consentement explicite, des cookies d'analyse Google Analytics. Vous pouvez à tout moment accepter, refuser ou modifier votre choix via la bannière de consentement (effacez votre stockage local pour la réafficher).

8. Sécurité

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles appropriées : chiffrement HTTPS (TLS 1.3), chiffrement des accès clients sensibles via AES-256-CBC, requêtes SQL préparées (anti-injection), rate limiting sur les endpoints sensibles, vérification de signature sur les webhooks Stripe, mots de passe stockés via bcrypt.

9. Vos droits

Conformément à la nLPD et au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès à vos données.
• Droit de rectification de données inexactes.
• Droit à l'effacement ("droit à l'oubli").
• Droit à la limitation du traitement.
• Droit à la portabilité des données.
• Droit d'opposition au traitement basé sur l'intérêt légitime.
• Droit de retirer votre consentement à tout moment, sans effet rétroactif.

Pour exercer ces droits, contactez-nous à contact@acidstudio.ch. Nous répondons sous 30 jours maximum.

10. Réclamations

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès :

• En Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT) — edoeb.admin.ch
• En France : Commission Nationale de l'Informatique et des Libertés (CNIL) — cnil.fr
• Autres pays UE : votre autorité de contrôle nationale (liste sur edpb.europa.eu).

11. Modifications

Cette politique peut évoluer. La version en vigueur est toujours celle publiée sur cette page, datée en haut. Pour les changements substantiels, nous notifierons les clients actifs par email.