Déclaration de protection des données

Avec information sur les cookies et le stockage du navigateur · État: 29 septembre 2026

1. Objet

La présente déclaration de protection des données décrit comment 2TECH Technology AG («nous») traite des données personnelles lorsque vous utilisez le site web et l’application de comptabilité Kalex24 à l’adresse https://login.kalex24.ch. La page de connexion de l’application se trouve à cette adresse. La section 11 contient l’information sur les cookies et sur le stockage dans votre navigateur.

2. Responsable du traitement et contact

Siège

Köniz

IDE

CHE-165.129.728

Courriel, également pour les questions de protection des données

info@2tech.ch

Téléphone

+41 31 360 91 47

Vous trouverez d’autres informations dans les mentions légales.

3. Nos deux rôles

Nous sommes responsable du traitement des données personnelles que nous traitons nous-mêmes pour exploiter le site web et l’application: comptes d’utilisateur, connexion et sessions, protection contre les abus, journaux techniques et vos demandes (sections 4.1 à 4.3).

Nous sommes sous-traitant pour les contenus que les entreprises saisissent dans Kalex24, par exemple les écritures, les pièces justificatives, les contacts, les mouvements bancaires, les données salariales des collaborateurs, les rappels, les modèles de documents, les données de base importées et la piste d’audit. Le responsable de ces données est l’entreprise qui utilise Kalex24. Lorsqu’une fiduciaire tient la comptabilité de ses mandants dans Kalex24, elle est en règle générale leur sous-traitante, et nous traitons les données en qualité de sous-traitant ultérieur. Nous ne traitons ces contenus que de la manière dont le responsable du traitement serait lui-même en droit de le faire (art. 9, al. 1, let. a, LPD). Avec les entreprises qui utilisent Kalex24 avec des données réelles, nous concluons un contrat de sous-traitance qui en règle les détails.

Si vous êtes concerné en tant que collaboratrice ou collaborateur, cliente ou client, fournisseuse ou fournisseur, mandante ou mandant d’une telle entreprise, veuillez vous adresser à cette entreprise pour obtenir des renseignements et exercer vos autres droits. Elle reste tenue de fournir les renseignements même lorsqu’elle fait traiter des données par nous (art. 25, al. 4, LPD). Nous l’y assistons.

Les entreprises soumises à un secret professionnel légal (par exemple selon l’art. 321 CP) vérifient elles-mêmes si une obligation de garder le secret interdit de nous confier le traitement (art. 9, al. 1, let. b, LPD).

4. Données personnelles traitées

4.1 Lors de la consultation du site web et de l’application

• Cloudflare. Chaque requête passe d’abord par le réseau de Cloudflare, Inc. (États-Unis), qui dessert notre adresse en tant que fournisseur DNS et proxy placé en amont. Cloudflare déchiffre la connexion et voit donc l’ensemble du trafic, y compris votre adresse IP, les adresses consultées, les indications du navigateur, les données de connexion et tous les contenus que vous affichez ou saisissez dans l’application. Cloudflare compresse aussi elle-même les réponses de l’application. Les journaux que Cloudflare conserve et leur durée sont régis par les conditions de Cloudflare. Voir aussi les sections 6 et 7.
• Notre serveur web (nginx) journalise pour chaque requête: l’adresse réseau de la connexion entrante (derrière Cloudflare, en règle générale une adresse de Cloudflare), l’heure, la méthode, le chemin sans paramètres de requête, le statut, la taille de la réponse, l’identifiant du navigateur (user-agent) et la durée de traitement. En cas d’erreur, le journal d’erreurs du serveur web peut contenir la ligne de requête complète, paramètres compris. Pour le compteur par adresse réseau (section 4.2), l’application utilise l’adresse réseau que notre serveur web lui indique pour la requête, à défaut l’adresse de la connexion entrante.
• L’application elle-même écrit pour chaque requête une ligne dans le journal du serveur: l’heure, un identifiant de requête aléatoire, la méthode, le modèle du chemin appelé (sans identifiants, termes de recherche ni paramètres de requête), le statut et la durée de traitement. Elle ne journalise ni l’adresse IP, ni l’adresse électronique, ni les cookies, ni le contenu de la requête. Votre navigateur reçoit le même identifiant de requête dans la réponse (X-Request-Id). En cas d’erreur interne inattendue, l’application écrit en outre un code d’erreur, un message d’erreur et l’identifiant de requête dans le journal. Pour le journal des accès par entreprise, voir la section 4.2.

4.2 Compte d’utilisateur, connexion, protection contre les abus et accès

• Compte d’utilisateur: nom, adresse électronique, mot de passe et date de création. Nous n’enregistrons le mot de passe que sous forme de hachage salé (procédé Argon2id; un mot de passe défini auparavant reste haché avec le procédé scrypt jusqu’à la prochaine connexion), jamais en clair.
• Mot de passe provisoire: lorsqu’un compte d’utilisateur est créé avec un mot de passe provisoire que nous avons choisi, l’administration du système de l’application peut exiger que vous définissiez votre propre mot de passe. Nous enregistrons à cet effet votre identifiant d’utilisateur, le motif, l’identifiant d’utilisateur de la personne de l’administration du système qui l’a exigé, l’heure de la demande et l’heure à laquelle vous avez défini votre propre mot de passe. Jusque-là, vous pouvez seulement, après la connexion, modifier votre mot de passe ou vous déconnecter.
• Affiliations: entreprise, rôle (lecteur, éditeur, comptable ou titulaire), statut et dates. Pour certains comptes, en outre la qualité d’«administrateur système».
• Invitations: adresse électronique de la personne invitée, rôle prévu, personne qui invite et dates. Un lien d’invitation est valable 7 jours et une seule fois; seul un hachage du lien est enregistré. Nous n’envoyons pas de courriels: la personne qui invite transmet elle-même le lien. Nous recevons ces indications de la personne qui invite, et non de vous. Elles restent enregistrées même si l’invitation expire, est révoquée ou si vous n’ouvrez jamais de compte (section 8).
• Session: après la connexion, nous plaçons un cookie de session (section 11). Sur le serveur, nous enregistrons à cet effet un hachage de la clé de session, votre identifiant d’utilisateur, une clé de protection contre les requêtes falsifiées (jeton CSRF), l’heure d’expiration et l’heure de la dernière utilisation (mise à jour au plus une fois par minute).
• Compteurs d’échecs de connexion: pour chaque adresse électronique saisie lors de la connexion, nous enregistrons dans la base de données une valeur de hachage de l’adresse (SHA-256, et non l’adresse elle-même), le nombre d’échecs, l’heure de la dernière tentative et un éventuel délai d’attente. Il en va de même pour les adresses auxquelles aucun compte ne correspond. Les 10 premiers échecs restent sans conséquence; ensuite, un délai d’attente de 30 secondes s’applique, qui double jusqu’à 15 minutes au plus. Le compte n’est jamais bloqué. Une connexion complète efface le compteur.
• Compteurs par adresse réseau: pour l’adresse réseau d’où provient une tentative de connexion (pour IPv6, les 64 premiers bits), nous enregistrons dans la base de données une valeur de hachage de l’adresse (SHA-256, et non l’adresse elle-même), le nombre de tentatives de la minute en cours, le début de cette minute et l’heure de la dernière tentative. Au plus 20 tentatives de connexion par minute sont possibles par adresse; une connexion avec le bon mot de passe n’est pas comptée. Il s’agit de votre adresse IP si notre serveur web l’indique à l’application, à défaut de l’adresse de la connexion entrante, partagée alors par de nombreuses personnes (section 4.1).
• Compteurs de courte durée en mémoire vive: nous comptons en outre les tentatives de modification du mot de passe par utilisateur (au plus 5 par minute) et les requêtes de la recherche au registre du commerce par utilisateur (au plus 30 par minute et 300 par jour). Ces compteurs se trouvent uniquement en mémoire vive et sont perdus lors d’un redémarrage du serveur.
• Événements de sécurité: nous tenons pour chaque compte d’utilisateur un journal des événements de sécurité. Aujourd’hui, chaque modification du mot de passe y est consignée avec l’identifiant d’utilisateur, le type d’événement, l’heure et l’identifiant aléatoire de la requête à l’origine de l’événement, de même que chaque demande de définir un mot de passe personnel (avec en outre l’identifiant d’utilisateur de la personne qui l’a exigé) et son exécution. Les connexions, les déconnexions et la fin d’une session après 30 minutes d’inactivité n’y sont consignées que si l’authentification à deux facteurs est en service pour le compte ou pour l’installation, ce qui n’est pas le cas sur cette instance. Ce journal ne contient ni adresse IP, ni adresse électronique, ni mot de passe ou autre secret.
• Authentification à deux facteurs: le logiciel comprend une authentification à deux facteurs avec des codes à usage unique d’une application d’authentification et des codes de récupération. Elle n’est pas active sur cette instance; aucune donnée n’est traitée à ce titre aujourd’hui. Nous compléterons la présente déclaration avant de la mettre en service.
• Journal des accès par entreprise: lorsqu’une personne ouvre ou modifie les données d’une entreprise, l’application consigne, par personne, entreprise et jour civil, au plus une entrée «ouverte» et une entrée «modifiée», chacune avec l’identifiant d’utilisateur, le jour, l’heure et le type d’accès (affiliation directe ou par une fiduciaire). L’adresse IP, l’adresse consultée, les termes de recherche et l’adresse électronique ne sont pas enregistrés. Les titulaires de l’entreprise peuvent consulter ce journal avec le nom des personnes. Les entrées sont protégées contre toute modification et suppression.
• Piste d’audit: lorsque vous saisissez ou modifiez quelque chose dans une entreprise, la piste d’audit de cette entreprise consigne votre identifiant d’utilisateur, l’heure, l’action, l’objet concerné et certaines indications. Il en va de même pour les exportations, notamment l’export de l’entreprise, les listes CSV, la sauvegarde complète de la base de données, la QR-facture et la sortie PDF de rapports. Lorsque la ou le titulaire d’une entreprise vous invite, la piste d’audit consigne votre adresse électronique en clair, le rôle prévu et la date d’expiration de l’invitation, et en cas de révocation de l’invitation, à nouveau votre adresse électronique. La piste d’audit fait partie de la comptabilité de l’entreprise, donc des contenus des clients au sens de la section 3. Ses entrées sont protégées dans Kalex24 contre toute modification et suppression et font partie de l’export de l’entreprise et des copies de sauvegarde. Pour chaque entrée créée lors d’une requête adressée à l’application, nous enregistrons séparément l’identifiant de requête aléatoire; il est protégé de la même manière et fait partie des copies de sauvegarde, mais pas de l’export de l’entreprise.

4.3 Lorsque vous nous écrivez

Lorsque vous nous contactez par courriel, nous traitons votre adresse, le contenu de votre message et l’heure afin de répondre à votre demande. La boîte aux lettres info@2tech.ch est exploitée pour notre compte par Hostpoint AG, Suisse.

4.4 Fonctions de l’application traitant des contenus des clients

Les fonctions suivantes traitent des contenus des clients au sens de la section 3 pour le compte de l’entreprise qui utilise Kalex24:

• Recherche au registre du commerce (Zefix). Lorsque vous saisissez des clients, des fournisseurs ou les données de votre entreprise, Kalex24 peut, à votre demande, interroger Zefix – Index central des raisons de commerce de l’Office fédéral du registre du commerce (OFRC, Office fédéral de la justice, Berne). Notre serveur transmet à cet effet le terme de recherche saisi (raison de commerce ou partie de celle-ci, IDE, numéro CH ou numéro OFRC) avec les données de connexion techniquement nécessaires (adresse de notre serveur, heure, notre identifiant d’accès à l’interface) au service www.zefix.admin.ch. Votre propre adresse IP, votre nom et d’autres données de votre comptabilité ne sont pas transmis; votre navigateur ne se connecte pas lui-même à Zefix. L’OFRC traite ces indications sous sa propre responsabilité; il n’est pas notre sous-traitant. Kalex24 ne lance une recherche automatique, dès trois caractères saisis, que lorsque vous saisissez un contact en tant qu’entreprise, jamais pour une personne privée, ainsi que dans le champ de recherche de votre propre entreprise, après que vous l’avez ouvert dans les données de l’entreprise. Dans le champ client ou fournisseur d’un document, Kalex24 ne recherche que si vous choisissez expressément «Rechercher dans le registre du commerce». Le but est la reprise de données publiques du registre du commerce (raison de commerce, IDE, forme juridique, siège, adresse, statut) dans vos données de base. Nous ne journalisons pas les termes de recherche. Nous conservons les résultats de recherche au plus 10 minutes et les données détaillées d’une entreprise au plus 60 minutes dans la mémoire vive du serveur, afin d’éviter des requêtes répétées. Les indications que vous reprenez sont enregistrées avec le contact ou avec votre entreprise, accompagnées de la source et de la date de consultation. La recherche au registre du commerce est activée pour chaque entreprise jusqu’à ce qu’une ou un titulaire de l’entreprise la désactive dans les paramètres; les mémoires intermédiaires de cette entreprise sont alors également vidées. Veuillez ne pas saisir le nom de personnes privées qui ne sont pas inscrites au registre du commerce.
• Accès des fiduciaires. L’application comprend des fonctions permettant à une fiduciaire d’accéder aux entreprises de ses mandants. Elles ne traitent des données que si nous mettons en place une fiduciaire et qu’une entreprise lui confie un mandat. Nous traitons alors le nom et l’IDE de la fiduciaire, ses collaborateurs avec leur rôle, leur statut et la confirmation de leur identité, les invitations (adresse électronique, rôle; valables 72 heures), les offres de mandat (nom et IDE du mandant, étendue) ainsi que les attributions et les suppléances. Les modifications des mandats, des attributions et des suppléances figurent dans la piste d’audit du mandant avec le nom de la personne et de la fiduciaire, et non avec son adresse électronique.
• Modèles de documents. Pour les factures et d’autres documents, une entreprise peut déposer un logo (PNG ou JPEG, au plus 512 Ko et 2000 pixels par côté), des pieds de page et des textes. Les logos téléversés et les versions publiées restent enregistrés sans modification, afin que les documents émis restent traçables; ils ne peuvent pas être supprimés dans Kalex24. La piste d’audit consigne à cet égard des identifiants, des versions, des tailles et des valeurs de hachage, mais ni les textes ni les noms de fichiers.
• Import de données de base. Les contacts et les articles peuvent être repris d’un fichier CSV ou Excel (au plus 5 Mo). Nous enregistrons le fichier téléversé avec son nom et sa valeur de hachage auprès de l’entreprise, y compris les colonnes qui ne sont pas reprises. Si vous abandonnez un import avant la reprise, nous supprimons le fichier et les lignes. Après la reprise, le fichier reste enregistré et fait partie de l’export de l’entreprise.
• Rappels. À partir des factures ouvertes, Kalex24 établit des propositions de rappel, des séries de rappels et des rappels en PDF avec le nom et l’adresse du client. Kalex24 n’envoie pas elle-même les rappels.
• Sortie PDF et aperçu. Notre serveur produit les documents PDF au moyen d’un programme local; aucun service externe n’intervient. L’aperçu affiche le document dans votre navigateur à partir d’une mémoire temporaire, libérée à la fermeture de l’aperçu.

4.5 Données dans votre navigateur

Les indications que l’application enregistre dans votre navigateur figurent à la section 11.

4.6 Ce que nous ne faisons pas

• L’application n’intègre aucun service d’analyse, de suivi ou de publicité, aucune fonction de réseaux sociaux, aucune police externe et aucune source de scripts externe. Votre navigateur ne charge des contenus que depuis notre propre adresse, sauf si vous suivez vous-même un lien vers un autre site web.
• L’application n’envoie pas de courriels et n’utilise aucun service d’intelligence artificielle.
• L’application n’établit de connexion avec un tiers que pour la recherche au registre du commerce selon la section 4.4, et uniquement à votre demande.
• En tant que responsable du traitement, nous ne prenons aucune décision individuelle automatisée au sens de l’art. 21 LPD et ne procédons à aucun profilage.
• Nous ne vendons pas de données personnelles et ne les communiquons pas à des fins publicitaires.

4.7 Fonctions prévues

Les fonctions suivantes n’existent pas encore. Nous compléterons la présente déclaration avant la mise en service de l’une d’elles: courriels de l’application (par exemple pour les invitations ou la réinitialisation du mot de passe), connexion par clés d’accès (passkeys), autorisations de support et accès pour les organes de révision, preuve de l’acceptation des conditions contractuelles, facturation d’un abonnement et enregistrement d’une adresse IP tronquée lors d’événements de sécurité.

5. Finalités et justification

Nous traitons les données visées aux sections 4.1 à 4.3 pour

• mettre à disposition le site web et l’application et exécuter les contrats conclus avec nos clientes et clients,
• gérer les comptes d’utilisateur, les affiliations et les rôles et limiter les accès à l’entreprise concernée,
• maintenir la connexion et protéger l’application contre les abus (session, jeton CSRF, compteurs de tentatives de connexion, événements de sécurité),
• surveiller l’exploitation, analyser les erreurs et sauvegarder et restaurer les données,
• rendre traçable, pour le compte de nos clientes et clients, qui a saisi ou ouvert quoi dans une entreprise (piste d’audit, journal des accès),
• interroger et reprendre, pour le compte de nos clientes et clients et à leur demande, des données publiques du registre du commerce (section 4.4),
• répondre à vos demandes et
• remplir nos obligations légales.

Nous n’utilisons les données qu’à ces fins ou à des fins compatibles avec celles-ci (art. 6, al. 3, LPD). Dans la mesure où un traitement doit être justifié, nous nous fondons sur le contrat conclu avec vous ou avec l’entreprise pour laquelle vous utilisez Kalex24, sur notre intérêt prépondérant à mettre l’application à la disposition de cette entreprise et à assurer une exploitation stable et protégée contre les abus, ou sur une obligation légale (art. 31, al. 1, LPD).

6. Destinataires

7. Communication à l’étranger

Le serveur sur lequel l’application fonctionne avec l’ensemble des données enregistrées, des journaux et des copies de sauvegarde se trouve en Allemagne. Le Conseil fédéral a constaté que l’Allemagne, en tant qu’État membre de l’UE, garantit un niveau de protection adéquat (art. 16, al. 1, LPD; annexe 1 OPDo).

Cloudflare, Inc. a son siège aux États-Unis et exploite, selon ses propres indications, des centres de données dans plus de 100 États (liste sous www.cloudflare.com/network). Une requête est en règle générale déchiffrée dans un centre de données proche du lieu depuis lequel vous accédez; celui-ci peut se trouver hors de Suisse. Des données personnelles peuvent donc être communiquées dans les États suivants:

Les autres destinataires et leur lieu figurent dans le tableau de la section 6.

8. Conservation et effacement

9. Sécurité des données

Nous prenons des mesures techniques et organisationnelles au sens de l’art. 8 LPD. Elles comprennent aujourd’hui:

• une transmission chiffrée (HTTPS) avec HSTS,
• des mots de passe enregistrés uniquement sous forme de hachage salé (Argon2id),
• pour les nouveaux mots de passe, au moins 8 caractères et aucun mot de passe répandu; la vérification a lieu sur notre serveur à l’aide d’une liste fournie avec l’application, sans service de tiers,
• pour un compte doté d’un mot de passe provisoire, sur demande de l’administration du système, l’obligation de définir d’abord son propre mot de passe,
• un cookie de session illisible pour les scripts, non transmis lors de requêtes provenant de sites web tiers et qui ne peut être placé que par notre propre adresse,
• une déconnexion automatique après 30 minutes d’inactivité et au plus tard 12 heures après la connexion,
• un jeton CSRF ainsi que la vérification de l’adresse du serveur et de l’origine de chaque requête de modification,
• des délais d’attente après des échecs de connexion répétés, par adresse électronique et par adresse réseau,
• des rôles et des affiliations par entreprise,
• des données comptabilisées, une piste d’audit et un journal des accès protégés dans l’application contre toute modification et suppression,
• une copie de sauvegarde vérifiée avant chaque modification du logiciel.

Ne sont pas encore en place, notamment: l’authentification à deux facteurs sur cette instance, le chiffrement de la base de données et des copies de sauvegarde par nos soins, une copie de sauvegarde hors du serveur, une surveillance externe et un test d’intrusion indépendant. Les personnes disposant de droits d’administrateur sur le serveur peuvent techniquement accéder à toutes les données enregistrées. Un compte ayant la qualité d’«administrateur système» peut télécharger une sauvegarde complète de la base de données dès qu’il est membre d’une entreprise.

10. Vos droits

Vous pouvez notamment faire valoir les droits suivants à notre égard en tant que responsable du traitement:

• le droit d’obtenir des renseignements sur le fait que nous traitons ou non des données personnelles vous concernant et sur lesquelles (art. 25 LPD). Veuillez présenter votre demande par écrit; la forme électronique à l’adresse info@2tech.ch suffit (art. 16 OPDo). Nous devons pouvoir vous identifier. Nous répondons dans un délai de 30 jours (art. 18 OPDo). Les renseignements sont gratuits; en cas d’efforts disproportionnés seulement, nous pouvons demander une participation aux frais de CHF 300 au plus et vous en communiquons le montant au préalable (art. 19 OPDo);
• la remise ou la transmission des données personnelles que vous nous avez communiquées, dans un format électronique courant (art. 28 LPD);
• la rectification de données personnelles inexactes (art. 32, al. 1, LPD). Sont exceptées les données dont une disposition légale interdit la modification; les données comptabilisées ne sont donc pas écrasées, mais corrigées par une contre-écriture;
• l’opposition à un traitement et l’effacement (art. 30, al. 2, let. b, et art. 32, al. 2, LPD), pour autant qu’aucune obligation légale ni aucun intérêt prépondérant ne s’y oppose.

Nous pouvons refuser, restreindre ou différer la communication des renseignements dans les cas prévus par la loi et motivons notre décision (art. 26 LPD).

Contenus des clients. Pour les données que nous traitons en qualité de sous-traitant (section 3), veuillez vous adresser à l’entreprise qui utilise Kalex24. Si une telle demande nous parvient, nous la transmettons à cette entreprise.

Autorité de surveillance. Vous pouvez adresser une dénonciation au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch (art. 49 LPD).

11. Cookies et stockage du navigateur

L’application n’enregistre dans votre navigateur que les indications dont elle a besoin pour la connexion et pour vos réglages d’affichage. Nous ne plaçons aucun cookie ni aucune entrée de stockage à des fins d’analyse, de publicité ou de suivi et n’intégrons aucun service de tiers qui en placerait. Le tableau suivant indique chaque entrée que l’application peut écrire.

Les entrées du stockage local et du stockage de session restent dans votre navigateur. L’application transmet au serveur avec les requêtes l’identifiant de l’entreprise choisie, afin que celui-ci fournisse les données de la bonne entreprise, et, pour la recherche au registre du commerce, la langue choisie; les autres entrées ne sont utilisées que par le navigateur.

Cloudflare. Notre prestataire placé en amont, Cloudflare (section 6), peut placer ses propres cookies pour des raisons de sécurité. Lors de nos sondages sans connexion, Cloudflare n’a placé aucun cookie.

Refus. Vous pouvez bloquer ou effacer les cookies et le stockage du navigateur dans les paramètres de votre navigateur (art. 45c, let. b, LTC). Sans le cookie de session, la connexion n’est pas possible. Sans les autres entrées, les réglages standard s’appliquent.

12. Modifications

Nous adaptons la présente déclaration lorsque nos traitements changent, en particulier avant la mise en service des fonctions visées à la section 4.7 et de l’authentification à deux facteurs, en cas de changement d’hébergement et lorsque des copies de sauvegarde sont établies dans un autre lieu. La version publiée sous https://login.kalex24.ch/rechtliches/fr/datenschutz.html, avec son état, fait foi.