Déclaration de protection des données

Responsable du traitement

Deux rôles, et pourquoi la différence compte

Pour ton compte, Bilanzi est responsable : ton adresse e-mail, tes connexions, ton deuxième facteur, ta langue. Ces données lui servent à te laisser entrer et à tenir ton compte.

Pour la comptabilité de ton entreprise, il ne l’est pas. Les justificatifs, contacts, factures et écritures appartiennent à l’entreprise. Bilanzi les traite sur son mandat et selon ses instructions, et ne s’en sert pour rien d’autre, ni analyses, ni publicité, ni amélioration d’un modèle.

Concrètement : les questions sur ton compte, l’exploitant y répond. Les questions sur les chiffres d’une entreprise, cette entreprise y répond ; elle seule décide des rôles et de qui voit quelle ligne.

Quelles données, dans quel but

Ce que Bilanzi ne collecte pas : aucun identifiant publicitaire, aucun profilage, aucune vente ni transmission à des annonceurs ou à des courtiers en données. Les visites des pages publiques sont comptées, celles de l’espace de travail non ; comment, tu le lis plus bas.

Où sont les données, et qui d’autre y touche

Bilanzi fait appel à quelques services pour fonctionner. Chacun de ceux qui touchent à des données personnelles figure ici, avec ce dont il se charge et le lieu où il traite.

Bilanzi n’envoie pas de SMS : le deuxième facteur est une application d’authentification sur ton appareil. Twilio ne sert qu’à WhatsApp.

Cloudflare, Resend, Umami, Google, Apple, Stripe, Twilio, WhatsApp, Slack, le service de recherche et l’outil de développement avec IA traitent hors de Suisse. Cloudflare, Resend, Google, Apple, Stripe, Twilio, WhatsApp, Slack, le service de recherche et l’outil de développement traitent aussi des données aux États-Unis. Nous l’indiquons parce que c’est une différence que tu dois connaître avant de t’engager.

Connexion avec Google et avec Apple

Outre l’e-mail et le mot de passe, tu peux te connecter avec Google ou avec Apple. Cela figure séparément parce qu’une autre entreprise apprend alors que tu existes chez Bilanzi.

Bilanzi reçoit ton adresse e-mail, la confirmation qu’elle est bien la tienne et l’identifiant sous lequel Google ou Apple tient ton compte. Google transmet en plus ton nom et ta photo de profil, s’ils existent. Apple n’envoie pas de nom. Rien de plus n’est demandé : aucun accès aux contacts, à l’agenda, aux fichiers ou aux messages.

Google, respectivement Apple, apprend que tu t’es connecté à Bilanzi, et quand. Ce que tu fais ensuite dans Bilanzi, aucune des deux entreprises ne l’apprend.

Si tu choisis « Masquer mon e-mail » chez Apple, Bilanzi reçoit une adresse de redirection à la place de la tienne. Cela fonctionne, mais conduit à un compte distinct, qui ne se confond pas avec un compte existant.

Bilanzi n’apprend en aucun cas ton mot de passe, et Google et Apple n’en apprennent jamais un. La connexion passe par auth.bilanzi.ch, l’adresse de connexion de Bilanzi chez Supabase. L’échange repose sur un secret valable une seule fois, qui n’atteint jamais le navigateur.

Le traitement de ces données repose sur le contrat relatif à ton compte. La participation de Google ou d’Apple repose sur ton consentement : c’est toi qui choisis cette voie, à chaque connexion. Tu n’en dépends pas, puisque l’e-mail et le mot de passe mènent au même endroit.

Google et Apple sont eux-mêmes responsables des données de connexion. Pour les personnes en Suisse, il s’agit selon leurs propres indications de Google Ireland Limited et d’Apple Distribution International Ltd., toutes deux en Irlande. Toutes deux traitent aussi des données aux États-Unis.

Pour les États-Unis, le Conseil fédéral n’a reconnu un niveau de protection adéquat que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. La manière dont Google et Apple encadrent ce transfert figure dans leurs déclarations de protection des données :

• Google : https://policies.google.com/privacy
• Apple : https://www.apple.com/legal/privacy/

L’app pour iPhone et Android

Bilanzi existe aussi en app pour iPhone, iPad et Android. Elle affiche le même espace de travail que bilanzi.ch et parle au même serveur. Ce qui figure sur cette page vaut donc aussi dans l’app, et le traitement repose de même sur le contrat relatif à ton compte.

Sur le téléphone, l’app n’enregistre rien de ta comptabilité. Seule exception : les justificatifs que tu photographies sans réseau ou que tu partages avec Bilanzi. Ils restent dans la mémoire de l’app, hors de toute sauvegarde chez Apple ou Google, jusqu’à ce que le serveur les ait acceptés. L’app les efface ensuite.

Quand tu photographies un justificatif, le scanner fonctionne sur le téléphone : sur l’iPhone, VisionKit d’Apple, sous Android, le scanner de documents de Google issu des services Google Play. L’image ne va qu’à Bilanzi. Le scanner de Google envoie à Google des indications sur l’appareil et l’utilisation, par exemple la version et la durée d’un scan, mais aucune image. Google est lui-même responsable de ces indications.

Si tu protèges l’app avec ton visage ou ton empreinte digitale, c’est le téléphone qui vérifie. L’app apprend seulement si la vérification a réussi. Les caractéristiques de ton visage ou de ton doigt ne quittent pas le téléphone, et le serveur de Bilanzi n’apprend rien de la vérification.

Dans l’app, la connexion avec Google ou Apple passe par le navigateur du téléphone, puis revient dans l’app. Ce qui figure plus haut sur la connexion s’applique.

Tu peux télécharger l’app dans l’App Store d’Apple et sur Google Play. Apple et Google apprennent alors que tu l’as téléchargée, selon leurs propres conditions. L’app ne contient aucune bibliothèque de publicité ou de statistiques, et elle ne te suit pas à travers les apps et sites web d’autres fournisseurs.

Ce que nous demandons à l’inscription

Après ton inscription, nous t’écrivons pour t’aider à démarrer : peu après pour te souhaiter la bienvenue, après un, trois et sept jours au sujet des premières étapes encore ouvertes, et si tu travailles avec Bilanzi, après deux semaines avec un conseil et après un mois avec un bilan. Cela fait au maximum six messages en trente jours et au maximum un par jour. Sauf le message de bienvenue, nous envoyons en journée, à l’heure suisse. Les messages mentionnent ton prénom si ton compte le connaît et comptent les justificatifs, factures et relevés bancaires que tu as saisis, sans montant ni contenu. Si tu as indiqué un logiciel précédent à l’inscription, nous te signalons une fois le déménagement. Les comptes qui existaient déjà le 10 novembre 2026 ont été ajoutés une fois à cette série, à l’endroit qui leur correspond, sauf s’ils s’étaient désabonnés de la newsletter. Les messages sur Autopilot présentent une aide adaptée. Le lien de chaque message désactive tous ces messages, indépendamment de la newsletter. Nous conservons dans notre base la date d’inscription, le premier choix, les jours de visite, les envois et les achats. Nous mesurons les retours et achats par source et date d’inscription, sans contenu comptable ni suivi tiers. Ces données sont supprimées avec ton compte. Le but est de faciliter tes premiers pas et d’améliorer notre offre.

À l’inscription, Bilanzi pose quelques questions facultatives : si tu diriges ta propre entreprise, si tu travailles pour une fiduciaire ou autre chose, avec quel logiciel tu tiens ta comptabilité aujourd’hui, et si tu veux nous dire quelque chose. Tu peux laisser chaque question vide. L’inscription fonctionne quand même.

Bilanzi enregistre aussi la langue dans laquelle tu t’es inscrit et la source indiquée dans le lien qui t’a amené, s’il en porte une. C’est un mot contenu dans le lien lui-même, par exemple le nom d’une newsletter.

L’exploitant lit ces réponses pour comprendre d’où viennent les gens et ce dont ils ont besoin. Elles ne sont transmises à personne et ne servent ni à la publicité ni à un profil. Elles sont stockées dans la base de données à Zurich.

Ces réponses restent jusqu’à la suppression de ton compte. Si tu veux les faire effacer plus tôt, un message à l’exploitant suffit.

Du 15 au 22 septembre 2026, ce site proposait un formulaire de demande de test. Il n’est plus en service. Les demandes reçues par ce biais restent enregistrées jusqu’à ce que tu en demandes l’effacement : nom, adresse e-mail, entreprise, rôle, message et langue.

Quand tu donnes un commentaire

Si vous acceptez expressément « Pouvons-nous vous contacter au sujet de votre retour ? » lors de la fermeture d’une entreprise ou de la suppression de votre compte, Bilanzi conserve votre adresse e-mail avec votre retour, même après la suppression du compte. Elle sert uniquement à vous répondre ou à vous informer des suites données. Vous pouvez retirer votre consentement à tout moment auprès de l’exploitant.

Dans l’espace de travail, « Donner un commentaire » te permet de signaler une erreur ou de proposer quelque chose. Bilanzi enregistre ton texte et le type de commentaire. S’y ajoutent l’écran et l’adresse où tu te trouvais, le nom de l’entreprise ouverte, ton navigateur, la taille de la fenêtre, la langue et ton adresse e-mail.

L’exploitant lit chaque commentaire et décide s’il sera mis en œuvre. Publiquement, Bilanzi ne montre que le numéro et le domaine d’un commentaire et leur nombre, jamais leur texte.

Chaque nouveau commentaire est signalé à l’exploitant dans un canal interne chez Slack, un prestataire aux États-Unis. Y sont transmis le numéro, le type, l’écran et les 300 premiers caractères du texte. Ton adresse e-mail et le nom de l’entreprise n’y sont pas transmis.

Quand l’exploitant accepte un commentaire, celui-ci est confié pour sa mise en œuvre aux agents d’IA avec lesquels Bilanzi est développé. Ceux-ci fonctionnent chez un prestataire aux États-Unis. Sont transmis le numéro, le type, le texte, l’écran et la date. Ton adresse e-mail et le nom de l’entreprise restent dans Bilanzi.

Quand ton commentaire est mis en œuvre ou reçoit une réponse, tu reçois un e-mail. Une réponse personnelle de l’exploitant peut aussi venir de sa propre boîte aux lettres.

Les commentaires restent enregistrés jusqu’à ce que tu demandes leur suppression.

Nouveautés par e-mail

De temps en temps, l’exploitant t’écrit ce qui est nouveau dans Bilanzi. L’e-mail part à chaque compte dont l’adresse est confirmée. Il vient d’une adresse en bilanzi.ch, et si tu réponds, tu atteins l’exploitant.

Pour cela, Bilanzi utilise ton adresse e-mail, la langue de ton espace de travail et ton prénom, si tu l’as indiqué sous Mon compte. Si tu te connectes avec Google, Bilanzi prend le premier mot du nom que Google transmet, jusqu’à ce que tu y indiques autre chose.

Bilanzi compte si un e-mail a été distribué, refusé ou signalé comme spam, si tu l’as ouvert et sur quels liens tu as cliqué. L’ouverture est signalée par une image invisible que ta messagerie charge depuis bilanzi.ch. Un clic passe d’abord par bilanzi.ch, puis continue. Si ta messagerie ne charge pas les images, l’ouverture n’est pas comptée.

L’exploitant voit ces chiffres additionnés par numéro, pour comprendre ce qui intéresse les gens. Ils ne servent à aucune publicité et ne sont transmis à personne. Ils se trouvent dans la base de données à Zurich et y restent jusqu’à ce que tu demandes leur suppression ou que ton compte soit supprimé.

Ces e-mails reposent sur ton compte chez Bilanzi : qui utilise une offre peut être informé d’offres semblables du même fournisseur, tant qu’il peut refuser à tout moment (art. 3, al. 1, let. o LCD).

Tu peux te désabonner à tout moment : avec le lien en bas de chaque e-mail, avec le bouton de désabonnement de ta messagerie ou sous Mon compte. Les e-mails liés à ton compte, par exemple un nouveau mot de passe, continuent de te parvenir.

Lettres aux entreprises nouvellement inscrites

Chaque jour ouvrable, Bilanzi lit les nouvelles inscriptions dans la Feuille officielle suisse du commerce (FOSC) : raison sociale, IDE, forme juridique, siège, adresse avec c/o, but et capital. Le registre du commerce est public, et ses données peuvent être utilisées (art. 14 ORC).

Bilanzi écrit aux petites entreprises une lettre sur papier avec une offre. Des règles fixes écartent les holdings, les sociétés immobilières et les sociétés boîtes aux lettres. L’IA d’Infomaniak en Suisse attribue le reste à une branche. L’exploitant valide ce qui part, et un tirage au sort décide qui reçoit une lettre.

Dans une entreprise individuelle et une société en nom collectif, la raison sociale contient le nom d’une personne. C’est pourquoi cette page dit qui écrit, dans quel but et d’où vient l’adresse : la Mainbranch GmbH, comme publicité pour Bilanzi, à partir de la FOSC. La lettre le dit aussi en petit.

La lettre porte un code personnel. Qui l’ouvre trouve son entreprise préparée sur bilanzi.ch. Bilanzi compte si le code a été ouvert et si un compte et une entreprise avec le même IDE ont ensuite été créés. Bilanzi compte la même chose pour des entreprises sans lettre, afin de mesurer l’effet de la lettre.

Plus de courrier : sous bilanzi.ch/stopp avec le code de la lettre, ou par e-mail à l’adresse ci-dessus. L’entreprise est alors inscrite sur une liste de blocage et ne reçoit plus jamais de lettre (art. 30, al. 2, let. b LPD).

Ce qui est écarté ou ne reçoit pas de lettre, Bilanzi l’efface après 90 jours, sauf l’IDE et le motif. Les entreprises contactées restent 12 mois pour l’évaluation. La liste de blocage reste.

Bilanzi écrit de la même manière aux fiduciaires. Leur adresse provient du registre du commerce : d’une recherche dans Zefix avec des mots comme « Treuhand » ou « Buchhaltung », ou parce qu’une nouvelle entreprise de la FOSC a son domicile chez une fiduciaire. Les fiduciaires qui reçoivent une lettre peuvent aussi provenir de listes que l’exploitant établit à partir d’annuaires publics, mais leur adresse provient toujours du registre du commerce. Pour chaque lettre, Bilanzi compte si le code a été ouvert, si la vidéo a été regardée et si un compte a été ouvert. Pour ne plus recevoir de courrier, la marche est la même que ci-dessus, et la liste de blocage vaut pour les deux lettres. Bilanzi efface après 12 mois les fiduciaires qui n’ont pas reçu de lettre.

L’exploitant inscrit chaque fiduciaire contactée comme prospect dans son répertoire, avec le nom, l’IDE et l’adresse du registre du commerce, ainsi que la vague et le code de la lettre. Si une fiduciaire a ouvert le code, regardé la vidéo ou ouvert un compte, il se peut que quelqu’un de Bilanzi l’appelle une fois. Qui ne veut plus de courrier ne reçoit pas non plus d’appel. La fiduciaire reste dans le répertoire jusqu’à ce qu’elle en demande l’effacement.

Mesure de l’efficacité des annonces Google

Bilanzi fait de la publicité par des annonces dans la recherche Google et veut savoir lesquelles servent à quelque chose. Pour cela, aucun script de Google ne tourne sur bilanzi.ch, et ton navigateur ne parle à aucune adresse de Google.

Si tu viens d’une annonce Google, le lien porte un identifiant de clic attribué par Google et des indications sur la campagne. Ton navigateur les garde localement sous « bz_attr », avec la page d’arrivée, le nom de la page précédente sans son chemin et l’heure. L’entrée y reste jusqu’à l’inscription et expire après 90 jours. Bilanzi retire ces indications de la barre d’adresse juste après le chargement, pour qu’elles ne se retrouvent dans aucun lien partagé.

Si tu t’inscris, ces indications sont transmises à Bilanzi et enregistrées avec ton compte, dans la base de données à Zurich. L’exploitant lit les indications de campagne pour voir quelle campagne amène des inscriptions. Cela vaut aussi pour les liens avec des indications de campagne qui ne viennent pas de Google, par exemple d’une newsletter.

Si ton compte porte un identifiant de clic, Bilanzi indique à Google que ton clic a mené à une inscription, à une entreprise configurée ou à un abonnement. Une phrase sous le bouton « Créer le compte » te le signale. Tu peux t’y opposer à tout moment, comme décrit plus bas.

Google reçoit l’identifiant de clic, l’heure, le type d’événement et, pour un abonnement, le montant du premier paiement. Pas d’adresse e-mail, pas de nom et rien de ta comptabilité. Google vient chercher ces indications une fois par jour sous forme de fichier sur bilanzi.ch. Bilanzi n’autorise pas leur utilisation pour de la publicité personnalisée.

Pour les personnes en Suisse, la destinataire est Google Ireland Limited, en Irlande. Google traite aussi ces indications auprès de Google LLC, aux États-Unis. Pour les États-Unis, le Conseil fédéral a constaté un niveau de protection adéquat pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. Selon ses propres indications, Google LLC l’est.

Bilanzi efface l’identifiant de clic 90 jours après le clic. Les indications de campagne restent avec ton compte jusqu’à sa suppression.

Tu peux t’opposer à cette mesure à tout moment : dans l’espace de travail, sous Mon compte › Protection des données, avec la case « Ne pas utiliser pour mesurer les annonces Google », ou par e-mail à l’adresse indiquée plus haut. Ensuite, Bilanzi ne signale plus rien à ton sujet. Ce que Google a déjà reçu reste chez Google.

Rendez-vous avec Bilanzi

Sur bilanzi.ch, tu réserves un rendez-vous avec l’exploitant. Tu indiques pour cela ton nom, ton bureau, ton adresse e-mail, si tu veux un numéro de téléphone, un thème et téléphone ou vidéo. Ces données restent dans Bilanzi.

Les plages libres viennent de l’agenda Google de l’exploitant. Bilanzi n’y lit que les moments occupés, sans titres ni contenus.

Bilanzi inscrit ton rendez-vous dans cet agenda, sans toi comme participant et sans invitation de Google. Google reçoit seulement le nom de ton bureau, l’heure et un lien vers le rendez-vous chez Bilanzi. Si tu choisis la vidéo, Google crée en plus une salle Google Meet.

Google est alors sous-traitant de Bilanzi. La destinataire est Google Ireland Limited en Irlande, et Google traite des données aussi aux États-Unis. Selon ses propres indications, Google LLC est certifiée selon le Swiss-U.S. Data Privacy Framework.

Bilanzi t’envoie une confirmation par e-mail et te le rappelle 24 heures et une heure avant. Les liens qu’elle contient permettent de déplacer ou d’annuler.

Bilanzi efface le rendez-vous et ses e-mails 12 mois après le rendez-vous. Ton bureau reste comme contact dans le répertoire de l’exploitant, jusqu’à ce que tu demandes sa suppression.

Candidature comme fiduciaire fondatrice

Jusqu’au 30 octobre 2026, une fiduciaire pouvait poser sa candidature comme fiduciaire fondatrice, sur bilanzi.ch, par la lettre ou dans l’espace de travail. Bilanzi enregistrait pour cela la fiduciaire, la localité, le nom, l’adresse e-mail, si tu le voulais un numéro de téléphone et les réponses à trois questions. Si la candidature est arrivée par la lettre, son code y figure.

Bilanzi avait besoin de ces données pour décider de la candidature et répondre à la fiduciaire. Pour cela, la fiduciaire entrait comme prospect dans le répertoire de l’exploitant, et il recevait un message.

Une fiduciaire fondatrice voyait les idées de toutes les fiduciaires fondatrices, chacune avec le nom de la fiduciaire qui l’avait écrite. Une fiduciaire figurait parmi « Les fiduciaires fondatrices » seulement si elle l’avait accepté.

Le programme est terminé. Bilanzi n’accepte plus de candidature et ne montre plus d’idées ni de liste des fiduciaires fondatrices. Une candidature encore sans décision est refusée, et chaque place de fiduciaire fondatrice a pris fin.

Bilanzi efface une candidature refusée douze mois après la décision. Quand la place d’une fiduciaire fondatrice prend fin, Bilanzi efface le nom, l’adresse e-mail et le numéro de téléphone de la candidature après douze mois. Le nom et la localité de la fiduciaire, son numéro et ses idées restent dans l’historique des fiduciaires fondatrices. La fiduciaire reste comme contact dans le répertoire de l’exploitant, jusqu’à ce qu’elle demande sa suppression.

Payer avec Stripe

Tu paies les plans payants et le crédit lettres par Stripe Payments Europe Ltd., à Dublin, en Irlande. Pour payer et pour changer de moyen de paiement, Bilanzi te redirige vers des pages de Stripe. C’est là que tu indiques ta carte ou TWINT. Aucun script de Stripe ne tourne sur bilanzi.ch.

Tu choisis, changes et résilies ton plan dans Bilanzi. Seules les personnes qui administrent l’organisation peuvent le faire, et elles seules voient les paiements. Bilanzi prélève le renouvellement automatiquement sur le moyen de paiement enregistré. Depuis le 14 octobre 2026, un solde IA ne peut plus être rechargé, ni à la main ni automatiquement. Sur demande, l’exploitant rembourse un reste par Stripe. Pour un plan annuel, ou sans moyen de paiement enregistré, un e-mail arrive une semaine avant.

Pour l’achat d’un plan, Bilanzi transmet à Stripe le nom de l’organisation, l’adresse e-mail de la personne qui achète, la langue, le montant et des numéros internes pour l’organisation, le paiement et le plan. Pour la recharge du crédit lettres, Stripe reçoit seulement le montant, la langue et des numéros internes pour l’organisation et le paiement. Sur les pages de Stripe s’ajoutent tes données de paiement. Pour l’achat d’un plan, Stripe demande aussi l’adresse de facturation et, si tu veux l’indiquer, ton IDE ou ton numéro TVA. Stripe envoie la quittance par e-mail.

Bilanzi conserve en entier les messages de Stripe sur chaque paiement. On y trouve notamment le numéro de client, le montant, l’état du paiement, la marque, les quatre derniers chiffres et la date d’expiration de la carte ou TWINT, et le lien vers la quittance. Bilanzi ne voit jamais un numéro de carte complet.

Le traitement repose sur le contrat d’achat. Pour une partie des données, Stripe est lui-même responsable, par exemple pour la lutte contre la fraude et pour ses obligations légales. Stripe traite aussi des données aux États-Unis. La manière dont il encadre ce transfert figure dans sa déclaration de protection des données : https://stripe.com/privacy

Les paiements et les quittances font partie de la comptabilité de l’exploitant et sont conservés dix ans (CO art. 958f al. 1).

Quand un modèle lit un justificatif

Bilanzi peut faire lire un justificatif par un modèle de langue et en tirer une proposition d’écriture. Cette fonction existe dans les plans payants comme Autopilot, comprise dans le prix du plan. En Free, la ou le titulaire d’une entreprise peut essayer l’IA une fois sur quelques pages de justificatifs.

Dans les plans payants, un justificatif que tu téléverses dans la « Réception des justificatifs » ou que tu enregistres avec « Scanner un justificatif » part aussitôt vers le modèle. Les justificatifs reçus par e-mail ou WhatsApp sont lus dès que la lecture automatique est activée dans la « Réception des justificatifs ». À l’achat d’Autopilot, elle est activée, et tu peux la désactiver à tout moment. Ce qui attend pendant une pause de l’IA est lu le premier jour du mois suivant. En Free, un justificatif ne part qu’avec le bouton d’essai. Les fiches de salaire ne partent jamais.

Avec le justificatif partent le nom de ton entreprise, la monnaie, la date du jour, l’assujettissement ou non à la TVA, le nom du fichier et le plan comptable. Le modèle en a besoin pour proposer une écriture.

Le même modèle répond aux questions que tu poses à Bilanzi sur ta comptabilité. La question part alors avec un extrait des livres, limité à ce que tu as toi-même le droit de voir. Cet extrait peut contenir des noms de clients, de fournisseurs et de contreparties bancaires, des motifs de paiement, des chiffres du compte de résultat et le total du dernier calcul des salaires. S’y ajoutent les articles et les prix de ton catalogue. S’il s’agit d’un client précis, partent aussi ses personnes de contact avec fonction, e-mail et téléphone, ses dernières notes et activités, ses prochaines étapes ouvertes, ses offres et ses commandes.

Le même modèle propose des comptes pour les lignes bancaires, contrôle les écritures avant une clôture et rédige des textes pour les offres et les rappels, chaque fois seulement quand tu le déclenches. Pour la banque partent les lignes ouvertes avec contrepartie et motif de paiement, le plan comptable et les attributions que tu as déjà faites. Pour le contrôle partent des écritures isolées avec texte, montant, compte et code TVA. Pour un texte partent le nom du client et les positions de l’offre ou le montant ouvert de la facture.

Si une ligne bancaire contient une adresse web, le serveur de Bilanzi ouvre la page d’accueil de cette adresse et transmet au modèle son titre et sa description. Seule l’adresse elle-même sort, rien de ta comptabilité.

Si une ligne bancaire nomme une entreprise que Bilanzi ne connaît pas encore, le serveur de Bilanzi demande d’abord à un service de recherche avec IA, aux États-Unis, ce que fait cette entreprise. Ce service cherche pour cela sur le web. Seul le nom de l’entreprise sort, jamais le nom d’une personne, aucun montant et rien de ta comptabilité. La réponse part avec la ligne vers le modèle d’Infomaniak, et la proposition indique sa source à la fin.

Avec Autopilot pour les salaires, tu peux écrire à Bilanzi Lohn en une phrase ce qui s’est passé, par exemple qu’une personne s’en va ou change de taux d’occupation. Cela n’est possible que si la ou le titulaire a activé Autopilot pour les salaires, et seulement pour les personnes autorisées à écrire dans les salaires. Ta phrase ainsi que les prénoms et noms des collaborateurs de l’entreprise sont alors transmis au même modèle. Ce que tu écris dans la phrase est transmis avec elle, y compris une absence, un taux d’occupation ou un salaire. Le numéro AVS, la date de naissance, l’adresse, les coordonnées bancaires et le salaire des données de base ne sont pas transmis. Le modèle propose de qui et de quoi il s’agit, et c’est seulement quand tu confirmes la proposition qu’elle devient une annonce dans Bilanzi Lohn. Bilanzi n’enregistre ni la phrase ni la réponse du modèle. Seul est consigné le fait qu’une question a été posée, par qui et ce qu’elle a coûté, et dans la piste d’audit, quel cas tu as confirmé pour quel engagement.

Si, avec Autopilot pour les salaires, tu rattrapes des mois que ton ancien logiciel a déjà payés, tu peux téléverser les anciens décomptes de salaire, en PDF ou en photo. Là aussi, cela n’est possible que si la ou le titulaire a activé Autopilot pour les salaires, et seulement pour les personnes autorisées à écrire dans les salaires. Chaque fichier téléversé est alors transmis en entier au même modèle, avec tout ce qui y figure. Sur un décompte de salaire, il s’agit en général du nom, de l’adresse, du numéro AVS, du salaire, des déductions et des coordonnées bancaires de la personne. Rien de cela ne peut être retiré, car le modèle lit les pages comme des images. Rien d’autre ne sort de Bilanzi Lohn à cette occasion, pas même une liste des collaborateurs. Le modèle lit pour chaque décompte le nom, le mois, le salaire net et le jour du versement, et Bilanzi attribue lui-même le nom à un engagement. Bilanzi ne conserve pas le fichier et n’enregistre ni son nom ni la réponse du modèle. Ce qui a été lu ne se trouve que dans ton navigateur et préremplit le rattrapage, jusqu’à ce que tu vérifies et confirmes le mois. Est alors enregistré la même chose que lors d’un rattrapage à la main, soit le jour du versement et le fait que le net concorde ou non, pas le montant lu. Sont en outre consignés le fait qu’une lecture a eu lieu, qui l’a déclenchée et ce qu’elle a coûté, et dans la piste d’audit, pour quel engagement et quel mois.

Le fournisseur est Infomaniak Network SA, à Genève, et le traitement a lieu en Suisse. Dans l’espace de travail, Bilanzi nomme le fournisseur et le lieu de traitement sur l’écran où l’on travaille. Ne sort que ce qui est expressément libéré sur une route enregistrée, documentée et approuvée ; sinon la base de données refuse l’appel. Pas l’écran, la base de données.

Selon ses propres indications, Infomaniak ne conserve pas les requêtes et ne les utilise pas pour entraîner des modèles. Les conditions contractuelles conclues par l’exploitant avec Infomaniak s’appliquent.

Pour chaque utilisation de l’IA, Bilanzi note quand elle a eu lieu, à quoi elle a servi, ce qu’elle a coûté et qui l’a déclenchée. Bilanzi s’en sert pour décompter un solde IA restant et pour voir combien l’IA lit pour une entreprise en un mois. Avec cette inscription, le résultat reste enregistré, par exemple la proposition d’écriture, la réponse ou le texte proposé. Ainsi, une requête répétée ne coûte pas deux fois, et on peut retracer ce que l’IA a fait. La question et le justificatif n’y figurent pas. Pour l’essai en Free, Bilanzi note qui l’a commencé et combien de pages ont été lues.

Si l’IA lit beaucoup plus que d’habitude pour une entreprise en un mois, l’exploitant en est informé, pour pouvoir prendre contact. Il voit alors l’entreprise et les coûts, aucun contenu.

Une question sans comptabilité est à la charge de Bilanzi, par exemple en Free ou depuis un numéro WhatsApp sans compte. Là aussi, il note seulement quand, par quel canal, pour quelle raison et ce que cela a coûté, et avec un compte, qui a posé la question.

La proposition reste une proposition. Rien n’est écrit tant qu’un être humain ne l’a pas acceptée, et l’acceptation est consignée dans la piste d’audit.

Quand tu écris à Bilanzi par WhatsApp

Dans les plans payants, tu peux envoyer des justificatifs à Bilanzi par WhatsApp et les comptabiliser d’un bouton. Tu connectes WhatsApp toi-même sous Mon compte, et tu donnes alors ton consentement exprès. Bilanzi note quand c’était et quel texte tu as accepté.

Bilanzi t’envoie des rappels seulement si tu les actives chez WhatsApp sous Mon compte, chaque type séparément. Un rappel mentionne l’entreprise et un nombre, un montant ou une échéance tirés de tes livres. Tu peux les désactiver au même endroit à tout moment.

Bilanzi reçoit ton numéro de téléphone, les messages, photos et PDF que tu envoies, et les boutons sur lesquels tu appuies. Une photo ou un PDF devient un justificatif de ton entreprise, comme un fichier téléversé. Le modèle décrit plus haut le lit si la lecture automatique est activée. Le même modèle répond à une question à partir des livres que tu peux lire toi-même, comme dans le champ « Demande à Bilanzi ». Les réponses indiquent donc des montants, des comptes et des noms tirés de ta comptabilité. Si tu travailles dans une fiduciaire, un texte sans « Bilanzi : » devant va à l’exploitant et non au modèle, comme le décrit la section suivante.

Infomaniak transcrit un message vocal en Suisse, par une route approuvée qui lui est propre. Pour cela, Bilanzi charge le son chez Twilio, l’envoie à Infomaniak, puis l’efface chez Twilio. Bilanzi ne conserve pas le son. Le texte suit le chemin d’une question tapée et figure au-dessus de la réponse. Seuls l’heure, la taille du fichier et la longueur du texte sont notés.

Si quelqu’un écrit depuis un numéro qui n’est lié à aucun compte, le texte part comme demande à l’exploitant, comme le décrit la section suivante. Si la question commence par « Bilanzi : », Bilanzi y répond à partir de ses propres pages et de son aide, sans comptabilité. Pour cela, le texte de la question va au modèle décrit plus haut. D’une telle question, Bilanzi ne garde qu’une empreinte du numéro et du message, pendant un jour, contre les répétitions et les abus. Bilanzi efface le message chez Twilio.

Les messages passent par WhatsApp, un service de Meta, et par Twilio Inc., qui assure pour Bilanzi le raccordement à WhatsApp. Entre ton téléphone et Meta, un message voyage chiffré. Chez Meta et chez Twilio, il est déchiffré pour que Bilanzi puisse le lire et y répondre. Les deux traitent les messages aussi aux États-Unis.

Pour les États-Unis, le Conseil fédéral a constaté un niveau de protection adéquat pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. Selon leurs propres indications, Twilio Inc. et Meta Platforms, Inc. le sont.

Chez Twilio, Bilanzi efface chaque photo dès qu’elle est classée comme justificatif, et chaque message dès qu’il est traité ou distribué. Dans Bilanzi, le texte d’un message ne reste que jusqu’à ce qu’il soit traité ou envoyé, sauf dans une demande à l’exploitant. Ce que Meta et Twilio conservent au-delà dépend de leurs propres conditions.

Ton numéro, ainsi que l’heure, le type et l’état de chaque message, restent chez Bilanzi, même après la déconnexion. On peut ainsi retracer ce qui a été comptabilisé par WhatsApp. Si tu veux en faire effacer une partie, un message à l’exploitant suffit. Les justificatifs restent tant que dure l’obligation de conservation.

Le traitement repose sur ton consentement. Tu le retires avec « Délier » dans Bilanzi ou en écrivant STOP dans la conversation. Ensuite, Bilanzi ne traite plus aucun message de ton numéro.

Pour WhatsApp lui-même, ce sont les conditions et la politique de confidentialité de WhatsApp qui s’appliquent. La manière dont Twilio et WhatsApp traitent les données figure dans leurs déclarations de protection des données :

• Twilio : https://www.twilio.com/en-us/legal/privacy
• WhatsApp : https://www.whatsapp.com/legal/privacy-policy

Demandes à l’exploitant

À [email protected] et au numéro WhatsApp de Bilanzi, tu joins directement l’exploitant. Par WhatsApp, cela vaut si tu travailles dans une fiduciaire et que ton numéro est connecté, ainsi que pour les numéros sans compte. Si ton texte commence par « Bilanzi : », c’est Bilanzi qui répond, comme le décrit la section sur WhatsApp.

Bilanzi enregistre chaque message comme demande et le signale aussitôt à l’exploitant, par WhatsApp via Twilio et Meta. Le signalement indique ta fiduciaire, ton nom, ton adresse ou une partie de ton numéro, et un extrait de ton texte. Si WhatsApp n’atteint pas l’exploitant, le signalement part par e-mail via Resend aux administrateurs de la plateforme.

Un e-mail à [email protected] arrive chez Cloudflare Email Routing, qui le transmet à Resend, lequel le reçoit pour Bilanzi. Bilanzi enregistre l’expéditeur, le nom, l’objet et le texte.

Tu reçois une confirmation avec le délai. La réponse de l’exploitant revient par le même chemin, par WhatsApp ou par e-mail via Resend. Tu ne vois pas son propre numéro.

Pour chaque demande, Bilanzi note quand elle est arrivée, quand la première réponse a suivi et quand elle a été résolue. L’exploitant vérifie ainsi sa promesse sur les délais de réponse.

Bilanzi efface le texte, le nom, l’adresse, le numéro et l’objet d’une demande et de ses réponses 12 mois après son arrivée. Les heures restent ensuite, sans lien avec une personne, pour les chiffres de chaque mois. Bilanzi efface la liste des e-mails adressés à [email protected] après 30 jours. Chez Twilio, Bilanzi efface chaque message dès qu’il figure dans la demande ou qu’il est distribué.

Comment les visites sont comptées

Sur les pages publiques, Bilanzi compte quelle page est appelée. Dans l’espace de travail, rien n’est compté : un chemin y porte parfois l’identifiant d’un justificatif ou d’une facture, et un tel chemin n’a sa place dans aucune statistique.

Le comptage se fait sans cookie et sans identifiant qui resterait dans ton navigateur. C’est pourquoi aucune bannière de consentement ne s’affiche sur ces pages.

Ton navigateur ne parle pour cela à aucune adresse étrangère. Le script de comptage est livré par bilanzi.ch, et c’est ce serveur qui reçoit la mesure et la transmet à Umami. Sont alors transmis :

• la page appelée et la page d’où tu viens
• la langue, la taille de l’écran, le navigateur et le système d’exploitation
• ton adresse IP, pour qu’Umami puisse distinguer une visite d’une autre ; Bilanzi ne la conserve pas

Qui a activé Do Not Track dans son navigateur n’est pas compté. Ton navigateur charge tout de même le script de comptage, et à ce moment bilanzi.ch transmet à Umami ton adresse IP et l’identification de ton navigateur.

Rien de tes livres n’entre jamais dans une mesure : ni montant, ni nom, ni justificatif.

Cookies et ce qui reste dans le navigateur

Bilanzi ne pose ni cookie publicitaire ni cookie de comptage : le comptage décrit plus haut s’en passe, et l’espace de travail n’est pas compté du tout. C’est pourquoi aucune bannière de consentement ne s’affiche : les quatre cookies ci-dessous sont nécessaires à la connexion, et un cookie nécessaire ne se fait pas accepter.

Ces quatre cookies sont nécessaires pour qu’une connexion fonctionne :

Ton navigateur garde en outre quelques informations en local : par quel chemin tu t’es connecté la dernière fois, quelle entreprise et quel écran tu avais ouverts en dernier, quelles indications tu as écartées et quelles entrées du changelog tu connais déjà. Ces informations n’atteignent jamais Bilanzi.

Jusqu’à l’inscription, il retient le plan choisi, et jusqu’à ce que tu l’acceptes, une invitation. Ces informations parviennent à Bilanzi avec l’inscription ou l’acceptation.

Tant qu’un onglet est ouvert, il garde les actions dont l’issue est encore ouverte et les réponses de Bilanzi à tes questions. Les deux disparaissent avec l’onglet.

Bilanzi enregistre avec ton compte si une aide est ouverte ou refermée, pour qu’elle reste sur chaque appareil telle que tu l’as laissée. Le navigateur en garde une copie.

Si tu viens d’une annonce ou d’un lien avec des indications de campagne, ton navigateur les retient sous « bz_attr » jusqu’à l’inscription, pendant 90 jours au plus. Elles n’atteignent Bilanzi que si tu t’inscris. Plus de détails dans la section sur la mesure de l’efficacité des annonces Google.

Combien de temps les choses restent

Les données comptables sont soumises à une obligation légale de conservation : les livres, les justificatifs et la correspondance commerciale dix ans (CO art. 958f al. 1), les pièces relatives aux biens immobiliers vingt ans (LTVA art. 70 al. 3).

Bilanzi ne traite pas cela comme une indication mais comme une règle : pendant le délai, la base de données refuse la destruction d’un justificatif rattaché à une écriture ou à une note de frais. Une écriture n’est jamais écrasée ; une correction est une contre-écriture visible et liée.

Tu supprimes toi-même ton compte à tout moment, dans l’espace de travail, dans la zone de danger sous Compte. Les livres de ton entreprise n’en sont pas affectés tant que le délai court. Ce n’est pas une décision de Bilanzi, mais une obligation de l’entreprise.

Avec le compte, Bilanzi supprime ton adresse de connexion, ton mot de passe, tes réglages, les indications données à l’inscription, tes commentaires et une connexion avec WhatsApp, numéro compris. Dans les livres, la piste d’audit et les indications sur l’utilisation de l’IA, tu figures ensuite sans nom et sans adresse.

Pour ce qui ne relève pas de l’obligation de conservation, il n’existe aujourd’hui, à part pour les lettres aux entreprises et aux fiduciaires, pour les rendez-vous avec Bilanzi, pour les candidatures de fiduciaire fondatrice et pour les demandes à l’exploitant, aucune suppression automatique : les invitations, les commentaires et les indications sur l’utilisation de l’IA restent enregistrés. Si tu veux faire supprimer l’un d’eux, un message à l’exploitant suffit. Bilanzi ne conserve pas le texte des e-mails envoyés, sauf les réponses à une demande adressée à l’exploitant.

Les associés, les actionnaires, la gérance, le conseil d’administration et les personnes qui signent restent enregistrés comme historique, même après la fin d’un rôle, tant que l’entreprise tient ses livres dans Bilanzi. Dans la piste d’audit, leurs rôles figurent sans nom et sans adresse. Si l’entreprise supprime une entrée saisie par erreur, Bilanzi l’efface, avec le dernier rôle la personne et avec le dernier rôle comportant des parts son adresse.

Ce qui est imposé pour protéger ces données

Les points suivants sont imposés dans le code et couverts par des tests automatisés, ce ne sont pas de simples intentions :

• La séparation entre entreprises est dans la base de données et vérifiée à chaque requête, pas dans l’application en amont.
• Ton identifiant d’accès n’atteint jamais le navigateur sous forme lisible : il est dans un cookie qu’aucun script ne peut atteindre.
• Le deuxième facteur est facultatif et relève de la connexion : qui configure une application d’authentification confirme une fois après le mot de passe. Ce qu’une personne peut faire ensuite dépend de son rôle.
• La piste d’audit consigne les écritures, les justificatifs, le plan comptable, les comptes bancaires, les verrouillages de période et les droits dans une chaîne : chaque entrée renvoie à la précédente. Une modification faite dans Bilanzi y figure, et « Vérifier la chaîne » montre si chaque entrée correspond encore à la précédente. Les téléchargements de livres et de justificatifs ainsi que les accès par lien de révision sont enregistrés avec l’heure, le document et le compte ou l’organisme nommé. Ces journaux sont conservés au moins aussi longtemps que les livres concernés. Chaque affichage à l’écran n’est pas nécessairement enregistré.
• La transmission est exclusivement chiffrée, et le navigateur ne parle qu’à bilanzi.ch. Cloudflare reçoit cette connexion et la transmet à Bilanzi. Depuis ta session, aucune connexion ne part vers un autre service, sauf lors d’une redirection que tu déclenches toi-même, par exemple pour te connecter avec Google ou Apple ou pour payer chez Stripe.
• Si Bilanzi accède lui-même aux livres d’une entreprise, à sa demande ou pour remédier à une panne, cela figure dans un journal que le propriétaire et l’administration voient dans les réglages. L’entreprise autorise l’accès du support pour une durée limitée et le retire à tout moment.

Tes droits

Tu peux demander quelles données te concernant sont traitées, exiger la rectification d’indications fausses, réclamer tes données dans un format courant et t’opposer au traitement, pour autant qu’il ne repose pas sur une obligation légale.

Pour ton compte, adresse-toi à l’exploitant nommé ci-dessus. Pour la comptabilité d’une entreprise, adresse-toi à cette entreprise ; Bilanzi y agit sur son instruction et transmet une demande qui lui parviendrait.

La remise n’est pas une faveur mais une fonction : sous « Sortir les livres », l’espace de travail délivre les livres d’une entreprise sous forme de fichier, sans avoir à demander à quiconque.

La voie du Préposé fédéral à la protection des données et à la transparence t’est en outre ouverte.

Modifications

Cette déclaration est mise à jour lorsque le traitement change, par exemple lorsqu’un service est raccordé ou remplacé. La date ci-dessus indique l’état, et les modifications importantes sont communiquées aux entreprises inscrites.