Déclaration de protection des données

Responsable du traitement

Deux rôles, et pourquoi la différence compte

Pour ton compte, Bilanzi est responsable : ton adresse e-mail, tes connexions, ton deuxième facteur, ta langue. Ces données lui servent à te laisser entrer et à tenir ton compte.

Pour la comptabilité de ton entreprise, il ne l’est pas. Les justificatifs, contacts, factures et écritures appartiennent à l’entreprise. Bilanzi les traite sur son mandat et selon ses instructions, et ne s’en sert pour rien d’autre, ni analyses, ni publicité, ni amélioration d’un modèle.

Concrètement : les questions sur ton compte, l’exploitant y répond. Les questions sur les chiffres d’une entreprise, cette entreprise y répond ; elle seule décide des rôles, des mandats et de qui voit quelle ligne.

Quelles données, dans quel but

Ce que Bilanzi ne collecte pas : aucun identifiant publicitaire, aucun profilage, aucune vente ni transmission à des annonceurs ou à des courtiers en données. Les visites des pages publiques sont comptées, celles de l’espace de travail non ; comment, tu le lis plus bas.

Où sont les données, et qui d’autre y touche

Bilanzi fait appel à quelques services pour fonctionner. Chacun de ceux qui touchent à des données personnelles figure ici, avec ce dont il se charge et le lieu où il traite.

Twilio n’est pas utilisé, car Bilanzi n’envoie pas de SMS : le deuxième facteur est une application d’authentification sur ton appareil.

Railway, Cloudflare, Resend, Umami, Google, Apple, Stripe et l’outil de développement avec IA traitent hors de Suisse. Cloudflare, Resend, Google, Apple, Stripe et l’outil de développement traitent aussi des données aux États-Unis. Nous l’indiquons parce que c’est une différence que tu dois connaître avant de t’engager.

Connexion avec Google et avec Apple

Outre l’e-mail et le mot de passe, tu peux te connecter avec Google ou avec Apple. Cela figure séparément parce qu’une autre entreprise apprend alors que tu existes chez Bilanzi.

Bilanzi reçoit ton adresse e-mail, la confirmation qu’elle est bien la tienne et l’identifiant sous lequel Google ou Apple tient ton compte. Google transmet en plus ton nom et ta photo de profil, s’ils existent. Apple n’envoie pas de nom. Rien de plus n’est demandé : aucun accès aux contacts, à l’agenda, aux fichiers ou aux messages.

Google, respectivement Apple, apprend que tu t’es connecté à Bilanzi, et quand. Ce que tu fais ensuite dans Bilanzi, aucune des deux entreprises ne l’apprend.

Si tu choisis « Masquer mon e-mail » chez Apple, Bilanzi reçoit une adresse de redirection à la place de la tienne. Cela fonctionne, mais conduit à un compte distinct, qui ne se confond pas avec un compte existant.

Bilanzi n’apprend en aucun cas ton mot de passe, et Google et Apple n’en apprennent jamais un. La connexion passe par auth.bilanzi.ch, l’adresse de connexion de Bilanzi chez Supabase. L’échange repose sur un secret valable une seule fois, qui n’atteint jamais le navigateur.

Le traitement de ces données repose sur le contrat relatif à ton compte. La participation de Google ou d’Apple repose sur ton consentement : c’est toi qui choisis cette voie, à chaque connexion. Tu n’en dépends pas, puisque l’e-mail et le mot de passe mènent au même endroit.

Google et Apple sont eux-mêmes responsables des données de connexion. Pour les personnes en Suisse, il s’agit selon leurs propres indications de Google Ireland Limited et d’Apple Distribution International Ltd., toutes deux en Irlande. Toutes deux traitent aussi des données aux États-Unis.

Pour les États-Unis, le Conseil fédéral n’a reconnu un niveau de protection adéquat que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. La manière dont Google et Apple encadrent ce transfert figure dans leurs déclarations de protection des données :

• Google : https://policies.google.com/privacy
• Apple : https://www.apple.com/legal/privacy/

Ce que nous demandons à l’inscription

À l’inscription, Bilanzi pose quelques questions facultatives : si tu diriges ta propre entreprise, si tu travailles pour une fiduciaire ou autre chose, avec quel logiciel tu tiens ta comptabilité aujourd’hui, et si tu veux nous dire quelque chose. Tu peux laisser chaque question vide. L’inscription fonctionne quand même.

Bilanzi enregistre aussi la langue dans laquelle tu t’es inscrit et la source indiquée dans le lien qui t’a amené, s’il en porte une. C’est un mot contenu dans le lien lui-même, par exemple le nom d’une newsletter.

L’exploitant lit ces réponses pour comprendre d’où viennent les gens et ce dont ils ont besoin. Elles ne sont transmises à personne et ne servent ni à la publicité ni à un profil. Elles sont stockées dans la base de données à Zurich.

Ces réponses restent jusqu’à la suppression de ton compte. Si tu veux les faire effacer plus tôt, un message à l’exploitant suffit.

Du 15 au 22 septembre 2026, ce site proposait un formulaire de demande de test. Il n’est plus en service. Les demandes reçues par ce biais restent enregistrées jusqu’à ce que tu en demandes l’effacement : nom, adresse e-mail, entreprise, rôle, message et langue.

Quand tu donnes un commentaire

Dans l’espace de travail, « Donner un commentaire » te permet de signaler une erreur ou de proposer quelque chose. Bilanzi enregistre ton texte et le type de commentaire. S’y ajoutent l’écran et l’adresse où tu te trouvais, le nom de l’entreprise ouverte, ton navigateur, la taille de la fenêtre, la langue et ton adresse e-mail.

L’exploitant lit chaque commentaire et décide s’il sera mis en œuvre. Publiquement, Bilanzi ne montre que le numéro et le domaine d’un commentaire et leur nombre, jamais leur texte.

Quand l’exploitant accepte un commentaire, celui-ci est confié pour sa mise en œuvre aux agents d’IA avec lesquels Bilanzi est développé. Ceux-ci fonctionnent chez un prestataire aux États-Unis. Sont transmis le numéro, le type, le texte, l’écran et la date. Ton adresse e-mail et le nom de l’entreprise restent dans Bilanzi.

Quand ton commentaire est mis en œuvre ou reçoit une réponse, tu reçois un e-mail. Une réponse personnelle de l’exploitant peut aussi venir de sa propre boîte aux lettres.

Les commentaires restent enregistrés jusqu’à ce que tu demandes leur suppression.

Mesure de l’efficacité des annonces Google

Bilanzi fait de la publicité par des annonces dans la recherche Google et veut savoir lesquelles servent à quelque chose. Pour cela, aucun script de Google ne tourne sur bilanzi.ch, et ton navigateur ne parle à aucune adresse de Google.

Si tu viens d’une annonce Google, le lien porte un identifiant de clic attribué par Google et des indications sur la campagne. Ton navigateur les garde localement sous « bz_attr », avec la page d’arrivée, le nom de la page précédente sans son chemin et l’heure. L’entrée y reste jusqu’à l’inscription et expire après 90 jours. Bilanzi retire ces indications de la barre d’adresse juste après le chargement, pour qu’elles ne se retrouvent dans aucun lien partagé.

Si tu t’inscris, ces indications sont transmises à Bilanzi et enregistrées avec ton compte, dans la base de données à Zurich. L’exploitant lit les indications de campagne pour voir quelle campagne amène des inscriptions. Cela vaut aussi pour les liens avec des indications de campagne qui ne viennent pas de Google, par exemple d’une newsletter.

Si ton compte porte un identifiant de clic, Bilanzi indique à Google que ton clic a mené à une inscription, à une entreprise configurée ou à un abonnement. Une phrase sous le bouton « Créer le compte » te le signale. Tu peux t’y opposer à tout moment, comme décrit plus bas.

Google reçoit l’identifiant de clic, l’heure, le type d’événement et, pour un abonnement, le montant du premier paiement. Pas d’adresse e-mail, pas de nom et rien de ta comptabilité. Google vient chercher ces indications une fois par jour sous forme de fichier sur bilanzi.ch. Bilanzi n’autorise pas leur utilisation pour de la publicité personnalisée.

Pour les personnes en Suisse, la destinataire est Google Ireland Limited, en Irlande. Google traite aussi ces indications auprès de Google LLC, aux États-Unis. Pour les États-Unis, le Conseil fédéral a constaté un niveau de protection adéquat pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. Selon ses propres indications, Google LLC l’est.

Bilanzi efface l’identifiant de clic 90 jours après le clic. Les indications de campagne restent avec ton compte jusqu’à sa suppression.

Tu peux t’opposer à cette mesure à tout moment : dans l’espace de travail, sous Plus › Compte › Protection des données, avec la case « Ne pas utiliser pour mesurer les annonces Google », ou par e-mail à l’adresse indiquée plus haut. Ensuite, Bilanzi ne signale plus rien à ton sujet. Ce que Google a déjà reçu reste chez Google.

Payer avec Stripe

Tu paies les plans payants et les paquets IA par Stripe Payments Europe Ltd., à Dublin, en Irlande. Pour payer et pour changer de moyen de paiement, Bilanzi te redirige vers des pages de Stripe. C’est là que tu indiques ta carte ou TWINT. Aucun script de Stripe ne tourne sur bilanzi.ch.

Tu choisis, changes et résilies ton plan dans Bilanzi. Seules les personnes qui administrent l’organisation peuvent le faire, et elles seules voient les paiements. Bilanzi prélève le renouvellement automatiquement sur le moyen de paiement enregistré. Pour un plan annuel, ou sans moyen de paiement enregistré, un e-mail arrive une semaine avant.

Bilanzi transmet à Stripe le nom de l’organisation, l’adresse e-mail de la personne qui achète, la langue, le montant et des numéros internes pour l’organisation, le paiement et le plan. Sur les pages de Stripe s’ajoutent tes données de paiement. Pour l’achat d’un plan, Stripe demande aussi l’adresse de facturation et, si tu veux l’indiquer, ton IDE ou ton numéro TVA. Stripe envoie la quittance par e-mail.

Bilanzi conserve en entier les messages de Stripe sur chaque paiement. On y trouve notamment le numéro de client, le montant, l’état du paiement, la marque, les quatre derniers chiffres et la date d’expiration de la carte ou TWINT, et le lien vers la quittance. Bilanzi ne voit jamais un numéro de carte complet.

Le traitement repose sur le contrat relatif au plan payant. Pour une partie des données, Stripe est lui-même responsable, par exemple pour la lutte contre la fraude et pour ses obligations légales. Stripe traite aussi des données aux États-Unis. La manière dont il encadre ce transfert figure dans sa déclaration de protection des données : https://stripe.com/privacy

Les paiements et les quittances font partie de la comptabilité de l’exploitant et sont conservés dix ans (CO art. 958f al. 1).

Quand un modèle lit un justificatif

Bilanzi peut faire lire un justificatif par un modèle de langue et en tirer une proposition d’écriture. Cette fonction existe uniquement dans les plans payants et pendant une période d’essai de Starter encore en cours.

Un justificatif part vers le modèle dès que tu le téléverses dans la « Réception des justificatifs » ou que tu l’enregistres avec « Scanner un justificatif ». Sous « Justificatifs », cela n’arrive que si tu le déclenches pour ce justificatif. Les fiches de salaire ne partent jamais.

Avec le justificatif partent le nom de ton entreprise, la monnaie, la date du jour, l’assujettissement ou non à la TVA, le nom du fichier et le plan comptable. Le modèle en a besoin pour proposer une écriture.

Le même modèle répond aux questions que tu poses à Bilanzi sur ta comptabilité. La question part alors avec un extrait des livres, limité à ce que tu as toi-même le droit de voir. Cet extrait peut contenir des noms de clients, de fournisseurs et de contreparties bancaires, des motifs de paiement, des chiffres du compte de résultat et le total du dernier calcul des salaires.

Le fournisseur est Infomaniak Network SA, à Genève, et le traitement a lieu en Suisse. Dans l’espace de travail, Bilanzi nomme le fournisseur, le modèle et les pays sur l’écran où l’on travaille. Ne sort que ce qui est expressément libéré sur une route enregistrée, documentée et approuvée ; sinon la base de données refuse l’appel. Pas l’écran, la base de données.

Selon ses propres indications, Infomaniak ne conserve pas les requêtes et ne les utilise pas pour entraîner des modèles. Les conditions contractuelles conclues par l’exploitant avec Infomaniak s’appliquent.

Pour le contingent du plan, Bilanzi note quand l’IA a servi, à quoi, ce que cela a coûté et qui l’a déclenchée. La question, le justificatif et la réponse n’y figurent pas.

La proposition reste une proposition. Rien n’est écrit tant qu’un être humain ne l’a pas acceptée, et l’acceptation est consignée dans la piste d’audit.

Comment les visites sont comptées

Sur les pages publiques, Bilanzi compte quelle page est appelée. Dans l’espace de travail, rien n’est compté : un chemin y porte parfois l’identifiant d’un justificatif ou d’une facture, et un tel chemin n’a sa place dans aucune statistique.

Le comptage se fait sans cookie et sans identifiant qui resterait dans ton navigateur. C’est pourquoi aucune bannière de consentement ne s’affiche sur ces pages.

Ton navigateur ne parle pour cela à aucune adresse étrangère. Le script de comptage est livré par bilanzi.ch, et c’est ce serveur qui reçoit la mesure et la transmet à Umami. Sont alors transmis :

• la page appelée et la page d’où tu viens
• la langue, la taille de l’écran, le navigateur et le système d’exploitation
• ton adresse IP, pour qu’Umami puisse distinguer une visite d’une autre ; Bilanzi ne la conserve pas

Qui a activé Do Not Track dans son navigateur n’est pas compté. Ton navigateur charge tout de même le script de comptage, et à ce moment bilanzi.ch transmet à Umami ton adresse IP et l’identification de ton navigateur.

Rien de tes livres n’entre jamais dans une mesure : ni montant, ni nom, ni justificatif.

Cookies et ce qui reste dans le navigateur

Bilanzi ne pose ni cookie publicitaire ni cookie de comptage : le comptage décrit plus haut s’en passe, et l’espace de travail n’est pas compté du tout. C’est pourquoi aucune bannière de consentement ne s’affiche : les quatre cookies ci-dessous sont nécessaires à la connexion, et un cookie nécessaire ne se fait pas accepter.

Ces quatre cookies sont nécessaires pour qu’une connexion fonctionne :

Ton navigateur garde en outre quelques informations en local : par quel chemin tu t’es connecté la dernière fois, quelle entreprise et quel écran tu avais ouverts en dernier, quelles indications tu as écartées et quelles entrées du changelog tu connais déjà. Ces informations n’atteignent jamais Bilanzi.

Jusqu’à l’inscription, il retient le plan choisi, et jusqu’à ce que tu l’acceptes, une invitation. Ces informations parviennent à Bilanzi avec l’inscription ou l’acceptation.

Tant qu’un onglet est ouvert, il garde les actions dont l’issue est encore ouverte et les réponses de Bilanzi à tes questions. Les deux disparaissent avec l’onglet.

Bilanzi enregistre avec ton compte si une aide est ouverte ou refermée, pour qu’elle reste sur chaque appareil telle que tu l’as laissée. Le navigateur en garde une copie.

Si tu viens d’une annonce ou d’un lien avec des indications de campagne, ton navigateur les retient sous « bz_attr » jusqu’à l’inscription, pendant 90 jours au plus. Elles n’atteignent Bilanzi que si tu t’inscris. Plus de détails dans la section sur la mesure de l’efficacité des annonces Google.

Combien de temps les choses restent

Les données comptables sont soumises à une obligation légale de conservation : les livres, les justificatifs et la correspondance commerciale dix ans (CO art. 958f al. 1), les pièces relatives aux biens immobiliers vingt ans (LTVA art. 70 al. 3).

Bilanzi ne traite pas cela comme une indication mais comme une règle : pendant le délai, la base de données refuse la destruction d’un justificatif rattaché à une écriture ou à une note de frais. Une écriture n’est jamais écrasée ; une correction est une contre-écriture visible et liée.

Tu peux faire supprimer ton compte à tout moment. Les livres de ton entreprise n’en sont pas affectés tant que le délai court. Ce n’est pas une décision de Bilanzi, mais une obligation de l’entreprise.

Pour ce qui ne relève pas de l’obligation de conservation, il n’existe aujourd’hui aucune suppression automatique : les invitations, les commentaires et les indications sur l’utilisation de l’IA restent enregistrés. Si tu veux faire supprimer l’un d’eux, un message à l’exploitant suffit. Bilanzi ne conserve pas le texte des e-mails envoyés.

Ce qui est imposé pour protéger ces données

Les points suivants sont imposés dans le code et couverts par des tests automatisés, ce ne sont pas de simples intentions :

• La séparation entre entreprises est dans la base de données et vérifiée à chaque requête, pas dans l’application en amont.
• Ton identifiant d’accès n’atteint jamais le navigateur sous forme lisible : il est dans un cookie qu’aucun script ne peut atteindre.
• Le deuxième facteur est facultatif et relève de la connexion : qui configure une application d’authentification confirme une fois après le mot de passe. Ce qu’une personne peut faire ensuite dépend de son rôle et de son mandat.
• La piste d’audit est chaînée : une modification après coup serait décelable à partir des seules données.
• La transmission est exclusivement chiffrée, et le navigateur ne parle qu’à bilanzi.ch. Cloudflare reçoit cette connexion et la transmet à Bilanzi. Depuis ta session, aucune connexion ne part vers un autre service, sauf lors d’une redirection que tu déclenches toi-même, par exemple pour te connecter avec Google ou Apple ou pour payer chez Stripe.

Tes droits

Tu peux demander quelles données te concernant sont traitées, exiger la rectification d’indications fausses, réclamer tes données dans un format courant et t’opposer au traitement, pour autant qu’il ne repose pas sur une obligation légale.

Pour ton compte, adresse-toi à l’exploitant nommé ci-dessus. Pour la comptabilité d’une entreprise, adresse-toi à cette entreprise ; Bilanzi y agit sur son instruction et transmet une demande qui lui parviendrait.

La remise n’est pas une faveur mais une fonction : sous « Sortir les livres », l’espace de travail délivre les livres d’une entreprise sous forme de fichier, sans avoir à demander à quiconque.

La voie du Préposé fédéral à la protection des données et à la transparence t’est en outre ouverte.

Modifications

Cette déclaration est mise à jour lorsque le traitement change, par exemple lorsqu’un service est raccordé ou remplacé. La date ci-dessus indique l’état, et les modifications importantes sont communiquées aux entreprises inscrites.