DECLARATION DE PROTECTION DES DONNEES

PRÉAMBULE

Oveon Sàrl (ci-après, « Oveon ») accorde une attention particulière aux questions de confidentialité et de protection des données.

La présente Déclaration de confidentialité et de protection des données (ci-après, la « Déclaration ») a pour objectif de décrire la manière dont les données personnelles de toutes les personnes concernées par les activités d'Oveon (ci-après, les « Personnes concernées ») sont traitées par cette dernière. En outre, elle fait état des droits des Personnes concernées quant à leurs données personnelles.

Par l'intermédiaire de la présente Déclaration, les Personnes concernées sont informées de la collecte et du traitement de leurs données personnelles.

1. TYPES DE DONNÉES PERSONNELLES COLLECTÉES ET TRAITÉES PAR OVEON

1.1. Oveon collecte et traite certaines données personnelles (ci-après, les « Données personnelles ») des Personnes concernées. Ces Données personnelles comprennent en particulier :

Données d'identification et de contact : nom, prénom, fonction au sein de l'entreprise, dénomination sociale de l'entreprise, adresse postale, adresse e-mail, numéro de téléphone ;
Données contractuelles : informations relatives aux offres et devis, contrats de prestation, factures, historique des commandes et des paiements, échanges pré-contractuels ;
Données de projet et de migration : fichiers de données transmis par la Personne concernée ou son organisation dans le cadre des prestations d'implémentation Odoo (listes de contacts, données de produits et d'inventaires, soldes comptables, données historiques sous format Excel ou équivalent), ainsi que les documents relatifs à l'analyse et à la modélisation des processus métier ;
Données de communication : contenu des échanges par e-mail, téléphone, visioconférence ou messagerie, ainsi que les métadonnées associées (date, heure, interlocuteurs) ;
Données techniques : adresse IP, type et version de navigateur, système d'exploitation, pages visitées et durée des visites sur le site internet d'Oveon, données de journalisation (logs).

1.2. Dans le cadre des prestations d'implémentation Odoo, Oveon peut être amenée à accéder à des données relatives aux employés ou collaborateurs des Personnes concernées (noms, fonctions, adresses e-mail professionnelles, droits d'accès) aux seules fins de configuration du système. Ces données sont traitées exclusivement dans le cadre du mandat contractuel et ne sont pas utilisées à d'autres fins. Dans ce cas, Oveon s'assure par voie contractuelle avec le client que les personnes concernées ont été préalablement informées de ce traitement. Ces données sont supprimées ou restituées au client à l'issue du mandat.

1.3. Si les données transmises devaient inclure des données sensibles au sens de l'art. 5 let. c LPD (notamment données de santé ou salariales), Oveon en informe le client et applique des mesures de protection renforcées. Ces données font l'objet d'une suppression sécurisée immédiatement après validation de la migration.

2. RESPONSABLE DU TRAITEMENT

2.1. Oveon Sàrl (CHE-237.850.554), sise Avenue de la Rosiaz 7, 1009 Pully, Suisse, agit en qualité de responsable du traitement relatif aux traitements des Données personnelles des Personnes concernées. Dans le cadre des prestations d'implémentation, Oveon peut également agir en qualité de sous-traitant au sens de l'art. 9 LPD, lorsqu'elle traite des données personnelles pour le compte et sur instruction d'un client.

2.2. Le traitement des Données personnelles des Personnes concernées par Oveon est réalisé dans le respect des prescriptions de la Loi fédérale sur la protection des données du 25 septembre 2020 (ci-après, la « LPD ») et de ses ordonnances d'exécution, entrées en vigueur le 1er septembre 2023.

3. FINALITÉ ET BASE DU TRAITEMENT

3.1. Oveon traite les Données personnelles des Personnes concernées aux fins suivantes (ci-après, la « Finalité du traitement ») :

fournir les prestations d'implémentation, de configuration, de migration de données et de formation relatives au logiciel Odoo
conclure, administrer et exécuter les relations contractuelles avec les clients, fournisseurs et partenaires
communiquer avec les Personnes concernées dans le cadre pré-contractuel, contractuel et post-contractuel
assurer le support et le suivi post-démarrage
adresser des informations commerciales sur les services d'Oveon (avec possibilité d'opposition à tout moment)
assurer la sécurité des systèmes informatiques utilisés dans le cadre des prestations
se conformer aux obligations légales applicables, notamment en matière de comptabilité, d'archivage et de fiscalité.

3.2. Oveon ne traite les Données personnelles que dans le strict respect de la Finalité du traitement.

3.3. La Finalité du traitement repose sur les bases de traitement suivantes :

Exécution d'un contrat : le traitement est nécessaire à la conclusion et à l'exécution des contrats de prestation conclus avec les Personnes concernées ou leur organisation (art. 31 al. 2 let. a LPD)
Intérêts légitimes d'Oveon : notamment pour la gestion de la relation commerciale, la prospection et l'envoi d'informations commerciales auprès de représentants de personnes morales, la communication, la sécurité informatique et la défense de ses droits, dans la mesure où ces intérêts prévalent sur ceux des Personnes concernées (art. 31 al. 1 LPD)
Respect d'obligations légales : notamment les obligations comptables et fiscales découlant du droit suisse.

4. COMMUNICATIONS ET SOUS-TRAITANCE DES DONNÉES PERSONNELLES

A. Communication à des tiers

4.1. Oveon peut être amenée à communiquer des Données personnelles à des tiers :

les autorités fiscales, administratives ou judiciaires suisses compétentes, dans le cadre des obligations légales d'Oveon
les prestataires de services comptables et fiduciaires mandatés par Oveon pour sa propre gestion administrative
les consultants ou experts externes mandatés ponctuellement par Oveon pour l'exécution d'un mandat spécifique, dans la stricte mesure nécessaire à ce mandat.

4.2. La communication de Données personnelles au sens du chiffre 4.1 est réalisée dans le strict respect des prescriptions de la LPD. Elle intervient uniquement lorsqu'une disposition légale le prévoit, que l'exécution du contrat l'exige, ou qu'un intérêt légitime prépondérant le justifie.

B. Sous-traitance

4.3. Oveon peut donner à certains partenaires contractuels, agissant en qualité de sous-traitants, accès à des Données personnelles. Ces sous-traitants contribuent au bon fonctionnement des services fournis par Oveon.

4.4. La transmission des Données personnelles à des sous-traitants est réalisée conformément à l'art. 9 LPD, soit aux conditions que : (i) Oveon est elle-même légitimée à traiter ces données, (ii) aucune obligation légale ou contractuelle de garder le secret ne s'y oppose, et (iii) le sous-traitant offre des garanties suffisantes que le traitement sera effectué de manière conforme aux exigences de la LPD.

4.5. Oveon peut notamment donner accès aux Données personnelles des Personnes concernées aux sous-traitants fournissant les services suivants :

Hébergement et exploitation de la plateforme Odoo : Odoo S.A., société de droit belge (Union européenne), qui fournit l'infrastructure d'hébergement des instances Odoo des clients — l'abonnement est souscrit directement par le client auprès d'Odoo.com ; Oveon y accède uniquement dans le cadre strict du mandat d'implémentation
Services informatiques et outils de productivité : notamment Google Workspace (messagerie, visioconférence), Infomaniak (Stockage & Partage de fichier) et tout autre outil de productivité utilisé dans le cadre des prestations, dont la liste est disponible sur demande.
Services comptables : fiduciaire ou comptable mandaté pour la gestion administrative d'Oveon.

4.6. Les sous-traitants traitent les Données personnelles pour le compte d'Oveon et uniquement sur instruction de cette dernière. Ils sont tenus de s'engager contractuellement à protéger les Données personnelles au moyen de procédures adéquates et d'offrir des garanties suffisantes à cet égard. Les sous-traitants ne peuvent faire appel à d'autres sous-traitants qu'avec l'autorisation préalable et écrite d'Oveon. Oveon s'assure que les mêmes obligations de protection s'appliquent à tout sous-traitant ultérieur.

5. COMMUNICATION TRANSFRONTIÈRE DES DONNÉES PERSONNELLES

5.1. En raison des services fournis par certains sous-traitants, notamment Odoo S.A. dont le siège est établi en Belgique (Union européenne), certaines Données personnelles sont susceptibles d'être traitées en dehors de la Suisse, notamment en Belgique (Odoo S.A.), dans l'Union européenne (hébergement cloud) et potentiellement aux États-Unis (fournisseurs d'outils de productivité).

5.2. Ces transferts sont réalisés vers des États présentant un niveau de protection des données adéquat reconnu par le Conseil fédéral suisse, conformément à l'art. 16 LPD. En l'absence d'une décision d'adéquation applicable, le transfert est encadré par des garanties appropriées telles que des clauses contractuelles types. Dans le cas de transferts vers des États ne bénéficiant pas d'une décision d'adéquation (notamment les États-Unis pour certains fournisseurs d'outils de productivité), Oveon s'assure que des garanties appropriées sont en place, notamment des clauses contractuelles types approuvées par le PFPDT ou reconnues équivalentes.

6. CONSERVATION DES DONNÉES PERSONNELLES

6.1. Oveon conserve les Données personnelles aussi longtemps que ces données sont utiles pour la réalisation de la Finalité du traitement ou que leur conservation est requise par le droit applicable, en particulier :

Données comptables et contractuelles : 10 ans à compter de la clôture de l'exercice concerné, conformément à l'art. 958f du Code des obligations (CO)
Données de projet et fichiers de migration : durée du mandat d'implémentation, puis Suppression ou restitution dans un délai de 90 jours suivant la validation du go-live, sauf accord contraire écrit entre les parties ou nécessité de conservation liée à un litige en cours.
Données de communication : durée de la relation contractuelle, puis suppression dans les 24 mois suivant la fin du mandat, sauf obligation légale contraire
Données techniques (site internet) : au maximum 12 mois.

6.2. En ce qui concerne l'hébergement informatique des Données personnelles traitées directement par Oveon, celui-ci a lieu en Suisse ou dans l'Union européenne, auprès de prestataires offrant un niveau de protection adéquat.

7. GESTION DES DONNÉES PERSONNELLES ET NOTIFICATION EN CAS DE VIOLATION

7.1. Oveon met en œuvre les mesures organisationnelles et techniques appropriées afin d'assurer une sécurité adéquate des Données personnelles et de prévenir toute exposition ou divulgation non autorisée. Ces mesures comprennent notamment le chiffrement des données en transit, le contrôle strict des accès aux systèmes et instances Odoo clients, l'utilisation de mots de passe robustes et d'une authentification à deux facteurs, la suppression sécurisée des fichiers de migration après validation du projet, ainsi que des engagements de confidentialité contractuels avec les sous-traitants.

7.2. En cas de violation de données personnelles entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, Oveon: (i) annonce dans les meilleurs délais la violation au PFPDT, conformément à l'art. 24 al. 1 LPD, en indiquant la nature de la violation, ses conséquences et les mesures prises; (ii) informe les personnes concernées lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l'exige (art. 24 al. 4 LPD).

8. DROITS DES PERSONNES CONCERNÉES

8.1. Dans les limites des prescriptions légales applicables, notamment de la LPD, les Personnes concernées ont notamment les droits suivants :

droit d'accès à leurs Données personnelles (art. 25 LPD)
droit d'opposition à ce que leurs Données personnelles soient traitées, notamment à des fins de marketing direct (art. 30 al. 2 LPD)
droit à ce qu'Oveon s'abstienne de procéder à un traitement illicite des Données personnelles
droit à ce qu'Oveon supprime les effets d'un traitement illicite des Données personnelles
droit à la rectification des Données personnelles inexactes ou incomplètes (art. 32 al. 1 LPD)
droit à la destruction des Données personnelles, sous réserve des obligations légales de conservation (art. 32 al. 2 LPD)
droit à la portabilité des Données personnelles fournies sur la base d'un consentement ou d'un contrat, dans un format électronique courant (art. 28 LPD)
droit au retrait du consentement, le cas échéant, avec effet pour l'avenir — un tel retrait ne remet pas en cause la licéité du traitement réalisé antérieurement audit retrait et fondé sur le consentement.

8.2. Oveon peut demander aux Personnes concernées de prouver leur identité avant de répondre à une requête fondée sur les droits précités. Le document d'identité éventuellement transmis sera supprimé après vérification.

8.3. Oveon répond à toute demande dans un délai de 30 jours suivant sa réception. Ce délai peut être prolongé pour des raisons légitimes, auquel cas Oveon en informe la personne concernée avant l'échéance. En cas de refus total ou partiel d'une demande, Oveon en indique les motifs dans sa réponse, dans les limites de ce qu'autorise la loi.

8.4. Les Personnes concernées conservent le droit de saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT — www.edoeb.admin.ch) ou les tribunaux civils compétents si elles considèrent que leurs Données personnelles ne sont pas traitées en conformité avec la LPD.

9. QUESTIONS

9.1. En cas de question liée à la présente Déclaration, ou pour exercer l'un des droits décrits à la section 8, toute Personne concernée peut s'adresser à :

Oveon Sàrl, Avenue de la Rosiaz 7, 1009 Pully
contact@oveon.ch

Dernière mise à jour: Avril 2026

La présente Déclaration peut être mise à jour à tout moment pour refléter les évolutions légales ou les changements dans les pratiques de traitement d'Oveon. La version en vigueur est celle publiée sur le site internet d'Oveon.