Protection des données

Responsable

Ubivo (raison individuelle Marco Scherer) · Suisse · Contact pour les demandes relatives à la protection des données : hallo@ubivo.ch

Identification complète du fournisseur dans les mentions légales.

Quelles données Ubivo enregistre

• Lors d'une visite anonyme :aucun compte, aucun nom, aucune adresse e-mail. Nous ne comptons les recherches d'adresses que de manière pseudonyme dans la statistique d'utilisation (voir ci-dessous), il n'y a pas de cookies de tracking de tiers, pas de scripts d'analyse (pour le cookie de campagne après un clic sur une annonce, voir Cookies). Nous ne gardons l'IP que de manière éphémère en mémoire vive pour la limitation de débit contre les balayages de bots (max. 30 rapports/h), pas dans une base de données, pas liée à votre compte. L'entrée est supprimée automatiquement à l'expiration de la fenêtre temporelle (jusqu'à 1 heure).
• Lors de la connexion :votre adresse e-mail, exclusivement pour l'envoi du lien magique et la reconnaissance de votre compte. Aucun autre identifiant de connexion (nous n'enregistrons pas de mots de passe).
• Lorsque vous enregistrez des profils : un nom que vous choisissez vous-même + les pondérations de facteurs que vous avez sélectionnées pour votre situation de vie. Éventuellement des champs de profil tels que revenu, ménage, âge, franchise de caisse-maladie, uniquement si vous les saisissez vous-même.
• Lorsque vous mémorisez une adresse (☆ Mémoriser) : l'adresse + les coordonnées sont liées à votre compte. C'est le but de la liste des favoris. Supprimable à tout moment.
• Lors d'un achat (Bilan rapide ou Dossier) :votre ID utilisateur, l'adresse de départ, le palier de produit (Bilan rapide ou Dossier), le statut d'achat, l'ID de session Stripe ainsi que le nom de projet que vous choisissez. Nous ne voyons aucune donnée de carte de crédit. Le prestataire de paiement Stripe traite le paiement.
• Lors d'un achat sans connexion préalable : Stripe nous transmet l'adresse e-mail que vous y indiquez. Pour que vous puissiez ouvrir l'achat aussi sur d'autres appareils, nous le créditons sur un compte Ubivo lié à cette adresse (existant ou créé à cet effet) et vous y envoyons un lien de connexion. Cela sert à l'exécution du contrat d'achat. Seule la personne qui ouvre le lien dans cette boîte e-mail accède au compte ; l'achat seul ne connecte personne.
• Dans le projet de recherche :les adresses que vous ajoutez comme alternatives de comparaison à votre adresse de départ (max. 1 ou 5 selon le palier). Les adresses peuvent être retirées à tout moment. Nous enregistrons combien d'échanges vous avez déjà effectués, afin de faire respecter le contingent d'échange convenu contractuellement (max. 2 ou 12). En option, le prix d'achat par adresse, si vous le saisissez dans le projet. Il sert uniquement au calcul dans votre dossier (frais d'acquisition, capacité financière, total sur dix ans) et ne fait pas partie du justificatif d'achat. Vous pouvez l'effacer à tout moment ; lors de la suppression du compte, il est supprimé immédiatement.
• Si vous partagez votre dossier (lien de lecture) : pour un projet payé, vous pouvez créer jusqu'à trois liens à la fois, avec lesquels une autre personne peut lire le dossier sans compte. Nous enregistrons pour cela : à quel projet le lien appartient, le nom que vous indiquez (facultatif), quand le lien a été créé, jusqu'à quand il est valable (30 jours), si vous l'avez révoqué et quand il a été ouvert pour la dernière fois. Nous n'enregistrons pas le lien lui-même, seulement une valeur de contrôle non réversible (SHA-256). L'autre personne ne voit pas votre adresse e-mail.
  Ce que l'autre personne voit :le dossier des adresses de ce projet, calculé avec votre profil par défaut et les prix d'achat que vous avez saisis dans le projet, ainsi que les noms du projet et du profil. Il contient des indications comme le revenu, le prix d'achat, le ménage, le lieu de travail et les fonds propres. Ne partagez donc le lien qu'avec des personnes autorisées à voir ces informations. Elle ne peut rien modifier ni créer de PDF. Sur l'autre personne, nous n'enregistrons rien d'autre que le moment de la dernière ouverture ; nous ne gardons son adresse IP que de manière éphémère pour la limitation de débit, et pour le reste, sa visite est traitée comme une visite anonyme.
  Remarque : certaines messageries ouvrent elles-mêmes un lien pour afficher un aperçu. « Ouvert pour la dernière fois » peut alors provenir de cet aperçu.
• Avec l'outil « Changer de caisse-maladie » : les données du calculateur (commune ou NPA, année de naissance, franchise, couverture accidents, modèle, caisse actuelle et prime) sont envoyées à notre serveur, utilisées uniquement pour calculer les primes, et ne sont ni enregistrées ni journalisées. Les données de la lettre de résiliation (noms, adresse, dates de naissance, numéros d'assuré) restent dans votre navigateur : Ubivo ne les reçoit pas, ne les enregistre pas et ne les voit pas, pas même dans la mémoire du navigateur. Ubivo ne transmet rien aux caisses-maladie.
• Avec l'outil « Vérifier le loyer » : le calcul et la lettre de demande de diminution sont faits entièrement dans votre navigateur. Le loyer, les dates, les noms, l'adresse et l'objet loué ne sont pas envoyés à notre serveur, ni enregistrés, ni conservés dans la mémoire du navigateur. Ubivo ne transmet rien à votre bailleur.
• Avec l'extension de navigateur « Ubivo · Vérifier une annonce » : l'extension lit l'annonce ouverte sur ImmoScout24, Homegate, Comparis ou Newhome uniquement dans votre navigateur. Ce n'est que lorsque vous cliquez sur le bouton qu'elle ouvre ubivo.ch avec l'adresse, le numéro postal, la localité, le prix, le nombre de pièces, la surface et le lien de l'annonce dans l'adresse de la page. L'extension n'envoie rien d'autre et n'enregistre rien. Ubivo n'enregistre ces informations que si vous enregistrez vous-même l'annonce dans votre compte.
• NON enregistré :aucun historique de navigation en dehors de la statistique d'utilisation décrite ci-dessous, aucun profil d'agent utilisateur lié au compte, aucun journal serveur associé à votre compte.

Statistique d'utilisation (télémétrie de tunnel)

Pour comprendre quelles parties d'Ubivo conduisent les visiteurs jusqu'à l'achat (et lesquelles non), nous enregistrons certains événements de votre visite : consultations de la page d'accueil, des pages thématiques, d'un rapport, des tarifs et de la comparaison ; l'envoi d'une adresse ; les sections d'un rapport que vous atteignez ; l'affichage et le clic sur l'aperçu du dossier dans le rapport gratuit ; les clics sur les liens vers BauCheck ; le lancement du paiement Stripe, les achats finalisés et les téléchargements PDF.

• Identification :un identifiant pseudonyme, calculé comme un hachage SHA-256 à partir de votre adresse IP, de l'identifiant de votre navigateur (user agent) et du jour calendaire. Aucun cookie n'est posé, et ni l'adresse IP ni l'identifiant du navigateur ne sont enregistrés. Comme le jour calendaire entre en compte, l'identifiant change chaque jour. Nous ne vous reconnaissons pas d'un jour à l'autre. Aucun suivi intersites, aucune association avec des réseaux publicitaires.
• Tests A/B :nous testons occasionnellement deux variantes de texte l'une contre l'autre (p. ex. un choix de mots sur les cartes de facteurs) et mesurons, à l'aune des événements ci-dessus, laquelle est plus utile. L'attribution utilise un hachage de l'adresse IP et de l'identifiant du navigateur, ici sans jour calendaire, afin que vous voyiez la même variante au sein d'une expérience. Seul le nom de la variante est enregistré avec l'événement ; aucun cookie n'est utilisé pour cela.
• Utilisateurs connectés :si vous êtes connecté, nous enregistrons l'ID de votre compte avec la plupart des événements (pas avec les clics vers BauCheck). Ces événements figurent dans votre export de données. Si vous supprimez votre compte (art. 32 LPD), nous retirons immédiatement l'ID du compte de tous les événements.
• Ce qui est enregistré :pour chaque événement, son type et son moment, l'identifiant pseudonyme et, selon l'événement, une courte indication complémentaire (p. ex. la section du rapport atteinte, l'emplacement du lien BauCheck, la page depuis laquelle une adresse a été envoyée, ou si un achat s'est fait sans compte), le produit acheté, la variante d'un test A/B, la catégorie approximative d'appareil (Desktop/Mobile/Bot/Inconnu) et le nom d'hôte de la page référente (p. ex. un moteur de recherche, pas l'URL complète). Nous n'enregistrons les adresses que sous forme de hachage raccourci (SHA-256, les 16 premiers caractères hexadécimaux), jamais en clair. Il s'agit d'une pseudonymisation, pas d'une anonymisation : en calculant une liste d'adresses, on pourrait attribuer un hachage à une adresse. Nous ne le faisons pas et analysons des tendances, pas des visites individuelles.
• Ce qui n'est PAS enregistré :aucun mouvement de souris, aucun autre clic que ceux cités ci-dessus, aucune profondeur de défilement en pixels, aucune durée de consultation mesurée, aucune donnée précise d'appareil. Pour le rapport, nous retenons toutefois quelles sections ont été amenées dans la moitié supérieure de l'écran ; cela montre approximativement jusqu'où la lecture est allée. Comme chaque événement porte un horodatage, on peut en outre déduire approximativement combien de temps un rapport est resté ouvert.
• Conservation : 90 jours. Un traitement horaire supprime les événements plus anciens. Les totaux journaliers de notre analyse sont eux aussi calculés à partir de ces événements et ne remontent donc pas au-delà de 90 jours.
• Base légale :notre intérêt privé prépondérant à améliorer le produit (art. 31 al. 1 LPD). Sans possibilité de mesure, nous ne pourrions pas décider quelles parties d'Ubivo apportent une utilité aux acheteurs.
• Opposition :l'identifiant est calculé de manière pseudonyme à partir de l'adresse IP et du navigateur (sans cookie) et ne peut donc pas être désactivé en effaçant les cookies. Les événements sont supprimés après 90 jours ; sans connexion, ils ne contiennent rien qui pointe directement vers votre personne. Pour une opposition selon l'art. 30 LPD ou pour des questions sur le traitement, vous nous joignez à hallo@ubivo.ch.

Où se trouvent les données

Toutes les données utilisateur se trouvent dans une instance PostgreSQL chez le fournisseur HostBott (Blumenweg 8, 7204 Untervaz GR) ; les serveurs se trouvent dans des centres de données suisses. Pas de cloud américain, pas de pays tiers pour l'enregistrement. Le transit des données vers les destinataires mentionnés ci-dessous est chiffré (TLS).

À qui les données sont transmises

Ubivo ne partage des données avec des prestataires tiers que là où c'est techniquement nécessaire, et se limite chaque fois au minimum :

• Stripe (prestataire de paiement) :pour les achats de Bilan rapide et de Dossier. Données : pour un achat avec compte, votre ID utilisateur et votre adresse e-mail (Stripe la préremplit), l'adresse d'achat, le choix de produit, votre montant et, le cas échéant, l'identifiant de campagne du cookie ubivo_utm(voir Cookies). Pour un achat sans connexion, Stripe saisit votre adresse e-mail et nous la transmet pour rattacher l'achat à un compte. Nous ne voyons aucune donnée de carte de crédit. Stripe traite les données de paiement en majeure partie sous sa propre responsabilité (traitement des paiements, prévention de la fraude, obligations légales) ; c'est alors la déclaration de protection des données de Stripe qui s'applique (stripe.com/ch/privacy). Dans la mesure où Stripe tient pour nous les sessions de paiement avec les données d'achat (identifiant d'achat, adresse, produit et, le cas échéant, ID de compte et identifiant de campagne), Stripe est notre sous-traitant.
  Communication à l'étranger :le cocontractant d'Ubivo est Stripe Payments Europe, Limited, en Irlande. Pour les services de paiement soumis à autorisation en Suisse, Stripe indique Stripe Payments UK, Ltd., au Royaume-Uni. Le Conseil fédéral a constaté que ces deux États offrent un niveau de protection adéquat (art. 16 al. 1 LPD). Stripe peut en outre transférer des données aux États-Unis. Pour cela, Stripe est certifiée selon le Swiss-U.S. Data Privacy Framework, reconnu comme adéquat par le Conseil fédéral ; en complément, Stripe conclut des clauses types de protection des données avec un avenant suisse (art. 16 al. 2 let. d LPD). Informations selon le centre de confidentialité de Stripe, consulté le 2 octobre 2026.
• ZeptoMail (envoi d'e-mails) : ZeptoMail de Zoho Corporation B.V., Utrecht (Pays-Bas), centres de données aux Pays-Bas et en Irlande : pour le lien de connexion et les e-mails transactionnels (confirmation d'achat). Données : votre adresse e-mail et le contenu du message. Pour l'exploitation et le support, Zoho Corporation Pvt. Ltd. peut y accéder depuis l'Inde ; l'Inde n'offre pas un niveau de protection adéquat, Zoho encadre ces transferts par des clauses contractuelles types (art. 16 al. 2 let. d LPD). Détails sur zoho.com/privacy.
• swisstopo, BAFU, BFS, ARE, MeteoSchweiz, ESTV et autres services officiels suisses :les données géographiques et statistiques sont récupérées publiquement par nos soins. Ces services ne reçoivent AUCUNE donnée sur vous (les requêtes proviennent des serveurs Ubivo). Lors de requêtes communales, l'IP du serveur peut être transmise au serveur WMS concerné, sans référence à l'utilisateur.
• Open-Meteo + Copernicus CAMS :les données météorologiques et de qualité de l'air sont récupérées côté serveur, sans référence à l'utilisateur.
• Service de tuiles WMTS de swisstopo :lorsque vous ouvrez le sélecteur de marqueur pour les adresses de construction neuve, votre navigateur charge directement les tuiles cartographiques de swisstopo (protocole WMTS standard). swisstopo voit alors votre adresse IP et les coordonnées des tuiles demandées, équivalent à ce qui se passe lorsque vous visitez map.geo.admin.ch. Nous ne transmettons rien et n'enregistrons rien à ce sujet.
• Sinon PERSONNE. Nous ne vendons aucune donnée, nous ne les transmettons pas à des réseaux publicitaires ou à des courtiers en données, nous ne les partageons pas avec des autorités sans décision judiciaire.

Combien de temps les données sont conservées

• Les données de compterestent jusqu'à ce que vous supprimiez le compte. Processus de suppression dans l' espace compte. Un clic, suppression immédiate de toutes les données liées au compte.
• Les adresses / profils enregistrésrestent jusqu'à ce que vous les retiriez vous-même ou supprimiez le compte.
• Les justificatifs d'achatsont conservés 10 ans pour des raisons fiscales et comptables (obligation légale de conservation). Ces justificatifs contiennent l'ID utilisateur, l'adresse, le montant, la date, mais aucune valeur de facteur.
• L'IP pour la limitation de débitn'est gardée que de manière éphémère en mémoire vive (aucun enregistrement persistant) et supprimée à l'expiration de la fenêtre temporelle (jusqu'à 1 heure), jamais liée au compte.
• La statistique d'utilisationest conservée 90 jours, les totaux journaliers qui en sont calculés également (voir la section « Statistique d'utilisation » ci-dessus).
• Les liens de lecture sont valables 30 jours. Nous supprimons les liens expirés ou révoqués 30 jours plus tard. Si vous supprimez votre compte, tous les liens sont supprimés immédiatement. Si un achat est remboursé, ses liens cessent immédiatement de fonctionner.

Vos droits

Selon la nLPD (loi suisse sur la protection des données, art. 25 ss), vous disposez des droits suivants :

• Accès (art. 25) : tout ce que nous avons enregistré à votre sujet, vous pouvez le télécharger à tout moment sous forme de fichier JSON · /api/me/export.
• Rectification :corriger des données erronées. La plupart des champs, vous pouvez les modifier vous-même dans l'espace compte, sinon un e-mail à hallo@ubivo.ch.
• Suppression : supprimer le compte + toutes les données associées via /account/delete (immédiat, sans délai d'attente).
• Portabilité des données :l'export JSON lié ci-dessus est lisible par machine. Vous pouvez l'emporter partout.
• Révocation du consentement :possible à tout moment, sans justification. La révocation vaut pour l'avenir.
• Droit de plainte auprès du PFPDT (EDÖB) : en cas de réclamation, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence.

Cookies

Ubivo pose des cookies techniquement nécessaires et, uniquement après un clic provenant d'une campagne, un cookie de campagne :

• Cookie de session après connexion (HttpOnly, SameSite=Lax, Secure). Il lie votre session à votre compte. Obligatoire pour les fonctions connectées.
• Cookies d'achat, uniquement après un achat sans connexion (HttpOnly, SameSite=Lax, Secure) : ubivo_kauf_startretient pendant 24 heures au plus que ce navigateur a lancé un achat et n'est envoyé qu'à l'adresse de retour de Stripe. ubivo_kaufcontient pendant 180 jours l'identifiant de votre achat payé (ni votre personne ni un compte), pour que vous puissiez ouvrir le rapport dans ce navigateur sans connexion. Les deux sont signés et infalsifiables.
• Cookie de lecture, uniquement à l'ouverture d'un dossier partagé (HttpOnly, SameSite=Lax, Secure) : ubivo_freigabe retient pendant 24 heures au plus (jamais plus longtemps que la validité du lien) quels liens de lecture ce navigateur a ouverts (trois au plus). Il ne contient ni personne ni compte, il est signé et infalsifiable. Un lien révoqué cesse immédiatement de fonctionner, même si le cookie existe encore.
• Télémétrie de tunnel :l'enchaînement de vos événements (voir la section « Statistique d'utilisation ») fonctionne sans cookie via un identifiant pseudonyme calculé (adresse IP + identifiant du navigateur + jour calendaire). Un cookie ubivo_telemetry_sid (HttpOnly, SameSite=Lax) n'est techniquement lu que s'il en existe déjà un; il n'est actuellement pas posé activement. Aucun suivi intersites n'a lieu.
• Cookie de campagne, uniquement après un clic provenant d'une campagne (first-party, SameSite=Lax, pas HttpOnly, car il est posé dans le navigateur) : ubivo_utmn'est posé que si l'adresse appelée contient une indication de campagne (utm_campaign), par exemple après un clic sur une annonce. Il contient pendant 30 jours la source et le nom de la campagne, nettoyés et sans donnée sur votre personne. Si vous achetez pendant cette période, nous joignons la valeur au paiement chez Stripe. Nous voyons ainsi quelle campagne mène à des achats. Ce cookie n'est pas techniquement nécessaire ; Ubivo fonctionne de la même manière sans lui.

Aucun cookie de réseaux publicitaires, aucun tracking tiers, aucune analyse de Google/Meta/Adobe.Ne sont posés activement que le cookie de session de connexion, après un achat sans connexion les cookies d'achat, à l'ouverture d'un dossier partagé le cookie de lecture (tous techniquement nécessaires) et, uniquement après un clic provenant d'une campagne, le cookie de campagne ubivo_utm. La télémétrie de tunnel se passe entièrement de cookie posé ; elle repose sur notre intérêt privé prépondérant à améliorer le produit (art. 31 al. 1 LPD). Il n'y a pas de bannière de cookies : le droit suisse de la protection des données n'exige pas de consentement préalable pour ces cookies, mais une information, et elle figure ici. Si vous ne voulez pas du cookie de campagne, supprimez-le ou bloquez les cookies de ubivo.ch dans votre navigateur ; cela vaut opposition.

Sécurité

HTTPS imposé (HSTS), en-têtes CSP restrictifs, aucun script JS tiers. Les indications particulièrement sensibles de votre profil de personnalisation (revenu, franchise de caisse-maladie et adresse du lieu de travail) sont en outre enregistrées chiffrées au niveau du champ au repos (pgcrypto/pgp_sym, clé séparée de la base de données). Bugs de sécurité à security@ubivo.ch. Divulgation responsable bienvenue.

Modifications

Nous mettons cette page à jour lorsque des finalités de traitement substantielles changent. En cas de modifications importantes, nous informons les utilisateurs connectés par e-mail. État de ce document : 3 octobre 2026.