Notre approche
Obillz applique des mesures techniques et organisationnelles visant à respecter les exigences applicables de la Loi fédérale suisse sur la protection des données (LPD).
Ces mesures visent à protéger les comptes, isoler les clubs et limiter l’accès aux données. Elles ne constituent pas une certification LPD et n’impliquent pas que toutes les données restent en Suisse.
Isolation des clubs
Chaque club dispose de son propre espace. Les données métier (membres, cotisations, événements, boutique, etc.) sont rattachées à un club et ne sont pas mélangées avec celles d’un autre club dans le fonctionnement normal du produit.
Permissions et RLS
L’accès au tableau de bord repose sur des rôles et des permissions (propriétaire, admin, comité, membre). Côté base de données, des politiques Row Level Security (RLS) restreignent ce qu’un utilisateur authentifié peut lire ou modifier. Les opérations sensibles passent par des API contrôlées.
Authentification à plusieurs facteurs (MFA)
Les comptes peuvent activer une authentification à plusieurs facteurs afin de réduire le risque d’accès non autorisé, y compris si un mot de passe est compromis.
Données sensibles
Certaines informations (numéro AVS, IBAN, jetons d’accès) sont traitées avec des précautions supplémentaires : le champ AVS est désactivé par défaut et facultatif ; les jetons présents dans les URL publiques ne sont pas envoyés tels quels à l’outil d’analytics ; les brouillons locaux n’enregistrent pas l’AVS ni l’IBAN.
Hébergement et prestataires
La base de données principale Supabase est indiquée, selon la configuration actuelle, comme située en Suisse. Il convient de conserver une preuve de la région réelle du projet. L’application est servie par Vercel ; les paiements passent par Stripe ; les e-mails par Resend. Certains de ces prestataires peuvent traiter des données à l’étranger.
Droits des personnes
Pour exercer un droit d’accès, de rectification, de suppression ou d’opposition (y compris marketing), contactez contact@obillz.com. Si la demande concerne les données d’un club, le club est le responsable du traitement ; Obillz l’assiste.
Accord de sous-traitance
L’Accord de traitement des données (DPA) décrit le rôle d’Obillz vis-à-vis des clubs. Pour les nouveaux clubs, il fait partie du contrat et est accepté à l’inscription. Voir aussi la politique de confidentialité.
Contact
Questions relatives à la sécurité ou à la protection des données : contact@obillz.com.