Déclaration de Confidentialité – Sandra

Date d'effet : Janvier 2025
Exploitant : BRSL Group, Rue de Carouge 24, 1205 Genève, Suisse
Contact : legal@sandra.ch
Délégué à la protection des données (DPO) : Jérôme Amoudruz

1. Définitions

Sandra, nous, notre : La plateforme technologique exploitée par BRSL Group.
Plateforme : Sandra, y compris toutes ses fonctionnalités numériques telles que le chatbot via WhatsApp.
Client : Toute entreprise ou professionnel utilisant Sandra pour assister des utilisateurs finaux via WhatsApp.
Utilisateur final : Une personne interagissant avec le Client via WhatsApp opéré par Sandra.
Utilisateur : Désigne collectivement les Clients et les Utilisateurs finaux.
Données personnelles : Toute information se rapportant à une personne physique identifiée ou identifiable.
Traitement : Toute opération effectuée sur des données personnelles (stockage, analyse, suppression, etc.).
Responsable du traitement : L'entité décidant des finalités et moyens du traitement (généralement le Client).
Sous-traitant : L'entité traitant des données pour le compte d'un Responsable (Sandra agit en tant que sous-traitant pour les Clients).
Législation applicable : Le Règlement général sur la protection des données (RGPD) et la [Loi fédérale sur la protection des données (nLPD).

2. Champ d'application

Cette Déclaration de Confidentialité s'applique :

Aux utilisateurs finaux interagissant avec le Client via WhatsApp opéré par Sandra;
Aux Clients contractant l'utilisation de Sandra ;
Aux visiteurs de toute interface numérique officielle de Sandra.

Sandra est exclusivement accessible via le Web, ses services.
Le traitement des données se fait dans ce cadre, et l'accès est réservé aux parties autorisées.

3. Bases légales du traitement

Sandra traite les données personnelles sur les fondements suivants :

Finalité	Base légale
Fournir l'accès à Sandra via WhatsApp	RGPD Art. 6(1)(b) – Nécessaire à l'exécution d'un contrat nLPD Art. 31 – Traitement nécessaire au service
Sécurité et maintenance de la plateforme	RGPD Art. 6(1)(f) – Intérêt légitime nLPD Art. 31(1) – Fonctionnalité technique
Obligations légales et réglementaires	RGPD Art. 6(1)(c) – Obligation légale nLPD Art. 30 – Coopération avec les autorités
Analyse optionnelle & amélioration produit	RGPD Art. 6(1)(a) – Consentement nLPD Art. 6 – Analyse fondée sur le consentement

4. Catégories de données collectées

Depuis les utilisateurs finaux (WhatsApp)	Depuis les Clients (contrat de service)
Numéro de téléphone	Nom de l'entreprise, email
Messages échangés via WhatsApp	Identifiants d'administration
Horodatage des messages	Informations de facturation
Données comportementales (flux, interactions)	Préférences de compte

Remarque : Les utilisateurs finaux n'ont pas accès à des interfaces de configuration. Les scénarios sont centralisés par Sandra.

5. Sous-traitants et destinataires de données

Sandra collabore avec les sous-traitants suivants :

Fournisseur	Usage	Localisation	Garanties
Google LLC	Infrastructure et analytique (GCP, GA)	UE / États-Unis	SCCs, anonymisation IP
Meta Platforms Inc.	Infrastructure WhatsApp Business API	Monde entier	SCCs, conditions Meta
HubSpot Inc.	CRM et automatisation marketing	États-Unis	DPA et SCCs
OpenAI, L.L.C.	Modèle de langage LLM (optionnel)	États-Unis	DPA, minimisation des données
Mistral AI	Modèle de langage européen (optionnel)	France / UE	Hébergement UE ou local
Supabase Inc.	Base de données, authentification	UE	Chiffrement et hébergement européen

Sandra ne vend ni ne cède les données personnelles.

6. Localisation des données et transferts internationaux

Les données sont stockées et traitées en :

🇨🇭 Suisse
🇪🇺 Union européenne (UE)

Pour les transferts internationaux (ex. vers les États-Unis), Sandra applique :

Clauses contractuelles types (SCC)
Minimisation et chiffrement des données
Préférence pour l'hébergement local/européen

7. Durée de conservation

Les données personnelles sont conservées uniquement pendant la durée nécessaire. Par défaut :

Type de données	Durée de conservation	Justification
Historique de chat WhatsApp	Jusqu'à 48 mois	Traçabilité légale, support, audit
Logs techniques et métadonnées	Jusqu'à 48 mois	Recherches d'incidents, conformité sécurité
Comptes clients et facturation	Durée du contrat + 2 ans	Obligations comptables suisses (CO, art. 958f)
Support et contact utilisateur	12 mois	Qualité de service, suivi des demandes

Sandra revoit ces politiques annuellement (RGPD Art. 5(1)(e), nLPD Art. 6). Sur demande vérifiée, les données sont supprimées ou anonymisées sous 30 jours.

8. Vos droits

Conformément au RGPD et à la nLPD, vous disposez des droits suivants :

Accéder à vos données
Rectifier des données inexactes
Demander la suppression
Vous opposer ou restreindre certains traitements
Retirer votre consentement

Exercer la portabilité des données

📧 legal@sandra.ch
📍 BRSL Group – Rue de Carouge 24, 1205 Genève, Suisse

9. Sécurité des données

Sandra applique les mesures suivantes :

Chiffrement TLS en transit
Chiffrement au repos
Accès par rôle (RBAC)
Architecture multi-locataire sécurisée
Supervision en temps réel et correctifs sécurité

Les plans de continuité et de reprise d'activité ne sont pas publiés publiquement.

10. Mises à jour de cette déclaration

Cette politique peut être mise à jour. La date d'effet reflètera toute modification. En cas de changement matériel, une notification sera envoyée par email ou via WhatsApp.

11. Contact

Sandra
Exploitant : BRSL Group
📍 Rue de Carouge 24, 1205 Genève, Suisse
📧 legal@sandra.ch
👤 DPO : Jérôme Amoudruz