Votre registre des risques est votre document le plus sensible. Nous le traitons comme tel.

Hébergement

Les données applicatives (registre, incidents, rapports, comptes) sont stockées dans une base PostgreSQL managée Supabase, en Suisse (AWS eu-central-2, Zurich). Le prestataire contractant est Supabase Pte. Ltd, à Singapour ; pour les transferts hors de Suisse, son accord de traitement des données prévoit les clauses contractuelles types avec leurs adaptations suisses (art. 16 al. 2 let. d LPD).

L'application est servie par Vercel Inc., société établie aux États-Unis. Les pages de votre espace sont calculées par ses fonctions serveur, réglées sur la région fra1, à Francfort (Allemagne), qui lisent vos données à Zurich à chaque affichage ; l'Allemagne offre un niveau de protection adéquat (art. 16 al. 1 LPD, annexe 1 OPDo). Le contrôle de session qui précède chaque page s'exécute, lui, dans la région de Vercel la plus proche du visiteur. Vercel Inc. étant établie aux États-Unis, ce qu'elle traite pour notre compte suit son avenant sur le traitement des données (DPA), qui vaut pour notre offre Pro et prévoit, pour les données venues de Suisse, les clauses contractuelles types (art. 16 al. 2 let. d LPD). Un hébergement entièrement suisse, couche applicative comprise, reste à l'étude pour les clients qui l'exigent.

Chiffrement

Les échanges avec le site passent en HTTPS, que l'en-tête HSTS impose au navigateur pendant deux ans. Selon la documentation de Supabase, la base est chiffrée au repos (AES-256) et les mots de passe y sont stockés hachés (bcrypt), jamais en clair.

Isolation par organisation

Chaque organisation ne peut accéder qu'à ses propres données. Cette isolation est appliquée au niveau de la base de données (Row Level Security PostgreSQL), pas seulement dans l'application : même en cas de défaut applicatif, la base refuse de servir les données d'une autre organisation.

Ce dispositif a été durci à la suite de revues de sécurité internes : fonctions à search_path figé, contraintes d'unicité et de longueur en base, contrôles de cohérence entre tables, validation des entrées côté serveur. Aucun audit de sécurité indépendant n'a été réalisé à ce jour.

Sauvegardes

La base est sauvegardée automatiquement chaque jour par Supabase ; chaque sauvegarde est conservée 7 jours. Une donnée supprimée disparaît donc aussi des sauvegardes au plus tard 7 jours plus tard.

Politique d'accès

Seul l'éditeur administre la plateforme. Il n'ouvre le contenu de votre espace (risques, incidents, rapports, chiffres) qu'à votre demande, pour le support. Sa console d'administration, protégée par authentification, affiche pour chaque organisation son nom, son secteur, sa période en cours, ses dates de création et de dernière modification et le nombre d'éléments saisis, et pour chaque compte son adresse e-mail et ses dates d'inscription et de dernière connexion ; jamais le contenu saisi.

Protection des données (LPD)

Le traitement de vos données relève de la loi fédérale sur la protection des données (LPD). Pour le contenu de votre espace, RiskBoard agit comme sous-traitant de votre entreprise et ne le traite que pour vous fournir le service. Pour un pilote, le contrat de sous-traitance qui encadre ce traitement est conclu avec votre entreprise avant toute saisie de données réelles. Le registre s'exporte en CSV depuis l'application. Sur demande à contact@riskboard.ch, nous exportons les autres modules et supprimons l'ensemble de vos données, sans frais ; elles disparaissent ensuite des sauvegardes dans les 7 jours. Pour les données dont RiskBoard est lui-même responsable (votre compte, vos échanges avec nous), vous pouvez demander lesquelles nous traitons, et les faire corriger ou effacer (art. 25 et 32 LPD).

Le module santé-sécurité au travail contient des données sur la santé de vos collaborateurs : un incident de type maladie professionnelle, avec sa date et ses jours perdus, en est une dès que la personne est reconnaissable, ce qui arrive vite dans une petite équipe, même sans nom. Ce sont des données sensibles au sens de la LPD (art. 5 let. c ch. 2). Elles restent dans votre espace, sous la même isolation que le reste, et l'analyse de la veille ne les transmet pas.

Ce que le site enregistre sur vous

Compte. À l'inscription, nous enregistrons votre adresse e-mail et votre mot de passe, stocké haché. À chaque connexion, Supabase enregistre la date, l'adresse IP et le navigateur de la session ouverte. Ces données servent à vous authentifier et à sécuriser l'accès. Elles sont conservées tant que le compte existe ; pour le fermer, écrivez à contact@riskboard.ch.

Visites et cookies. Sur les pages publiques, notre compteur de visites n'utilise aucun cookie : il note l'adresse de la page vue avec tous ses paramètres (ceux d'une campagne, par exemple), le nom du site d'où vous arrivez et l'heure, sans votre adresse IP ni votre navigateur. Notre hébergeur Vercel enregistre en outre les requêtes reçues dans ses journaux techniques. Les seuls cookies que pose le site servent à la connexion : ils sont posés quand vous créez votre compte ou vous connectez, et sans cela le site n'en pose aucun. Vous pouvez les supprimer depuis votre navigateur, ce qui vous déconnecte.

Prise de rendez-vous. Le bouton « Demander un échange de 15 min » ouvre une page de réservation de Google Agenda. Le nom et l'adresse e-mail que vous y saisissez sont transmis à Google, qui exploite ce service.

Courriels. Les messages envoyés à contact@riskboard.ch et leurs pièces jointes, dont le registre Excel d'un pilote, sont conservés dans une messagerie Infomaniak ; selon Infomaniak, ces données sont hébergées exclusivement en Suisse.

Prospection. Nous écrivons à des dirigeants d'entreprises suisses dont les noms figurent dans des sources publiques (Feuille officielle suisse du commerce, registres professionnels, annuaires, sites des entreprises) ; chaque message dit d'où vient le nom. L'adresse e-mail vient du site de l'entreprise ou d'une base de contacts professionnels. Pour ne plus être contacté, écrivez à contact@riskboard.ch.

Analyse IA de la veille

La page Veille propose une sélection de risques émergents adaptée à votre organisation. Pour l'établir, nous transmettons à Anthropic le nom de votre organisation, son secteur, et la liste des risques de votre registre (code, titre, catégorie). Notre cocontractant est Anthropic Ireland, Limited, en Irlande ; les données de la requête sont conservées aux États-Unis, et le calcul peut s'exécuter dans toute région choisie par Anthropic. Le détail des risques (description, causes, contrôles, propriétaire), les plans d'action, les incidents SST et les chiffres financiers ne sont pas transmis. Les titres partent tels que vous les avez saisis : un nom de personne écrit dans un titre est transmis avec lui.

Ce transfert n'a lieu que lorsque vous lancez l'analyse, jamais en arrière-plan. Les conditions commerciales d'Anthropic lui interdisent d'entraîner ses modèles sur les données reçues via son API. L'Irlande assure un niveau de protection adéquat (art. 16 al. 1 LPD, annexe 1 OPDo) ; au-delà, l'accord de traitement des données d'Anthropic intègre les clauses contractuelles types de la Commission européenne et leur avenant suisse (art. 16 al. 2 let. d LPD).

Ce que nous ne faisons pas

Aucune vente de données. Le contenu de votre espace n'est transmis à aucun destinataire autre que les prestataires nommés sur cette page. RiskBoard n'entraîne aucun modèle d'IA sur vos données. Aucune phrase de vos rapports n'est rédigée par une IA : tous les chiffres sont calculés, traçables et reproductibles. La seule exception est la veille, dont les commentaires sont générés et signalés comme tels dans l'interface (voir ci-dessus).