Mise à jour : 29 octobre 2026
Le responsable du traitement décrit dans cette politique est la partie désignée dans nos Mentions légales (entreprise individuelle Akram El Gebali, Allschwil, numéro d’entreprise CHE-292.959.874).
Pour toute question relative à la protection des données et pour exercer vos droits, contactez-nous à info@complyswiss.ch. Nous n’avons pas désigné de conseiller à la protection des données distinct ; le propriétaire en est personnellement responsable.
Cette politique de confidentialité s’applique au site complyswiss.ch et à la plateforme ComplySwiss. Nous traitons les données personnelles conformément à la loi fédérale suisse sur la protection des données (LPD) et à l’ordonnance sur la protection des données. Lorsque le règlement général sur la protection des données de l’UE (RGPD) s’applique dans certains cas, nous le respectons également.
Selon le type de données, nous assumons l’un des deux rôles suivants :
Lorsque vous consultez notre site web, le serveur web enregistre des informations techniques dans des fichiers journaux : adresse IP, date et heure, page consultée, URL de provenance, navigateur et système d’exploitation. Ces données sont nécessaires pour exploiter le site en toute sécurité et détecter les attaques ; nous ne les conservons que le temps nécessaire à ces fins.
Nos polices sont hébergées sur notre propre serveur en Suisse. Google Analytics n’est chargé sur les pages publiques qu’avec votre consentement ; sans celui-ci, aucune connexion à Google Analytics n’est établie.
Lorsque vous nous contactez via le formulaire de contact ou par e-mail, nous traitons votre nom, votre adresse e-mail, éventuellement votre entreprise et le contenu de votre message afin de répondre à votre demande. Le formulaire est traité sur notre serveur en Suisse et transmis à notre boîte de réception. Les fournisseurs de messagerie des expéditeurs ou destinataires externes peuvent également intervenir.
Les demandes qui n’aboutissent pas à un contrat sont supprimées au plus tard 12 mois après la fin de la correspondance.
Lorsque vous demandez un compte d’entreprise, nous traitons le nom de l’entreprise, son adresse, le nom et l’adresse e-mail de la personne de contact, la formule d’abonnement choisie et la référence de paiement. Nous examinons la demande et activons le compte après réception du paiement. Le paiement s’effectue par virement bancaire ; notre banque nous communique les coordonnées du payeur.
Nous conservons les documents contractuels, les factures et les pièces comptables pendant la durée légale de dix ans (art. 958f du Code suisse des obligations). Les demandes refusées sont supprimées après six mois.
Pour chaque compte utilisateur, nous traitons le nom, l’adresse e-mail, le rôle, l’appartenance à l’entreprise ou à l’organisation, le mot de passe sous forme d’empreinte irréversible et, si elle est activée, la clé secrète d’authentification à deux facteurs (stockée sous forme chiffrée).
Les événements liés à la sécurité, tels que les connexions, les réinitialisations de mot de passe et les modifications de données, sont enregistrés avec l’horodatage et l’utilisateur dans un journal d’audit. Ce journal sert à la sécurité et à la preuve auprès des organismes de surveillance et d’audit ; il fait partie des données du client et est conservé en conséquence (section 7). Pour prévenir les abus, nous traitons brièvement les adresses IP lors des tentatives de connexion et d’envoi de formulaires afin d’en limiter le nombre.
Pour les e-mails de la plateforme (p. ex. réinitialisations de mot de passe, notifications), nous utilisons le service de messagerie de notre hébergeur en Suisse.
Nos clients enregistrent dans ComplySwiss des données sur leurs propres clients afin de remplir leurs obligations de diligence selon la loi suisse sur le blanchiment d’argent (LBA). Cela comprend notamment : données d’identification, adresses, date de naissance, nationalité, profession, informations sur les ayants droit économiques, origine des fonds et de la fortune, pièces d’identité et autres justificatifs, évaluations des risques, résultats des contrôles de sanctions et de PPE, transactions, adresses de portefeuilles, alertes, dossiers et notes.
Ces données peuvent inclure des données personnelles sensibles, telles que des informations sur des sanctions, des procédures administratives ou pénales, ou des fonctions politiques. Les clients peuvent également saisir eux-mêmes leurs données via un lien d’entrée en relation ; nous traitons aussi ces données pour le compte du client concerné.
Nous traitons ces données uniquement sur instruction de notre client et conformément à l’accord de traitement des données (DPA), que nous fournissons sur demande. Nous n’utilisons pas ces données à nos propres fins et ne les analysons pas. Elles ne sont transmises qu’aux sous-traitants mentionnés au chiffre 9, dans la mesure où le client utilise la fonction concernée. Seuls les utilisateurs autorisés par le client y ont accès ; nous n’y accédons nous-mêmes que si cela est nécessaire pour l’assistance ou l’exploitation et si le client le demande ou l’autorise.
La durée de conservation est déterminée par le client ; la LBA impose généralement dix ans (art. 7 LBA). À la fin du contrat, le client peut exporter ses données. Nous les supprimons ensuite dans les 90 jours, sauf demande du client d’une conservation plus longue. Les données supprimées peuvent subsister dans les sauvegardes jusqu’à leur rotation planifiée. Le dispositif actuel prévoit des sauvegardes incrémentielles quotidiennes et des sauvegardes complètes hebdomadaires ; jusqu’à quatre sauvegardes complètes et les sauvegardes incrémentielles correspondantes sont conservées. Cette rotation ne prolonge pas le délai distinct de disponibilité et de suppression de 24 heures applicable aux images temporaires des pièces d’identité et du visage ainsi qu’aux enregistrements vidéo.
Il en va de même pour les organismes d’autorégulation (OAR) dans le module OAR : nous traitons les registres des membres, les audits, les constatations, les autodéclarations et les documents associés pour le compte de l’OAR concerné. Les détails figurent dans notre accord de traitement des données.
20.10.2026
Pour l’examen d’identification, ComplySwiss traite les images de la pièce d’identité, les images du visage et, uniquement avec le consentement distinct des deux participants à l’enregistrement, le son et la vidéo de l’entretien. Les fichiers restent sur l’infrastructure ComplySwiss et sont accessibles uniquement aux personnes autorisées. Aucun prestataire d’IA externe ne les reçoit. Le parcours assisté ne confirme ni l’identité, ni l’authenticité du document, ni la présence réelle.
Dans le cadre de ce parcours, l’intermédiaire financier doit procéder à l’examen de l’identité lors d’une visioconférence en direct menée par du personnel adéquatement formé. Il doit veiller à ce que ses collaborateurs soient formés à examiner les pièces d’identité, à les rapprocher de la personne participant à l’appel et à reconnaître les indices de falsification, d’altération ou de fraude. La lecture automatisée des documents et la comparaison faciale ne constituent qu’une aide ; l’intermédiaire demeure responsable de l’appréciation et du respect du droit applicable et des exigences de l’OAR.
ComplySwiss fournit un stockage temporaire et le téléchargement, et non des archives de conformité permanentes. Les captures terminées de la pièce et du visage ainsi que les vidéos sauvegardées ou marquées incomplètes restent accessibles au personnel autorisé pendant 24 heures après leur achèvement. Le service supprime automatiquement ses copies à l’échéance affichée, sauf demande antérieure de suppression ou de nouvelle capture par une personne autorisée. Le téléchargement, l’examen et l’actualisation ne prolongent pas ce délai.
La même fenêtre de téléchargement de 24 heures s’applique aux images de la pièce, du visage, des réponses guidées et aux vidéos. Pour les captures de la pièce et du visage, l’achèvement correspond à la fin de l’analyse locale ; pour les vidéos, à la sauvegarde ou au marquage comme incomplet. Les captures non terminées expirent 24 heures après le premier envoi confirmé ; les invitations inutilisées expirent après 24 heures. Les captures temporaires et les vidéos sont chiffrées dans le stockage ComplySwiss et survivent à un redémarrage normal du service sans nouveau délai de 24 heures. La page affiche l’échéance applicable. Ce stockage temporaire ne constitue pas des archives à long terme et ne remplace pas les sauvegardes de l’intermédiaire.
L’intermédiaire financier, et non la personne à identifier, doit télécharger le PDF de la pièce et du visage, le compte rendu et la vidéo nécessaires avant leur échéance respective, vérifier leur intégrité et leur lisibilité et les conserver dans ses propres archives protégées. Il est responsable des droits d’accès, des sauvegardes et de la conservation imposée par le droit applicable et les règles de l’OAR. ComplySwiss n’archive pas ces médias temporaires pour le compte de l’intermédiaire après leur expiration. Les copies PDF sont créées dans le navigateur du personnel autorisé ; cette fonction ne conserve aucune copie PDF distincte sur le serveur. Les copies déjà téléchargées restent sous la responsabilité de l’intermédiaire et ne sont pas supprimées par l’expiration du serveur.
La capture de la pièce et du visage et l’enregistrement de l’appel nécessitent un consentement actif ; chaque participant dispose d’une case distincte pour l’enregistrement. Ouvrir la notice de confidentialité ne coche aucune case et n’autorise aucun enregistrement. Le consentement à l’enregistrement peut être retiré au moyen de la commande d’interruption. Pour l’accès, la suppression ou toute autre demande de protection des données, contactez votre intermédiaire financier ; des obligations légales de conservation peuvent s’appliquer. Cette règle concernant les médias temporaires est distincte de la conservation des autres données de la plateforme décrite ci-dessus.
ComplySwiss propose un assistant IA optionnel qui rédige un projet de texte relatif à une alerte ou à un dossier (explication, points ouverts, projet de note ou de mémo de clôture). Il n’est actif que si le client l’a expressément activé et a consenti à la transmission des données au fournisseur d’IA. Sans ce consentement, aucune donnée n’est transmise à un fournisseur d’IA.
Lorsqu’une personne autorisée demande un projet, ComplySwiss transmet les informations relatives à l’alerte ou au dossier concerné (notamment description, règle, transactions, notes) à Mistral AI à Paris, France. Avant l’envoi, nous remplaçons les noms, raisons sociales, numéros de client, adresses, ayants droit économiques, adresses e-mail, IBAN, adresses de portefeuille et numéros de téléphone par des marqueurs ; la réponse n’est complétée par les données réelles que dans ComplySwiss. Les autres informations peuvent néanmoins constituer des données personnelles.
Mistral n’utilise pas les données pour entraîner ses modèles (entraînement désactivé dans notre compte) et conserve les entrées et sorties jusqu’à 30 jours pour détecter les abus. Le projet et l’utilisation (date, utilisateur, modèle, coût) sont enregistrés dans ComplySwiss et conservés comme les autres données client. Les images de pièces d’identité et de visages ainsi que les vidéos ne sont jamais transmises au fournisseur d’IA (chiffre 7a).
Le projet est une aide. Il ne prend aucune décision et ne modifie rien dans le dossier ; l’examen et la décision restent du ressort du client.
Les cookies techniquement nécessaires permettent la connexion et protègent les formulaires. Nous enregistrons votre choix statistique dans notre propre cookie pour six mois au maximum. Vous pouvez le modifier à tout moment via « Paramètres des cookies » en bas de page.
Avec votre consentement volontaire, nous utilisons Google Analytics 4 (G-R3CCYJTTEX) pour mesurer les pages vues et l’utilisation du site public et améliorer le site. Le prestataire est Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Le consentement constitue également la base juridique lorsque le RGPD s’applique. Un refus ne limite pas l’utilisation du site.
Ce traitement porte sur des identifiants de cookies pseudonymes, les pages vues et des informations techniques sur le navigateur et l’appareil. Lors de la connexion, Google reçoit aussi des données techniques de connexion, dont l’adresse IP ; le traitement n’est donc pas entièrement anonyme. Nous transmettons des adresses de pages publiques nettoyées, sans paramètres de requête ni adresse complète de provenance. Nous ne transmettons pas les saisies des formulaires et ne définissons aucun identifiant utilisateur. Les pages du portail, des comptes, des clients et ID/vidéo sont exclues. Google Signals et la personnalisation publicitaire sont désactivés.
La durée des cookies statistiques que nous configurons est de six mois au maximum, sans renouvellement automatique. Il ne s’agit pas de la durée de conservation des événements déjà enregistrés par Google. Vous pouvez retirer votre consentement à tout moment pour l’avenir. Nous arrêtons alors la collecte sur ce site et supprimons ses cookies Google Analytics dans la mesure permise par le navigateur ; cela n’efface pas automatiquement les données déjà transmises.
Google peut traiter ces statistiques du site aux États-Unis et dans d’autres pays dont le droit de la protection des données peut différer du droit suisse. Ce transfert facultatif commence uniquement après votre consentement. Il ne concerne pas les données clients enregistrées dans la plateforme ComplySwiss. Informations complémentaires sur le traitement par Google :
Règles de confidentialité de Google
Nous ne vendons pas de données personnelles. Nous ne communiquons des données personnelles aux destinataires suivants que si cela est nécessaire aux fins décrites :
Google Ireland Limited : statistiques facultatives du site public, exclusivement avec consentement selon le chiffre 8. Google ne devient pas destinataire de vos données clients KYC/AML à ce titre.
Nous ne faisons appel à de nouveaux sous-traitants ultérieurs pour les données des clients qu’après en avoir informé nos clients à l’avance ; les détails figurent dans le DPA.
Les données de la plateforme décrites aux chiffres 5 à 7 sont stockées en Suisse. Si un client utilise l’assistant IA optionnel (chiffre 7b), les informations nécessaires, en partie masquées, sont transmises à Mistral AI en France. Selon l’annexe 1 de l’ordonnance sur la protection des données, la France garantit un niveau de protection adéquat (art. 16, al. 1, LPD). Mistral recourt en priorité à des prestataires dans l’UE ; les sous-traitants hors de l’UE auxquels il fait exceptionnellement appel sont liés par les clauses contractuelles types de la Commission européenne. Avec votre consentement, les statistiques facultatives du site public peuvent transférer des données à Google à l’étranger (chiffre 8).
Une autre exception s’applique lorsqu’un client utilise l’analyse blockchain facultative et connecte le prestataire de son choix. Les données suivantes lui sont alors transmises pour vérifier une transaction : hash de transaction, adresses de portefeuilles, montant et devise, pays de la transaction, numéro client, niveau de risque et pays de résidence — aucun nom. Le transfert intervient sur instruction du client ; si le prestataire se trouve à l’étranger, le client veille au respect des articles 16 et 17 LPD.
Nous prenons des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre la perte, l’accès non autorisé et l’utilisation abusive. Elles comprennent :
Un risque résiduel ne peut jamais être totalement exclu lorsque des données sont transmises et stockées sur Internet. Si nous prenons connaissance d’une violation de la sécurité des données concernant les données d’un client, nous en informons ce client sans délai afin qu’il puisse remplir ses obligations selon l’art. 24 LPD.
Dans les limites du droit applicable, vous avez le droit d’accéder à vos données personnelles, de les faire rectifier ou supprimer, de limiter leur traitement ou de vous y opposer, et de recevoir ou de transférer vos données. Vous pouvez retirer votre consentement à tout moment avec effet pour l’avenir. Les obligations légales de conservation, en particulier selon la LBA, peuvent empêcher leur suppression.
Veuillez envoyer votre demande à info@complyswiss.ch. Nous pouvons demander une preuve d’identité et répondons généralement dans les 30 jours. Si votre demande concerne des données qu’un intermédiaire financier ou un organisme de surveillance a enregistrées à votre sujet dans ComplySwiss (section 7), nous la lui transmettons.
Vous pouvez également déposer une plainte auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT, www.edoeb.admin.ch).
Nous modifions cette politique de confidentialité lorsque nos services ou les exigences légales changent. La version publiée sur cette page s’applique.
Voir aussi : Mentions légales.
