Déclaration de protection des données RonaGuard
Version du 08.10.2026
Traduction de la version allemande. Seule la version allemande fait foi.
1. Champ d’application
La présente déclaration de protection des données s’applique à l’app « RonaGuard » pour iPhone et iPad, Mac et Android (ci-après l’« app ») ainsi qu’aux pages sur lesquelles elle est publiée. Elle se fonde sur la loi fédérale suisse sur la protection des données (LPD) et, dans la mesure où il est applicable, sur le règlement général de l’UE sur la protection des données (RGPD). Les « données personnelles » au sens de la LPD correspondent aux « données à caractère personnel » au sens du RGPD.
La version en vigueur se trouve sur https://sites.google.com/view/ronaguard-datenschutz, en français, en allemand (https://sites.google.com/view/ronaguard-datenschutz/datenschutz), en anglais et en italien. La version allemande fait foi.
2. Responsable
Schweizerpunkt GmbH, Gotthelfstrasse 41, 8172 Niederglatt, Suisse
Courriel : datenschutz@schweizerpunkt.ch
Ce n’est pas nous qui sommes responsables du contenu de votre coffre-fort, mais vous-même ou l’organisation qui gère un coffre-fort partagé. Nous ne recevons jamais ce contenu. Nous sommes responsables du service de réveil (sections 4.5 et 4.6), des courriels qui nous sont adressés et des pages sur lesquelles la présente déclaration est publiée (section 5).
3. L’essentiel en bref
• Il n’existe ni compte ni serveur pour votre coffre-fort. Nous ne voyons jamais vos entrées, vos clés, votre mot de passe principal ni votre protocole.
• Votre coffre-fort est un dossier chiffré dans un stockage que vous choisissez : sur l’appareil, dans le dossier d’une app de cloud (par exemple iCloud Drive, OneDrive ou Dropbox), directement dans Google Drive ou via WebDAV (par exemple Infomaniak kDrive ou Nextcloud). Le fournisseur ne reçoit que des fichiers chiffrés.
• L’app ne contient ni analyse, ni suivi, ni publicité, ni télémétrie et ne nous envoie aucun rapport de plantage.
• Notre seul service est le service de réveil facultatif, sur des serveurs en Suisse. L’app ne l’utilise que si vous activez les notifications instantanées ou configurez un accès d’urgence. Il ne voit ni noms ni contenus de coffre-fort.
• Les données de remplissage automatique restent chiffrées sur votre appareil.
• La vérification des fuites est désactivée jusqu’à ce que vous l’activiez. Seuls 5 caractères d’une valeur de hachage sont alors envoyés à « Have I Been Pwned ».
4. L’app
4.1 Votre coffre-fort dans votre stockage
• Les entrées (par exemple identifiants, cartes, identités, notes, clés SSH, passkeys, codes 2FA), les pièces jointes et le protocole sont chiffrés sur votre appareil avant d’être enregistrés (Argon2id, XChaCha20-Poly1305). Les clés sont créées et restent sur vos appareils. Votre mot de passe principal n’est enregistré nulle part. Si vous perdez votre mot de passe principal et votre kit d’urgence, personne ne peut restaurer votre coffre-fort, pas même nous.
• Le fournisseur de votre stockage voit des fichiers chiffrés portant des noms aléatoires, leur nombre, leur taille et leurs heures de modification, votre compte et votre adresse IP lors de la synchronisation, pour les coffres-forts partagés les comptes avec lesquels le dossier est partagé, ainsi que des indications techniques sur le chiffrement (sans noms ni contenus). Comme la consultation d’une entrée est elle aussi consignée, il voit quand un appareil est actif.
• Vous avez votre propre contrat avec le fournisseur ; ses dispositions de protection des données s’appliquent. S’il fait partie d’un groupe américain (par exemple Apple, Google, Microsoft ou Dropbox), ces indications techniques peuvent parvenir aux États-Unis ; les contenus restent chiffrés. Pour une utilisation professionnelle, il vous faut un contrat de sous-traitance avec le fournisseur.
• Si le coffre-fort se trouve sur Internet ou chez un fournisseur de fichiers sur iPhone, iPad ou Android, l’app en conserve une copie chiffrée sur l’appareil afin qu’il puisse aussi s’ouvrir sans connexion. Cette copie est exclue des sauvegardes de l’appareil et supprimée lorsque vous retirez le coffre-fort de cet appareil dans l’app.
4.2 Connexion à Google Drive
Si vous enregistrez le coffre-fort directement dans Google Drive, vous vous connectez à Google dans le navigateur de votre système (OAuth). Google est alors votre propre fournisseur de stockage.
• L’app ne voit jamais votre mot de passe Google. Elle n’obtient l’accès qu’aux fichiers qu’elle a elle-même créés (autorisation « drive.file »), pas à vos autres fichiers, et ne demande ni le nom ni l’adresse électronique de votre compte Google.
• La clé d’accès (jeton) se trouve uniquement dans le trousseau ou le Keystore de votre appareil. Si vous déconnectez le stockage dans l’app, celle-ci révoque l’accès auprès de Google.
• RonaGuard n’utilise les données issues des API de Google que pour enregistrer et synchroniser votre coffre-fort chiffré et pour supprimer des copies effacées, et ne les transmet à personne. L’utilisation et le transfert de ces données respectent la Google API Services User Data Policy, y compris les exigences d’utilisation limitée (« Limited Use »).
4.3 Le protocole
Le protocole est le journal d’activité du coffre-fort.
• Sont consignés : quel membre (sous la forme d’un identifiant aléatoire), quand, avec quel appareil, quelle action, pour quelle entrée et quels champs étaient concernés. Le déverrouillage, la consultation, la copie et le remplissage automatique en font également partie.
• Ne sont pas consignés : les mots de passe, le contenu des champs, les sites web, les adresses IP et les lieux.
• Le protocole est chiffré et se trouve dans votre coffre-fort. Dans les coffres-forts partagés, les membres peuvent le lire. Les indications d’heure proviennent de l’horloge de l’appareil concerné.
4.4 Coffres-forts partagés et invitations
Vous transmettez vous-même les invitations, les réponses, les cartes de clé et les codes d’accès d’urgence, par exemple via le menu de partage ou un brouillon de courriel. L’app n’envoie rien d’elle-même, et les codes ne contiennent aucun mot de passe.
Si une organisation (par exemple votre employeur) gère un coffre-fort partagé, elle est responsable du traitement. Elle décide des membres, des rôles et des règles ainsi que de la durée pendant laquelle le protocole attribue des actions à des personnes, et elle doit vous en informer. Pour le droit d’accès, l’effacement et vos autres droits, adressez-vous à cette organisation.
4.5 Notifications instantanées (service de réveil)
Lorsque quelqu’un partage quelque chose dans un coffre-fort partagé ou vous y ajoute, RonaGuard peut vous en informer immédiatement, même quand l’app est fermée. Pour cela, nous exploitons un service de réveil sur des serveurs en Suisse.
• Facultatif : la fonction est désactivée. L’app vous pose la question une fois, lorsque vous créez votre premier coffre-fort partagé ou acceptez une invitation, et n’inscrit votre appareil qu’après que vous avez choisi « Activer » et que le système a autorisé les notifications. Tout fonctionne sans le service de réveil ; les partages apparaissent alors à la prochaine synchronisation.
• Ce que le service enregistre : le jeton push de votre appareil avec sa plateforme (chiffré), une valeur de contrôle d’un secret aléatoire de votre installation, des identifiants de canal aléatoires dérivés de clés avec leurs clés d’accès (chiffrées), une marque qui regroupe les appareils d’une même personne, ainsi que le jour de l’inscription et du dernier renouvellement.
• Ce que le service ne voit pas : noms, adresses électroniques, coffres-forts, entrées et contenus. Le texte de la notification est chiffré de bout en bout et n’est déchiffré que sur votre téléphone. Le service peut seulement savoir quelles installations forment un groupe et quand un réveil a lieu.
• Adresses IP : uniquement en mémoire vive, sous forme de valeur de contrôle (HMAC) avec une clé renouvelée chaque jour, pour prévenir les abus et pendant 24 heures au plus ; jamais dans les fichiers journaux du service. Ceux-ci ne contiennent que des types d’événements, des codes d’état et des compteurs.
• Distribution : Apple (Apple Push Notification service) ou Google (Firebase Cloud Messaging) distribue le message. Ils reçoivent le jeton push, l’heure, la taille et le texte chiffré, qu’ils ne peuvent pas lire. Sur Android, l’app contient à cet effet le composant Firebase Messaging de Google. Il ne démarre que lorsque vous activez les notifications, n’envoie aucune donnée d’analyse ni de plantage et communique à Google un identifiant d’installation nécessaire au jeton push. Les appareils sans services Google ne reçoivent pas de notifications instantanées.
• Affichage : avec « Afficher noms et titres » (activé, désactivable), le téléphone indique qui a partagé quoi ; sinon, il affiche un texte neutre. Sur l’écran verrouillé, Android n’affiche que le texte neutre.
• Mac : le Mac n’est pas inscrit auprès du service ; il affiche des notifications locales tant que RonaGuard est ouvert et le coffre-fort déverrouillé. Si vous partagez quelque chose et que les notifications sont activées, votre appareil (le Mac aussi) appelle le service pour réveiller les autres membres. Rien n’est enregistré à cette occasion.
• Base juridique : votre consentement (lorsque le RGPD s’applique : art. 6, par. 1, let. a RGPD). Vous pouvez le révoquer à tout moment : la désactivation sous « Réglages » › « Notifications » désinscrit votre appareil et supprime immédiatement l’inscription auprès du service.
• Durée de conservation : jusqu’à la désactivation, jusqu’à ce qu’Apple ou Google signale le jeton comme non valable, au plus tard 90 jours après le dernier renouvellement. Nous conservons les sauvegardes chiffrées du service 14 jours au plus.
4.6 Accès d’urgence avec délai d’attente
Vous pouvez désigner une personne de confiance qui, en cas d’urgence, peut demander l’accès à un coffre-fort personnel. Si vous ne refusez pas pendant le délai d’attente (1 à 30 jours, 7 jours par défaut), elle l’obtient, selon le niveau choisi : « Consulter » (lire et copier les entrées) ou « Reprendre » (en plus, tout copier dans son propre coffre-fort ou poursuivre le coffre-fort avec un nouveau mot de passe principal). Notre service de réveil garantit le délai d’attente.
• Facultatif : la fonction est désactivée tant que vous ne configurez pas de personne de confiance. Vous donnez votre consentement lors de la configuration, la personne de confiance lorsqu’elle conserve le code d’accès d’urgence.
• Ce que le service enregistre pour chaque personne de confiance : un identifiant aléatoire, trois clés publiques servant à vérifier les commandes, le délai d’attente et le niveau, une part scellée pour la personne de confiance qui n’ouvre rien sans un fichier se trouvant dans le dossier de votre coffre-fort, les identifiants de canal pour les notifications, l’état avec les heures de la demande, du refus et de la libération, ainsi que des messages chiffrés jusqu’à leur envoi.
• Ce que le service ne voit pas : noms, adresses électroniques, coffres-forts, emplacements de stockage, contenus et votre clé de coffre-fort. Il peut seulement savoir que deux groupes d’installations sont liés par un accès d’urgence et quand l’accès a été demandé, refusé ou libéré.
• Les apps des deux personnes interrogent le service sur l’état en cours. Le service traite les adresses IP comme décrit à la section 4.5.
• Base juridique : le consentement des deux personnes (lorsque le RGPD s’applique : art. 6, par. 1, let. a RGPD). Révocation : si vous retirez la personne de confiance, le service supprime immédiatement le dépôt. Si la personne de confiance supprime le code d’accès d’urgence, son app cesse d’interroger le service.
• Durée de conservation : jusqu’au retrait, sinon 730 jours après la dernière commande valable. Sauvegardes chiffrées 14 jours au plus.
• Après la libération, la personne de confiance a accès à votre coffre-fort ; ce qu’elle voit ou copie alors reste chez elle. Pour le respect du délai d’attente, vous vous fiez à notre service.
4.7 Remplissage automatique
• Le remplissage automatique est désactivé jusqu’à ce que vous l’activiez dans RonaGuard et choisissiez RonaGuard à cet effet dans les réglages de votre système.
• Pour les coffres-forts que vous proposez, l’app enregistre sur l’appareil des données de remplissage automatique chiffrées (titres, noms d’utilisateur, adresses, mots de passe, clés 2FA et passkeys). Elles ne quittent pas l’appareil et sont exclues des sauvegardes. Vous confirmez chaque remplissage par biométrie, ou par le code de l’appareil si vous l’autorisez.
• Le système indique à l’app pour quel site web ou quelle app le remplissage doit avoir lieu. Cette indication reste sur l’appareil et ne figure pas dans le protocole. Sur Android, RonaGuard lit à cet effet le nom, le certificat de signature et la source d’installation de cette seule app, et non une liste de vos apps.
• Sur les appareils Apple, les noms d’utilisateur et les sites web se trouvent en outre dans le stockage de remplissage automatique du système tant que « Suggestions au-dessus du clavier » est activé.
• Seul accès au réseau : si, sur Android, vous vous connectez à une app avec une passkey et que cette app n’est pas associée à l’entrée, RonaGuard récupère sur le site web du service concerné le fichier /.well-known/assetlinks.json afin de vérifier que l’app appartient bien à ce service. Le service voit alors votre adresse IP ; aucun cookie n’est envoyé et le résultat reste uniquement en mémoire vive. Sur les appareils Apple, l’extension de remplissage automatique n’a pas accès au réseau.
4.8 Vérification des fuites
Uniquement si vous activez la vérification des fuites (désactivée au départ) et choisissez « Vérifier maintenant » dans le contrôle du coffre, jamais en arrière-plan : l’app envoie les 5 premiers caractères de la valeur de hachage SHA-1 d’un mot de passe à api.pwnedpasswords.com (« Have I Been Pwned ») et compare la réponse sur votre appareil. Le service voit votre adresse IP, mais ni votre mot de passe ni sa valeur de hachage complète. Il est exploité en dehors de la Suisse et de l’UE ; ses propres dispositions s’appliquent. Le résultat reste en mémoire vive.
4.9 Connexions de l’app
L’app se connecte uniquement :
1. à votre stockage et, pour Google Drive, au service de connexion de Google, également pour supprimer chez le fournisseur des copies de données effacées (section 4.11) ;
2. à notre service de réveil et, sur Android, à Firebase de Google, uniquement avec votre consentement (sections 4.5 et 4.6) ;
3. à « Have I Been Pwned », uniquement si vous l’activez et lancez une vérification (section 4.8) ;
4. uniquement sur Android et uniquement pour les passkeys dans des apps : au site web du service concerné (section 4.7).
Il n’existe pas d’autres connexions : pas de recherche de mises à jour, pas de publicité, pas d’analyse, ni polices ni icônes de sites web chargées depuis Internet (l’app affiche pour chaque entrée son initiale).
4.10 Autorisations
• Face ID, Touch ID ou empreinte digitale : uniquement si vous activez le déverrouillage par ce moyen. L’app ne reçoit du système d’exploitation que le résultat ; les données biométriques ne quittent pas la zone protégée de l’appareil.
• Fichiers et dossiers que vous sélectionnez : pour le coffre-fort ainsi que pour l’importation et l’exportation.
• Réseau : pour les connexions de la section 4.9.
• Notifications : seulement lorsque vous activez les notifications.
• Remplissage automatique : uniquement si vous l’activez (section 4.7).
RonaGuard ne demande ni votre position, ni vos contacts, ni votre identifiant publicitaire, et n’utilise ni la caméra ni le micro.
4.11 Effacement et durée de conservation
• Les données restent dans votre stockage jusqu’à ce que vous les supprimiez. Les entrées supprimées restent 30 jours dans la corbeille. Ensuite, ou lorsque vous videz la corbeille, la clé de l’entrée est effacée ; son contenu n’est alors plus lisible, même dans les événements plus anciens du protocole. Le protocole conserve seulement le fait que l’entrée a existé et ce qu’il en est advenu.
• Lorsque l’interface de votre fournisseur le permet (Nextcloud, Google Drive), l’app supprime aussi, après une suppression définitive, les copies dans la corbeille et les anciennes versions chez le fournisseur (« Vider aussi la corbeille du fournisseur », désactivable pour chaque coffre-fort). Sinon, elle indique ce qui y reste et pendant combien de temps.
• Les sauvegardes de vos appareils et les exportations que vous avez créées peuvent encore contenir des données. Les exportations au format CSV ou JSON ne sont pas chiffrées ; l’app vous en avertit.
• Dans les coffres-forts partagés, les anciens membres peuvent être pseudonymisés ; leur nom n’est alors plus lisible.
• L’app supprime les données de remplissage automatique lorsque vous désactivez le remplissage automatique, en excluez un coffre-fort ou retirez celui-ci de l’appareil.
• Sur les appareils Apple, des éléments du trousseau peuvent subsister après une désinstallation. Retirez donc vos coffres-forts dans l’app avant de la désinstaller.
• Pour le service de réveil, voir les sections 4.5 et 4.6.
5. Ces pages et le site web
5.1 Google Sites
Nous publions la présente déclaration avec Google Sites (https://sites.google.com/view/ronaguard-datenschutz). Lorsque vous consultez ces pages, Google traite des données selon ses propres dispositions de protection des données. L’app n’utilise pas Google Sites.
5.2 Site web de RonaGuard
Le site web propre de RonaGuard n’est pas encore en ligne ; il est en cours de développement. Il est conçu pour ne déposer aucun cookie, n’utiliser aucun service d’analyse ou de suivi et ne charger aucun contenu de tiers. Si vous y changez vous-même la langue, votre navigateur mémorise ce choix dans le stockage local (localStorage), sans nous l’envoyer. Avant sa mise en ligne, nous indiquerons ici quel hébergeur l’exploite, où celui-ci est établi et combien de temps il conserve les journaux d’accès.
6. Contact par courriel
Si vous nous contactez par courriel, nous traitons votre adresse électronique et le contenu de votre message afin de répondre à votre demande. Dans la mesure où le RGPD est applicable, nous nous fondons pour cela sur l’art. 6, par. 1, let. b RGPD (contrat ou mesures précontractuelles) ou sur l’art. 6, par. 1, let. f RGPD (intérêt légitime à répondre aux demandes). Nous effaçons ces données dès qu’elles ne sont plus nécessaires, sauf obligation légale de conservation. Ne nous envoyez jamais de mots de passe, de fichiers de coffre-fort ni votre kit d’urgence.
7. Stores d’applications et système d’exploitation
Si vous téléchargez l’app depuis l’App Store ou Google Play, Apple ou Google traitent des données selon leurs propres dispositions. Nous ne recevons d’eux que des statistiques agrégées, par exemple le nombre d’installations. Nous ne recevons des rapports de plantage que si vous avez autorisé dans le système d’exploitation le partage de tels rapports avec les développeurs d’apps ; nous les utilisons uniquement pour corriger des erreurs. Les services du système d’exploitation tels que le trousseau, la biométrie, le remplissage automatique, le presse-papiers, les notifications et les sauvegardes ne font pas partie de RonaGuard ; les dispositions d’Apple ou de Google s’appliquent à ces services.
8. Destinataires et communication à l’étranger
• Service de réveil : l’hébergeur en Suisse traite les données sur notre mandat. Pour la distribution, Apple et Google reçoivent le jeton push, l’heure, la taille et le texte chiffré, et sur Android en plus l’identifiant d’installation Firebase. Ils peuvent traiter ces données aux États-Unis. La communication se fonde sur le Swiss-U.S. Data Privacy Framework ou l’EU-U.S. Data Privacy Framework, dans la mesure où ces entreprises sont certifiées selon ce cadre, et sinon sur des clauses contractuelles types. Ils ne peuvent pas lire le contenu des notifications.
• Traitent des données sous leur propre responsabilité : votre fournisseur de stockage, « Have I Been Pwned », les stores d’applications, Google pour ces pages et les sites web des services dont vous utilisez les passkeys dans des apps sur Android. Cela se fait en partie en dehors de la Suisse et de l’UE, par exemple aux États-Unis.
• Nous ne vendons aucune donnée, n’affichons aucune publicité et ne créons aucun profil.
9. Vos droits
En vertu de la LPD et, dans la mesure où il est applicable, du RGPD, vous disposez notamment des droits suivants :
• droit d’accès à vos données personnelles
• rectification des données inexactes
• effacement
• limitation du traitement
• opposition au traitement
• remise ou transmission des données
• révocation, avec effet pour l’avenir, d’un consentement donné
Nous ne disposons pas des données de votre coffre-fort. Vous exercez ces droits directement dans l’app, par exemple au moyen de l’exportation et de la suppression ; dans les coffres-forts partagés, adressez-vous à l’organisation qui gère le coffre-fort. Nous ne pouvons attribuer à aucune personne les indications enregistrées par le service de réveil (ni compte, ni noms). Vous les supprimez donc dans l’app : la désactivation des notifications supprime immédiatement votre inscription, le retrait d’une personne de confiance supprime le dépôt pour l’accès d’urgence. Pour toute autre demande : datenschutz@schweizerpunkt.ch
Vous avez en outre le droit de déposer une plainte auprès d’une autorité de contrôle de la protection des données. En Suisse, il s’agit du Préposé fédéral à la protection des données et à la transparence (PFPDT). Dans l’UE et l’EEE, il s’agit notamment de l’autorité de contrôle de votre lieu de résidence.
10. Enfants
RonaGuard ne s’adresse pas aux enfants. Il n’y a ni compte, ni publicité, ni chat. L’app ne demande ni âge ni nom ; le service de réveil facultatif n’enregistre que les indications techniques mentionnées aux sections 4.5 et 4.6.
11. Sécurité
Le chiffrement a lieu sur votre appareil ; votre protection dépend donc aussi de vous. Nous recommandons un mot de passe principal composé d’au moins cinq mots aléatoires, un verrouillage de l’appareil et un kit d’urgence conservé en lieu sûr. Veuillez signaler les failles de sécurité à datenschutz@schweizerpunkt.ch avec l’objet « Sicherheit RonaGuard ».
12. Modifications
Nous adaptons la présente déclaration de protection des données lorsque l’app ou les exigences légales changent. La version actuelle fait foi ; vous la trouverez sur https://sites.google.com/view/ronaguard-datenschutz.