Votre vie privée est importante pour nous. Cette politique de confidentialité explique comment nous collectons, utilisons et protégeons vos informations personnelles lorsque vous utilisez notre site.

Cette politique concerne le site tobill.ch ; la section 5 décrit en outre l'intelligence artificielle de l'application. L'application To Bill (app.tobill.ch, application mobile et cockpit des fiduciaires) a sa propre politique de confidentialité : app.tobill.ch/legal/privacy

Dernière mise à jour : 19 octobre 2026

1. Collecte des informations

Nous collectons des informations telles que votre nom, votre adresse e-mail et d'autres données que vous fournissez volontairement lors de votre inscription ou de l'utilisation de nos services.

2. Utilisation des informations

Les informations collectées sont utilisées pour fournir et améliorer nos services, personnaliser votre expérience et communiquer avec vous.

3. Protection des données

Nous mettons en place des mesures de sécurité pour protéger vos informations contre tout accès non autorisé ou toute utilisation abusive.

4. Destinataires et sous-traitants

Nous ne vendons pas vos données personnelles. Nous les communiquons uniquement :

• aux prestataires qui nous aident à fournir nos services (hébergement, stockage des fichiers, envoi des e-mails, paiements, intelligence artificielle, notifications, mesure d'audience du site), sur nos instructions et dans la limite de ce qui est nécessaire ;
• aux autorités, lorsque la loi l'exige ;
• à d'autres tiers, avec votre consentement.

Certains de ces prestataires sont situés hors de Suisse, notamment aux États-Unis. Leur liste, leur rôle, leur pays et les garanties applicables figurent sur la page Sous-traitants

5. Intelligence artificielle

Certaines fonctions de l'application To Bill (app.tobill.ch, application mobile et cockpit des fiduciaires) utilisent les modèles d'intelligence artificielle (IA) Claude de la société Anthropic PBC, aux États-Unis ; le modèle varie selon la fonction. Cette section indique ce qui leur est transmis, pourquoi, pendant combien de temps, et comment couper l'IA, conformément au devoir d'informer de l'art. 19 de la loi fédérale sur la protection des données (LPD, RS 235.1). Version de ces informations : 19 octobre 2026.

Finalités

L'IA sert uniquement à fournir la fonction que vous utilisez : lire un justificatif ou une facture, proposer un compte, une catégorie ou un rapprochement bancaire, expliquer un contrôle, répondre à une question sur vos chiffres, préparer un import ou un brouillon. Elle propose, vous décidez : seul le pilote automatique comptabilise seul un justificatif, lorsque votre historique ou l'une de vos règles confirme la proposition ; vous pouvez annuler l'écriture et couper cette comptabilisation automatique dans Paramètres › IA, sous « Pilote automatique ». L'IA ne prend aucune décision à l'égard d'une personne (art. 21 LPD). Anthropic n'utilise jamais ces données pour entraîner ses modèles.

Un seul interrupteur, activé par défaut

Toutes les fonctions IA dépendent d'un seul réglage, Paramètres › IA. L'IA y est activée par défaut pour toutes les entreprises. Un administrateur de l'entreprise peut la couper à tout moment, pour toutes les fonctions ou, sous « Réglages avancés », pour une fonction précise ; une entreprise qui l'a coupée le reste jusqu'à ce qu'un administrateur la réactive. Coupée, plus aucune donnée n'est envoyée au fournisseur ; l'import de clients et d'articles et la lecture du code QR suisse continuent de fonctionner sans IA. Les données de salaire ont leur propre interrupteur, « IA pour les salaires », désactivé par défaut (voir « Salaires »). Chaque activation ou désactivation est enregistrée : qui, quand, et la version des présentes informations.

Ce qui est transmis

Les fonctions qui travaillent sur vos livres (imputation et catégorie des justificatifs, propositions pour les lignes bancaires, contrôle de nuit, explication des contrôles, relecture des écritures et, pour votre fiduciaire, synthèse mensuelle et demande de pièces) transmettent uniquement ce dont elles ont besoin : plan comptable, montants et TVA, dates, libellés et descriptions nettoyés, noms des fournisseurs qui sont des sociétés, forme juridique et méthode TVA, résultats des contrôles de cohérence, lignes bancaires sans correspondance et factures ouvertes candidates. Avant l'envoi, To Bill retire les IBAN et numéros de compte, les numéros AVS, les adresses e-mail, les numéros de téléphone et de carte de paiement, et remplace les noms de personnes (clients, fournisseurs ou employés) par un code.

Les fonctions qui lisent ce que vous leur confiez transmettent ce contenu tel quel, sans le nettoyer :

• lecture d'un justificatif, déposé dans « À valider » ou joint à une dépense (web et application mobile) : le fichier (photo ou PDF) et, pour une dépense, les noms de vos catégories ; tout ce qui y est imprimé, un IBAN ou un nom compris, est lu par le modèle ; le code QR suisse est lu dans To Bill, et l'IBAN vient toujours de lui ;
• import de factures déjà émises : le fichier PDF complet, y compris le nom et l'adresse du client ;
• import de clients ou d'articles (fichier CSV ou Excel) : les cinq premières lignes du fichier et la correspondance des colonnes ; pour les clients, cela comprend noms, adresses, e-mails, téléphones et numéros TVA ;
• raccourcissement d'une adresse trop longue pour la QR-facture : la ligne d'adresse du client ;
• devis ou facture à partir d'une description, et assistant de l'éditeur de documents : vos messages, le nom et la ville de votre entreprise, la devise, le nom du client choisi et l'état du document (référence, dates, titre) ;
• modèle de mise en page : la description du style souhaité.

Pour chaque appel, To Bill journalise la fonction, le modèle, le coût estimé et les catégories de données envoyées, jamais le contenu.

Le Copilote

Le Copilote est le panneau latéral qui, sur chaque page de l'application, répond à vos questions sur les chiffres de votre entreprise (factures, devis, clients, dépenses, encaissements, temps, comptabilité) et prépare sur demande des brouillons de devis et de factures. Il ne lit que ce que la personne qui pose la question a le droit de voir dans To Bill : il passe par les mêmes contrôles d'accès que l'application. Il ne peut rien envoyer, comptabiliser, payer ni supprimer ; un brouillon qu'il prépare attend votre relecture dans l'éditeur. Chaque réponse cite ses sources, et un montant qu'aucune source ne confirme est signalé.

Il transmet votre question, les 12 derniers messages de la conversation, la référence de l'écran depuis lequel vous la posez et ce que ses lectures renvoient : références, montants, dates, statuts, comptes, libellés nettoyés et localité des clients qui sont des sociétés, jamais les coordonnées d'un client. Avant l'envoi, les noms des clients, des fournisseurs et des employés enregistrés dans To Bill sont remplacés par un code (CLIENT_12, par exemple), y compris dans votre question, de même que ceux de vos collègues dans ce que le Copilote lit, et les IBAN, numéros AVS, adresses e-mail et numéros de téléphone sont retirés. Les vrais noms ne sont remis que dans la réponse, chez To Bill. Pour un brouillon, il transmet en outre le nom et la localité de votre entreprise et la description du travail, sans le nom du client.

Les conversations sont conservées chez To Bill (avec les vrais noms, et dans la version codée envoyée au modèle) et ne sont visibles que par leur auteur : ni un collègue ni un administrateur ne peut les lire. Une conversation sans nouvelle question pendant 180 jours est supprimée ; vous pouvez en supprimer une à tout moment, et toutes disparaissent avec votre compte utilisateur ou avec l'entreprise.

Salaires

Par défaut, aucune fonction IA ne lit le module des salaires (employés, contrats, fiches et certificats de salaire, numéros AVS, impôt à la source). Il existe deux exceptions, toutes deux derrière un seul interrupteur, « IA pour les salaires » (Paramètres › IA, réservé aux administrateurs), désactivé par défaut même lorsque l'IA est activée :

• le Copilote peut alors lire, pour une personne qui a accès aux salaires, les totaux de chaque paie : mois, statut, date de paiement, nombre d'employés, salaire brut, net, montant versé et coût employeur. Jamais une fiche de salaire, un nom, l'impôt d'église, les absences, un numéro AVS ni un IBAN ;
• l'IA rédige le brouillon d'un certificat de travail à partir de la fonction, des tâches, des appréciations et des mots de l'employeur (nettoyés), des mois d'entrée et de sortie, du taux d'activité, du sexe de la personne (pour accorder le texte), du motif de départ s'il doit figurer et de la langue. Le nom est remplacé par un marqueur ; jamais le salaire ni le numéro AVS.

Dans tous les cas, les paiements de salaires de vos relevés bancaires et les écritures de salaires sont retenus : ni les propositions pour la banque, ni le Copilote, ni le contrôle de nuit ne les transmettent. Seuls des totaux comptables, par exemple le solde du compte 5000 Salaires, peuvent l'être. Chaque activation ou désactivation de « Salaires dans le Copilote » est enregistrée, comme celles de l'IA.

Jamais transmis

Aucune fonction ne transmet vos mots de passe, le nom et l'adresse e-mail de votre compte utilisateur, ni les fichiers de votre Drive. Seul ce qui est imprimé sur un fichier que vous soumettez vous-même peut contenir de telles données : une fiche de salaire déposée comme justificatif serait lue comme tout justificatif.

Durée de conservation

Chez Anthropic, les données transmises et les réponses sont conservées 30 jours au plus, puis supprimées ; elles ne servent jamais à entraîner ses modèles. Seule exception prévue par Anthropic : un contenu que ses contrôles automatiques signalent comme contraire à ses règles d'utilisation peut être conservé jusqu'à deux ans, et plus longtemps si la loi l'exige. Chez To Bill, le résultat d'une fonction (montants lus, propositions acceptées) et les fichiers que vous déposez sont conservés avec vos autres données ; le journal des appels ne contient jamais le contenu. Les conversations du Copilote sont supprimées après 180 jours sans nouvelle question (voir « Le Copilote »).

Communication à l'étranger

Anthropic PBC traite ces données aux États-Unis. Le Conseil fédéral reconnaît aux États-Unis un niveau de protection adéquat uniquement pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework (art. 16 al. 1 LPD et annexe 1 OPDo). Pour ces données, la communication repose sur les clauses contractuelles types de la Commission européenne, adaptées au droit suisse et reconnues par le PFPDT (art. 16 al. 2 let. d LPD), que contient le contrat de traitement des données d'Anthropic ; pour la Suisse, le contractant est Anthropic Ireland, Limited.

Assistants IA que vous connectez

Vous pouvez connecter à l'application un assistant IA de votre choix (par exemple Claude d'Anthropic ou ChatGPT d'OpenAI), au moyen du protocole MCP, ou un outil au moyen d'une clé API personnelle. Vous l'autorisez vous-même, pour une seule entreprise, en lecture seule ou en lecture et modification, et il n'a jamais plus de droits que votre compte. Sur votre instruction, To Bill transmet alors à cet assistant les données qu'il demande pour vous répondre ou agir pour vous, telles que vos droits vous permettent de les voir dans cette entreprise ; elles ne sont pas pseudonymisées comme pour le Copilote.

Le fournisseur de cet assistant n'est pas un sous-traitant de To Bill : c'est le destinataire que vous choisissez, auprès duquel s'appliquent ses propres conditions et sa politique de confidentialité, y compris pour la durée de conservation et la communication éventuelle à l'étranger. To Bill ne transmet rien à un assistant de sa propre initiative, et l'interrupteur Paramètres › IA ne concerne pas ces assistants. Chaque modification faite par un assistant est enregistrée dans le journal d'activité de l'entreprise, avec son nom. Pour chaque connexion, To Bill conserve l'utilisateur, l'entreprise, le nom de l'assistant, l'accès accordé et la date de dernière utilisation ; des jetons d'accès, seulement une empreinte.

Vous pouvez révoquer l'accès à tout moment dans Paramètres › Connexions IA et API ; il cesse immédiatement. Une connexion inutilisée pendant 30 jours expire d'elle-même.

Rôles

Pour les données de vos clients, fournisseurs et employés que vous enregistrez dans To Bill, votre entreprise est responsable du traitement ; To Bill agit comme sous-traitant (art. 9 LPD) et Anthropic comme sous-traitant de To Bill. Les conditions générales de To Bill autorisent le recours à ce sous-traitant et prévoient que nous vous informons avant d'ajouter ou de remplacer un sous-traitant, ce qui vous permet de vous y opposer (art. 9 al. 3 LPD, art. 7 OPDo). Il vous appartient d'informer ces personnes (art. 19 LPD) ; vous pouvez renvoyer à la présente section.

La même information, en langage simple : L'IA dans To Bill

6. Ce site : hébergement, mesure d'audience, publicité et formulaires

Le site tobill.ch est hébergé par Vercel Inc. (États-Unis). Chaque visite passe par son réseau, qui reçoit l'adresse IP et les en-têtes de la requête ; les formulaires sont traités par une fonction Vercel exécutée à Francfort (Allemagne) puis transmis par e-mail. Les polices du site sont servies par le site lui-même : aucune requête n'est faite à Google Fonts.

Les outils du site et ce qu'ils reçoivent

• Google Analytics 4 (Google LLC, États-Unis ; propriété G-QNZM3VGW9W, et G-NB0XWZ94FG sur la page « Facturation QR suisse ») : mesure d'audience, chargée seulement si vous acceptez les cookies de mesure d'audience. Données : pages vues, appareil, adresse IP, identifiants de cookies. Google LLC déclare adhérer au Data Privacy Framework Suisse–États-Unis. Les conditions de traitement des données de Google Ads s'appliquent d'office à une entreprise établie en Suisse.
• Google Maps (Google LLC, États-Unis) : carte de l'adresse sur les fiches du répertoire des fiduciaires, chargée seulement si vous cliquez sur « Afficher la carte ». Données : adresse IP, page consultée, cookies de Google.
• OpenStreetMap (OpenStreetMap Foundation, Royaume-Uni) : fond de la carte du répertoire des fiduciaires, chargé seulement si vous cliquez sur « Afficher la carte ». La carte elle-même (Leaflet) est servie par le site. Données : adresse IP, page consultée.
• PostHog (PostHog, Inc. ; instance européenne, Francfort) : mesure d'audience et enregistrement des visites, seulement si vous acceptez les cookies de mesure d'audience. Données : pages vues, clics, déroulé de la visite, identifiants de cookies, adresse IP. PostHog déclare adhérer au Data Privacy Framework (volet suisse).
• Pixel Meta (Meta Platforms Ireland Limited, Irlande) : mesure des campagnes publicitaires, chargé seulement si vous acceptez les cookies marketing. Données : adresse IP, pages vues, événements, identifiants de cookies, transmis aussi à Meta Platforms, Inc. (États-Unis), qui déclare adhérer au Data Privacy Framework (volet suisse). Meta Platforms Ireland Limited est le contractant pour la Suisse ; ses Data Processing Terms font partie des conditions des outils professionnels de Meta, acceptées en les utilisant.
• Vercel (Vercel Inc., États-Unis) : hébergement du site. Données : adresse IP, en-têtes de la requête, contenu des formulaires en transit. Le DPA de Vercel s'applique automatiquement, avec des clauses contractuelles types couvrant la Suisse ; Vercel déclare adhérer au Data Privacy Framework (volet suisse).
• Resend (Plus Five Five, Inc., États-Unis) : envoi des messages des formulaires de contact et inscription à la newsletter. Données : nom, e-mail, entreprise, message ; conservées aux États-Unis. DPA conclu à l'inscription, avec des clauses contractuelles types au sens de la LPD.
• Un prestataire technique qui sert aux robots d'indexation des moteurs d'IA une version adaptée du site et compte leurs visites ; aucune donnée des visiteurs humains ne lui est transmise. Il ne reçoit que les requêtes qui s'annoncent comme un tel robot (nom du robot, page, user-agent et adresse IP de la requête), jamais de cookie.

Vous pouvez changer votre choix à tout moment ; le détail des cookies figure sur la page Gestion des cookies

7. Vos droits

Vous avez le droit d'accéder, de modifier ou de supprimer vos informations personnelles. Contactez-nous pour exercer ces droits à info@tobill.ch.