Sous-traitants
Pour fournir To Bill, nous confions certains traitements de données personnelles à des prestataires. Ils agissent sur nos instructions et pour les seules finalités indiquées ci-dessous (art. 9 LPD).
Dernière mise à jour : 12 octobre 2026
Application To Bill (app.tobill.ch, application mobile, cockpit des fiduciaires)
Infomaniak Network SA
- Rôle
- Hébergement des serveurs de l'application, de la base de données et de ses sauvegardes.
- Données
- Toutes les données de votre compte et de votre entreprise.
- Lieu
- Infomaniak Network SA, Genève ; centres de calcul en Suisse ; contrat de traitement des données intégré à ses conditions générales
Exoscale
- Rôle
- Stockage des fichiers : logos, justificatifs, PDF des factures et devis, fichiers du Drive.
- Données
- Fichiers que vous téléversez ou que To Bill génère.
- Lieu
- Akenes SA (Exoscale), Lausanne ; centre de calcul de Genève (zone ch-gva-2), Suisse
Anthropic PBC
- Rôle
- Intelligence artificielle (modèles Claude) : lecture de documents et d'imports, propositions, Copilote (questions sur vos chiffres, brouillons de devis et de factures). Activée par défaut, elle se coupe dans Paramètres › IA (voir la section 5 de la politique de confidentialité).
- Données
- Données nécessaires à la fonction utilisée : chiffres de vos livres sans IBAN, numéros AVS, e-mails, téléphones ni noms de personnes, ou le fichier, les lignes d'import ou l'adresse que vous lui confiez, tels quels. Les données de la paie seulement si vous l'autorisez : les totaux de chaque paie pour le Copilote, les faits d'un certificat de travail sans nom ni salaire.
- Lieu
- Anthropic Ireland, Limited (Irlande), contractant pour la Suisse ; traitement par Anthropic PBC aux États-Unis ; clauses contractuelles types avec l'avenant suisse, dans le contrat de traitement des données intégré à ses conditions commerciales
Resend
- Rôle
- Envoi des e-mails : factures, devis et rappels à vos clients (sauf si vous utilisez votre propre serveur SMTP), invitations, réinitialisation du mot de passe, notifications.
- Données
- Nom et adresse du destinataire, contenu de l'e-mail, PDF joints.
- Lieu
- Plus Five Five, Inc. (Resend), États-Unis : données conservées aux États-Unis, envoi depuis l'Irlande (AWS eu-west-1) ; clauses contractuelles types au sens de la LPD, dans son contrat de traitement des données conclu à l'inscription
Stripe
- Rôle
- Paiement des abonnements ; paiement en ligne des factures par vos clients si vous connectez votre compte Stripe.
- Données
- Nom, e-mail, montant et données de paiement. To Bill ne stocke aucune donnée de carte.
- Lieu
- Stripe Payments Europe, Limited (Irlande) ; transferts à Stripe, LLC (États-Unis), qui déclare adhérer au DPF (volet suisse), et Data Transfer Addendum de Stripe
Pingen
- Rôle
- Envoi postal des factures, lorsque vous choisissez l'envoi par courrier.
- Données
- PDF de la facture, nom et adresse du destinataire.
- Lieu
- Pingen GmbH, Zurich ; données hébergées chez cloudscale, en Suisse
Sentry
- Rôle
- Rapports d'erreurs de l'application web et mobile ; en cas d'erreur, un enregistrement de l'écran dont le texte et les images sont masqués.
- Données
- Type d'erreur, navigateur ou appareil, page consultée.
- Lieu
- Functional Software, Inc. (Sentry), États-Unis ; données hébergées dans l'Union européenne (Francfort, Allemagne) ; DPF déclaré (volet suisse)
Mezmo
- Rôle
- Centralisation des journaux techniques des serveurs.
- Données
- Journaux techniques, dont des adresses IP.
- Lieu
- Mezmo, Inc., États-Unis (hébergement AWS aux États-Unis) ; DPF déclaré (volet suisse) ; DPA de Mezmo applicable
- Rôle
- Connexion avec Google ; suggestions d'adresses (Google Maps) pendant la saisie ; vérification des abonnements achetés sur Google Play.
- Données
- Nom et e-mail du compte Google ; adresse en cours de saisie ; reçu d'achat.
- Lieu
- Google Ireland Limited (Irlande) et Google LLC (États-Unis), qui déclare adhérer au DPF (volet suisse)
Apple
- Rôle
- Connexion avec Apple ; vérification des abonnements achetés sur l'App Store.
- Données
- Identifiant et e-mail du compte Apple ; reçu d'achat.
- Lieu
- Apple Distribution International Ltd. (Irlande) et Apple Inc. (États-Unis) ; clauses contractuelles types
Expo (650 Industries)
- Rôle
- Envoi des notifications de l'application mobile, ensuite acheminées par Apple ou Google.
- Données
- Identifiant de l'appareil et texte de la notification, par exemple le nom du client, le numéro et le montant d'une facture payée.
- Lieu
- 650 Industries, Inc. (Expo), États-Unis ; hébergement chez Google Cloud ; DPF déclaré (volet suisse) et clauses contractuelles types dans ses conditions
Brevo
- Rôle
- E-mails d'information sur votre compte (essai, abonnement, prise en main).
- Données
- Nom, e-mail, langue, formule et statut de l'abonnement, nom et canton de l'entreprise, nombre de factures, dernière activité.
- Lieu
- Sendinblue SAS (Brevo), Paris, France ; données hébergées dans l'Union européenne ; DPA intégré aux conditions de Brevo
Slack
- Rôle
- Alertes internes de l'équipe To Bill (nouvelle entreprise, essai, abonnement, panne).
- Données
- Numéros d'entreprise et d'utilisateur, montants, formules ; jamais un nom, un e-mail ni un numéro de carte.
- Lieu
- Slack Technologies, LLC, États-Unis ; DPF déclaré (volet suisse, par Salesforce)
Site tobill.ch
Vercel
- Rôle
- Hébergement du site.
- Données
- Adresse IP, en-têtes de la requête, contenu des formulaires en transit.
- Lieu
- Vercel Inc., États-Unis ; réseau de diffusion mondial (Francfort pour la Suisse), formulaires traités à Francfort (Allemagne, région fra1) ; DPA automatique avec clauses contractuelles types, DPF déclaré (volet suisse)
Google (Analytics)
- Rôle
- Mesure d'audience (GA4), seulement avec votre consentement aux cookies analytiques.
- Données
- Adresse IP, pages consultées, appareil, identifiants de cookies.
- Lieu
- Google LLC, États-Unis ; DPF déclaré (volet suisse) ; conditions de traitement des données de Google Ads, applicables d'office pour une entreprise établie en Suisse
PostHog
- Rôle
- Mesure d'audience et enregistrement des visites, seulement avec votre consentement aux cookies analytiques.
- Données
- Pages consultées, clics, déroulé de la visite, identifiants de cookies, adresse IP.
- Lieu
- PostHog, Inc. ; instance européenne, Francfort (Allemagne) ; DPF déclaré (volet suisse)
Meta
- Rôle
- Mesure des campagnes publicitaires (pixel Meta), seulement avec votre consentement aux cookies marketing.
- Données
- Adresse IP, pages consultées, événements, identifiants de cookies.
- Lieu
- Meta Platforms Ireland Limited (Irlande), contractant pour la Suisse ; Data Processing Terms intégrées aux conditions des outils professionnels de Meta ; transfert à Meta Platforms, Inc. (États-Unis), DPF déclaré (volet suisse)
Resend
- Rôle
- Formulaires de contact et inscription à la newsletter.
- Données
- Nom, e-mail, entreprise, message.
- Lieu
- Plus Five Five, Inc., États-Unis (stockage) ; envoi depuis l'Irlande (AWS eu-west-1) ; DPA pré-signé par Resend et conclu à l'inscription, clauses contractuelles types
Prestataire technique (robots des moteurs d'IA)
- Rôle
- Sert aux robots d'indexation des moteurs d'IA une version adaptée du site et compte leurs visites ; aucune donnée des visiteurs humains ne lui est transmise.
- Données
- Seulement pour les requêtes qui s'annoncent comme un robot d'IA : nom du robot, page, user-agent et adresse IP de la requête. Ni cookie, ni donnée d'un visiteur humain.
Autre destinataire
Registre du commerce (Zefix, Office fédéral de la justice) : quand vous recherchez votre entreprise lors de son enregistrement dans To Bill, le nom saisi est envoyé à Zefix pour retrouver ses données officielles.
Communication à l'étranger
Les États de l'Union européenne offrent un niveau de protection adéquat reconnu par le Conseil fédéral (art. 16 al. 1 LPD, annexe 1 OPDo). Pour les États-Unis, ce niveau n'est reconnu que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework ; à défaut, la communication repose sur des garanties contractuelles, en particulier les clauses contractuelles types reconnues par le PFPDT (art. 16 al. 2 let. d LPD).
Déclarent adhérer au Swiss-U.S. Data Privacy Framework : Google LLC, Stripe, LLC, Meta Platforms, Inc., Vercel, PostHog, Sentry, Expo, Slack (par Salesforce) et Mezmo. Les contrats de traitement des données d'Anthropic, de Resend et d'Apple prévoient les clauses contractuelles types de la Commission européenne, adaptées au droit suisse ; plusieurs autres prestataires les prévoient en complément.
Changements
Nous mettons cette liste à jour avant d'ajouter ou de remplacer un sous-traitant. Les conditions générales de To Bill prévoient que nous vous en informons au préalable et que vous pouvez vous y opposer (art. 9 al. 3 LPD, art. 7 OPDo). Questions : info@tobill.ch.