Politique de confidentialité

I. Introduction

À l’ère du numérique, l’importance de la gestion des données grandit. Les données sont communément considérées comme la matière première de l’économie numérique. Une gestion durable et prudente des données, en particulier des données à caractère personnel, et la confiance ainsi créée deviennent une condition essentielle au bon fonctionnement de l’économie et de la société. La difficulté est de trouver un juste équilibre entre les objectifs généraux de la société, les intérêts des entreprises et les intérêts des consommateurs.

La présente charte a été élaborée par un groupe de travail interdisciplinaire composé de membres d’economiesuisse représentatifs des branches de l’économie. Par cette charte, l’économie suisse s’engage à gérer les données de manière responsable pendant tout leur cycle de vie.

En se fondant sur les lois en vigueur, la charte énonce dix principes fondamentaux et commente les cinq phases du cycle de vie des données, de leur saisie à leur effacement. Il s’agit de créer la transparence et d’instaurer un climat de confiance.

En tant qu’entreprise, nous sommes intéressés à utiliser la charte comme document de référence pour concevoir la gestion des données dont nous sommes responsable. Ainsi, en tant que responsable, nous définissons des règles claires concernant les rôles, les processus et les technologies utilisées. La transparence, le principe de responsabilité et l’éthique sont au cœur de ce système de gouvernance. Grâce à une approche basée sur les risques, nous protégeons les droits de la personnalité et les libertés de la personne concernée, afin de favoriser la confiance. Nous veillons à mettre en balance la protection de la personnalité avec l’utilité générale ou spécifique du traitement des données. Nous soumettons la gouvernance des données à un examen éthique.

Avec la politique de confidentialité suivante, nous vous informons quels types de données nous traitons, à quelles fins et dans quelle mesure. La politique de confidentialité s’applique à tout traitement des données personnelles effectué par nous, tant dans le cadre de la fourniture de nos services ainsi que sur notre site Internet.

II. Les dix principes fondamentaux

1. Bonne foi. Nous respectons le principe de la bonne foi dans la gestion des données à caractère personnel. Est de bonne foi toute personne ou entreprise qui agit avec honnêteté, loyauté et probité.

2. Transparence et reconnaissance. Nous concevons la collecte de données à caractère personnel de manière qu’elle apparaisse comme telle pour la personne concernée, et nous informons aussi celle-ci de la finalité du traitement. Cet engagement sert la transparence et concrétise le principe de la bonne foi. Lorsqu’un traitement de données est transparent et reconnaissable, nous renonçons, si la loi le permet, à obtenir le consentement de la personne concernée, par souci d’économicité et de convivialité.

3. Légalité. Nous traitons les données à caractère personnel dans la plus stricte légalité, c’est-à-dire dans le respect du droit en vigueur.

4. Proportionnalité. Nous sommes guidés par le principe de proportionnalité dans le traitement des données à caractère personnel. Celles-ci ne sont saisies et traitées que lorsque cela est nécessaire et en adéquation avec une finalité déterminée. Nous effectuons toujours une pesée des intérêts entre la finalité du traitement et le risque d’une atteinte aux droits de la personnalité.

5. Qualité des données. En vue du traitement et des buts poursuivis, nous veillons à ce que les données à caractère personnel soient complètes, actuelles et correctes.

6. Finalité et limites d’utilisation. Nous traitons les données à caractère personnel exclusivement aux fins indiquées lors de la collecte, telles qu’elles ressortent des circonstances, et qui sont raisonnablement compatibles avec la finalité initiale ou prévue par la loi.

7. Sauvegarde. Nous protégeons les données à caractère personnel contre les risques de perte, d’accès non autorisé, de destruction, d’utilisation, d’altération ou de divulgation par des tiers non autorisés, par exemple, en prenant des mesures techniques, contractuelles et organisationnelles appropriées.

8. Autodétermination informationnelle. Lors du traitement de données, nous veillons à protéger la personnalité de la personne concernée. Si elle en fait la demande, nous confirmons l’existence de données la concernant et lui transmettons les données qu’elle a fournies accompagnées des informations disponibles sur leur origine et leur finalité. S’il existe un droit relatif à l’effacement ou à la modification de données, nous y répondons.

9. Interdiction de la discrimination. Nous nous engageons à ce que nul ne soit pénalisé par une discrimination illicite lors du traitement de données. On est en présence d’une telle discrimination lorsque des données personnelles comparables font l’objet d’un traitement différent sans raison objective.

10. Responsabilité. Il est de notre responsabilité de respecter les présents principes fondamentaux.

III. Responsable de la collecte de données

Le responsable et la personne de contact pour la collecte et le traitement des données est : Pierre Parvex, directeur, Conseil en Patrimoine et Prévoyance, tél. : +41 (0)79 216 84 94 · +41 (0)22 990 06 70, courriel : contact@arovexcapital.ch. AROVEX Swiss Capital Sàrl, Chemin du Bochet 4, CH-1196 Gland, IDE : CHE-115.959.320. Les questions concernant cette déclaration de protection des données peuvent être adressées en tout temps à l’adresse indiquée ci-dessus.

IV. Les cinq phases du cycle de vie des données, processus et traitement

1. Création et saisie des données

En pratique, les données à caractère personnel créées et saisies par l’entreprise sont issues de diverses sources: Du mandant, d’informateurs, de partenaires, de fournisseurs de prestations, d’administrations, d’Internet et de médias.

Les données à caractère personnel mises activement à disposition sont communiquées par la personne concernée. C’est le cas par exemple lors d’une demande de renseignements, de la conclusion d’un mandat ou de l’inscription à un bulletin d’information.

Les données à caractère personnel observées sont saisies automatiquement sans intervention active de la personne concernée. Les sources possibles sont des systèmes de paiement ou des cookies sur un site internet, par exemple.

Les données à caractère personnel produites au moyen d’une analyse de données sont générées par des systèmes à partir d’autres données mises à disposition. Elles servent à déterminer les préférences d’une personne pour certains biens ou services ou à calculer la rentabilité d’un client à partir de certains critères définis.

• Nous nous engageons à limiter la collecte de données à caractère personnel au strict nécessaire requis par le but de la collecte. De plus, la collecte est transparente et reconnaissable comme telle.

• En tant qu’entreprise responsable, nous ne collectons pas de données à caractère personnel pour le simple motif qu’elles pourraient peut-être servir un jour, par exemple.

• Avant de créer et de saisir des données, nous évaluons les risques du traitement pour les droits et les libertés de la personne concernée.

• Lors de la création et de la saisie de données à l’insu de la personne concernée, nous veillons, dans le sens d’une bonne gouvernance, à faire preuve d’une transparence appropriée envers cette personne. Ce faisant, nous tenons compte de manière adéquate des éventuels conflits d’intérêt.

2. Conservation des données

La conservation des données commence au moment où les données entrent dans le domaine de responsabilité de l’entreprise et se termine lorsqu’elles en sortent ou lorsqu’elles sont effacées ou détruites.

Les données peuvent être sauvegardées aussi bien sur des systèmes internes à l’entreprise (serveur, stockage en ligne/hors ligne, par exemple) que sur des systèmes de tiers (nuage, par exemple).

• Nous ne conservons pas les données à caractère personnel plus longtemps que nécessaire. Si la finalité initiale de la collecte a disparu et s’il n’existe aucune base légale pour conserver les données, nous effaçons ou détruisons les données à caractère personnel ou prenons une mesure ayant le même effet pour la personne concernée.

• Nous faisons dépendre le niveau de sécurité du risque que le traitement de certaines données comporte pour la personnalité de la personne concernée.

• Nous prenons les mesures techniques, organisationnelles et contractuelles nécessaires et appropriées pour protéger les données à caractère personnel en notre possession en fonction du risque.

• Afin d’établir un système de sécurité dans l’entreprise, nous nous appuyons sur les normes existantes. Plus les données sont sensibles, plus les mesures de sécurité, les mécanismes de protection et les accès, notamment, doivent répondre à des exigences élevées.

• Nous accordons les droits d’accès selon le principe du «besoin de savoir». Les personnes chargées du traitement n’ont accès qu’aux données nécessaires dans le cadre de leur travail.

3. Utilisation des données

Les données sont utilisées dans un but précis. Nous faisons un usage proportionné du profilage, qui accélère les processus de travail et peut avoir des avantages pour la personne concernée. Le cas échéant, nous utilisons des pseudonymes et anonymisons les données pour protéger l’identité de la personne concernée.

• Nous traitons les données à caractère personnel dans un but précis. Cela signifie que le traitement doit être compatible avec le but de la collecte et reconnaissable pour la personne concernée.

• Le profilage peut accélérer les processus de travail et avoir des avantages aussi pour la personne concernée. Il est devenu indispensable au quotidien. Nous faisons un usage proportionné du profilage et, au besoin, nous procédons à une évaluation des risques par rapport aux données utilisées et aux conséquences pour la personne concernée.

• Nous employons différentes méthodes pour protéger l’identité de la personne concernée (pseudonymes, anonymisation).

• Dans le cas de l’attribution d’un pseudonyme, seul le détenteur d’une clé permettant de retirer le pseudonyme conserve la possibilité d’attribuer les données à une personne déterminée. Les données ainsi traitées ne sont assimilées à des données à caractère personnel que pour le détenteur de la clé.

• Dans le cas d’une anonymisation, il n’est pas possible pour le responsable d’identifier une personne à partir de ses données par des moyens adéquats et raisonnables, sur la base de la technique la plus récente. Comme l’identification d’une personne est impossible, les données anonymisées ne sont plus des données personnelles et ne sont pas soumises à la législation sur la protection des données.

• Nous nous efforçons d’indiquer clairement l’utilisation des données pour les personnes concernées. Pour faciliter la compréhension de l’information, nous choisissons une forme de communication appropriée, par exemple des pictogrammes. Pour l’utilisation de pictogrammes, nous nous référons aux standards éventuels.

4. Circulation des données

Dans une économie de plus en plus numérisée, transfrontalière et axée sur le principe de la division du travail pour des raisons de coûts et d’efficacité, la circulation des données est une forme courante de traitement des données.

La circulation des données comprend toutes les formes de transmission des données, qu’il s’agisse de l’envoi de données ou de l’octroi d’un accès à des données entre personnes et entreprises, pour toute raison juridique que ce soit.

• Nous informons la personne concernée spécifiquement de la circulation des données qui n’est pas reconnaissable comme telle. Cela permet à la personne concernée de gérer ses propres données de manière responsable.

• Nous sommes favorables à un espace de données transfrontalier et homogène qui garantisse un niveau de protection adéquat et ne crée pas de barrières inutiles. Il en va de même à l’intérieur des groupes d’entreprises, dans le cadre de solutions d’externalisation et de chaînes de distribution.

• Nous prenons toutes les mesures nécessaires conformes au dernier état de la technique pour protéger les données contre tout accès non autorisé.

Dans les pays disposant d’une protection des données adéquate, aucune mesure de protection supplémentaire n’est nécessaire.

Dans les autres cas, nous prenons les mesures supplémentaires nécessaires de nature personnelle, organisationnelle, technique ou contractuelle.

• Dans le cadre des exigences légales, nous fournissons à la personne concernée qui le demande des informations sur les données qu’elle a transmises ou que nous avons collectées.

• Nous nous engageons à assurer une portabilité raisonnable des données.

Cette portabilité est assurée par des formats communs, généralement électroniques.

Il s’agit des données que la personne concernée a mises à disposition.

• Nous veillons à ce que les échanges de données avec des tiers respectent ces principes fondamentaux.

5. Effacement et destruction des données

Par effacement ou destruction, on entend le fait de détruire, rendre méconnaissables ou effacer de manière irréversible les données à caractère personnel. Lorsque cet effacement irréversible n’est pas possible, nous prenons une mesure qui a le même effet. Au terme de l’opération, il n’est plus possible de disposer des données qui existaient préalablement ou de les reconnaître.

Sauf convention contraire écrite, les données personnelles collectées ne sont conservées que durant le laps de temps du traitement du rapport contractuel ou sinon lorsque le traitement est nécessaire pour poursuivre les buts et/ou lorsqu’il existe une obligation légale de conservation des documents comptables ou un intérêt supérieur privé ou public.

• Tout traitement de données doit être conçu de manière que les données à caractère personnel puissent être effacées ou détruites conformément aux exigences légales.

• Les données sont effacées ou détruites dès que la finalité du traitement a été atteinte, que les délais de conservation ont expiré ou que la personne concernée en fait la demande dans le cadre de la législation en vigueur.

• L’anonymisation est une alternative à l’effacement ou à la destruction de données.

• Nous veillons à ce que les exigences et les prescriptions relatives à l’effacement ou à la destruction de données soient également respectées pour les bases de données qui sont traitées par des tiers.

• Nous concevons nos processus de manière que l’effacement ou la destruction de données puissent se faire dans les règles de l’art et selon un plan ad hoc (gouvernance).

Source : https://www.economiesuisse.ch/fr/gestiondedonnees | Référence: Loi sur la Protection des données (LPD)

V. Registre des activités de traitement (art. 12 de la Loi fédérale sur la protection des données (LPD) du 25 septembre 2020)

1. Finalité du traitement

Les données sont utilisées dans un but précis : Ils sont recueillis exclusivement au strict nécessaire pour mener à bien le mandat de conseil et l’exécution de contrats d’investissements en collaboration avec des partenaires. Cela signifie que le traitement doit être compatible avec le but de la collecte et reconnaissable pour la personne concernée.

1. Description des catégories de personnes concernées et des catégories de données personnelles traitées

Catégories de personnes : Personnes physiques pour un

• Conseil en métaux précieux.

• Conseil patrimonial.

Catégories de données personnelles traitées :

Niveau I – Données personnelles : Toutes les informations concernant une personne physique identifiée ou identifiable, tels que :

• Identité, adresse, revenu et fortune, situation de famille et professionnelle, projets.

Niveau II – Données personnelles sensibles : Toutes les informations concernant une personne physique, tels que :

• Opinions ou activités religieuses, philosophique, politiques ou syndicales, l’état de santé et la sphère intime ou l’origine raciale ou ethnique, les données génétiques, biométriques permettant une identification de la personne physique de manière univoque, poursuites ou sanctions pénales et administratives.

3. Catégories de destinataires

Selon les nécessités et avec l’accord des personnes concernées, les données transmises à AROVEX Swiss Capital Sàrl, doivent quelques fois être transmises à divers partenaires commerciaux, ceci exclusivement dans le but du mandat donné.

1. Délai de conservation des données et critères pour déterminer la durée de conservation

• Délai de conservation : 5 ans au maximum après la fin de la relation commerciale (principe de précaution selon l’article 127 CO).

• Critères de détermination de la durée : Pendant toute la durée du mandat / du contrat, qui prend fin lorsque la raison pour laquelle les données ont été recueillies et conservées n’existe plus.

1. Description générale des mesures visant à garantir la sécurité des données

Le principe de base est qu’en principe aucune donnée client physique n’est transportée matériellement à l’extérieur des locaux de l’entreprise par son personnel, sauf lors de leur destruction. Idem pour les données numérisées. Lors de la récolte de données, un dossier physique et numérique est constitué. Tous les dossiers physiques sont classés de manière à être identifié rapidement et conservés dans des armoires métalliques fermées à clé lorsque le personnel de bureau est absent et les locaux clos. Tandis que tous les dossiers numériques, qui sont également classés de manière à être identifié rapidement, se trouvent sur un disque physique relié au réseau interne de l’entreprise, sans accès à distance depuis l’extérieur des espaces de travail. Les données de ce disque sont sauvegardées sur un support numérique externe une fois par semaine.

Lors de la destruction de données physiques concernant la clientèle, quel que soit le niveau de sensibilité, une entreprise externe est chargée du transport et de l’élimination de ces informations, selon un processus bien rôdé, qui ne laisse aucune place à un accès inopportun à quelque moment que ce soit. La destruction numérique, est quant à elle, effectuée par le personnel du bureau, lequel est soumis au secret particulier des affaires selon la relation commerciale établie avec le client.

1. Communications de données personnelles à l’étranger

Aucune donnée clients n’est communiquée à un pays étranger.

Source : https://www.fedlex.admin.ch/eli/cc/2022/491/fr | Référence: Loi fédérale du 25 septembre 2020 sur la protection des données (LPD) Etat le 1er septembre 2025.