Politique de confidentialité

1. Qui est responsable

Dronas est une entreprise individuelle suisse de Joshua Schmidt. Je suis le responsable du traitement pour toutes les données personnelles décrites ici.

Contact pour les questions de confidentialité : privacy@dronas.ch

Contact général : contact@dronas.ch ou support@dronas.ch

Comme je sers également des clients dans l’UE, cette politique est rédigée pour respecter à la fois la loi fédérale suisse révisée sur la protection des données (nLPD) et le règlement général européen sur la protection des données (RGPD).

2. Quelles données je collecte lors d’une demande de vol

Lorsque vous envoyez une demande non contraignante via le calculateur de prix de mon site, je conserve :

• L’adresse e-mail que vous saisissez, pour pouvoir vous recontacter au sujet de la commande.
• Le message que vous m’écrivez, décrivant ce que vous souhaitez filmer.
• Les détails techniques que vous avez choisis dans le calculateur (occasion, date, lieu de vol approximatif avec rue, NPA et localité, temps de tournage, format de livraison, etc.). Ils constituent le contenu de votre demande.
• La langue dans laquelle vous souhaitez être contacté.
• Un numéro de commande et un jeton d’accès générés aléatoirement, qui vous permettent de consulter votre commande en ligne.
• Les horodatages de création et de mise à jour de la commande.

Si la commande se poursuit, je peux compléter par la suite avec d’autres informations que vous me transmettez (prénom, nom, téléphone, entreprise, adresse de facturation, remarques). Je ne demande que ce dont j’ai réellement besoin pour exécuter la prestation et établir une facture.

Je ne demande pas et ne souhaite pas recevoir de catégories particulières de données personnelles (santé, opinions politiques, etc.).

Le fait qu’une visite ait mené à une demande est en outre compté de manière anonyme dans la statistique des visites (section 6).

La base juridique est le traitement de votre demande ainsi que la préparation et l’exécution d’un contrat (art. 6 par. 1 let. b RGPD).

3. Quelles données je collecte lors de la commande d’une étiquette d’identification

Vous pouvez concevoir l’étiquette dans votre navigateur sans qu’aucune donnée ne me soit envoyée. L’aperçu ainsi que les exports JSON et PNG sont créés localement sur votre appareil. Les données ne sont transmises que lorsque vous passez commande.

Lorsque vous passez commande, je traite :

• Votre étiquette : le texte à imprimer, le matériau, les dimensions et la mise en page. Le texte peut contenir des données personnelles que vous saisissez vous-même, par exemple votre numéro d’exploitant UAS, votre nom, un numéro de téléphone ou une adresse e-mail.
• Un numéro de commande généré aléatoirement et la référence de la session de paiement correspondante.
• Après le paiement, les informations saisies lors du paiement : nom, adresse e-mail, adresses de facturation et de livraison, ainsi qu’un numéro de téléphone si vous en avez indiqué un.
• Le mode d’expédition choisi, les frais d’expédition et le statut de paiement de la commande.

J’utilise ces données pour produire votre étiquette, vous l’envoyer, confirmer votre commande par e-mail et répondre à vos questions. Je m’envoie également un e-mail de notification interne contenant la commande, vos coordonnées et l’étiquette.

Les étiquettes sont expédiées par courrier postal en Suisse. La Poste Suisse reçoit à cette fin votre nom et votre adresse de livraison figurant sur l’enveloppe.

Si vous annulez le paiement ou ne le finalisez pas, l’étiquette enregistrée est supprimée automatiquement dès que la session de paiement expire, en règle générale dans les 24 heures.

La base juridique est l’exécution du contrat conclu avec vous (art. 6 par. 1 let. b RGPD) et, pour la conservation des pièces comptables, mes obligations légales (art. 6 par. 1 let. c RGPD).

4. Paiement

Les commandes d’étiquettes sont payées via Stripe Checkout. La page de paiement est exploitée par Stripe Payments Europe, Limited (Dublin, Irlande), et non par moi.

Sur cette page, Stripe collecte votre nom, votre adresse e-mail, vos adresses de facturation et de livraison ainsi que vos données de paiement (par exemple le numéro de carte). Je ne vois ni ne conserve jamais vos données de paiement complètes. Stripe me transmet uniquement les coordonnées et adresses mentionnées à la section 3, le montant payé et le statut du paiement.

Stripe traite ces données pour mon compte afin d’exécuter le paiement et, en outre, sous sa propre responsabilité, par exemple pour prévenir la fraude et respecter ses propres obligations légales. Stripe peut à cette occasion transférer des données vers les États-Unis et d’autres pays, et dépose ses propres cookies sur sa page de paiement. Vous trouverez les détails dans la politique de confidentialité de Stripe sur stripe.com/privacy.

Après le paiement, vous êtes redirigé vers une page de reçu également exploitée par Stripe.

5. Journaux du serveur

Mon serveur web est hébergé dans un centre de données en Allemagne. Comme presque tous les serveurs web, il enregistre un journal d’accès pour chaque requête. Dans la configuration par défaut, ce journal contient :

• Votre adresse IP
• La date et l’heure de la requête
• L’URL demandée et la méthode HTTP
• Le code de réponse HTTP et la taille de la réponse
• Le référent (la page dont vous venez, le cas échéant)
• La chaîne User-Agent de votre navigateur

En outre, mon application écrit des entrées de journal techniques lors de la création d’une commande, par exemple le numéro de commande, l’adresse e-mail d’une demande ou l’étiquette transmise. Ces entrées servent uniquement au diagnostic des erreurs.

Ces journaux servent à faire fonctionner le site, à détecter les abus et à diagnostiquer les problèmes. Ils sont automatiquement rotés et généralement supprimés après quelques semaines.

La base juridique est mon intérêt légitime à exploiter un site web sûr et fonctionnel (art. 6 par. 1 let. f RGPD, art. 31 al. 1 nLPD).

6. Cookies et statistique des visites

Je n’utilise ni traceurs publicitaires, ni services d’analyse de tiers, ni empreinte numérique (fingerprinting).

Pour savoir comment le site est utilisé et si la publicité, comme mes annonces dans l’Anzeiger, porte ses fruits, je compte les visites avec ma propre statistique simple. Elle fonctionne entièrement sur mon serveur ; aucune donnée n’est transmise à des tiers. Pour chaque visite, j’enregistre :

• un identifiant de visite aléatoire ;
• les pages consultées et l’heure ;
• un code de campagne si le lien en contient un (par exemple ?ref=anzeiger-84 dans le code QR d’une annonce) ;
• le domaine du site d’où vous venez (par exemple google.com, sans l’adresse exacte) ;
• la version linguistique du site et le type d’appareil (smartphone, tablette ou ordinateur).

Je n’enregistre à cet effet ni votre adresse IP, ni votre navigateur, ni votre système d’exploitation. Si vous envoyez une demande ou commencez une commande d’étiquette, la statistique note seulement que la visite y a mené, sans vos coordonnées ni le numéro de commande.

Pour compter une visite comme une seule, je dépose le cookie « dronas_sid ». Il contient uniquement l’identifiant de visite aléatoire avec une signature, ne peut pas être lu par des scripts et expire 30 minutes après votre dernière page consultée. Pour empêcher quiconque de gonfler les chiffres, je limite le nombre de nouvelles visites par connexion. J’utilise pour cela une empreinte (hash) de votre adresse IP qui change chaque jour, n’est pas réversible et reste uniquement en mémoire, sans jamais être enregistrée.

Si vous ouvrez un lien contenant un code de campagne, je retire immédiatement le code de l’adresse et le conserve jusqu’à 30 minutes dans le cookie « dronas_ref », le temps que la visite soit comptée. Le cookie est ensuite supprimé.

La statistique est supprimée automatiquement après 13 mois. La base juridique est mon intérêt légitime à améliorer mes prestations et ma publicité (art. 31 al. 1 nLPD, art. 6 par. 1 let. f RGPD).

Vous pouvez vous opposer à la statistique à tout moment. Si votre navigateur envoie le signal « Do Not Track » ou « Global Privacy Control », rien n’est compté. Vous pouvez aussi utiliser le bouton ci-dessous : il dépose le cookie « dronas_no_stats » pour un an, et vos visites ne sont plus comptées.

Autres cookies : lorsque vous ouvrez le lien vers votre commande, le jeton d’accès contenu dans le lien est enregistré dans un cookie afin que la page de la commande puisse s’afficher. Ce cookie n’est valable que pour cette page, ne peut pas être lu par des scripts et expire à la fin de votre session de navigation. La page de paiement de Stripe est exploitée par Stripe et utilise ses propres cookies (voir section 4).

7. Captcha

Pour protéger le formulaire de demande contre les bots, j’utilise Private Captcha. Le service de captcha fonctionne sur mon propre serveur en Allemagne (captcha.hyper-tech.ch). Pour résoudre le captcha, votre navigateur se connecte à ce serveur, qui reçoit ainsi votre adresse IP et des données techniques de la requête. Private Captcha ne suit pas les utilisateurs et ne dépose pas de cookies.

8. Cartes et recherche d’adresses

Lorsque vous saisissez une adresse ou un code postal dans le calculateur, votre saisie est envoyée par mon serveur à OpenStreetMap (le service Nominatim exploité par la fondation OpenStreetMap) et à l’API OpenPLZ afin de rechercher les adresses, localités et coordonnées correspondantes. Seul le texte saisi est transmis, pas votre adresse IP.

Les coordonnées du lieu choisi sont envoyées par mon serveur à Nominatim, au service de calcul d’itinéraires OSRM (router.project-osrm.org) pour estimer la distance de trajet, et au géoportail de la Confédération (geo.admin.ch) pour vérifier les restrictions de vol.

La carte elle-même est chargée par votre navigateur directement depuis les serveurs d’OpenStreetMap (tile.openstreetmap.org). La bibliothèque logicielle servant à afficher la carte (Leaflet) est chargée, lorsque vous ouvrez mon site, depuis le réseau de diffusion de contenu unpkg.com, distribué via Cloudflare, Inc. (États-Unis). Dans les deux cas, l’exploitant concerné reçoit votre adresse IP et des données techniques telles que le type de votre navigateur.

La base juridique est mon intérêt légitime à proposer un calculateur de prix fonctionnel (art. 6 par. 1 let. f RGPD).

9. Envoi d’e-mails

Les e-mails de confirmation et de notification sont envoyés via Brevo (Brevo SAS, Paris, France). Brevo traite l’adresse du destinataire et le contenu de ces e-mails sur des serveurs situés dans l’Union européenne.

Brevo agit comme sous-traitant sur la base d’un contrat de sous-traitance.

10. Où vos données sont stockées

Les données applicatives (demandes de vol, commandes d’étiquettes, messages, coordonnées, statistique des visites) sont stockées dans ma propre base de données, sur le même serveur en Allemagne que le site. Je n’utilise aucun service de base de données tiers.

Les données de paiement sont conservées par Stripe (section 4). Les e-mails que j’envoie ou reçois sont en outre conservés dans ma boîte aux lettres et, pour l’envoi, chez Brevo (section 9).

11. Combien de temps je conserve vos données

Les données personnelles liées à une commande (demandes de vol et commandes d’étiquettes) sont conservées aussi longtemps que nécessaire pour son exécution, puis jusqu’à 10 ans afin de respecter les obligations suisses de conservation comptable (art. 958f CO).

Je ne conserve des données personnelles que parce que j’en ai besoin pour la commande ou parce que la loi l’exige. Si vous demandez une suppression anticipée et qu’aucune obligation légale ne s’y oppose, je supprimerai vos données.

Les étiquettes issues de paiements non finalisés sont supprimées dès que la session de paiement expire (section 3).

Les liens de téléchargement des prises de vue livrées sont limités dans le temps. Je conserve le matériel livré pendant 12 mois après la livraison (voir les conditions générales). Si vous souhaitez une suppression anticipée, contactez-moi. Voir section 13.

Les journaux d’accès du serveur ne sont conservés que le temps de la rotation par défaut, généralement quelques semaines.

La statistique des visites est supprimée automatiquement après 13 mois (section 6).

12. Avec qui je partage vos données

Je ne vends pas vos données et ne les partage pas à des fins publicitaires.

Je ne transmets que le strict nécessaire aux destinataires suivants. Lorsqu’ils agissent comme mes sous-traitants, cela repose sur un contrat approprié :

• Brevo SAS (France), envoi d’e-mails transactionnels.
• Stripe Payments Europe, Limited (Irlande), traitement des paiements pour les commandes d’étiquettes.
• La Poste Suisse, distribution des commandes d’étiquettes (nom et adresse de livraison).
• Fondation OpenStreetMap (Royaume-Uni), recherche d’adresses et tuiles de carte.
• L’API OpenPLZ et le service de calcul d’itinéraires OSRM, recherche de codes postaux et calcul de distance (texte recherché et coordonnées uniquement).
• Office fédéral de topographie swisstopo (geo.admin.ch), vérification des restrictions de vol (coordonnées uniquement).
• unpkg.com / Cloudflare, Inc. (États-Unis), mise à disposition de la bibliothèque de cartes.
• Mon hébergeur allemand, pour le serveur physique et le réseau.

Stripe et Cloudflare peuvent également traiter des données aux États-Unis. Ces transferts sont encadrés par leur certification au titre des cadres de protection des données Suisse–États-Unis et UE–États-Unis (Data Privacy Framework) et, le cas échéant, par des clauses contractuelles types.

Je peux également divulguer des données si la loi m’y oblige (par exemple aux autorités suisses sur demande légale valable).

13. Vos droits

Vous disposez des droits suivants sur vos données personnelles :

• Droit d’information et d’accès. Vous pouvez demander quelles données je détiens à votre sujet.
• Droit de rectification. Vous pouvez demander la correction de données inexactes ou obsolètes.
• Droit à l’effacement (droit à l’oubli). Vous pouvez demander la suppression de vos données.
• Droit à la limitation et droit d’opposition au traitement.
• Droit à la portabilité. Vous pouvez demander vos données dans un format lisible par machine.
• Droit de retirer votre consentement, lorsque le traitement est fondé sur le consentement.

Pour faire supprimer une commande (droit à l’oubli) ou exercer un autre droit, écrivez à privacy@dronas.ch. Cela vaut pour les demandes de vol comme pour les commandes d’étiquettes. Je réponds dans un délai de 30 jours. Les données que la loi m’oblige à conserver (section 11) sont supprimées à l’expiration du délai de conservation.

Si vous estimez que je traite vos données de manière illicite, vous avez également le droit de déposer plainte auprès d’une autorité de contrôle. En Suisse, il s’agit du PFPDT (edoeb.admin.ch) ; dans l’UE, l’autorité de protection des données de votre pays de résidence.

14. Sécurité

Les pages de commande sont protégées par un jeton d’accès aléatoire et non devinable que je génère pour chaque commande. Merci de garder confidentiel le lien que je vous envoie. Si vous pensez que votre lien d’accès a fuité, contactez-moi : je peux le renouveler.

Le trafic entre votre navigateur et mon serveur est toujours chiffré via HTTPS.

15. Mineurs

Mon service ne s’adresse pas aux enfants. Si vous avez moins de 16 ans, n’utilisez pas ce site et ne m’envoyez pas de données personnelles.

16. Modifications de cette politique

Je peux mettre à jour cette politique de temps à autre, par exemple lorsque j’ajoute un nouvel outil ou lorsque la loi change. La date en haut de page indique toujours la dernière mise à jour.