Politique de confidentialité d'Egliseo

Version 1.15 du 19.10.2026

1. Qui est responsable

apus3.com Sàrl
Rte en Champ Didon 136, 1740 Neyruz, Suisse
IDE CHE-113.005.964
info@apus3.com, +41 (0)26 477 11 80

Pour toute question sur vos données : protection@egliseo.com

Egliseo est un service en ligne pour les paroisses et les Églises francophones. À partir d'un formulaire de culte, il prépare des visuels et des textes pour les réseaux sociaux. Les textes sont rédigés par une intelligence artificielle, puis relus par une personne de la paroisse avant toute publication. Egliseo envoie aussi des rappels au moment de publier. Son module « Échos du prêche » transforme une prédication collée ou transcrite en guide pour groupe de maison et en carrousel.

Cette politique applique la loi fédérale sur la protection des données (nLPD), en particulier ses art. 19 à 21 sur le devoir d'informer.

2. Deux rôles

Apus3 traite des données personnelles à deux titres.

Pour son propre compte. Apus3 décide seule de l'usage des données de son site, des messages qu'on lui écrit, de la facturation, de la surveillance du service et des journaux du site egliseo.com. Elle en est responsable. Le chapitre 3 les décrit.

Pour le compte des paroisses. Ce qu'une paroisse enregistre dans Egliseo (comptes de son équipe, prédicateurs, annonces, prédications) relève d'elle. La paroisse est responsable du traitement (art. 5 let. j nLPD) et Apus3 est son sous-traitant (art. 5 let. k nLPD). Apus3 ne traite ces données que pour fournir le service, selon les instructions de la paroisse et le contrat de sous-traitance conclu avec elle. Les journaux techniques de l'application, le comptage des appels à l'intelligence artificielle et ce que l'application garde dans votre navigateur font partie de ce service. Apus3 n'en tire aucune statistique. Chaque paroisse informe ses membres, bénévoles, prédicateurs et invités. Le chapitre 4 décrit ce qu'Egliseo fait de ces données, pour que chacun puisse le savoir.

Egliseo s'adresse d'abord aux Églises et paroisses de droit privé, en particulier aux Églises évangéliques libres constituées en associations, qui relèvent de la nLPD. Les paroisses de droit public cantonal ne sont pas visées par cette version. Une annexe cantonale viendra plus tard.

3. Ce qu'Apus3 traite pour son propre compte

3.1 Le site egliseo.com

Le site ne dépose aucun cookie. Il ne contient ni script, ni formulaire, ni mesure d'audience.

Le site est hébergé sur le serveur d'Egliseo, chez OVHcloud, en France. Son serveur web note dans son journal, pour chaque visite, votre adresse IP, la page demandée, la date et l'heure, le type de navigateur et, s'il est transmis, l'adresse de la page d'où vous venez. Ce journal sert à la sécurité et à la recherche des pannes. Il est effacé après 90 jours au plus.

Polices de caractères. Le site sert lui-même ses polices : pour afficher le texte, votre navigateur ne contacte aucun autre serveur.

3.2 Les messages envoyés à Apus3

Quand vous écrivez à bonjour@egliseo.com ou à protection@egliseo.com, Apus3 reçoit votre adresse, votre nom s'il figure dans le message, et ce que vous écrivez. Elle s'en sert pour vous répondre et, si vous le demandez, pour ouvrir un accès à votre paroisse. Ces deux boîtes sont sur le serveur d'Egliseo, chez OVHcloud en France, et ne sont recopiées chez aucun autre fournisseur.

Apus3 efface ces messages quand ils ne servent plus à la relation, au plus tard 2 ans après le dernier échange.

Quand vous demandez un espace par le formulaire d'app.egliseo.com, Egliseo enregistre le nom de la paroisse, votre nom, votre adresse e-mail et, si vous l'écrivez, votre message. Il vous envoie un e-mail pour confirmer l'adresse ; si elle a déjà un compte, l'e-mail vous le dit, et l'écran du formulaire ne le dit à personne. Une fois l'adresse confirmée, Apus3 reçoit la demande à info@egliseo.com, avec votre message, et ouvre l'espace ou refuse la demande. Une demande non confirmée est effacée 48 heures après avoir été faite ; une demande confirmée, dès que l'espace est ouvert ou la demande refusée, au plus tard 14 jours après la confirmation. Pour qu'on ne puisse pas se servir du formulaire pour écrire sans fin à quelqu'un, Egliseo garde aussi, 7 jours, une empreinte de l'adresse (pas l'adresse elle-même) et le nombre d'e-mails envoyés, et 3 jours l'état d'envoi de l'e-mail de confirmation. À l'ouverture, votre nom et votre adresse deviennent le compte du premier administrateur de la paroisse (point 4).

3.3 Les paroisses clientes et la facturation

Pour conclure et suivre le contrat avec une paroisse, Apus3 garde le nom et l'adresse de la paroisse, le nom et les coordonnées des personnes de contact, le palier choisi, la preuve de l'acceptation du contrat, les factures et les paiements. La preuve indique la version des textes acceptés et leurs empreintes, la phrase de la case cochée, la date et l'heure, le nom, l'adresse e-mail et l'adresse IP de l'administrateur qui a décidé, le nom, la fonction, l'adresse e-mail et le téléphone du contact désigné de la paroisse, et son adresse e-mail officielle. Une copie de chaque acceptation en ligne est envoyée à l'adresse officielle de la paroisse et à protection@egliseo.com. L'adresse IP ne figure ni dans l'export des données de la paroisse ni dans les données d'une personne rassemblées par un administrateur : Apus3 la communique à la personne concernée sur demande écrite à protection@egliseo.com. Apus3 n'utilise pas encore d'outil de facturation : les factures sont établies à la main et envoyées par e-mail depuis info@egliseo.com, une boîte du serveur d'Egliseo chez OVHcloud en France, et gardées sur le serveur de sauvegarde (NAS) d'Apus3, en Suisse. L'outil qui sera choisi sera indiqué ici, et au point 5, avant la première facture qu'il produira.

Les pièces comptables (factures et paiements) sont gardées 10 ans, comme l'impose le droit suisse. Les autres données de la relation avec la paroisse sont gardées pendant la durée du contrat, puis pendant le délai de prescription, en règle générale 10 ans (art. 127 CO).

3.4 La surveillance du service

Un service externe, UptimeRobot s.r.o. (Bratislava, Slovaquie), interroge régulièrement une adresse technique d'Egliseo. Elle indique seulement si le service et sa base de données fonctionnent, et si une alerte technique est levée (certificat, sauvegarde, tâches de fond). Aucune donnée des paroisses ni des utilisateurs ne passe par ce service : seuls le compte d'Apus3 et ses contacts d'alerte y sont enregistrés. UptimeRobot s.r.o. est établie en Slovaquie, État adéquat (annexe 1 OPDo). Ses propres sous-traitants peuvent accéder aux données hors de l'Espace économique européen ; ces accès reposent sur des clauses contractuelles types adaptées à la Suisse (DPA v2.2 du 28.08.2026).

4. Ce qu'Egliseo traite pour le compte des paroisses

4.1 Le principe

Apus3 traite ces données selon le contrat de sous-traitance conclu avec chaque paroisse. Elle ne les utilise à aucune autre fin, même sous une forme anonymisée. Elle ne les vend pas et ne s'en sert pas pour entraîner des modèles d'intelligence artificielle. Chaque paroisse ne voit que ses propres données.

Si vous voulez exercer vos droits sur ces données, adressez-vous à la paroisse (chapitre 7).

4.2 Les données

Équipe de la paroisse : nom, adresse e-mail, rôle, mot de passe (Egliseo n'en garde qu'une empreinte, qui ne permet pas de le retrouver), jour choisi pour le rappel de préparation, invitations (nom et adresse de la personne invitée, auteur de l'invitation).
Prédicateurs et intervenants : nom, titre, portrait. En ajoutant le portrait, un membre de la paroisse confirme qu'elle a l'accord de la personne photographiée : Egliseo enregistre la date, le membre qui l'a confirmé et la version de la phrase confirmée.
Photos de fond de la paroisse, par exemple une photo de l'assemblée. Les informations de l'appareil photo, position GPS comprise, sont retirées à l'envoi. Avant d'ajouter une photo, un membre de la paroisse coche une case pour confirmer que, si des personnes y sont reconnaissables, elle a leur accord : Egliseo enregistre la date, le membre et la version de la phrase. L'accord lui-même reste chez la paroisse, qui le demande par écrit.
Annonces : date, heure, lieu, prédicateur, titre, référence biblique, informations pratiques et note libre, lien d'inscription, textes et visuels produits, créneaux de publication, rappels.
Agenda Qeewee, si la paroisse l'a relié : Qeewee est un autre service d'Apus3, qui tient le planning des Églises. Quand un administrateur de la paroisse y crée une clé et la colle dans Egliseo, Egliseo lit dans ce planning les cultes et événements des huit semaines à venir : date, heure, lieu, titre, titre de la prédication, texte biblique, nom de la personne qui prêche et lien d'inscription. Qeewee ne transmet ni les rendez-vous, ni les activités privées, ni les autres bénévoles. Egliseo ne garde de cette lecture que ce qu'un membre reprend dans une annonce ; la clé est conservée chiffrée et effacée quand un administrateur délie les deux services.
Prédications (« Échos du prêche ») : titre, référence biblique, prédicateur, texte collé, guide et diapositives.
Suivi des e-mails du service : destinataire, type de message, état de la remise.

Ces données peuvent révéler des opinions ou des activités religieuses. Un texte de prédication peut aussi toucher à la santé de personnes citées. La loi range ces informations parmi les données sensibles (art. 5 let. c ch. 1 et 2 nLPD).

4.3 La rédaction par intelligence artificielle

Egliseo fait rédiger ses propositions de textes par Claude, un modèle de la société Anthropic.

Ce qui est envoyé.

Pour une annonce : le contenu du formulaire, soit le nom de la paroisse, la date, l'heure et le lieu, le nom et le titre du prédicateur, le titre du message, la référence biblique, les informations pratiques et la note. Pour proposer des variantes, la légende en cours s'y ajoute.
Pour « Échos du prêche » : le texte collé en entier, avec le nom de la paroisse, le titre, la référence et le nom du prédicateur. Si le premier guide ne respecte pas le format prévu (nombre de points ou de questions), un second envoi reprend le texte avec la première réponse. Si la tentative échoue, Egliseo la relance une fois, ce qui renvoie le texte.

Ce qui n'est pas envoyé. Egliseo n'envoie jamais de lui-même les portraits, les photos, les adresses e-mail ni la liste de l'équipe. Un nom que la paroisse inscrit dans le formulaire ou dans le texte collé part en revanche avec eux.

Relecture humaine. Chaque texte est une proposition. Une personne de la paroisse le relit et décide de le publier ; elle peut aussi le réécrire. Egliseo ne publie rien lui-même. Il ne prend aucune décision individuelle automatisée au sens de l'art. 21 nLPD.

Chez Anthropic.

Le contrat est conclu avec Anthropic Ireland, Limited (Irlande). Les données sont stockées aux États-Unis. À chaque envoi, Egliseo demande à Anthropic de calculer les réponses aux États-Unis seulement.
Anthropic n'est pas certifiée selon le DPF Suisse-États-Unis. Le transfert repose sur les clauses contractuelles types de son accord de traitement des données (DPA du 24.02.2025) : un contrat modèle de l'Union européenne, reconnu par le Préposé fédéral à la protection des données et à la transparence (PFPDT), par lequel Anthropic s'engage à protéger les données, avec une section propre à la Suisse (art. 16 nLPD).
Anthropic s'engage à ne pas entraîner ses modèles sur ces contenus (conditions commerciales du 17.06.2025). Elle efface les demandes et les réponses après 30 jours ; selon ses pages d'aide, un contenu que ses systèmes de sécurité signalent peut être gardé jusqu'à deux ans.
Anthropic fait appel à ses propres sous-traitants, dont la liste est publiée sur trust.anthropic.com/subprocessors. Des sociétés de son groupe et certains de ces sous-traitants, établis notamment au Japon, en Corée, en Australie et en Afrique du Sud, pays qui ne figurent pas sur la liste suisse des États adéquats (annexe 1 OPDo), peuvent accéder aux données. Apus3 a demandé à Anthropic, le 08.10.2026, de confirmer par écrit la garantie qui couvre ces accès ; cette page sera complétée à sa réponse. En attendant, le transfert repose sur les clauses contractuelles types de l'accord de traitement d'Anthropic.

4.4 « Échos du prêche »

Avant le collage, l'écran demande de retirer les prénoms cités dans les prières et tout ce qui touche à la santé de quelqu'un, et rappelle que le texte est lu par Anthropic aux États-Unis.

Egliseo efface automatiquement le texte collé 7 jours après qu'il a été collé. Le guide, relu par la paroisse, reste jusqu'à ce qu'elle supprime la prédication. Les diapositives sont effacées avec elle.

La transcription automatique des enregistrements audio est prévue, mais pas encore active. Elle sera confiée à Infomaniak Network SA (Genève), en Suisse. Apus3 l'annoncera aux paroisses avant de l'activer et mettra cette page à jour.

4.5 Les e-mails du service

Egliseo envoie les e-mails suivants : réinitialisation du mot de passe (lien valable 1 heure), bienvenue à un administrateur dont Apus3 ouvre le compte (lien valable 7 jours), invitation (lien valable 7 jours), avis à une personne invitée qui a déjà un compte, avis aux administrateurs quand un accès est ouvert (avec le nom du membre et son adresse masquée) ou retiré (avec le nom et l'adresse du membre, pour pouvoir l'inviter à nouveau), rappel au moment de publier, avis à la personne qui devait recevoir ce rappel quand il n'est pas parti parce que l'annonce, modifiée après sa planification, attend d'être validée à nouveau (avec le titre de l'annonce et l'heure du créneau, une fois par créneau), avis aux administrateurs quand un rappel n'a pu être remis, rappel de préparation (le jour choisi par chaque membre, le jeudi tant qu'il n'a rien choisi, quand l'annonce du dimanche qui suit, ou celle d'une grande fête des jours suivants (veille de Noël, Noël, Nouvel An, Vendredi saint, Ascension), n'est pas prête, en un seul e-mail ; jamais avant que le membre ait choisi son mot de passe ; quand la paroisse a relié Qeewee, avec le nom de la personne qui prêche et le titre de la prédication d'après Qeewee, et l'intitulé, la date et l'heure des cultes et événements publics prévus dans Qeewee qui n'ont pas encore d'annonce ; chacun change de jour ou l'arrête dans « Mes préférences »), avis aux administrateurs quand une archive d'export de la paroisse est prête (avec le nom de la personne qui l'a demandée), demande du palier Paroisse transmise à Apus3 à info@egliseo.com (avec le nom et l'adresse e-mail de l'administrateur qui l'a faite, pour la facture), avis aux administrateurs quand ce palier est activé. Pour le contrat (point 3.3), Egliseo envoie aussi la copie d'une acceptation à l'adresse officielle de la paroisse, avec les textes en PDF et une copie cachée à protection@egliseo.com ; l'annonce d'une nouvelle version des conditions à l'adresse officielle, aux administrateurs et au contact désigné ; un avis aux autres administrateurs quand l'adresse officielle change (la nouvelle adresse masquée), aussi envoyé à l'adresse remplacée quand elle était bien celle de la paroisse, ou quand le contact désigné change (avec son nom) ; et un avis à Apus3 quand une paroisse refuse une nouvelle version ou revient sur ce refus. Le lien de téléchargement d'une archive n'est jamais envoyé par Egliseo : un administrateur l'obtient dans l'application, ou Apus3 l'envoie elle-même depuis protection@egliseo.com après une demande écrite.

Le rappel contient un lien personnel qui ouvre la page de publication sans mot de passe, jusqu'à 7 jours après le créneau (le moment prévu pour publier). Ne le transférez pas.

Ces e-mails partent par Mailjet, du groupe Sinch, dont les serveurs sont en Allemagne et en Belgique. Ces deux pays offrent une protection adéquate (annexe 1 OPDo). Certains sous-traitants de Sinch, pour le support et la maintenance, sont aux États-Unis. L'accord de Sinch ne contient pas d'adaptation au droit suisse : Apus3 a demandé à Sinch, le 08.10.2026, une adaptation suisse de ses clauses qui couvre ces sous-traitants, et changera de service d'envoi si Sinch refuse ou n'a pas donné cette adaptation dans les 3 mois qui suivent la conclusion du premier contrat avec une paroisse. La même demande porte sur la société Mailjet partie au contrat et sur la durée pendant laquelle Mailjet garde les messages ; cette page sera complétée à la réponse.

Le suivi des ouvertures et des clics est coupé pour chaque message : Mailjet ne réécrit pas les liens et n'insère pas de pixel de suivi. Egliseo garde l'état de remise de chaque e-mail (remis, refusé) pendant 90 jours après l'envoi, puis l'efface, même quand cet état n'a jamais pu être connu.

4.6 Les images

Les portraits, les photos de fond et les visuels produits sont stockés sur le serveur d'Egliseo, en France. Ils sont servis sans connexion, à des adresses qui contiennent une suite aléatoire impossible à deviner. Une personne qui connaît l'adresse d'une image peut donc l'ouvrir. Ce choix permet d'afficher et de partager les visuels depuis n'importe quel appareil ; il est décrit et justifié à l'annexe 2 du contrat de sous-traitance (ch. 4.8.1).

Le programme des fêtes de Noël fait exception : Egliseo dessine cette image quand un membre connecté la demande, et la lui remet sans la garder. Elle n'a pas d'adresse et ne reste que dans son navigateur, le temps de la visite, ou sur son appareil s'il l'enregistre.

Egliseo ne publie rien sur les réseaux sociaux. Le partage part de l'appareil d'une personne de la paroisse, sur son geste. Une fois publié, un visuel est public sur le réseau choisi, dont les propres règles s'appliquent.

4.7 Effacement et fin du contrat

Une paroisse peut supprimer une prédication (avec son texte, son guide et ses diapositives), une photo de fond, et une annonce avec ses textes, ses visuels, ses publications et ses rappels. Supprimer une photo de fond efface en même temps les visuels peints avec elle, et la paroisse peut les refaire avec une autre photographie, sans nouvel appel à l'intelligence artificielle. Elle peut retirer un portrait seul : les visuels qui le montrent sont effacés avec lui. Elle peut aussi effacer un prédicateur, même cité dans des annonces : son nom en est retiré, et les visuels et les textes rédigés pour lui sont effacés. Là où la paroisse a écrit ce nom elle-même, dans un titre par exemple, Egliseo le lui signale sans le réécrire. Un administrateur peut retirer un membre de l'équipe ; un membre qui veut partir le lui demande, et le dernier administrateur s'adresse à Apus3.

Un administrateur peut exporter à tout moment toutes les données de la paroisse dans une archive ZIP (données en JSON et en CSV, images d'origine, notice). L'archive reste 72 heures au plus sur le serveur, hors des sauvegardes, puis est effacée ; elle ne contient ni les mots de passe, ni les liens envoyés par e-mail, ni les adresses des images.

À la fin du contrat, Apus3 remet à la paroisse qui le demande par écrit ses données, par un lien valable 7 jours au plus, puis les efface dans le délai prévu par le contrat de sous-traitance, selon une procédure écrite qui produit un compte rendu sans aucune donnée des personnes, et lui en donne une attestation une fois la dernière sauvegarde détruite, à son adresse officielle et à son contact désigné, qu'Apus3 relève avant l'effacement ; la preuve d'acceptation du contrat (point 3.3) garde ceux de la dernière acceptation. Les données effacées disparaissent des sauvegardes au terme de la durée de conservation de celles-ci (chapitre 6).

Si une sauvegarde doit être restaurée, Egliseo refait, avant de répondre à nouveau, les effacements faits depuis sa date. Après une perte complète du serveur, ceux des 20 dernières minutes peuvent lui échapper, et davantage si la copie de secours de son journal s'était arrêtée ; une alerte automatique avertit Apus3 d'un tel arrêt. Egliseo inscrit à cette fin dans un journal des effacements chaque effacement fait par une paroisse, ou par Apus3 à sa demande avec l'outil d'Egliseo. Ce journal ne garde que des identifiants, des dates, des nombres et l'emplacement des fichiers effacés, jamais un titre, un texte ou le nom d'une personne de la paroisse (chapitre 6).

4.8 Le comptage des appels à l'intelligence artificielle

Egliseo compte les appels à l'intelligence artificielle de chaque paroisse (date, modèle, volume, coût estimé, et pour les variantes de légende le compte qui les a demandées), pour appliquer les quotas et le budget du palier. Le contenu des demandes n'y figure pas. Apus3 tient ce comptage pour le compte des paroisses et n'en tire aucune statistique. Quand une personne quitte la paroisse et que son compte est retiré, ses lignes restent dans le comptage, sans l'identifiant de son compte.

4.9 Les journaux techniques de l'application

Le serveur d'Egliseo tient des journaux qui servent à la sécurité et à la recherche des pannes. Apus3 les traite pour le compte des paroisses. Ils contiennent :

pour chaque requête : l'adresse IP, l'adresse demandée, la date et l'heure ;
pour un échec de connexion, ou une adresse freinée après trop d'essais : une référence de l'adresse e-mail saisie (une empreinte qui permet de compter les essais sur une même adresse sans l'écrire), sa forme masquée, le compte s'il existe, et l'adresse IP ;
pour une demande de nouveau mot de passe : l'identifiant interne du compte et l'adresse IP ;
pour un accès refusé : les identifiants internes du compte et de la paroisse, et l'adresse IP ;
pour chaque e-mail envoyé : son type, la paroisse, l'adresse du destinataire sous forme masquée et les identifiants du message chez Mailjet, jamais l'objet ni le contenu.

Ces journaux restent sur le serveur, en France. Seules les personnes d'Apus3 désignées au chapitre 8 y ont accès.

Ils sont effacés automatiquement après 90 jours. Le contenu d'un e-mail n'y est jamais écrit, même quand l'envoi est coupé. L'objet d'un e-mail ne contient ni nom de personne ni titre d'annonce.

4.10 Ce que l'application garde dans votre navigateur

L'application app.egliseo.com ne dépose aucun cookie et ne mesure pas l'audience. Apus3 la fait fonctionner pour le compte des paroisses. Elle utilise le stockage local de votre navigateur pour quatre éléments :

egliseo.token : votre jeton de session. Il contient l'identifiant de votre compte, celui de votre paroisse et votre rôle. Il expire après 90 jours sans utilisation. La déconnexion l'efface. Sur un appareil partagé, déconnectez-vous après usage.
egliseo.lastPlace : le dernier lieu de culte que vous avez saisi, pour pré-remplir le formulaire suivant. Il reste jusqu'à ce que vous effaciez les données du site dans votre navigateur.
egliseo.gettingStartedHidden et egliseo.qeeweeHintHidden : l'identifiant des paroisses pour lesquelles vous avez masqué la carte « Premiers pas » ou la suggestion de relier Qeewee. Ils restent jusqu'à ce que vous effaciez les données du site dans votre navigateur.

Sur la page de publication (le lien du rappel, ou « Publier maintenant » dans l'application), elle garde aussi, dans le stockage de session de l'onglet, l'identifiant des publications dont vous avez partagé le visuel (egliseo.sharedPublications), pour vous demander à votre retour si elles sont publiées. Il ne contient ni texte, ni nom, ni lien, et disparaît quand l'onglet est fermé.

Dans le formulaire « Nouvelle annonce », elle garde de même, dans le stockage de session de l'onglet, ce que vous avez saisi et pas encore enregistré (egliseo.announcementDraft), avec l'identifiant de votre compte et celui de votre paroisse, pour que rien ne se perde si la page se recharge, par exemple au retour de WhatsApp ou de la messagerie. Il contient les champs du formulaire, note libre comprise. Il disparaît quand l'annonce est enregistrée, quand vous touchez « Effacer », à la déconnexion, quand un autre compte se connecte dans l'onglet et quand l'onglet est fermé ; il n'est plus repris 24 heures après votre dernière saisie.

Dans le formulaire « Modifier l'annonce », elle garde de même ce que vous avez modifié et pas encore enregistré (egliseo.announcementEditDraft), avec l'identifiant de votre compte, celui de votre paroisse, celui de l'annonce et la date de sa dernière modification. Il contient les champs du formulaire, ceux que vous n'avez pas touchés et la note libre compris, pour une seule annonce à la fois. Il disparaît quand l'annonce est enregistrée, quand le formulaire revient à ce qui est enregistré, quand vous touchez « Effacer » ou « Quitter sans enregistrer », à la déconnexion, quand un autre compte se connecte dans l'onglet et quand l'onglet est fermé ; il n'est plus repris 24 heures après votre dernière saisie, ni quand l'annonce a été modifiée depuis, par exemple par un collègue.

L'application installe un service worker, qui lui permet de se charger plus vite et de s'installer sur l'écran d'accueil. Il garde dans le cache du navigateur les fichiers de l'application (code, styles, icônes, polices de caractères). Il ne garde aucune réponse du serveur d'Egliseo ni aucune donnée personnelle. Le cache ordinaire du navigateur peut garder les images affichées ; l'effacement des données du site les retire. Les annonces et prédications affichées restent en mémoire le temps de la visite et ne sont pas enregistrées dans le navigateur, hormis la saisie en cours des deux formulaires décrits ci-dessus.

Les polices de caractères de l'application sont servies par le serveur d'Egliseo lui-même : l'application ne contacte pas Google.

5. Destinataires et pays

Destinataire	Rôle	Données reçues	Pays	Garantie
OVHcloud (OVH SAS, Roubaix)	héberge le serveur d'Egliseo, qu'Apus3 administre seule	toutes les données du service, stockées sur ce serveur : base de données, portraits, visuels, journaux ; OVHcloud n'y accède que pour gérer un incident, pour la sécurité ou pour la maintenance	France, dans un centre de données qu'OVHcloud ne change pas sans l'accord d'Apus3 ; accès à distance possibles depuis des sociétés du groupe OVHcloud en Allemagne, Espagne, France, Irlande, Italie, Pays-Bas, Pologne, Portugal, au Canada et au Royaume-Uni ; aucune société établie aux États-Unis	États adéquats (art. 16 al. 1 nLPD) : tous ces pays figurent à l'annexe 1 OPDo, le Canada pour le secteur privé soumis à sa loi fédérale ou à une loi provinciale équivalente
Apus3, centre de données	garde la copie des sauvegardes sur son serveur de sauvegarde (NAS)	copie complète des données	Suisse	aucune nécessaire
Anthropic	rédaction des propositions de textes	formulaire des annonces, texte des prédications (point 4.3)	États-Unis ; contrat avec la société irlandaise ; accès possibles depuis d'autres pays (point 4.3)	clauses contractuelles types avec section suisse ; pas de certification DPF ; confirmation écrite demandée à Anthropic le 08.10.2026 pour les accès depuis d'autres pays
Sinch Mailjet	envoi des e-mails du service	adresse et nom du destinataire, contenu de l'e-mail	Allemagne, Belgique ; sous-traitants aux États-Unis	État adéquat pour l'UE ; adaptation suisse demandée à Sinch le 08.10.2026 pour les États-Unis
UptimeRobot s.r.o.	surveillance d'Apus3	aucune donnée des paroisses ; compte et contacts d'alerte d'Apus3	Slovaquie ; accès possibles hors de l'Espace économique européen	État adéquat (annexe 1 OPDo) ; clauses contractuelles types adaptées à la Suisse pour les autres pays
OVHcloud, sur le serveur d'Egliseo (boîtes bonjour@ et protection@)	réception des messages envoyés à Apus3	messages et adresses de leurs auteurs	France	État adéquat (art. 16 al. 1 nLPD), comme pour l'hébergement du service
Google Cloud EMEA Limited, Dublin (Google Workspace), messagerie générale d'Apus3	réception des messages envoyés à info@apus3.com	messages et adresses de leurs auteurs	Irlande ; accès possibles depuis les États-Unis et d'autres pays du groupe Google	État adéquat pour l'Irlande (annexe 1 OPDo) ; pour les autres pays, garantie de l'avenant public de Google sur le traitement des données (workspace.google.com/terms/dpa_terms.html)
Cifag SA, Courtepin	fiduciaire d'Apus3 : bouclement annuel et déclarations d'impôt	pièces comptables, dont les factures (nom et adresse de la paroisse, montants)	Suisse	aucune nécessaire
Outil de facturation d'Apus3	aucun pour l'instant ; ajouté ici avant la première facture qu'il produira	—	—	—
Infomaniak Network SA (prévu, pas encore actif)	transcription audio	enregistrement d'une prédication	Suisse	aucune nécessaire

Les sous-traitants de ces entreprises, dont les listes sont citées à l'annexe 3 du contrat de sous-traitance, peuvent aussi accéder aux données. Aucune autre entreprise ne reçoit de données. Apus3 communique des données à une autorité seulement si la loi l'y oblige. Si une autorité étrangère lui demande des données d'une paroisse, Apus3 en avertit la paroisse, dans la mesure où la loi le permet.

Avant d'ajouter ou de remplacer un sous-traitant, Apus3 l'annonce aux paroisses, qui peuvent s'y opposer (art. 9 al. 3 nLPD, art. 7 OPDo), et met cette page à jour.

6. Durées de conservation

Données	Durée
Journaux techniques du serveur (application et site egliseo.com)	90 jours
Messages reçus à bonjour@ et protection@	2 ans après le dernier échange
Demande d'espace faite en ligne (point 3.2)	48 heures si elle n'est pas confirmée ; sinon jusqu'à l'ouverture ou au refus, au plus tard 14 jours après la confirmation ; l'empreinte de l'adresse : 7 jours ; l'état d'envoi de l'e-mail de confirmation : 3 jours ; le message reçu par Apus3 : 2 ans, comme les autres messages
Pièces comptables (factures et paiements)	10 ans, durée imposée par le droit suisse
Preuve de l'acceptation du contrat (point 3.3)	durée du contrat, puis 10 ans après sa fin, délai de prescription de l'art. 127 CO ; le téléphone du contact désigné en est retiré quand la paroisse est effacée ; une fois la paroisse effacée, 10 ans après la décision quand aucune fin de contrat n'est connue ; sa copie reçue à protection@ : 2 ans, comme les autres messages
Autres données de la relation avec une paroisse	durée du contrat, puis délai de prescription, en règle générale 10 ans (art. 127 CO)
Trace de fin de contrat d'une paroisse (motif et fondement de la fin du contrat, dates de fin, de fermeture, de réouverture et d'effacement de l'espace, identifiant des personnes d'Apus3 qui l'ont fermé, rouvert ou effacé et qui ont établi l'attestation, nombres effacés, compte rendu d'effacement et son empreinte, sans aucune donnée des membres ni des personnes que la paroisse enregistre)	même durée que les autres données de la relation avec la paroisse ; sa copie tenue à côté du journal des effacements : 40 jours après la dernière modification de la trace ; ses copies de secours, sur le serveur et sur le NAS d'Apus3 : 41 jours au plus
Comptage des appels à l'IA	pendant la durée du contrat avec la paroisse, puis effacé ; l'identifiant du compte est effacé de ces lignes quand le compte est supprimé
Jeton de session dans le navigateur	90 jours sans utilisation ; effacé à la déconnexion
Lien de réinitialisation du mot de passe et lien de bienvenue d'un compte ouvert par Apus3	valables 1 heure (réinitialisation) et 7 jours (bienvenue) ; l'enregistrement est effacé au plus tard 24 heures après l'expiration ou l'usage du lien
Lien d'invitation	7 jours. Une invitation non acceptée est effacée 90 jours après son expiration. Une invitation acceptée est effacée, avec le nom et l'adresse qu'elle contient, quand le compte de la personne est retiré
Lien du rappel de publication	valable jusqu'à 7 jours après le créneau ; l'enregistrement est effacé 90 jours après l'expiration du lien
État de remise des e-mails	90 jours après l'envoi
Archive d'export d'une paroisse	72 heures après avoir été prête (7 jours pour celle qu'Apus3 remet après la fin du contrat), moins si elle contient un texte collé dans « Échos du prêche » effacé avant ; jamais sauvegardée
Trace d'un export (auteur, dates, taille, téléchargements)	90 jours après la demande
Tâches de génération (textes produits, messages d'erreur)	30 jours après la fin de la tâche
Journal des effacements (ce qui a été effacé, par qui et quand, en identifiants et en nombres, avec l'emplacement des fichiers effacés, sans aucun contenu)	40 jours dans la base, 41 au plus dans son fichier sur le serveur ; 43 jours au plus pour ses copies de secours, sur le serveur et sur le NAS d'Apus3
Texte collé dans « Échos du prêche »	7 jours après le collage
Guide et diapositives d'une prédication	jusqu'à ce que la paroisse supprime la prédication ; à la fin du contrat, effacés au plus tard 60 jours après (point 4.7)
Annonces, textes et visuels	jusqu'à leur suppression par la paroisse ; à la fin du contrat, effacés au plus tard 60 jours après (point 4.7)
Comptes de l'équipe	jusqu'au retrait par un administrateur de la paroisse ; à la fin du contrat, effacés au plus tard 60 jours après (point 4.7)
Portraits	jusqu'à leur suppression par la paroisse ; retirer un portrait efface aussi les visuels qui le montrent, et la confirmation d'accord enregistrée avec lui ; à la fin du contrat, effacés au plus tard 60 jours après (point 4.7)
Confirmation d'accord d'un portrait ou d'une photo de fond	avec le portrait ou la photo ; l'identifiant du membre qui l'a donnée est effacé quand son compte est supprimé, la date et la phrase restent
Photos de fond	jusqu'à leur suppression par la paroisse ; supprimer une photo efface aussi les visuels rendus avec elle ; à la fin du contrat, effacées au plus tard 60 jours après (point 4.7)
Demandes et réponses chez Anthropic	30 jours ; jusqu'à 2 ans pour un contenu que ses systèmes de sécurité signalent (point 4.3)
Sauvegardes	15 jours au plus sur le serveur ; 30 jours sur le serveur de sauvegarde (NAS) d'Apus3, en Suisse ; 14 jours au plus pour les copies de la base faites par le panneau d'hébergement Plesk

7. Vos droits

Vous pouvez :

demander si des données vous concernant sont traitées, et lesquelles (art. 25 nLPD) ;
demander à recevoir les données que vous avez fournies, dans un format électronique courant, ou à les faire transmettre, dans les conditions de l'art. 28 nLPD ;
faire corriger des données inexactes ;
faire effacer vos données, ou vous opposer à leur traitement ;
retirer un accord que vous avez donné, par exemple pour votre portrait.

Où adresser votre demande.

Données qu'une paroisse a enregistrées dans Egliseo (compte d'équipe, portrait, annonce, prédication) : à la paroisse, qui en est responsable. La paroisse peut rassembler elle-même dans Egliseo les données qui vous concernent. Si vous écrivez à Apus3 à ce sujet, Apus3 transmet votre demande à la paroisse dans les 3 jours ouvrables et l'aide à y répondre.
Données qu'Apus3 traite pour son propre compte (site egliseo.com et ses journaux, messages, facturation) : à protection@egliseo.com, ou par courrier à l'adresse du chapitre 1. Apus3 vous répond dans les 30 jours (art. 25 al. 7 nLPD). Elle peut vous demander de prouver votre identité.

8. Sécurité

Les échanges avec le site et l'application sont chiffrés (HTTPS). Pour l'application, le navigateur est tenu d'utiliser toujours la connexion chiffrée.
Egliseo ne garde des mots de passe qu'une empreinte, qui ne permet pas de les retrouver.
Une personne connectée n'accède qu'aux données de sa propre paroisse.
Les essais répétés de mot de passe et les excès de requêtes sont freinés.
Dans les liens envoyés par e-mail, le code secret du lien (le jeton) est placé après le signe « # » : il ne part pas vers le serveur et n'apparaît pas dans ses journaux.
Les sauvegardes sont faites chaque nuit. Un serveur de stockage (NAS) situé dans le centre de données d'Apus3, en Suisse, vient les chercher : le serveur d'Egliseo ne détient aucun identifiant de ce NAS. Le centre de données est sous accès contrôlé. Depuis le 13.10.2026, les sauvegardes sont chiffrées avant de quitter le serveur, avec une clé gardée hors du NAS et hors de ce serveur.
Seules les personnes d'Apus3 que leur fonction exige, nommément désignées et tenues à la confidentialité, ont accès à la production (le serveur d'Egliseo, sa base de données et ses sauvegardes). Chacune accepte, avant son premier accès, un engagement de confidentialité. Leur liste est communiquée sur demande. Avant la conclusion du premier contrat avec une paroisse, Apus3 met en place un accès de secours scellé qui assure la continuité du service : toute ouverture de cet accès sera consignée par écrit, ses identifiants changés après usage, et les paroisses clientes en seront informées dans les 7 jours, avec le motif de l'ouverture.

Violation de la sécurité. Si une violation touche des données d'une paroisse, Apus3 en avertit la paroisse dans les meilleurs délais (art. 24 al. 3 nLPD), et au plus tard 48 heures après en avoir eu connaissance, comme le prévoit le contrat de sous-traitance. Pour ses propres traitements, Apus3 annonce au PFPDT les violations qui entraînent vraisemblablement un risque élevé pour les personnes concernées (art. 24 al. 1 nLPD).

9. Autorité de surveillance

L'autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT), www.edoeb.admin.ch. Vous pouvez lui adresser une dénonciation si vous estimez que vos données sont mal traitées. Pour les données d'une paroisse, adressez-vous d'abord à elle.

10. Contact

protection@egliseo.com
apus3.com Sàrl, Rte en Champ Didon 136, 1740 Neyruz, Suisse

11. Modifications

Apus3 adapte cette politique quand le service ou la loi change. La version en vigueur est publiée sur egliseo.com avec sa date. Les paroisses clientes sont averties par e-mail des changements importants. Un nouveau sous-traitant leur est annoncé selon la procédure du contrat de sous-traitance.

Version 1.15 du 19.10.2026.