Responsable du traitement
Le responsable du traitement des données personnelles collectées par l'intermédiaire de ce site et de nos services est OtakuWorld.ch Sagl, qui exploite la marque Nymora (domaines, hébergement, VPS, sites et e-commerce gérés).
- Siège
- Via Enrico Guisan 11, 6850 Mendrisio (TI), Suisse
- IDE
- CHE-252.426.910
- [email protected]
- Téléphone
- +41 76 740 28 56
Pour toute question relative à vos données ou pour exercer vos droits, vous pouvez nous écrire à [email protected].
Quelles données nous traitons
Nous ne traitons que les données dont nous avons besoin pour vous répondre et fournir le service. Concrètement :
- Données de contact : nom, adresse e-mail et, si vous l'indiquez, l'entreprise. Nous les collectons lorsque vous remplissez le formulaire de contact ou nous écrivez par e-mail.
- Données d'identification, de service et de facturation : nom, adresse, adresse e-mail, téléphone si vous l'indiquez, domaine, offre choisie, adresse IP depuis laquelle vous passez la commande, données nécessaires à l'émission de la facture et à la gestion de votre compte.
- Données de paiement : les coordonnées de la carte ou du compte sont saisies et traitées directement par notre prestataire de paiement (Payrexx : TWINT, cartes, PostFinance). Nous ne recevons que les données nécessaires au rapprochement de la transaction (résultat, montant, derniers chiffres de la carte), et non le numéro complet. Pour les paiements par carte, l'authentification 3-D Secure peut être exigée ; elle est gérée par votre banque et par le prestataire de paiement, qui peuvent à cette fin traiter également des données techniques de votre appareil.
- Journaux techniques : adresse IP, date et heure des requêtes, type de navigateur et pages demandées. Ils servent à la sécurité, au diagnostic des problèmes et au bon fonctionnement des systèmes.
- Métadonnées de réseau et d'utilisation des services : pour les VPS et les autres services, nous relevons de manière automatisée des métadonnées de trafic (adresses IP et ports source et destination, protocole, volumes, paquets par seconde, nombre, fréquence et horaires des connexions) ainsi que l'utilisation des ressources (CPU, mémoire, disque, bande passante). Nous les utilisons aussi pour appliquer les limites automatiques et temporaires de RAM et de CPU (point 1 des Conditions) et pour recevoir nous-mêmes une alerte lorsqu'une limite s'active; lorsque la limite du CPU s'active, nous vous en informons par un ticket ou un e-mail. Uniquement en cas d'alerte concrète, pour une vérification ciblée, nous relevons également les noms des processus et des services en cours d'exécution, les ports en écoute et les connexions actives (point 10 des Conditions). Nous ne lisons ni le contenu des communications ni les données que vous hébergez.
- Données de vérification d'identité : si cela est nécessaire pour prévenir la fraude ou les abus, nous pouvons vous demander une pièce d'identité, un extrait du registre du commerce ou une vérification du moyen de paiement. Sur la pièce d'identité, vous pouvez masquer les données qui ne servent pas à vous identifier.
Si vous utilisez l'un de nos e-commerces ou sites gérés, nous pouvons également traiter pour votre compte les données de vos clients présentes sur cette plateforme. Dans ce cas, vous êtes le responsable du traitement de ces données et nous agissons en tant que sous-traitant selon vos instructions (voir la section «À qui nous communiquons les données»).
Nous ne vous demandons pas de données sensibles (par exemple des données de santé) et ne souhaitons pas en recevoir : merci de ne pas les saisir dans les formulaires.
Finalités et base juridique
Nous utilisons vos données pour des finalités précises, chacune avec sa propre base juridique au sens de la loi fédérale sur la protection des données (nLPD) et, lorsqu'il s'applique aux personnes dans l'Union européenne, du RGPD :
- Répondre à vos demandes et vous préparer un devis (base juridique : exécution de mesures précontractuelles prises à votre demande).
- Fournir et gérer le service que vous avez activé (base juridique : exécution du contrat).
- Respecter nos obligations légales, par exemple comptables et fiscales (base juridique : obligation légale).
- Assurer la sécurité de nos systèmes et prévenir les abus (base juridique : notre intérêt légitime, mis en balance avec vos droits).
- Gérer les ressources partagées des serveurs au moyen des limites automatiques et temporaires de RAM et de CPU (base juridique : exécution du contrat et notre intérêt légitime à une utilisation équilibrée des serveurs entre les clients).
- Prévenir la fraude et vérifier l'identité des clients, y compris au moyen de l'adresse IP de la commande, du 3-D Secure et de la vérification manuelle des commandes à risque (base juridique : notre intérêt légitime à ne pas fournir de services à des personnes utilisant de fausses identités ou les moyens de paiement d'autrui).
- Répondre aux autorités lorsque la loi nous y oblige ou qu'une autorité compétente l'ordonne, y compris en vertu de la LSCPT (base juridique : obligation légale).
Décisions automatisées. Pour prévenir la fraude, certaines commandes peuvent être signalées automatiquement sur la base d'indicateurs de risque (par exemple une incohérence entre le pays de la carte, l'adresse et l'adresse IP de la commande). Le refus d'une commande n'est jamais décidé uniquement par un système automatisé : la commande signalée est examinée par une personne, et vous pouvez toujours nous faire connaître votre point de vue et demander que la décision soit réexaminée. Les limites automatiques de RAM et de CPU (point 1 des Conditions) sont elles aussi appliquées par un système automatisé ; elles sont temporaires et vous pouvez les contester par ticket.
Prévention des abus. Les métadonnées de réseau et d'utilisation servent à détecter et à stopper les attaques, scans, spam, logiciels malveillants, minage et autres usages interdits par les Conditions (point 10), à protéger les autres clients et à éviter que les adresses IP ne figurent sur des listes de blocage. Le traitement repose sur notre intérêt légitime à la sécurité du réseau et des services (art. 31 al. 1 nLPD ; art. 6 par. 1 let. f RGPD), est automatisé et proportionné, et n'implique pas l'examen du contenu des communications, sauf obligation légale, ordre d'une autorité, demande ou autorisation spécifique de votre part, ou danger grave et imminent. Les vérifications ciblées n'ont lieu qu'en cas d'alerte concrète, sont consignées et vous sont communiquées dans un délai de 24 heures. En cas d'abus avéré, nous pouvons transmettre les informations strictement nécessaires aux exploitants des réseaux concernés et au fournisseur de l'infrastructure afin de faire cesser l'activité.
Où les données sont hébergées
Les données du site et des services sont hébergées dans un centre de données en France, dans l'Union européenne, conformes au RGPD. Nymora, dont le siège est en Suisse, traite vos données dans le respect de la nLPD et du RGPD.
Les données se trouvent donc dans l'Union européenne, et non en Suisse, et nous vous le disons clairement. Le transfert de la Suisse vers l'UE est admis car la Confédération reconnaît l'Union européenne comme offrant un niveau de protection des données adéquat ; pour d'éventuels traitements en dehors de l'UE et de la Suisse (par exemple certains services accessoires), nous nous appuyons sur les garanties prévues par la loi, telles que les clauses contractuelles types.
Si, à l'avenir, un service spécifique devait impliquer un traitement auprès d'autres prestataires (par exemple un outil tiers que vous choisissez d'activer), nous vous en informerons au préalable et mettrons en place les garanties prévues par la loi. Aucun transfert caché. Si votre situation exige que les données résident en Suisse, écrivez-nous : nous pouvons étudier une option dédiée.
Combien de temps nous les conservons
Nous conservons les données aussi longtemps que nécessaire aux finalités pour lesquelles nous les avons collectées, puis nous les supprimons ou les anonymisons. En pratique :
- Messages de contact : tant que cela est nécessaire au traitement de votre demande, puis pendant une durée raisonnable en cas de suivi.
- Données de facturation et pièces comptables : pendant la durée du contrat et, après la fin de celui-ci, pendant 10 ans (art. 958f CO).
- Autres données d'identification et IP de commande : pendant la durée du contrat et, après la fin de celui-ci, au maximum pendant 12 mois, sauf si elles servent à traiter un cas d'abus, une fraude, une contestation ou une procédure, ou si une autorité en demande la conservation. Si, à l'avenir, des obligations de surveillance étendues au sens de la LSCPT devaient nous être imposées, nous conserverons les données requises pendant les délais prévus par l'ordonnance correspondante (OSCPT) et mettrons à jour la présente politique.
- Copies de sauvegarde des VPS : par rotation, 7 journalières et 2 hebdomadaires. Une donnée effacée de votre VPS peut subsister dans les copies jusqu'à leur expiration naturelle, en règle générale dans un délai de trois semaines. À la cessation du service, le VPS et ses données sont effacés immédiatement; les copies nocturnes déjà effectuées restent dans l'espace de stockage des sauvegardes jusqu'à leur rotation automatique, au maximum 21 jours, puis sont effacées (points 8 et 9 des Conditions), sauf obligation légale ou demande de l'autorité.
- Journaux techniques : pendant une courte période, suffisante pour la sécurité et le diagnostic.
- Métadonnées de réseau et d'utilisation : en règle générale pendant 90 jours au maximum, après quoi elles sont supprimées ou agrégées sous forme anonyme. Si elles sont liées à un cas d'abus, à une contestation ou à une procédure, nous les conservons le temps nécessaire à leur traitement ou tant qu'une autorité l'exige.
- Registre des vérifications ciblées : pendant 12 mois, ou plus longtemps s'il est lié à un cas d'abus, à une contestation ou à une procédure.
- Données de vérification d'identité : uniquement le temps nécessaire à la vérification ; nous conservons le résultat de la vérification pendant la durée de la relation contractuelle et, si la vérification est liée à une fraude ou à un abus, le temps nécessaire à la défense de nos droits.
À qui nous communiquons les données
Nous ne vendons pas vos données et ne les cédons pas à des fins publicitaires de tiers. Nous ne les communiquons qu'aux prestataires dont nous avons besoin pour faire fonctionner le service, et uniquement dans la mesure nécessaire. Ces prestataires agissent en tant que nos sous-traitants (ou sous-traitants ultérieurs), tenus par contrat d'utiliser les données exclusivement pour nous fournir leur service. Les principaux sont :
| Prestataire | Rôle | Lieu |
|---|---|---|
| OVHcloud | Hébergement et infrastructure (sous-traitant ultérieur) | France (UE) |
| Payrexx AG | Paiements en ligne | Thoune, Suisse |
| Fournisseur de messagerie | Envoi et réception des communications | UE / Suisse |
La liste peut évoluer avec nos services ; la version à jour est toujours celle publiée ici. Nous communiquons en outre des données aux autorités de poursuite pénale, aux tribunaux et aux autres autorités compétentes, suisses ou étrangères, lorsque la loi nous y oblige ou qu'une décision contraignante l'ordonne, y compris au Service Surveillance de la correspondance par poste et télécommunication (Service SCPT) en tant que fournisseur de services de communication dérivés au sens de la LSCPT, si elle est applicable, et nous pouvons également le faire pour signaler des activités manifestement illicites exercées au moyen de nos services ou pour défendre nos droits en justice. Nous ne communiquons que les données nécessaires et, lorsque la loi le permet, nous vous en informons. Lorsque vous traitez des données de tiers au moyen de l'un de nos e-commerces ou sites gérés, nous sommes à notre tour votre sous-traitant et agissons selon vos instructions.
Vos droits
Vous disposez de droits sur vos données, reconnus tant par la nLPD que, lorsqu'il est applicable, par le RGPD, et vous pouvez les exercer en nous écrivant. Concrètement, vous pouvez demander à :
- Accéder aux données que nous traitons et savoir comment nous les utilisons.
- Rectifier des données inexactes ou incomplètes.
- Obtenir et emporter vos données dans un format lisible, pour les réutiliser ailleurs.
- Effacer les données, lorsqu'elles ne sont plus nécessaires et qu'aucune obligation légale ne nous impose de les conserver.
- Vous opposer à un traitement, en demander la limitation ou retirer un consentement que vous aviez donné, sans que cela ne porte atteinte à la licéité du traitement effectué auparavant.
Pour exercer un droit, écrivez à [email protected]. Pour protéger vos données, nous pourrions devoir vous demander de confirmer votre identité. Nous répondons gratuitement et dans les délais prévus par la loi.
Si vous estimez que nous traitons vos données de manière incorrecte, vous pouvez vous adresser à l'autorité de surveillance. En Suisse, il s'agit du Préposé fédéral à la protection des données et à la transparence (PFPDT). Si vous vous trouvez dans l'Union européenne, vous pouvez vous adresser à l'autorité de contrôle de votre pays.
Sécurité
Nous prenons des mesures techniques et organisationnelles raisonnables pour protéger les données : chiffrement en transit (TLS), contrôle des accès, sauvegardes nocturnes des VPS sur un espace de stockage séparé situé dans le même centre de données, séparation des environnements, blocage par défaut des ports les plus exposés aux abus et filtres vers les réseaux malveillants. L'infrastructure est hébergée dans un centre de données en France (UE) répondant à des normes de sécurité reconnues.
Aucun système n'est invulnérable à 100 %, et nous ne prétendons pas le contraire. Si une violation de la sécurité des données vous concernant devait se produire, nous vous en informerons conformément à la loi.
Nous contacter au sujet de la protection des données
Pour exercer vos droits ou pour toute question sur la présente politique, écrivez à [email protected] ou utilisez le formulaire de contact.
Mises à jour de la présente politique
Nous pouvons mettre à jour la présente politique lorsque nos services ou les obligations légales changent. La version en vigueur est toujours celle publiée ici, avec la date de dernière mise à jour en haut de page. Si les modifications sont importantes, nous vous les signalons de manière visible.
Dernière mise à jour : 21 octobre 2026