Comment BankKey traite les données de vos emprunteurs

Le responsable du traitement : le cabinet de courtage titulaire du compte BankKey, représenté par la personne qui a créé le compte, ci-après « le Cabinet ».

Le sous-traitant : Tim Nicoud, BankKey (entreprise individuelle), Unterdorfstrasse 21, 8602 Wangen-Brüttisellen, Suisse, ci-après « BankKey ».

Le présent accord encadre les traitements de données personnelles que BankKey effectue pour le compte du Cabinet dans le cadre du service BankKey, décrit dans les conditions générales d'utilisation. Il en fait partie intégrante. Il suit l'article 28 du RGPD et l'article 9 de la loi suisse sur la protection des données (nLPD).

Nature

Lecture des emails de la boîte de réception connectée (Gmail par Google : non lus des 30 derniers jours et tous ceux des 7 derniers jours, plus le Spam des 7 derniers jours pour les emails qui parlent de financement ; IMAP, dont Gmail par mot de passe d'application : tous les emails des 7 derniers jours ; Outlook : non lus), tri, extraction d'informations, calcul d'une note de priorité (aide au tri, pas un avis de crédit), rédaction de projets de réponse, collecte de pièces justificatives.

Finalité

Aider le Cabinet à traiter ses demandes de financement entrantes.

Personnes concernées

Emprunteurs et prospects du Cabinet ; expéditeurs des emails reçus.

Données

Contenu des emails ; identité et coordonnées ; revenus, apport, situation professionnelle, crédits en cours ; projet immobilier ; pièces déposées par les clients du Cabinet.

Durée

Durée de l'abonnement, puis restitution et suppression selon l'article 10.

BankKey ne traite les données que sur instruction documentée du Cabinet, constituée par l'utilisation du service et ses réglages. BankKey n'envoie aucun email depuis la boîte du Cabinet sans action explicite d'un utilisateur du Cabinet. Dans la boîte, BankKey ne supprime rien : avec Gmail connecté par Google, il pose le libellé « BankKey/traité » sans marquer les emails comme lus ; en IMAP, il ne marque rien ; avec Outlook, il marque comme lus les emails pris en charge. Si une instruction lui paraît contraire à la réglementation, BankKey en informe le Cabinet.

Les personnes autorisées à accéder aux données chez BankKey sont tenues à la confidentialité. L'accès humain au contenu des emails est limité aux cas suivants : demande ou accord du Cabinet, sécurité, obligation légale.

BankKey met en œuvre les mesures décrites en annexe et sur la page sécurité : isolation des données par cabinet au niveau de la base, chiffrement des échanges, hébergement de la base de données dans l'Union européenne (Irlande), accès révocable à la messagerie depuis le compte Google ou Microsoft du Cabinet ou en supprimant le mot de passe d'application.

Le Cabinet autorise le recours aux prestataires suivants. La liste est la même que sur les pages sécurité et confidentialité ; le rôle de chacun précise s'il reçoit ou non des données d'emprunteurs.

BankKey informe le Cabinet par email de tout ajout ou remplacement, 30 jours à l'avance. Le Cabinet peut s'y opposer en résiliant son abonnement sans frais. BankKey impose à chaque prestataire des obligations de protection équivalentes.

Le recours à Anthropic implique un transfert vers les États-Unis. Ce transfert est encadré par l’accord de traitement des données d’Anthropic, qui intègre les clauses contractuelles types de la Commission européenne et un avenant pour la Suisse. Selon ses conditions commerciales, Anthropic n'utilise pas les données transmises par son API pour entraîner ses modèles.

BankKey aide le Cabinet, dans la mesure du possible :

• à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité). Les prospects s'exportent en CSV depuis l'application, et le compte entier depuis la page Mon profil ; une suppression est possible depuis la même page ou sur demande à contact@bankkey.ch ;
• à remplir ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact.

BankKey notifie au Cabinet toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, données et personnes concernées, mesures prises).

À la fin de l'abonnement, BankKey conserve les données 30 jours pour permettre au Cabinet de les récupérer, puis les supprime, sauf obligation légale de conservation. Sur demande du Cabinet, la suppression intervient plus tôt.

BankKey met à disposition du Cabinet les informations nécessaires pour démontrer le respect du présent accord. Les audits sur place, s'ils sont demandés, sont convenus à l'avance, à des dates raisonnables, aux frais du Cabinet.

Celui des conditions générales d'utilisation : droit suisse, tribunaux du canton de Genève.

• Row Level Security PostgreSQL : chaque cabinet n'accède qu'à ses propres lignes.
• Écritures depuis le navigateur limitées à quelques colonnes non sensibles du profil et du dossier ; jetons et mot de passe de messagerie illisibles par le navigateur.
• HTTPS partout, en-têtes de sécurité.
• Base de données chiffrée au repos par l'hébergeur.
• Jetons d'accès Gmail et Outlook, mot de passe de messagerie : chiffrés dans la base par BankKey (AES-256-GCM).
• Console d'administration sans expéditeurs ni objets des emails des prospects.
• Liens de dépôt des pièces : jeton unique par demande, stockage privé.
• Aucun envoi sans clic d'un utilisateur.
• Export et suppression du compte par le Cabinet lui-même, depuis la page Mon profil.

• Les délais de 30 jours (information sur les prestataires, conservation après la fin du contrat) et de 48 heures (violation de données) sont ceux du projet ; ils peuvent changer après relecture.
• Le droit applicable pour les cabinets établis en France.
• La couverture, par les clauses d'Anthropic, d'un sous-traitant établi en Suisse.