Protection des données

Traduction à titre informatif. En cas de divergence, la version allemande fait foi.

La protection des données revêt pour nous une importance toute particulière. Nous vous informons ci-après en détail de la collecte de données personnelles lors de l’utilisation de notre site web (gumb.app) et de nos applications (web.gumb.app). Les données personnelles sont toutes les données qui permettent de tirer des conclusions sur votre personne, telles que le nom, l’adresse, les adresses e-mail ou le comportement d’utilisation. Le traitement est toujours effectué conformément au règlement général sur la protection des données (RGPD) ainsi qu’à la loi fédérale sur la protection des données (LPD).

Le responsable du traitement au sens de l’art. 4, par. 7, RGPD est :

Gumb AG

Büsingerstrasse 5

CH-8203 Schaffhausen

Suisse

E-mail : privacy@gumb.app

Vous pouvez joindre notre délégué à la protection des données à l’adresse privacy@gumb.app (voir également le point 3).

Gumb est une entreprise active à l’échelle mondiale, avec des clients en Suisse, dans l’Union européenne, aux États-Unis et dans le monde entier. Conformément à l’art. 27 RGPD, nous avons examiné si la désignation d’un représentant externe dans l’UE est nécessaire. Étant donné que nous pilotons la protection de vos données de manière centralisée depuis notre siège en Suisse (un pays auquel la Commission européenne a reconnu un niveau de protection des données adéquat) et que nous n’effectuons actuellement aucun traitement à grande échelle de données sensibles au sens de l’art. 9 RGPD, notre siège fait office de point de contact central.

Pour toute demande relative à la protection des données en provenance de l’UE, des États-Unis ou d’autres régions, vous pouvez nous contacter directement :

Gumb AG
Büsingerstrasse 5
CH-8203 Schaffhausen
Suisse
E-mail : privacy@gumb.app

Nous surveillons en permanence nos obligations réglementaires. Si, en raison de notre croissance sur des marchés spécifiques (p. ex. UE ou Royaume-Uni), la désignation d’un représentant local devenait nécessaire, nous mettrions immédiatement à jour cette information ici.

Lorsque la loi l’exige (p. ex. en cas de traitement de données sensibles ou de plus de 20 collaborateurs conformément à l’art. 37 RGPD ou aux prescriptions nationales), nous avons désigné un délégué à la protection des données.

Il peut être joint à l’adresse suivante :

Délégué à la protection des données de Gumb AG
Büsingerstrasse 5, CH-8203 Schaffhausen, Suisse
E-mail : privacy@gumb.app

Si aucun DPD n’est requis, la direction assume cette responsabilité ; cette décision repose sur une analyse des risques au sens de la LPD et du RGPD.

Vous disposez à notre égard des droits suivants concernant les données personnelles qui vous concernent :

• Droit d’accès (art. 15 RGPD) : Vous pouvez demander des informations sur vos données que nous traitons ainsi qu’une copie de ces données.
• Droit de rectification (art. 16 RGPD) : Vous pouvez demander la correction de données inexactes ou le complètement de données incomplètes.
• Droit à l’effacement (art. 17 RGPD) : Vous pouvez demander l’effacement de vos données, pour autant qu’aucune obligation légale de conservation (p. ex. prescriptions fiscales) ne s’y oppose.
• Droit à la limitation du traitement (art. 18 RGPD) : Dans certaines conditions, vous pouvez demander le blocage de vos données.
• Droit à la portabilité des données (art. 20 RGPD) : Vous avez le droit de recevoir, dans un format courant, les données traitées sur la base de votre consentement ou d’un contrat.
• Droit d’opposition (art. 21 RGPD) et retrait du consentement (art. 7, par. 3, RGPD) : Si vous nous avez donné votre consentement, vous pouvez le retirer à tout moment avec effet pour l’avenir. Lorsque nous traitons des données sur la base d’intérêts légitimes (art. 6, par. 1, let. f RGPD), vous pouvez vous opposer au traitement pour des raisons tenant à votre situation particulière. Veuillez adresser votre opposition ou votre retrait aux coordonnées indiquées au point 1.
• Vos paramètres de consentement (p. ex. pour les cookies, les outils d’analyse ou de marketing) peuvent être modifiés ou retirés à tout moment via la bannière de cookies de notre site web ou dans les paramètres de l’application. Le retrait est gratuit, simple et prend effet pour l’avenir, sans affecter la licéité du traitement effectué jusqu’alors. Vous pouvez également adresser votre retrait aux coordonnées indiquées au point 1.
• Droit de réclamation : Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle en matière de protection des données. L’autorité compétente est soit celle de votre lieu de résidence, soit l’autorité de contrôle suisse :
  Selon votre lieu de séjour, vous pouvez également introduire une réclamation auprès de l’autorité de contrôle compétente de votre pays (p. ex. aux États-Unis auprès de la State Authority concernée ou, dans un État membre de l’UE, auprès de l’autorité locale de protection des données).
  Préposé fédéral à la protection des données et à la transparence (PFPDT) www.edoeb.admin.ch

Lors d’une utilisation du site web à des fins purement informatives, nous ne collectons que les données que votre navigateur transmet à notre serveur. Celles-ci sont techniquement nécessaires pour garantir la stabilité et la sécurité du site (base juridique : art. 6, par. 1, let. f RGPD) :

• Adresse IP
• Date et heure de la requête
• Décalage horaire par rapport à l’heure de Greenwich (GMT)
• Contenu de la requête (page concernée)
• Statut d’accès/code de statut HTTP
• Volume de données transmis à chaque fois
• Site web/application d’où provient la requête (référent)
• Navigateur, système d’exploitation, langue et version du logiciel de navigation

Lors de l’utilisation de nos applications, nous collectons en outre les données nécessaires à leur fonctionnement (art. 6, par. 1, let. f RGPD) :

• Type d’appareil (p. ex. iPhone, Samsung)
• Système d’exploitation et son interface
• Contenu de la requête (page concernée au sein de l’application)
• Données de journalisation techniques visant à garantir la sécurité de fonctionnement

Lorsque vous nous contactez par e-mail ou via un formulaire de contact, nous traitons les données personnelles que vous nous transmettez (notamment votre adresse e-mail ainsi que, le cas échéant, votre nom et votre numéro de téléphone) afin de traiter votre demande.

Le traitement est effectué :

• conformément à l’art. 6, par. 1, let. b RGPD, si votre demande vise la conclusion ou l’exécution d’un contrat,
• à défaut, conformément à l’art. 6, par. 1, let. f RGPD, sur la base de notre intérêt légitime à répondre de manière appropriée aux demandes.

Pour la gestion et la documentation des demandes d’assistance, nous utilisons Zendesk, un service de Zendesk, Inc., États-Unis. Zendesk agit en tant que sous-traitant au sens de l’art. 28 RGPD. L’utilisation de Zendesk repose sur notre intérêt légitime à un traitement efficace et structuré des demandes d’assistance (art. 6, par. 1, let. f RGPD).

Un transfert de données personnelles vers les États-Unis ne peut être exclu. Celui-ci a lieu sur la base des clauses contractuelles types de l’UE conformément à l’art. 46 RGPD ainsi que, le cas échéant, sur la base de la certification du prestataire au titre de l’EU-U.S. Data Privacy Framework. Il ne peut toutefois être entièrement exclu que des autorités américaines accèdent, dans des cas particuliers, à des données personnelles.

Les demandes d’assistance sont en principe conservées pendant 24 mois, puis effacées, pour autant qu’aucune obligation légale de conservation ne s’y oppose ou qu’une conservation plus longue ne soit nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

Vous trouverez de plus amples informations dans la politique de confidentialité de Zendesk.

Nous utilisons des modèles de langage d’IA comme outil interne afin de rendre divers processus commerciaux plus efficaces et d’en améliorer la qualité. Il s’agit notamment de :

• Traitement et préparation de réponses aux demandes de clients, de partenaires et d’investisseurs ainsi qu’à la correspondance commerciale générale
• Développement de produits, optimisation UI/UX et préparation de présentations et de documents ; lors de l’examen de scénarios d’utilisation ou de cas clients, ceux-ci sont, dans la mesure du possible, utilisés sous forme anonymisée
• Analyse d’indicateurs agrégés et non personnels en vue de l’optimisation des produits

Tous les résultats générés par l’IA sont vérifiés par des collaborateurs avant d’être utilisés ou envoyés. Aucune prise de décision automatisée au sens de l’art. 22 RGPD n’a lieu.

Données personnelles : Lorsque des demandes ou de la correspondance contiennent des données personnelles (notamment nom, adresse e-mail, contenu des messages ainsi que des données techniques de compte telles que le rôle, l’appartenance à une communauté et le statut d’abonnement), celles-ci peuvent être saisies, lors de leur traitement, dans les systèmes d’IA mentionnés ci-après. Dans le cadre du développement de produits, les scénarios d’utilisation sont en principe examinés sous forme anonymisée ; une anonymisation complète ne peut toutefois pas être garantie dans tous les cas. L’analyse des indicateurs porte exclusivement sur des données agrégées et non personnelles.

Fournisseurs d’IA utilisés :

• Claude (Anthropic PBC), 548 Market St, PMB 90375, San Francisco, CA 94104, USA
• ChatGPT (OpenAI Ireland Ltd.), 1 Shelbourne Road, Ballsbridge, Dublin 4, Irlande

Vos données ne sont pas utilisées pour l’entraînement de modèles d’IA. Pour ChatGPT (OpenAI) et Claude (Anthropic), nous avons désactivé l’utilisation à des fins d’entraînement dans les paramètres de compte respectifs.

Base juridique : art. 6, par. 1, let. f RGPD (intérêt légitime à des processus commerciaux efficaces, à une communication de qualité ainsi qu’à l’amélioration continue de notre produit).

Transferts internationaux de données : Anthropic et OpenAI peuvent traiter des données sur des serveurs situés aux États-Unis. Le transfert a lieu sur la base des clauses contractuelles types de l’UE conformément à l’art. 46 RGPD ainsi que, le cas échéant, de la certification au titre de l’EU-U.S. Data Privacy Framework. Il ne peut être entièrement exclu que des autorités américaines accèdent, dans des cas particuliers, à des données personnelles.

Nous examinons en permanence si un passage à des offres professionnelles assorties d’un contrat formel de sous-traitance (contrat de traitement des données) conformément à l’art. 28 RGPD devient nécessaire.

Plus d’informations :

• Politique de confidentialité d’Anthropic
• Politique de confidentialité d’OpenAI

Pour la création d’un compte client, nous collectons les informations obligatoires suivantes :

• Adresse e-mail (en tant que nom d’utilisateur)
• Un mot de passe choisi par vous

L’inscription est nécessaire pour utiliser nos services. La base juridique est l’art. 6, par. 1, let. b RGPD (mesures précontractuelles et exécution du contrat) ainsi que notre intérêt légitime à fournir un compte utilisateur sécurisé (art. 6, par. 1, let. f RGPD).

La fourniture des informations obligatoires est nécessaire à la conclusion et à l’exécution du contrat d’utilisation. Sans ces informations, aucun compte utilisateur ne peut être créé.

Nous vous recommandons d’utiliser une adresse e-mail privée. Si vous utilisez l’adresse d’un employeur ou d’une autre organisation, celle-ci peut avoir techniquement accès à la boîte de réception et donc aux e-mails de Gumb, par exemple aux notifications de rendez-vous contenant les noms d’autres membres. Vous et l’organisation concernée en êtes responsables.

Nous enregistrons sous forme pseudonymisée les fonctions de planification utilisées dans notre application ainsi que le nombre d’événements concernés. Ces données ne sont collectées que pendant l’utilisation active et servent à optimiser les performances ainsi qu’à recommander des fonctions adaptées. La base juridique est l’art. 6, par. 1, let. f RGPD (intérêt légitime à l’amélioration de notre offre). Vous pouvez vous opposer à tout moment à ce type de recommandation (contactez-nous à cet effet aux coordonnées indiquées au point 1).

Les administrateurs (p. ex. les membres du comité d’une association disposant de droits d’administrateur dans l’application) ont la possibilité de créer provisoirement des comptes pour des tiers. Les données personnelles suivantes sont alors traitées :

• Adresse e-mail
• Prénom et nom
• Un mot de passe temporaire

La collecte de ces données et leur transmission à Gumb AG sont effectuées par l’administrateur concerné. À cet égard, les administrateurs agissent de manière autonome en tant que responsables du traitement au sens de l’art. 4, point 7, RGPD. Ils sont tenus de garantir la licéité de la collecte des données et, si nécessaire, de disposer d’une base juridique appropriée (p. ex. consentement ou base contractuelle).

Gumb AG traite les données transmises dans le cadre de la mise à disposition technique de la plateforme en tant que responsable du traitement autonome conformément à l’art. 4, point 7, RGPD. Il n’existe pas de responsabilité conjointe au sens de l’art. 26 RGPD.

Le traitement par Gumb AG repose sur l’art. 6, par. 1, let. f RGPD (intérêt légitime à la mise à disposition des fonctionnalités de la plateforme ainsi qu’à une gestion efficace des utilisateurs).

Dès qu’un administrateur a créé un compte provisoire, la personne concernée en est informée sans délai par e-mail. Cette notification lui fournit un mot de passe temporaire ; elle peut alors se connecter, consulter et modifier les données enregistrées ou supprimer le compte.

Si une personne concernée n’est pas d’accord avec la création du compte, elle peut supprimer elle-même le compte ou demander à Gumb AG, à l’adresse privacy@gumb.app, de le supprimer sans délai.

Lorsque vous passez une commande en ligne via notre site web ou nos applications, nous collectons les données nécessaires à la conclusion du contrat (base juridique : art. 6, par. 1, let. b RGPD). Les données sont conservées pendant la durée du contrat et conformément aux obligations légales de conservation (notamment les prescriptions fiscales) (base juridique : art. 6, par. 1, let. c RGPD).

Pour le traitement des paiements, nous faisons appel aux prestataires de paiement externes suivants, qui traitent vos données de paiement en tant que responsables du traitement autonomes :

• Stripe : Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irlande.
  Politique de confidentialité de Stripe
• PayPal : PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.
  Politique de confidentialité de PayPal

La transmission de vos données aux prestataires de paiement repose sur l’art. 6, par. 1, let. b RGPD (exécution du contrat).

Nous vous offrons la possibilité de vous inscrire et de vous connecter avec votre compte existant auprès des fournisseurs suivants :

• Facebook Connect (Meta Platforms Ireland Ltd.)
• Google (Google Ireland Limited)
• Apple (Apple Inc.)

Lorsque vous vous connectez via l’un de ces services, votre accord vous est demandé pour nous transmettre certaines informations de votre profil auprès de ce fournisseur. En règle générale, nous recevons les données suivantes :

• Prénom, nom
• Adresse e-mail
• Photo de profil (selon le fournisseur)

Nous utilisons ces données pour créer, mettre à disposition et personnaliser votre compte Gumb. La base juridique est l’art. 6, par. 1, let. b RGPD (mesures précontractuelles) ainsi que notre intérêt légitime à une procédure de connexion confortable (art. 6, par. 1, let. f RGPD). Avec Apple, vous avez la possibilité de masquer votre adresse e-mail ; dans ce cas, vous recevez d’Apple une adresse e-mail de relais anonymisée.

Les données sont transmises directement par le fournisseur concerné, après que vous y avez donné votre consentement à leur communication.

Notre site web et nos applications utilisent des cookies et des technologies similaires (p. ex. pixels, SDK, Local Storage). Les cookies sont de petits fichiers texte qui sont enregistrés sur votre terminal et qui transmettent certaines informations à l’entité qui dépose le cookie. Les cookies ne peuvent pas exécuter de programmes ni transmettre de virus.

Nous distinguons les catégories suivantes :

• Strictement nécessaires : Ces cookies sont indispensables au fonctionnement du site web/de l’application (p. ex. connexion, fonctions de sécurité). Sans eux, nous ne pouvons pas vous proposer nos services. La base juridique est l’art. 6, par. 1, let. f RGPD (intérêt légitime au bon fonctionnement).
• Fonctionnels : Ces cookies permettent une fonctionnalité et une personnalisation améliorées (p. ex. enregistrement des préférences linguistiques). Ils ne sont déposés qu’avec votre consentement (art. 6, par. 1, let. a RGPD).
• Analyse / performance : Ces cookies nous aident à comprendre comment les visiteurs utilisent notre site afin d’en améliorer les performances. Ils ne sont déposés qu’avec votre consentement (art. 6, par. 1, let. a RGPD).
• Marketing / ciblage : Ces cookies sont déposés par des partenaires publicitaires afin d’établir des profils de vos centres d’intérêt et de vous présenter des publicités pertinentes. Ils ne sont déposés qu’avec votre consentement (art. 6, par. 1, let. a RGPD).

Pour gérer et documenter vos paramètres de consentement, nous utilisons CookieScript (un service d’Objectis, UAB, Laisvės str. 60, LT-05120 Vilnius, Lituanie). CookieScript enregistre vos préférences de consentement dans un cookie sur votre appareil et nous permet de retracer vos choix. La base juridique est l’art. 6, par. 1, let. f RGPD en relation avec le § 25 TTDSG ou les dispositions ePrivacy correspondantes.

Vous pouvez modifier ou retirer à tout moment vos paramètres de consentement (p. ex. pour les cookies, les outils d’analyse ou de marketing) via la bannière de cookies de notre site web ou dans les paramètres de l’application. Le retrait est gratuit, simple et prend effet pour l’avenir, sans affecter la licéité du traitement effectué jusqu’alors. Vous pouvez également adresser votre retrait aux coordonnées indiquées au point 1.

Nous utilisons Google Analytics 4 (GA4), un service d’analyse web de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande). GA4 sert à analyser l’utilisation de notre site web et de nos applications.

Étendue du traitement

• Collecte de données d’utilisation (p. ex. pages consultées, durée de visite, comportement de clic)
• Informations sur l’appareil et le navigateur
• Adresse IP (anonymisée par défaut et non conservée de manière permanente)

Avec votre consentement, nous utilisons les Enhanced Conversions : certaines données (p. ex. adresses e-mail) sont transmises à Google sous forme hachée (SHA-256) afin de mieux attribuer les conversions.

Google Consent Mode v2 : Nous respectons pleinement vos paramètres de consentement. Selon votre choix, Google reçoit soit des données détaillées (en cas de consentement), soit uniquement des données agrégées et non personnelles (sans consentement).

Durée de conservation : Les données au niveau de l’utilisateur sont conservées pendant 14 mois au maximum, puis automatiquement effacées ou anonymisées.

Destinataires et transfert de données : Google Ireland Limited agit en règle générale en tant que sous-traitant. Les données peuvent être transférées vers des serveurs de Google LLC aux États-Unis. Ce transfert repose sur les clauses contractuelles types de l’UE ainsi que sur la certification de Google au titre de l’EU-U.S. Data Privacy Framework.

Base juridique : Votre consentement conformément à l’art. 6, par. 1, let. a RGPD. Vous pouvez le retirer à tout moment dans la bannière de cookies.

Plus d’informations : Politique de confidentialité de Google

Nos applications utilisent Firebase, une plateforme de Google, aux fins suivantes :

• Storage : Mise à disposition de contenus multimédias (p. ex. images) ; base juridique : art. 6, par. 1, let. f RGPD (intérêt légitime à une diffusion efficace)
• Crashlytics : Identification et correction des plantages de l’application (données purement techniques) ; base juridique : art. 6, par. 1, let. f RGPD (intérêt légitime à la stabilité)
• Analytics : Mesure statistique de l’utilisation de l’application ; base juridique : votre consentement (art. 6, par. 1, let. a RGPD)

Le traitement des données est effectué sur des serveurs de Google, qui peuvent également se trouver aux États-Unis. Les mêmes garanties que pour Google Analytics s’appliquent (clauses contractuelles types de l’UE, Data Privacy Framework). Pour les services Firebase, Google Ireland Limited agit en principe en tant que sous-traitant.

Nous utilisons Contentsquare, un service de Content Square SAS (7 rue de Madrid, 75008 Paris, France), sur notre site web et dans notre application web (web.gumb.app). Cela nous permet de voir où l’utilisation pose problème et de résoudre plus rapidement les demandes d’assistance. Contentsquare est chargé via Google Tag Manager et ne démarre qu’une fois que vous avez donné votre consentement dans la bannière de cookies.

Contentsquare enregistre la manière dont vous utilisez nos pages, p. ex. les clics, le défilement et les pages visitées, ainsi que des informations sur l’appareil et le navigateur. Sur notre site web, les textes et les images sont visibles dans les enregistrements. Dans l’application web, tous les contenus sont masqués.

Après la connexion, votre identifiant utilisateur Gumb peut être associé à l’enregistrement, avec des informations sur votre abonnement (p. ex. formule et périodicité de facturation). Notre équipe d’assistance peut ainsi attribuer un enregistrement au bon compte.

Contentsquare conserve les données pendant un mois, puis les efface automatiquement. Jusqu’au 1er novembre 2026, nous utilisions Hotjar à cette fin. Les enregistrements Hotjar existants sont effacés au plus tard après 365 jours.

Dans la mesure où des données sont transférées vers les États-Unis, Content Square, Inc. est certifiée au titre de l’EU-U.S. Data Privacy Framework. Les clauses contractuelles types de l’UE s’appliquent en outre.

La base juridique est votre consentement (art. 6, par. 1, let. a RGPD). Vous pouvez le retirer à tout moment dans la bannière de cookies.

Plus d’informations : Protection des données chez Contentsquare

Pour la surveillance technique des erreurs, nous utilisons Sentry.io (Functional Software, Inc., États-Unis). Sentry traite exclusivement des données techniques (p. ex. messages d’erreur, type d’appareil, version du système d’exploitation) et n’enregistre aucune donnée personnelle en clair. La base juridique est l’art. 6, par. 1, let. f RGPD (intérêt légitime à la correction des erreurs et à la stabilité).
Plus d’informations : Protection des données chez Sentry

Nous utilisons Google Tag Manager de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande). Il nous permet de gérer et de charger les services d’analyse et de marketing sur notre site web, p. ex. Google Analytics, Google Ads, le pixel Meta et Contentsquare. Le Tag Manager lui-même ne dépose aucun cookie et n’analyse aucune donnée. Les services chargés par son intermédiaire ne démarrent qu’une fois que vous avez donné votre consentement dans la bannière de cookies (voir point 10.3). La base juridique est l’art. 6, par. 1, let. f RGPD (intérêt légitime à une gestion efficace de ces services).

Pour une partie de la mesure, nous utilisons en outre le balisage côté serveur via stape.io (Stape, Inc., 901 N Market St., Suite 100, Wilmington, DE 19801, USA). Certains événements (p. ex. inscription, début de la période d’essai, achat, consultation de la page des tarifs) sont d’abord envoyés à un serveur situé sous notre sous-domaine dessit.gumb.app. Celui-ci ne transmet que les données nécessaires à Google Analytics et à Meta (voir points 11.1 et 12.2). Sont traitées les données d’événements, les informations sur l’appareil et le navigateur ainsi que l’adresse IP. Stape agit en tant que notre sous-traitant. La base juridique est votre consentement (art. 6, par. 1, let. a RGPD), que vous pouvez retirer à tout moment dans la bannière de cookies.

Stape est certifiée au titre de l’EU-U.S. Data Privacy Framework. Pour les transferts vers les États-Unis, les clauses contractuelles types de l’UE s’appliquent en outre.

Plus d’informations : Protection des données chez Google, Protection des données chez Stape

Nous utilisons Google Ads pour faire connaître nos services. Nous utilisons à cet effet :

• Suivi des conversions : Lorsque vous cliquez sur une annonce Google, un cookie est déposé, qui nous indique (ainsi qu’à Google) si vous avez effectué une action déterminée (p. ex. une inscription).
• Listes de remarketing : Les visiteurs de notre site peuvent ultérieurement se voir présenter des publicités personnalisées sur d’autres sites web du réseau publicitaire de Google.

En ce qui concerne la collecte des données et leur transmission à Google, il existe une responsabilité conjointe au sens de l’art. 26 RGPD. Le traitement ultérieur des données par Google relève de sa propre responsabilité. Vous trouverez de plus amples informations dans les règles de confidentialité de Google.

L’activation de ces fonctions n’a lieu qu’après votre consentement (art. 6, par. 1, let. a RGPD).
Plus d’informations : Protection des données chez Google Ads

Nous utilisons le pixel de Meta Platforms Ireland Ltd. (Facebook, Instagram). Le pixel nous permet de mesurer l’efficacité de nos annonces publicitaires et de présenter aux visiteurs de notre site des publicités ciblées en fonction de leurs centres d’intérêt sur Facebook et Instagram. Si vous y avez consenti, nous utilisons également la mise en correspondance avancée (transmission d’adresses e-mail hachées afin d’améliorer la constitution des audiences cibles). La base juridique est votre consentement (art. 6, par. 1, let. a RGPD).

En ce qui concerne la collecte des données d’événements et leur transmission à Meta Platforms, il existe une responsabilité conjointe au sens de l’art. 26 RGPD. Le traitement ultérieur des données par Meta relève de sa propre responsabilité. L’accord de responsabilité conjointe (« Controller Addendum ») est disponible dans les informations sur la protection des données de Meta.

Plus d’informations : Protection des données chez Facebook

Nous utilisons le LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company) afin d’analyser les conversions et la portée de nos campagnes LinkedIn. LinkedIn reçoit des informations sur votre interaction avec notre site web, qui peuvent être associées à votre compte LinkedIn si vous y êtes connecté. La base juridique est votre consentement (art. 6, par. 1, let. a RGPD).

En ce qui concerne la collecte des données et leur transmission à LinkedIn, il existe une responsabilité conjointe au sens de l’art. 26 RGPD. Le traitement ultérieur par LinkedIn relève de sa propre responsabilité.

Plus d’informations : Protection des données chez LinkedIn

Nous intégrons sur notre site web des vidéos de YouTube. Nous utilisons à cet effet le mode de confidentialité renforcée. Celui-ci garantit que YouTube n’établit une connexion avec ses serveurs que lorsque vous lancez activement la vidéo en cliquant dessus. Ce n’est qu’à ce moment que des données (p. ex. votre adresse IP) sont transmises à YouTube. Si vous êtes en même temps connecté à votre compte YouTube, YouTube peut associer votre navigation à votre profil ; vous pouvez l’empêcher en vous déconnectant avant de cliquer. La base juridique est votre consentement (art. 6, par. 1, let. a RGPD).

Plus d’informations : Protection des données chez Google

Dans le cadre de l’utilisation d’outils d’analyse et de marketing (p. ex. Google Analytics, pixel Meta), des profils d’utilisation pseudonymes peuvent être établis. Ceux-ci servent à analyser le comportement des utilisateurs et à diffuser des publicités personnalisées. Aucune prise de décision automatisée au sens de l’art. 22 RGPD produisant des effets juridiques ou vous affectant de manière similaire n’a lieu. Le profilage n’est effectué qu’avec votre consentement, qui peut être retiré à tout moment. Les risques comprennent une possible association à votre profil par des tiers, ce que nous réduisons au minimum par l’anonymisation.

Nous hébergeons nos systèmes chez Amazon Web Services (AWS) , un service d’Amazon Web Services, Inc., États-Unis.

Services utilisés :

• S3 : Stockage cloud pour un stockage de données sûr et évolutif
• Amazon Pinpoint : Communication avec les utilisateurs par e-mail, SMS ou notifications push
• Cognito : Gestion des identités et authentification
• SES (Simple Email Service) : Envoi d’e-mails transactionnels

Région de traitement des données : Vos données sont traitées principalement dans l’UE (région de Francfort). Des accès de maintenance depuis les États-Unis ne peuvent toutefois pas être entièrement exclus. Ceux-ci ont lieu sur la base des clauses contractuelles types de l’UE ainsi que de l’EU-U.S. Data Privacy Framework. AWS est certifiée au titre du Data Privacy Framework. La base juridique de l’hébergement est l’art. 6, par. 1, let. f RGPD (intérêt légitime à une infrastructure informatique sûre et performante).

Il ne peut être exclu que des autorités américaines accèdent, dans des cas particuliers, à des données personnelles. Malgré les mesures de protection contractuelles et techniques, un niveau de protection des données entièrement équivalent à celui de l’UE ne peut être garanti aux États-Unis.

Plus d’informations : Protection des données chez AWS

Destinataires des données personnelles
Les destinataires de vos données peuvent notamment être :

• Prestataires de services informatiques et d’hébergement
• Prestataires de services d’analyse et de marketing
• Prestataires de paiement
• Prestataires de services d’assistance
• Autorités, dans la mesure où la loi l’exige

Lorsque des données sont transférées vers des pays tiers situés en dehors de l’UE/de l’EEE, cela n’a lieu que sur la base de garanties appropriées conformément aux art. 44 ss RGPD, notamment de clauses contractuelles types ou de décisions d’adéquation.

Lorsque des données personnelles sont transférées vers des pays tiers situés en dehors de l’UE/de l’EEE, tels que les États-Unis, cela a lieu exclusivement sur la base de garanties appropriées conformément aux art. 44 ss RGPD, notamment des clauses contractuelles types de l’UE (CCT), de décisions d’adéquation ou de l’EU-U.S. Data Privacy Framework (DPF). Malgré ces mesures, un niveau de protection des données entièrement équivalent à celui de l’UE ne peut être garanti aux États-Unis, car des autorités américaines pourraient, dans des cas particuliers, avoir accès aux données (p. ex. en vertu du droit américain, comme le CLOUD Act). Nous effectuons régulièrement des analyses d’impact des transferts (Transfer Impact Assessments, TIA) afin de réduire les risques au minimum. Les utilisateurs peuvent demander de plus amples détails sur les mesures de protection prises à l’adresse privacy@gumb.app.

Les candidatures envoyées directement par e-mail à careers@gumb.app sont gérées via Zendesk et traitées comme des demandes d’assistance. Nous nous réservons le droit de conserver les dossiers de candidature en vue de postes adaptés ultérieurs. Si vous souhaitez leur effacement, veuillez nous en informer à tout moment par e-mail à privacy@gumb.app : nous effacerons alors les données sans délai.

Vous pouvez postuler chez nous via notre portail de candidature et la plateforme Wellfound. Nous traitons vos données personnelles (données de base, CV, certificats, lettre de motivation) exclusivement afin de décider de l’établissement d’une relation de travail. La base juridique est l’art. 6, par. 1, let. b RGPD (exécution de mesures précontractuelles) en relation avec le § 26 BDSG.

Si vous souhaitez être intégré à notre vivier de candidats, nous recueillons votre consentement exprès (art. 6, par. 1, let. a RGPD). Les données sont alors conservées aussi longtemps que le consentement subsiste ou qu’un intérêt légitime existe. Vous pouvez retirer votre consentement à tout moment ; sur demande expresse d’effacement, nous effaçons les données sans délai.

Wellfound peut transférer des données vers les États-Unis ; ce transfert repose sur les clauses contractuelles types de l’UE. Plus d’informations : Protection des données chez Wellfound

Vous pouvez également postuler chez nous via la plateforme Indeed (Indeed Inc., États-Unis). Nous traitons vos données personnelles (données de base, CV, certificats, lettre de motivation) exclusivement afin de décider de l’établissement d’une relation de travail. La base juridique est l’art. 6, par. 1, let. b RGPD (exécution de mesures précontractuelles) en relation avec le § 26 BDSG. Indeed peut transférer des données vers les États-Unis ; ce transfert repose sur les clauses contractuelles types de l’UE ainsi que sur la certification au titre de l’EU-U.S. Data Privacy Framework. Plus d’informations : Protection des données chez Indeed.

Le traitement des données est effectué aux fins de l’organisation du concours conformément à l’art. 6, par. 1, let. b RGPD. Toute utilisation allant au-delà (p. ex. marketing) a lieu exclusivement sur la base de votre consentement (art. 6, par. 1, let. a RGPD).

Nous prenons des mesures de sécurité techniques et organisationnelles étendues afin de protéger vos données contre les manipulations accidentelles ou intentionnelles, la perte, la destruction ou l’accès par des personnes non autorisées (art. 32 RGPD). Il s’agit notamment de :

• Chiffrement SSL/TLS pour la transmission des données
• Contrôles d’accès et concepts d’autorisation
• Vérification régulière de nos procédures de sécurité

Nos collaborateurs sont régulièrement formés au traitement des données personnelles.

Nous ne conservons les données personnelles que le temps nécessaire aux finalités concernées ou tant que des obligations légales de conservation existent (p. ex. 10 ans pour les données fiscales conformément au HGB/à l’AO). Exemples :

• Données d’assistance (p. ex. tickets Zendesk, y compris les candidatures via careers@gumb.app) : jusqu’à la demande d’effacement ou selon l’obligation légale de conservation, en règle générale jusqu’à 24 mois.
• Données d’analyse (p. ex. GA4) : 14 mois.
• Enregistrements Contentsquare : 1 mois.

Nous adaptons occasionnellement la présente politique de confidentialité aux évolutions techniques, aux nouvelles fonctionnalités ou aux modifications juridiques, p. ex. en raison de réformes européennes telles que les adaptations du BDSG de 2026 visant à simplifier les obligations relatives aux DPD, ou de mises à jour de l’EU-U.S. Data Privacy Framework. Vous trouverez la date de la dernière modification au début du présent document. Nous vous recommandons de relire régulièrement notre politique de confidentialité. En cas de modifications importantes, nous vous en informons par e-mail ou par notification dans l’application.

Pour toute question relative à la protection des données, veuillez vous adresser à :
Gumb AG, à l’attention du service Protection des données
Büsingerstrasse 5, CH-8203 Schaffhausen
E-mail : privacy@gumb.app

Date d’entrée en vigueur : 20 septembre 2020

Dernière mise à jour : 10 novembre 2026