Politique de confidentialité — espace personnel ShieldOne

Version 1.15 — en vigueur le 11 octobre 2026
(Version 1.14 du 9 octobre 2026 — remplacée le 11 octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.14.md.)
(Version 1.13 du 5 octobre 2026 — remplacée le 9 octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.13.md.)
(Version 1.12 du 4 octobre 2026 — remplacée le 5 octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.12.md.)
(Version 1.11 du 3 octobre 2026 — remplacée le 4 octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.11.md.)
(Version 1.10 du 2 octobre 2026 — remplacée le 3 octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.10.md.)
(Version 1.9 du 1er octobre 2026 — remplacée le 2 octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.9.md.)
(Version 1.8 du 1er octobre 2026 — remplacée le même jour, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.8.md.)
(Version 1.7 du 30 septembre 2026 — remplacée le 1er octobre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.7.md.)
(Version 1.6 du 27 septembre 2026 — remplacée le 30 septembre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.6.md.)
(Version 1.5 du 27 septembre 2026 — remplacée le même jour, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.5.md.)
(Version 1.4 du 27 septembre 2026 — remplacée le même jour, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.4.md.)
(Version 1.3 du 26 septembre 2026 — remplacée le 27 septembre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.3.md.)
(Version 1.2 du 25 septembre 2026 — remplacée le 26 septembre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.2.md.)
(Version 1.1 du 19 septembre 2026 — remplacée le 25 septembre 2026, consultable en archive : /legal/archive/18-politique-confidentialite-particuliers-v1.1.md.)

Seule la version française fait foi.

Ce document explique, en termes simples, ce que ShieldOne fait des données personnelles d'un particulier qui utilise ShieldOne à titre personnel : quelles données, pourquoi, avec qui, où, combien de temps, et comment exercer vos droits.

1. Qui est responsable

Pour l'espace personnel, le responsable du traitement est :

ShieldOne — raison individuelle
6 chemin Frisco, 1208 Genève, Suisse
Contact, y compris pour la protection des données : contact@shieldone.ch

2. Deux volets, deux qualités

ShieldOne propose deux usages distincts, et ShieldOne n'y joue pas le même rôle.

• Le volet professionnel. Lorsque vous utilisez ShieldOne dans le cadre de votre travail, par l'intermédiaire d'une société cliente (par exemple votre employeur), c'est cette société qui est responsable du traitement ; ShieldOne agit pour elle comme sous-traitant. Ce volet est régi par la Politique de confidentialité — ShieldOne et par l'Annexe de traitement des données (Annexe DPA). Le présent document ne les remplace pas et ne les modifie pas. Pour ce volet, adressez vos demandes à la société concernée.
• Le volet personnel. Lorsque vous utilisez ShieldOne pour vous-même, sans société, c'est ShieldOne qui est responsable du traitement. C'est l'objet du présent document. Pour ce volet, adressez vos demandes à contact@shieldone.ch.

Aujourd'hui, un compte personnel est un compte ShieldOne qui n'est rattaché à aucune société.

ShieldOne Training (3.14), votre profil pro (3.15) et ShieldOne Jobs (3.16) relèvent du volet personnel : ShieldOne est responsable du traitement de ce qu'elle enregistre. L'organisme de formation à qui vos prénom, nom et adresse e-mail sont transmis, et la société à qui vous adressez une candidature, traitent ensuite ce qu'ils reçoivent sous leur propre responsabilité, et non pour le compte de ShieldOne (pour l'organisme, Conditions de ShieldOne Training, article 10.3 ; pour la société, article 18.2 des Conditions d'utilisation de l'espace personnel — ShieldOne).

3. Les données que nous traitons

Nous décrivons les données traitement par traitement.

3.1 Votre compte

• Votre adresse e-mail, qui sert d'identifiant de connexion.
• Votre mot de passe. Il est géré par le service d'authentification de Google (Firebase Authentication) ; ShieldOne ne l'enregistre pas dans sa propre base de données.
• Votre nom, s'il a été renseigné.
• Les dates de création du compte et de dernière connexion, tenues par le service d'authentification.
• Des fiches techniques internes qui associent votre adresse e-mail et vos moyens de connexion (e-mail et mot de passe, par exemple) à votre compte.

3.2 L'historique de vos connexions

À chaque connexion réussie par l'application, nous enregistrons :

• la date et l'heure ;
• votre adresse IP ;
• une description de l'appareil : type de navigateur, version principale et système (par exemple « Chrome 128 · Android ») ;
• une empreinte de ce type d'appareil, qui permet de reconnaître un appareil déjà vu ;
• l'indication qu'il s'agit, ou non, d'un appareil jamais vu ;
• votre identifiant de compte et votre adresse e-mail.

Vous voyez vous-même les 20 connexions les plus récentes dans votre espace, rubrique « Sécurité ». L'application compare aussi cet historique à la date de dernière connexion tenue par le service d'authentification, pour vous signaler une connexion qui n'aurait pas été déclarée par l'application.

3.3 Le journal de sécurité

Certains événements liés à votre compte sont inscrits dans un journal de sécurité : une connexion depuis un appareil jamais vu, la déconnexion de toutes vos sessions, ou le refus opposé par une protection du service. Chaque entrée porte le type d'événement, le verdict (par exemple, action acceptée ou refusée), la date et l'heure, votre identifiant de compte, le rôle du compte, votre adresse e-mail, la fonction concernée et un bref détail technique (par exemple la description de l'appareil). Lorsqu'une règle de détection se déclenche, une alerte en est tirée, qui porte elle aussi votre identifiant de compte et votre adresse e-mail ; ces alertes, comme les entrées dont elles sont tirées, sont conservées sans limite de durée, y compris après la suppression de votre compte.

Ce journal ne peut être modifié ni effacé par aucun utilisateur. Il n'est lisible que par l'administration de ShieldOne, au moyen d'un outil réservé.

Pour limiter les abus, le service compte aussi, par compte, le nombre d'appels à certaines fonctions et le volume de données lues, sur une courte période. Ces compteurs sont supprimés chaque jour, une fois passé 24 heures.

Les traitements serveur écrivent des journaux techniques chez Google (Cloud Logging), qui peuvent contenir votre identifiant de compte.

3.4 Le suivi des erreurs

Lorsque l'application rencontre une erreur, un rapport technique est envoyé au prestataire Sentry : la nature de l'erreur, l'endroit du code où elle s'est produite, des informations sur le navigateur ou l'appareil, et au plus 20 traces des actions techniques qui l'ont précédée (pages ouvertes, requêtes, touches).

• Sentry ne sert qu'au suivi des erreurs : il ne mesure ni l'usage de l'application ni ses performances.
• ShieldOne ne joint à ces rapports ni votre identifiant ni votre adresse e-mail, et n'envoie aucune capture d'écran.
• Avant l'envoi, un filtre masque les adresses e-mail et les identifiants de compte présents dans le texte du rapport et dans les traces qui l'accompagnent. Ce filtre ne reconnaît que ces deux éléments : une autre donnée qui figurerait dans le texte d'une erreur n'est pas masquée.

Nous conservons de notre côté une fiche résumée de chaque erreur, qui ne reprend ni l'utilisateur, ni les traces, ni le détail technique complet.

3.5 Les e-mails liés à votre compte

Nous vous envoyons un e-mail de réinitialisation du mot de passe lorsque vous le demandez. Il part en principe par Brevo ; si ce canal n'est pas disponible, le service d'authentification de Google (Firebase Authentication) prend le relais.

Pour une inscription personnelle par e-mail et mot de passe, Brevo vous envoie un code à six chiffres, à saisir directement dans ShieldOne. Ce code est valable dix minutes, à usage unique, avec cinq tentatives au maximum. Vous pouvez demander un nouveau code après une minute, dans la limite de cinq envois sur vingt-quatre heures ; il remplace le précédent. Un rechargement de l'écran réutilise la demande encore valide. Si l'envoi échoue, l'écran le signale et permet de réessayer ; aucun lien externe de vérification ne vous est envoyé en remplacement.

Le serveur conserve une empreinte salée du code, liée au compte et à une empreinte de l'adresse, ainsi que les dates et compteurs nécessaires pour limiter les abus. Le code n'est pas conservé en clair dans notre base. La demande est remplacée au prochain envoi ; son effacement est tenté lors de la suppression du compte. Aucune purge périodique n'est appliquée à ces métadonnées à ce jour. Brevo reçoit l'adresse et le contenu de l'e-mail ; Firebase valide l'état de vérification de l'adresse.

Pour les e-mails partis par Brevo, nous gardons une trace des envois : l'adresse du destinataire, l'objet, le type de message, la date, et le résultat de l'envoi.

Pour limiter les abus du formulaire « mot de passe oublié », nous comptons les demandes par connexion internet, au moyen d'une empreinte calculée à partir de l'adresse IP de votre connexion. Cette empreinte n'est pas protégée par une valeur secrète : elle permet, par calcul, de retrouver l'adresse IP. Elle est conservée sans limite de durée à ce jour.

3.6 Vos préférences, sur votre appareil

La langue et le thème d'affichage (clair, sombre ou automatique) que vous choisissez sont enregistrés sur votre appareil (dans le navigateur ou dans l'application), et non sur nos serveurs.

Pour s'afficher plus vite, l'application garde aussi sur votre appareil une copie en cache des données de votre compte qu'elle a déjà lues, ainsi que les informations de session qui vous permettent de rester connecté. Vous pouvez les effacer en vous déconnectant et en effaçant les données du site ou de l'application sur votre appareil.

Dans ShieldOne Training (3.14), le canton et le type de cours que vous choisissez dans le catalogue sont aussi gardés sur votre appareil seulement, pour que le catalogue se rouvre avec vos choix ; les dates ne le sont jamais, et rien n'est transmis à ShieldOne pour cela.

3.7 La liste « prévenez-moi »

Sur le site shieldone.ch, vous pouvez demander à être prévenu de l'ouverture d'un service en préparation. Nous enregistrons alors votre adresse e-mail, le service choisi et la date d'inscription. Rien d'autre : ni votre nom, ni votre adresse IP, ni information sur votre navigateur. Cette inscription ne crée pas de compte.

Aucun e-mail n'est envoyé à ce jour à partir de cette liste, pas même une confirmation d'inscription.

3.8 Votre acceptation des conditions

Avant votre premier accès à l'espace personnel, puis à chaque nouvelle version des Conditions d'utilisation de l'espace personnel — ShieldOne, l'application vous demande de les accepter et de déclarer avoir au moins 16 ans ; le présent document vous est présenté par un lien, sans case à cocher. Depuis leur version 1.4, ces conditions comprennent celles de ShieldOne Local (article 17) : cette acceptation vaut aussi pour ShieldOne Local. Nous enregistrons alors :

• votre identifiant de compte ;
• pour les conditions acceptées, et pour le présent document tel qu'il vous est présenté à ce moment, sa version et son empreinte, une valeur calculée qui identifie exactement le texte qui vous a été présenté, ainsi que la mention que le présent document vous a été présenté, et non accepté ;
• votre déclaration d'âge et l'âge minimum auquel elle se rapporte ;
• la date et l'heure, fixées par nos serveurs.

Aucune de ces valeurs n'est fournie par votre appareil : il transmet seulement que vous avez coché les cases. Nous ne vous demandons pas votre date de naissance.

Ces informations sont enregistrées à deux endroits : avec votre profil, où elles sont remplacées à chaque nouvelle acceptation ; et dans un historique tenu à part, auquel chaque acceptation d'une nouvelle version ajoute une entrée, et qui n'est ni lisible ni modifiable depuis l'application.

3.9 ShieldOne Services — vos demandes d'un service de sécurité

Lorsque vous demandez un service de sécurité (Conditions d'utilisation de l'espace personnel — ShieldOne, article 15), nous enregistrons :

• ce que vous décrivez : ce qu'il faut protéger (un site, un événement, une personne ou un bien mobile), le type de durée, le nombre d'agents, le canton et la commune, le code postal si vous l'indiquez, les dates et heures de début et de fin, et, si vous les précisez, le ou les types de mission, les horaires et vos exigences (mission armée ou non, tenue, langues, chien, véhicule, qualifications), ainsi que, si vous en écrivez une, une description libre ;
• la catégorie de service que nous en déduisons ;
• votre identifiant de compte, qui relie la demande à vous ;
• votre consentement : la version du texte que vous avez accepté en cochant la case, et la date et l'heure fixées par nos serveurs ;
• l'état de la demande (à valider, refusée avec son motif, publiée, retenue, conclue, annulée, expirée) et ses dates ;
• les réponses des sociétés : canton de la société, délai, nombre d'agents proposé, message, prix (tarif horaire ou forfait), conditions, durée de validité de l'offre, langues, qualifications, chien et véhicule proposés, et leur état.

Nous ne vous demandons ni votre adresse précise, ni votre numéro de téléphone. Le lieu se choisit dans la liste officielle des localités de Suisse (répertoire des localités de l'Office fédéral de topographie swisstopo) : cette liste publique est téléchargée par ShieldOne et servie par ses propres serveurs, et swisstopo ne reçoit rien de vous. Si vous touchez « Utiliser ma position », votre appareil mesure une seule fois votre position pour proposer la localité la plus proche : ce calcul se fait dans votre appareil, et l'application n'envoie votre position ni à ShieldOne, ni à quiconque ; seuls la commune, le code postal et le canton retenus partent avec la demande (voir aussi la section 7). Une description qui contient un numéro de téléphone, une adresse e-mail, un site, un réseau social ou une adresse précise est refusée avant tout enregistrement lorsque nous le détectons.

Pour limiter les abus, nous tenons aussi, avec votre identifiant de compte, un compteur du nombre de demandes envoyées dans la journée.

Documents joints (facultatif). Vous pouvez joindre à votre demande jusqu'à trois documents (PDF ou image : PNG, JPEG ou WebP), de 10 Mo chacun au plus. Nous enregistrons chaque fichier et, sur une fiche, son nom, son type, sa taille et son état. Nos serveurs vérifient la taille réelle et les premiers octets du fichier reçu, qui doivent correspondre au type annoncé : un fichier non conforme est supprimé aussitôt. Pour une image JPEG, PNG ou WebP, nos serveurs ne gardent ensuite que ce qui sert à afficher l'image (et, pour une photo JPEG, son sens d'affichage) : ils retirent toutes les autres métadonnées que le fichier peut contenir (par exemple, dans une photo, la date, l'appareil ou le lieu de la prise de vue) et remplacent le fichier par sa version nettoyée, avant toute transmission ; une image dont la structure ne peut pas être lue jusqu'au bout est supprimée. Pour un PDF, les métadonnées ne sont pas retirées : ShieldOne en est averti avant de décider de le transmettre. Le fichier d'origine, remplacé, est supprimé de notre espace de stockage (voir la section 8). À leur réception, les documents ne sont vus que par un Super Admin de ShieldOne, qui doit confirmer à nouveau son identité ; chaque délivrance d'un lien de lecture est tracée (un même lien reste valable 5 minutes et peut être réutilisé pendant ce délai). Il décide, document par document, s'il est transmis aux sociétés — un document peut en effet contenir un nom, une enseigne ou un numéro de téléphone, y compris d'un tiers — et peut revenir sur cette décision tant que la demande n'est pas publiée. À la publication, les documents qu'il n'a pas transmis sont supprimés et ne peuvent plus être transmis ; après la publication, il peut encore retirer un document transmis, qui est alors supprimé à son tour (voir la section 8). Un document transmis peut être ouvert par toutes les sociétés à qui la demande publiée est montrée, ainsi que par celles qui y ont répondu, y compris après la clôture de la demande, jusqu'à sa suppression ; elles le reçoivent sous le nom « Document 1 », « Document 2 »…, jamais sous le nom de votre fichier, et, là aussi, chaque délivrance d'un lien de lecture est tracée (un même lien reste valable 5 minutes et peut être réutilisé pendant ce délai). Une société qui a ouvert un document peut en avoir gardé une copie. Merci de ne joindre ni données de santé, ni informations inutiles sur des tiers.

Qui voit quoi. L'administration de ShieldOne examine chaque demande avant de la publier. ShieldOne prend connaissance du contenu des demandes et des propositions afin de les vérifier avant leur transmission. Une fois publiée, les sociétés de sécurité validées par ShieldOne en voient le contenu décrit ci-dessus — ce qu'il faut protéger, durée, nombre d'agents, canton, commune, code postal, dates, type de mission, horaires, exigences, description, catégorie et état, ainsi que les documents joints que ShieldOne leur transmet (voir ci-dessus) —, jamais votre nom, votre adresse e-mail ni votre identifiant. Une demande de mission armée n'est montrée qu'aux sociétés pour lesquelles ShieldOne a enregistré l'autorisation de port d'armes du canton. Au sein de ShieldOne, la fiche complète d'une demande — votre identité et vos coordonnées, les réponses des sociétés et leurs prix — n'est consultable que par un Super Admin, qui doit confirmer à nouveau son identité pour chaque demande, et chaque consultation est tracée.

Annonce de votre demande par e-mail. Lorsque ShieldOne publie votre demande, nous l'annonçons aussi par e-mail, par l'intermédiaire de Brevo, à chacune des sociétés à qui l'application la montre, selon la même règle : une demande de mission armée n'est donc annoncée qu'aux sociétés autorisées pour ce canton. Une société peut choisir de ne plus recevoir ces e-mails, ou de ne les recevoir que pour certains cantons ; l'application continue alors de lui montrer la demande. L'e-mail ne reprend de votre demande que :

• le ou les types de mission ou, à défaut, ce qu'il faut protéger ;
• la commune et le canton ;
• les jours de début et de fin, sans les heures ;
• le nombre d'agents ;
• un lien Voir la demande, qui porte l'identifiant technique de la demande et ne donne accès au détail qu'à une société connectée à son espace.

Il ne contient jamais votre nom, votre adresse e-mail ni votre identifiant de compte, ni le code postal, les horaires, vos exigences, votre description ou vos documents.

Selon le réglage de chaque société, l'e-mail part dès la publication, ou votre demande figure dans un e-mail récapitulatif envoyé chaque jour à 7 h (heure de Suisse). Au-delà de dix demandes dans la même heure pour une société, les suivantes lui sont annoncées ensemble, dans un seul e-mail, l'heure suivante ; lorsque le volume d'e-mails envoyés par ShieldOne approche de sa limite, les annonces passent dans l'e-mail récapitulatif du jour. Un e-mail regroupé ou récapitulatif ne reprend votre demande que si elle est encore publiée au moment de l'envoi. Un envoi qui échoue est retenté une fois, dans l'e-mail récapitulatif suivant ; une société peut donc, rarement, recevoir deux fois l'annonce de la même demande.

Ce que ShieldOne ne contrôle plus. Une fois envoyé, cet e-mail est conservé dans la messagerie de la société, et chez le prestataire qui l'héberge, selon leurs propres règles : ShieldOne ne peut ni le modifier ni le retirer, même si vous annulez votre demande, si ShieldOne la retire ou si vous supprimez votre compte. Les sociétés se sont engagées à garder le contenu des demandes confidentiel et à ne l'utiliser que pour y répondre par ShieldOne (Conditions de Services pour les entreprises — ShieldOne, article 3.1). Dans une petite commune, la commune, les jours et le type de mission peuvent suffire à une personne qui vous connaît pour vous reconnaître : tenez-en compte avant d'envoyer votre demande. Cette annonce fait partie du partage de votre demande sans votre nom ni vos coordonnées, auquel vous consentez à l'envoi (section 4) : une demande publiée ne peut pas en être exclue.

Ce que nous en gardons. Avec votre demande, nous enregistrons un bilan de ces annonces qui ne porte que des nombres, la date et l'état du volume d'envoi de ShieldOne (sociétés concernées, e-mails partis, regroupés, reportés ou en échec), sans le nom ni l'adresse d'aucune société ; il suit la durée de conservation de la demande (section 8). Pour éviter les doublons et regrouper les envois, nous tenons aussi, pour chaque société, une liste des identifiants techniques des demandes déjà traitées pour elle (les 300 dernières) ou qui attendent le prochain e-mail, sans aucun autre élément de votre demande. La trace d'envoi de ces e-mails garde l'adresse de la société et un objet qui ne reprend rien de votre demande (3.5).

À la conclusion, et seulement à ce moment, nous transmettons par e-mail à la société avec laquelle vous concluez vos prénom, nom et adresse e-mail, et nous vous transmettons le nom de la société ainsi que le nom, le téléphone et l'adresse e-mail de sa personne de contact. Si votre adresse est un relais Apple (« Masquer mon adresse e-mail »), la société en est avertie.

Nous vous écrivons si ShieldOne ne publie pas votre demande (ou la retire), avec la raison indiquée, et une seule fois, 48 heures après sa publication, si des sociétés y ont répondu et que vous n'avez retenu aucune offre : cet e-mail indique le nombre de réponses reçues, sans nom de société ni prix. Si votre demande a été déposée sans compte et n'est pas encore rattachée, ces e-mails partent à l'adresse donnée au dépôt, et le rappel porte un nouveau lien personnel qui remplace le précédent (3.10).

Nous envoyons aussi des e-mails aux sociétés lorsque vous retenez une réponse, lorsque le délai de 48 heures est dépassé et que vous en retenez une autre, et lorsqu'une demande retenue est annulée, par vous ou par la suppression de votre compte ; ces e-mails décrivent la demande sans vous identifier. La trace d'envoi de l'e-mail de conclusion qui vous est adressé ne garde que le domaine de votre adresse ; celle de l'e-mail adressé à la société garde l'adresse de la société (3.5).

3.10 ShieldOne Services — une demande déposée sans compte

Vous pouvez aussi demander un service de sécurité sans avoir de compte, depuis le site ou l'application. Nous enregistrons alors :

• ce que vous décrivez, comme en 3.9, avec le même contrôle de la description ;
• les documents que vous joignez, traités comme en 3.9 ; tant que la demande n'est pas confirmée, ils ne sont montrés à personne, et ils sont supprimés avec elle si elle ne l'est pas ;
• votre adresse e-mail, la seule coordonnée demandée ;
• votre consentement, comme en 3.9 ;
• votre déclaration d'avoir au moins 16 ans et votre acceptation des conditions de Services (article 15 des conditions d'utilisation de l'espace personnel), données en cochant une seule case, avec la version et l'empreinte du texte accepté, et la date et l'heure fixées par nos serveurs ;
• la date et l'heure du dépôt.

Confirmation. Nous vous envoyons un e-mail « Confirmez votre demande ». Tant que vous n'avez pas suivi son lien, la demande n'est transmise à personne, pas même à l'administration de ShieldOne. Le lien vaut 7 jours et ne sert qu'une fois. Une demande non confirmée est supprimée 7 jours après son dépôt, avec l'adresse e-mail donnée, par une tâche automatique qui s'exécute chaque heure. Une fois la demande confirmée, la trace du dépôt ne garde plus ni votre adresse en clair ni votre demande, et elle est supprimée de la même façon, 7 jours après le dépôt.

Après la confirmation, la demande suit le parcours décrit en 3.9 : l'administration de ShieldOne l'examine et voit votre adresse e-mail ; les sociétés de sécurité validées voient la demande publiée sans votre adresse, qui ne leur est jamais transmise. Dès la première réponse d'une société, nous vous envoyons un e-mail « Vous avez reçu des propositions » avec un lien personnel, qui ne sert qu'une fois et vaut 30 jours : il vous permet de créer votre compte ou de vous connecter, y compris avec Google ou Apple, et d'y rattacher la demande, même si l'adresse de ce compte est différente. Une fois la demande rattachée, l'adresse e-mail donnée au dépôt est retirée de la demande et c'est votre compte qui fait foi (3.9). Une demande qui n'est rattachée à aucun compte ne peut pas être conclue : aucune coordonnée n'est alors transmise à une société. Si l'e-mail « Vous avez reçu des propositions » n'a pas pu partir, nous le renvoyons automatiquement (cinq envois au plus) ; l'administration de ShieldOne peut aussi le renvoyer. Chaque nouvel envoi porte un nouveau lien, et l'ancien cesse de valoir.

Si l'administration de ShieldOne ne transmet pas votre demande, ou la retire après l'avoir publiée, nous vous l'écrivons à l'adresse donnée, avec le motif lorsqu'elle en indique un ; cet e-mail ne contient aucun lien.

Protection contre les abus. Le formulaire comporte un champ invisible destiné à repérer les programmes automatiques, et nous limitons le nombre de dépôts par connexion, par adresse e-mail (au plus trois par adresse sur 24 heures) et pour l'ensemble du service. Pour cela, nous gardons une empreinte de votre adresse e-mail avec le dépôt, puis avec la demande jusqu'à son rattachement, et une empreinte de l'adresse IP de votre connexion (pour une adresse IPv6, de son préfixe /64) avec un compteur horaire ; cette empreinte d'adresse IP est calculée sans valeur secrète : elle permet, par calcul, de retrouver l'adresse IP (ou son préfixe). Pour que deux envois simultanés ne contournent pas ces limites, une fiche technique garde aussi l'empreinte de votre adresse e-mail et la date de sa dernière utilisation. Si votre dépôt n'est pas accepté, la réponse du formulaire reste la même : un fichier que vous avez joint n'est alors rattaché à aucune demande, et il est supprimé par une tâche automatique (8).

Ces e-mails partent par Brevo ; leur trace d'envoi ne garde que le domaine de votre adresse (3.5).

3.11 Mesure d'utilisation

Pour comprendre comment ShieldOne est utilisé, et pour l'améliorer, ShieldOne mesure elle-même certaines étapes de votre parcours, sans aucun outil de mesure tiers :

• dans l'application, les étapes que vous atteignez et celle où vous vous arrêtez, avec le temps passé sur chacune : l'inscription (adresse e-mail, mot de passe, code, documents, compte actif), le formulaire de demande ShieldOne Services et, dans votre espace personnel, l'ouverture de l'accueil, de votre profil, de « Mes demandes », d'une demande et de ses offres ;
• enregistrés par nos serveurs, une fois l'action réussie : la création de votre compte, la vérification de votre adresse e-mail, la création et la publication d'une demande ShieldOne Services (avec le service et le canton), l'offre que vous retenez et la conclusion (avec le service, le canton, le mode de tarif et le prix de l'offre, lus par nos serveurs), et votre demande d'inscription à un cours ShieldOne Training (avec le seul type et le seul canton du cours, au plus une fois par 24 heures pour un même cours ; 3.14).

Cette mesure repose sur une liste fermée d'événements et de propriétés : nous n'y enregistrons aucun texte libre, rien de ce que vous saisissez, ni le contenu de vos demandes, et aucun enregistrement de votre écran. Ces événements sont liés à votre identifiant de compte. Avant la création de votre compte, dans l'application web, les étapes de l'inscription et d'une demande sans compte sont comptées sans identifiant de compte, de la même façon que sur le site (Politique de cookies et traceurs, § 2 bis) ; dans l'application pour téléphone, rien n'est mesuré tant que vous n'êtes pas connecté. Rien n'est déposé sur votre appareil pour cette mesure : ni cookie, ni stockage. Si votre navigateur envoie un signal Global Privacy Control (GPC) ou « Do Not Track » (DNT), l'application web n'envoie aucune de ces étapes ; les événements enregistrés par nos serveurs le sont néanmoins.

Nous ne mesurons pas l'activité de terrain des agents et des managers d'une société cliente. Lorsqu'une société de sécurité répond à une demande ou active son abonnement, ces étapes sont comptées sans aucun identifiant de personne ni de société. De même, lorsqu'un organisme de formation publie un cours, accepte une demande ou valide une participation dans ShieldOne Training, ces étapes sont comptées sans aucun identifiant de personne ni d'organisme, avec le seul type et le seul canton du cours et, pour une participation validée, l'indication d'un certificat vérifié ou non. Le profil pro (3.15) et ShieldOne Jobs (3.16) n'entrent dans aucune mesure.

Ces événements sont enregistrés dans la base de données de ShieldOne, en Suisse (région de Zurich). Chaque nuit, ils sont résumés en statistiques qui ne portent ni votre identifiant ni aucun autre identifiant ; l'outil de l'administration de ShieldOne ne montre que ces statistiques, et les prix n'y figurent que résumés par service, canton et mode de tarif, une statistique portant sur moins de trois prix n'étant pas montrée. Les événements eux-mêmes sont supprimés par une tâche automatique quotidienne au terme de 13 mois, une fois leur mois résumé. Ils sont effacés à la suppression de votre compte (section 9) et font partie des données que nous vous remettons au titre de votre droit d'accès.

Vous pouvez vous opposer à cette mesure en écrivant à contact@shieldone.ch. Votre opposition est enregistrée avec votre identifiant de compte, et son enregistrement est tracé au journal de l'administration de ShieldOne ; dès lors, plus aucun événement lié à votre compte n'est enregistré, et ceux qui l'avaient été sont effacés. Les statistiques déjà calculées, qui ne portent aucun identifiant, ne sont pas modifiées.

3.12 Relance d'une inscription non terminée

Lorsque vous créez un compte avec une adresse e-mail et un mot de passe, votre adresse e-mail est enregistrée au moment où vous cliquez sur « Continuer », jamais pendant la frappe, avec la langue de l'application et la date. Rien n'est enregistré si un compte existe déjà à cette adresse.

Si votre compte n'est pas créé entre 24 et 48 heures après ce clic, nous vous envoyons, par Brevo, un seul e-mail de relance, sans aucun contenu publicitaire, avec un lien pour reprendre votre inscription et un lien pour vous désinscrire de cette relance. Aucun de ces liens ne contient votre adresse ; le lien de reprise vaut tant que votre adresse n'est pas effacée. La trace de cet envoi ne garde que le domaine de votre adresse (3.5).

Votre adresse est effacée dès qu'un compte est créé à cette adresse, et au plus tard par une tâche automatique quotidienne, 30 jours après le clic sur « Continuer », si l'inscription n'est pas terminée. Une copie de sauvegarde de la base de données est faite chaque jour et supprimée automatiquement 98 jours après sa création : une adresse ainsi effacée reste donc dans les copies faites avant son effacement, jusqu'à la suppression de la dernière d'entre elles.

Protection contre les abus. Nous limitons le nombre de clics sur « Continuer » par adresse, par connexion et pour l'ensemble du service, ainsi que l'usage du lien de reprise par connexion. Pour cela, nous gardons une empreinte de l'adresse IP de votre connexion (pour une adresse IPv6, de son préfixe /48) avec un compteur horaire ; cette empreinte est calculée sans valeur secrète : elle permet, par calcul, de retrouver l'adresse IP (ou son préfixe). Aucune durée n'est appliquée à ce jour à ce compteur, qui n'est pas lié à votre compte.

3.13 ShieldOne Local

ShieldOne Local est un fil d'information de sécurité et de vie locale de Suisse romande, décrit à l'article 17 des Conditions d'utilisation de l'espace personnel — ShieldOne. Pour ce fil, comme pour le reste de l'espace personnel, ShieldOne est responsable du traitement.

Lire le fil. Chaque lecture du fil interroge nos serveurs, jamais les sources elles-mêmes (ci-dessous). Votre identifiant de compte sert seulement à écarter du résultat les auteurs que vous avez masqués ; vous pouvez aussi trier le fil par canton, par commune, ou par l'un de vos lieux (zones d'intérêt, voir plus loin), un seul critère à la fois. Pour limiter les appels à nos sources, le résultat déjà calculé est gardé en mémoire de nos serveurs pendant 60 secondes au plus avant d'être recalculé : une publication qui vient d'être retirée par la modération, ou le pseudonyme d'un compte qui vient d'être supprimé, peuvent donc rester visibles jusqu'à une minute de plus.

Sources officielles. Les informations qui ne viennent pas d'un habitant proviennent de sources que ShieldOne seule interroge, de façon centrale : votre appareil ne les interroge jamais lui-même, et ces sources ne reçoivent aucune donnée vous concernant. Pour un communiqué de police, ShieldOne ne conserve ni son texte, ni ses photos, ni un nom de personne qu'il citerait : elle rédige elle-même une phrase (quoi, où, quand) à partir d'un gabarit fixe, accompagnée d'une mention de la source et d'un lien vers le communiqué d'origine. Le service de recherche d'adresses de swisstopo, décrit plus bas pour vos lieux, n'est pas une source du fil.

Publier une information. Si vous publiez une information dans ShieldOne Local, nous enregistrons : le pseudonyme que vous avez choisi (jamais votre nom complet ni une coordonnée), le titre et le texte que vous avez écrits, la commune officielle que vous avez indiquée, la catégorie choisie, ainsi que les dates de votre soumission et, le cas échéant, de sa publication. Votre identifiant de compte reste associé à la publication de notre côté ; il n'est jamais montré, ni aux autres personnes qui lisent le fil, ni au public. Toute publication est examinée par ShieldOne avant sa mise en ligne : elle n'est jamais visible avant. ShieldOne peut la refuser, en corriger le titre ou le texte avant de la mettre en ligne, ou la retirer après sa mise en ligne. Une fois en ligne, votre publication est visible de tous les utilisateurs de ShieldOne Local, sous votre pseudonyme. À la soumission, un contrôle automatique relève, à l'usage exclusif de l'examen par ShieldOne, les passages qui pourraient viser une personne, signaler un suspect, rapporter une rumeur ou comporter une plaque d'immatriculation ; ces indications restent internes, ne décident de rien et ne sont jamais montrées. Selon sa catégorie, elle cesse d'être affichée après un délai fixé d'avance, compté depuis sa mise en ligne (de 48 heures à 30 jours selon la catégorie). Elle est ensuite effacée, par une tâche automatique qui s'exécute chaque nuit, une fois passés 30 jours depuis sa mise en ligne — ou depuis sa soumission, si elle n'a jamais été mise en ligne (refusée, ou encore en attente d'examen : elle est alors effacée sans avoir été examinée). Elle disparaît alors aussi de la liste de vos publications. Avant de l'effacer, nous n'en gardons qu'un décompte : le nombre de publications par commune, par catégorie et par mois, mises en ligne ou non, sans aucun texte, titre, pseudonyme ni identifiant. Le blocage de son auteur (voir plus bas) n'y change rien. Vous pouvez soumettre au plus 5 publications par jour et avoir au plus 5 publications en attente d'examen en même temps ; nous tenons pour cela, lié à votre compte, un compteur remis à zéro chaque jour.

Signaler. Vous pouvez signaler une publication d'habitant déjà en ligne, pour l'un des motifs prévus à l'article 17.5.5 des Conditions d'utilisation de l'espace personnel — ShieldOne (elle vise une personne, elle signale un suspect, son contenu est inexact, son contenu est inapproprié, ou un autre motif que vous précisez, 300 caractères au plus). Nous enregistrons votre identifiant de compte comme signalant, le motif choisi et, le cas échéant, votre texte libre. Votre qualité de signalant n'est jamais montrée : ni à l'auteur de la publication signalée, ni au modérateur de ShieldOne, qui ne voit que le contenu signalé et les motifs regroupés, jamais qui a signalé. Un signalement est effacé 12 mois après avoir été classé par ShieldOne, ou 12 mois après avoir été fait s'il n'a jamais été classé ; un signalement encore ouvert lorsque la publication visée est effacée est classé à ce moment, puis effacé 12 mois plus tard (section 8).

Masquer un auteur. Vous pouvez masquer l'auteur d'une publication d'habitant : ses publications ne vous sont plus montrées, à vous seul, jusqu'à 200 auteurs masqués. Cette liste est propre à votre compte ; l'auteur masqué n'en est jamais informé, et ShieldOne ne propose aujourd'hui aucun moyen de revenir sur ce masquage dans l'application.

Modération et blocage — la trace qu'ils laissent. Les décisions de modération (publier, refuser, corriger, retirer, classer un signalement, bloquer ou débloquer un auteur) sont prises par l'administration de ShieldOne et inscrites à son journal : cette trace porte l'identifiant de la publication concernée, l'identifiant et l'adresse e-mail de la personne de ShieldOne qui a agi, et le motif lorsqu'il est exigé — jamais votre identifiant, que vous soyez l'auteur ou le signalant. La trace d'un blocage, et celle d'une levée décidée depuis la liste des auteurs bloqués, portent en revanche une clé calculée à partir de votre identifiant de compte : elle ne montre pas votre identifiant, mais quiconque le connaît peut retrouver cette clé ; elle n'est donc pas anonyme. En cas de manquement aux Conditions d'utilisation de l'espace personnel — ShieldOne, ShieldOne peut bloquer l'auteur d'une publication, avec un motif consigné ; ce blocage empêche de nouvelles publications sans retirer celles déjà en ligne, ni retarder leur effacement au terme des 30 jours, et peut être levé, y compris lorsque plus aucune de ses publications n'est conservée : ShieldOne choisit alors l'auteur dans la liste des auteurs bloqués, qui lui montre le pseudonyme retenu, le motif et la date du blocage, et la clé décrite ci-dessus. Durée de ces décisions : celles qui portent sur une publication (refus, correction, retrait, et leur motif) sont effacées avec elle ; celle qui classe un signalement, avec ce signalement ; un blocage en cours est conservé tant qu'il dure, et un blocage levé est effacé 12 mois au plus tard après sa levée. La trace inscrite au journal de l'administration, elle, n'est soumise à aucune durée à ce jour (section 8).

Vos lieux (zones d'intérêt). Vous pouvez enregistrer jusqu'à 20 lieux (domicile, travail, lieu de vacances…), chacun avec un nom que vous choisissez (1 à 40 caractères), un point et un rayon réglable de 1 à 50 km. Nous vous conseillons de ne pas donner à un lieu un nom qui renseigne sur une autre personne, et de ne pas enregistrer l'adresse d'une autre personne sans son accord. Le nom ne peut contenir ni adresse, ni coordonnée, ni numéro de téléphone, ni e-mail, ni lien : il est filtré par nos serveurs selon le même principe que le pseudonyme (voir plus haut). Pour placer un lieu, vous indiquez votre position ou une localité, ou, si l'application vous le propose, vous choisissez une adresse.

• Position ou localité : le point est arrondi à environ 500 mètres sur votre appareil, avant d'être transmis ; nous ne recevons que ce point arrondi.
• Adresse : si vous choisissez une adresse, nous recevons et conservons, avec ce lieu, l'adresse précise (rue, numéro, code postal, localité) et son point exact. Nous en déduisons le point arrondi à environ 500 mètres qui sert au tri du fil. Dans l'application, l'adresse précise n'est montrée qu'à vous, dans « Mes lieux » : ni aux autres utilisateurs, ni à la modération. Elle n'entre ni dans la mesure d'utilisation (3.11) ni dans une statistique, et ne sert qu'à placer votre lieu. Comme toute donnée, elle reste techniquement accessible aux personnes qui administrent le service (section 5). Vous la retirez en replaçant le lieu par votre position ou une localité, ou en supprimant le lieu ; elle est aussi retirée si le point arrondi du lieu change.

Dans tous les cas, nous conservons aussi le rayon que vous avez choisi, et la commune de référence la plus proche que nos serveurs déduisent du point arrondi, pour l'affichage.

Météo de l'accueil. Pour afficher la température sur votre accueil, nos serveurs lisent, à chaque ouverture, le point arrondi de votre premier lieu — jamais son adresse précise — et choisissent la station de mesure de MétéoSuisse la plus proche, à 20 km au plus. Seuls le nom de la station et sa température vous sont montrés ; nous n'enregistrons rien de ce calcul, et MétéoSuisse ne reçoit aucune donnée vous concernant (« Source : MétéoSuisse »).

Recherche d'une adresse. Les suggestions proviennent du service de recherche de l'Office fédéral de topographie swisstopo (« © Données : swisstopo »). Le texte que vous tapez (3 à 80 caractères) part vers nos serveurs, qui interrogent eux-mêmes ce service : votre appareil ne le contacte jamais. Lorsque vous enregistrez un lieu à l'adresse choisie, nos serveurs soumettent de nouveau à swisstopo le libellé de cette adresse (rue, numéro, code postal, localité) et ne la retiennent que si swisstopo rend exactement la même adresse, au même point ; si swisstopo ne la confirme pas, ou ne répond pas, le lieu n'est pas enregistré. Le texte de l'adresse est donc toujours celui de swisstopo ; seul le nom du lieu est le vôtre. swisstopo ne reçoit que ces textes — le texte tapé, puis le libellé de l'adresse choisie —, sans votre identifiant de compte ni votre adresse IP, ni le nom ou le point du lieu ; la demande indique seulement qu'elle vient de ShieldOne Local. En dehors de l'adresse retenue avec votre lieu, nous ne conservons ni le texte tapé ni les suggestions ; nous tenons seulement, lié à votre compte, un compteur des recherches du jour (150 au plus), où chaque vérification compte comme une recherche : ce nombre atteint, un lieu ne peut plus être enregistré à une adresse ce jour-là. Les adresses proposées sont des adresses suisses situées à 50 km au plus d'une commune de Suisse romande.

Mesure d'utilisation. À la date de la présente version, ShieldOne Local n'est couvert par aucun événement de la mesure d'utilisation décrite en 3.11 : lire le fil, publier, signaler, masquer un auteur, chercher une adresse ou enregistrer un lieu n'entraîne aucun enregistrement à ce titre.

Acceptation des conditions de ShieldOne Local. Depuis la version 1.4 des Conditions d'utilisation de l'espace personnel — ShieldOne, les conditions de ShieldOne Local en font partie (article 17) et sont acceptées avec elles (3.8) : aucune acceptation distincte n'est plus demandée. Les acceptations distinctes enregistrées auparavant — votre identifiant de compte, la version et l'empreinte du texte qui vous avait été présenté, la date et l'heure fixées par nos serveurs — sont conservées : avec votre profil, jusqu'à sa suppression, et dans leur historique, comme preuve (section 8).

3.14 ShieldOne Training

ShieldOne Training est un catalogue de formations publiées par des organismes de formation validés par ShieldOne, décrit par les Conditions de ShieldOne Training. Vous pouvez y consulter les cours et demander à vous y inscrire ; l'organisme accepte ou refuse votre demande, puis indique si vous avez participé. ShieldOne n'encaisse aucun paiement : le prix est affiché par l'organisme, et vous le réglez directement à celui-ci. Pour ce que ShieldOne enregistre, comme pour le reste de l'espace personnel, ShieldOne est responsable du traitement (section 2). ShieldOne Training ne vous demande pas votre position : le canton se choisit dans une liste.

Consulter le catalogue. Chaque consultation interroge nos serveurs, qui reçoivent les filtres que vous choisissez (canton, dates, type) pour y répondre. Nous n'enregistrons ni ces filtres, ni les cours que vous consultez ; seuls s'appliquent les compteurs d'appels décrits en 3.3. Le canton et le type que vous choisissez sont en outre gardés sur votre appareil seulement (3.6), pour que le catalogue se rouvre avec vos choix ; les dates ne le sont jamais.

Demander une inscription. Lorsque vous demandez à vous inscrire à un cours, nous enregistrons, sur une fiche propre à ce cours et à vous :

• le cours et l'organisme concernés ;
• votre identifiant de compte, qui relie l'inscription à vous ;
• une copie de vos prénom, nom et adresse e-mail, lus par nos serveurs dans votre compte au moment de la demande, jamais transmis par votre appareil : le prénom et le nom de votre profil, s'ils sont renseignés, et l'adresse e-mail de votre compte. Si cette adresse est un relais Apple (« Masquer mon adresse e-mail »), c'est l'adresse de relais qui est copiée. Cette copie est refaite à chaque nouvelle demande pour ce cours, et n'est pas mise à jour autrement ;
• l'état de l'inscription (demandée, acceptée, refusée, annulée par vous, annulée avec le cours, participation validée, cours non suivi), les dates de la demande et de la dernière modification, et un historique de ses changements (les 20 derniers au plus), qui indique pour chacun la date et s'il vient de vous ou de l'organisme, sans nom ni identifiant ;
• à l'acceptation, le prix affiché à ce moment : il sert à vous montrer le prix qui vaut pour vous, qui ne monte jamais après votre acceptation (Conditions de ShieldOne Training, article 5.4) ;
• lorsque l'organisme valide votre participation : la date de la validation, l'identifiant de compte de la personne de l'organisme qui l'a faite et, pour un cours annoncé avec certificat, la mention « Certificat vérifié » avec l'intitulé du certificat ;
• le cas échéant, la date à laquelle la copie de votre identité a été effacée (ci-dessous).

Une seule fiche existe par cours : si vous redemandez après un refus ou une annulation, la même fiche est réécrite, et son historique garde la trace des étapes précédentes. Vous retrouvez vos demandes et inscriptions dans l'écran « Formations », rubrique « Mes formations ». Pour le type de cours « Découverte du tir », réservé aux personnes de 18 ans révolus, vous attestez votre âge sur l'honneur en demandant votre inscription ; cette attestation n'est pas enregistrée.

Ce que voit l'organisme. Dès votre demande, et pas seulement après son acceptation, l'organisme voit dans son espace ShieldOne Training, pour ce cours : la copie de vos prénom, nom et adresse e-mail, l'état de votre inscription, les dates de la demande et de la dernière modification, la mention « Certificat vérifié » le cas échéant et, une fois votre inscription acceptée, le prix qui vaut pour vous. L'écran de demande vous l'indique avant que vous ne demandiez. L'organisme ne reçoit ni votre identifiant de compte, ni l'historique de votre inscription ; ShieldOne ne vous demande aucun numéro de téléphone. Il voit aussi un identifiant technique de l'inscription, qui commence par celui du cours et ne contient pas votre identifiant de compte ; il est propre à ce cours et à vous, reste le même si vous redemandez à vous inscrire à ce cours, et ne permet pas, à lui seul, de rapprocher vos inscriptions à des cours différents, que ce soit chez le même organisme ou chez deux organismes. Il continue de voir la copie de vos prénom, nom et adresse e-mail après un refus ou une annulation, jusqu'à son effacement (ci-dessous). Après cet effacement, il voit encore, pour cette inscription, cet identifiant, son état et les dates de la demande et de la dernière modification, avec la mention « Identité effacée » ; ce qu'il a enregistré de son côté avant l'effacement lui permet, le cas échéant, de la relier à vous. Il traite ce qu'il reçoit sous sa propre responsabilité (section 2) ; ce qu'il a enregistré de son côté relève de lui.

Les e-mails. Nous vous écrivons, par Brevo, à l'adresse copiée lors de votre dernière demande pour le cours : lorsque votre demande est acceptée (avec le contact de l'organisme et le prix affiché à ce moment), lorsqu'elle est refusée, lorsque le cours est annulé par l'organisme, lorsque l'organisme indique si vous avez participé, et, lorsque l'organisme est suspendu par ShieldOne, pour vous dire que les cours à venir pour lesquels vous avez une demande en attente ou une inscription acceptée sont indisponibles, sans en indiquer le motif. Nous écrivons aussi à l'organisme lorsqu'une demande lui parvient (au plus une fois par 24 heures pour un même cours et un même agent) et lorsqu'une place se libère : ces e-mails ne contiennent pas votre identité. Ces e-mails partent après l'action qui les déclenche, et leur arrivée n'est pas garantie : l'état qui fait foi est celui affiché dans ShieldOne Training. La trace d'envoi des e-mails qui vous sont adressés ne garde que le domaine de votre adresse (3.5).

Remboursement non reçu. Si l'organisme a annulé un cours payant auquel vous étiez accepté et que vous n'avez pas été remboursé, vous pouvez l'écrire à contact@shieldone.ch une fois écoulés 14 jours après l'annulation (Conditions de ShieldOne Training, article 6.6). Votre message est traité comme tout message adressé à ShieldOne ; ShieldOne Training n'enregistre rien de plus dans votre inscription.

Ce qui est effacé, et quand. Lorsqu'une demande a été refusée, ou qu'une demande ou une inscription a été annulée, par vous ou avec le cours, nos serveurs effacent la copie de vos prénom, nom et adresse e-mail que voyait l'organisme, 30 jours après le dernier jour du cours, par une tâche automatique qui s'exécute chaque nuit. À défaut de date de cours lisible, le délai court depuis la dernière modification de l'inscription ; une inscription qui ne porte aucune date lisible est traitée au premier passage. L'organisme voit alors « Identité effacée ». L'inscription elle-même reste, sans ces données, rattachée à votre compte, et vous la retrouvez dans « Mes formations ». ShieldOne active cette tâche avant le premier terme possible, le 9 novembre 2026 : jusqu'à son activation, aucune copie n'est effacée automatiquement, et aucune ne peut avoir atteint ce terme avant cette date. Les autres inscriptions — acceptées, celles dont la participation a été indiquée, et les demandes restées en attente — ne font aujourd'hui l'objet d'aucune suppression automatique : l'organisme continue d'y voir vos prénom, nom et adresse e-mail (section 8).

Ce que ShieldOne Training ne partage pas. Aucune donnée de ShieldOne Training n'est lue par ShieldOne Services ni par le logiciel professionnel de ShieldOne, et aucune société cliente de ShieldOne, par exemple un employeur, n'a accès à vos demandes ni à vos inscriptions.

Mesure d'utilisation. Seule votre demande d'inscription entre dans la mesure décrite en 3.11, liée à votre identifiant de compte, avec le seul type et le seul canton du cours, au plus une fois par 24 heures pour un même cours. Les autres étapes (publication d'un cours, acceptation, participation validée) sont comptées sans aucun identifiant (3.11). Aucune étape de ShieldOne Training n'est mesurée depuis votre appareil : celles qui sont comptées le sont par nos serveurs.

Acceptation des conditions de ShieldOne Training. Avant votre première demande d'inscription, puis à chaque nouvelle version de ces conditions, l'application vous demande de les accepter ; vous devez avoir accepté auparavant les conditions de l'espace personnel (3.8). Nous enregistrons alors, selon le même principe que pour les documents de la section 3.8 : votre identifiant de compte, la version et l'empreinte du texte en vigueur au moment où vous cochez la case, et la date et l'heure fixées par nos serveurs, avec votre profil et dans un historique tenu à part.

3.15 Votre profil pro

Le profil pro (écran « Profil pro », dans Carrière) est une fiche que vous tenez vous-même et qui présente votre parcours d'agent de sécurité. Il est facultatif : aucune de ses rubriques n'est exigée pour utiliser l'espace personnel ni pour postuler à une offre (3.16). Il est disponible sur le site web de ShieldOne ; l'application pour iPhone ne le propose pas à la date de la présente version. Il n'a pas d'âge distinct de celui de l'espace personnel (16 ans, déclaré et non vérifié ; section 11). Votre employeur ne le remplit pas, et il n'est lié à aucune société : il vous suit si vous quittez votre employeur.

Ce que vous pouvez y inscrire. Neuf rubriques, chacune facultative : vos coordonnées (téléphone, avec son indicatif, adresse e-mail, code postal, localité) ; les cantons où vous cherchez ; vos langues ; vos qualifications (intitulés) ; l'année de votre brevet fédéral ; votre niveau de premiers secours et sa date de validité ; vos catégories de permis de conduire ; votre attestation d'arme (canton et date de validité, jamais de numéro) ; votre expérience (postes). Un CV en PDF (6 Mio au plus, tout PDF qui déclare un contenu actif étant refusé) peut aussi être déposé par la fonction prévue à cet effet ; à la date de la présente version, l'application ne la propose pas encore. Ces données sont des informations que vous choisissez de déclarer ; certaines sont sensibles (attestation d'arme), et nous vous demandons de n'y inscrire que ce qui est nécessaire. Votre prénom et votre nom ne sont pas dans le profil pro : ils viennent de votre profil personnel (3.1).

Déclaré ou vérifié par ShieldOne. Chaque rubrique est déclarée par vous, ou vérifiée par ShieldOne. La vérification porte sur une valeur précise : un administrateur de ShieldOne habilité la fait après avoir lu cette valeur, et sa vérification est tracée au journal de l'administration. Si vous modifiez la valeur, la rubrique redevient « déclarée » ; une vérification expire à la date de validité de la valeur. Le CV ne se vérifie pas. « Vérifié par ShieldOne » signifie que ShieldOne a contrôlé cette valeur : ce n'est ni une recommandation, ni un contrôle de votre honorabilité ou de votre aptitude. L'application ne conserve aucune pièce justificative : le profil ne porte que la valeur, son niveau et la date de vérification.

Ce que ShieldOne voit. ShieldOne peut consulter toutes les informations de votre profil, sauf votre CV, y compris ce que vous ne montrez à aucune société et votre attestation d'arme, uniquement pour vérifier vos informations. Chaque consultation est inscrite à un journal.

Ce que voient les sociétés. Tout est masqué par défaut. Vous décidez, rubrique par rubrique et société par société, ce qu'une société peut voir ; tant que vous n'avez rien montré, elle ne voit rien. À la date de la présente version, l'application ne propose pas encore de montrer une rubrique à une société : une société à laquelle vous postulez ne reçoit donc que ce que dit la section 3.16. Lorsqu'une rubrique lui est montrée, la société en reçoit la valeur remplie et son niveau (déclaré, vérifié, expiré) ; jamais le numéro d'une attestation d'arme — elle n'en reçoit que la date de validité, une fois échue et déclarée, présentée comme « Échu le … (déclaré par l'agent, non vérifié) » —, ni la liste des autres sociétés à qui vous avez montré quelque chose. Aucune société ne peut ouvrir votre CV. Une société ne peut voir votre profil que par l'intermédiaire d'une candidature que vous lui avez adressée, et seulement tant qu'elle est en cours (3.16) ; vous pouvez tout masquer à tout moment.

Où et comment. Le profil est enregistré dans la base de données de ShieldOne, le CV dans son espace de stockage, tous deux en région de Zurich. Ces données ne sont lisibles ni modifiables directement depuis une application : seules nos fonctions serveur y accèdent, et elles ne rendent à une personne que le sien, et à une société que ce qui précède.

Ce qui est effacé, et quand. Aucune durée d'inactivité n'est appliquée : le profil et le CV sont conservés tant que votre compte existe, et effacés à sa suppression (section 9). Un CV remplacé ou retiré est supprimé de l'espace de stockage ; il passe alors en corbeille technique pendant 90 jours, où seuls les administrateurs techniques de ShieldOne peuvent le restaurer (jamais l'application), puis disparaît. La fiche du profil, elle, suit les copies de sauvegarde de la base de données (section 8). L'application vous avertit avant la suppression de votre compte que votre profil pro part avec lui.

3.16 ShieldOne Jobs — vos candidatures

ShieldOne Jobs est un espace d'annonces : des sociétés de sécurité clientes de ShieldOne y publient des offres d'emploi, que vous pouvez consulter et auxquelles vous pouvez postuler, décrit par l'article 18 des Conditions d'utilisation de l'espace personnel — ShieldOne. ShieldOne ne propose, ne sélectionne, ne classe et ne recommande aucun candidat et n'est partie à aucun contrat de travail. Pour ce que ShieldOne enregistre, ShieldOne est responsable du traitement (section 2) ; la société à laquelle vous adressez une candidature traite ce qu'elle en reçoit sous sa propre responsabilité. ShieldOne Jobs est disponible sur le site web de ShieldOne ; l'application pour iPhone ne le propose pas à la date de la présente version.

Consulter les offres. Les offres ne sont lisibles qu'une fois connecté. Chaque consultation interroge nos serveurs, qui ne lisent pas votre profil pour trier, filtrer ni compter : ShieldOne Jobs n'entre dans aucune mesure d'utilisation (3.11). Seuls s'appliquent les compteurs d'appels décrits en 3.3.

Postuler. Lorsque vous postulez à une offre, nous enregistrons, sur une fiche propre à cette offre et à vous : la société et l'offre ; votre identifiant de compte ; l'état de la candidature (envoyée, lue par la société, en discussion, embauche confirmée, non retenue, retirée, offre pourvue, fermée ou arrivée à échéance) ; les dates de dépôt, de dernière modification et de clôture, et le motif de la clôture ; votre déclaration d'avoir 18 ans révolus ; et le message que vous avez choisi d'écrire (1 000 caractères au plus, que nous vous invitons à ne pas remplir de données sensibles). Rien d'autre n'est copié : ni votre adresse e-mail, ni votre téléphone, ni votre profil pro, ni un document. Vous ne pouvez avoir qu'une candidature en cours par offre.

Ce que voit la société. La société qui a publié l'offre voit, dans son espace, votre candidature : vos prénom et nom, votre message, son état et ses dates, ainsi que les rubriques de votre profil pro que vous lui avez montrées (3.15) — à la date de la présente version, l'application ne propose pas encore de les montrer, de sorte qu'elle n'en voit aucune. Seules les personnes de la société qui ont le droit de recruter y accèdent ; chaque lecture et chaque geste de la société (lire, refuser, marquer « en discussion », confirmer l'embauche) sont tracés dans son espace, sans la valeur lue ni votre identifiant. Elle ne voit plus votre nom, votre message ni votre profil pro dès que votre candidature est close : embauche confirmée, refus, retrait de votre part, ou offre pourvue, fermée, masquée ou arrivée à échéance ; elle n'en garde, dans son espace, que l'état et les dates, sans votre nom. Exception : lorsque la société demande la restitution de ses données, à la fin de son contrat, elle y retrouve les candidatures qu'elle a reçues et qui sont encore conservées, closes comprises : votre identifiant de compte, l'offre, l'état, les dates et votre message, mais pas votre profil pro. ShieldOne ne transmet votre candidature à aucune autre société. La société traite ce qu'elle reçoit sous sa propre responsabilité ; ce qu'elle a enregistré de son côté relève d'elle.

Ce que fait ShieldOne. ShieldOne n'a aucun geste sur une candidature : ni sélection, ni classement, ni recommandation. ShieldOne peut masquer une offre contraire aux conditions ou à la loi, ou suspendre une société ; vous n'apprenez pas le motif d'un masquage ou d'une suspension. Pour signaler une offre, écrivez à contact@shieldone.ch.

Les e-mails. Nous vous écrivons, par Brevo, à l'adresse de connexion de votre compte — jamais à l'adresse de votre profil pro — lorsque la société refuse votre candidature, ou que l'offre est pourvue, fermée, masquée ou arrivée à échéance. L'e-mail ne contient que le titre de l'offre et le nom de la société ; il ne dit ni le motif d'un refus, ni votre message, ni votre profil. Nous n'envoyons aucun e-mail au dépôt d'une candidature, ni au passage « en discussion » ou à l'embauche. Ces e-mails partent après l'action qui les déclenche et leur arrivée n'est pas garantie : l'état qui fait foi est celui affiché dans « Mes candidatures ». La trace d'envoi ne garde que le domaine de votre adresse (3.5).

Ce qui est effacé, et quand. Une candidature est effacée, avec les traces de sa lecture par la société, par une tâche automatique qui s'exécute chaque nuit, 6 mois après la clôture de la candidature ou, si elle est plus proche, après celle de l'offre. ShieldOne active cette tâche avant le premier terme possible, le 10 avril 2027 : jusqu'à son activation, aucune candidature n'est effacée automatiquement, et aucune ne peut avoir atteint ce terme avant cette date. Cette tâche n'efface pas une candidature dont l'offre ou la date n'est pas lisible. À la suppression de votre compte, vos candidatures sont effacées par une tâche déclenchée par la suppression, chez la société comme chez nous (section 9).

4. Pourquoi, et sur quel fondement

ShieldOne mesure l'utilisation de l'application comme décrit en 3.11 ; elle n'y utilise aucun outil de publicité ni aucun outil de mesure tiers, et ne vend ni ne partage vos données avec quiconque à des fins commerciales.

5. Qui reçoit vos données

Aucune société cliente de ShieldOne ne reçoit les données de votre espace personnel, à la seule exception de ShieldOne Services et de ShieldOne Jobs (3.16) : les sociétés de sécurité validées par ShieldOne reçoivent vos demandes sans votre nom ni vos coordonnées — dans l'application et, pour une partie de leur contenu, par e-mail (3.9) —, ainsi que les documents joints que ShieldOne décide de leur transmettre (3.9), et la société avec laquelle vous concluez reçoit vos prénom, nom et adresse e-mail (3.9). Elle les traite ensuite sous sa propre responsabilité. L'adresse e-mail donnée pour une demande sans compte (3.10) n'est transmise à aucune société.

ShieldOne Local (3.13) : une fois publiée, votre publication est visible de tous les utilisateurs de ShieldOne Local, sous votre pseudonyme — jamais sous votre identité ni votre identifiant de compte. Aucun autre destinataire ne reçoit vos publications, vos signalements, vos masquages ni vos lieux ; les sources officielles décrites en 3.13 ne reçoivent rien de vous. Seule exception, le service de recherche de swisstopo (3.13) : quand vous cherchez une adresse, nos serveurs lui transmettent le texte tapé ; quand vous enregistrez un lieu à une adresse choisie, ils lui transmettent le libellé de cette adresse, pour la vérifier. Dans les deux cas, sans identifiant, ni le nom ni le point du lieu.

ShieldOne Training (3.14) : l'organisme de formation qui publie le cours auquel vous demandez à vous inscrire reçoit, dès votre demande, vos prénom, nom et adresse e-mail, ainsi que l'état de votre inscription, un identifiant technique de l'inscription (3.14) et, une fois acceptée, le prix qui vaut pour vous. Il les traite ensuite sous sa propre responsabilité (Conditions de ShieldOne Training, article 10.3). Aucun autre organisme ne les reçoit, et aucun e-mail envoyé à l'organisme ne contient votre identité.

ShieldOne Jobs (3.16) et profil pro (3.15) : la société qui a publié l'offre à laquelle vous postulez reçoit vos prénom et nom, votre message, l'état de votre candidature et ses dates et, à la seule condition que vous les lui ayez montrées, des rubriques de votre profil pro. Elle les traite ensuite sous sa propre responsabilité. Aucune autre société ne reçoit votre candidature ni votre profil pro, sauf, à la fin de son contrat, la restitution de ses propres données à la société qui l'a reçue (3.16).

Reçoivent des données, chacun pour ce qui le concerne :

• Google (Google Cloud et Firebase) — hébergement de la base de données, des traitements serveur et du stockage de fichiers ; authentification (Firebase Authentication), y compris, lorsque Brevo n'est pas disponible, l'envoi des e-mails liés à votre compte (3.5) ; diffusion des fichiers de l'application web et de la liste des localités (Firebase Hosting), y compris lorsque l'application pour téléphone charge cette liste.
• Google (reCAPTCHA) — sur le site web, un contrôle d'intégrité (Firebase App Check) s'appuie sur reCAPTCHA v3 de Google, qui reçoit votre adresse IP et des données techniques de votre navigateur.
• Google (www.gstatic.com et fonts.gstatic.com) — sur le site web, une partie des bibliothèques techniques de l'application et des polices de caractères est téléchargée depuis ces domaines de Google, qui reçoivent votre adresse IP et des données techniques de votre navigateur. Les polices appelées dépendent des caractères affichés.
• Apple ou Google, selon votre téléphone — dans l'application pour téléphone, le contrôle d'intégrité (Firebase App Check) s'appuie sur le service d'Apple (DeviceCheck) sur iPhone, et sur celui de Google (Play Integrity) sur Android.
• Sentry — suivi des erreurs (3.4).
• Brevo — envoi des e-mails liés à votre compte (3.5), à vos demandes ShieldOne Services (3.9), y compris ceux qui annoncent votre demande publiée aux sociétés, à vos demandes et inscriptions ShieldOne Training (3.14), à vos candidatures ShieldOne Jobs (3.16) et de la relance d'une inscription non terminée (3.12).
• swisstopo (Office fédéral de topographie) — recherche et vérification d'une adresse pour un lieu de ShieldOne Local : le texte tapé et, à l'enregistrement du lieu, le libellé de l'adresse choisie, sans identifiant, envoyés par nos serveurs (3.13).

Au sein de ShieldOne, l'administration du service peut accéder techniquement aux données pour exploiter, sécuriser et dépanner le service.

L'espace personnel n'affiche aucune carte et n'enregistre pas votre appareil pour recevoir des notifications.

6. Où sont vos données

Les données principales du service — la base de données, le stockage de fichiers et les traitements serveur — sont hébergées chez Google Cloud dans la région de Zurich, en Suisse. Les copies de sauvegarde de la base de données sont gérées par le même service. ShieldOne Local (3.13) n'y fait pas exception : ses fonctions serveur et ses données (fil, publications, signalements, masquages, lieux et leur adresse précise) sont, elles aussi, en région de Zurich. ShieldOne Training (3.14), le profil pro (3.15) et ShieldOne Jobs (3.16) non plus : leurs fonctions serveur et leurs données (cours, demandes et inscriptions, acceptations de leurs conditions, profil, CV, candidatures) sont en région de Zurich.

Certaines données sortent de ce périmètre :

Les garanties propres à chaque transfert vers les États-Unis n'ont pas encore été vérifiées destinataire par destinataire. Vous pouvez nous interroger à ce sujet à contact@shieldone.ch.

7. Votre position

L'espace personnel ne relève votre position que si vous le demandez, et de deux façons distinctes selon l'endroit.

Pour une demande ShieldOne Services, en touchant « Utiliser ma position » (3.9) : votre appareil mesure alors une seule fois votre position et en déduit, sur l'appareil, la localité la plus proche ; l'application n'envoie cette position ni à ShieldOne, ni à quiconque, et seuls la commune, le code postal et le canton que vous retenez partent avec la demande. Sans ce geste, vous choisissez vous-même la localité (3.9).

Pour un lieu de ShieldOne Local (3.13) : placé par votre position ou une localité, le point est arrondi à environ 500 mètres, sur votre appareil, avant d'être transmis ; ShieldOne ne reçoit ni ne conserve la position mesurée par votre appareil, seulement ce point déjà arrondi, le rayon que vous avez choisi et le nom que vous lui donnez. Si vous choisissez une adresse, ShieldOne reçoit et conserve cette adresse précise et son point exact (3.13) : c'est une adresse que vous choisissez, jamais une position mesurée. Vous pouvez aussi trier le fil de ShieldOne Local par canton ou par commune, sans indiquer aucun point (3.13).

Dans les deux cas, pour mesurer la position, votre navigateur ou votre téléphone peut recourir à son propre service de localisation, selon ses réglages ; ShieldOne n'y a pas accès.

Par construction, l'application ne sait relever une position que ponctuellement : une seule mesure, à un moment donné, sur votre geste. Elle ne comporte aucun suivi continu de la position, et l'application pour téléphone ne demande pas l'accès à la position en arrière-plan.

8. Combien de temps

Nous n'indiquons ici une durée que lorsqu'une suppression automatique l'applique réellement.

Lorsqu'une suppression automatique traite beaucoup de données, le reste est repris la nuit suivante.

9. Vos droits, et comment les exercer

Ce que la suppression de votre compte efface. Lorsque vous supprimez votre compte depuis l'application, sont effacés : votre compte d'accès, votre profil, votre historique de connexion, les fiches techniques qui associent votre adresse e-mail et vos moyens de connexion à votre compte, ainsi que les événements de la mesure d'utilisation liés à votre compte et votre éventuelle opposition à cette mesure (3.11), votre profil pro et votre CV (3.15), et vos candidatures ShieldOne Jobs, chez la société comme chez nous (3.16). Ces trois derniers effacements sont faits par des tâches déclenchées par la suppression ; un échec de ces tâches n'est pas signalé dans l'application. Si l'effacement du compte d'accès ou du profil échoue en partie, l'application vous l'indique et vous dit quelle partie ; écrivez-nous alors à contact@shieldone.ch.

Ce que la suppression de votre compte fait dans ShieldOne Local (3.13), par une tâche distincte, elle aussi déclenchée par la suppression : vos publications, quel que soit leur statut, sont anonymisées (le pseudonyme et l'identifiant d'auteur disparaissent de l'enregistrement, l'article 17.9.1 des Conditions d'utilisation de l'espace personnel — ShieldOne s'applique) — elles ne sont pas effacées à ce moment, mais au terme indiqué en section 8 ; un signalement que vous avez fait et qui est encore ouvert est anonymisé, un signalement déjà classé est effacé ; votre identifiant est retiré des listes d'auteurs masqués tenues par d'autres personnes ; votre pseudonyme retenu, votre éventuel blocage, vos auteurs masqués, vos compteurs journaliers et vos lieux, adresses précises comprises, sont effacés. Un échec de cette tâche n'est, comme les précédentes, pas signalé dans l'application.

Ce que la suppression de votre compte fait dans ShieldOne Training (3.14) : à ce jour, presque rien. Vos demandes et inscriptions ne sont ni annulées ni effacées : une demande en attente reste en attente, et l'organisme peut encore y répondre — l'e-mail qui en découle part alors à l'adresse copiée lors de la demande ; l'organisme continue de voir, pour chacune, la copie de vos prénom, nom et adresse e-mail, jusqu'à son effacement au terme indiqué en section 8 pour une demande refusée ou annulée, et sans limite pour les autres ; ShieldOne conserve vos inscriptions, rattachées à l'identifiant de votre compte supprimé, ainsi que l'historique de vos acceptations des conditions de ShieldOne Training. Seuls l'état de votre acceptation de ces conditions, enregistré avec votre profil, et l'événement de mesure d'une demande d'inscription (3.11) sont effacés. Ce que l'organisme a déjà reçu ou enregistré de son côté relève de lui (Conditions de ShieldOne Training, article 10.3). Si vous ne souhaitez plus qu'une demande ou une inscription suive son cours, annulez-la dans « Mes formations » avant de supprimer votre compte ; l'annulation est possible jusqu'à la veille du premier jour du cours.

Ce que la suppression de votre compte fait dans le profil pro (3.15) et dans ShieldOne Jobs (3.16) : votre profil pro, votre CV et toutes vos candidatures sont effacés, y compris chez les sociétés, avec les traces de leur lecture ; l'application vous en avertit avant la suppression. Si l'effacement d'une partie échoue, il est repris chaque nuit. Ce qu'une société a déjà lu ou enregistré de son côté relève d'elle ; un e-mail déjà envoyé reste dans sa messagerie ; le CV effacé reste en corbeille technique jusqu'à 90 jours, et la fiche du profil dans les copies de sauvegarde de la base jusqu'à 98 jours (section 8).

Ce qu'elle n'efface pas : les entrées du journal de sécurité et les alertes qui en dérivent (3.3) ; les rapports d'erreurs déjà transmis à Sentry (3.4) ; les journaux techniques de Google, jusqu'à leur expiration ; les traces d'envoi d'e-mails, jusqu'à leur suppression après 180 jours ; les e-mails déjà transmis à Brevo, selon les règles de ce prestataire ; le texte d'une recherche d'adresse, ou le libellé d'une adresse, déjà transmis à swisstopo, selon les règles de ce service ; l'empreinte d'adresse IP du formulaire « mot de passe oublié », qui n'est pas liée à votre compte ; l'historique de vos acceptations des conditions (3.8, 3.13, 3.14) ; vos demandes et inscriptions ShieldOne Training et la copie de vos prénom, nom et adresse e-mail que voit l'organisme, selon le paragraphe précédent (3.14) ; les traces, au journal de l'administration, de la consultation et de la vérification de votre profil pro (3.15) ; vos demandes ShieldOne Services : celles qui étaient en cours sont closes (annulées), et toutes suivent la durée de conservation de la section 8 ; le compteur journalier de vos demandes ShieldOne Services ; ce qu'une société a reçu à la conclusion d'une demande, et les e-mails qui ont annoncé vos demandes publiées aux sociétés (3.9) ; vos publications ShieldOne Local, anonymisées, jusqu'à leur effacement au terme indiqué en section 8, ni la trace d'une décision de modération qui vous concernait (3.13) ; les copies de sauvegarde de la base, jusqu'à la suppression de la dernière copie qui contient vos données, 98 jours au plus après sa création ; votre éventuelle inscription à la liste « prévenez-moi », qui n'est pas liée à votre compte ; les statistiques de la mesure d'utilisation, qui ne portent aucun identifiant, et les étapes comptées avant la création de votre compte, qui n'y sont pas liées (3.11) ; l'empreinte d'adresse IP et le compteur de l'inscription (3.12), qui ne sont pas liés à votre compte.

L'effacement n'est donc ni instantané ni total dès que vous confirmez la suppression.

Nous pouvons vous demander de confirmer votre identité avant de répondre à une demande écrite.

10. Compte personnel et compte professionnel

Aucune société ne peut supprimer votre compte personnel. Un compte personnel n'est rattaché à aucune société, et les outils dont une société dispose pour gérer des comptes n'atteignent que les comptes qui lui sont rattachés.

Si vous utilisez aussi ShieldOne dans le cadre de votre travail, il s'agit aujourd'hui d'un autre compte, relevant du volet professionnel (section 2) : c'est la société concernée qui en est responsable.

ShieldOne Training n'est aujourd'hui ouvert qu'aux comptes personnels : un compte rattaché à une société ne peut pas demander à s'inscrire à un cours, et aucune société cliente de ShieldOne n'a accès à vos inscriptions (3.14). Votre profil pro n'est lié à aucune société : une société ne le voit que par une candidature que vous lui adressez (3.15, 3.16).

La réunion de deux comptes en un seul n'est pas encore disponible ; écrivez à contact@shieldone.ch.

11. Mineurs

L'espace personnel est réservé aux personnes âgées d'au moins 16 ans (Conditions d'utilisation de l'espace personnel — ShieldOne, article 3.1). Avant votre premier accès, vous déclarez avoir atteint cet âge (3.8) ; ShieldOne ne vérifie pas cette déclaration.

Le représentant légal d'une personne de moins de 16 ans qui constate que celle-ci a ouvert un compte peut en demander la suppression à contact@shieldone.ch.

ShieldOne Training ne prévoit pas d'âge distinct de celui de l'espace personnel, sauf pour le type de cours « Découverte du tir », réservé aux personnes de 18 ans révolus, qui l'attestent sur l'honneur (cette attestation n'est pas enregistrée). Si vous avez moins de 18 ans, vos prénom, nom et adresse e-mail sont transmis à l'organisme comme pour tout autre agent (3.14), et ShieldOne ne recueille pas l'accord de votre représentant légal, y compris pour un cours payant, que vous réglez directement à l'organisme. Le profil pro (3.15) n'a pas d'âge distinct de celui de l'espace personnel : ShieldOne ne vérifie pas l'âge de la personne qui y déclare une attestation d'arme ou un parcours. ShieldOne Jobs est réservé aux personnes de 18 ans révolus : vous le déclarez à chaque candidature, et ShieldOne ne le vérifie pas (3.16).

12. Sécurité

Ce qui protège vos données :

• les échanges entre votre appareil et nos serveurs sont chiffrés, et les données sont chiffrées au repos par l'infrastructure de Google Cloud ;
• votre historique de connexion ne peut pas être lu directement depuis une application : les fonctions qui le rendent ne rendent à chaque personne que le sien ;
• le journal de sécurité ne peut être ni modifié ni effacé par un utilisateur ;
• votre espace indique, à son ouverture, une connexion depuis un appareil jamais vu ou une connexion non déclarée par l'application ; aucun e-mail ni notification ne vous est envoyé à ce sujet ;
• vous pouvez couper toutes vos sessions vous-même (section 9) ;
• les appels à certaines fonctions serveur sont plafonnés par compte ;
• les données de ShieldOne Training (3.14), le profil pro et le CV (3.15) et les candidatures (3.16) ne peuvent pas être lus directement depuis une application : seules nos fonctions serveur les lisent, et elles ne rendent à chaque personne que les siens, à chaque organisme que les inscriptions de ses cours, et à chaque société que les candidatures à ses offres et ce que vous lui avez montré de votre profil pro ;
• ShieldOne ne lit pas votre profil pro pour trier, classer ou recommander une offre ou un candidat.

La protection de votre compte repose sur votre mot de passe : choisissez-en un que vous n'utilisez nulle part ailleurs, et ne le communiquez à personne.

13. Réclamation, modifications, droit applicable

Réclamation. Si vous estimez que vos données ne sont pas traitées correctement, vous pouvez vous adresser à ShieldOne (contact@shieldone.ch) ou saisir l'autorité de surveillance suisse :

Préposé fédéral à la protection des données et à la transparence (PFPDT)
Feldeggweg 1, 3003 Berne — www.edoeb.admin.ch

Modifications. Chaque version du présent document est publiée avec son numéro et sa date.

Droit applicable et for. Le présent document est soumis au droit suisse, en particulier à la loi fédérale sur la protection des données (nLPD). Le for est à Genève, sous réserve des fors impératifs prévus par la loi.

Langue. Seule la version française fait foi.

ShieldOne — raison individuelle · 6 chemin Frisco, 1208 Genève, Suisse · contact@shieldone.ch · Version 1.15 — 11 octobre 2026

Version 1.15, en vigueur le 11 octobre 2026 — même texte, mis en page en HTML, que le document publié /legal/18-politique-confidentialite-particuliers.md (empreinte SHA-256 2009931c980141e3bb7cca79fde8ca1dfc1fee0d8ac7b34fe1585585d6b59511, registre des empreintes). En cas de divergence, le document publié fait foi.

© 2026 ShieldOne