Politique de confidentialité de la plateforme Helfa

Version 1.0 du 26 septembre 2026

Article 1 Responsable du traitement

1.1 La plateforme Helfa, accessible par le site internet du même nom (ci-après la « Plateforme »), est exploitée par Z&S Advisory LLP, Limited Liability Partnership de droit anglais, immatriculée en Angleterre et au Pays de Galles sous le numéro OC459126, 124 City Road, Londres EC1V 2NX, Royaume-Uni (ci-après « Helfa » ou « nous »). Helfa est responsable des traitements de données personnelles décrits ci-dessous.

1.2 Pour toute question relative à vos données, vous pouvez écrire à info@helfa.ch ou adresser un courrier à Nikita Zaitsev, Z&S Advisory LLP, 124 City Road, Londres EC1V 2NX, Royaume-Uni.

1.3 La présente politique concerne toutes les personnes qui consultent la Plateforme ou y ouvrent un compte, que ce soit pour publier une mission (Client) ou pour y répondre (Prestataire). Elle constitue l'information prévue à l'art. 19 de la loi fédérale sur la protection des données du 25 septembre 2020 (LPD), en vigueur depuis le 1er septembre 2023, et à l'ordonnance sur la protection des données (OPDo).

1.4 Une partie de nos utilisateurs réside en France, notamment les frontaliers qui travaillent à Genève ou dans le canton de Vaud. Lorsque le règlement (UE) 2016/679 (RGPD) s'applique à un traitement en vertu de son art. 3 par. 2, vous bénéficiez en plus des droits qu'il prévoit, et les bases juridiques indiquées à l'article 4 correspondent à l'art. 6 par. 1 let. a, b, c et f RGPD. Nous n'avons pas désigné de représentant dans l'Union européenne (art. 27 par. 2 RGPD) ; nous le ferons si notre activité à destination de résidents de l'Union cesse d'être occasionnelle. En tant qu'entreprise établie au Royaume-Uni, Helfa est également soumise au UK GDPR pour ses traitements.

1.3 Une version courte de cette politique, intitulée « Information sur la collecte de vos données personnelles », est remise à l'inscription et disponible à l'adresse /legal/collecte-donnees.

Article 2 Données que nous traitons

2.1 Données d'identité et de contact. Nom, prénom, adresse e-mail, numéro de téléphone mobile, localité et numéro postal, adresse complète lorsque vous la saisissez pour une mission, ainsi que la confirmation que vous avez 18 ans révolus.

2.2 Données de profil. Photo, texte de présentation, catégories de services proposés, zone d'intervention (par exemple « Lausanne et environs, 15 km »), langues parlées, tarifs indicatifs, évaluations reçues et, si un Prestataire choisit de l'indiquer, son numéro IDE.

2.3 Contenus. Les annonces de missions avec leur description, leurs photos, leur date et leur budget indicatif, les Réponses des Prestataires, les messages échangés par la messagerie interne, les évaluations et les réponses aux évaluations, les signalements ainsi que vos échanges avec notre support.

2.4 Données de paiement. L'achat de Crédits par les Prestataires passe exclusivement par notre prestataire de paiement Stripe. Vous saisissez vos données de carte directement chez lui. Helfa ne reçoit et ne conserve ni le numéro complet de votre carte ni son code de sécurité. Nous recevons seulement la référence de la transaction, le montant, la date, le statut du paiement, le moyen utilisé et, pour une carte, son type et ses quatre derniers chiffres. Nous tenons en outre l'historique de vos achats et de la consommation de vos Crédits. Les paiements entre Client et Prestataire pour la mission elle-même ne transitent pas par Helfa, de sorte que nous n'en avons pas connaissance.

2.5 Données techniques et journaux. Adresse IP, date et heure des accès, pages consultées, type de navigateur et de système d'exploitation, identifiant d'appareil pour les notifications, messages d'erreur, ainsi que les événements de sécurité comme les connexions, les tentatives échouées et les changements de mot de passe.

2.6 Cookies et technologies similaires. Leur utilisation est décrite dans notre Politique relative aux cookies.

2.7 Données particulièrement sensibles. Nous ne vous demandons aucune donnée sensible au sens de l'art. 5 let. c LPD, par exemple sur votre santé ou vos convictions religieuses. Merci de ne pas en mentionner dans une annonce ou un message. Si une telle donnée apparaît malgré tout, nous la traitons uniquement dans la mesure nécessaire à la modération.

2.8 Données de vérification d'identité (Prestataires volontaires). Lorsqu'un Prestataire demande le badge « Vérifié », nous recevons une copie de sa pièce d'identité et, le cas échéant, ses certificats. Après la décision, la copie de la pièce d'identité est supprimée de nos serveurs. Nous ne conservons que des données structurées : type et pays du document, quatre derniers caractères de son numéro, date d'expiration, nom complet tel qu'il figure sur le document, date de naissance, nationalité, adresse au moment de la vérification, date de la décision et identifiant du collaborateur qui l'a prise. Les certificats validés restent publiés sur le profil tant que le Prestataire ne les retire pas.

2.8bis Données de compte d'entreprise. Lorsqu'une personne rattache son compte à une entreprise suisse, nous traitons le numéro IDE, la raison sociale, la forme juridique, le siège et le but tels qu'ils figurent dans l'index central Zefix (données publiques du registre du commerce), la fonction déclarée par la personne et l'extrait du registre qu'elle nous transmet. L'IDE ou la raison sociale est transmis à Zefix pour la consultation ; aucune donnée de compte ne l'est. Après la décision, l'extrait est supprimé de nos serveurs ; nous conservons uniquement les données structurées ci-dessus, la décision, sa date et l'identifiant du collaborateur qui l'a prise.

2.9 Accord de mission. Lorsqu'un Client retient une Réponse, nous générons un Accord de mission et enregistrons, pour chaque partie, la date et l'heure de son acceptation, son adresse IP et l'empreinte cryptographique du texte accepté.

2.10 Double authentification. Si vous activez la double authentification, nous conservons un secret chiffré propre à votre compte et l'empreinte de vos codes de secours. Nous ne pouvons pas lire ces codes.

2.11 Provenance. La plupart des données viennent de vous. D'autres proviennent des utilisateurs avec lesquels vous êtes en contact (messages, évaluations) ou de nos prestataires de paiement (statut d'une transaction).

Article 3 Ce que les autres utilisateurs voient

3.1 Votre profil public affiche votre prénom, l'initiale de votre nom, votre photo, votre localité, vos catégories et vos évaluations. Votre adresse e-mail et votre numéro de téléphone ne sont jamais publiés par Helfa.

3.1bis Vous choisissez les e-mails de notification que vous recevez dans votre profil ou via le lien « Gérer mes notifications » présent dans chaque e-mail ; ce lien contient un jeton signé qui ne permet que de modifier ces réglages de notification. Les e-mails nécessaires au fonctionnement du compte (confirmation d’adresse, réinitialisation du mot de passe, reçus, décisions de modération) ne peuvent pas être désactivés.

3.2 Une annonce de mission indique la localité et le numéro postal. Sur la page « Carte », chaque mission ouverte est représentée par un point décalé d’une centaine de mètres par rapport à l’adresse saisie (ou placé au centre de la localité si aucune adresse n’a été saisie) ; les annonces de prestataires sont placées au centre de leur localité. Le point ne désigne jamais un bâtiment. L’adresse exacte d’une mission est conservée pour être communiquée au seul prestataire retenu ; la saisie de l’adresse interroge le registre fédéral des adresses (swisstopo) avec le texte tapé. Le chargement du fond de carte transmet votre adresse IP et les caractéristiques de votre navigateur à Google (Google Maps Platform) ; Google peut y appliquer ses propres règles de confidentialité (policies.google.com/privacy). Nous n’envoyons à Google aucune donnée de compte, aucune adresse de mission et aucun identifiant utilisateur ; seuls les points décalés et les fonds de carte transitent. L'adresse exacte n'est visible que par le Prestataire que vous avez retenu, ou par celui à qui vous la communiquez vous-même dans la messagerie.

3.3 Ce que vous écrivez dans une annonce peut être lu par tous les utilisateurs connectés. Pensez-y avant d'y placer des détails personnels.

Article 4 Finalités et bases juridiques

4.1 Exécution du contrat. Nous traitons vos données pour créer et gérer votre compte, publier les missions, transmettre les Réponses, faire fonctionner la messagerie, vendre et décompter les Crédits, gérer les évaluations et répondre à vos demandes de support. Sans ces données, nous ne pouvons pas vous fournir le service.

4.2 Intérêt légitime. Nous utilisons certaines données pour protéger la Plateforme contre la fraude, les faux profils et les abus, pour modérer les contenus et faire respecter nos Conditions générales d'utilisation (CGU), pour établir des statistiques internes, pour améliorer nos fonctions et pour constater, exercer ou défendre des droits en justice. Nous pouvons aussi vous informer par e-mail de nouvelles fonctions de la Plateforme ; chaque message permet de refuser les envois suivants.

4.3 Obligation légale. Certaines données sont conservées pour respecter nos obligations comptables (art. 957 ss du Code des obligations, CO), fiscales et, le cas échéant, en matière de TVA, ou pour répondre à la demande d'une autorité fondée sur la loi.

4.4 Consentement. Nous vous demandons votre accord pour les cookies de mesure d'audience et de marketing, pour la newsletter et pour les notifications push. Vous pouvez retirer ce consentement à tout moment, sans effet sur les traitements déjà effectués.

4.5 Nous ne prenons aucune décision individuelle automatisée au sens de l'art. 21 LPD. Nos filtres peuvent signaler automatiquement un contenu suspect, mais la suspension d'un compte est toujours décidée par une personne de notre équipe.

Article 5 Destinataires et sous-traitants

5.1 Nous confions certaines tâches à des sous-traitants liés par un contrat conforme à l'art. 9 LPD. Ils ne peuvent traiter vos données que selon nos instructions.

5.2 Stripe traite également certaines données sous leur propre responsabilité, notamment pour la lutte contre la fraude et le blanchiment d'argent. Leurs propres déclarations de confidentialité s'appliquent à ces traitements.

5.3 Vos données peuvent aussi être communiquées à notre fiduciaire, à nos avocats et à nos assureurs, qui sont tenus au secret, ainsi qu'aux autorités lorsque la loi nous y oblige ou qu'une décision nous l'ordonne. En cas de reprise de tout ou partie de l'activité de Helfa, l'acquéreur pourra recevoir les données nécessaires à la poursuite du service. Vous en serez informé au préalable.

5.4 Nous ne vendons pas vos données.

5.6 Autorités. Nous communiquons des données à une autorité suisse (police, ministère public, tribunal) lorsqu'une base légale nous y oblige, en particulier sur ordonnance de production (art. 265 CPP) ou sur demande fondée sur une autre loi. Nous vérifions l'authenticité de chaque demande, ne transmettons que les données strictement visées et journalisons chaque communication. Nous informons la personne concernée dès que l'autorité nous y autorise. Une demande émanant d'une autorité étrangère n'est traitée que par la voie de l'entraide judiciaire.

5.7 Accès interne. Les données de vérification d'identité ne sont accessibles qu'aux collaborateurs chargés de la vérification et de la conformité. Chaque consultation est journalisée avec l'identifiant du collaborateur.

Article 6 Communication de données à l'étranger

6.1 Nos données sont hébergées en principe en Suisse ou dans l'Union européenne. Nous ne communiquons des données à l'étranger que vers un État dont le Conseil fédéral a constaté qu'il offre un niveau de protection adéquat (annexe 1 OPDo). Cette liste comprend notamment les États de l'UE et de l'EEE, ainsi que les États-Unis pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework.

6.2 Si un destinataire se trouve dans un État absent de cette liste, nous ne lui transmettons des données qu'après avoir conclu les clauses contractuelles types de la Commission européenne, reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT) et adaptées au droit suisse (art. 16 al. 2 let. d LPD). Vous pouvez en obtenir une copie à l'adresse indiquée à l'article 1.

Article 7 Durée de conservation

7.1 Nous conservons vos données aussi longtemps que la finalité l'exige, puis nous les effaçons ou les anonymisons. Concrètement :

• données du compte et du profil : pendant toute la durée du compte ; à la suppression du compte, elles sont effacées ou anonymisées immédiatement et sans retour possible ;
• messages de la messagerie et pièces jointes : supprimés dès la clôture ou l'annulation de la mission (vous pouvez les exporter avant) ; contenu des annonces et des missions : 24 mois après la clôture ;
• journaux techniques : 12 mois ;
• pièces comptables, factures et historique des achats de Crédits : 10 ans dès la fin de l'exercice, conformément à l'art. 958f CO ;
• évaluations : tant que le compte évalué existe ; si l'auteur supprime son compte, son évaluation reste visible sous la mention « Utilisateur supprimé », sans son nom ni sa photo ;
• empreinte (hachage) de l'adresse e-mail d'un compte exclu pour fraude ou violation grave des CGU : 24 mois, afin d'empêcher une réinscription immédiate ;
• copie de la pièce d'identité transmise pour le badge « Vérifié » : jusqu'à la décision, au plus 30 jours, puis suppression automatique ;
• données structurées de vérification d'identité (art. 2.8) : pendant toute la durée du compte, puis 5 ans après sa suppression. Ce délai correspond au délai de prescription de l'action civile pour les dommages causés par une prestation (art. 128 et 130 CO) et permet de répondre à une demande d'une autorité concernant une mission passée ;
• Accords de mission : 10 ans dès la clôture de la mission, comme les autres pièces relatives aux contrats conclus via la Plateforme.

7.2 Si des données sont nécessaires dans une procédure en cours ou à la défense de nos droits, nous les conservons jusqu'à la fin de cette procédure.

Article 8 Sécurité des données

8.1 Nous prenons les mesures techniques et organisationnelles exigées par l'art. 8 LPD et les art. 1 à 6 OPDo. Les mots de passe ne sont jamais enregistrés en clair : nous n'en conservons qu'un hachage salé, calculé avec l'algorithme bcrypt ou bcrypt. Toutes les communications entre votre appareil et nos serveurs sont chiffrées par TLS.

8.2 Seuls les collaborateurs qui en ont besoin pour leur tâche accèdent aux données, avec des droits individuels, une authentification à deux facteurs pour les comptes d'administration et une journalisation des accès. Les sauvegardes sont chiffrées et nos systèmes sont mis à jour régulièrement.

8.3 Aucune mesure ne supprime tout risque. Vous contribuez à la sécurité en choisissant un mot de passe que vous n'utilisez nulle part ailleurs et en nous signalant sans tarder tout accès suspect à votre compte.

Article 9 Vos droits

9.1 Droit d'accès. Vous pouvez demander si nous traitons des données vous concernant et, si oui, lesquelles (art. 25 LPD). Nous répondons gratuitement dans les 30 jours (art. 18 OPDo). Si ce délai ne peut pas être tenu, nous vous en indiquons la raison et la date à laquelle vous recevrez la réponse.

9.2 Rectification. Vous pouvez corriger la plupart de vos données directement dans votre profil. Pour le reste, écrivez-nous (art. 32 al. 1 LPD).

9.3 Effacement. Vous pouvez supprimer votre compte à tout moment dans les paramètres ou nous demander d'effacer vos données. Nous gardons uniquement ce que la loi nous impose de conserver (voir l'article 7).

9.4 Remise et transmission. Vous pouvez obtenir les données que vous nous avez fournies dans un format électronique courant, par exemple JSON ou CSV, ou nous demander de les transmettre à un autre responsable, aux conditions de l'art. 28 LPD.

9.5 Opposition. Vous pouvez vous opposer à un traitement fondé sur notre intérêt légitime (art. 30 al. 2 let. b LPD). Nous y donnons suite, sauf si des motifs prépondérants justifient la poursuite du traitement. Pour la publicité, l'opposition est toujours respectée.

9.6 Ces droits peuvent être limités dans les cas prévus à l'art. 26 LPD, par exemple lorsque les intérêts d'un autre utilisateur doivent être protégés. Nous vous indiquons alors le motif de la restriction.

9.7 Pour exercer vos droits, écrivez à info@helfa.ch ou par courrier à l'adresse de l'article 1. Nous pouvons vous demander de prouver votre identité si un doute subsiste.

9.8 Si vous estimez que nous ne respectons pas la loi, vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, www.edoeb.admin.ch. Les personnes auxquelles le RGPD s'applique peuvent aussi s'adresser à l'autorité de contrôle de leur pays, en France la CNIL. Les actions civiles prévues à l'art. 32 LPD sont réservées.

Article 10 Mineurs

La Plateforme est réservée aux personnes âgées de 18 ans révolus. Nous ne collectons pas sciemment de données concernant des mineurs. Si nous apprenons qu'un compte a été ouvert par une personne de moins de 18 ans, nous le supprimons. Lorsqu'une mission concerne un enfant, par exemple des cours d'appui scolaire, le Client limite les informations sur l'enfant à ce qui est strictement utile au Prestataire.

Article 11 Violation de la sécurité des données

11.1 Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour votre personnalité ou vos droits fondamentaux, nous l'annonçons dans les meilleurs délais au PFPDT, comme l'exige l'art. 24 LPD. Pour les personnes soumises au RGPD, l'autorité compétente est informée dans les 72 heures (art. 33 RGPD).

11.2 Nous vous informons directement lorsque cela est nécessaire à votre protection, par exemple pour que vous changiez votre mot de passe, ou lorsque le PFPDT l'exige. Chaque violation est documentée et cette documentation est conservée au moins deux ans (art. 15 al. 4 OPDo).

Article 12 Communications électroniques

Les e-mails liés au fonctionnement de votre compte (confirmation d'inscription, nouvelle Réponse, confirmation d'achat) font partie du service. La newsletter et les offres promotionnelles ne vous sont envoyées qu'avec votre accord, conformément à l'art. 3 al. 1 let. o de la loi fédérale contre la concurrence déloyale (LCD). Un lien de désinscription figure dans chaque envoi.

Article 13 Modifications

Nous pouvons adapter cette politique, notamment si nos traitements ou la loi changent. La version en vigueur est publiée sur la Plateforme avec sa date. Si une modification touche vos droits de manière importante, nous vous en informons par e-mail ou par un avis dans votre compte au moins 30 jours avant son entrée en vigueur.

Article 14 Contact

Z&S Advisory LLP À l'attention de Nikita Zaitsev 124 City Road, Londres EC1V 2NX, Royaume-Uni E-mail info@helfa.ch