Gouverner son numérique sous deux droits à la fois.
Une organisation suisse qui sert des clients européens vit sous la LPD révisée et sous le RGPD. Le cabinet écrit qui tient vos sites, où vont vos données, qui répond quand ça casse, et sous quel régime.
- RégimeLPD révisée et RGPD, instruits ensemble
- Diagnostic d'entrée4 800 CHF, déductible à 100 %
- DéplacementsCompris, non refacturés
39 500CHF / an
Palier central · GouvernanceLa fiduciaire, l'étude, l'institution de 50 à 250 personnes : 120 h, comité mensuel, registre tenu par le cabinet sous les deux régimes.
Sommaire de la page
Deux régimes qui ne se recouvrent pas.
Copier son dispositif RGPD ne met pas en règle avec la LPD. Ne faire que la LPD ne met pas à l'abri du RGPD dès qu'un client est européen.
La sanction ne vise pas la même personne
Le RGPD frappe l'entreprise au portefeuille. La LPD révisée, en vigueur depuis le 1er septembre 2023, prévoit une sanction pénale contre la personne physique responsable, jusqu'à 250 000 francs. Un dirigeant suisse ne délègue donc pas le risque en signant un budget : il le porte. C'est ce qui rend la traçabilité des décisions plus importante ici qu'ailleurs.
L'annonce des violations n'a pas le même délai
Le RGPD impose 72 heures à l'autorité. La LPD demande l'annonce au PFPDT dans les meilleurs délais, sans horloge chiffrée, ce qui déplace la charge sur votre capacité à qualifier vite. Une organisation qui met trois jours à savoir ce qui a fuité a déjà perdu, quel que soit le texte applicable.
Le registre et l'analyse d'impact
Le registre des activités de traitement est obligatoire, avec une dispense pour les entreprises de moins de 250 collaborateurs lorsque le risque reste limité. Cette dispense tombe dès qu'il y a données sensibles ou profilage à risque élevé, c'est-à-dire précisément chez une fiduciaire, une étude ou une institution de santé. L'analyse d'impact suit la même logique.
Le RGPD vous suit hors d'Europe
L'article 3 du RGPD s'applique dès que vous offrez des biens ou des services à des personnes situées dans l'Union, ou que vous suivez leur comportement. Une fiduciaire genevoise avec des clients français, une étude avec des dossiers transfrontaliers, un site qui mesure son audience européenne : les trois sont dedans, sans l'avoir choisi.
L'IA n'a pas de loi suisse, mais l'AI Act a un bras long
La Suisse n'a pas d'AI Act et le Conseil fédéral a retenu une approche sectorielle plutôt qu'un règlement transversal. L'AI Act européen, lui, s'applique à qui met un système sur le marché de l'Union et à qui produit un résultat utilisé dans l'Union. La question se tranche par écrit au diagnostic, pas par optimisme.
Le secret n'est pas de la protection des données
L'article 321 du code pénal et, pour les établissements financiers, l'article 47 de la loi sur les banques posent des obligations qui survivent indépendamment de la LPD. Pour les banques et les assurances, la circulaire FINMA sur l'externalisation ajoute des exigences propres sur les prestataires. Trois corpus, un seul système d'information.
À qui cela s'adresse.
Le point commun n'est pas la taille, c'est la nature des données et le nombre de prestataires qui y touchent sans mandat écrit.
Fiduciaires et sociétés d'expertise comptable
Dossiers clients, pièces comptables, salaires. Plusieurs outils en ligne adoptés par les équipes sans arbitrage, un site vitrine livré il y a cinq ans par un prestataire qu'on ne joint plus, et le secret professionnel qui court sur l'ensemble.
Études d'avocats et notaires
L'article 321 du code pénal ne souffre pas l'approximation. La question n'est pas de savoir si le cabinet chiffre ses disques, mais où passent les pièces d'un dossier entre la messagerie, l'outil de signature, le prestataire de sauvegarde et le stagiaire qui travaille de chez lui.
Institutions de santé et recherche
Données sensibles au sens de la LPD, souvent doublées de données de recherche à forte valeur. La dispense de registre ne s'applique pas, l'analyse d'impact est due, et l'inventaire des prestataires est presque toujours incomplet.
Assurances, caisses et institutions de prévoyance
Volume, ancienneté des systèmes, sous-traitance en cascade. La circulaire FINMA sur l'externalisation impose de savoir qui est en bout de chaîne ; l'inventaire remonte rarement au-delà du prestataire de premier rang.
Associations faîtières et organisations professionnelles
Fichiers de membres, sites multiples accumulés au fil des projets, budget informatique dispersé entre plusieurs prestataires. Personne n'a de vue d'ensemble, et l'assemblée générale finit par la demander.
Sociétés suisses vendant dans l'Union
Le RGPD s'applique par l'article 3, l'AI Act par la mise sur le marché. Ce sont les organisations qui découvrent leur exposition européenne à l'occasion d'un questionnaire client, c'est-à-dire trop tard pour la traiter calmement.
Quatre portes d'entrée, aucune obligation de suite.
Chacune se paie une fois, se livre en quinze jours ouvrés et se termine par un document que vous pouvez montrer à votre conseil. Le diagnostic souveraineté se déduit à 100 % du premier trimestre d'un contrat de gouvernance.
| Diagnostic | Ce qu'il répond | Prix |
|---|---|---|
| Souveraineté numérique | Ce que vos sites, formulaires, extensions, hébergements, prestataires et accès exposent aujourd'hui, et ce qui sort du territoire sans que personne l'ait décidé. | 4 800 CHF |
| Conformité sectorielle | LPD révisée et RGPD instruits ensemble, obligations propres à votre secteur, registre et preuves opposables. L'écart entre ce qui est écrit et ce qui est fait. | 3 900 CHF |
| Visibilité | Ce que l'on dit de vous quand un décideur cherche, sur Google comme dans les moteurs de réponse, et les positions perdues depuis 2023. | 3 200 CHF |
| Relevé sur place | Ce qu'aucun relevé externe ne voit : outils d'intelligence artificielle réellement utilisés, parc, communication, logiciels de gestion, infrastructure et sauvegardes. Une journée dans vos locaux, en complément du diagnostic de souveraineté. Inclus dans l'audit complet. | 3 900 CHF |
| Reconnaissance offensive | Analyse active, sous mandat écrit, de ce que votre infrastructure expose à un attaquant : ports ouverts, services joignables, chemins sensibles, surface d'injection, prise de contrôle de sous-domaine. La dernière étape avant un test d'intrusion. Incluse dans l'audit complet. | 3 900 CHF |
| Audit complet | Les trois diagnostics conduits ensemble, relevé sur place et reconnaissance offensive inclus, avec cartographie des flux et restitution à la direction. Jusqu'à trois entités et dix sites ; au-delà, sur devis. | 13 900 CHF |
Montants hors TVA, en francs suisses. Prestations B2B hors champ de la TVA française ; l'impôt sur les acquisitions relève du client selon le droit suisse.
Trois paliers, un prix annuel publié.
Le palier se choisit par l'effectif et le secteur. Le prix est le même avec ou sans volet IA : la gouvernance porte d'abord sur les sites, les données, l'hébergement et les prestataires.
| Palier | Essentiel | Gouvernance · palier central | Direction |
|---|---|---|---|
| Prix | 19 500 CHF / an 4 875 CHF par trimestre | 39 500 CHF / an 9 875 CHF par trimestre | 72 000 CHF / an 18 000 CHF par trimestre |
| Pour qui | La fiduciaire ou l'étude de 10 à 50 personnes | L'institution, la fiduciaire ou l'étude de 50 à 250 | Le groupe multi-entités, l'établissement soumis à la FINMA |
| Heures comprises par an | 60 h | 120 h | 200 h |
| Audit initial | Diagnostic souveraineté et conformité, 30 h, restitution direction | Diagnostic, cartographie des flux et des prestataires, 40 h, restitution direction | Diagnostic, cartographie et test d'intrusion non destructif web et infrastructure, 60 h, restitution au conseil |
| Comité | Trimestriel, 1 h 30 | Mensuel, 1 h 30, ordre du jour et compte rendu tenus par le cabinet | Bimensuel, plus une séance annuelle du conseil |
| Restitutions tenues sur site, comprises | 1 par an | 2 par an | 4 par an, dont la séance annuelle devant votre conseil |
| Astreinte, prise en charge d'un incident majeur | 48 h ouvrées | 24 h ouvrées | 4 h, 7 jours sur 7 |
| Heures de traitement d'incident comprises en sus | aucune | 10 h par an | 30 h par an |
| Double régime | LPD révisée et RGPD instruits ensemble à chaque comité, avec un registre unique qui répond aux deux. Le volet AI Act est activé si vous mettez un système sur le marché de l'Union. | ||
| Déplacements | Restitutions en présentiel à Genève, Lausanne, Neuchâtel, Fribourg, Sion, Bâle et Berne comprises dans le contrat, sans refacturation. | ||
Heures hors enveloppe : 250 CHF de 9 h à 17 h, 500 CHF après 17 h, 750 CHF les week-ends et jours fériés suisses. La grille complète en francs. Groupe multi-entités, établissement soumis à la FINMA au périmètre élargi ou besoin hors de ces trois paliers : mission sur-mesure, sur devis.
Où vivent les données, et ce qui se passe sans nous.
Trois options, vous tranchez
Vos données restent chez vous sur votre infrastructure ; ou chez un hébergeur suisse que vous choisissez et que le cabinet audite et contractualise ; ou sur infrastructure française sous contrat, quand le droit applicable et vos clients le permettent. Le cabinet documente les trois avec leurs conséquences, et n'est rémunéré par aucun hébergeur.
Les sous-traitants sont nommés un par un
Aucun sous-traitant n'entre dans le périmètre sans accord écrit préalable. La liste est annexée au contrat et revue à chaque comité. Pour une organisation soumise à la circulaire FINMA sur l'externalisation, c'est la condition d'entrée, pas un raffinement.
Le risque du prestataire unique
C'est l'objection légitime face à un cabinet à taille humaine, et elle se traite par l'architecture, pas par la promesse. Séquestre documentaire mis à jour à chaque comité, binôme senior nommé au contrat, reprise garantie sous 30 jours, accès nominatifs révocables en une heure. Tout est chez vous : vous pouvez partir sans rien redemander.
Le présentiel est organisé et compris
Les restitutions et les comités qui le justifient se tiennent sur place, à Genève, Lausanne, Neuchâtel, Fribourg, Sion, Bâle ou Berne, et le déplacement est dans le prix du contrat. Le reste de la mission se tient en visioconférence. Le fondateur s'installe en Haute-Savoie en 2027, à vingt minutes de Genève.
Ce qu'on nous demande depuis la Suisse.
La LPD révisée et le RGPD, est-ce la même chose ?
Non, et confondre les deux coûte cher dans les deux sens. La LPD révisée est en vigueur depuis le 1er septembre 2023. Elle n'a pas d'amende administrative contre l'entreprise : la sanction est pénale et vise la personne physique responsable, jusqu'à 250 000 francs. Elle impose l'annonce des violations de sécurité au PFPDT dans les meilleurs délais, un registre des activités de traitement dont les entreprises de moins de 250 collaborateurs sont dispensées sous conditions, et une analyse d'impact quand le risque est élevé. Une organisation qui a copié son dispositif RGPD sans le relire est rarement en règle, et une organisation qui n'a fait que la LPD l'est rarement non plus.
Sommes-nous soumis au RGPD si nous sommes établis en Suisse ?
Souvent oui, et c'est le point que la plupart des dispositifs ratent. L'article 3 du RGPD s'applique dès que vous offrez des biens ou des services à des personnes situées dans l'Union, ou que vous suivez leur comportement. Une fiduciaire genevoise avec des clients français, une étude avec des dossiers transfrontaliers, un site qui mesure l'audience européenne : les trois sont concernés. Le cabinet instruit les deux régimes au même diagnostic, parce qu'ils ne se recouvrent pas.
L'AI Act européen nous concerne-t-il ?
Pas en tant que loi suisse. La Suisse n'a pas d'AI Act et le Conseil fédéral a retenu une approche sectorielle plutôt qu'un règlement transversal. Mais l'AI Act s'applique à qui met un système sur le marché de l'Union, et à qui produit un résultat utilisé dans l'Union. Une entreprise suisse qui vend un outil à des clients européens est dedans. Le cabinet tranche la question par écrit au diagnostic, au lieu de la laisser ouverte.
Où seraient hébergées nos données ?
Là où vous décidez, et c'est écrit au contrat. Trois options sont instruites avec leurs conséquences : chez vous sur votre propre infrastructure, chez un hébergeur suisse que vous choisissez et que le cabinet audite et contractualise, ou sur infrastructure française sous contrat quand le droit applicable et vos clients le permettent. Le cabinet n'est rémunéré par aucun hébergeur, donc il n'a pas d'intérêt au choix retenu.
Vous déplacez-vous à Genève, à Lausanne ou à Sion ?
Oui. Les restitutions et les comités qui le justifient se tiennent en présentiel, et le déplacement est compris dans le contrat pour toute la Suisse romande ainsi que Bâle et Berne : il n'est pas refacturé. Le reste de la mission se tient en visioconférence, comme pour les clients français. Le fondateur s'installe en Haute-Savoie en 2027, à vingt minutes de Genève.
Le secret professionnel est-il couvert ?
C'est la première question d'une étude d'avocats ou d'une fiduciaire, et elle se traite au contrat. Le cabinet signe un engagement de confidentialité adossé à l'article 321 du code pénal, nomme ses sous-traitants un par un et s'interdit d'en ajouter sans accord écrit. Aucune donnée de dossier ne transite par un outil non audité, et l'accès aux systèmes est nominatif, journalisé et révocable en une heure.
En quelle monnaie facturez-vous, et depuis quelle structure ?
En francs suisses, sur la grille publiée en francs, depuis Magnetiks Digital, SASU de droit français établie à Marseille. Les prestations B2B rendues à une entreprise suisse sortent du champ de la TVA française : la facture est émise hors taxes et l'impôt sur les acquisitions relève de vous selon le droit suisse. Une structure genevoise sera domiciliée à mesure du développement du portefeuille suisse.
Et si vous n'êtes plus là ?
C'est écrit au contrat, pas promis à l'oral. Séquestre documentaire mis à jour à chaque comité, binôme senior nommé, reprise garantie sous trente jours, accès nominatifs révocables en une heure. Tout est chez vous : le registre, la cartographie, la documentation. Vous pouvez partir sans rien redemander, et sans frais de restitution.
Trente minutes, puis un écrit.
Un cadrage de trente minutes en visioconférence, avec l'ingénieur qui fera la mission et non un commercial. Un compte rendu écrit sous 48 heures, une proposition chiffrée en francs sous cinq jours ouvrés. Sans frais et sans engagement.