Notes sur la nLPD

Ce document résume comment les fonctionnalités de l'extension ADP Car Market Hub s'alignent avec la nouvelle loi fédérale suisse sur la protection des données (nLPD / revDSG), qui s'applique à de nombreux sites web de concessionnaires automobiles exploités en Suisse ou ciblant ce pays. Il complète les Notes sur le RGPD / DSGVO, qui couvrent le cadre de l'UE/EEE.

Ce document ne constitue pas un conseil juridique et ne garantit pas la conformité. L'évaluation juridique finale dépend de la configuration du site, des fonctionnalités configurées, de la mise en œuvre du consentement ou de la transparence et de vos obligations spécifiques en vertu du droit suisse. Les exploitants de sites doivent évaluer leur situation avec leur propre conseiller juridique.

Quand utiliser ce document

Utilisez ce document lorsque vous devez :

• Exploiter un site de concession automobile en Suisse (configuration typique avec un domaine .ch et le CHF comme devise par défaut).
• Préparer une déclaration de confidentialité axée sur la Suisse pour les demandes, les alertes de recherche et les analyses intégrées.
• Documenter les activités de traitement des données pour un public suisse.
• Confirmer que les contrôles de confidentialité de l'extension sont alignés avec vos directives internes suisses sur la protection des données.

Aperçu

Les fonctionnalités de l'extension relatives à la confidentialité sont les mêmes quelle que soit la juridiction (voir Aperçu du stockage des données et Notes sur le RGPD / DSGVO). Les différences pour un site suisse concernent principalement :

• La dénomination et l'étiquetage — la notification d'administration des analyses de l'extension peut afficher un label suisse revDSG.
• La base légale du traitement — sous la nLPD, une divulgation transparente associée à un but légitime est souvent suffisante, mais des cas spécifiques peuvent toujours nécessiter un consentement explicite.
• La manière dont la déclaration de confidentialité est formulée (responsable du traitement, finalités, destinataires, transferts à l'étranger).

L'extension peut détecter automatiquement une configuration suisse et afficher le label revDSG en conséquence.

Comment l'extension détecte une configuration suisse / nLPD

Le module d'analyse de l'extension comprend un détecteur de juridiction avec l'ordre de résolution suivant :

1. Le remplacement manuel stocké dans l'option as24ci_analytics_privacy_jurisdiction, lorsqu'il n'est pas auto.
2. Le TLD de l'URL de base de l'API AutoScout24 configurée. Les hôtes se terminant par .ch (ou .autoscout24.ch) se résolvent en revdsg.
3. La devise par défaut. CHF se résout en revdsg.
4. Sinon, la valeur se rabat sur d'autres juridictions (gdpr, dsgvo, uk_gdpr) ou sur generic.

Les exploitants peuvent toujours forcer la valeur en réglant l'option **Privacy jurisdiction** sur revdsg dans les réglages d'analyse. Ce réglage est informatif ; il contrôle le label du cadre juridique affiché dans la notification d'administration et ne modifie pas les données collectées.

Comment les sujets de la nLPD s'associent aux fonctionnalités de l'extension

La correspondance ci-dessous décrit comment le comportement de l'extension s'associe aux thèmes courants de la nLPD. Elle est informative et ne remplace pas une évaluation spécifique au projet.

Devoir d'information (transparence)

• Le formulaire de contact prend en charge un label de consentement configurable et une Privacy page URL, qui peut renvoyer vers la déclaration de confidentialité suisse du site.
• L'e-mail de confirmation d'inscription à l'alerte de recherche et l'e-mail de notification contiennent tous deux des liens que l'abonné peut utiliser (confirmer, se désabonner).
• La notification d'administration des analyses de l'extension affiche un label revDSG lorsqu'une configuration suisse est détectée.

Limitation de la finalité et proportionnalité

• Les données de demande sont collectées dans le but de répondre à une demande de renseignements sur un véhicule ou à une demande d'essai routier.
• Les données d'alerte de recherche sont collectées dans le but d'envoyer des e-mails de notification concernant les véhicules correspondants nouvellement importés.
• Les événements d'analyse, lorsqu'ils sont activés, sont des enregistrements d'événements agrégés utilisés pour les analyses internes du site.

Minimisation des données

• Les champs de contact facultatifs (Téléphone, Message) peuvent être masqués afin que seuls le Nom et l'E-mail soient obligatoires.
• L'adresse IP de l'expéditeur n'est pas stockée avec les leads. Un hachage SHA-256 salé de l'IP est utilisé uniquement pour une limitation de débit temporaire via un transitoire WordPress (5 soumissions par IP par 5 minutes).
• Le tableau d'analyse stocke uniquement le type d'événement, les données utiles minimisées facultatives, l'ID du véhicule et l'horodatage. Aucune adresse IP, identifiant d'utilisateur ou cookie n'est stocké côté serveur.
• L'option Filter data minimization supprime les clés de recherche en texte libre (s, search, q) des données utiles de recherche par filtre d'analyse.
• Les critères d'alerte de recherche sont limités à une liste fixe de clés autorisées.

Sécurité du traitement

• Les actions d'administration sont protégées par la capacité manage_as24_imports de l'extension et des nonces WordPress.
• Le formulaire de contact nécessite un nonce et comprend un champ honeypot masqué.
• Le journal d'activité masque les fragments token=…, client_secret=… et Authorization: Bearer … avant l'écriture.
• Voir les Recommandations de sécurité pour les étapes de sécurisation recommandées.

Transferts de données transfrontaliers

• L'extension se connecte à l'API du Hub AutoScout24 pour importer les données des véhicules. Les données transmises à cette API sont des données opérationnelles de la concession (identifiants, références d'annonces), et non des données personnelles des visiteurs du site.
• L'e-mail est envoyé via wp_mail. Le chemin de distribution réel dépend du transport de messagerie du site (par exemple, un service SMTP ou un hébergeur). Si ce transport est situé en dehors de la Suisse, le transfert associé doit être évalué dans votre déclaration de confidentialité.
• La fonctionnalité optionnelle d'assistant IA, lorsqu'elle est activée, envoie des requêtes à l'endpoint Google Gemini géré et configuré dans ADP Car Market Hub. Aucune sélection de fournisseur, sélection de modèle ou saisie de clé API n'est requise dans le back-end WordPress ; le provisionnement de l'IA spécifique au client est effectué par AD Promotion après l'installation. L'endpoint Gemini est généralement hébergé en dehors de la Suisse, le transfert associé doit donc être évalué dans votre déclaration de confidentialité. Désactivez la fonctionnalité si de tels transferts ne sont pas souhaités. Examinez le traitement des données applicable et les conditions contractuelles pour la configuration de l'IA gérée avant d'activer les fonctionnalités d'IA en production.

Droits des personnes concernées

• L'onglet d'administration Leads de l'extension prend en charge la recherche, le filtrage par état, l'exportation CSV et la suppression de leads individuels.
• L'onglet d'administration Search Alerts de l'extension prend en charge la modification, le changement d'état (active, inactive, paused) et la suppression des abonnements.
• L'extension n'enregistre pas de hook d'exportation ou d'effacement de données personnelles WordPress ; les demandes de droits sont traitées manuellement à l'aide des outils ci-dessus. Vérifiez ce comportement dans la version actuelle de l'extension avant de publier une documentation de processus qui en dépend.

Registres des activités de traitement

• Voir l'Aperçu du stockage des données pour un inventaire des catégories de données stockées qui peuvent alimenter les registres internes de la concession.

Référence de configuration

Les réglages les plus pertinents pour une configuration suisse sont :

Notes opérationnelles

• Le cadre de la nLPD prend en charge une combinaison de bases légales différente de celle du RGPD. La question de savoir si votre cas d'utilisation spécifique de suivi ou de marketing nécessite un consentement explicite, un opt-out ou une approche uniquement basée sur la transparence doit être examinée avec votre conseiller juridique.
• Si vous proposez le site web à des visiteurs situés à la fois en Suisse et dans l'UE, le RGPD peut également s'appliquer. En pratique, les exploitants alignent fréquemment leur déclaration et leur interface utilisateur de consentement sur le cadre le plus strict.
• Le sélecteur de juridiction de confidentialité est uniquement un label. Le basculer sur revdsg ne modifie pas les données collectées. Les contrôles opérationnels (activation/désactivation des analyses, conservation, consentement) restent les leviers pertinents.

Étape par étape : aligner l'extension avec une configuration suisse / nLPD

1. Identifiez si le site est destiné à la Suisse (typique : domaine .ch, devise CHF).
2. Dans les réglages d'analyse, laissez Privacy jurisdiction sur auto (il se résoudra en revdsg) ou réglez-le explicitement sur revdsg.
3. Mettez à jour la déclaration de confidentialité du site pour décrire le traitement des demandes, les alertes de recherche et (si activées) les analyses dans la terminologie appropriée pour la Suisse.
4. Dans les réglages du formulaire de contact, définissez la Privacy page URL sur la déclaration de confidentialité suisse et configurez le label de consentement en conséquence.
5. Décidez d'activer ou non les analyses. Si elles sont activées, choisissez entre : - Un fonctionnement basé uniquement sur la transparence (analyses activées, exigence de consentement désactivée, documenté dans la déclaration de confidentialité), ou - Un fonctionnement soumis à consentement (analyses activées, Require consent activé, relié à une extension de gestion du consentement via le filtre as24ci_analytics_consent_check).
6. Définissez la fenêtre de conservation des analyses conformément à votre examen de confidentialité.
7. Documentez un flux de travail manuel pour gérer les demandes d'accès et de suppression à l'aide des onglets d'administration Leads et Search Alerts.

Dépannage

• La juridiction détectée est incorrecte — modifiez Privacy jurisdiction de auto à revdsg dans les réglages d'analyse.
• Un visiteur en Suisse demande à être supprimé — localisez le lead dans l'onglet d'administration Leads et supprimez-le ; demandez au visiteur d'utiliser le lien de désabonnement pour les notifications d'alerte de recherche, ou supprimez son abonnement depuis l'onglet d'administration Search Alerts.
• Le transport de messagerie est situé en dehors de la Suisse — mettez à jour la déclaration de confidentialité pour divulguer le chemin de transfert ; envisagez des alternatives SMTP locales si votre examen de confidentialité l'exige.

Documents connexes

• Aperçu du stockage des données
• Données de contact et consentement
• Conservation des analyses
• Double Opt-In des alertes de recherche
• Notes sur le RGPD / DSGVO
• Recommandations de sécurité
• Contrôle d'accès et capacités