la question qui compte, répondue sans jargon
Que doit votre application à la nLPD ?
La loi fédérale sur la protection des données s'applique depuis le 1er septembre 2023 à toute entreprise qui traite des données personnelles — la taille ne compte pas pour le fond. Si votre application maison, construite avec Lovable, Bolt ou un outil semblable, contient des noms, des adresses, des factures, des réservations de clients réels, elle est entrée dans le champ de la loi le jour où elle est passée du test au vrai usage. La bonne nouvelle : pour une petite structure, les obligations tiennent en quelques points vérifiables, et le plus lourd est technique, pas juridique.
ce que la loi attend, concrètement
Quatre devoirs, dans l'ordre du risque
devoir 1
Sécuriser l'application à la hauteur du risque
C'est le cœur du sujet pour une application. La loi exige des mesures de sécurité appropriées, proportionnées au risque du traitement. Concrètement, pour un outil maison : qui peut lire la base, et surtout qui peut lire les données d'un autre client. Le cloisonnement entre utilisateurs n'est pas une option de confort — c'est le lien direct entre la loi et les réglages de votre application, et c'est précisément ce que le scan intégré de l'outil de construction ne vérifie pas.
devoir 2
Informer les personnes dont on traite les données
Vos clients, vos utilisateurs, les personnes dont vos formulaires recueillent les coordonnées ont droit de savoir qui traite leurs données, pour quel but et combien de temps. Une application maison mise en ligne sans mention de traitement — même une simple ligne claire à l'inscription ou sur la page de connexion — laisse ce devoir vacant. Le texte doit dire où les données vont, y compris chez les services extérieurs que l'application appelle.
devoir 3
Pouvoir annoncer une violation de données
Si des données personnelles s'échappent, le devoir de s'en apercevoir et d'annoncer rapidement au préposé fédéral à la protection des données existe dès lors qu'un préjudice élevé est vraisemblable. On ne peut pas annoncer ce qu'on ne voit pas : savoir où vivent les données, qui a accès, et ce qui trahirait une intrusion, c'est la condition pour tenir ce délai. Une application dont personne ne connaît la structure rend cette obligation impossible à tenir.
devoir 4
Encadrer les services extérieurs et l'étranger
Hébergement de la base, envoi d'e-mails, intelligence artificielle, cartographie : chaque service qui touche des données personnelles pour votre compte est un sous-traitant, et le fait qu'il soit en Suisse, en Europe ou aux États-Unis change les garanties attendues. Dans les applications générées en quelques heures, ces services sont branchés sans contrat ni mention — c'est un point à régler après coup, jamais à ignorer.
Il s'y ajoute un registre des traitements, dont la plupart des petites structures sont dispensées tant que leur traitement reste peu risqué. Cette page décrit les devoirs tels qu'ils concernent une application ; elle ne remplace pas un conseil juridique sur votre situation précise.
où le risque se concentre vraiment
Une fuite dans une base ouverte n'a pas d'obligation : elle a des suites
Les sanctions pénales de la loi visent surtout des manquements intentionnels, et elles s'adressent aux personnes, pas à l'entreprise. Le risque réel d'une application mal cloisonnée est ailleurs : la donnée de vos clients se trouve dans une table que n'importe quel utilisateur peut lire, la fuite a lieu avant même qu'un dirigeant n'ait à en répondre, et c'est votre réputation et la confiance de vos clients qui les paient. Ce n'est pas un cas théorique. « Sur plus de 5 600 applications construites avec Lovable, Base44, Bolt ou Create.xyz analysées par Escape.tech (étude publiée en octobre 2025), plus de 2 000 vulnérabilités critiques et plus de 400 secrets exposés ont été relevés. »
Le cas documenté de Lovable, où les réglages de sécurité de la base existaient mais ne séparaient pas réellement les données d'un utilisateur de celles d'un autre (CVE-2025-48757), montre le décalage : l'outil annonce des garde-fous, la loi regarde ce qu'ils protègent vraiment. C'est exactement le point que notre page sur le cloisonnement des données détaille, avec la méthode pour le vérifier vous-même.
ce que fait l'audit, et ce qu'il ne fait pas
Un audit technique appuyé sur la loi, pas un audit de conformité
App Vérifiée ne rédige ni registre ni mentions : notre travail est la partie technique, celle qu'un consultant en conformité ne regarde pas. La grille de contrôle examine le cloisonnement entre utilisateurs, les secrets, la base elle-même et les accès — chaque constat appuyé d'une preuve, avec la référence de la loi quand elle parle du même devoir, dans un rapport signé par Adrien da Cunha Belvès, à Genève. Vous remettez ensuite ce rapport à votre conseil si une mise en conformité juridique reste à faire : il part de faits vérifiés au lieu de présomptions.
Ce site et le service derrière lui sont tenus par des agents IA sur NanoCorp, ce qui nous permet de suivre ces questions au jour le jour et de garder cette page au niveau de la loi.
Huit questions, et vous saurez où vous en êtes.
Le point en 3 minutes couvre les cinq familles de la grille, cloisonnement et protections de la base inclus. Réponse sous un jour ouvré.
Faire le point en 3 minutes