Un site qui ne vend rien, n’ouvre aucun compte et n’affiche aucune publicité touche peu de données personnelles, mais il en touche quand même : chaque page ouverte laisse une trace dans les journaux de son hébergeur, la mesure d’audience attend votre accord et un message envoyé nous confie votre adresse. Voici qui traite ces données, dans quel but, où elles vont, combien de temps elles restent et comment faire valoir un droit sur elles.
Sur cette page
Le responsable et les deux lois appliquées
Le responsable du traitement est [OWNER], éditeur du site, comme l’indiquent les mentions légales. Pour une question sur vos données ou l’exercice d’un droit, un message à casinosvizzeri@atomicmail.io, l’adresse de la page Contact, suffit, sans formulaire. L’ordonnance sur la protection des données prévoit en effet que la demande de renseignement et la réponse « peuvent être effectuées par voie électronique » (art. 16, al. 3, OPDo).
La loi est celle du 25 septembre 2020 sur la protection des données (LPD, RS 235.1), en vigueur depuis le 1er septembre 2023 et dite « nouvelle LPD » (nLPD). Son art. 19 oblige le responsable à informer la personne concernée « de manière adéquate », au moins sur son identité et ses coordonnées, la finalité du traitement et les destinataires, et sur l’État de destination lorsque les données partent à l’étranger.
« Lors de la collecte, il communique à la personne concernée les informations nécessaires pour qu’elle puisse faire valoir ses droits selon la présente loi et pour que la transparence des traitements soit garantie ; il lui communique au moins : a. l’identité et les coordonnées du responsable du traitement ; b. la finalité du traitement ; c. le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises. »
Pour les lecteurs qui se trouvent dans l’Union européenne, l’art. 13 du règlement général sur la protection des données (RGPD, règlement 2016/679) s’applique aussi. Il ajoute la base juridique de chaque traitement, la durée de conservation et le droit de réclamation. Cette page répond aux deux listes à la fois.
Ce qu’une visite laisse dans les journaux du serveur
Le site est hébergé sur AWS Amplify, un service d’Amazon Web Services qui livre les pages par le réseau de distribution Amazon CloudFront et enregistre les requêtes dans ses « logs » d’accès (les journaux techniques du service). Chaque ligne, au format des journaux standard de CloudFront auquel renvoie la documentation d’Amplify, contient la date et l’heure, l’adresse IP de la requête, la page demandée, la page de provenance (le champ « Referer »), l’identification du navigateur (le champ « User-Agent ») et le nœud du réseau qui a répondu.
Ces données servent à livrer la page, à comprendre une erreur et à repérer un abus, comme une rafale de requêtes automatiques. Nous ne les exploitons pas pour savoir qui a lu quoi. Au sens du RGPD, leur base juridique est l’« intérêt légitime » du responsable au fonctionnement et à la sécurité du site (art. 6, paragraphe 1, point f).
Selon AWS, Amplify conserve les journaux d’une application « until you delete the app », donc tant qu’elle existe, et nous ne connaissons aucun moyen de raccourcir ce délai. C’est l’information la moins commode de cette page.
Le contrat avec Amazon Web Services est celui du responsable, et la société du groupe qui le signe dépend du pays du compte. Pour les comptes de la zone « EMEA » d’AWS, Suisse comprise, c’est Amazon Web Services EMEA SARL, établie à Luxembourg, ailleurs une autre société du groupe, comme Amazon Web Services, Inc., aux États-Unis.
La mesure d’audience, seulement après « Accepter »
Pour savoir quelles pages sont lues, nous utilisons Google Analytics 4, chargé par Google Tag Manager, mais seulement après un clic sur « Accepter » dans le bandeau des cookies. Avant votre choix, et après un « Refuser », le conteneur de Tag Manager (GTM-K5V5LRC2) ne se charge pas et la propriété Analytics (G-21SM8FNRVL) ne reçoit rien.
La base est votre consentement, celui de l’art. 6, paragraphe 1, point a, du RGPD, et pour le droit suisse l’un des motifs justificatifs de l’art. 31 nLPD. Vous le retirez à tout moment avec le bouton de la page sur les cookies, qui rouvre le bandeau, car selon l’art. 7 du RGPD « il est aussi simple de retirer que de donner son consentement ». Le retrait vaut pour l’avenir et ne rend pas illicite la mesure antérieure.
Avec votre consentement, Google reçoit l’adresse des pages vues et celle de la page de provenance, les interactions que Tag Manager détecte de lui-même, le type d’appareil avec le système d’exploitation, le navigateur et la résolution de l’écran, ainsi qu’une position approximative, la ville, déduite de l’adresse IP. Ces interactions sont le défilement jusqu’au bas d’une page, le clic sur un lien vers un autre site, la lecture d’une vidéo, le téléchargement d’un fichier et d’autres événements dans la page, mais pas celles des formulaires, comme les calculateurs, dont les chiffres ne quittent de toute façon pas la page.
D’après Google, Analytics « n’enregistre ni ne stocke aucune adresse IP » des utilisateurs situés dans l’UE, en Suisse ou au Royaume-Uni : il s’en sert sur des serveurs de ces mêmes régions pour déduire la position, puis les supprime.
Après votre accord, le navigateur reçoit deux cookies d’Analytics, « _ga » et un second dont le nom commence par « _ga_ », décrits avec leur durée sur la page des cookies. Votre nom ne figure dans aucune donnée de mesure. Dans la propriété, les « Google Signals » (qui relieraient les visites aux comptes Google) sont désactivés, comme la collecte des « données fournies par les utilisateurs », désactivée aussi dans Tag Manager. Pour en être exclu, le plus simple est de refuser ou de retirer votre consentement, puis d’effacer les cookies du site.
Google traite ces données en qualité de « sous-traitant » pour le compte du responsable, selon les conditions de traitement des données de ses services de mesure et de publicité (Google Ads Data Processing Terms, version 8.0 du 30 mai 2024), qui tiennent compte aussi du droit suisse. Les données liées à chaque utilisateur et à chaque événement restent conservées pendant la durée réglée dans la propriété (quatorze mois), alors que les rapports agrégés ne sont pas touchés par ce délai. Le bandeau signale en outre à Google comme refusés les trois consentements publicitaires de son « mode de consentement », et le site n’affiche aucune publicité.
Sans cookie et hors de la mesure, le navigateur ne retient que la langue que vous choisissez dans le sélecteur IT · DE · FR ou dans la barre qui propose celle de votre navigateur : il la garde dans sa mémoire locale (localStorage, clé cs_lingua), ne l’envoie à personne, pas même à nous, et l’oublie quand on efface les données du site.
Le courrier que la rédaction reçoit
Qui écrit à casinosvizzeri@atomicmail.io nous confie son adresse, son nom s’il l’indique et le contenu du message, des données qui servent uniquement à répondre et, lorsqu’un signalement mène à une correction, à en garder l’origine. Nous les conservons le temps nécessaire avant de les effacer, et aucune adresse n’entre dans une liste ou dans un envoi non sollicité. Le site n’a d’ailleurs pas de lettre d’information, et au sens du RGPD ce traitement repose sur l’intérêt légitime à répondre aux messages reçus.
La boîte est hébergée par AtomicMail Systems OÜ, à Tallinn (Estonie), qui selon sa politique de confidentialité, mise à jour le 23 septembre 2026, conserve les messages chiffrés dans un « User Vault » sur ses propres serveurs, dans ses propres centres de données, sans pouvoir en lire le contenu, et garde les journaux de messagerie sept jours.
Qui reçoit les données, et dans quels pays
Les destinataires sont ces trois prestataires et personne d’autre : Amazon Web Services pour l’hébergement, Google pour la mesure (avec votre consentement seulement) et AtomicMail pour le courrier. Nous ne vendons aucune donnée, n’en transmettons pas aux exploitants de jeux (le site n’a aucun lien avec eux, comme l’explique la page de la rédaction) et ne les communiquons à personne d’autre, sauf obligation légale.
L’Estonie, le Luxembourg et les autres États de l’Union figurent sur la liste des États dont la protection des données est adéquate (annexe 1 OPDo, RS 235.11), qui inclut depuis le 15 septembre 2024 les États-Unis pour les organisations certifiées selon le « cadre de protection des données entre la Suisse et les États-Unis ». Google LLC et le groupe Amazon, dont AWS fait partie, disposent de cette certification et de celle du cadre entre l’Union et les États-Unis, reconnu par la Commission européenne dans sa décision d’exécution 2023/1795 du 10 juillet 2023. Leurs contrats prévoient en outre des « clauses contractuelles types » pour les transferts qu’aucune décision d’adéquation ne couvre.
Ce cadre a été contesté devant les juridictions de l’Union : le 3 septembre 2025, le Tribunal a rejeté le recours contre la décision (affaire T-553/23), et un pourvoi contre cet arrêt a été formé devant la Cour de justice (affaire C-703/25 P). Si la décision tombait, ou si le Conseil fédéral retirait les États-Unis de la liste, nous l’écririons ici.
Les droits des lecteurs
Selon la nLPD, toute personne peut demander au responsable si des données la concernant sont traitées, et elle reçoit gratuitement les informations de l’art. 25 (les données elles-mêmes, la finalité, la durée de conservation, les destinataires, les États), dans ce délai : « En règle générale, les renseignements sont fournis dans un délai de 30 jours ». Elle peut aussi exiger la rectification des données inexactes et demander au juge civil d’interdire un traitement ou d’ordonner l’effacement (art. 32 nLPD).
Les personnes qui se trouvent dans l’Union disposent en plus des droits des art. 15 à 21 du RGPD, soit l’accès, la rectification, l’effacement, la limitation, la portabilité et l’opposition au traitement fondé sur l’intérêt légitime, avec une réponse due « dans les meilleurs délais » et au plus tard « dans un délai d’un mois à compter de la réception de la demande » (art. 12, paragraphe 3). Nous ne prenons aucune « décision individuelle automatisée » et ne profilons pas les lecteurs.
Rien ne vous oblige à nous donner des données. Sans consentement, le site se lit en entier, et écrire à la rédaction reste votre choix.
Si notre réponse ne vous suffit pas
En Suisse, la voie est une dénonciation au Préposé fédéral à la protection des données et à la transparence (PFPDT, Feldeggweg 1, 3003 Berne), qui ouvre une enquête « d’office ou sur dénonciation » lorsque des indices suffisants font penser à une violation (art. 49 nLPD) et informe la personne concernée des suites données. Il faut toutefois savoir que l’auteur d’une dénonciation n’est pas partie à la procédure (art. 52 nLPD) et n’a, selon la page du PFPDT, « pas de droit à obtenir une intervention du PFPDT ».
Le PFPDT vous demande aussi de vous adresser d’abord au responsable, il intervient seulement en cas de « violation importante de la LPD », et pour un litige individuel, comme une demande de réparation, la voie reste le juge civil. Le formulaire pour les personnes concernées se trouve sur la page du PFPDT consacrée aux dénonciations, à lire en entier avant d’écrire. Elle dit franchement ce que l’autorité peut faire et ce qu’elle ne peut pas faire.
« Le PFPDT ouvre d’office ou sur dénonciation une enquête contre un organe fédéral ou une personne privée si des indices suffisants font penser qu’un traitement de données pourrait être contraire à des dispositions de protection des données. »
Dans l’Union européenne, toute personne peut introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, « sans préjudice de tout autre recours administratif ou juridictionnel » (art. 77 RGPD).
« Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. »
Quand cette page change
Si un prestataire, une finalité ou une durée de conservation change, cette page change aussi, et un consentement donné ne vaut pas pour d’autres usages. Pour laisser au site le moins possible, vous avez déjà tout en main : lire sans accepter les cookies, retirer votre accord quand vous voulez et nous écrire seulement si vous avez quelque chose à dire.
Texte de la rédaction de Casinò Svizzeri, mis à jour le 9 novembre 2026. Aucun exploitant, aucun lien d’affiliation, aucune publicité : notre méthode.