Politique de Confidentialité

Données de Compte et de Contact

• Email, nom, téléphone : Pour la création de compte, l'authentification et les communications de service
• Informations de paiement : Traitées de manière sécurisée par Stripe (notre processeur de paiement) ; nous ne stockons pas les détails complets de carte
• Détails de l'organisation : Nom de société, adresse, numéros de TVA/fiscaux pour la génération de factures et la conformité

Données de Factures et Commerciales

• Factures, devis, dépenses : Toutes les données que vous créez, y compris les lignes, montants, informations clients
• Pièces jointes : Fichiers que vous téléchargez (reçus, contrats, documents justificatifs)
• Métadonnées de facturation électronique : Statut de livraison, horodatages, informations de routage réseau

Données d'Utilisation et Techniques

• Journaux : Adresses IP, type de navigateur, heures d'accès, utilisation des fonctionnalités
• Données de performance : Rapports d'erreurs, diagnostics, métriques d'utilisation de l'API
• Événements de sécurité : Tentatives de connexion, événements d'authentification, modifications de permissions

Base Légale (RGPD) :

• Contrat : Traitement nécessaire pour fournir le service de facturation pour lequel vous vous êtes inscrit
• Obligation légale : Conformité aux lois fiscales, de facturation et de tenue de registres
• Intérêts légitimes : Amélioration du service, surveillance de la sécurité, prévention de la fraude (équilibrés contre vos droits)
• Consentement : Fonctionnalités et communications optionnelles auxquelles vous optez explicitement

Chiffrement et Sécurité

• TLS 1.3 : Toutes les données en transit sont chiffrées en utilisant les dernières normes TLS
• AES-256 : Toutes les données au repos sont chiffrées en utilisant le chiffrement AES-256 de niveau bancaire
• KMS (Service de Gestion de Clés) : Pour les données hautement sensibles, le chiffrement côté client avec stockage de clés matériel est disponible
• Authentification à Deux Facteurs : Options 2FA basées sur application (TOTP) et email
• Contrôle d'Accès Basé sur les Rôles : Permissions granulaires par utilisateur et organisation
• Journaux d'Audit : Suivi complet des activités pour la conformité et la surveillance de sécurité

Hébergement et Infrastructure

• Hébergement basé dans l'UE : Toutes les données sont stockées dans des centres de données de l'Union Européenne avec des contrôles d'accès stricts
• Sauvegardes automatisées : Sauvegardes chiffrées quotidiennes avec rétention de 30 jours (Gratuit/Pro) ou 90 jours+ (Business/Enterprise)
• Audits de sécurité réguliers : Tests de pénétration par des tiers et évaluations de vulnérabilité
• SOC 2 Type II : Certification en cours (prévue T3 2026)

Isolation Multi-Organisation

Chaque requête de base de données est limitée à votre organisation. Les utilisateurs d'une organisation ne peuvent pas accéder aux données d'une autre organisation, même s'ils partagent le même domaine email.

Nous ne vendons PAS vos données. Nous ne partageons des données qu'avec des prestataires de services de confiance nécessaires pour fournir notre service :

Prestataires de Services Essentiels

• Storecove (Réseaux de Facturation Électronique) : Lorsque vous envoyez ou recevez des factures électroniques via PEPPOL, Singapore InvoiceNow, France Chorus Pro ou d'autres réseaux, vos données de factures sont transmises via l'infrastructure de Storecove. Storecove agit comme notre fournisseur d'accès aux réseaux de facturation électronique. Consultez leur politique de confidentialité sur storecove.com/privacy
• Stripe (Traitement des Paiements) : Les informations de paiement (cartes, coordonnées bancaires) sont traitées par Stripe. Nous ne recevons que des références tokenisées ; nous ne stockons pas les numéros de carte complets. Consultez la politique de confidentialité de Stripe sur stripe.com/privacy
• Infrastructure Cloud : Hébergement et stockage chiffrés avec des fournisseurs basés dans l'UE, sous des accords de traitement de données (DPAs) stricts et des clauses contractuelles types (SCCs) conformes au RGPD
• Service Email : Les emails transactionnels (reçus, notifications, réinitialisations de mot de passe) sont envoyés via des fournisseurs d'infrastructure email sous DPAs

Divulgations Légales

Nous pouvons divulguer des données lorsque requis par la loi (ordonnance du tribunal, assignation, demande de l'autorité fiscale) avec autorisation légale appropriée. Nous vous notifierons sauf si interdit par la loi.

Transferts Internationaux

Les données sont hébergées dans des centres de données de l'UE par défaut. Si des données sont transférées en dehors de l'Espace Économique Européen (par exemple, vers des sous-traitants ou services de support), nous utilisons des garanties approuvées par le RGPD : Clauses Contractuelles Types (SCCs), décisions d'adéquation ou protections équivalentes. L'accès est limité à ce qui est strictement nécessaire.

Conservation par Plan

• Plans Gratuit et Pro : Stockage opérationnel uniquement. Pas de garantie d'archivage à long terme. Lors de l'annulation ou de la rétrogradation du compte, vous disposez d'une période de grâce de 30 jours pour exporter vos données. Après 30 jours, les données peuvent être définitivement supprimées.
• Plans Business et Enterprise : Incluent Archive-Vault avec garantie de conservation de 10 ans, stockage inviolable et exports conformes aux audits. Lors de l'annulation, vous disposez d'une fenêtre d'export de 90 jours. Archivage étendu disponible sur demande.
• Conservation Légale : Si vous êtes soumis à des exigences de conservation légale (par exemple, 7-10 ans pour les factures), vous restez responsable de la conformité sur les plans Gratuit/Pro. Archive-Vault (Business/Enterprise) fournit un archivage de qualité conforme.

Vos Droits (RGPD)

Vous avez le droit de :

• Accès : Demander une copie de toutes les données personnelles que nous détenons sur vous
• Rectification : Corriger les données inexactes ou incomplètes
• Effacement : Demander la suppression de vos données (sous réserve d'obligations de conservation légales)
• Portabilité : Exporter vos données dans des formats standard (JSON, CSV, PDF, UBL XML)
• Limitation : Limiter la façon dont nous traitons vos données dans certaines circonstances
• Opposition : S'opposer au traitement basé sur des intérêts légitimes
• Retrait du Consentement : Retirer le consentement pour les fonctionnalités optionnelles à tout moment
• Déposer une Plainte : Déposer une plainte auprès de votre autorité locale de protection des données

Pour exercer vos droits : Envoyez un email à privacy@encryptinvoice.com ou dpo@encryptinvoice.com. Nous répondrons dans les 30 jours et pourrons vérifier votre identité pour des raisons de sécurité.

Notification de Violation

Si une violation de données affectant vos données personnelles se produit, nous vous notifierons sans délai indu et, lorsque requis par la loi, dans les 72 heures suivant la prise de connaissance. Nous expliquerons la nature de la violation, les conséquences probables et les mesures d'atténuation prises.

Cookies Essentiels Uniquement

Nous utilisons des cookies essentiels pour :

• Authentification et gestion de session
• Sécurité et prévention de la fraude (jetons CSRF)
• Mémorisation de vos préférences (langue, mode sombre, fuseau horaire)

Nous n'utilisons PAS : De cookies publicitaires, de pixels de suivi ou d'analyses tierces à ce jour. Si nous introduisons des cookies non essentiels à l'avenir, nous fournirons une bannière de consentement et mettrons à jour cette politique.

Communications Marketing

Nous pouvons vous envoyer des mises à jour produit, des annonces de fonctionnalités et du contenu éducatif si vous optez. Vous pouvez vous désinscrire à tout moment via le lien dans chaque email ou en contactant le support.

Confidentialité des Enfants

EncryptInvoice est un outil professionnel non destiné aux utilisateurs de moins de 18 ans. Nous ne collectons pas sciemment de données auprès d'enfants.

Modifications de Cette Politique

Nous pouvons mettre à jour cette Politique de Confidentialité pour refléter les changements dans nos pratiques ou les exigences légales. Les modifications significatives seront communiquées par email et affichées de manière visible sur notre plateforme. L'utilisation continue après les modifications constitue l'acceptation.

Contact et Responsable du Traitement

Responsable du Traitement : EncryptInvoice SAS

Délégué à la Protection des Données : dpo@encryptinvoice.com

Demandes de Confidentialité : privacy@encryptinvoice.com

Support Général : support@encryptinvoice.com

Représentant UE : [À désigner si requis]
Autorité de Contrôle : Vous pouvez déposer des plaintes auprès de votre autorité locale de protection des données ou de l'autorité de notre juridiction.