Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est la SARL JFC IMPORT (SIREN 538 334 624), 27 RUE DOMBASLE, 75015 PARIS, France.

Contact : contact@facturer.eu

2. Données collectées

Facturer collecte uniquement les données nécessaires au service :

• Compte utilisateur : email, mot de passe chiffré.
• Données entreprise : raison sociale, SIREN, numéro de TVA, adresse, coordonnées bancaires.
• Données clients/fournisseurs : nom, adresse, email, téléphone, identifiants fiscaux.
• Données de facturation :devis, factures, avoirs, paiements, relances (y compris les brouillons de relances contenant l'email du client, l'objet et le corps du message).
• Données bancaires (si vous connectez un compte via Bridge) : identifiants de comptes et transactions importées (montants, dates, libellés d'opérations pouvant mentionner des tiers), utilisées uniquement pour le rapprochement avec vos factures.
• Justificatifs de dépenses : photos de tickets et factures fournisseurs que vous importez, ainsi que les données extraites (fournisseur, SIRET, montants, date) si vous activez la lecture automatique (OCR).
• Données de paiement (si vous activez l'encaissement par carte) : les paiements de vos clients sont collectés directement par Stripe sur ses pages de paiement ; Facturer ne stocke aucun numéro de carte, uniquement le statut et le montant du paiement.
• Données techniques :logs d'accès limités à la sécurité (adresse IP, horodatage).

3. Finalités du traitement

• Fournir le service de facturation (création, envoi, archivage).
• Permettre l'authentification et la sécurité du compte.
• Respecter les obligations légales comptables et fiscales françaises.
• Communiquer avec l'utilisateur (support, notifications).

4. Base légale

• Exécution du contrat : fourniture du service souscrit, y compris les fonctionnalités optionnelles que vous activez (rapprochement bancaire via Bridge, encaissement par carte via Stripe, transmission e-facture via la Plateforme Agréée).
• Obligation légale : conservation des pièces comptables (Code de commerce, art. L123-22) et facturation électronique.
• Intérêt légitime :sécurité, prévention de la fraude et journal d'audit des actions sensibles.
• Consentement :lecture automatique des justificatifs de dépenses (OCR), qui implique un transfert de l'image vers Anthropic (États-Unis). Ce consentement est recueilli explicitement avant la première analyse et peut être retiré à tout moment depuis l'écran de scan.

5. Hébergement, destinataires et localisation des données

Vos données sont hébergées physiquement dans l'Union européenne :

• Base de données : Supabase, région Irlande (UE).
• Compute applicatif : Vercel, région cdg1 Paris (France).
• Envoi d'emails transactionnels : Resend (société américaine), domaine d'envoi configuré en région Irlande (UE) ; le routage via l'API Resend peut impliquer un traitement transitoire hors UE.

Selon les fonctionnalités que vous utilisez, vos données sont également transmises aux destinataires suivants :

• Stripe(Stripe Payments Europe Ltd, Irlande) : paiement de votre abonnement Facturer et, si vous activez l'encaissement par carte (Stripe Connect), traitement des paiements de factures réglés par vos clients.
• Bridge(Bridge SAS, France) : agrégation bancaire DSP2 et import de vos transactions, uniquement si vous connectez un compte bancaire.
• Anthropic(États-Unis) : lecture automatique des justificatifs de dépenses (OCR), uniquement avec votre consentement explicite — transfert hors UE encadré conformément au chapitre V du RGPD.
• SUPER PDP(Plateforme Agréée immatriculée DGFiP) : transmission de vos factures électroniques et consultation de l'annuaire des entreprises raccordées (vérification qu'un client peut recevoir des factures électroniques, à partir de son SIRET), si vous activez l'e-facturation.

Certains de nos sous-traitants techniques ont une maison-mère établie aux États-Unis et peuvent, à ce titre, être soumis à des législations d'accès extraterritoriales (ex. CLOUD Act). Ces accès potentiels sont encadrés conformément au chapitre V du RGPD ; le détail des sous-traitants et des garanties figure dans notre DPA. Dans le cadre du fonctionnement normal du service, les données restent hébergées dans l'Union européenne.

L'accord de traitement des données (DPA) au sens de l'article 28 du RGPD est consultable en ligne sur cette page. Il s'applique automatiquement à tout utilisateur du service.

6. Durée de conservation

• Factures, devis, avoirs et pièces comptables : 10 ans à compter de la clôture de l'exercice (obligation légale française, art. L123-22 du Code de commerce).
• Données de compte :conservées tant que le compte est actif, puis supprimées sous 30 jours après résiliation (sauf pièces comptables soumises à l'obligation de 10 ans).
• Justificatifs de dépenses : même durée que les pièces comptables (10 ans). Les images transmises pour la lecture automatique (OCR) ne sont pas conservées par Facturer au-delà du justificatif lui-même.
• Transactions bancaires importées (Bridge) : conservées tant que la connexion bancaire existe ; leur suppression est automatique (cascade) avec celle de la connexion bancaire. Vous pouvez en demander la suppression à tout moment (voir section 7).
• Brouillons de relances :expirent automatiquement 72 heures après leur proposition s'ils ne sont pas validés.
• Historique d'envoi des relances : conservé 24 mois (journal technique de suivi), puis supprimé.
• Notes internes sur vos clients :conservées tant que votre compte est actif ; supprimées avec la fiche client concernée ou lors de la résiliation de votre compte.
• Logs techniques : 12 mois maximum.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès
• Droit de rectification
• Droit à l'effacement (sous réserve des obligations légales de conservation)
• Droit à la portabilité
• Droit d'opposition et de limitation du traitement
• Droit d'introduire une réclamation auprès de la CNIL

Pour exercer vos droits, écrivez à contact@facturer.eu. Une réponse vous sera apportée sous 30 jours maximum.

La société n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité et de sa taille (art. 37 du RGPD). Le point de contact pour toute question relative aux données personnelles est contact@facturer.eu.

Absence de décision automatisée :Facturer ne prend aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé, au sens de l'article 22 du RGPD. Les traitements assistés par intelligence artificielle (lecture automatique des justificatifs de dépenses, extraction d'un brouillon de facture à partir d'un email) ne produisent que des propositions modifiables, toujours soumises à votre validation avant tout effet.

8. Cookies

Facturer utilise uniquement les cookies strictement nécessaires au fonctionnement du service :

• Cookie de session Supabase Auth :indispensable à l'authentification.
• Cookies techniques de connexion à la plateforme agréée (SUPER PDP) : posés uniquement le temps de connecter votre accès à la plateforme de dématérialisation (protocole OAuth : superpdp_state, superpdp_verifier, superpdp_company). Strictement nécessaires à la sécurité de cette connexion, chiffrés (httpOnly) et supprimés automatiquement après 10 minutes.

Un seul autre cookie peut être posé, et uniquement si vous arrivez sur le site par le lien d'un partenaire du programme créateurs :

• Cookie d'attribution du programme créateurs (fct_aff) : posé lorsque vous ouvrez une adresse de la forme facturer.eu/?p=CODE, il contient le seul code du partenaire— aucun identifiant de visiteur, aucune donnée de navigation. Il permet d'appliquer la remise annoncée par ce partenaire si vous créez un compte et de lui attribuer sa commission. Il est first-party, inaccessible au JavaScript de la page (httpOnly), expire au bout de 90 jours et n'est jamais réécrit ensuite. Le refuser ou le supprimer dans votre navigateur n'empêche pas d'utiliser le service.

Aucun cookie publicitaire, aucun traceur tiers, aucun profilage. Tous les cookies posés par Facturer sont first-party et listés ci-dessus. Aucun consentement n'est requis pour les cookies strictement nécessaires.

Mesure d'audience du site :les pages publiques utilisent Vercel Web Analytics, une mesure d'audience sans cookie ni identifiant persistant(pages vues, source de visite, type d'appareil), fondée sur notre intérêt légitime (art. 6.1.f du RGPD). Les adresses des pages contenant un jeton d'accès à un document partagé sont anonymisées avant tout envoi. Ces données agrégées sont traitées par Vercel Inc. (États-Unis) ; ce transfert est encadré par le Data Privacy Framework UE-États-Unis (cf. section sous-traitants).

Mesure d'usage interne :afin d'améliorer le service, nous enregistrons côté serveur des événements d'utilisation des fonctionnalités (ex. : « une facture a été créée »), rattachés à votre compte. Cette mesure repose sur notre intérêt légitime (art. 6.1.f du RGPD), n'utilise aucun cookie ni outil tiers, ne contient ni le contenu de vos documents ni de données de vos clients, ne quitte jamais notre hébergement européen, et est supprimée automatiquement au bout de 13 mois. Elle disparaît avec votre compte en cas de suppression.

9. Programme créateurs (affiliation)

Cette section ne concerne pas les utilisateurs du service, mais les créateurs de contenu partenairesqui signent un contrat d'affiliation avec Facturer. Ce contrat écrit est imposé par l'article 8 de la loi n° 2023-451 du 9 juin 2023 dès qu'une personne est rémunérée pour promouvoir un produit.

Données traitées :identité et forme juridique, numéro SIREN/SIRET, adresse, date de naissance, email, téléphone, plateforme et nom de compte, résidence fiscale, IBAN de versement des commissions, valeur des avantages en nature éventuels, ainsi que le dossier de signature électronique (exemplaire exact du contrat accepté, son empreinte SHA-256, l'horodatage, l'adresse IP, l'agent utilisateur, l'adresse email à laquelle le code de vérification a été envoyé et les cases d'attestation cochées). Une pièce d'identitéest téléversée au moment de la signature, pour vérifier l'identité et la majorité du partenaire.

Bases légales :l'exécution du contratd'affiliation (art. 6.1.b du RGPD) pour sa conclusion, son exécution et le versement des commissions ; l'obligation légale(art. 6.1.c) pour l'écrit imposé par la loi n° 2023-451 et pour les pièces comptables ; l'intérêt légitime (art. 6.1.f) pour la vérification de la capacité du cocontractant et la conservation de la preuve du contrat. Ce traitement ne repose pas sur le consentement.

Durées de conservation :la copie de la pièce d'identité est supprimée automatiquement dès que 90 jours se sont écoulés depuis la signature, par une purge quotidienne ; seul un procès-verbal de vérification (type de pièce, échéance, date et résultat du contrôle) est ensuite conservé. Le contrat et son dossier de signature sont conservés pendant la durée du contrat, puis archivés cinq ans à compter de son terme. Les décomptes et factures de commission relèvent de la conservation comptable de dix ans.

Destinataires :les mêmes sous-traitants techniques que le reste du service (base de données et stockage Supabase en Irlande, compute Vercel à Paris, envoi du code de vérification et de l'exemplaire signé par Resend), plus l'établissement bancaire par lequel les commissions sont versées. La pièce d'identité est déposée dans un espace de stockage privé, jamais accessible par une adresse publique. Aucune donnée n'est transmise à des fins commerciales tierces.

Un partenaire n'a accès à aucune donnée d'abonné : le récapitulatif qui lui est remis est agrégé et ne comporte ni identité, ni raison sociale, ni coordonnées de client. Les attributions reposent sur le seul cookie décrit à la section 8, et aucune autre technique de suivi n'est mise en œuvre.

Les droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité s'exercent auprès de contact@facturer.eu, sous réserve des conservations imposées par la loi ou nécessaires à la preuve du contrat.

10. Sécurité

Les données sont protégées par chiffrement en transit (TLS 1.3) et au repos. Les accès sont protégés par authentification, contrôle d'accès au niveau base de données (Row Level Security) et audit.