Politique de confidentialité
Qui est responsable de vos données ?
Deux situations coexistent :
- Données de compte et de facturation (identité du manager, e-mail, abonnement) : [À COMPLÉTER : nom ou raison sociale de l’éditeur] est responsable de traitement.
- Données des notes de frais (dépenses, justificatifs, noms des collaborateurs) : l’organisation cliente (l’employeur) est responsable de traitement ; [À COMPLÉTER : nom ou raison sociale de l’éditeur] agit comme sous-traitant et ne les traite que pour fournir le service, sur instruction de l’organisation.
Données traitées et finalités
- Compte : nom, e-mail, rôle, mot de passe (stocké uniquement sous forme chiffrée irréversible) — pour vous authentifier et gérer l’espace. Base légale : exécution du contrat.
- Notifications par e-mail : lorsqu’une note est envoyée, décidée ou remboursée, un e-mail de service est adressé aux personnes concernées (désactivable dans « Mon compte »). Base légale : exécution du contrat.
- Notes de frais : dates, montants, catégories, commentaires, photos ou PDF de justificatifs, historique des décisions — pour saisir, valider et rembourser les dépenses. Base légale : exécution du contrat ; intérêt légitime de l’employeur pour la gestion des frais.
- Sécurité : adresse IP et horodatage des tentatives de connexion (limitation des tentatives, 2 jours maximum). Base légale : intérêt légitime (sécurité du service).
- Paiement (plan Pro) : le paiement est réalisé par Stripe ; nous ne voyons ni ne conservons votre numéro de carte.
Durées de conservation
- Données du compte et des notes : pendant la durée d’utilisation du service, puis effacées à la suppression du compte ou de l’espace (immédiatement dans la base ; les sauvegardes sont purgées sous 4 semaines).
- Les obligations de conservation comptable de l’organisation cliente (pièces justificatives : en général 10 ans) lui incombent : elle doit exporter ses données avant de supprimer son espace. L’application n’est pas un système d’archivage à valeur probante.
- Journal des tentatives de connexion : 2 jours. Liens de réinitialisation : 1 heure.
- Espaces de démonstration : supprimés automatiquement après 24 heures.
Destinataires et transferts
Vos données ne sont ni vendues ni utilisées à des fins publicitaires. Elles sont accessibles aux membres de votre organisation selon leur rôle et aux prestataires strictement nécessaires : hébergeur ([À COMPLÉTER : nom de l’hébergeur]), service d’envoi d’e-mails, et Stripe pour les paiements (société établie aux États-Unis, encadrée par des garanties appropriées de type clauses contractuelles types / cadre de protection des données UE–États-Unis).
Cookies
L’application dépose un unique cookie technique de session, indispensable à la connexion (durée : 14 jours, « HttpOnly »). Aucun cookie publicitaire ni outil de mesure d’audience n’est utilisé ; ce cookie est exempté de consentement. Le paiement Stripe, s’il est utilisé, a lieu sur le site de Stripe, soumis à sa propre politique.
Sécurité
Connexion chiffrée (HTTPS), mots de passe hachés, isolation des données par organisation, accès aux justificatifs réservé aux membres autorisés, limitation des tentatives de connexion, sauvegardes quotidiennes.
Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Depuis la page « Mon compte », vous pouvez télécharger vos données (JSON) et supprimer votre compte en autonomie. Pour toute autre demande : [À COMPLÉTER : e-mail pour les demandes RGPD]. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr). Pour les données de notes de frais, vous pouvez aussi vous adresser à votre employeur.