Politique de confidentialité
Dernière mise à jour : 4 novembre 2026
Cette politique explique quelles données ConformFact traite, pourquoi, où elles sont stockées, combien de temps elles sont conservées et comment exercer vos droits. En résumé : vos données sont stockées dans l'Union européenne, vos factures sont supprimées sous 24 heures, et nous ne vendons aucune donnée.
1. Responsable du traitement
ConformFact, SIREN , . Contact pour toute question relative à vos données : contact.conformfact@gmail.com.
2. Données traitées, finalités, bases légales et durées
| Données | Finalité | Base légale | Conservation |
|---|---|---|---|
| E-mail, nom de société | Création et gestion du compte | Exécution du contrat | Durée du compte, puis 3 ans pour la prospection B2B (opposable à tout moment) |
| Fichiers de factures et données extraites (parties, montants, lignes) | Vérification de conformité demandée | Exécution du contrat | 24 heures maximum, puis suppression automatique |
| Résultat de vérification (statut, score, anomalies, n° de facture) | Historique, quotas | Exécution du contrat | Durée du compte |
| Données d'abonnement et factures d'abonnement | Facturation, comptabilité | Obligation légale | 10 ans (art. L. 123-22 du Code de commerce) |
| Empreinte irréversible de l'e-mail ayant bénéficié d'un essai | Prévention des essais multiples | Intérêt légitime | 3 ans |
| Demandes de support (nom, e-mail, entreprise, message, vérification jointe) | Répondre à vos questions | Exécution du contrat (clients), intérêt légitime (visiteurs) | 3 ans, puis suppression automatique |
| Journaux techniques (adresse IP, date, requête) | Sécurité, prévention des abus | Intérêt légitime | 30 jours maximum |
Les données de carte bancaire sont collectées directement par Stripe : nous n'y avons jamais accès. Le score de conformité porte sur des factures et ne constitue pas une décision individuelle automatisée au sens de l'article 22 du RGPD.
3. Factures de vos clients : nous agissons comme sous-traitant
Les factures que vous transmettez peuvent contenir des données personnelles de vos clients, fournisseurs ou contacts. Pour ces données, vous êtes responsable du traitement et nous sommes votre sous-traitant (art. 28 RGPD) : nous les traitons uniquement pour exécuter la vérification demandée, selon l'accord de sous-traitance annexé aux CGV.
4. Purge automatique sous 24 heures
Chaque facture reçue est enregistrée avec une date d'expiration fixée à 24 heures. Une tâche automatique, exécutée toutes les 15 minutes pour les données extraites et toutes les heures pour les fichiers, supprime définitivement le fichier PDF et son contenu (parties, montants, lignes) dès cette échéance. Seul le résultat (statut, score, liste des anomalies) reste visible dans votre historique. Les sauvegardes techniques de la base de données, chiffrées et inaccessibles au public, peuvent contenir ces données jusqu'à leur écrasement automatique (7 jours) ; les fichiers PDF eux-mêmes n'y figurent pas.
5. Localisation des données
| Donnée | Où |
|---|---|
| Base de données, comptes, historique, fichiers de factures | Union européenne (Paris, eu-west-3) (Supabase) |
| Exécution de l'analyse des factures (serveurs) | Paris, France (Vercel cdg1) |
Vos factures sont stockées et analysées dans l'Union européenne. Certains prestataires sont des sociétés américaines (voir ci-dessous) : les éventuels transferts sont encadrés par le Data Privacy Framework UE–États-Unis et/ou les clauses contractuelles types de la Commission européenne.
6. Sous-traitants
| Prestataire | Rôle | Données concernées |
|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage | Toutes (hébergées en Union européenne (Paris, eu-west-3)) |
| Vercel Inc. | Hébergement du site et de l'API | Requêtes en transit (Paris, France (Vercel cdg1)) |
| Stripe Payments Europe Ltd (Irlande) | Paiement et facturation de l'abonnement | Identité de facturation, paiement |
| Resend | E-mails transactionnels | Adresse e-mail, contenu des e-mails de service |
| Google (Gmail) | Boîte de réception du support | Copie des demandes de support et des réponses |
Les SIREN figurant sur vos factures sont vérifiés auprès de l'API publique « Recherche d'entreprises » de l'État (seul le numéro SIREN est transmis).
7. Sécurité
- Isolation stricte des données de chaque entreprise cliente (Row Level Security PostgreSQL sur toutes les tables et sur le stockage).
- Stockage privé, chiffré au repos ; connexions exclusivement en HTTPS (HSTS).
- Clés API jamais stockées : seule une empreinte cryptographique irréversible (HMAC-SHA256) est conservée.
- Chaque PDF est inspecté avant traitement ; tout contenu actif (JavaScript, actions, pièces jointes suspectes) est refusé.
- Aucune donnée n'est vendue, ni utilisée pour entraîner des modèles d'intelligence artificielle.
8. Cookies
Ce site n'utilise aucun cookie publicitaire, de mesure d'audience ou de réseau social, et ne charge aucune ressource tierce de suivi (les polices de caractères sont hébergées sur nos propres serveurs). Seuls des cookies strictement nécessaires sont déposés ; conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL, ils ne nécessitent pas de consentement.
| Cookie | Finalité | Durée |
|---|---|---|
sb-…-auth-token | Maintenir votre session de connexion | Session, renouvelée tant que vous êtes connecté |
sb-…-code-verifier | Sécuriser le lien de connexion par e-mail | Quelques minutes |
| Cookies Stripe (page de paiement) | Prévention de la fraude au paiement | Déposés uniquement sur checkout.stripe.com |
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
- Effacement immédiat : « Supprimer mon compte » dans votre tableau de bord supprime le compte, les clés API et l'historique.
- Autres demandes : écrivez à contact.conformfact@gmail.com ; réponse sous un mois.
- Réclamation : vous pouvez saisir la CNIL, 3 place de Fontenoy, 75007 Paris — www.cnil.fr.