Politique de confidentialité

Introduction

La présente politique de confidentialité décrit comment ComptaFlow (ci-après « nous », « notre ») collecte, utilise et protège vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

Responsable de traitement

Le responsable de traitement est HMN, domicilié au 12 rue de la Part-Dieu, 69003 Lyon, France, joignable à l'adresse contact@mycomptaflow.com. Pour toute question relative à vos données personnelles, vous pouvez nous contacter à cette adresse.

Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

• Adresse email — pour l'authentification et les communications
• Nom de votre activité — pour personnaliser votre espace de travail
• Langue préférée — pour afficher l'interface dans votre langue
• Mot de passe — stocké sous forme de hash irréversible (bcrypt, 12 rounds)
• Données de paiement — traitées exclusivement par Stripe (nous ne stockons jamais vos coordonnées bancaires)
• Journaux de sécurité — adresse IP et navigateur utilisé, pour détecter les accès non autorisés
• Préférence de rappel des échéances URSSAF — votre périodicité de déclaration (mensuelle ou trimestrielle), uniquement si vous activez les rappels par email ; aucun montant n'est transmis

Données stockées localement (IndexedDB)

Vos données métier (clients, devis, factures, encaissements, achats, déclarations, justificatifs) sont stockées sur votre appareil via IndexedDB. Elles ne sont transmises à nos serveurs que dans quatre cas : les sauvegardes cloud et les justificatifs, chiffrés de bout en bout (AES-256-GCM) avant l'envoi — nous ne pouvons pas en lire le contenu ; l'envoi par email d'un devis ou d'une facture à votre demande, où le document et l'adresse du destinataire transitent par nos serveurs le temps de l'acheminement, sans stockage durable ; la transmission d'une facture électronique à votre demande, où la facture transite par nos serveurs vers la plateforme agréée SUPER PDP, sans stockage durable ; et la recherche facultative d'une entreprise dans l'annuaire public (recherche-entreprises.api.gouv.fr), interrogé directement par votre navigateur.

Finalités du traitement

• Authentification et gestion de votre compte
• Gestion de votre abonnement et facturation
• Sauvegarde chiffrée de vos données (optionnelle)
• Sécurité et détection de fraude (journaux d'audit)
• Envoi de la newsletter (uniquement si vous y avez consenti)
• Rappel par email des échéances de déclaration URSSAF, à J-7 et J-1 (uniquement si vous l'avez activé)

Bases légales

• Exécution du contrat (Art. 6.1.b RGPD) — pour la gestion du compte et de l'abonnement
• Consentement (Art. 6.1.a RGPD) — pour la newsletter et les rappels d'échéances URSSAF
• Intérêt légitime (Art. 6.1.f RGPD) — pour les journaux de sécurité
• Obligation légale (Art. 6.1.c RGPD) — pour la conservation des données de paiement (10 ans)

Mesure d'audience

Le site et l'application mesurent leur audience avec Plausible, outil sans cookie et sans suivi d'une visite à l'autre, auto-hébergé sur un serveur de HMN. Aucune donnée métier n'est transmise : seuls la page consultée, la provenance et des événements anonymes (inscription, abonnement) sont comptés.

Sous-traitants et tiers

Vos données peuvent être partagées avec les sous-traitants suivants, dans le strict cadre de leurs missions :

• Stripe Inc. (USA) — traitement des paiements, encadré par les Clauses Contractuelles Types (CCT)
• Prestataire d'envoi d'emails Hostinger International Ltd (Chypre), serveurs de messagerie dans l'Union européenne — emails transactionnels (vérification, réinitialisation, rappels) et acheminement des devis et factures que vous envoyez par email à vos clients
• Hébergeur du service : Hostinger International Ltd, 61 Lordou Vironos Street, 6023 Larnaca, Chypre — serveur situé à Francfort-sur-le-Main, Allemagne (Union européenne).
• SUPER PDP (France) — plateforme agréée de facturation électronique : transmission et réception de vos factures électroniques, sur votre instruction, après raccordement de votre entreprise
• Annuaire public des entreprises (recherche-entreprises.api.gouv.fr, État français) : interrogé par votre navigateur quand vous recherchez un client ou vérifiez un SIRET.

Durées de conservation

• Données de compte — jusqu'à la suppression de votre compte ; un compte dont l'adresse n'a jamais été vérifiée est supprimé après 30 jours
• Journaux de sécurité — 13 mois (conformément aux recommandations CNIL)
• Données de paiement — 10 ans dans la comptabilité de HMN et chez Stripe (obligation légale comptable française) ; dans l'application, l'historique des paiements disparaît avec le compte
• Données de session et tokens temporaires — durées courtes, supprimés automatiquement après expiration
• Newsletter — jusqu'à votre désinscription, puis 3 mois (preuve de désinscription)
• Préférence de rappel URSSAF — jusqu'à sa désactivation ou la suppression du compte

Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès — consultez vos données depuis la page Compte (export JSON)
• Droit de rectification — modifiez le nom de votre activité et vos coordonnées dans la page Compte ; pour changer l'adresse email de votre compte, écrivez-nous à contact@mycomptaflow.com
• Droit à l'effacement — supprimez votre compte et toutes vos données depuis la page Compte (votre mot de passe est demandé) ; vous pouvez aussi effacer les données locales d'un appareil sans supprimer le compte
• Droit à la portabilité — exportez vos données en JSON ou CSV depuis la page Compte
• Droit d'opposition — désinscrivez-vous de la newsletter à tout moment
• Droit à la limitation — contactez-nous à contact@mycomptaflow.com

Pour exercer vos droits, utilisez les fonctionnalités de la page Compte ou contactez-nous à contact@mycomptaflow.com. Nous répondrons dans un délai de 30 jours.

Mesures de sécurité

• Communication chiffrée HTTPS/TLS avec HSTS
• Mots de passe hashés avec un algorithme robuste et irréversible selon les recommandations actuelles de l'ANSSI
• Sauvegardes et justificatifs chiffrés de bout en bout (AES-256-GCM) avec une clé dérivée de votre mot de passe (PBKDF2, 600 000 itérations) qui ne quitte jamais votre appareil
• Sessions à durée limitée avec renouvellement automatique sécurisé (cookie httpOnly/Secure/SameSite) ; les autres appareils sont déconnectés lors d'un changement de mot de passe
• Protection contre les attaques par force brute (limitation de débit, ralentissement progressif et blocage temporaire par adresse)

Cookies

ComptaFlow utilise uniquement un cookie technique strictement nécessaire pour maintenir votre session, protégé contre les accès JavaScript et les sites tiers. Pour la mesure d'audience, nous utilisons Plausible Analytics, auto-hébergé sur nos propres serveurs : aucun cookie déposé, aucune donnée transmise à des tiers, données agrégées et anonymes sans identifiant individuel — cette mesure est exemptée de consentement au sens des lignes directrices de la CNIL. Nous n'utilisons aucun cookie publicitaire ni traceur tiers.

Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez déposer une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) sur www.cnil.fr.

Modifications de cette politique

Nous nous réservons le droit de modifier cette politique de confidentialité. En cas de changement significatif, vous serez informé par email. La date de dernière mise à jour est indiquée en haut de cette page.

Contact

Pour toute question relative à cette politique ou à vos données personnelles : contact@mycomptaflow.com