Politique de confidentialité

Document en cours de validation juridique. Cette politique est rédigée pour refléter le fonctionnement réel du service, mais elle doit être relue par un conseil avant la mise en ligne publique. Les points encore ouverts sont signalés en toutes lettres dans le texte, à l’endroit qu’ils concernent.

1. Qui traite vos données

Le responsable du traitement est Vimatech Ltd, société de droit anglais éditrice du service MakeInvoice, dont les coordonnées complètes figurent dans les mentions légales.

Contact pour toute question relative aux données personnelles : privacy@makeinvoice.io.

Vimatech Ltd étant établie au Royaume-Uni, la désignation d’un représentant dans l’Union européenne au sens de l’article 27 du RGPD est obligatoire pour les personnes situées dans l’UE. Ce représentant n’est pas désigné à ce jour. Son nom et son adresse seront publiés ici dès sa désignation. Dans l’intervalle, vous pouvez exercer vos droits en nous écrivant directement à privacy@makeinvoice.io.

2. Deux rôles distincts

La distinction structure toute cette politique.

• Vos données à vous (compte, abonnement, support) : nous en sommes responsable de traitement. C’est l’objet de la présente politique.
• Les données de vos clients que vous saisissez dans vos factures : nous en sommes sous-traitant, et vous en êtes responsable. Elles sont traitées uniquement sur vos instructions, dans les conditions prévues par les conditions générales. L’accord de sous-traitance prévu par l’article 28 du RGPD n’est pas encore annexé à ces conditions ; il le sera avant toute ouverture commerciale.

3. Données collectées et pourquoi

Données	Finalité	Base légale
Identité, adresse e-mail, mot de passe (haché)	Créer et sécuriser votre compte	Exécution du contrat
Informations d’entreprise (raison sociale, SIREN, TVA, adresse)	Émettre des factures comportant les mentions obligatoires	Exécution du contrat, obligation légale
Contenu de vos factures et de vos devis	Fournir le service, générer le fichier structuré et le PDF	Exécution du contrat
Statut de votre abonnement (formule, échéance, paiement reçu ou non)	Ouvrir les fonctions payantes, gérer la reconduction et la résiliation	Exécution du contrat
Journaux techniques, adresse IP, horodatages	Sécurité, prévention de la fraude, preuve de dépôt	Intérêt légitime
Échanges avec le support	Répondre à votre demande	Exécution du contrat, intérêt légitime
Mesure d’audience du site	Comprendre l’usage du site	Consentement, ou exemption de consentement si la mesure est strictement anonyme

Nous ne traitons pas vos données de paiement. Les abonnements étant vendus par Paddle en qualité de revendeur (voir §4), les coordonnées bancaires, l’adresse de facturation et le justificatif de paiement sont collectés et conservés par Paddle, sous sa propre responsabilité. Nous recevons uniquement le fait qu’un paiement a réussi ou échoué, et les éléments nécessaires à l’ouverture de votre formule.

Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD et nous ne pratiquons ni profilage, ni décision automatisée produisant des effets juridiques à votre égard.

4. Qui d’autre y a accès

Nous faisons appel aux catégories de destinataires suivantes, chacune liée par contrat et limitée à ce qui est nécessaire :

• Paddle — vendeur officiel (Merchant of Record) de nos abonnements. Paddle est votre vendeur : il encaisse, émet le justificatif et collecte la TVA. Pour ces opérations il agit en responsable de traitement distinct, sur la base de sa propre politique de confidentialité, et non comme notre sous-traitant. Nous n’avons jamais accès à votre numéro de carte. L’entité Paddle contractante et celle qui figure sur le justificatif remis à l’acheteur ne sont pas encore publiées : elles le seront ici dès qu’elles auront été relevées sur le compte, avec le lien vers la politique de confidentialité de Paddle.
• Amazon Web Services — hébergeur de l’application et de vos factures, région Europe (Londres), eu-west-2.
• Cloudflare, Inc. — hébergement et diffusion du site makeinvoice.io (site statique : aucune donnée de compte n’y transite).
• Outils d’assistance et d’envoi d’e-mails transactionnels — la liste nominative de ces sous-traitants n’est pas encore publiée ; elle le sera ici avant l’ouverture commerciale.

Aucune Plateforme Agréée ne reçoit vos factures à ce jour. L’Éditeur n’est raccordé à aucune, et le Service ne transmet pas vos factures (voir l’article 2 des conditions générales). Le jour où un tel partenaire sera contracté, il sera nommé ici avant toute transmission.

Nous ne vendons ni ne louons vos données. Aucune donnée n’est transmise à des tiers à des fins publicitaires.

5. Où sont hébergées vos données

Vos données applicatives — compte, clients, factures — sont hébergées par Amazon Web Services dans sa région Europe (Londres), au Royaume-Uni.

Le Royaume-Uni n’appartient plus à l’Union européenne ni à l’Espace économique européen. Il fait toutefois l’objet d’une décision d’adéquation de la Commission européenne, qui permet le transfert de données personnelles depuis l’UE sans garantie complémentaire. Les opérations de gestion et de support sont réalisées depuis le Royaume-Uni, dans le même cadre.

Le site vitrine makeinvoice.io est un site statique diffusé par Cloudflare, Inc. (États-Unis) : il ne reçoit aucune donnée de compte. Les journaux techniques associés à sa diffusion peuvent transiter par des serveurs hors UE, encadrés par les clauses contractuelles types de la Commission.

Vos données de paiement ne suivent pas ce chemin : elles sont traitées par Paddle, dans le cadre de la vente qu’il opère en son nom. Le lieu de traitement et le mécanisme de transfert applicables dépendent de l’entité Paddle contractante, qui n’est pas encore arrêtée. Ils seront énoncés ici d’après l’accord de traitement des données de Paddle. Nous ne publierons que ce que cet accord permet d’affirmer.

Tout autre transfert hors de l’Espace économique européen serait encadré par ces mêmes clauses contractuelles types.

6. Combien de temps nous les conservons

• Compte et contenu associé : pendant toute la durée du contrat, puis 12 mois après la fermeture du compte, afin de permettre une réactivation et la récupération de vos données.
• Factures et pièces comptables : 10 ans, conformément aux obligations légales de conservation (art. L123-22 du code de commerce).
• Journaux de connexion : 12 mois.
• Prospects et demandes de support : 3 ans à compter du dernier contact.

7. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à privacy@makeinvoice.io. Nous répondons dans un délai d’un mois (art. 12 du RGPD). Une pièce d’identité peut être demandée en cas de doute raisonnable sur votre identité.

Vos factures restent consultables depuis votre compte, et vous pouvez y télécharger le PDF de chacune, brouillon ou facture émise. Pour obtenir une copie de l’ensemble de vos données de facturation, écrivez à la même adresse : nous vous la fournissons dans le délai d’un mois mentionné ci-dessus.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) ou de l’autorité de contrôle de votre pays de résidence.

8. Sécurité

Les échanges entre votre navigateur et le Service sont chiffrés en transit (TLS). Les accès internes sont nominatifs et limités au strict nécessaire. En cas de violation de données susceptible d’engendrer un risque élevé pour vos droits, vous en serez informé conformément à l’article 34 du RGPD.

Les mesures décrites ici sont celles que nous avons vérifiées. Nous n’en annonçons pas d’autres tant qu’elles ne le sont pas.

9. Cookies

Voir la politique cookies.

10. Modifications

Toute modification substantielle de cette politique vous sera notifiée par e-mail ou dans l’application au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.