Politique de confidentialité
1 : Responsable de traitement
Le responsable du traitement des données personnelles est :
Numéria Tech SASU : 17 rue de Willerval, 62580 Arleux-en-Gohelle · RCS Arras 103 905 329 · [email protected]
Référent RGPD : Jacques Sonneville ([email protected]).
2 : Principes directeurs
La conception d'ALLEGIA repose sur trois principes structurants :
- Minimisation : seules les données strictement nécessaires aux finalités décrites sont collectées ;
- Localisation par défaut : les données comptables et financières restent stockées sur le poste de l'Utilisateur (mode Local) et ne sont jamais transmises aux serveurs de l'Éditeur sans action explicite de l'Utilisateur ;
- Transparence : chaque flux de données impliquant un tiers (IA, enrichissement, paiement) est explicitement identifié ci-après.
3 : Données collectées, finalités et bases légales
3.1 : Tableau de synthèse
| Catégorie de données | Finalité | Base légale | Durée |
|---|---|---|---|
| Identification (nom, prénom, email professionnel, fonction, SIREN du cabinet) | Création et gestion du compte utilisateur, facturation, assistance | Exécution du contrat (art. 6.1.b RGPD) | Durée du contrat + 3 ans |
| Données de connexion (adresse IP, horodatage, user-agent) | Sécurité, prévention de la fraude, détection d'anomalies | Intérêt légitime (art. 6.1.f RGPD) | 12 mois |
| Journaux d'activité applicative (imports FEC, rapports générés, métadonnées uniquement) | Audit, support technique, amélioration du service | Intérêt légitime (art. 6.1.f RGPD) | 12 mois |
| Journal d'accès à la Solution (identifiant, adresse email, date, adresse IP, code technique associé) | Protection de la propriété intellectuelle et sécurité de la Solution (voir 3.5) | Intérêt légitime (art. 6.1.f RGPD) | 3 ans |
| Requêtes transmises au module AIGO | Génération d'analyses IA | Consentement explicite (art. 6.1.a RGPD) | Non conservées sur les serveurs Numéria Tech |
| Requêtes transmises aux Services Data (Pappers) | Enrichissement juridique des fiches entreprises | Consentement / exécution du contrat | Non conservées sur les serveurs Numéria Tech ; résultats stockés localement |
| Données de facturation et de paiement (hors numéros de carte) | Traitement des paiements, émission de factures | Obligation légale comptable (art. 6.1.c RGPD) | 10 ans (art. L. 123-22 C. com.) |
| Préférences d'interface (thème, filtres, affichages) | Personnalisation de l'expérience | Intérêt légitime (art. 6.1.f RGPD) | Jusqu'à réinitialisation du navigateur |
| Preuves d'acceptation contractuelle (hash document, horodatage, IP, user-agent) | Traçabilité du consentement et opposabilité contractuelle | Exécution du contrat + intérêt légitime (art. 6.1.b et 6.1.f RGPD) | 10 ans après fin de la relation (art. 2224 C. civ. ; art. L. 123-22 C. com.) |
3.2 : Données comptables et financières (FEC)
Lorsque l'Utilisateur sollicite une analyse via le module AIGO, seuls des ratios financiers anonymisés (marges, BFR, DSCR, gearing…) et des libellés sectoriels sont transmis au fournisseur IA. Aucun SIREN, aucune dénomination sociale, aucun montant brut n'est communiqué.
3.3 : Architecture du traitement AIGO en 4 étapes
Le traitement des requêtes AIGO respecte un flux strict en quatre étapes, conçu pour minimiser l'exposition des données et garantir la conformité RGPD :
| Étape | Acteur | Rôle |
|---|---|---|
| 1 | ALLEGIA (navigateur de l'Utilisateur) | Anonymisation locale : extraction de ratios et libellés sectoriels, suppression de tout identifiant (SIREN, dénomination, montant brut). |
| 2 | Proxy Numéria Tech (OVHcloud, France) | Pur passe-plat sans stockage. Aucun log, aucune conservation de prompts ni de réponses. Routage vers le fournisseur IA sélectionné. |
| 3a | Mistral AI SAS (France) | Analyse des agrégats anonymisés. Traitement intra-UE, Article 28 RGPD. |
| 3b | Anthropic Inc. (États-Unis) | Analyse des agrégats anonymisés. Transfert encadré par les clauses contractuelles types UE (art. 46 RGPD). |
| 4 | Utilisateur (via le navigateur) | Restitution du résultat dans l'interface ALLEGIA, sans enrichissement a posteriori. |
.env sécurisé sur l'infrastructure OVHcloud de Numéria Tech). Aucune clé IA n'est exposée dans le navigateur de l'Utilisateur. L'Utilisateur n'a pas à fournir de clé personnelle pour utiliser AIGO.À ne pas confondre avec les jetons d'accès aux Services Data et aux intégrations tierces optionnelles (Pappers, Pennylane, etc.), qui sont renseignés par l'Utilisateur et stockés exclusivement dans son propre navigateur (localStorage). Numéria Tech n'y a pas accès.
3.4 : Preuve des acceptations contractuelles
Lors de chaque acceptation d'un document contractuel (Conditions Générales d'Utilisation, Conditions Générales de Vente, Politique de confidentialité, Accord de Traitement des Données), Numéria Tech SASU enregistre, sur son infrastructure serveur sécurisée (OVHcloud, France), une trace d'acceptation comportant :
- l'identifiant et l'adresse électronique de l'Utilisateur acceptant ;
- le type et la version du document accepté ;
- une empreinte cryptographique (SHA-256) du contenu exact du document à la date de l'acceptation ;
- l'horodatage précis (ISO 8601) ;
- l'adresse IP et le user-agent à des fins de traçabilité de sécurité ;
- le contexte d'acceptation (première connexion, souscription d'abonnement, mise à jour de version).
Cette journalisation respecte les exigences des articles 1127-1 et 1366 du Code civil relatifs au contrat conclu par voie électronique et à l'écrit électronique, en garantissant l'intégrité et la conservation des preuves d'acceptation.
Les données sont conservées pendant une durée de dix (10) ans à compter de la fin de la relation contractuelle, conformément aux délais de prescription contractuelle applicables (art. 2224 du Code civil), et à l'obligation de conservation des pièces justificatives (art. L. 123-22 du Code de commerce). Base légale : exécution du contrat (Art. 6.1.b RGPD) et intérêt légitime de Numéria Tech à disposer des preuves contractuelles (Art. 6.1.f RGPD).
3.5 : Protection de la Solution
À chaque ouverture de l'application, Numéria Tech SASU enregistre l'identifiant de l'Utilisateur, son adresse électronique, la date et l'adresse IP, associés à un code technique intégré à la session. Ce code permet d'identifier l'origine d'une copie non autorisée de la Solution.
Finalité : protection de la propriété intellectuelle et sécurité de la Solution. Base légale : intérêt légitime de Numéria Tech SASU (art. 6.1.f RGPD). Durée de conservation : 3 ans. Ces données sont conservées sur l'infrastructure serveur de Numéria Tech (OVHcloud, France), ne sont communiquées à aucun tiers hors réquisition judiciaire ou action en contrefaçon, et ne sont pas utilisées à d'autres fins. L'Utilisateur peut exercer son droit d'opposition dans les conditions de l'article 8 ; l'opposition est toutefois incompatible avec l'accès à la Solution.
4 : Sous-traitants et destinataires
Dans le cadre de l'exécution du service, Numéria Tech SASU fait appel aux sous-traitants suivants. Chaque sous-traitant est encadré par un contrat conforme à l'article 28 du RGPD.
| Sous-traitant | Finalité | Pays d'hébergement | Encadrement juridique |
|---|---|---|---|
| OVHcloud SAS | Hébergement de l'application, du proxy IA, des données de compte | France (Roubaix) | Intra-UE · Art. 28 RGPD · Certifié HDS et ISO 27001 |
| Stripe Payments Europe Ltd | Traitement des paiements, gestion des abonnements | Irlande (intra-UE) | Intra-UE · Art. 28 RGPD · Certifié PCI-DSS niveau 1 |
| Mistral AI SAS | Fournisseur IA (option de l'Utilisateur) | France | Intra-UE · Art. 28 RGPD |
| Anthropic PBC | Fournisseur IA (option de l'Utilisateur) | États-Unis (San Francisco) | Clauses contractuelles types UE (art. 46 RGPD) + API Business Terms (non-utilisation pour l'entraînement) |
| Pappers SAS | Enrichissement de données d'entreprises (INPI, INSEE, BODACC) | France | Intra-UE · Art. 28 RGPD |
| Pennylane SAS (option) | Connecteur comptable : récupération FEC à la demande | France | Intra-UE · jetons stockés localement (jamais transmis aux serveurs Numéria Tech) |
Les données ne sont jamais cédées, louées ou vendues à des tiers à des fins commerciales.
4.1 : Évolution de la liste des sous-traitants
Numéria Tech SASU se réserve le droit de faire évoluer la liste de ses sous-traitants (fournisseurs IA, enrichissement de données, paiement, hébergement) pour accompagner l'évolution technique et réglementaire de la Solution. Toute modification substantielle de cette liste fait l'objet d'une notification préalable aux Utilisateurs avec un préavis minimum de 30 jours, conformément à l'article 28.2 du RGPD. L'Utilisateur dispose d'un droit d'opposition dans ce délai. La liste à jour des sous-traitants est accessible à tout moment depuis la présente Politique de confidentialité.
5 : Transferts hors Union européenne
Le seul transfert de données vers un pays hors UE concerne le module AIGO lorsque l'Utilisateur a choisi Anthropic comme fournisseur IA. Ce transfert est encadré par :
- Les clauses contractuelles types (CCT) adoptées par la Commission européenne au titre de l'article 46 du RGPD ;
- Les API Business Terms d'Anthropic, qui excluent contractuellement l'utilisation des données transmises pour l'entraînement des modèles.
L'Utilisateur peut à tout moment désactiver le module AIGO ou sélectionner un fournisseur intra-UE (Mistral AI) depuis les paramètres de la Solution.
6 : Cookies et traceurs
ALLEGIA n'utilise pas de cookies tiers de suivi publicitaire ni de traceurs tiers.
Les informations stockées dans le navigateur de l'Utilisateur sont limitées à :
- Jeton d'authentification (JWT) : expiration 4h, indispensable au fonctionnement de la Solution ;
- Cookie de session « allegia_gate » : cookie technique HttpOnly et sécurisé, expiration 4h, supprimé à la déconnexion. Il autorise le chargement de l'application après connexion et ne sert à aucun suivi ;
- Préférences d'interface : thème, largeur de la barre latérale, filtres, entièrement sous le contrôle de l'Utilisateur ;
- Horodatage d'acceptation des CGU : preuve de consentement exigée par l'article 1127-1 du Code civil ;
- Base IndexedDB applicative : contenant les FEC, projets et rapports en mode Local. Cette base n'est accessible qu'à l'instance du navigateur de l'Utilisateur.
7 : Sécurité des traitements
Numéria Tech SASU met en œuvre les mesures techniques et organisationnelles suivantes :
- Chiffrement en transit : tous les échanges entre le navigateur et les serveurs utilisent HTTPS (TLS 1.2+) ;
- Authentification : mots de passe hachés (bcrypt), jetons JWT signés à expiration courte (4h) ;
- Cloisonnement : séparation stricte des environnements, accès administration journalisés ;
- Limitation d'accès : politique CORS restreinte au domaine allegia.tech, principe du moindre privilège ;
- Rate limiting : protection contre les abus (60 requêtes AIGO par heure, 5 rapports par jour) ;
- Journalisation de sécurité : conservation 12 mois des journaux de connexion pour investigation post-incident ;
- Sauvegardes : sauvegardes automatiques des données de compte (hors FEC, qui restent locales) avec rotation quotidienne et hebdomadaire.
Un audit de sécurité indépendant est planifié préalablement à l'ouverture commerciale de la Solution.
8 : Droits des personnes concernées
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès (art. 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir copie ;
- Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes ;
- Droit à l'effacement (art. 17) : dit « droit à l'oubli », sous réserve des obligations légales de conservation ;
- Droit à la limitation (art. 18) : limiter temporairement un traitement contesté ;
- Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine ;
- Droit d'opposition (art. 21) : vous opposer à un traitement fondé sur l'intérêt légitime ;
- Retrait du consentement (art. 7.3) : retirer à tout moment un consentement précédemment donné, sans effet rétroactif ;
- Directives post-mortem (art. 85 Loi Informatique et Libertés) : définir le sort de vos données après votre décès.
8.1 : Exercice des droits
Ces droits s'exercent :
- Par voie électronique : [email protected] (objet : « Exercice droit RGPD ») ;
- Par courrier recommandé : Numéria Tech SASU · Référent RGPD · 17 rue de Willerval, 62580 Arleux-en-Gohelle.
Numéria Tech SASU s'engage à répondre dans un délai d'un mois à compter de la réception de la demande, pouvant être porté à trois mois en cas de complexité, conformément à l'article 12.3 du RGPD. Une preuve d'identité pourra être demandée en cas de doute raisonnable sur l'identité du demandeur.
8.2 : Réclamation auprès de la CNIL
En cas de désaccord persistant avec Numéria Tech SASU sur le traitement de vos données, vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
CNIL · 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 · Téléphone : +33 (0)1 53 73 22 22 · www.cnil.fr
9 : Violation de données
En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Numéria Tech SASU :
- Notifiera la CNIL dans les 72 heures suivant la connaissance de la violation, conformément à l'article 33 du RGPD ;
- Informera les Utilisateurs concernés dans les meilleurs délais lorsque le risque est élevé, conformément à l'article 34 du RGPD ;
- Documentera la violation et les mesures correctives dans un registre interne.
10 : Conservation et suppression
Les durées de conservation figurent au tableau de l'article 3.1. À l'expiration de ces durées, les données sont :
- Soit supprimées de manière irréversible ;
- Soit anonymisées de manière à ne plus permettre l'identification d'une personne.
À la résiliation de votre abonnement, un export de vos données de compte est proposé pendant 30 jours. Au-delà, les données techniques sont supprimées, à l'exception des données de facturation conservées 10 ans au titre des obligations comptables.
11 : Mineurs
La Solution est exclusivement destinée à des professionnels majeurs. Aucune collecte volontaire de données concernant des mineurs n'est effectuée. Si un tel cas était porté à notre connaissance, les données concernées seraient supprimées sans délai.
12 : Modifications de la présente Politique
La présente Politique de confidentialité peut être modifiée afin de refléter des évolutions légales, techniques ou fonctionnelles. Toute modification substantielle sera portée à la connaissance des Utilisateurs avec un préavis minimum de 30 jours, par courrier électronique ou via la Solution. La version applicable est celle en vigueur à la date de l'utilisation.
13 : Identification du responsable de traitement
Pour toute question relative au traitement de vos données personnelles, vous pouvez contacter le responsable de traitement aux coordonnées suivantes :
| Raison sociale | Numéria Tech SASU |
|---|---|
| Forme juridique | Société par actions simplifiée à associé unique |
| Siège social | 17 rue de Willerval, 62580 Arleux-en-Gohelle (France) |
| RCS | Arras 103 905 329 |
| Capital social | 1 000 € |
| Président | Jacques Sonneville |
| Référent RGPD | Jacques Sonneville · [email protected] |
| Adresse électronique | [email protected] |
| Adresse postale | Numéria Tech SASU · Référent RGPD · 17 rue de Willerval, 62580 Arleux-en-Gohelle |
Autorité de contrôle : CNIL : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 · www.cnil.fr