Politique de Confidentialité

Le responsable du traitement des données à caractère personnel collectées via Fincorp ONE est Fincorp ONE, accessible à l'adresse fincorpone.fr.

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, vous disposez de droits sur vos données personnelles.

Données de compte

• Adresse email (identifiant de connexion)
• Nom et prénom (optionnel, saisi par l'utilisateur)
• Méthode d'authentification (email/mot de passe, Google, Microsoft)

Données professionnelles

• Informations sur votre entreprise (nom, SIRET, adresse, TVA)
• Factures et avoirs créés
• Clients enregistrés
• Déclarations URSSAF et historique
• Données de TVA et de comptabilité

Données techniques

• Adresse IP (journaux de sécurité)
• Type de navigateur et appareil
• Données de connexion et d'utilisation

Données de satisfaction et de support

• Note de satisfaction (NPS, de 0 à 10) que vous nous attribuez volontairement
• Demandes d'assistance et signalements de bug que vous nous envoyez

Hébergement et sous-traitants

Vos données sont hébergées dans l'Union européenne et confiées à des sous-traitants sélectionnés :

• Supabase — base de données et authentification (région UE)
• Vercel, Inc. (États-Unis) — hébergement serverless de l'application, exécution en région Paris (cdg1). Un contrat de sous-traitance (DPA) a été signé avec Vercel et le transfert de données hors UE est encadré par les clauses contractuelles types (CCT) prévues par la décision UE 2021/914 de la Commission européenne, ainsi que par l'adhésion de Vercel au Data Privacy Framework EU-US. Base légale : exécution du contrat (art. 6.1.b RGPD).
• Stripe — traitement des paiements
• Resend — envoi des emails (y compris le contenu de vos demandes de support)
• Cloudflare R2 — sauvegardes chiffrées (région UE)
• Sentry GmbH (Allemagne, UE) — monitoring d'erreurs applicatives, avec masquage automatique des données personnelles avant envoi (email, IBAN, SIRET, etc.). Base légale : intérêt légitime (sécurité du service, art. 6.1.f RGPD). Durée de conservation : 90 jours.
• Vercel Speed Insights — mesure technique de la performance d'affichage (Core Web Vitals), sans cookies ni profilage publicitaire. Base légale : intérêt légitime (amélioration du service, art. 6.1.f RGPD).
• BetterStack et Checkly — surveillance technique de la disponibilité du service. Ne traitent aucune donnée des utilisateurs finaux (uniquement des pings techniques et un compte de test interne dédié).
• Anthropic, Inc. (États-Unis) — fournisseur du modèle d'intelligence artificielle Claude utilisé par les fonctionnalités Coach IA et insights. Aucune de vos données n'est utilisée pour l'entraînement du modèle (politique no-train Anthropic Workbench). Le transfert hors UE est encadré par les clauses contractuelles types (CCT) prévues par la décision UE 2021/914 de la Commission européenne. Base légale : exécution du contrat (art. 6.1.b RGPD). Durée de conservation : 30 jours côté Anthropic.
• Upstash, Inc. (région UE Francfort) — cache Redis distribué pour la limitation de débit (rate limit) et la prévention de l'usage abusif. Stocke uniquement des identifiants techniques (clés temporaires utilisateur ou IP) pendant 1 heure maximum, sans contenu personnel. Base légale : intérêt légitime (sécurité du service, art. 6.1.f RGPD).

Vos données sont traitées pour les finalités suivantes, chacune fondée sur une base légale précise du RGPD :

• Fourniture du service : gestion de votre compte, accès aux fonctionnalités de facturation et de gestion fiscale — base légale : exécution du contrat (art. 6.1.b RGPD).
• Amélioration du service : analyse des usages et mesure de satisfaction (NPS), mesure technique de la performance (Speed Insights), monitoring d'erreurs (Sentry) — base légale : intérêt légitime (amélioration et fiabilité du service, art. 6.1.f RGPD).
• Sécurité : prévention des fraudes, limitation de débit (rate limit), protection de vos données — base légale : intérêt légitime (sécurité du service, art. 6.1.f RGPD).
• Sauvegarde et continuité : sauvegardes chiffrées quotidiennes (Cloudflare R2 région UE) — base légale : exécution du contrat (art. 6.1.b RGPD).
• Obligations légales : conservation des factures et documents comptables pendant 10 ans, conformité aux réglementations fiscales et comptables françaises — base légale : obligation légale (art. 6.1.c RGPD).
• Support client : réponse à vos demandes d'assistance — base légale : exécution du contrat (art. 6.1.b RGPD).

• Données de compte : durée de vie du compte + 3 ans après suppression
• Factures et documents comptables : 10 ans (obligation légale française)
• Journaux de connexion : 12 mois
• Données de satisfaction et de support : 24 mois
• Données supprimées : effacement définitif sous 30 jours après suppression du compte

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données (export JSON disponible dans Paramètres)
• Droit de rectification : modifier vos données dans votre profil
• Droit à l'effacement : supprimer votre compte et toutes vos données (disponible dans Paramètres)
• Droit à la portabilité : exporter vos données dans un format structuré (JSON)
• Droit d'opposition : vous opposer à certains traitements de vos données

Fincorp ONE met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement des données en transit (HTTPS/TLS)
• Chiffrement des données au repos (Supabase / PostgreSQL)
• Authentification sécurisée (OAuth 2.0, mots de passe hachés)
• Accès aux données limité par des politiques RLS (Row Level Security)
• Sauvegardes automatiques quotidiennes
• Headers de sécurité HTTP (CSP, HSTS, XSS protection)

Pour toute question concernant cette politique de confidentialité ou pour exercer vos droits, contactez-nous :