Politique de confidentialité

L'Éditeur agit en qualité de responsable de traitement au sens du RGPD. Le présent article décrit la politique de confidentialité du Service, conformément au Règlement (UE) 2016/679 (RGPD), à la loi Informatique et Libertés modifiée et, lorsqu'applicables, aux Google API Services User Data Policy et Google APIs Terms of Service.

L'Éditeur collecte et traite les catégories de données suivantes :

• Données de compte : nom, prénom, adresse e-mail, mot de passe (haché), numéro de téléphone, informations professionnelles (raison sociale, SIRET, etc.).
• Données de service : factures, écritures comptables, transactions bancaires, documents téléversés, paramètres et journaux d'activité.
• Données techniques : adresse IP, identifiants de session, type de navigateur, journaux de connexion.

Lorsque l'Utilisateur se connecte via « Sign in with Google » ou connecte une boîte e-mail Gmail au Service, l'Éditeur accède, avec son consentement explicite recueilli via les écrans OAuth de Google, aux données suivantes :

• Profil Google de base (identifiant Google, nom, adresse e-mail, photo de profil) — exclusivement aux fins d'authentification et d'identification de l'Utilisateur.
• Messages et pièces jointes Gmail en lecture seule — exclusivement aux fins de détection automatique et d'import des factures, reçus et documents comptables dans le Service.
• Métadonnées des messages (expéditeur, date, sujet, taille) — exclusivement pour identifier les e-mails susceptibles de contenir des pièces jointes pertinentes pour la comptabilité.

Les données sont utilisées exclusivement pour les finalités suivantes :

• créer et gérer le Compte de l'Utilisateur ;
• fournir, exploiter, maintenir et améliorer les fonctionnalités du Service ;
• assurer la sécurité, prévenir la fraude et lutter contre les abus ;
• respecter les obligations légales applicables (notamment comptables et fiscales) ;
• communiquer avec l'Utilisateur sur le fonctionnement du Service et le support.

Conformément à la politique Google API Services User Data Policy, et en particulier aux exigences de « Limited Use », les données utilisateur Google obtenues via les API Google sont utilisées uniquement pour fournir ou améliorer les fonctionnalités du Service visibles par l'Utilisateur (authentification et import automatique de factures et reçus depuis Gmail). En particulier, l'Éditeur s'engage à :

• ne pas utiliser ces données pour proposer, cibler ou diffuser de la publicité ;
• ne pas vendre, louer ni céder ces données à un quelconque tiers ;
• ne pas utiliser ces données pour entraîner des modèles d'intelligence artificielle généralistes ;
• ne permettre aucune lecture humaine de ces données, sauf (a) avec le consentement explicite de l'Utilisateur, (b) pour des opérations de sécurité (lutte contre les abus, conformité légale), ou (c) lorsque les données sont agrégées et anonymisées à des fins statistiques internes.

L'Éditeur ne vend ni ne loue de données personnelles. Les données sont partagées uniquement avec les sous-traitants strictement nécessaires à la fourniture du Service, listés ci-après :

• Hébergeur : Amazon Web Services EMEA SARL (Luxembourg) — stockage des données dans la région AWS Paris (eu-west-3).
• Authentification Google : Google LLC — pour la fonctionnalité « Sign in with Google ».
• Connexion e-mail : Nylas, Inc. — intermédiaire technique permettant la connexion OAuth sécurisée aux comptes Gmail et la récupération des pièces jointes (l'Éditeur n'utilise pas Nylas pour d'autres finalités).
• Paiement : Stripe Payments Europe Limited — traitement des paiements d'abonnement.
• Communications transactionnelles : Novu (notifications applicatives) et fournisseurs SMTP pour l'envoi d'e-mails de service.

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD et n'agit que sur instruction documentée de l'Éditeur. Les données peuvent également être communiquées aux autorités administratives ou judiciaires sur réquisition légale.

Les données sont hébergées au sein de l'Union européenne (AWS, région Paris, eu-west-3). Les transferts hors UE éventuels (notamment vers Google et Nylas) sont encadrés par les Clauses contractuelles types de la Commission européenne et complétés par des mesures de sécurité supplémentaires.

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées suivantes : chiffrement TLS en transit, chiffrement au repos, contrôle d'accès strict basé sur les rôles et le principe du moindre privilège, journalisation des accès, authentification multi-facteurs pour l'accès administratif, audits réguliers, politique de mots de passe robuste et procédures de réponse aux incidents.

Les jetons OAuth Google et Nylas sont stockés sous forme chiffrée et ne sont accessibles qu'aux processus automatisés strictement nécessaires à la fourniture du Service.

Les données de Compte sont conservées pendant toute la durée d'utilisation du Service. À la résiliation du Compte, elles sont supprimées dans un délai maximal de trente (30) jours, sous réserve des obligations légales de conservation (notamment dix (10) ans pour les pièces comptables et fiscales conformément au Code de commerce et au Livre des procédures fiscales).

Les données utilisateur Google (e-mails Gmail récupérés, jetons OAuth) sont supprimées immédiatement lorsque l'Utilisateur déconnecte sa boîte e-mail dans le Service, supprime son Compte, ou révoque l'accès depuis la page https://myaccount.google.com/permissions. Les pièces jointes déjà importées dans le Service sont conservées au même titre que les autres documents comptables, dans le respect des durées légales applicables.

L'Utilisateur peut à tout moment demander la suppression de ses données en supprimant son Compte directement depuis les paramètres du Service. La demande est traitée dans un délai maximal de trente (30) jours.

Conformément au RGPD, l'Utilisateur dispose d'un droit d'accès, de rectification, d'effacement, de portabilité, d'opposition, de limitation du traitement et du droit de définir des directives post-mortem. L'Utilisateur peut également révoquer à tout moment l'accès de l'Éditeur à ses données Google depuis https://myaccount.google.com/permissions. Une réclamation peut être introduite auprès de la CNIL (www.cnil.fr).

LandCapital utilise des cookies strictement nécessaires au fonctionnement du service (authentification, session) ainsi que, sous réserve de votre consentement, des cookies de mesure d'audience et de support client. Vous pouvez à tout moment modifier vos choix depuis les paramètres de votre navigateur.