Politique de confidentialité

Votre vie privée est importante pour nous. Sauf indication contraire, The Company Land (ci-après l'« Éditeur ») est responsable du traitement des données personnelles dans le cadre des Services.

Nous traitons les données personnelles conformément aux lois et réglementations applicables en matière de protection des données et de la vie privée, notamment, le cas échéant, le Règlement général sur la protection des données (UE) 2016/679 (« RGPD ») et les autres exigences locales applicables en matière de protection des données.

La présente Politique de confidentialité décrit nos principales pratiques en matière de collecte, d'utilisation, de communication, de conservation, de protection et de traitement des données personnelles dans le cadre des Services.

Lorsque les Services s'intègrent à des services ou à des API tiers, le traitement des données peut également être soumis aux conditions et exigences de confidentialité applicables de ces tiers, notamment, le cas échéant, à la Google API Services User Data Policy et aux Google APIs Terms of Service.

L'Éditeur collecte et traite les catégories de données suivantes :

• Données de compte : nom, prénom, adresse e-mail, mot de passe (haché), numéro de téléphone, informations professionnelles (raison sociale, SIRET, etc.).
• Données de service : factures, écritures comptables, données de comptes bancaires et de transactions mises à disposition via les services bancaires connectés, documents téléversés, paramètres et journaux d'activité.
• Données des comptes bancaires connectés : si vous choisissez de connecter un compte bancaire à The Company Land, les informations relatives au compte et aux transactions peuvent être récupérées, avec votre autorisation, par l'intermédiaire de notre prestataire technique d'open banking, Powens. Ces informations peuvent inclure les références des comptes (numéro de compte, IBAN), les soldes, le détail des transactions et d'autres informations bancaires associées ; elles servent à fournir les fonctionnalités de comptabilité, de rapprochement, de gestion financière et les fonctionnalités associées. Vos identifiants bancaires sont gérés par le processus sécurisé de connexion bancaire applicable et ne sont pas collectés par The Company Land lorsque l'authentification est gérée directement par le prestataire d'open banking.
• Données techniques : adresse IP, identifiants de session, type de navigateur, journaux de connexion.

Lorsque l'Utilisateur se connecte via « Sign in with Google » ou connecte une boîte e-mail Gmail au Service, l'Éditeur accède, avec son consentement explicite recueilli via les écrans OAuth de Google, aux données suivantes :

• Profil Google de base (identifiant Google, nom, adresse e-mail, photo de profil) — exclusivement aux fins d'authentification et d'identification de l'Utilisateur.
• Messages et pièces jointes Gmail en lecture seule — exclusivement aux fins de détection automatique et d'import des factures, reçus et documents comptables dans le Service.
• Métadonnées des messages (expéditeur, date, sujet, taille) — exclusivement pour identifier les e-mails susceptibles de contenir des pièces jointes pertinentes pour la comptabilité.

Les données sont utilisées exclusivement pour les finalités suivantes :

• créer et gérer le Compte de l'Utilisateur ;
• fournir, exploiter, maintenir et améliorer les fonctionnalités du Service ;
• assurer la sécurité, prévenir la fraude et lutter contre les abus ;
• respecter les obligations légales applicables (notamment comptables et fiscales) ;
• communiquer avec l'Utilisateur sur le fonctionnement du Service et le support.

Conformément à la politique Google API Services User Data Policy, et en particulier aux exigences de « Limited Use », les données utilisateur Google obtenues via les API Google sont utilisées uniquement pour fournir ou améliorer les fonctionnalités du Service visibles par l'Utilisateur (authentification et import automatique de factures et reçus depuis Gmail). En particulier, l'Éditeur s'engage à :

• ne pas utiliser ces données pour proposer, cibler ou diffuser de la publicité ;
• ne pas vendre, louer ni céder ces données à un quelconque tiers ;
• ne pas utiliser ces données, brutes, agrégées ou anonymisées, pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralisés ou non personnalisés ;
• ne pas transférer ces données à des services tiers d'intelligence artificielle qui les utiliseraient pour entraîner leurs propres modèles ;
• ne permettre aucune lecture humaine de ces données, sauf (a) avec le consentement explicite de l'Utilisateur, (b) pour des opérations de sécurité (lutte contre les abus, conformité légale), ou (c) lorsque les données sont agrégées et anonymisées à des fins statistiques internes.

L'utilisation par The Company Land des informations reçues des API Google, et leur transfert vers toute autre application, respectent la Google API Services User Data Policy, y compris les exigences de Limited Use. L'utilisation des données utilisateur brutes ou dérivées reçues des API Google Workspace respecte la Google User Data Policy, y compris les exigences de Limited Use.

Les pièces jointes importées depuis Gmail sont traitées par les propres systèmes de l'Éditeur afin de déterminer s'il s'agit de documents comptables et d'en extraire le contenu. Pour fournir les fonctionnalités d'intelligence artificielle du Service (telles que la structuration des données de facturation ou l'assistant intégré), des données issues de ces documents peuvent être traitées par OpenAI (API), agissant en qualité de sous-traitant, au seul bénéfice de l'Utilisateur. Les fichiers importés depuis Gmail ne sont jamais transmis à OpenAI sous leur forme originale et, conformément aux conditions de l'API d'OpenAI, les données qui lui sont transmises ne sont pas utilisées pour entraîner ses modèles.

Certaines fonctionnalités des Services utilisent l'intelligence artificielle pour traiter, analyser, classer ou générer des informations à partir de données fournies par les Utilisateurs ou pour leur compte.

Lorsque vous utilisez des fonctionnalités nécessitant le traitement de données personnelles par un fournisseur tiers d'intelligence artificielle, tel qu'OpenAI, nous vous informons clairement de ce traitement et recueillons votre autorisation lorsque cela est requis, avant tout partage des données personnelles concernées.

OpenAI agit en qualité de prestataire de services pour le traitement concerné. Les données transmises via l'API applicable sont traitées uniquement pour fournir la fonctionnalité concernée et ne sont pas utilisées pour entraîner les modèles d'OpenAI, sous réserve des conditions de service applicables.

L'Éditeur ne vend ni ne loue de données personnelles. Les données sont partagées uniquement avec les sous-traitants strictement nécessaires à la fourniture du Service, listés ci-après :

• Hébergeur : Amazon Web Services EMEA SARL (Luxembourg) — stockage des données dans la région AWS Paris (eu-west-3).
• Authentification Google : Google LLC — pour la fonctionnalité « Sign in with Google ».
• Connexion e-mail : Nylas, Inc. — intermédiaire technique permettant la connexion OAuth sécurisée aux comptes Gmail et la récupération des pièces jointes (l'Éditeur n'utilise pas Nylas pour d'autres finalités).
• Connexion bancaire : Powens (France) — prestataire technique d'open banking permettant de connecter les comptes bancaires de l'Utilisateur et d'en récupérer, avec son autorisation, les informations de compte et de transactions.
• Paiement : Stripe Payments Europe Limited — traitement des paiements d'abonnement.
• Traitement par IA : OpenAI, L.L.C. (États-Unis) — fonctionnalités d'intelligence artificielle du Service, sans réception des fichiers importés depuis Gmail sous leur forme originale et sans utilisation des données pour l'entraînement de ses modèles.
• Communications transactionnelles : Novu (notifications applicatives) et fournisseurs SMTP pour l'envoi d'e-mails de service.

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD et n'agit que sur instruction documentée de l'Éditeur. Les données peuvent également être communiquées aux autorités administratives ou judiciaires sur réquisition légale.

Les données sont hébergées au sein de l'Union européenne (AWS, région Paris, eu-west-3). Les transferts hors UE éventuels (notamment vers Google et OpenAI) sont encadrés par les Clauses contractuelles types de la Commission européenne et complétés par des mesures de sécurité supplémentaires.

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées suivantes : chiffrement TLS en transit, chiffrement au repos, contrôle d'accès strict basé sur les rôles et le principe du moindre privilège, journalisation des accès, authentification multi-facteurs pour l'accès administratif, audits réguliers, politique de mots de passe robuste et procédures de réponse aux incidents.

Les jetons OAuth Google et Nylas sont stockés sous forme chiffrée et ne sont accessibles qu'aux processus automatisés strictement nécessaires à la fourniture du Service.

Les données de Compte sont conservées pendant toute la durée d'utilisation du Service. À la résiliation du Compte, elles sont supprimées dans un délai maximal de trente (30) jours. Certaines informations peuvent être conservées plus longtemps lorsque la loi applicable l'exige, notamment pendant la durée requise par les législations comptables, fiscales et réglementaires applicables dans la ou les juridictions concernées, laquelle peut varier selon le pays et la nature des documents en cause.

Les données utilisateur Google (e-mails Gmail récupérés, jetons OAuth) sont supprimées immédiatement lorsque l'Utilisateur déconnecte sa boîte e-mail dans le Service, supprime son Compte, ou révoque l'accès depuis la page https://myaccount.google.com/permissions. Les pièces jointes déjà importées dans le Service sont conservées au même titre que les autres documents comptables, dans le respect des durées légales applicables.

L'Utilisateur peut à tout moment demander la suppression de ses données en supprimant son Compte directement depuis les paramètres du Service. La demande est traitée dans un délai maximal de trente (30) jours.

Selon les lois qui lui sont applicables, l'Utilisateur peut disposer de certains droits sur ses données personnelles, notamment le droit d'y accéder, de les rectifier, de les mettre à jour, de les supprimer ou d'en obtenir une copie, ainsi que le droit de s'opposer à certaines activités de traitement ou d'en obtenir la limitation et, le cas échéant, le droit à la portabilité des données et le droit de retirer son consentement.

Les Utilisateurs situés dans des juridictions où le RGPD s'applique peuvent exercer les droits prévus par le RGPD, notamment les droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition, selon le cas.

Les Utilisateurs peuvent exercer leurs droits en nous écrivant à tech@thecompanyland.ai. Le cas échéant, ils disposent également du droit d'introduire une réclamation auprès de l'autorité de protection des données ou de contrôle compétente de leur pays ou de leur juridiction.

Les Utilisateurs ayant connecté leur compte Google aux Services peuvent révoquer à tout moment l'accès de The Company Land à leurs données Google depuis les paramètres d'autorisation de leur compte Google.

The Company Land utilise des cookies strictement nécessaires au fonctionnement du service (authentification, session) ainsi que, sous réserve de votre consentement, des cookies de mesure d'audience et de support client. Vous pouvez à tout moment modifier vos choix depuis les paramètres de votre navigateur.