RGPD

Le responsable de traitement est Marta WALEGA-DURAND, dont le siège est situé : 38 allée de l'Angoulaire, 18570 La Chapelle-Saint-Ursin, France.

Contact pour toute question RGPD : privacy@prestofact.fr.

Compte tenu de la taille de la structure et de la nature des traitements (volumes modestes, pas de données sensibles), Marta WALEGA-DURAND n'a pas désigné de Délégué à la Protection des Données (DPO). Cette situation sera réévaluée en cas d'évolution significative des traitements (passage en grande échelle, intégration avec une PDP, etc.).

Les données traitées dépendent de la fonctionnalité utilisée :

a) Outils de lecture (Visualiseur, Extracteur, Validateur)

Ces outils traitent les PDFs uniquement en mémoire, sans aucune persistance. Le contenu de votre fichier n'est jamais stocké, ni dans une base de données, ni dans un journal applicatif. Les données techniques suivantes sont en revanche journalisées à des fins de sécurité et statistiques anonymes :

• Hash SHA-256 salé de l'adresse IP (non réversible), pour appliquer les limites anti-abus
• Taille du fichier, durée de traitement, statut (succès / type d'erreur), profil Factur-X détecté, code pays approximatif (sur base du géocodage IP)
• Identifiant de requête (UUID) pour corréler les logs en cas d'incident

b) Compte utilisateur

La création d'un compte (requise pour le Convertisseur ou le Générateur) implique le traitement :

• de votre adresse email (identifiant)
• d'un identifiant Supabase Auth (UUID interne, géré par notre prestataire d'authentification)
• de la date de création du compte et de la dernière connexion
• de l'identifiant client Stancer dès le premier achat, ainsi que de l'historique des transactions

c) Génération et conversion de factures

Le contenu des factures que vous soumettez est traité en mémoire pour produire le fichier Factur-X.

• Générateur : le PDF/A-3 résultant est streamé directement vers votre navigateur ; il n'est jamais déposé sur nos serveurs de stockage. Aucun champ détaillé n'est conservé.
• Convertisseur : le PDF Factur-X converti est temporairement stocké sur Supabase Storage (région UE) pour permettre le re-téléchargement depuis votre espace personnel, avec un lien signé d'expiration 1 heure. Le fichier est supprimé automatiquement après 7 jours. Aucun champ détaillé n'est conservé dans notre base.

Chaque traitement repose sur une base légale RGPD distincte :

• Exécution du contrat (art. 6.1.b RGPD) — gestion du compte, des packs et des paiements
• Intérêt légitime (art. 6.1.f RGPD) — journalisation anti-abus, prévention de la fraude et sécurité
• Consentement (art. 6.1.a RGPD) — communications marketing optionnelles, le cas échéant
• Obligation légale (art. 6.1.c RGPD) — conservation des justificatifs comptables pendant 10 ans (art. L.123-22 du Code de commerce)

• PDFs convertis (Convertisseur) sur Supabase Storage : 7 jours, puis suppression automatique
• Journaux applicatifs (audit jobs) : 30 jours puis suppression automatique
• Filets techniques de remboursement de crédits (intentions une fois résolues) : 30 jours après résolution, puis suppression automatique
• Compte utilisateur : durée de la relation contractuelle, puis anonymisation après 3 ans sans activité
• Justificatifs comptables (factures Stancer) : 10 ans (obligation légale)

Les données sont accessibles aux salariés et prestataires habilités de Marta WALEGA-DURAND ainsi qu'aux sous-traitants techniques listés sur la page sous-traitants. Chaque sous-traitant est encadré par un accord conforme à l'article 28 du RGPD.

Les données ne sont jamais cédées, louées ou vendues à des tiers à des fins commerciales.

Le principal transfert hors Union européenne concerne Vercel (hébergement du frontend, société américaine). Supabase (siège à Singapour) héberge les données dans sa région européenne eu-west-3 (France). Les autres sous-traitants — Hetzner, Stancer, Brevo (emails, hébergés en Allemagne) et OVHcloud — sont établis et hébergés dans l'Union européenne. Les transferts concernés sont encadrés par :

• l'adhésion de ces sociétés au Data Privacy Framework (DPF) UE — États-Unis (décision d'adéquation du 10 juillet 2023), ou
• des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne en complément si nécessaire.

Vous disposez, à tout moment, des droits suivants sur vos données :

• droit d'accès (art. 15 RGPD)
• droit de rectification (art. 16 RGPD)
• droit à l'effacement (« droit à l'oubli », art. 17 RGPD), sous réserve des obligations légales de conservation
• droit à la limitation du traitement (art. 18 RGPD)
• droit à la portabilité (art. 20 RGPD)
• droit d'opposition au traitement (art. 21 RGPD)
• droit de définir des directives post-mortem (art. 85 LIL)
• droit de retirer votre consentement à tout moment

Pour exercer ces droits, écrivez à privacy@prestofact.fr. Une réponse vous sera apportée dans un délai d'un mois (extensible à deux mois si la demande est complexe).

Le service utilise un minimum de cookies :

• un cookie de session strictement nécessaire au fonctionnement de l'authentification (exempté de consentement conformément à l'article 82 LIL)

La protection contre les attaques de type cross-site request forgery (CSRF) repose sur une vérification de l'origine de la requête (en-têtes Origin/Referer) et ne pose aucun cookie dédié.

Le service n'utilise aucun cookie publicitaire, aucun traceur tiers ni outil d'analyse comportementale.

Marta WALEGA-DURAND réalise une mesure d'audience anonyme et interne (étapes d'utilisation des outils : dépôt, extraction, génération, et codes d'erreur rencontrés). Cette mesure :

• n'utilise aucun cookie, ne stocke aucune adresse IP et aucun identifiant persistant ; la corrélation des étapes d'un même passage repose sur un identifiant aléatoire éphémère gardé en mémoire du navigateur, jamais persisté ;
• relève de l'exemption de consentement « mesure d'audience » de la CNIL (lignes directrices du 17 septembre 2020) ;
• conserve les données agrégées 13 mois maximum (purge automatique).

Bien que le consentement ne soit pas requis, une bannière informe de cette mesure et permet de la refuser (« Refuser la mesure ») ; ce choix est respecté et conservé dans votre navigateur. Vous pouvez modifier ce choix à tout moment via le lien « Mesure d'audience » présent en bas de chaque page.

Marta WALEGA-DURAND met en œuvre les mesures techniques et organisationnelles raisonnables pour protéger vos données : chiffrement TLS 1.3 en transit, isolation des environnements, accès aux données limité aux personnes habilitées, journalisation des accès, double authentification pour les comptes administrateurs, revues de code des dépendances et mises à jour de sécurité.

En cas de violation de données à caractère personnel, Marta WALEGA-DURAND s'engage à notifier la CNIL dans un délai de 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais, conformément à l'article 34 du RGPD.

En cas de différend non résolu, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.