Factu.me s'engage à protéger vos données personnelles et à respecter votre vie privée. Cette politique décrit comment nous collectons, utilisons, conservons et sécurisons vos informations, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

Avec « Se connecter avec Google », nous accédons uniquement à votre adresse e-mail et à votre nom public (scopes openid, email, profile), jamais à vos e-mails, contacts, Drive ou agenda. Ces données servent exclusivement à créer et authentifier votre compte, pré-remplir votre profil et vous envoyer des e-mails transactionnels, jamais à des fins publicitaires. Elles ne sont ni partagées ni vendues, sont chiffrées (TLS 1.3 en transit, AES-256 au repos) et hébergées sur Supabase en Union européenne. Vous pouvez révoquer l'accès à tout moment depuis votre compte Google, et vos données sont supprimées sous 30 jours en cas de suppression de compte.

La société Factu.me, SAS au capital variable, immatriculée au RCS de Paris, est le responsable du traitement des données personnelles collectées sur la plateforme. Pour toute question relative à la protection de vos données, vous pouvez contacter notre Délégué à la Protection des Données (DPO) par email.

Données d'inscription (nom, prénom, e-mail, mot de passe chiffré), données professionnelles (entreprise, SIRET, adresse, secteur), données d'utilisation (documents créés, clients, historique de connexion). Les données de paiement sont traitées directement par Stripe (conforme PCI-DSS) : Factu.me ne stocke aucune donnée bancaire.

Vos données sont traitées pour fournir le service et gérer votre compte (base légale : exécution du contrat), assurer la facturation via Stripe (exécution du contrat), émettre et conserver les factures électroniques Factur-X (obligation légale), fournir le support technique et prévenir la fraude (intérêt légitime), et pour la mesure d'audience ou l'envoi de newsletters (consentement, révocable à tout moment).

Chiffrement TLS 1.3 en transit et AES-256 au repos. L'application est hébergée chez Vercel à Paris, la base de données et les fichiers chez Supabase à Francfort (UE). Une politique de Row Level Security (RLS) garantit que chaque utilisateur n'accède qu'à ses propres données.

Vos données sont conservées pendant la durée de votre abonnement, puis supprimées sous 30 jours après résiliation. Exceptions légales : 10 ans pour les données fiscales et comptables (art. L.123-22 du Code de commerce), 3 ans pour les clients inactifs avant anonymisation, et 13 mois pour les cookies de mesure d'audience.

Vous disposez d'un droit d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), de portabilité de vos données dans un format lisible par machine (art. 20), et d'opposition au traitement ou à la prospection commerciale (art. 21). La plupart de ces droits sont exerçables directement depuis votre espace utilisateur.

Chaque sous-traitant est lié par un contrat conforme à l'article 28 du RGPD : Supabase (base de données et fichiers, Francfort, UE, certifié SOC 2 Type II), Stripe (paiements, UE/US, certifié PCI-DSS Level 1), Vercel (hébergement web, Paris, ISO 27001 et SOC 2 Type II), Resend (emails transactionnels, UE), OpenRouter (génération de documents par IA, US, encadré par des clauses contractuelles types), et Google Analytics (mesure d'audience, US, encadré par les SCC et le Data Privacy Framework).

Les cookies essentiels (session, authentification, préférences) ne nécessitent pas de consentement et durent au maximum 30 jours. Google Analytics, soumis à votre consentement préalable, mesure l'audience avec anonymisation IP pendant 13 mois maximum. Vercel Analytics mesure les performances techniques de manière agrégée, sans donnée personnelle, pour la session en cours.

Certains sous-traitants (OpenRouter, Google Analytics) peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types approuvées par la Commission européenne, des évaluations d'impact lorsque requises, et des mesures techniques complémentaires (chiffrement, minimisation des données transférées).

Si vous estimez que le traitement de vos données n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou via cnil.fr.

Contactez notre DPO par email pour exercer vos droits. Réponse sous 30 jours maximum.