Politique de confidentialité

La protection de vos données personnelles est une priorité pour Numenys. Cette politique vous informe, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, de la manière dont nous collectons, utilisons, conservons et protégeons vos données personnelles.

Article 1 — Responsable de traitement

Délégué à la Protection des Données (DPO) : Numenys n'est pas soumise à l'obligation de désignation d'un DPO au sens de l'article 37 du RGPD. Un référent RGPD peut néanmoins être contacté à l'adresse rgpd@vericompt.fr.

Article 2 — Données collectées

2.1 Données de compte

2.2 Données de facturation

Numenys ne stocke pas les données de carte bancaire — celles-ci sont traitées directement et exclusivement par Stripe.

2.3 Données métier — contenu des fichiers FEC

Les fichiers FEC téléversés contiennent des données comptables pouvant inclure des données relatives à des tiers (clients, fournisseurs, salariés). Pour ces données, l'Utilisateur agit en qualité de responsable de traitement, ou de sous-traitant lorsqu'il les traite pour le compte de son propre client (par exemple l'expert-comptable qui tient sa comptabilité). Numenys agit pour le compte de l'Utilisateur en qualité de sous-traitant, ou de sous-traitant ultérieur dans le second cas (art. 28 du RGPD). Un accord de sous-traitance (DPA) est disponible sur demande à rgpd@vericompt.fr.

2.4 Données de connexion et techniques

2.5 Données issues de la connexion Pennylane (si activée)

Si l'Utilisateur connecte son compte Pennylane, Numenys conserve, sous forme chiffrée, les jetons d'accès et de renouvellement ainsi que l'identifiant et le nom de la société connectée, afin de récupérer le FEC. Ils sont supprimés à la déconnexion de la société ou à la clôture du compte.

2.6 Données issues de la connexion Google (si activée)

Si l'Utilisateur choisit de se connecter via son compte Google, Numenys reçoit et conserve l'identifiant de compte Google et l'adresse e-mail associée, afin de lier ce mode de connexion au compte Vericompt.

2.7 Données de partage de rapport et d'identification des audits

Lorsque l'Utilisateur partage un rapport d'audit avec un tiers, l'adresse e-mail de ce destinataire est collectée pour lui envoyer l'invitation puis un code d'accès à usage unique ; seules les adresses invitées peuvent accéder au rapport. La date de fin de l'accès, son éventuel retrait par l'Utilisateur et la date de la dernière consultation sont enregistrés. Par ailleurs, le SIREN de la société auditée, lorsqu'il est identifiable dans le nom du fichier FEC, est associé à l'audit correspondant.

2.8 Liste d'attente

L'adresse e-mail renseignée pour s'inscrire à la liste d'attente d'une fonctionnalité (ex. page « Intégrations ») est collectée pour informer l'Utilisateur de sa disponibilité.

2.9 Dossiers

Un dossier correspond à une entité et à un exercice comptable (article 3.2 des CGU). Pour chaque dossier, Numenys enregistre le SIREN de l'entité et, pour un FEC récupéré via Pennylane, sa dénomination, les dates de l'exercice, l'origine du FEC, les dates d'ouverture et d'expiration du dossier, ainsi que, dans un registre, chaque crédit, ouverture ou analyse gratuite qui le concerne.

Lorsque le SIREN n'est pas connu, la Plateforme rattache l'analyse au bon dossier grâce à une empreinte des comptes généraux du FEC : chaque couple numéro-libellé est haché avec une clé secrète, et les libellés eux-mêmes ne sont pas conservés. L'empreinte n'est comparée qu'aux dossiers du même Utilisateur et s'efface à l'expiration du dossier. Un libellé de compte général pouvant nommer une personne (compte courant d'associé, par exemple), l'empreinte est une donnée pseudonymisée, que Numenys traite pour le compte de l'Utilisateur comme les écritures (art. 2.3).

Article 3 — Finalités et bases légales

Article 4 — Durée de conservation

Article 5 — Sous-traitants et destinataires

Les sous-traitants qui traitent les données des fichiers FEC pour le compte de l'Utilisateur (art. 2.3), et le préavis donné avant tout changement, sont détaillés sur la page Sous-traitants.

Numenys ne vend pas, ne loue pas et ne partage pas vos données avec des tiers à des fins commerciales.

Le contenu des fichiers FEC n'est réutilisé à aucune autre fin que l'exécution du service, même sous forme agrégée ou anonymisée : ni statistiques, ni études, ni entraînement de modèles d'intelligence artificielle.

Article 6 — Transferts hors Union européenne

Numenys privilégie des infrastructures européennes. Stripe peut transférer certaines données vers les États-Unis dans le cadre de son infrastructure — ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (art. 46 du RGPD). Sentry, société américaine, héberge les données de diagnostic technique qui lui sont transmises dans l'Union européenne (Allemagne) et n'est configuré pour transmettre ni contenu de fichiers ni données personnelles. Anthropic, société américaine, traite aux États-Unis les requêtes de l'assistant IA (résultats des contrôles et quelques écritures d'un dossier, noms des tiers remplacés par des pseudonymes), sous Clauses Contractuelles Types ; l'Utilisateur peut désactiver l'assistant dans son espace client, ce qui arrête tout envoi. Brevo et Pennylane sont des sociétés françaises dont le traitement s'effectue au sein de l'Union européenne. Tailscale, qui fournit le réseau privé d'administration du serveur, ne reçoit pas les données des Utilisateurs : il traite les métadonnées de connexion des appareils d'administration de Numenys au Canada, en Allemagne, aux États-Unis et au Royaume-Uni, sous Clauses Contractuelles Types, et n'a pas accès au contenu des échanges, chiffrés de bout en bout.

Article 7 — Sécurité des données

Numenys met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• Chiffrement des données en transit (TLS/HTTPS) ;
• Hachage des mots de passe (algorithme bcrypt) ;
• Accès aux données restreint aux seuls membres de l'équipe qui en ont besoin ;
• Journalisation des accès et surveillance des anomalies ;
• Sauvegardes quotidiennes, répliquées au sein de l'Union européenne sur une infrastructure distincte de celle qui héberge la Plateforme, conservées 90 jours au plus.

En cas de violation des données personnelles dont Numenys est responsable de traitement (données de compte, de facturation et de connexion), Numenys la notifie à la CNIL dans les 72 heures lorsqu'elle est susceptible d'engendrer un risque pour vos droits, et vous en informe lorsque ce risque est élevé (art. 33 et 34 du RGPD). Pour les données des fichiers FEC (art. 2.3), que Numenys traite en qualité de sous-traitant, Numenys notifie l'Utilisateur concerné dans les meilleurs délais après en avoir pris connaissance (art. 33.2 du RGPD) et l'aide à remplir ses propres obligations ; la notification à la CNIL incombe au responsable de traitement.

Article 8 — Vos droits RGPD

Numenys s'engage à répondre à toute demande dans un délai maximum d'un mois à compter de la réception (article 12.3 du RGPD), prolongeable de deux mois en cas de complexité de la demande.

Article 9 — Cookies et traceurs

9.1 Cookies strictement nécessaires

Vericompt utilise des cookies strictement nécessaires au fonctionnement du service (gestion de session, sécurité, préférences d'affichage). Ces cookies ne nécessitent pas votre consentement.

9.2 Mesure d'audience

Vericompt utilise Umami, un outil de mesure d'audience auto-hébergé par Numenys sur son propre serveur. Umami ne dépose aucun cookie et ne transmet aucune donnée à un tiers.

9.3 Cookies tiers

Stripe peut déposer des cookies techniques lors du processus de paiement, nécessaires au bon déroulement de la transaction sécurisée.

Article 10 — Modifications de la politique

Numenys se réserve le droit de modifier la présente politique à tout moment. Toute modification substantielle sera notifiée par e-mail avec un préavis raisonnable. La version en vigueur est toujours accessible à l'adresse https://vericompt.fr/politique-confidentialite.

Article 11 — Contact

Par e-mail : rgpd@vericompt.fr

Par courrier : Numenys — 3 rue de Saint-Malo, 37100 Tours

Merci de joindre une copie de votre pièce d'identité pour les demandes d'exercice de droits.