Politique de confidentialité
Version provisoire — dernière mise à jour : 15 octobre 2026
FACTCREA — Version provisoire du 15 octobre 2026
3.1 Responsable de traitement et contact
Sabrina Levasseur EI, nom commercial Frenchy Properties, SIREN 508 510 294, 133 route de Gironde, 46090 Bellefont-la-Rauze, France, est responsable des traitements propres à l’exploitation de FACTCREA. Contact pour les droits et les questions : factcrea@outlook.fr.
Pour les données métier que les créateurs déposent au sujet de leurs clients et contacts, le créateur détermine les finalités et agit comme responsable de traitement ; FACTCREA intervient pour son compte selon l’annexe RGPD. Une personne mentionnée dans une facture adresse normalement sa demande au créateur émetteur ; FACTCREA peut l’assister pour transmettre et traiter cette demande.
3.2 Données traitées et origine
Les données sont principalement fournies par l’utilisateur et complétées par les informations techniques nécessaires au service et les notifications des prestataires :
- Compte : adresse électronique, identifiants de compte, données de connexion et de confirmation. Le mot de passe est géré par l’authentification Lovable Cloud, sous forme de vérification sécurisée, et non conservé comme texte lisible par FACTCREA.
- Profil professionnel : identité ou raison sociale, forme juridique, nom commercial, adresse, pays, SIREN/SIRET et mentions de facturation ; coordonnées ou éléments de personnalisation renseignés pour les documents, le cas échéant.
- Inscription et essai : SIREN déclaré, certification professionnelle, vérification du format et de la clé, autorisation temporaire d’inscription et trace du bénéfice d’un essai pour ce SIREN.
- Données métier : clients, agences et contacts, coordonnées, identifiants professionnels, notes, collaborations, prestations, récurrences, contrats et fichiers déposés ; factures, avoirs et données de paiement enregistrées par le créateur.
- Documents définitifs : contenus figés de l’émetteur et du destinataire, numéros, montants, dates, PDF conservés et empreintes SHA-256 de contrôle d’intégrité.
- Abonnement : formule, dates, statut, références techniques Stripe et informations nécessaires au suivi de la facturation. Stripe traite les données de carte ; FACTCREA ne conserve pas leur numéro complet ou leur cryptogramme.
- Envois : destinataire, informations nécessaires au message et au PDF joint, identifiant Resend, résultat, dates et événements de livraison ou d’incident.
- Sécurité et support : échanges adressés au support, données techniques nécessaires à la connexion, à la prévention des abus et au diagnostic. Pour la limitation des vérifications SIREN, une empreinte SHA-256 de l’adresse IP est utilisée au lieu d’en conserver la valeur en clair dans ce mécanisme. Cette empreinte est une donnée pseudonymisée, et non une anonymisation garantie.
Les fichiers déposés peuvent contenir des données relatives à d’autres personnes. L’utilisateur doit éviter les données sensibles ou sans utilité pour la gestion administrative. FACTCREA ne réalise pas de vérification officielle de l’activité d’une entreprise à l’inscription.
3.3 Finalités et bases légales des traitements propres à FACTCREA
| Finalité | Base à retenir et limite |
|---|---|
| Créer et gérer le compte, fournir l’essai et l’abonnement | Exécution du contrat lorsque la personne est partie ; intérêt légitime de gestion de la relation avec les représentants d’un client société, selon leur situation |
| Gérer les encaissements d’abonnement et la comptabilité de l’éditrice | Contrat et obligations comptables/fiscales applicables, pour les éléments effectivement requis |
| Confirmation de compte, récupération d’accès, messages nécessaires au service | Contrat ou intérêt légitime de gestion/sécurité selon la situation |
| Limiter l’essai à un par SIREN, prévenir les abus et sécuriser les accès | Intérêt légitime, sous réserve de documenter nécessité, proportionnalité et durée ; l’essai peut être refusé automatiquement avec possibilité de demander un examen humain au contact public |
| Traiter les demandes de support et de droits | Contrat/intérêt légitime pour le support, obligation légale pour l’exercice des droits |
| Préserver des preuves réellement nécessaires à un différend | Intérêt légitime ou obligation légale selon le document ; conservation ciblée et non systématique |
Pour les traitements des données métier sur instruction du créateur, celui-ci détermine sa base légale et informe les personnes concernées. FACTCREA ne choisit pas automatiquement une base contractuelle pour toutes les données des clients du créateur.
La fourniture de l’adresse électronique, des données de connexion et du SIREN est nécessaire au parcours professionnel actuel. Les informations légales de l’émetteur et du destinataire sont nécessaires à la validation des documents concernés. Sans ces données, le parcours correspondant ne peut pas être réalisé. Les autres renseignements doivent rester limités à leur utilité.
Les données métier ne sont ni revendues ni utilisées par FACTCREA pour de la publicité. Aucun service d’intelligence artificielle n’est intégré à l’usage métier de FACTCREA. La politique Lovable distingue les données des utilisateurs des applications de celles utilisées pour développer les projets : il ne faut pas déposer des données clients réelles dans des échanges de développement en présumant les mêmes règles de traitement.
3.4 Destinataires et prestataires
L’accès est limité aux personnes et prestataires qui en ont besoin pour fournir le service, assurer sa sécurité ou satisfaire une obligation légale. Les accès privilégiés de maintenance doivent être autorisés, proportionnés et encadrés ; il ne faut pas promettre qu’aucun opérateur technique ne peut jamais accéder à une donnée.
| Prestataire | Usage réel ou constaté | Points à confirmer |
|---|---|---|
| Lovable Cloud | Hébergement applicatif, base, connexion, fichiers privés et infrastructure des e-mails d’authentification | Entité contractante exacte, accord de sous-traitance applicable au plan, chaîne de sous-traitants, journaux, sauvegardes et coordonnées de l’hébergeur |
| Stripe | Paiement des abonnements, gestion technique des échéances et factures d’abonnement | Entité applicable au compte, rôle par traitement, contrats de transfert et durées effectives |
| Resend | Transmission des factures et des relances testées, PDF joint, notifications de livraison | Contrat applicable, lieux et durées des contenus, pièces jointes, journaux et copies ; relances générales toujours désactivées |
| Service de messagerie utilisé pour le support | Messages envoyés à factcrea@outlook.fr, adresse Outlook | Encadrement de cette boîte, rôle contractuel de Microsoft selon le compte, sécurité, durées et transferts éventuels |
Resend désigne Plus Five Five, Inc. dans son accord public. Stripe peut intervenir comme prestataire sur instruction pour certains traitements et comme responsable autonome pour ses obligations de paiement, de sécurité ou de lutte contre la fraude : son rôle ne doit pas être réduit globalement à celui de sous-traitant.
L’infrastructure d’envoi des messages de confirmation et de récupération d’accès est distincte du code d’envoi Resend des factures. L’audit précédent indiquait l’expéditeur Lovable par défaut ; son identité exacte et la chaîne de prestataires doivent être confirmées dans les paramètres du compte avant publication. Aucun nouvel expéditeur n’est configuré par ce dossier.
Les destinataires des factures et leurs services de messagerie reçoivent nécessairement les informations et pièces jointes que le créateur choisit de leur envoyer.
3.5 Localisation et transferts internationaux
L’audit technique situe la base et le stockage applicatif en Irlande. Cela ne suffit pas à exclure des accès ou traitements hors de l’Espace économique européen, notamment pour l’exploitation des prestataires, l’envoi d’e-mails, le paiement, le support ou leurs sous-traitants.
Les documents publics consultés décrivent des mécanismes de transfert, notamment des clauses contractuelles types et, pour certains prestataires, le cadre UE–États-Unis de protection des données. Leur présence dans une politique publique ne prouve pas à elle seule leur application à chaque traitement de FACTCREA.
Avant adoption de la politique définitive, l’éditrice doit vérifier les contrats applicables, les entités et lieux concernés, l’éventuelle certification valable du destinataire, les modules des clauses contractuelles et les mesures supplémentaires nécessaires. Elle pourra alors indiquer précisément les mécanismes réellement utilisés et comment obtenir les garanties applicables, avec occultation des seuls éléments confidentiels justifiés.
Information non finalisée : le présent projet ne certifie aucun transfert conforme par défaut et ne déclare pas que toutes les données restent en Irlande.
3.6 Conservation
La durée dépend de la finalité et du rôle de FACTCREA. La conservation de la comptabilité de l’éditrice est distincte de celle des créateurs. La fermeture du compte ne doit pas entraîner dix années supplémentaires de conservation de tous les documents.
Les durées proposées et leurs points de départ sont détaillés en section 5. Les repères de 10 ans pour les pièces comptables et de 6 ans pour certains documents fiscaux ne sont pas des durées applicables à toutes les informations du service. L’applicabilité exacte au statut et aux pièces de l’éditrice et de chaque créateur doit être confirmée.
À la fermeture d’un compte (section 5), le compte et ses données sont supprimés à l’issue du délai de 30 jours ou de la période payée ; seuls sont conservés la fiche minimale d’abonnement, un relevé minimal de la fermeture et la trace d’essai par SIREN. La suppression automatique à l’échéance n’est pas encore activée. Les copies des sauvegardes et des prestataires suivent leurs propres durées.
3.7 Droits et exercice
Selon les conditions prévues par le RGPD, les personnes disposent de droits d’accès, rectification, effacement, limitation, opposition et portabilité. La portabilité ne couvre pas automatiquement toute donnée ou tout document : elle dépend notamment de la base légale et de l’origine des données. Les directives relatives au sort des données après le décès peuvent être communiquées dans les conditions du droit français.
Les demandes sont adressées à factcrea@outlook.fr. La vérification d’identité est proportionnée ; une pièce d’identité n’est pas demandée systématiquement. Une réponse est apportée en principe dans le délai d’un mois ; une prolongation pouvant atteindre deux mois supplémentaires est possible dans les conditions du RGPD, avec information dans le premier mois.
L’effacement n’est pas absolu : un document peut rester nécessaire à une obligation légale ou à la constatation, l’exercice ou la défense de droits. Une restriction ou un refus doit être expliqué avec son fondement et sa portée. Pour une donnée métier traitée pour un créateur, la demande est traitée selon les instructions de ce responsable, avec l’assistance de FACTCREA.
Une réclamation peut être adressée à la CNIL, notamment via https://www.cnil.fr/fr/plaintes. L’éditrice n’a pas désigné fictivement un DPO : le contact public est un contact de protection des données, pas une déclaration de nomination.
3.8 Cookies, stockage local et mesures d’audience
La session de connexion utilise le stockage local du navigateur. Stripe peut utiliser ses dispositifs techniques de sécurité et de prévention de la fraude dans le parcours Abonnement. Les composants techniques peuvent également mémoriser des préférences d’interface lorsque ces composants sont effectivement utilisés.
L’audit du code n’a pas identifié de publicité ou de mesure d’audience ajoutée par FACTCREA. Les polices sont auto-hébergées, sans appel à Google Fonts.
À vérifier sur le site effectivement mis en ligne : les noms, finalités, émetteurs, durées et caractère nécessaire des cookies et autres traceurs de l’application, de Stripe et de l’infrastructure. Une déclaration absolue « aucun cookie d’audience » ne doit pas être publiée sans ce contrôle. La présence d’un composant de préférence dans le code ne prouve pas que son cookie est déposé sur chaque page.
Les traceurs strictement nécessaires peuvent être exemptés de consentement dans les conditions légales ; les traceurs non nécessaires ne doivent être chargés qu’avec un mécanisme de consentement valable lorsqu’il est requis. Aucun bandeau inutile n’est proposé uniquement pour des stockages réellement nécessaires.
3.9 Sécurité et évolution
Les accès métier sont limités au compte propriétaire ; les documents sont stockés dans des espaces privés et consultables au moyen d’autorisations ou de liens temporaires. Les PDF définitifs sont contrôlés par empreinte et ne sont pas régénérés à l’export. Les protections empêchent les suppressions en cascade de documents validés. Les communications du service utilisent HTTPS.
Une empreinte d’intégrité n’est ni une signature électronique qualifiée ni une certification d’archivage. Aucune invulnérabilité ou politique de sauvegarde chiffrée non vérifiée n’est garantie.
Les évolutions importantes des traitements doivent être reflétées dans cette politique, avec une information adaptée avant leur application. Cette version reste provisoire jusqu’à résolution des réserves.
---