Politique de confidentialité

L’essentiel

• Vos données applicatives sont stockées dans l’Union européenne. Certains prestataires sont établis hors de l’Union (voir « Où sont vos données »).
• Aucun cookie publicitaire : la mesure d’audience se fait sans cookie (voir « Cookies et mesure d’audience »).
• Vos documents ne servent pas à entraîner une IA (voir « Intelligence artificielle »).
• Nous n’accédons à votre espace que pour l’assistance et le diagnostic d’un incident, et chaque accès est journalisé (voir « Quand nous accédons à votre espace »).
• Pour les données de vos modules, vous êtes responsable de traitement et nous sommes sous-traitant (voir « Nos deux rôles selon les données »).
• Pour exercer vos droits : contact@microflows.fr. Nous répondons sous un mois (voir « Vos droits »).

Qui est responsable de vos données

Le responsable du traitement est Seif Boubaker — Entrepreneur individuel (EI), exerçant sous le nom commercial « Microflows », 252 rue de Créqui, 69003 Lyon, France, SIREN 849 383 948.

Contact pour toute question relative à vos données : contact@microflows.fr.

Compte tenu de la taille de la structure et de la nature des traitements, aucun délégué à la protection des données (DPO) n’a été désigné : la désignation n’est pas obligatoire dans notre cas. Nous traitons vos demandes nous-mêmes.

Nos deux rôles selon les données

Microflows intervient à deux titres distincts au regard du RGPD. La qualité applicable détermine auprès de qui les droits s’exercent.

Responsable du traitement, pour les données collectées pour notre propre compte : compte utilisateur, demandes de contact, mesure d’audience du site, suivi du coût des analyses automatisées. La présente politique les décrit.

Sous-traitant au sens de l’article 28 du RGPD, pour les données que vous importez dans les modules (factures, coordonnées de vos propres clients et fournisseurs, pièces comptables), y compris celles des relances que nous envoyons en votre nom. Elles ne sont traitées que sur votre instruction documentée, aux fins de la fourniture du service, et vous en demeurez responsable de traitement. Les engagements des parties figurent dans l’accord de sous-traitance, qui fait partie intégrante du contrat.

La personne dont les données figurent dans un module au titre de la relation qu’elle entretient avec l’un de nos clients adresse sa demande à ce client, seul responsable de traitement. C’est le cas de la personne destinataire d’une relance que nous envoyons au nom d’une entreprise. Saisis directement, nous ne pouvons y donner suite sans son instruction et lui transmettons la demande sans délai.

Les données que nous collectons

Seules sont collectées les données nécessaires au fonctionnement des services. Elles sont recueillies directement auprès de vous ou, si vous choisissez de vous connecter avec un compte Google, auprès de ce fournisseur à votre demande (voir « Connexion avec un compte Google ») ; aucune donnée n’est acquise auprès d’autres tiers.

• Données de compte et de contact : nom, prénom, adresse e-mail professionnelle, et le contenu du message que vous nous adressez. Seule l’adresse e-mail est obligatoire dans le formulaire de contact ; le reste est facultatif et son absence n’empêche pas de vous répondre.
• Accès anticipé : sur la page d’un module en préparation, votre adresse e-mail et le prix que vous avez choisi.
• Estimateur du temps perdu : nous enregistrons vos réponses (secteur, rôle, nombre de personnes, tâches cochées avec leur fréquence et leur durée, coût horaire), même si vous ne laissez pas votre adresse e-mail. S’y ajoutent votre progression d’une question à l’autre et la page d’où vous arrivez, réduite à son chemin si elle appartient à notre site, au seul nom du site d’origine sinon. L’ensemble est rangé sous un numéro tiré au hasard, qui n’est gardé ni dans un cookie ni dans le stockage de votre navigateur. Ni votre nom, ni votre adresse IP, ni le nom que vous saisissez pour « Une autre tâche » n’y figurent. Si vous demandez un diagnostic, votre demande est rattachée à ces réponses.
• Outil de relance d’une facture : le calcul et les trois courriers se préparent dans votre navigateur. Notre mesure d’audience compte deux gestes dans l’outil, le calcul du montant et la création des courriers, avec le type de client choisi (professionnel ou particulier) ; les montants, les noms et les adresses n’y figurent pas. Le reste ne nous parvient que si vous cliquez sur « Créer mon compte gratuit » : nous recevons alors la facture saisie et les coordonnées de votre client, avec le nom, l’adresse et le SIREN de votre entreprise. Nous les enregistrons dans votre compte.
• Outil de la retenue de garantie : le calcul et le courrier se préparent dans votre navigateur. Notre mesure d’audience compte deux gestes dans l’outil, le calcul du résultat et la préparation du courrier, avec le type de client et la forme de la retenue choisis ; les montants, les noms et les adresses n’y figurent pas. Pour remplir une adresse, la recherche d’entreprise interroge l’annuaire public des entreprises depuis votre navigateur. Le reste ne nous parvient que si vous cliquez sur « Créer mon compte gratuit » ou « Retrouver toutes vos retenues » : nous recevons alors la retenue saisie et ce que vous avez rempli pour le courrier, parmi le chantier, les coordonnées de votre client, de la banque ou du consignataire, et le nom, l’adresse et le SIREN de votre entreprise. Nous les enregistrons dans votre compte. Nous prévenons par e-mail les personnes qui ont accès au module 30 jours avant chaque libération, puis le jour même. Pour les coordonnées de votre client, de la banque ou du consignataire, votre entreprise est responsable de traitement et nous les traitons pour son compte, comme sous-traitant (article 28 du RGPD).
• Envoi automatique des relances : avec la version payante du module de relance, nous envoyons en votre nom, par notre prestataire Resend, le rappel puis la relance d’une facture à l’adresse e-mail de votre client. Un avis prévient vos administrateurs avant chaque envoi. Les réponses de votre client vont à l’adresse que vous avez indiquée. Nous gardons le journal de ces envois (date, adresse du destinataire, remise, rebond ou plainte), ainsi que les adresses auxquelles nous n’écrivons plus après un rebond définitif ou une plainte. Vos relances portent le nom que l’annuaire public des entreprises donne à votre SIREN. Pour les données de votre client, votre entreprise est responsable de traitement : elle fonde la relance sur sa propre base légale, par exemple le contrat conclu avec ce client ou son intérêt légitime à être payée. Nous les traitons pour son compte, comme sous-traitant (article 28 du RGPD).
• Création de compte : lorsque vous créez un compte, sont collectés votre prénom, votre nom, votre adresse e-mail et un mot de passe, conservé uniquement sous forme hachée. L’adresse est confirmée par un code à six chiffres, envoyé par e-mail, avant la première connexion. À la création de votre espace, sont enregistrés le nom de votre entreprise, son SIRET si vous le renseignez, ainsi que la date de votre acceptation des conditions générales et l’identité de la personne qui l’a donnée.
• Campagne publicitaire : le lien d’une publicité peut contenir ses paramètres de campagne (utm_source, utm_medium, utm_campaign, utm_content, utm_term). Ils ne décrivent pas votre navigation. Le site les recopie dans ses liens d’inscription. À l’inscription, nous les enregistrons avec le compte de votre entreprise. Nous savons ainsi quelle campagne l’a amenée. Une régie publicitaire ajoute parfois au lien un identifiant de clic (gclid, fbclid). Il n’est ni recopié, ni transmis à la mesure d’audience, ni enregistré.
• Données traitées au titre des modules activés : selon les modules souscrits, les données que vous nous confiez (notamment des factures et les informations qui en sont extraites), traitées pour votre compte et sous votre responsabilité.
• Données techniques : informations de connexion et journaux d’activité strictement nécessaires à la sécurité et au bon fonctionnement du service. Votre adresse IP est utilisée de façon transitoire, en mémoire, pour limiter le nombre d’analyses gratuites par visiteur ; elle n’est pas enregistrée en base.
• Journal des analyses : lorsque vous utilisez l’outil gratuit « Audit express » ou qu’un module fait appel à un modèle d’intelligence artificielle, nous enregistrons la référence de l’analyse (adresse de la page analysée, nom du fichier traité), le modèle utilisé et le coût technique de l’appel, afin de suivre ce que ces analyses nous coûtent. Le contenu analysé, lui, n’est pas conservé.
• Journal des accès administrateur : toute action et toute consultation du contenu d’un client par l’éditeur y est enregistrée (voir « Quand nous accédons à votre espace »).
• Mesure d’audience : statistiques de visite agrégées et anonymes (voir « Cookies et mesure d’audience »).

Aucune catégorie particulière de données au sens de l’article 9 du RGPD n’est collectée ni requise par le service. Vous vous engagez à ne pas en déposer dans les modules.

Pourquoi nous les utilisons (finalités et bases légales)

Lorsque nous invoquons notre intérêt légitime, nous avons mis en balance cet intérêt et vos droits ; vous pouvez vous y opposer à tout moment (voir « Vos droits »).

Intelligence artificielle

Certains modules font appel à des modèles d’intelligence artificielle pour proposer un rapprochement, relire une facture ou rédiger la synthèse d’un audit.

Ces traitements ne constituent pas des décisions fondées exclusivement sur un traitement automatisé au sens de l’article 22 du RGPD : ils ne produisent aucun effet juridique et n’affectent aucune personne de manière significative. Les résultats sont des propositions, soumises à votre validation avant tout usage.

Aucun profilage n’est mis en œuvre. Les prestataires auxquels ces traitements sont confiés s’engagent contractuellement à ne pas utiliser le contenu transmis à des fins d’entraînement de modèles.

Quand nous accédons à votre espace

Aux fins d’assistance et de diagnostic d’incident, l’éditeur dispose d’une fonction d’accès à l’espace d’un client (« voir en tant que »).

Cet accès est réservé à l’éditeur et s’exerce sous l’identité effective de l’utilisateur concerné, dans les mêmes limites de droits que celles qui lui sont applicables. Chaque action et chaque consultation sont inscrites dans un journal d’audit.

Aucun accès au contenu d’un client n’intervient en dehors de ce cadre. L’extrait du journal vous concernant vous est communiqué sur demande.

Où sont vos données

La base de données et l’authentification sont fournies par Supabase, et vos données applicatives sont stockées dans l’Union européenne (région eu-west-1, Irlande).

Le site et l’application sont diffusés par Vercel, société établie aux États-Unis. Supabase est une société établie à Singapour, quand bien même la base qu’elle opère se trouve en Irlande.

Certains traitements font appel à des fournisseurs établis hors de l’Union européenne : ils sont listés ci-dessous, avec ce qui leur est transmis.

Les mesures techniques et organisationnelles mises en œuvre au titre de l’article 32 du RGPD comprennent le cloisonnement des données par client au niveau de la base de données, le chiffrement des identifiants de connexion aux services tiers, le chiffrement des échanges en transit, un contrôle d’accès nominatif et la journalisation des accès administrateur.

Sous-traitants

Les sous-traitants auxquels il est fait appel sont listés ci-après, avec la finalité poursuivie par chacun. Cette liste est tenue à jour : tout nouveau flux sortant y est porté avant sa mise en service.

Sur la page Informations comme dans l’outil et le module de la retenue de garantie, la recherche d’entreprise ne passe par aucun sous-traitant : votre navigateur interroge lui-même l’annuaire public des entreprises tenu par l’État (recherche-entreprises.api.gouv.fr). L’annuaire reçoit le nom ou le numéro que vous saisissez et, comme tout site consulté, votre adresse IP ; aucun cookie n’est déposé. Si vous avez choisi l’envoi automatique des relances, nos serveurs interrogent aussi cet annuaire une fois par mois, avec le SIREN de votre entreprise. Quand vous créez votre compte depuis un outil du site, ils l’interrogent une fois avec le SIREN que vous y avez saisi, pour remplir la fiche de votre entreprise si elle est vide.

Connexion avec un compte Google

Cette possibilité est facultative : la connexion par adresse e-mail et mot de passe reste toujours disponible.

Si l’adresse est inconnue du service, un compte est créé à partir des informations transmises par le fournisseur : adresse e-mail, nom et, lorsqu’il les fournit, prénom et photo de profil, ainsi qu’un identifiant technique du compte détenu chez lui. Si l’adresse est déjà connue, la connexion ouvre le compte existant. Ni le mot de passe du compte tiers, ni aucun accès aux données détenues par le fournisseur ne sont transmis.

Google (Google Ireland Limited pour l’Espace économique européen) traite alors vos données pour son propre compte, en qualité de responsable de traitement et selon sa propre politique de confidentialité ; il n’agit pas en qualité de sous-traitant de Microflows.

Transferts hors de l’Union européenne

Vos données applicatives sont stockées dans l’Union européenne.

Les traitements confiés à Vercel, Supabase, OpenRouter, Anthropic, Google, Stripe, GitHub et Resend impliquent en revanche un transfert de données en dehors de l’Union européenne, vers les États-Unis ou Singapour.

Resend envoie vos relances depuis l’Irlande, mais conserve aux États-Unis, quelle que soit la région d’envoi, les données de notre compte, dont les métadonnées et les journaux de ces envois.

La connexion avec un compte Google peut également impliquer un transfert vers les États-Unis, au sein du groupe Google, encadré par les garanties propres à ce fournisseur.

Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), intégrées aux accords de traitement des données conclus avec chacun de ces prestataires, complétées le cas échéant par les mesures supplémentaires que ces accords prévoient. Certains de ces prestataires sont par ailleurs certifiés au titre du cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework).

Vous pouvez obtenir une copie des garanties applicables à un transfert donné, ou la liste à jour de nos sous-traitants, sur simple demande à contact@microflows.fr.

Nous limitons dans tous les cas ce qui est transmis au strict nécessaire, tel que décrit dans la section « Sous-traitants ».

Combien de temps nous les gardons

Les données sont conservées pour la seule durée nécessaire aux finalités décrites ci-dessus, puis supprimées ou anonymisées.

Les documents conservés par Microflows constituent une copie de confort et non un archivage à valeur probante. La conservation de vos pièces comptables au titre de vos obligations légales demeure votre responsabilité.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d’accès : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l’effacement : demander la suppression de vos données dans les cas prévus par la loi.
• Droit à la limitation du traitement : demander le gel de vos données, notamment le temps que nous vérifiions leur exactitude ou que nous examinions une opposition.
• Droit d’opposition : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime ; et vous opposer sans motif à toute prospection.
• Droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, ou nous demander de les transmettre à un autre prestataire.
• Droit de retirer votre consentement à tout moment, lorsqu’un traitement repose sur celui-ci, sans que cela remette en cause ce qui a été fait auparavant.
• Droit de définir des directives relatives au sort de vos données après votre décès, générales ou particulières, et de les modifier à tout moment (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits, écrivez-nous à contact@microflows.fr. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes, auquel cas nous vous en informons. Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable, et uniquement dans ce cas.

Cookies et mesure d’audience

Le site ne dépose aucun cookie publicitaire et n’utilise aucun traceur à des fins de suivi marketing. Aucun recueil de consentement n’est en conséquence requis au titre de l’article 82 de la loi Informatique et Libertés.

La mesure d’audience du site public et de l’espace client est assurée par Vercel Web Analytics, qui ne dépose aucun cookie et n’assure aucun suivi des visiteurs d’un site à l’autre ; les statistiques produites sont agrégées et anonymes. Le site public et l’espace client mettent en outre en œuvre Vercel Speed Insights, qui mesure la vitesse d’affichage des pages, également sans cookie.

Seuls sont mis en œuvre des traceurs strictement nécessaires à la fourniture du service, dispensés de consentement à ce titre : les cookies de session maintenant l’utilisateur connecté, avec son choix de rester connecté ; le cookie de l’espace actif ; le cookie qui conserve un lien d’invitation le temps de la connexion ; le cookie qui garde une facture saisie sans compte le temps de l’inscription ; le cookie qui sécurise la connexion d’un service tiers (LinkedIn, Pipedrive, Slack) le temps de l’autoriser ; et le stockage local conservant la préférence de thème clair ou sombre.

Une facture saisie sans compte ne nous parvient qu’au clic sur « Créer mon compte gratuit ». Un cookie la garde le temps de votre inscription, puis nous l’enregistrons dans votre compte. Strictement nécessaire à ce que vous demandez, ce cookie de courte durée est dispensé de consentement.

L’application écrit aussi deux informations dans le stockage de session de votre navigateur, une mémoire qui s’efface à la fermeture de l’onglet. Quand vous confirmez votre adresse par un code, elle y garde cette adresse, l’heure d’envoi du code et la page où vous revenez ensuite, pour que l’écran de saisie résiste à un rechargement. Quand vous arrivez par le lien d’un module, elle y garde ce module jusqu’à son ouverture dans votre entreprise, puis l’efface. Ce stockage reste dans votre navigateur : nous n’y avons pas accès. Strictement nécessaire à la création du compte et au module que vous demandez, il est dispensé de consentement, au même titre que les traceurs d’authentification et ceux qui conservent un panier d’achat, deux exemptions que cite la CNIL.

Le site garde de même vos réponses à l’estimateur du temps perdu dans le stockage de session, pour qu’un rechargement ne les efface pas ; strictement nécessaire à l’estimation que vous demandez, ce stockage est dispensé de consentement.

Les paramètres de campagne ne passent par aucun cookie ni aucun stockage de votre navigateur. Le site les recopie de l’adresse de la page vers ses liens d’inscription.

Violations de données

En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, nous notifions la CNIL dans les 72 heures, conformément à l’article 33 du RGPD.

Lorsque la violation est susceptible d’engendrer un risque élevé, nous vous en informons directement et dans les meilleurs délais, en vous indiquant les conséquences probables et les mesures prises.

Modification de cette politique

La présente politique est susceptible d’évoluer, notamment lors de l’ajout d’un module ou d’un prestataire. La date de dernière mise à jour figure en tête de page.

En cas de modification substantielle affectant vos droits ou l’étendue des traitements, nous en informons les clients concernés par e-mail avant son entrée en vigueur.

Contact et réclamation

Pour toute question concernant cette politique ou le traitement de vos données : contact@microflows.fr, ou par courrier à Seif Boubaker — Entrepreneur individuel (EI), 252 rue de Créqui, 69003 Lyon, France.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr. Vous disposez également d’un recours juridictionnel.