Politique de confidentialité

Cette politique décrit les traitements de données personnelles réalisés par le service VFact, conformément au règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Elle s'applique aux visiteurs du site, aux utilisateurs du service et, pour ce qui concerne notre rôle de sous-traitant, aux personnes dont les données sont traitées par nos clients.

1. Qui est responsable ?

Responsable de traitement pour le site, les comptes utilisateurs, les abonnements, le support et la prospection : ACME, SAS — SIREN 805 313 160, 38 rue Dunois, 75013 Paris. Contact données personnelles : contact@acme-sas.com.
Éditeur du logiciel : SADE INVEST GROUP, SAS — SIREN 103 962 809, RCS Toulouse.
Votre entreprise est responsable de traitement pour les données de ses propres clients, contacts, fournisseurs et signataires qu'elle saisit ou reçoit dans VFact (devis, factures, relances, mandats SEPA, justificatifs). ACME agit alors comme sous-traitant (article 28 du RGPD), sur vos instructions, dans le cadre de l'accord de traitement annexé aux conditions générales. Une personne figurant dans les données d'un client de VFact exerce ses droits auprès de ce client ; nous l'assistons.

2. Traitements pour lesquels ACME est responsable

2.1 Compte utilisateur et sécurité

Données : civilité, nom, prénom, adresse e-mail, téléphone (facultatif), fonction, mot de passe (haché), secret de double authentification (chiffré), codes de secours (hachés), adresse IP et navigateur lors des connexions et de l'acceptation des conditions générales, journal des actions (journal d'audit).
Finalités : création et gestion du compte, authentification, sécurité (verrouillage après échecs, révocation des sessions), preuve de l'acceptation des conditions générales.
Base légale : exécution du contrat ; intérêt légitime (sécurité du service) pour les journaux.
Durée : pendant la durée du compte. À votre demande, le compte est anonymisé 30 jours après la demande (délai de rétractation) ; le journal d'audit est conservé avec l'organisation à laquelle il se rattache et supprimé avec elle.

2.2 Abonnement et facturation du service

Données : société, adresse de facturation, numéro de TVA, adresse e-mail du titulaire, identifiants de client et d'abonnement chez notre prestataire de paiement, historique des paiements. Les numéros de carte ne transitent jamais par VFact : ils sont saisis chez Stripe.
Finalités : souscription, paiement, facturation, comptabilité, gestion des impayés.
Base légale : exécution du contrat ; obligation légale (conservation des pièces comptables).
Durée : durée du contrat, puis 10 ans pour les pièces comptables (Code de commerce, article L123-22).

2.3 Essai gratuit, e-mails de service et vérification d'adresse

Données : adresse e-mail, prénom, dates d'inscription et de fin d'essai.
Finalités : e-mail de bienvenue, vérification de l'adresse e-mail (lien valable 7 jours, rappel unique à J+2), rappel de fin d'essai (J-3) et information de bascule vers la formule gratuite.
Base légale : exécution du contrat (mesures précontractuelles pendant l'essai).
Durée : durée du compte.

2.4 Synthèse hebdomadaire par e-mail

Données : adresse e-mail, indicateurs d'activité de vos organisations.
Base légale : intérêt légitime (information sur votre propre activité) ; désinscription en un clic depuis chaque e-mail ou depuis vos préférences.
Durée : jusqu'à désinscription ou fermeture du compte.

2.5 Formulaire de contact et support

Données : nom, adresse e-mail, sujet, message.
Finalités : répondre à votre demande.
Base légale : mesures précontractuelles ou intérêt légitime (répondre à une sollicitation).
Durée : le message n'est pas stocké dans VFact ; il est transmis par e-mail à contact@acme-sas.com et conservé dans notre messagerie le temps du traitement de la demande, au plus 3 ans après le dernier contact.

2.6 Cookies, stockage local et mesure d'audience

Aucun cookie de mesure d'audience, aucun traceur publicitaire, aucun script tiers n'est chargé sur le site. Le navigateur conserve localement les seuls éléments strictement nécessaires (session, société sélectionnée, langue, choix relatif aux cookies), exemptés de consentement. Les e-mails de facture envoyés par nos clients depuis VFact peuvent comporter un compteur d'ouverture (image d'un pixel) et un lien de téléchargement mesuré : ces mesures sont réalisées pour le compte et sous la responsabilité du client émetteur.

3. Traitements pour lesquels ACME est sous-traitant (données de vos clients)

Pour ces traitements, votre entreprise décide des finalités et des moyens ; VFact exécute vos instructions.

Clients, contacts, fournisseurs : identité, adresse, e-mail, téléphone, SIRET, TVA, IBAN et mandats SEPA, notes, commercial rattaché. Conservés tant que vous les gardez dans votre compte.
Devis, factures, avoirs, bons de livraison, paiements : identité des contreparties, montants, échéances, règlements. Les factures émises sont copiées dans une archive légale scellée (empreinte SHA-256) conservée 10 ans à compter de la clôture de l'exercice (Code de commerce, article L123-22), y compris après suppression de votre organisation si la loi l'impose à ACME.
Signature électronique simple des devis : tracé de la signature, nom et adresse e-mail déclarés, adresse IP et horodatage serveur, conservés avec le PDF signé pendant la durée de conservation du devis.
Facturation électronique : vos factures au format EN 16931 (identités, SIREN, montants) sont transmises à la Plateforme Agréée à laquelle VFact est raccordé et à l'annuaire national, conformément à vos obligations légales.
Relances par e-mail ou SMS : adresse e-mail ou numéro de téléphone du client final, montants dus, historique des relances ; le SMS est activé client par client, sur votre décision.
Demandes d'avis après facture : nom, adresse e-mail, note et commentaire du répondant, conservés avec la facture.
Capture de justificatifs par IA : la pièce photographiée ou téléversée (image ou PDF) est transmise intégralement à un service d'intelligence artificielle situé aux États-Unis (voir sous-traitants) pour en extraire le fournisseur, les montants et la TVA ; le transfert est encadré par des clauses contractuelles types et le Data Privacy Framework. La pièce est ensuite scellée et conservée 10 ans et 6 mois à compter de son scellement.
Connexion bancaire (si vous l'activez) : comptes, IBAN, transactions et libellés de vos relevés, obtenus avec votre consentement DSP2 renouvelé tous les 90 jours, pour le rapprochement bancaire.
Encaissement en ligne (VFact Pay) : le payeur saisit sa carte chez Stripe ; VFact ne reçoit que l'identité du payeur, le montant et le statut du paiement.

4. Destinataires et sous-traitants ultérieurs

Les données ne sont accessibles qu'au personnel habilité de ACME et aux sous-traitants ci-dessous, chacun pour la finalité indiquée. La liste à jour, avec les garanties de transfert, est publiée sur la page Sous-traitants ; tout ajout est notifié aux clients 30 jours à l'avance.

ACME SAS — Hébergement et exploitation de la plateforme (serveurs et sauvegardes chiffrées en France) ; pays : France ; garantie : Union européenne. Données concernées : Toutes les données de la plateforme.
Stripe Payments Europe Ltd — Paiement des abonnements et encaissement en ligne des factures (VFact Pay) ; pays : Irlande ; garantie : Union européenne (transferts vers Stripe Inc. encadrés par clauses contractuelles types). Données concernées : Identité et coordonnées du payeur, données de carte (jamais stockées par VFact), montants.
Seqino (Plateforme Agréée immatriculée DGFiP n°0048, groupe Crédit Mutuel) — Émission, réception et annuaire des factures électroniques ; pays : France ; garantie : Union européenne. Données concernées : Factures au format EN 16931 (identités, SIREN, montants), annuaire des entreprises.
Anthropic PBC — Extraction des données des justificatifs photographiés (capture IA) ; pays : États-Unis ; garantie : Clauses contractuelles types de la Commission européenne / EU-US Data Privacy Framework. Données concernées : Le justificatif photographié ou téléversé est transmis intégralement (image ou PDF) ; VFact ne conserve pas de copie chez le prestataire.
Fournisseur SMTP configuré par l'administrateur de la plateforme — Envoi des e-mails de la plateforme (compte, essai, factures, relances) ; pays : Selon le fournisseur configuré (indiqué dans Admin > E-mail) ; garantie : Contrat du fournisseur. Données concernées : Adresse e-mail du destinataire, contenu des e-mails et pièces jointes.
Enable Banking Oy — Agrégation bancaire (rapprochement), uniquement si la connexion bancaire est activée par l'organisation ; pays : Finlande ; garantie : Union européenne. Données concernées : Comptes, IBAN, transactions et libellés des relevés.

Les données peuvent également être communiquées aux autorités qui en font légalement la demande (administration fiscale, autorités judiciaires).

5. Transferts hors de l'Union européenne

Les données sont hébergées et sauvegardées en France. Les seuls transferts hors de l'Union européenne sont ceux indiqués dans la liste des sous-traitants (notamment l'extraction des justificatifs par IA aux États-Unis) ; ils reposent sur les clauses contractuelles types de la Commission européenne ou sur une décision d'adéquation (EU-US Data Privacy Framework).

6. Sécurité

Chiffrement des échanges (TLS), chiffrement au repos des secrets (AES-256), double authentification, journal d'audit, verrouillage des comptes après échecs, sauvegarde chiffrée hors site chaque nuit avec procédure de restauration testée, cloisonnement strict des données entre organisations, hébergement en France.

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Depuis votre compte : Mon profil › Mes données — export de vos données personnelles (JSON), demande de suppression du compte (anonymisation 30 jours après la demande, annulable) ; pour le propriétaire d'une organisation : export complet de l'organisation et demande d'effacement de l'organisation.
Par e-mail : contact@acme-sas.com — nous répondons dans un délai d'un mois.
Réclamation : vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

Si vous figurez dans les données d'un client de VFact (vous êtes son client, son fournisseur, un signataire), adressez votre demande à ce client, responsable de traitement ; nous l'aidons à y répondre.

8. Mise à jour

Cette politique peut évoluer ; la version en vigueur est celle publiée sur cette page.

Dernière mise à jour : 25 septembre 2026.