Politique de confidentialité

Cette politique décrit les traitements de données personnelles réalisés par le service VFact, conformément au règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Elle s'applique aux visiteurs du site, aux utilisateurs du service et, pour ce qui concerne notre rôle de sous-traitant, aux personnes dont les données sont traitées par nos clients.

1. Qui est responsable ?

Responsable de traitement pour le site, les comptes utilisateurs, les abonnements, le support et la prospection : ACME, SAS au capital de 5 000 € — SIREN 805 313 160, RCS Paris 805 313 160, 38 rue Dunois, 75013 Paris. Contact données personnelles : contact@acme-sas.com.
Éditeur du logiciel : SADE INVEST GROUP, SAS — SIREN 103 962 809, RCS Toulouse 103 962 809.
Votre entreprise est responsable de traitement pour les données de ses propres clients, contacts, fournisseurs et signataires qu'elle saisit ou reçoit dans VFact (devis, factures, relances, mandats SEPA, justificatifs). ACME agit alors comme sous-traitant (article 28 du RGPD), sur vos instructions, dans le cadre de l'accord de traitement annexé aux conditions générales. Une personne figurant dans les données d'un client de VFact exerce ses droits auprès de ce client ; nous l'assistons.

2. Traitements pour lesquels ACME est responsable

2.1 Compte utilisateur et sécurité

Données : civilité, nom, prénom, adresse e-mail, téléphone (facultatif), fonction, mot de passe (haché), secret de double authentification (chiffré), codes de secours (hachés), adresse IP et navigateur lors des connexions et de l'acceptation des conditions générales, journal des actions (journal d'audit), origine de l'inscription (campagne publicitaire ou site d'où vous venez, page d'arrivée).
Finalités : création et gestion du compte, authentification, sécurité (verrouillage après échecs, révocation des sessions), preuve de l'acceptation des conditions générales.
Base légale : exécution du contrat ; intérêt légitime (sécurité du service) pour les journaux.
Durée : pendant la durée du compte. À votre demande, le compte est anonymisé 30 jours après la demande (délai de rétractation) ; le journal d'audit est conservé avec l'organisation à laquelle il se rattache et supprimé avec elle.

2.2 Abonnement et facturation du service

Données : société, adresse de facturation, numéro de TVA, adresse e-mail du titulaire, identifiants de client et d'abonnement chez notre prestataire de paiement, historique des paiements. Les numéros de carte ne transitent jamais par VFact : ils sont saisis chez Stripe.
Finalités : souscription, paiement, facturation, comptabilité, gestion des impayés.
Base légale : exécution du contrat ; obligation légale (conservation des pièces comptables).
Durée : durée du contrat, puis 10 ans pour les pièces comptables (Code de commerce, article L123-22).

2.3 Essai gratuit, e-mails de service et vérification d'adresse

Données : adresse e-mail, prénom, dates d'inscription et de fin d'essai.
Finalités : e-mail de bienvenue, vérification de l'adresse e-mail (lien valable 7 jours, rappel unique à J+2), rappel de fin d'essai (J-3) et information de bascule vers la formule gratuite ; e-mails d'accompagnement du compte (aide au démarrage, fin d'essai, présentation des formules), envoyés à la main par notre équipe, au plus un par semaine, avec un lien de désinscription dans chaque message.
Base légale : exécution du contrat (mesures précontractuelles pendant l'essai) ; intérêt légitime pour les e-mails d'accompagnement, auxquels vous pouvez vous opposer à tout moment.
Durée : durée du compte.

2.4 Synthèse hebdomadaire par e-mail

Données : adresse e-mail, indicateurs d'activité de vos organisations.
Base légale : intérêt légitime (information sur votre propre activité) ; désinscription en un clic depuis chaque e-mail ou depuis vos préférences.
Durée : jusqu'à désinscription ou fermeture du compte.

2.5 Formulaire de contact et support

Données : nom, adresse e-mail, sujet, message.
Finalités : répondre à votre demande.
Base légale : mesures précontractuelles ou intérêt légitime (répondre à une sollicitation).
Durée : le message n'est pas stocké dans VFact ; il est transmis par e-mail à contact@acme-sas.com et conservé dans notre messagerie le temps du traitement de la demande, au plus 3 ans après le dernier contact.

2.6 Cookies, stockage local et mesure d'audience

Mesure d'audience : le site public mesure sa fréquentation par un outil interne (pages vues, temps passé, provenance, type d'appareil), au moyen d'identifiants aléatoires conservés dans votre navigateur (13 mois au plus). Aucune adresse IP n'est conservée, rien n'est transmis à un tiers ni recoupé avec d'autres traitements ; les données sont conservées 25 mois. Base légale : intérêt légitime, mesure exemptée de consentement (lignes directrices de la CNIL). Deux scripts tiers existent, sur les pages publiques seulement : l'assistant décrit au point 2.7 et le pixel Meta, décrit ci-dessous. Le navigateur conserve localement les seuls éléments strictement nécessaires (session, société sélectionnée, langue, choix relatif aux cookies, historique de l'assistant si vous l'utilisez), exemptés de consentement. Les e-mails de facture envoyés par nos clients depuis VFact peuvent comporter un compteur d'ouverture (image d'un pixel) et un lien de téléchargement mesuré : ces mesures sont réalisées pour le compte et sous la responsabilité du client émetteur.

Pixel Meta (publicité) :

Données : pages vues, inscription au service, identifiant de navigateur et adresse IP, transmis à Meta Platforms Ireland Ltd, responsable conjoint (article 26 du RGPD), avec possible transfert aux États-Unis (Data Privacy Framework).
Finalités : mesurer l'efficacité de nos publicités sur Facebook et Instagram.
Base légale : votre consentement, donné ou refusé dans le bandeau cookies et modifiable à tout moment par le lien « Gérer mes cookies » en pied de page ; sans accord, le pixel n'est pas chargé.
Durée : votre choix est conservé 6 mois dans votre navigateur, puis redemandé ; les données transmises sont conservées par Meta selon sa propre politique.

2.7 Assistant de questions sur le site public

Données : vos questions et les réponses données. Ne saisissez pas de données personnelles ou confidentielles.
Finalités : répondre à vos questions sur VFact.
Destinataires : un prestataire d'intelligence artificielle situé aux États-Unis (voir sous-traitants), transfert encadré par les clauses contractuelles types.
Base légale : intérêt légitime (répondre à une sollicitation).
Durée : 90 jours.

3. Traitements pour lesquels ACME est sous-traitant (données de vos clients)

Pour ces traitements, votre entreprise décide des finalités et des moyens ; VFact exécute vos instructions.

Clients, contacts, fournisseurs : identité, adresse, e-mail, téléphone, SIRET, TVA, IBAN et mandats SEPA, notes, commercial rattaché. Conservés tant que vous les gardez dans votre compte.
Devis, factures, avoirs, bons de livraison, paiements : identité des contreparties, montants, échéances, règlements. Les factures émises sont copiées dans une archive légale scellée (empreinte SHA-256) conservée 10 ans à compter de la clôture de l'exercice (Code de commerce, article L123-22), y compris après suppression de votre organisation si la loi l'impose à ACME.
Signature électronique simple des devis : tracé de la signature, nom et adresse e-mail déclarés, adresse IP et horodatage serveur, conservés avec le PDF signé pendant la durée de conservation du devis.
Facturation électronique : vos factures au format EN 16931 (identités, SIREN, montants) sont transmises à la Plateforme Agréée à laquelle VFact est raccordé et à l'annuaire national, conformément à vos obligations légales.
Relances par e-mail ou SMS : adresse e-mail ou numéro de téléphone du client final, montants dus, historique des relances ; le SMS est activé client par client, sur votre décision.
Demandes d'avis après facture : nom, adresse e-mail, note et commentaire du répondant, conservés avec la facture.
Fonctions d'assistance par intelligence artificielle : les documents ou textes concernés sont traités par un prestataire d'intelligence artificielle situé aux États-Unis (voir sous-traitants), transfert encadré par les clauses contractuelles types. Les justificatifs sont conservés 10 ans et 6 mois.
Connexion bancaire (si vous l'activez) : comptes, IBAN, transactions et libellés de vos relevés, obtenus avec votre consentement DSP2 renouvelé tous les 90 jours, pour le rapprochement bancaire.
Encaissement en ligne (VFact Pay) : le payeur saisit sa carte chez Stripe ; VFact ne reçoit que l'identité du payeur, le montant et le statut du paiement.

4. Destinataires et sous-traitants ultérieurs

Les données ne sont accessibles qu'au personnel habilité de ACME et aux sous-traitants ci-dessous, chacun pour la finalité indiquée. La liste à jour, avec les garanties de transfert, est publiée sur la page Sous-traitants ; tout ajout est notifié aux clients 30 jours à l'avance.

ACME SAS — Hébergement et exploitation de la plateforme (serveurs et sauvegardes chiffrées en France) ; pays : France ; garantie : Union européenne. Données concernées : Toutes les données de la plateforme.
Stripe Payments Europe Ltd — Paiement des abonnements et encaissement en ligne des factures (VFact Pay) ; pays : Irlande ; garantie : Union européenne (transferts vers Stripe Inc. encadrés par clauses contractuelles types). Données concernées : Identité et coordonnées du payeur, données de carte (jamais stockées par VFact), montants.
Seqino (Plateforme Agréée immatriculée DGFiP n°0048, groupe Crédit Mutuel) — Émission, réception et annuaire des factures électroniques ; pays : France ; garantie : Union européenne. Données concernées : Factures au format EN 16931 (identités, SIREN, montants), annuaire des entreprises.
Anthropic PBC — Services d'intelligence artificielle ; pays : États-Unis ; garantie : Clauses contractuelles types de la Commission européenne / EU-US Data Privacy Framework
ACME SAS — serveur de messagerie de SADE INVEST GROUP, hébergé par ACME — Envoi des e-mails de la plateforme (compte, essai, factures, relances) ; pays : France ; garantie : Union européenne. Données concernées : Adresse e-mail du destinataire, contenu des e-mails et pièces jointes.
Enable Banking Oy — Agrégation bancaire (rapprochement), uniquement si la connexion bancaire est activée par l'organisation ; pays : Finlande ; garantie : Union européenne. Données concernées : Comptes, IBAN, transactions et libellés des relevés.
OpenAI, L.L.C. — Services d'intelligence artificielle ; pays : États-Unis ; garantie : Clauses contractuelles types de la Commission européenne / EU-US Data Privacy Framework

Les données peuvent également être communiquées aux autorités qui en font légalement la demande (administration fiscale, autorités judiciaires).

5. Transferts hors de l'Union européenne

Les données sont hébergées et sauvegardées en France. Les seuls transferts hors de l'Union européenne sont ceux indiqués dans la liste des sous-traitants (prestataires d'intelligence artificielle aux États-Unis) et, si vous l'acceptez, le pixel Meta (point 2.6) ; ils reposent sur les clauses contractuelles types de la Commission européenne ou sur une décision d'adéquation (EU-US Data Privacy Framework).

6. Sécurité

Chiffrement des échanges (TLS), chiffrement au repos des secrets (AES-256), double authentification, journal d'audit, verrouillage des comptes après échecs, sauvegarde chiffrée hors site chaque nuit avec procédure de restauration testée, cloisonnement strict des données entre organisations, hébergement en France.

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Depuis votre compte : Mon profil › Mes données — export de vos données personnelles (JSON), demande de suppression du compte (anonymisation 30 jours après la demande, annulable) ; pour le propriétaire d'une organisation : export complet de l'organisation et demande d'effacement de l'organisation.
Par e-mail : contact@acme-sas.com — nous répondons dans un délai d'un mois.
Réclamation : vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

Si vous figurez dans les données d'un client de VFact (vous êtes son client, son fournisseur, un signataire), adressez votre demande à ce client, responsable de traitement ; nous l'aidons à y répondre.

8. Mise à jour

Cette politique peut évoluer ; la version en vigueur est celle publiée sur cette page.

Dernière mise à jour : 15 octobre 2026.