1. Identité du responsable du traitement
Pour les traitements décrits ci-dessous dont elle détermine les finalités et les moyens, le responsable du traitement est PRESTAWEBAI.FR, société par actions simplifiée unipersonnelle au capital de 1 000 €, exploitant le nom commercial PRESTAWEB, immatriculée au RCS de Béziers sous le numéro 939 113 569 et dont le siège social est situé 257 rue Cesária Évora, 34500 Béziers, France, ci-après la « Société ».
Une question ou une demande relative aux données personnelles peut être adressée au moyen du formulaire de contact, qui ne publie pas l’adresse électronique de la Société, ou par courrier postal au siège social.
2. Répartition des rôles entre la Société et le Client
La Société agit comme responsable du traitement pour la gestion du site, des demandes de contact, des comptes, des abonnements, de sa propre facturation, du support, de la sécurité et de la relation avec ses Clients.
Le Client agit en principe comme responsable du traitement pour les données relatives à ses clients, prospects, fournisseurs, salariés, représentants, destinataires et autres contacts qu’il saisit, importe, génère ou conserve dans FactureSigne. Lorsque la Société traite ces données uniquement afin de fournir le logiciel selon les instructions du Client, elle agit comme sous-traitant. Cette relation est encadrée par l’Accord de traitement des données.
Le rôle applicable dépend toujours de la finalité réellement poursuivie. Cette politique ne se substitue pas aux informations que chaque Client doit fournir aux personnes dont il traite les données.
3. Données susceptibles d’être traitées
Selon le parcours utilisé et les fonctionnalités activées, les catégories suivantes peuvent être traitées :
- identité et coordonnées : nom, prénom, fonction, téléphone, adresse postale, adresse électronique et contenu des échanges ;
- informations professionnelles et d’entreprise : raison sociale, enseigne, SIREN ou SIRET, adresse, activité, représentants et paramètres de société ;
- compte et habilitations : identifiant, mot de passe conservé sous forme hachée, rôle, permissions, sociétés accessibles et préférences ;
- abonnement et paiement : offre, statut, échéances, factures d’abonnement, identifiants techniques et événements transmis par Stripe. La Société ne reçoit ni ne conserve le numéro complet de la carte bancaire ;
- utilisation du service : opérations réalisées, documents créés ou importés, historiques, statuts, exports, données de support et réglages ;
- sécurité et technique : adresse IP, date, heure, navigateur, session, tentatives de connexion, journaux d’erreur, événements de sécurité et traces nécessaires au diagnostic ;
- données commerciales confiées par le Client : fiches de tiers, catalogue, devis, commandes, livraisons, factures, avoirs, achats, règlements, pièces jointes et données liées à la facturation électronique.
FactureSigne n’a pas vocation à recevoir des données de santé, des données biométriques, des opinions, des convictions, des données relatives à des infractions ou d’autres données particulièrement sensibles sans nécessité démontrée. Le Client doit éviter de saisir de telles données et limiter chaque document aux informations utiles à sa gestion.
4. Origine des données
Les données sont obtenues directement auprès de la personne concernée ou du Client qui utilise FactureSigne. Certaines informations professionnelles peuvent provenir de registres ou sources publiques, notamment les données d’identification d’entreprise issues du répertoire SIRENE, ou de prestataires activés à la demande du Client.
Des informations techniques sont produites automatiquement lors de la navigation, de la connexion, de l’utilisation des fonctions, d’un paiement, d’un envoi de message ou d’un échange de facture électronique. Les services tiers concernés peuvent également transmettre à la Société un identifiant, un statut, un résultat de contrôle ou un événement nécessaire à l’exécution du service.
5. Finalités et bases juridiques
- Répondre aux demandes et organiser une démonstration
- Mesures précontractuelles prises à la demande de la personne ou intérêt légitime à répondre aux sollicitations professionnelles.
- Créer le compte, fournir FactureSigne et gérer les utilisateurs
- Exécution du contrat conclu avec le Client.
- Gérer l’essai, l’abonnement, le paiement et la facturation
- Exécution du contrat et respect des obligations comptables, fiscales et probatoires.
- Assurer le support, la maintenance, les sauvegardes et la continuité
- Exécution du contrat et intérêt légitime à maintenir un service fonctionnel.
- Authentifier les utilisateurs, prévenir la fraude et sécuriser le service
- Intérêt légitime de la Société, de ses Clients et des personnes concernées à protéger les comptes, les données et l’infrastructure ; obligations légales lorsqu’elles s’appliquent.
- Exécuter les fonctions demandées, dont les échanges électroniques
- Exécution du contrat et, pour les Données Client, instructions documentées du Client responsable du traitement.
- Mesurer le fonctionnement et améliorer le produit
- Intérêt légitime à corriger les erreurs et améliorer le service à partir d’informations techniques limitées, d’indicateurs agrégés ou, lorsque cela est possible, anonymisés.
- Établir, exercer ou défendre un droit
- Intérêt légitime à conserver les preuves nécessaires et à traiter les réclamations ou contentieux.
Lorsqu’un traitement repose sur le consentement, celui-ci peut être retiré à tout moment pour l’avenir. Aucun retrait ne remet en cause les opérations déjà réalisées licitement.
6. Caractère obligatoire des informations
Les champs signalés comme obligatoires sont nécessaires pour traiter une demande, identifier l’entreprise, sécuriser le Compte, conclure l’abonnement ou fournir la fonction demandée. Leur absence peut empêcher l’envoi du formulaire, la création du Compte, le paiement ou l’utilisation de certaines fonctions.
Les informations facultatives permettent de personnaliser la réponse ou les documents. Le Client reste libre de ne pas les renseigner lorsqu’elles ne sont pas nécessaires à son activité.
7. Destinataires et prestataires
Les données sont accessibles, dans la limite de leurs attributions, aux personnes habilitées par la Société et aux prestataires nécessaires à la fourniture du service. Il peut notamment s’agir :
- d’IONOS pour l’hébergement principal et les services d’infrastructure ;
- de Stripe pour la souscription, le paiement, la gestion de l’abonnement et la prévention de la fraude ;
- du prestataire de messagerie configuré pour l’envoi des notifications et la réception des demandes ;
- de la plateforme de facturation électronique activée par le Client et des infrastructures nécessaires à ces échanges ;
- de prestataires de maintenance, de sauvegarde ou de stockage lorsque leur intervention est activée et nécessaire ;
- des conseils professionnels, commissaires de justice, juridictions, administrations ou autorités légalement habilitées lorsque la loi ou la défense d’un droit l’exige.
Chaque accès est limité aux données nécessaires à la mission concernée. Les prestataires agissant comme sous-traitants sont encadrés par des obligations de confidentialité, de sécurité et de traitement sur instruction. La liste des sous-traitants utilisés pour les Données Client et les modalités de changement sont précisées dans l’Accord de traitement des données.
8. Absence de vente ou de commercialisation des données
La Société ne vend pas, ne loue pas et ne cède pas les données personnelles à des tiers afin qu’ils les exploitent pour leur propre prospection commerciale. Les Données Client ne sont pas utilisées pour constituer ou enrichir un fichier de prospection destiné à des tiers, ni pour entraîner un modèle d’intelligence artificielle généraliste sans instruction distincte et juridiquement valable du Client.
Ne constitue pas une vente la communication strictement nécessaire à un hébergeur, un prestataire de paiement, de messagerie, de support ou de facturation électronique afin de fournir le service demandé, ni une communication imposée par la loi. Aucun prestataire n’est autorisé par la Société à réutiliser les Données Client pour ses propres finalités commerciales incompatibles avec la mission confiée.
9. Hébergement et transferts hors de l’Espace économique européen
L’hébergement principal de production de FactureSigne est assuré par IONOS. À la date de mise à jour de la présente politique, les ressources principales utilisées sont localisées en France, sans que la Société ne promette une localisation exclusivement et définitivement française lorsque le contrat du prestataire ne la garantit pas. Certains prestataires de paiement, de messagerie, de support ou d’infrastructure peuvent traiter des données depuis un autre pays de l’Espace économique européen ou, selon leur organisation, hors de cet espace.
La Société contrôle les informations contractuelles disponibles sur les lieux de traitement et les sous-traitants. Lorsqu’un transfert hors de l’Espace économique européen est nécessaire, elle vérifie l’existence d’un mécanisme autorisé par le chapitre V du RGPD, tel qu’une décision d’adéquation, des clauses contractuelles types adoptées par la Commission européenne ou une autre garantie appropriée. Des informations complémentaires peuvent être demandées au moyen du formulaire de contact.
10. Durées de conservation
La Société applique les durées suivantes, sauf obligation légale différente, demande valable d’effacement, contentieux, fraude, incident de sécurité ou mesure de gel nécessitant une conservation plus longue :
- Demandes de contact et prospects
- Pendant le temps nécessaire pour répondre, puis au plus trois ans à compter du dernier échange actif lorsqu’un suivi commercial professionnel demeure pertinent.
- Compte et relation contractuelle
- Pendant la durée d’utilisation du service, puis les éléments strictement nécessaires à la preuve du contrat sont archivés pendant cinq ans à compter de sa fin.
- Factures d’abonnement émises par PRESTAWEBAI.FR et pièces de sa propre comptabilité
- Dix ans à compter de la clôture de l’exercice concerné, conformément aux obligations comptables applicables. Cette durée ne s’applique pas aux devis, factures et autres documents créés ou importés par le Client dans FactureSigne.
- Données de paiement
- Le numéro complet de carte est conservé par Stripe et non par la Société. Les identifiants, statuts et preuves de paiement sont conservés pendant la relation, puis selon les durées comptables et de preuve applicables.
- Journaux de connexion, d’envoi et de sécurité courante
- En principe un an. Les événements Stripe et de facturation électronique nécessaires à la traçabilité opérationnelle sont conservés en principe deux ans.
- Journaux d’audit, d’assistance et de pilotage technique
- En principe trois ans ; certains instantanés techniques rotatifs sont conservés pendant une durée plus courte, comprise entre quatre-vingt-dix jours et environ treize mois selon leur fonction.
- Données commerciales confiées par le Client
- Pendant la fourniture du service. À la clôture effective du Compte, l’accès applicatif est désactivé ; une restitution des données exportables encore disponibles peut être demandée pendant trente jours calendaires. À l’issue de ce délai, les données sont supprimées ou rendues anonymes dans les systèmes actifs, sous réserve d’un gel justifié, d’une obligation légale ou de la défense d’un droit.
FactureSigne ne fournit pas de service d’archivage légal des documents du Client. Les sauvegardes servent exclusivement à la reprise technique. Les données supprimées du système actif peuvent y subsister temporairement jusqu’à leur écrasement selon le cycle de rotation, sans être remises en production sauf nécessité de restauration ou de sécurité.
11. Sécurité et confidentialité
La Société met en œuvre des mesures techniques et organisationnelles proportionnées à la nature des données, aux risques identifiés et aux moyens disponibles. Elles comprennent notamment le hachage des mots de passe, la gestion des rôles et autorisations, des sessions protégées, des contrôles d’accès, le stockage privé des documents, la journalisation d’événements, des sauvegardes, la protection des formulaires et le chiffrement de certains secrets techniques.
Les personnes amenées à accéder aux données sont soumises à une obligation de confidentialité. Les droits sont attribués selon le besoin d’en connaître et sont retirés lorsqu’ils ne sont plus nécessaires.
Aucun service en ligne ne peut garantir un risque nul. La Société n’annonce donc ni invulnérabilité, ni certification de sécurité qu’elle ne détient pas. Elle s’engage à maintenir un niveau de protection raisonnable et adapté, à corriger les faiblesses identifiées et à coopérer en cas d’incident conformément à la réglementation.
12. Obligations de sécurité du Client
Le Client contribue directement à la protection des données. Il doit notamment choisir des mots de passe robustes et uniques, ne pas partager les identifiants, retirer sans délai les accès devenus inutiles, attribuer les permissions minimales, protéger ses équipements, vérifier les destinataires et signaler rapidement toute suspicion d’accès non autorisé.
Le Client demeure responsable des données qu’il décide de saisir, des habilitations accordées, des documents exportés, des liens de partage qu’il communique et des copies conservées en dehors de FactureSigne. Il lui appartient également de réaliser les exports nécessaires à ses propres obligations de conservation.
13. Violations de données personnelles
La Société analyse les incidents portés à sa connaissance et tient la documentation requise. Lorsqu’elle agit comme responsable du traitement et qu’une violation présente un risque pour les droits et libertés, elle la notifie à la CNIL dans les conditions et délais applicables. Lorsque le risque est élevé, elle informe également les personnes concernées, sauf exception légale.
Lorsqu’elle agit comme sous-traitant, la Société informe le Client concerné dans les meilleurs délais après avoir pris connaissance d’une violation affectant ses Données Client et lui communique les informations disponibles utiles au respect de ses obligations.
14. Droits des personnes
Dans les conditions prévues par la réglementation, toute personne peut demander l’accès à ses données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, ainsi que s’opposer à un traitement fondé sur l’intérêt légitime. Elle peut retirer son consentement lorsqu’il constitue la base du traitement et définir des directives relatives au sort de ses données après son décès.
Ces droits ne sont pas absolus. Une obligation légale, la preuve d’un contrat, l’exercice ou la défense d’un droit, la sécurité du service ou les droits d’un tiers peuvent justifier de conserver certaines informations ou de limiter une demande. La Société explique alors le motif applicable.
15. Exercice des droits
Une demande peut être envoyée au moyen du formulaire de contact en sélectionnant le sujet « Données personnelles », ou par courrier à PRESTAWEBAI.FR, 257 rue Cesária Évora, 34500 Béziers, France. Il convient d’indiquer le droit exercé et les informations permettant d’identifier le Compte ou le traitement concerné.
La Société répond en principe dans un délai d’un mois. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse, après information de la personne. Une preuve d’identité limitée aux éléments nécessaires peut être demandée en cas de doute raisonnable ; elle est supprimée dès que la vérification n’est plus utile.
Lorsqu’une demande concerne des données saisies par un Client dans FactureSigne, la personne doit en priorité s’adresser à ce Client, qui en est responsable. La Société transmet la demande au Client concerné ou l’assiste dans sa réponse lorsqu’elle agit comme sous-traitant.
16. Décisions automatisées et prospection
La Société ne prend pas, sur la seule base d’un traitement automatisé réalisé par FactureSigne, de décision produisant des effets juridiques ou affectant une personne de manière similaire et significative.
Les prestataires de paiement peuvent appliquer leurs propres contrôles automatisés de sécurité et de prévention de la fraude. Ils fournissent l’information correspondante dans leur propre politique de confidentialité.
La Société n’adresse pas de prospection à des particuliers à partir des Données Client. Une communication professionnelle relative à FactureSigne peut être adressée à ses propres prospects ou Clients dans le respect des règles applicables et comporte un moyen simple de s’y opposer lorsqu’il est requis.
17. Réclamation auprès de la CNIL
La personne concernée est invitée à contacter d’abord la Société afin qu’une solution puisse être recherchée. Elle conserve en toute hypothèse le droit d’adresser une réclamation à la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
18. Cookies et services externes
Les informations relatives aux cookies de session, à leur finalité et aux services externes sont présentées dans la Politique relative aux cookies. À la date de la présente version, le site vitrine n’utilise ni cookie publicitaire ni outil de mesure d’audience non essentiel.
Lorsqu’un utilisateur ouvre un parcours Stripe ou un environnement tiers demandé, la politique de confidentialité du prestataire concerné s’applique également aux traitements qu’il réalise pour ses propres finalités.
19. Modification de la politique
La présente politique peut évoluer pour refléter une modification du service, des prestataires, des durées de conservation ou du cadre juridique. La version publiée porte sa date de mise à jour. Une modification substantielle concernant un Compte actif est portée à la connaissance du Client par un moyen approprié avant son entrée en vigueur lorsque cela est nécessaire.