Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via NuFacture est NAVDA SASU, dont les coordonnées complètes figurent dans les mentions légales.

Pour exercer vos droits ou pour toute question RGPD, vous pouvez contacter directement notre référent données personnelles à support@nufacture.fr.

2. Données collectées

2.1. Données des utilisateurs commerçants (Clients)

Lors du signup et de l'utilisation du Service :

• Identité de l'entreprise : raison sociale, SIRET, n° TVA, adresse du siège social
• Représentant légal : prénom et nom du signataire
• Email professionnel (servant aussi d'identifiant de connexion)
• Téléphone professionnel
• Mot de passe (stocké hashé avec bcrypt, jamais en clair)
• Secret TOTP et codes de récupération (si la double authentification est activée)
• Informations de paiement : aucune donnée de carte bancaire n'est stockée par NAVDA. Le paiement est intégralement géré par Stripe ; seul l'identifiant client Stripe (cus_xxx) est conservé pour les opérations de facturation et la gestion du portail client.

2.2. Données collectées automatiquement

• Adresse IP et user-agent du navigateur (pour les logs de sécurité)
• Logs de connexion (date, IP, succès / échec)
• Logs d'audit administrateur (toutes les actions effectuées par les administrateurs sur le compte d'un Client)
• Cookies techniques : cookie de session (ilk_session) signé, cookie de visiteur anonyme (visitor_id) pour les clients finaux. Aucun cookie de tracking publicitaire n'est déposé.
• Mesure d'audience et de performance du site vitrine via Vercel Web Analytics et Vercel Speed Insights : statistiques agrégées de visites (visiteurs, pages vues, sources) et de performance, sans cookie, sans identifiant persistant et sans donnée personnelle.

2.3. Données des clients finaux (consommateurs qui scannent le QR code)

Les clients finaux qui scannent un QR code pour consulter une facture sont identifiés par un cookie anonyme (visitor_id), sans donnée personnelle. Aucun email, nom ni coordonnée n'est collecté côté client final, sauf consentement explicite (par exemple s'il crée un compte personnel pour retrouver l'historique de ses factures au-delà de 30 jours).

Pour ce traitement, NAVDA agit en qualité de sous-traitant au sens de l'article 28 du RGPD : le responsable du traitement est le commerçant Client. Un accord de traitement de données (DPA) peut être conclu sur demande.

2.4. Contenu des factures

Le contenu des factures transmises (numéro, montant, date, identité du client final si présente sur la facture, etc.) est traité aux seules fins de mise à disposition au client final via le QR code et d'archivage légal pour le Client commerçant.

3. Finalités et bases légales du traitement

4. Durée de conservation

5. Sous-traitants et transferts hors UE

Pour fournir le Service, NAVDA fait appel aux sous-traitants suivants. Tous sont liés par un contrat conforme à l'article 28 du RGPD ; les transferts vers les États-Unis sont encadrés par les Clauses Contractuelles Types de la Commission Européenne (décision 2021/914) et, lorsque applicable, par le Data Privacy Framework EU-US.

Localisation des données critiques : la base de données PostgreSQL (factures, clients, organisations) est hébergée chez Neon à Francfort (Allemagne, UE). Les fichiers PDF des factures sont stockés sur Cloudflare R2 avec une location hint WEUR qui force la conservation physique des objets dans des datacenters européens (Amsterdam, Paris, Francfort, Dublin…).

Aucun sous-traitant ne reçoit plus de données que nécessaire à l'exécution de sa mission. Les données traitées par Stripe sont régies par la politique de confidentialité de Stripe.

6. Vos droits (RGPD)

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir une copie des données vous concernant
• Droit de rectification : modifier des données inexactes (directement depuis votre tableau de bord pour la plupart des données)
• Droit à l'effacement (« droit à l'oubli ») : sous réserve des obligations légales de conservation
• Droit à la limitation du traitement
• Droit à la portabilité : exporter vos données dans un format structuré (PDF, CSV)
• Droit d'opposition, notamment au traitement de vos données à des fins de marketing
• Droit de retirer votre consentement à tout moment lorsque le traitement est fondé sur le consentement
• Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr)

Pour exercer ces droits, écrivez à support@nufacture.fr depuis l'adresse email enregistrée sur votre compte. Nous nous engageons à répondre dans un délai maximum d'un mois à compter de la réception de votre demande, prolongeable de deux mois en cas de demande complexe.

7. Sécurité des données

NAVDA met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données :

• Chiffrement TLS 1.3 pour toutes les communications réseau (HTTPS)
• Mots de passe hashés avec bcrypt (jamais stockés en clair)
• Double authentification (TOTP) disponible et recommandée
• Sessions signées par cookie HttpOnly, Secure, SameSite=Lax
• Webhooks signés (HMAC-SHA256) côté Stripe et côté Axonaut
• Hébergement des données dans des datacenters certifiés (ISO 27001, SOC 2)
• Sauvegardes automatiques avec rétention (Neon PITR)
• Logs d'audit horodatés pour toutes les actions administrateur
• Politique d'accès par moindre privilège côté équipe NAVDA

En cas de violation de données affectant vos informations personnelles, NAVDA s'engage à notifier la CNIL dans les 72 heures et à vous informer sans délai si la violation présente un risque élevé pour vos droits et libertés, conformément aux articles 33 et 34 du RGPD.

8. Cookies

NuFacture utilise uniquement des cookies strictement nécessaires au fonctionnement du Service, exemptés de consentement préalable au sens de l'article 82 de la Loi Informatique et Libertés et de la recommandation CNIL du 17 septembre 2020 :

• ilk_session : cookie de session signé (authentification) — durée 30 jours
• visitor_id : cookie anonyme de continuité de visite pour les clients finaux — durée 13 mois
• pending_token_* : cookie temporaire technique pour l'affichage one-time des tokens agent — durée 5 minutes

Aucun cookie publicitaire ni de suivi inter-sites n'est déposé. La mesure d'audience et de performance du site vitrine est assurée par Vercel Web Analytics et Vercel Speed Insights, des outils sans cookie et anonymisés (pas d'identifiant persistant, pas de suivi inter-sites, pas de profilage publicitaire), conformes au RGPD. Aucun outil tiers reposant sur des cookies de mesure d'audience (Google Analytics, Facebook Pixel, etc.) n'est utilisé.

9. Modification de la politique

NAVDA se réserve le droit de modifier la présente politique de confidentialité à tout moment pour refléter des évolutions du Service ou de la réglementation. Toute modification substantielle sera notifiée par email au moins 30 jours avant son entrée en vigueur. La version en vigueur est toujours accessible sur cette page, avec sa date d'application en haut du document.

10. Contact

Pour toute question concernant le traitement de vos données personnelles :
Email : support@nufacture.fr
Adresse postale : NAVDA SASU, 9 rue des Colonnes, 75002 Paris
Autorité de contrôle : Commission Nationale de l'Informatique et des Libertés (CNIL)