Politique de confidentialité

Pour les traitements décrits ci-dessous relevant de sa responsabilité, le responsable du traitement est :

COTE, SAS au capital de 1 000 euros, 178 rue des Chênes Verts, 38460 Saint-Romain-de-Jalionas, RCS Vienne 105 262 000.

Contact pour toute question ou demande : [email protected].

COTE n'a pas déclaré de délégué à la protection des données à la date de cette version. Cette adresse constitue le point de contact RGPD.

COTE agit comme responsable du traitement pour la gestion du site, de la liste d'attente, des comptes, abonnements, paiements, relations commerciales, support, sécurité, prévention de la fraude et analyse d'audience.

COTE agit en principe comme sous-traitant lorsque le Client importe ou synchronise dans Flunea des données personnelles concernant ses propres clients, prospects, fournisseurs, salariés, dirigeants ou partenaires afin de piloter sa trésorerie. Le Client reste alors responsable du traitement et doit disposer d'une base juridique, informer les personnes et donner des instructions licites. Le DPA complète le contrat.

Certains prestataires, notamment la banque, l'agrégateur bancaire ou Stripe pour certaines obligations réglementaires, peuvent agir comme responsables du traitement indépendants pour leurs propres finalités. Leurs politiques s'appliquent alors directement.

Selon l'utilisation, COTE peut traiter :

• identification et contact : nom, prénom, adresse électronique, téléphone, fonction ;
• entreprise : dénomination, activité, taille, adresse, SIREN/SIRET, TVA, informations de facturation ;
• compte et authentification : identifiant, preuve de vérification de l'e-mail, rôle, droits, dates de connexion et éléments de sécurité ;
• abonnement et paiement : offre, statut, factures, montants, dates, identifiants Stripe, quatre derniers chiffres et type de carte lorsque Stripe les communique, incidents de paiement ;
• preuve de souscription : date, heure et version des CGV et CGU acceptées, attestation d'usage exclusivement professionnel et numéro SIREN ou SIRET déclaré ;
• perte du tarif fondateurs : lorsqu'un abonnement au tarif fondateurs est interrompu, une empreinte (hachage SHA-256) de l'adresse électronique, du numéro SIREN et de l'identifiant de l'entreprise, afin d'appliquer l'article 7 des CGV ;
• support et communications : demandes, messages, pièces jointes, historique des échanges et préférences de contact ;
• données bancaires professionnelles : établissement, comptes sélectionnés, IBAN éventuellement masqué, soldes, dates, libellés, montants, contreparties et catégories de transactions fournis par l'agrégateur ;
• pilotage : catégories, prévisions, récurrences, factures clients et fournisseurs, échéances, rapprochements, alertes, notes et fichiers importés ;
• données relatives à des tiers : identité et coordonnées de clients, fournisseurs, salariés ou représentants figurant dans les documents et opérations du Client ;
• données techniques : adresse IP, navigateur, appareil, système, journaux, événements de sécurité, pages et actions utilisées, identifiants techniques et choix de consentement ;
• liste d'attente et prospection : identité, coordonnées professionnelles, entreprise, secteur, taille et besoin exprimé ;
• origine de votre visite : la campagne qui vous a amené sur le site (paramètres UTM : source, support, campagne, contenu, mot-clé) et la première page consultée. Ces informations décrivent la campagne, pas votre personne ;
• identifiant de clic publicitaire : si vous arrivez depuis une annonce Google Ads et que vous avez accepté les cookies de la catégorie « Publicité », l'identifiant technique de ce clic (gclid, gbraid ou wbraid) est conservé dans votre navigateur trente jours au plus, puis enregistré chez Flunea avec votre inscription sur la liste d'attente ou avec votre abonnement. Sans cet accord, il n'est ni conservé dans votre navigateur ni transmis à nos serveurs.

COTE ne demande jamais directement les mots de passe bancaires, codes SMS ou secrets d'authentification forte.

Les données proviennent :

• de l'Utilisateur ou du représentant du Client ;
• des autres administrateurs autorisés du même Client ;
• des fichiers et saisies du Client ;
• des banques et du prestataire d'agrégation, après autorisation ;
• de Stripe pour le statut des paiements ;
• du navigateur, de l'appareil et des outils de sécurité ou d'analyse ;
• de sources professionnelles publiques lorsque cela est nécessaire pour vérifier une entreprise.

• Fourniture du Service : création du Compte, authentification, synchronisation bancaire, affichage des transactions, prévisions, rapprochements, alertes, support et gestion de la résiliation. Base juridique : exécution du contrat ou mesures précontractuelles.
• Facturation et comptabilité de COTE : encaissement, factures, suivi des impayés, tenue comptable et justificatifs. Bases juridiques : exécution du contrat et obligations légales.
• Sécurité et prévention des abus : journalisation, contrôle des accès, détection d'activités anormales, prévention de la fraude, sauvegarde et gestion des incidents. Base juridique : intérêt légitime de COTE et de ses Clients à sécuriser le Service ; obligation légale lorsqu'elle s'applique.
• Gestion de la liste d'attente et demandes entrantes : répondre aux demandes, préparer l'ouverture d'un accès et recontacter la personne au sujet de Flunea. Bases juridiques : mesures précontractuelles, consentement lorsque celui-ci est demandé, ou intérêt légitime dans un contexte B2B selon le message concerné.
• Prospection B2B : présenter des services analogues à des contacts professionnels, mesurer l'intérêt et gérer les oppositions. Base juridique : intérêt légitime, sous réserve que le message concerne la fonction professionnelle et qu'un moyen simple d'opposition soit fourni ; consentement lorsqu'il est requis.
• Mesure d'audience et amélioration du produit : comprendre l'utilisation du site et de l'application, détecter les erreurs et améliorer les parcours. Base juridique : consentement pour Google Analytics 4 et les traceurs non strictement exemptés. L'intérêt légitime ne remplace pas le consentement exigé pour l'accès ou l'inscription sur le terminal.
• Mesure des campagnes publicitaires : savoir quelles annonces et quels mots-clés amènent des inscriptions puis des abonnements, pour piloter nos dépenses publicitaires. Données : origine de la visite (UTM, page d'arrivée) et identifiant de clic Google Ads. Bases juridiques : intérêt légitime pour l'origine de la visite ; consentement (catégorie « Publicité ») pour l'identifiant de clic et les traceurs Google Ads et Meta.
• Invitation à donner un avis : transmettre votre nom et votre adresse électronique à Trustpilot pour qu'il vous invite à donner votre avis sur Flunea, une seule fois, après votre premier paiement. Tous les clients payants sont invités, sans tri ni contrepartie. Vous pouvez vous y opposer à tout moment en décochant la case prévue dans Paramètres → Abonnement. Base juridique : intérêt légitime de COTE à recueillir l'avis de ses clients.
• Application du tarif fondateurs : vérifier l'éligibilité au tarif fondateurs et sa perte définitive en cas d'interruption de l'abonnement. Base juridique : exécution du contrat.
• Défense des droits : conserver les éléments strictement nécessaires à la preuve, au traitement d'une réclamation ou à un contentieux. Base juridique : intérêt légitime et obligations légales.

Les champs identifiés comme obligatoires sont nécessaires pour créer le Compte, vérifier l'entreprise, fournir le Service ou facturer. Sans ces données, COTE peut ne pas être en mesure d'ouvrir ou maintenir l'accès. La connexion bancaire reste un choix fonctionnel du Client ; certaines fonctions peuvent toutefois perdre leur intérêt sans synchronisation.

Les données sont accessibles, selon le besoin, aux personnes habilitées de COTE et aux prestataires suivants :

• OVH SAS (France) : hébergement du site, de l'application et de l'infrastructure ;
• Supabase Inc. : base de données, authentification et stockage applicatif ; données hébergées dans l'Union européenne (région Irlande), accès éventuels depuis les États-Unis encadrés par les clauses contractuelles types ;
• Stripe (Stripe Payments Europe Ltd, Irlande) : paiement, gestion de l'abonnement et lutte contre la fraude ; transferts vers Stripe Inc. (États-Unis) couverts par le Data Privacy Framework UE–États-Unis ;
• Brevo (Sendinblue SAS, France) : envoi de courriers électroniques transactionnels et, si activé, commerciaux ;
• Trustpilot A/S (Danemark, Union européenne) : transmission de votre nom et de votre adresse électronique pour vous inviter à donner un avis, une seule fois, après votre premier paiement ; vous pouvez vous y opposer dans vos paramètres. Si vous publiez un avis, Trustpilot traite ensuite vos données selon sa propre politique de confidentialité ;
• Cloudflare Inc. (États-Unis) : protection anti-robots des formulaires (Turnstile) et services réseau ; transferts couverts par le Data Privacy Framework UE–États-Unis ;
• Perspecteev SAS (Bridge, France), établissement de paiement agréé par l'ACPR (n° 16918) : connexion bancaire en lecture seule, uniquement lorsque vous reliez une banque ;
• Mistral AI (France), modèles hébergés dans l'Union européenne (France, Suède, Norvège) : fonctions d'aide fondées sur l'intelligence artificielle (nom des tiers, propositions de catégories, bilan de trésorerie), sans utilisation des données pour entraîner ses modèles ;
• Google Ireland Ltd / Google LLC : mesure d'audience (Google Analytics 4) et mesure des campagnes (Google Ads), uniquement après votre accord ; transferts couverts par le Data Privacy Framework UE–États-Unis ;
• Meta Platforms Ireland Ltd / Meta Platforms Inc. : mesure des campagnes publicitaires Meta, uniquement après votre accord pour la catégorie « Publicité » ; transferts couverts par le Data Privacy Framework UE–États-Unis ;
• conseils juridiques, comptables, assureurs, prestataires de sécurité et autorités lorsque cela est nécessaire ou légalement requis.

La connexion bancaire est facultative : vous pouvez aussi importer un relevé de compte. Lorsque vous reliez une banque, vos identifiants bancaires sont saisis chez Bridge ou chez votre banque, jamais dans Flunea, et Flunea reçoit en lecture seule les comptes et opérations nécessaires au Service.

L'identifiant de clic publicitaire reste chez Flunea : il n'est pas envoyé à Google avec vos coordonnées. Aucune donnée d'identification (adresse électronique, téléphone, nom) n'est transmise à Google ou à Meta.

Les fonctions d'intelligence artificielle reçoivent uniquement le minimum utile : noms de commerçants ou de fournisseurs tels qu'ils figurent sur les opérations, montants et totaux par catégorie. Les virements entre particuliers, noms de personnes physiques, IBAN et adresses électroniques ne leur sont pas transmis. Les contenus produits par l'IA sont signalés comme tels.

COTE ne vend pas les données personnelles à des annonceurs.

Certains prestataires sont établis aux États-Unis ou peuvent accéder aux données depuis ce pays : Supabase Inc., Stripe Inc., Cloudflare Inc., Google LLC et Meta Platforms Inc. COTE privilégie les régions européennes lorsqu'elles sont disponibles : la base de données Supabase est hébergée dans l'Union européenne (région Irlande).

Les transferts vers les entreprises américaines certifiées reposent sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework). À défaut de certification, ils reposent sur les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission européenne, accompagnées si nécessaire de mesures complémentaires.

OVH SAS, Brevo (Sendinblue SAS) et Perspecteev SAS (Bridge) traitent les données en France ; Mistral AI et Trustpilot A/S (Danemark) dans l'Union européenne.

• Données du Compte et du Service : pendant l'abonnement ; suppression ou anonymisation de la base active dans les trente jours suivant la fermeture, sauf demande d'export ou obligation contraire.
• Données importées, messages, prévisions et données de tiers traitées pour le Client : pendant le contrat ; suppression de la base active dans les trente jours, puis disparition des sauvegardes selon leur rotation et au plus tard dans les quatre-vingt-dix jours, sauf obligation légale ou instruction licite contraire.
• Identifiants minimaux de compte, preuve d'acceptation, historique de résiliation et journaux de sécurité : jusqu'à douze mois après fermeture lorsqu'ils sont nécessaires à la sécurité, à la preuve ou à la prévention de la fraude ; archivage restreint plus long possible pour un contentieux identifié.
• Contrats, commandes et éléments de preuve commerciale : cinq ans à compter de la fin de la relation, sauf délai légal différent ou contentieux.
• Factures et pièces comptables : dix ans à compter de la clôture de l'exercice concerné.
• Données de paiement détenues par COTE : durée nécessaire à la transaction et à la gestion de l'abonnement ; les données détenues par Stripe suivent ses propres obligations de conservation.
• Demandes de support : durée de la relation puis jusqu'à cinq ans si leur conservation est nécessaire à la preuve ; suppression plus rapide des pièces non utiles.
• Prospects et liste d'attente : jusqu'à trois ans à compter du dernier contact actif ou jusqu'au retrait du consentement/opposition ; suppression anticipée si la finalité disparaît.
• Opposition à la prospection : informations minimales conservées le temps nécessaire au respect durable de l'opposition, généralement trois ans renouvelables si une nouvelle sollicitation devait intervenir.
• Empreinte liée à la perte du tarif fondateurs : cinq ans à compter de l'interruption de l'abonnement.
• Origine de la visite : comme l'inscription à laquelle elle est rattachée (au plus trois ans après le dernier contact actif).
• Identifiant de clic publicitaire et origine de la visite (UTM, page d'arrivée) : dans votre navigateur, trente jours au plus, puis effacés automatiquement, et effacés dès la souscription de l'abonnement ; chez Flunea, l'identifiant de clic est effacé au plus treize mois après son enregistrement, qu'il soit rattaché à une inscription ou à un abonnement.
• Choix relatifs aux cookies : six mois, sauf durée plus courte appropriée.
• Données de mesure d'audience : durée configurée et justifiée ; le cookie Google Analytics 4 (_ga) est réglé à treize mois.

Ces durées constituent des plafonds. COTE procède à des tris et peut supprimer plus tôt les données devenues inutiles.

COTE met en œuvre des mesures adaptées aux risques, incluant selon les fonctions : chiffrement des communications, contrôle d'accès, comptes individualisés, vérification de l'e-mail, isolation logique des entreprises, limitation des habilitations, journalisation, sauvegardes, mises à jour, tests, procédures d'incident et engagements de confidentialité. Le Client contribue à la sécurité en protégeant ses accès, en supprimant les Utilisateurs sortants et en limitant les données importées.

Selon la base et les circonstances, une personne peut demander :

• l'accès à ses données ;
• leur rectification ;
• leur effacement ;
• la limitation du traitement ;
• la portabilité des données fournies lorsque les conditions sont réunies ;
• l'opposition à un traitement fondé sur l'intérêt légitime ;
• le retrait de son consentement à tout moment ;
• des informations sur les garanties encadrant un transfert international.

Vous pouvez retirer votre accord publicitaire à tout moment via « Gérer mes cookies » : les identifiants de clic encore présents dans votre navigateur sont alors effacés.

Une demande est adressée à [email protected]. COTE peut demander les informations strictement nécessaires pour vérifier l'identité et répond en principe dans un délai d'un mois, prolongeable dans les conditions du RGPD.

Lorsque la demande concerne des données traitées pour le compte d'un Client, COTE la transmet au Client ou indique à la personne de s'adresser à celui-ci, sauf instruction différente conforme au DPA.

Une personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, https://www.cnil.fr.

Flunea ne prend pas, pour le compte de COTE, de décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière similaire et significative les personnes. Les rapprochements, catégories, alertes et prévisions sont des aides soumises au contrôle de l'Utilisateur.

La Politique peut évoluer pour refléter le Service, les prestataires ou la réglementation. Toute évolution substantielle est portée à l'attention des Utilisateurs par un moyen approprié.