Politique de confidentialité

1. Engagement

Sira Development, éditeur du service Sirapilot, accorde la plus grande importance à la protection des données personnelles. La présente politique décrit la manière dont nous collectons, utilisons et protégeons vos données, en conformité avec le Règlement (UE) 2016/679 (« RGPD ») et la loi française n°78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

2. Responsable de traitement

Alexis Mouchon, micro-entrepreneur exerçant sous le nom commercial « Sira Development »
Adresse : 2 rue de l'Église, 28340 Boissy-lès-Perche, France
SIRET : 103 624 292 00019
Contact : contact@sirapilot.fr

En l'absence de DPO désigné formellement, le point de contact privacy ci-dessus traite l'ensemble des demandes liées à la protection des données.

3. Données collectées

3.1. Données fournies directement par vous

• Compte utilisateur : email, mot de passe (hashé bcrypt), secret 2FA
• Profil entreprise : raison sociale, SIREN/SIRET, forme juridique, adresse, IBAN/BIC, logo, préfixes de numérotation. Votre IBAN est chiffré avant enregistrement (AES-256-GCM) ; il n'est affiché en clair que sur demande explicite de votre part, et chaque consultation est tracée.
• Clients enregistrés : nom, raison sociale, email, téléphone, SIRET, adresse
• Documents générés : devis, factures, avoirs (contenu intégral)
• Prospects : email, statut, notes
• Préférences de communication : état de votre opposition aux emails non transactionnels et date de ce choix, historique d'envoi et de remise. Ces données sont nécessaires pour respecter votre choix, tenir les plafonds de fréquence annoncés et cesser d'écrire à une adresse devenue invalide.

3.2. Données collectées automatiquement

• Adresse IP, user-agent, dates de connexion
• Journaux techniques (logs serveur) à des fins de sécurité et de débogage
• Cookie technique de session (httpOnly, non utilisé à des fins de tracking publicitaire)

3.3. Données collectées par des tiers

Les données de carte bancaire sont collectées et stockées exclusivement par Stripe (cf. section 6). Nous ne stockons aucune information de carte bancaire sur nos serveurs.

4. Finalités et bases légales

4.1. Emails de communication produit

En créant un compte, vous nous communiquez une adresse email professionnelle. Outre les messages strictement liés à votre activité (devis, factures, relances, sécurité du compte), nous l'utilisons pour vous adresser des messages de communication produit et de conseils métier : nouveautés de Sirapilot, évolutions réglementaires de la facturation électronique, bonnes pratiques destinées aux indépendants.

Ce traitement repose sur notre intérêt légitime à informer nos utilisateurs professionnels de l'évolution d'un service qu'ils utilisent (article 6.1.f du RGPD). Il s'agit exclusivement de prospection entre professionnels, portant sur un sujet en rapport direct avec l'activité de son destinataire — cadre admis par la CNIL pour les communications B2B.

Vous pouvez vous y opposer à tout moment, sans justification et sans frais. Un lien de désinscription figure en pied de chaque message et fonctionne en un clic ; un réglage dédié est également disponible dans vos paramètres de compte. Votre opposition ne porte que sur ces communications : les emails nécessaires à l'exécution du service continuent de vous être adressés.

Ces envois sont volontairement peu fréquents — deux à quatre par mois au maximum, jamais plus d'un par jour. Votre adresse n'est ni vendue, ni louée, ni cédée à des tiers à des fins de prospection.

5. Destinataires des données

Vos données sont accessibles aux personnels habilités de Sira Development, dans la stricte limite de leurs missions. Elles ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales.

Certains traitements impliquent des sous-traitants strictement nécessaires au fonctionnement du Service (cf. section 6).

6. Sous-traitants ultérieurs

Pour fournir le Service, nous faisons appel aux sous-traitants suivants, tous engagés contractuellement à respecter le RGPD :

La liste à jour des sous-traitants est tenue à disposition sur demande à contact@sirapilot.fr. Toute évolution de cette liste est notifiée 30 jours à l'avance lorsqu'elle affecte le traitement de vos données.

7. Transferts hors Union Européenne

Sirapilot s'efforce de maintenir l'ensemble des traitements au sein de l'Union Européenne. Deux transferts vers les États-Unis subsistent :

• Stripe Inc. — paiements et abonnements
• Resend — emails de communication produit. Les messages sont émis depuis l'infrastructure irlandaise du prestataire, mais les données associées sont stockées aux États-Unis.

Ces deux transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne, lesquelles offrent un niveau de protection adéquat conformément à l'article 46 RGPD. Resend est en outre certifié au titre du cadre EU-US Data Privacy Framework.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Chiffrement TLS 1.3 pour toutes les communications
• Chiffrement au repos de votre IBAN (AES-256-GCM), avec clé conservée hors base de données et consultations en clair journalisées
• Hash bcrypt (rounds=12) pour les mots de passe
• Authentification double facteur (2FA TOTP) optionnelle
• Isolation multi-tenant stricte (vos données sont rigoureusement séparées de celles des autres clients)
• Sauvegardes journalières chiffrées avec rétention 30 jours
• Audit cybersécurité indépendant et durcissement infra (cf. CGU)

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez :

• Droit d'accès : connaître les données vous concernant
• Droit de rectification : corriger des données erronées
• Droit à l'effacement (« droit à l'oubli ») : sous réserve des obligations légales de conservation
• Droit à la limitation du traitement
• Droit à la portabilité : récupérer vos données dans un format structuré (export disponible depuis votre espace paramètres pour les principales catégories)
• Droit d'opposition au traitement fondé sur l'intérêt légitime
• Droit de définir des directives post-mortem (article 85 loi I&L)
• Droit de retirer votre consentement à tout moment lorsque le traitement est fondé sur celui-ci

Pour exercer vos droits, contactez contact@sirapilot.fr. Nous nous engageons à répondre dans un délai d'un moisà compter de la réception de votre demande, pouvant être étendu de deux mois en cas de demande complexe.

Vous disposez également d'un droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

10. Cookies

Sirapilot utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (session authentifiée, sécurité). Ces cookies sont exemptés de consentement préalable selon la délibération CNIL n°2020-091.

Aucun cookie publicitaire ou de mesure d'audience tiers n'est déposé sans votre consentement. Si Sirapilot devait intégrer des cookies optionnels (par exemple Plausible Analytics), une bannière de consentement serait affichée préalablement.

11. Suppression du compte

Vous pouvez supprimer votre compte à tout moment depuis vos paramètres. La suppression entraîne :

• La suppression de votre profil utilisateur, mots de passe, secrets 2FA dans un délai de 30 jours
• L'anonymisation ou la suppression des données de prospection, devis non émis, prospects
• La suppression de votre adresse de la base de communication produit, et l'arrêt immédiat de ces envois
• La conservation des factures émises et des données comptables pendant la durée légale obligatoire de 10 ans (article L.123-22 du Code de commerce et article 102 B du LPF)

12. Modifications de la présente politique

Toute modification matérielle de la présente politique est notifiée aux Utilisateurs par email ou via une bannière dans l'application, au moins 30 jours avant sa prise d'effet.

13. Contact

Pour toute question : contact@sirapilot.fr.