Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles est [Raison sociale],[forme juridique], dont le siège social est situé [Adresse]. Vous pouvez nous joindre à l'adresse [email RGPD — ex : privacy@actidec.fr].

2. Données collectées

Pour vous fournir le service, nous collectons et traitons les catégories de données suivantes :

• Identité : nom, prénom, adresse email, mot de passe (haché).
• Profession : numéro RPPS, date de début d'activité, régime fiscal, profession, lien avec cabinets (FINESS).
• Données bancaires : comptes, soldes, transactions, agrégées via Bridge by Bankin' (PSIC agréé ACPR).
• Données fiscales : situation conjugale, enfants à charge, autres revenus du foyer, IR déclaré (saisi par l'utilisateur).
• Données d'activité : jours de vacances, taux de prélèvement à la source, préférences de fréquence des cotisations.
• Données techniques : logs d'authentification (identifiants anonymisés), adresse IP utilisée pour les contrôles de sécurité (rate-limiting).

3. Finalités et bases légales

4. Sous-traitants

Nous faisons appel aux sous-traitants suivants, chacun engagé contractuellement à respecter le RGPD :

• Bridge by Bankin' (France) — agrégation des comptes bancaires (PSIC agréé ACPR).
• Infomaniak Network SA (Suisse, Genève) — hébergement de l'application et de la base de données. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne (équivalence RGPD).
• [Fournisseur SMTP — ex : Infomaniak Mail / SendGrid] — envoi des emails transactionnels.
• OpenAI, L.L.C. (États-Unis) — assistant IA. Les messages envoyés à l'assistant sont transmis à OpenAI. Les transferts hors UE sont encadrés par les clauses contractuelles types de la Commission européenne.

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès (Art. 15) — consulter les données que nous détenons à votre sujet.
• Rectification (Art. 16) — corriger les données inexactes depuis votre profil.
• Effacement (Art. 17) — supprimer votre compte et l'ensemble des données associées depuis l'onglet Profil → Zone de danger.
• Portabilité (Art. 20) — télécharger l'intégralité de vos données au format JSON depuis l'onglet Profil → Exporter mes données.
• Opposition et limitation (Art. 21, 18) — limiter certains traitements en nous contactant.
• Retrait du consentement à tout moment (sans effet rétroactif).

Pour exercer ces droits, écrivez à [email RGPD]. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

6. Sécurité

• Mots de passe stockés en clair jamais : hachage bcrypt avec coût 12.
• Cookies de session HttpOnly, SameSite=Lax, Secure en production.
• Connexion HTTPS forcée en production.
• Limitation des tentatives de connexion (rate-limiting).
• Logs d'authentification anonymisés (pas d'email en clair).
• Suppression de compte : les données personnelles (profil, situation fiscale, transactions bancaires, alertes, congés, liens cabinets) sont effectivement supprimées. L'email du compte et l'historique des notifications sont anonymisés. Les bordereaux de soins importés par votre cabinet sont conservés au titre des obligations comptables (CGI, 10 ans) mais votre nom y est anonymisé.

7. Cookies

Actidec utilise uniquement des cookies strictement nécessairesau fonctionnement du service (session, sécurité). Aucun cookie de mesure d'audience ou publicitaire n'est déposé. Aucun consentement préalable n'est donc requis (Art. 82 LIL).

8. Modifications

Cette politique peut être mise à jour. La date de dernière mise à jour figure en haut du document. En cas de modification substantielle, vous serez notifié(e) par email.