Version 1.0 — en vigueur au 1er août 2026

1. Responsable du traitement

Le responsable du traitement est l’éditeur de Flow, identifié dans les Mentions légales.

Cette politique décrit comment sont traitées les données personnelles dans le cadre du Service Flow.

2. Données collectées

2.1 Données de compte

• identité (nom, nom d’utilisateur), adresse e-mail, mot de passe (hashé) ;
• données de profil société (raison sociale, adresse, SIRET, TVA, etc.) ;
• informations d’abonnement et de facturation Stripe (identifiants, statut de plan).

2.2 Données métier

• clients, devis, factures, lignes, paiements, pièces jointes, relances ;
• données de transmission e-facture / routage PA le cas échéant.

2.3 Données techniques et de sécurité

• logs techniques et de sécurité, adresses IP, user-agent ;
• cookies / stockage navigateur nécessaires au fonctionnement (notamment cookie d’authentification HttpOnly NF_AUTH, préférences locales, brouillons temporaires).

2.4 Données liées à l’assistant IA

• messages échangés avec l’assistant, contexte métier nécessaire à la réponse, et actions proposées / confirmées.

3. Finalités et bases légales

• Exécution du contrat : fourniture du Service, gestion du compte, abonnement, support.
• Obligation légale : conservation de certaines données comptables / fiscales lorsque l’Éditeur y est tenu en tant que prestataire ou pour ses propres obligations.
• Intérêt légitime : sécurité, prévention de la fraude, amélioration du produit, statistiques d’usage agrégées.
• Consentement : le cas échéant pour cookies non essentiels (bannière cookies).

4. Destinataires et sous-traitants

Les données sont accessibles aux équipes habilitées de l’Éditeur et, selon configuration, aux sous-traitants suivants :

• hébergeur d’infrastructure (voir Mentions légales) ;
• prestataire d’envoi d’e-mails (SMTP) ;
• Stripe (paiements abonnement et/ou paiements de factures clients) ;
• fournisseur de modèle de langage (LLM) pour l’assistant IA (ex. Google Gemini, OpenAI ou autre selon configuration) ;
• plateforme agréée / partenaires e-facture lorsque vous activez la transmission.

Aucune revente des données clients métier n’est effectuée. Les sous-traitants agissent sur instruction de l’Éditeur dans le cadre de la fourniture du Service.

5. Transferts hors Union européenne

Certains prestataires (notamment LLM ou Stripe) peuvent traiter des données hors UE. Dans ce cas, des garanties appropriées sont mises en place (clauses contractuelles types, décisions d’adéquation ou mécanismes équivalents), dans la mesure applicable.

6. Durées de conservation

• Compte actif : données conservées tant que le compte est ouvert et pendant la durée nécessaire à la fourniture du Service.
• Après clôture : suppression ou anonymisation dans un délai raisonnable, sous réserve des obligations légales de conservation (notamment facturation de l’abonnement) et des besoins de preuve en cas de litige.
• Documents métier de l’utilisateur : vous restez responsable de la conservation légale de vos factures ; une exportation peut être proposée avant suppression.
• Logs de sécurité : durée limitée, proportionnée aux finalités de sécurité.

7. Cookies et stockage local

• Cookie HttpOnly NF_AUTH : authentification de session (essentiel au Service).
• localStorage / sessionStorage : préférences, brouillons de formulaires, éventuels jetons techniques selon version de l’application.
• Mesure d’audience (Google Tag Manager / Google Analytics) : facultative, chargée uniquement après votre accord via la bannière. Vous pouvez changer d’avis à tout moment depuis le lien « Cookies » en bas de page ; en cas de retrait, les cookies Google sont effacés. Votre choix est conservé 13 mois, puis la question vous est reposée.

8. Sécurité

L’Éditeur met en œuvre des mesures techniques et organisationnelles appropriées (authentification, isolation des comptes, chiffrement en transit, contrôle d’accès). Aucun système n’étant infaillible, vous êtes invité à utiliser un mot de passe robuste et à signaler tout incident suspect.

9. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, et du droit de définir des directives relatives au sort de vos données après votre décès — dans les limites légales.

Pour exercer vos droits, contactez le contact indiqué dans les Mentions légales . Vous pouvez également introduire une réclamation auprès de la CNIL.

10. Données des clients finaux de l’utilisateur

Lorsque vous saisissez des données de vos propres clients dans Flow, vous agissez en tant que responsable de traitement pour ces données ; l’Éditeur agit en tant que sous-traitant au sens du RGPD pour la fourniture du Service. Un accord de sous-traitance (DPA) pourra être fourni sur demande pour les comptes professionnels.

11. Modification

Cette politique peut être mise à jour. La version en vigueur est celle publiée sur cette page, avec indication de la date. En cas de changement substantiel, une information pourra être communiquée via le Service ou par e-mail.