Informations juridiques

Informations sur le responsable du traitement au titre du RGPD

Aucun délégué à la protection des données (DPO) n'a été officiellement désigné. Les demandes relatives à la confidentialité doivent être envoyées à l'adresse ci-dessus.

Autorité de contrôle : CNPD (Comissão Nacional de Proteção de Dados), Portugal, www.cnpd.pt

Pour le détail du traitement de vos données, consultez notre Politique de confidentialité.

Accès aux e-mails et traitement

Lorsque vous recherchez des factures, nous suivons une approche en trois phases conçue pour limiter l'accès aux données :

• Nous utilisons l'authentification OAuth 2.0. Nous ne voyons et ne stockons jamais votre mot de passe
• Phase 1, récupération des métadonnées : nous demandons à Nylas les métadonnées des e-mails (expéditeur, objet, date et informations sur les pièces jointes) pour la période sélectionnée. Aucun corps de message n'est téléchargé à ce stade
• Phase 2, préfiltrage par IA : l'IA examine uniquement les métadonnées afin de sélectionner les e-mails qui ressemblent à des factures. La grande majorité des messages est écartée à ce stade, sans accès à leur contenu
• Phase 3, classification : seuls les messages candidats voient leur corps et leurs pièces jointes PDF, JPG ou PNG analysés par l'IA. Ce traitement est éphémère et le corps du message n'est pas stocké
• Les factures sont transférées à votre comptable et leurs métadonnées sont conservées afin d'éviter les doublons
• En option, des webhooks en temps réel peuvent traiter automatiquement les e-mails entrants correspondant aux règles configurées, sans recherche manuelle
• Vous pouvez révoquer l'accès à tout moment dans les paramètres de sécurité de votre fournisseur de messagerie

Lieu de traitement et transferts

Vos données sont traitées et stockées dans des centres de données situés aux États-Unis. Si vous accédez au service depuis un autre pays, vous consentez au transfert et au traitement de vos données aux États-Unis. Nous veillons à ce que les transferts respectent les lois applicables en matière de protection des données, notamment les clauses contractuelles types du RGPD lorsqu'elles s'appliquent.

Notification d'une violation

Dans le cas peu probable d'une violation de données touchant vos informations personnelles, nous vous en informerons par e-mail dans les 72 heures suivant le moment où nous en aurons pris connaissance, conformément au RGPD et aux lois applicables. Nous informerons également les autorités compétentes lorsque la loi l'exige.

Mesures techniques

• Chiffrement en transit : toutes les données sont transmises avec le chiffrement TLS 1.3
• Chiffrement au repos : les données stockées sont chiffrées avec AES-256
• Sécurité OAuth : nous utilisons des jetons d'accès de courte durée, régulièrement renouvelés
• Infrastructure : le service est hébergé sur des plateformes professionnelles, Convex et Vercel, qui maintiennent une conformité SOC 2 Type II
• Contrôle d'accès : des règles internes strictes sont associées à une journalisation des accès
• Audits réguliers : nous procédons périodiquement à des examens de sécurité et à des évaluations des vulnérabilités

Cookies essentiels et mesures d'audience respectueuses de la vie privée

Expensent utilise des cookies essentiels pour l'authentification, la gestion des sessions, les préférences du service et la sécurité, notamment la protection CSRF. Avec votre consentement aux mesures d'audience, nous utilisons aussi PostHog, hébergé dans l'Union européenne, pour l'analyse du produit et l'enregistrement de sessions avec masquage des informations privées. Vercel Analytics fonctionne sans cookie et mesure les performances des pages. Pour plus de détails, consultez la section 8 de notre Politique de confidentialité.

Ce que nous n'utilisons pas

Nous n'utilisons pas :

• De pixels publicitaires ou de cookies de reciblage
• D'outils de mesure qui vous suivent sur d'autres sites Web
• De widgets de suivi des réseaux sociaux
• De cookies destinés à la publicité ciblée

Pour les résidents de l'Union européenne (RGPD)

Le règlement général sur la protection des données vous accorde les droits suivants :

• Accéder à vos données personnelles
• Rectifier les données personnelles inexactes
• Demander l'effacement de vos données personnelles
• Limiter le traitement de vos données personnelles
• Obtenir la portabilité des données
• Vous opposer au traitement
• Saisir une autorité de contrôle

Pour les résidents de Californie (CCPA/CPRA)

Le California Consumer Privacy Act et le California Privacy Rights Act vous accordent les droits suivants :

• Savoir quelles informations personnelles sont collectées
• Savoir si vos informations personnelles sont vendues ou communiquées
• Refuser la vente d'informations personnelles. Nous ne vendons pas vos données
• Accéder à vos informations personnelles
• Demander leur suppression
• Bénéficier des mêmes services et prix lorsque vous exercez vos droits en matière de confidentialité

Absence de vente ou de partage

Expensent ne vend ni ne partage vos informations personnelles à des fins de publicité comportementale intercontextuelle. Aucun mécanisme de refus n'est nécessaire puisque nous ne vendons jamais de données.

Informations personnelles sensibles

Le contenu des e-mails auquel le service accède est utilisé uniquement pour la détection et le transfert des factures. Il n'est utilisé ni pour le profilage, ni pour la publicité, ni à aucune autre fin que la fourniture du service.