Politique de confidentialité

1. Informations que nous collectons et stockons

Nous collectons et stockons les catégories de données suivantes :

• Informations du compte : adresse e-mail, nom lorsque vous le fournissez et paramètres du profil
• Métadonnées des factures probables : pour les messages identifiés comme factures par l'IA, nous stockons l'expéditeur, l'objet, la date et les informations sur les pièces jointes
• Coordonnées du comptable : les adresses e-mail configurées comme destinataires des factures
• Préférences relatives aux fournisseurs : les fournisseurs activés ou désactivés pour la détection, y compris les adresses e-mail et mots-clés utilisés pour les correspondances
• Données d'intégration de messagerie : jetons OAuth et état de connexion de chaque compte lié
• Informations de paiement : traitées de manière sécurisée par Stripe. Nous ne stockons pas les données de votre carte bancaire
• Données d'utilisation : interactions avec le service, historique des transferts et journaux d'erreur

2. Informations que nous ne stockons ni ne conservons

Notre architecture traite la plupart des données de manière éphémère. Nous ne stockons ni ne conservons :

• Les métadonnées des e-mails qui ne sont pas des factures : elles sont supprimées dès qu'un message ne passe pas le préfiltrage et ne sont jamais enregistrées dans notre base
• Le corps des e-mails : il n'est consulté que pendant la classification d'une facture probable, puis n'est pas conservé après l'analyse
• Les contacts et calendriers : nous accédons uniquement au point de terminaison des messages
• Votre mot de passe de messagerie : Nylas gère les jetons OAuth et nous ne voyons jamais vos identifiants
• Les brouillons et messages envoyés : nous traitons les e-mails reçus, pas vos brouillons ou votre dossier d'envoi

Remarque : pendant le préfiltrage, les métadonnées de tous les e-mails de la période sont temporairement traitées en mémoire afin d'identifier les factures. Elles ne sont pas stockées pour les autres messages.

3. Utilisation de vos informations

Nous utilisons vos informations uniquement pour fournir et améliorer le service Expensent :

• Repérer et transférer les factures à votre comptable
• Organiser les factures transférées lorsque vous activez l'organisation de la boîte mail, notamment en les marquant comme lues et en appliquant le libellé ou dossier choisi
• Vérifier votre identité et maintenir votre compte
• Traiter les paiements et gérer les abonnements
• Envoyer des communications de service, des informations sur le produit et des notes de version. Les informations produit peuvent être gérées dans vos paramètres
• Fournir une assistance client
• Respecter les obligations légales et lutter contre la fraude

Nous n'utilisons pas vos données pour la publicité, la vente à des tiers ou une autre finalité étrangère à la fourniture ou à l'amélioration d'Expensent.

Base juridique du traitement (RGPD)

Nous traitons vos données personnelles sur les bases suivantes :

• Nécessité contractuelle (article 6, paragraphe 1, point b) : gestion du compte, détection et transfert des factures, traitement des paiements
• Intérêt légitime (article 6, paragraphe 1, point f) : communications de service, prévention de la fraude et amélioration du service
• Obligation légale (article 6, paragraphe 1, point c) : conservation des documents fiscaux et de facturation, coopération avec les autorités

4. Partage des données et services tiers

Expensent utilise les prestataires tiers de confiance suivants :

• Nylas: API de messagerie qui gère OAuth avec Google, Microsoft et d'autres fournisseurs, puis fournit un accès sécurisé à la boîte mail
• Stripe: traitement des paiements conforme aux exigences PCI
• Resend: envoi des notifications liées au compte et des communications produit
• Convex: hébergement sécurisé de la base de données, des données utilisateur et des paramètres
• Vercel: hébergement de l'application et fonctions sans serveur
• WorkOS: fournisseur d'authentification pour la connexion sécurisée avec OAuth ou SSO
• PostHog: analyse du produit hébergée dans l'Union européenne. PostHog masque tous les champs de saisie dans les enregistrements de session, ne suit pas les utilisateurs entre les sites et traite les données dans l'Union européenne
• Vercel Analytics: mesure d'audience respectueuse de la vie privée pour les performances et le nombre de visiteurs, sans cookie ni suivi entre les sites
• Fournisseurs d'IA : Expensent utilise des services actuellement fournis par Anthropic, Google AI, OpenAI et/ou xAI. Le choix est configurable et peut changer. Ces services sont utilisés pour :
  • Le préfiltrage des métadonnées : l'IA examine l'expéditeur, l'objet et les informations sur les pièces jointes afin de repérer les factures probables. Le corps du message n'est pas utilisé à ce stade
  • La classification des factures probables : l'IA analyse le corps et les pièces jointes des messages qui passent le préfiltrage afin de confirmer leur classement et d'extraire le fournisseur, le montant et la catégorie
  • L'extraction depuis les pièces jointes : pour les factures confirmées avec un fichier PDF, JPG ou PNG, l'IA extrait les montants, les dates et les informations sur le fournisseur

  La majorité des messages est écartée pendant le préfiltrage à partir des métadonnées seules. Seul un petit nombre de factures probables fait l'objet d'une analyse approfondie. Le traitement est éphémère et les fournisseurs d'IA ne conservent pas les données utilisateur et ne les utilisent pas pour entraîner leurs modèles.

Les services ci-dessus agissent comme sous-traitants. Vous pouvez demander la liste actuelle à hello@expensent.com.

Concernant spécifiquement les données utilisateur Google :

• Nous ne vendons, n'échangeons et ne transférons PAS les données utilisateur Google à des tiers
• Nous ne partageons PAS ces données avec des plateformes publicitaires, des courtiers en données ou des revendeurs d'informations
• Les pièces jointes sont envoyées uniquement aux adresses de comptable que vous avez explicitement configurées
• Nous partageons les données avec les prestataires ci-dessus dans la stricte mesure nécessaire au fonctionnement du service

5. Protection et sécurité des données

Nous appliquons des mesures de sécurité robustes :

• Chiffrement en transit : toutes les données sont transmises avec TLS 1.3
• Chiffrement au repos : les données stockées sont chiffrées avec AES-256
• Sécurité OAuth : nous utilisons OAuth 2.0 et ne voyons ni ne stockons votre mot de passe de messagerie
• Infrastructure : le service est hébergé sur Convex et Vercel, des plateformes professionnelles qui maintiennent une conformité SOC 2 Type II
• Contrôle d'accès : des règles internes strictes sont associées à une journalisation des accès

6. Conservation et suppression des données

Expensent conserve vos données uniquement pendant la durée nécessaire à la fourniture du service :

• Données du compte : pendant la durée de l'abonnement actif
• Métadonnées des factures : afin de maintenir l'historique et d'éviter les transferts en double
• Jetons OAuth : tant que le compte de messagerie reste connecté. Ils sont supprimés lors de la déconnexion ou de la suppression du compte
• Pièces jointes des factures : elles ne sont pas stockées de manière permanente. Les fichiers provenant d'e-mails sont récupérés auprès du fournisseur, transférés au comptable, puis supprimés. Les fichiers envoyés par l'utilisateur, par exemple pour un rappel manuel, sont stockés temporairement dans un espace chiffré puis supprimés automatiquement après le transfert
• Journaux opérationnels et de sécurité : les journaux administratifs de diagnostic sont assainis et conservés jusqu'à 30 jours. Les événements d'audit de sécurité sont conservés jusqu'à 90 jours pour prévenir les abus, examiner les accès et gérer les incidents

Suppression des données et du compte :

• Vous pouvez demander à tout moment la suppression de toutes vos données en nous contactant
• À la suppression du compte, celui-ci est immédiatement désactivé, l'accès à la messagerie est retiré et les données, y compris les données utilisateur Google, sont définitivement supprimées ou anonymisées sous 30 jours. Pendant cette fenêtre de récupération, quelques données de compte peuvent être conservées uniquement pour permettre la restauration si vous changez d'avis
• Vous pouvez révoquer l'accès d'Expensent à votre compte Google dans les autorisations de votre compte Google
• Certaines données peuvent être conservées plus longtemps lorsque la loi l'exige, notamment les documents de facturation requis à des fins fiscales

Pour demander la suppression de vos données, écrivez à hello@expensent.com.

7. Vos droits

Selon votre lieu de résidence, vous pouvez avoir le droit de :

• Accéder à vos données personnelles et en recevoir une copie
• Corriger les données inexactes
• Demander la suppression de vos données
• Vous opposer à certains traitements ou les limiter
• Recevoir vos données dans un format lisible par une machine
• Retirer votre consentement lorsqu'il s'applique

Pour exercer ces droits, écrivez à hello@expensent.com.

8. Cookies

Nous utilisons les cookies et le stockage du navigateur nécessaires au service. Le stockage facultatif lié aux mesures d'audience n'est utilisé qu'avec votre accord :

• Cookies d'authentification : pour maintenir votre connexion de manière sécurisée
• Cookies de session : pour conserver vos préférences pendant la session
• Stockage des préférences : pour mémoriser les choix liés au produit et à la confidentialité
• Cookies de sécurité : pour prévenir les attaques CSRF et protéger votre compte

Nous n'utilisons aucun pixel publicitaire ou cookie destiné à la publicité ciblée et ne vous suivons pas sur d'autres sites.

Mesures d'audience respectueuses de la vie privée

Avec votre accord, nous utilisons PostHog, hébergé dans l'Union européenne, pour l'analyse du produit et l'enregistrement de sessions avec masquage des informations privées. PostHog peut utiliser un cookie interne et localStorage afin de maintenir la session de mesure, masque tous les champs de saisie et ne vous suit pas sur d'autres sites. Vercel Analytics fonctionne sans cookie. Aucun de ces services n'est utilisé pour la publicité.

9. Protection des mineurs

Expensent n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment d'informations personnelles sur des mineurs. Si nous découvrons avoir recueilli les informations d'une personne de moins de 18 ans, nous les supprimerons rapidement.

10. Modification de cette politique

Nous pouvons mettre à jour cette politique. Nous vous informerons de toute modification substantielle par e-mail et/ou par un avis publié sur notre site. Le maintien de votre utilisation du service après l'entrée en vigueur d'une modification vaut acceptation de la politique mise à jour. Nous vous encourageons à la consulter régulièrement.

Nous contacter

Pour toute question sur cette politique, le traitement de vos données, y compris les données utilisateur Google, ou nos pratiques, contactez-nous :