Politique de confidentialité

Le responsable du traitement est [À compléter : dénomination sociale ou nom de l'exploitant], [À compléter : forme juridique et capital], immatriculé sous le numéro [À compléter : SIREN / RCS], dont le siège est situé [À compléter : adresse postale], éditeur du service Kromea accessible à l'adresse kromea.fr (ci-après « Kromea »).

Contact pour toute question relative aux données personnelles : contact@kromea.fr. Délégué à la protection des données : [À compléter : désignation d'un DPO ou indication qu'aucun DPO n'est désigné].

Lorsque l'utilisateur enregistre dans Kromea les données de ses propres clients (contacts, devis, factures), il agit en qualité de responsable de traitement et Kromea en qualité de sous-traitant au sens de l'article 28 du RGPD. [À compléter : accord de traitement des données (DPA) à mettre à disposition des utilisateurs]

• Compte : adresse e-mail, mot de passe (stocké sous forme chiffrée par notre prestataire d'authentification), ou identité transmise par Google lors d'une connexion avec Google (nom, adresse e-mail, photo de profil le cas échéant).
• Profil professionnel : nom du studio, raison sociale, SIRET, adresse, numéro de TVA, coordonnées bancaires affichées sur les documents, logo, couleurs, conditions générales de vente, régime fiscal, date de début d'activité et bénéfice éventuel de l'ACRE.
• Clients de l'utilisateur : noms, prénoms, sociétés, adresses e-mail et postales, téléphones, notes.
• Projets et documents : briefs, estimations, grilles tarifaires, matériel, devis, factures, avoirs, signatures électroniques des clients (nom, fonction, société, tracé de signature, horodatage et empreinte du document signé), demandes de modification.
• Données financières : paiements, encaissements, acomptes, dépenses, réserves fiscales et sociales, préparation de déclaration Urssaf.
• Justificatifs : photographies ou fichiers de tickets et factures d'achat téléversés par l'utilisateur, ainsi que les montants extraits.
• Données bancaires (Open Banking), si l'utilisateur connecte un compte : informations sur les comptes et transactions bancaires.
• Support : messages échangés avec le chat d'aide et l'équipe Kromea, réponses aux questionnaires du programme bêta.
• Appareils et usage : jeton de notification push si l'utilisateur l'accepte, mode d'ouverture de l'application (navigateur ou application installée) et, uniquement avec consentement, mesures d'usage du produit.

• Création et gestion du compte, fourniture des fonctionnalités (projets, devis, factures, suivi financier) — exécution du contrat (art. 6.1.b RGPD).
• Facturation de l'abonnement et gestion des paiements — exécution du contrat et obligation légale de conservation comptable (art. 6.1.c).
• Transmission de factures électroniques et de données de e-reporting via une plateforme agréée, à la demande de l'utilisateur — exécution du contrat et obligation légale de l'utilisateur.
• Synchronisation bancaire — consentement de l'utilisateur donné auprès du prestataire agréé, et exécution du contrat.
• Support, sécurité, prévention des abus et amélioration du service — intérêt légitime (art. 6.1.f).
• Mesure d'usage du produit et notifications push — consentement (art. 6.1.a), retirable à tout moment depuis le Profil.
• Annonces relatives au service — intérêt légitime. Aucune prospection commerciale n'est adressée sans consentement lorsque celui-ci est requis.

Kromea propose des fonctionnalités d'intelligence artificielle : analyse d'un brief et estimation d'un projet, assistance du chat d'aide et outils internes d'administration. Les contenus soumis (texte du brief, grille tarifaire, contexte du projet, messages d'aide) sont transmis, via la passerelle d'IA de notre hébergeur Lovable, à des modèles fournis par des tiers, notamment Google (Gemini) et OpenAI.

Ces traitements ne produisent aucune décision fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD : les résultats sont des propositions que l'utilisateur vérifie et modifie. Il est recommandé de ne pas inclure de données sensibles dans les briefs. [À compléter : conditions de conservation et de non-réutilisation des données par les fournisseurs d'IA, et localisation des traitements]

La lecture des tickets de caisse (reconnaissance de caractères) est effectuée localement dans le navigateur de l'utilisateur, sans envoi de l'image à un service d'IA tiers.

Les devis et factures émis sont figés au moment de leur émission afin de garantir leur intégrité ; leur contenu ne peut plus être modifié. Lorsque l'utilisateur active la facturation électronique, les factures et les données de transaction nécessaires sont transmises à SUPER PDP, plateforme agréée par l'administration fiscale, qui agit pour le compte de l'utilisateur. La connexion est établie à l'initiative de l'utilisateur. [À compléter : statut contractuel de SUPER PDP (sous-traitant ou responsable distinct) et mise en production effective du service]

La préparation de la déclaration Urssaf est un outil d'aide : Kromea ne transmet aucune déclaration à l'administration en l'état actuel du service.

Si l'utilisateur choisit de connecter un compte bancaire, la connexion est opérée par Tink, prestataire de services d'information sur les comptes. L'authentification bancaire a lieu directement auprès de Tink et de la banque ; Kromea ne reçoit jamais les identifiants bancaires. Kromea reçoit les informations de comptes et de transactions afin de rapprocher les paiements reçus et les dépenses. L'utilisateur peut déconnecter son compte à tout moment. [À compléter : confirmation de la disponibilité de cette fonctionnalité en production et du contrat avec Tink]

Les paiements d'abonnement sont traités par Stripe. Lorsque l'utilisateur connecte son propre compte Stripe, ses clients peuvent régler leurs factures par carte. Les données de carte sont saisies et traitées exclusivement par Stripe et ne sont jamais stockées par Kromea, qui conserve uniquement les références et statuts de paiement. Stripe agit, pour ses propres obligations réglementaires, en qualité de responsable de traitement distinct.

La connexion avec Google permet de s'identifier sans mot de passe dédié. Kromea reçoit uniquement les informations d'identité nécessaires (adresse e-mail, nom, photo de profil) et n'accède ni à la messagerie, ni aux fichiers, ni aux contacts Google de l'utilisateur.

Les données sont accessibles à l'équipe habilitée de Kromea, dans la limite de ses missions (notamment le support), et aux prestataires suivants :

• Lovable (hébergement de l'application, base de données, authentification, stockage de fichiers, passerelle d'IA et envoi des e-mails transactionnels) ;
• Google et OpenAI (modèles d'IA, via la passerelle) ; Google (connexion avec Google) ;
• Stripe (paiements) ;
• SUPER PDP (facturation électronique, sur activation) ;
• Tink (Open Banking, sur activation) ;
• Google Firebase Cloud Messaging (notifications push, avec consentement) ;
• PostHog (mesure d'usage, avec consentement) ;
• Google Fonts (chargement des polices d'affichage, impliquant la transmission de l'adresse IP).

Les signataires d'un devis et les destinataires d'une facture accèdent aux documents qui leur sont partagés par un lien personnel.

Lieu d'hébergement de la base de données et des fichiers : [À compléter : région d'hébergement]. Certains prestataires (notamment Google, OpenAI, Stripe et, selon la région configurée, PostHog) sont susceptibles de traiter des données aux États-Unis. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis lorsque le prestataire y adhère, ou par des clauses contractuelles types de la Commission européenne. [À compléter : vérification des garanties de transfert de chaque prestataire]

• Données du compte : pendant la durée du compte, puis [À compléter : durée après clôture].
• Factures et pièces comptables : pendant la durée légale applicable à l'utilisateur, en principe dix ans (article L.123-22 du Code de commerce) ; les documents émis ne sont pas supprimés lors d'une perte d'accès à une formule payante.
• Preuves de signature des devis : [À compléter : durée de conservation].
• Justificatifs téléversés : jusqu'à leur suppression par l'utilisateur, selon les paramètres de conservation choisis.
• Données bancaires synchronisées : [À compléter : durée de conservation].
• Conversations de support : conservées dans le compte ; une demande sans réponse est clôturée automatiquement après trois jours, sans suppression de l'historique. [À compléter : durée maximale de conservation]
• Mesures d'usage : [À compléter : durée de conservation chez PostHog].

Kromea met en œuvre des mesures techniques et organisationnelles adaptées, notamment : chiffrement des échanges (HTTPS), cloisonnement des données par compte au niveau de la base de données, accès aux fichiers privés par liens temporaires, empreinte cryptographique des documents signés, verrouillage du contenu des documents émis et limitation des accès administrateurs. Aucun système n'étant infaillible, Kromea ne peut garantir une sécurité absolue. En cas de violation de données présentant un risque, Kromea notifiera la CNIL et, le cas échéant, les personnes concernées, dans les conditions prévues par le RGPD.

Kromea utilise le stockage local du navigateur pour maintenir la session de connexion et mémoriser des préférences d'affichage (bannières masquées, choix de consentement). Ces éléments sont strictement nécessaires au service. La mesure d'usage du produit (PostHog) n'est activée qu'après consentement exprès dans le compte, avec masquage des contenus sensibles ; elle peut être désactivée à tout moment.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives relatives au sort de vos données après votre décès. Certaines données ne peuvent être effacées lorsque leur conservation est imposée par la loi (pièces comptables, factures émises).

Pour exercer ces droits, écrivez à contact@kromea.fr. Une réponse vous sera apportée dans un délai d'un mois, prolongeable dans les conditions de l'article 12 du RGPD. Les clients de nos utilisateurs sont invités à adresser leur demande en priorité au professionnel concerné.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Cette politique peut évoluer, notamment lors de l'ajout de nouvelles fonctionnalités. Toute modification substantielle sera portée à la connaissance des utilisateurs dans l'application.