Politique de Confidentialité

1. Introduction

Fiscusia s'engage à protéger la vie privée de ses utilisateurs conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

2. Responsable du traitement

Responsable : HMN, éditeur de Fiscusia
SIREN : 930 142 765
Adresse : 12 rue de la Part-Dieu, 69003 Lyon
Contact : contact@fiscusia.fr

3. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

• Données de compte : email, mot de passe (haché), nom, prénom
• Données d'usage : requêtes fiscales (pseudonymisées avant tout envoi au service IA, voir section 4), documents déposés
• Données de paiement : gérées par Stripe (nous ne stockons pas les données bancaires)
• Données techniques : adresse IP, logs de connexion, User-Agent

4. Pseudonymisation automatique

Chacun de vos messages est pseudonymisé sur nos serveurs avant tout envoi au service IA externe, sans action de votre part : les informations qui vous identifient sont détectées et remplacées par des jetons génériques. La table de correspondance qui permet de réinsérer les valeurs d'origine dans la réponse reste en mémoire sur nos serveurs et n'est jamais transmise. Si ce système est indisponible, la question est refusée plutôt qu'envoyée en clair.

Sont remplacés :

• Noms et prénoms de personnes
• Adresses postales et dates de naissance
• Emails et numéros de téléphone
• Numéros de sécurité sociale et numéros fiscaux
• IBAN et identifiants bancaires
• Numéros SIREN, SIRET et de TVA intracommunautaire ; raisons sociales accompagnées de leur forme juridique (SARL, SAS…)

Restent en clair, parce qu'ils conditionnent la règle fiscale applicable : une ville ou un pays cités seuls, le nom d'un dispositif (« Livret A ») ou d'un formulaire, les montants et les dates autres que de naissance. Il s'agit donc d'une pseudonymisation et non d'une anonymisation : le texte transmis peut encore, avec d'autres éléments, se rapporter à une personne, et aucune détection automatique n'est infaillible. Évitez de saisir des informations dont votre question n'a pas besoin.

Le service IA externe conserve les appels reçus pendant 30 jours glissants, à des fins de qualité de service et de sécurité, avant suppression automatique, sans s'en servir pour entraîner ses modèles. Ces journaux contiennent le texte pseudonymisé décrit ci-dessus, jamais la table de correspondance. Les identifiants techniques transmis (compte, conversation) le sont sous forme d'empreinte non réversible par le prestataire.

Nous gardons de notre côté une copie de ces échanges pseudonymisés pour contrôler la qualité des réponses et la sécurité du service : leur texte est effacé automatiquement au bout de 30 jours. Seuls subsistent des compteurs techniques (date, modèle utilisé, nombre de jetons, empreinte du compte), nécessaires au suivi des coûts.

5. Finalités du traitement

Vos données sont utilisées pour :

• Créer et gérer votre compte utilisateur
• Fournir le service d'assistance fiscale IA
• Traiter les paiements (abonnement Pro, services à la demande)
• Améliorer la qualité du service
• Se conformer aux obligations légales

6. Durée de conservation

7. Partage des données

Nous ne partageons vos données qu'avec :

• Service IA : traitement de l'intelligence artificielle (texte pseudonymisé uniquement, journaux conservés 30 jours puis supprimés, sans entraînement de modèle)
• Stripe : traitement des paiements
• Hébergeur : serveurs situés dans l'Union européenne (Allemagne)
• Prestataire de messagerie : envoi des emails du service (adresse du destinataire et contenu du message), serveurs situés dans l'Union européenne

Nous ne vendons jamais vos données à des tiers.

8. Évaluation de titres non cotés

Le rapport d'évaluation de titres s'achète sans compte. Les données qu'il mobilise sont donc traitées à part, selon les règles suivantes.

• Données collectées : l'adresse e-mail de livraison ; les données saisies sur la société évaluée (raison sociale, SIREN, données comptables et financières, paramètres de l'évaluation) et le résultat du calcul ; l'adresse IP et le navigateur utilisés lors du calcul ; la date, l'heure et l'adresse IP de l'acceptation des CGV et de la renonciation au droit de rétractation ; les références du paiement Stripe (session, paiement), le montant et la date. Les données bancaires sont saisies chez Stripe et ne nous parviennent jamais.
• Finalités : calculer l'évaluation et établir le rapport, puis le livrer par e-mail (exécution du contrat) ; prouver l'acceptation des CGV et la renonciation au droit de rétractation, et tenir la comptabilité (obligations légales) ; limiter le nombre de calculs et de paiements par adresse IP pour prévenir les abus (intérêt légitime).
• Durées : une évaluation non payée est supprimée à l'expiration de son lien, 90 jours après le calcul. Un rapport payé reste accessible 90 jours à compter du paiement ; 30 jours après la fin de cet accès, il est anonymisé : adresse e-mail, adresses IP, navigateur, SIREN, raison sociale, données saisies et rapport sont effacés. Seuls le montant, les dates, les références du paiement Stripe et l'horodatage des accords sont conservés, au titre des pièces comptables (10 ans).
• Destinataires : Stripe, prestataire de paiement (adresse e-mail, intitulé du produit comprenant la raison sociale, montant, référence de commande) ; notre hébergeur (serveurs situés dans l'Union européenne) ; notre prestataire de messagerie, établi dans l'Union européenne, qui expédie l'e-mail de livraison et le rapport joint.
• Lien d'accès : l'identifiant qui figure dans le lien du rapport n'est jamais transmis aux outils de mesure d'audience.

Faute de compte, l'export et la suppression automatiques de l'espace personnel ne couvrent pas ces données : pour exercer vos droits, écrivez à contact@fiscusia.fr en indiquant l'adresse e-mail de livraison et la référence de commande figurant dans l'e-mail reçu.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger vos données inexactes
• Droit à l'effacement : supprimer votre compte et toutes vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : refuser certains traitements
• Droit de limitation : limiter certains traitements

Pour exercer vos droits, contactez-nous à : contact@fiscusia.fr

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Chiffrement TLS (HTTPS) pour toutes les communications
• Mots de passe hachés avec bcrypt (12 rounds)
• Authentification à deux facteurs (2FA) disponible
• Journal des opérations sensibles (connexions, exports, suppressions)
• Sauvegardes quotidiennes à accès restreint (lisibles par le seul compte d'exploitation), avec un test de restauration complète chaque semaine
• Isolation réseau des conteneurs Docker

11. Cookies et traceurs

Seuls les cookies strictement nécessaires au fonctionnement du service sont déposés sans votre accord. Les autres traceurs sont soit soumis à votre consentement, soit conçus pour ne déposer aucun cookie.

• Cookies strictement nécessaires — session d'authentification et jeton anti-CSRF. Sans eux, la connexion à votre compte est impossible. Aucun consentement requis.
• Mesure d'audience sans cookie — chaque page vue et chaque clic sur un bouton d'action sont comptabilisés par une instance de mesure d'audience auto-hébergée par l'éditeur (logiciel libre Plausible Community Edition), installée sur un serveur distinct du site, joignable à l'adresse mekadesk.com. Ce dispositif ne dépose aucun cookie, n'utilise aucun identifiant publicitaire, ne suit pas les visiteurs d'un site à l'autre et ne conserve pas votre adresse IP : celle-ci sert uniquement, le temps de la requête, à calculer un identifiant de session non réversible qui change chaque jour. Seules des données agrégées sont conservées (page, référent, pays, type d'appareil). Aucune donnée n'est transmise à un prestataire tiers ni revendue. Ce traitement relève de la mesure d'audience exemptée de consentement au sens de la recommandation de la CNIL.
• Google Analytics — dépôt de cookies, uniquement après votre consentement explicite via le bandeau, et révocable à tout moment par le lien « Gérer les cookies » du pied de page. Adresse IP anonymisée.

La liste nominative des cookies, leur finalité et leur durée figurent dans notre Politique de Cookies.

12. Transferts hors UE

Le texte pseudonymisé des questions (voir section 4) peut être traité par le service IA externe hors de l'Union européenne, dans le respect des clauses contractuelles types (SCC) de la Commission européenne et des garanties appropriées prévues par le RGPD. Stripe, pour les paiements, et Google Analytics, si vous y avez consenti, peuvent également transférer des données vers les États-Unis dans le cadre de leurs propres garanties.

Les données que nous hébergeons nous-mêmes (données de compte, conversations, documents, journaux, sauvegardes) sont stockées dans l'Union européenne.

13. Modifications

Nous nous réservons le droit de modifier cette politique de confidentialité. Toute modification sera notifiée par email aux utilisateurs actifs.

14. Contact

Pour toute question relative à la protection de vos données :

Email : contact@fiscusia.fr
Délégué à la Protection des Données (DPO) : contact@fiscusia.fr

Vous pouvez également contacter la CNIL :
https://www.cnil.fr