Qui traite vos données ?
SOGYO LABS, éditeur de Novofa (coordonnées dans les mentions légales), intervient à deux titres :
- Responsable de traitement pour les données de votre compte : identité, connexion, offre, sécurité, échanges avec nous.
- Sous-traitant, au sens de l'article 28 du RGPD, pour les données que vous saisissez sur vos clients et fournisseurs (factures, devis, justificatifs). Vous en restez responsable ; nous les traitons uniquement pour vous fournir le service, selon les engagements des conditions générales.
Données traitées, finalités et bases légales
| Données | Pourquoi | Base légale |
|---|---|---|
| Email, nom, mot de passe (stocké haché, jamais en clair) | Créer et sécuriser votre compte | Exécution du contrat |
| Entreprise : SIRET, adresse, TVA, IBAN, description de l'activité | Émettre vos factures et devis, rédiger des propositions par IA | Exécution du contrat |
| Factures, devis, recettes, dépenses, justificatifs, clients et fournisseurs | Fournir le service (en tant que sous-traitant) | Vos instructions, en exécution du contrat |
| Applications mobiles : type et nom de l'appareil, dates de connexion | Vous garder connecté, déconnecter un appareil perdu | Exécution du contrat |
| Banque connectée (si vous l'activez) : comptes, soldes et opérations des 90 derniers jours, puis au fil de l'eau | Rapprocher vos encaissements et dépenses de vos factures et justificatifs | Exécution du contrat, avec votre consentement donné à votre banque |
| Journal de sécurité : actions sensibles, adresse IP, navigateur | Prévenir l'usurpation et la fraude, prouver les opérations | Intérêt légitime (sécurité du service) |
| Acceptation d'un devis en ligne : nom, email, date, adresse IP, empreinte du document | Prouver l'accord du client | Intérêt légitime (preuve du contrat) |
| Consommation de l'IA (nombre d'appels, volume traité) | Appliquer les quotas de votre offre, maîtriser les coûts | Exécution du contrat |
Nous ne vendons aucune donnée et n'utilisons aucun outil de publicité. Si vous l'acceptez, une mesure d'audience (Google Analytics) porte sur les pages publiques du site, jamais sur votre espace client.
Intelligence artificielle
Quand vous utilisez une fonction d'IA (rédaction de facture ou de devis, lecture d'un justificatif), les éléments nécessaires sont transmis au modèle Claude d'Anthropic : la consigne, les lignes de vos documents précédents, votre catalogue, ou la photo du justificatif (débarrassée de sa position GPS). Un brief vocal est d'abord transcrit en texte par Mistral AI (modèle Voxtral, traitement en Europe), puis traité comme un brief écrit. Ces prestataires traitent les données pour produire la réponse demandée ; Anthropic ne les utilise pas pour entraîner ses modèles, selon ses conditions commerciales, et Mistral AI applique les conditions de son offre professionnelle d'API. Aucune proposition de l'IA n'est enregistrée ni envoyée sans votre validation.
Destinataires et sous-traitants
| Prestataire | Rôle | Localisation |
|---|---|---|
| UAB Cherry Servers | Hébergement de l'application, de la base de données et des justificatifs | Allemagne (Francfort) |
| Openapi S.p.A. | Transmission des factures sur le réseau Peppol, annuaire national de la facturation électronique | Italie (Union européenne) |
| Anthropic, PBC | Fonctions d'intelligence artificielle | États-Unis : transfert encadré par les clauses contractuelles types de la Commission européenne |
| Yapily | Accès en lecture à vos comptes bancaires, si vous connectez une banque (prestataire agréé d'accès aux comptes) | Royaume-Uni et Union européenne |
| Google Ireland Ltd | Mesure d'audience des pages publiques (Google Analytics), seulement si vous l'acceptez | Union européenne et États-Unis : transfert encadré par le cadre de protection des données UE–États-Unis |
| Mistral AI | Transcription des briefs vocaux | France (Union européenne) |
| API Recherche d'entreprises (État français) | Retrouver une entreprise à partir de son SIRET (données publiques) | France |
Les destinataires de vos factures et devis (vos clients) reçoivent bien sûr les informations qui y figurent. L'administration fiscale peut en recevoir certaines au titre de la réforme de la facturation électronique.
Durées de conservation
- Compte et documents : tant que le compte est ouvert. Vous pouvez le supprimer vous-même depuis vos préférences ; tout est alors effacé.
- Sessions des applications mobiles : 90 jours au plus, ou jusqu'à la déconnexion.
- Vos factures doivent être conservées dix ans (art. L. 123-22 du Code de commerce) : exportez-les avant de clôturer votre compte.
- Journal de sécurité : trois ans, puis suppression automatique.
- Preuve d'acceptation d'un devis : conservée avec le devis, tant que celui-ci existe.
- Liens de vérification d'email : quarante-huit heures ; codes d'acceptation de devis : quinze minutes.
Sécurité
Connexions chiffrées (HTTPS), mots de passe hachés (Argon2id), justificatifs inaccessibles sans session, IBAN masqué dans les journaux, accès d'administration limités. Une vérification manuelle des comptes précède le premier envoi de facture, contre l'usurpation d'identité d'entreprise.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, et pouvez définir des directives sur le sort de vos données après votre décès. Écrivez à dpo@novofa.com ; nous répondons sous un mois. Vous pouvez aussi saisir la CNIL (cnil.fr).
Si vous êtes le client d'un utilisateur de Novofa (vous avez reçu une facture ou un devis), adressez-vous d'abord à lui : il est responsable de ces données. Nous l'aiderons à vous répondre.
Cookies et stockage local
| Nom | Finalité | Durée |
|---|---|---|
| Cookie de session | Vous garder connecté, en toute sécurité (inaccessible aux scripts) | 7 jours |
| Préférence de thème (stockage local) | Retenir le mode clair ou sombre | Jusqu'à effacement |
| État du menu (stockage local) | Retenir le menu replié ou déplié | Jusqu'à effacement |
| Choix de consentement (stockage local) | Retenir vos choix sur les traceurs, et leur date | 6 mois |
_ga, _ga_* (Google Analytics) | Mesure d'audience des pages publiques : distinguer les visiteurs et leurs visites. Seulement si vous l'acceptez. | 13 mois |
Les quatre premiers sont strictement nécessaires au service ou à vos réglages : la loi ne requiert pas votre consentement. Aucun cookie publicitaire n'est déposé ; les signaux publicitaires de Google Analytics sont désactivés.
Les cookies de mesure d'audience ne sont déposés qu'après votre accord préalable, recueilli par un bandeau où refuser est aussi simple qu'accepter. Votre choix est conservé 6 mois, puis redemandé ; vous pouvez le modifier à tout moment : .