Politique de confidentialité

L'éditeur de MonKapiten intervient sous deux qualités distinctes selon les données concernées :

Coordonnées de l'éditeur : Rémy Vianne, entrepreneur individuel (EI), exerçant sous le nom commercial « MonKapiten », 6b lieu-dit Laval, 35150 Amanlis, France, SIREN 107 487 266.

Point de contact pour la protection des données : Rémy Vianne, contact.monkapiten@gmail.com.

L'adresse email, le nom, le mot de passe chiffré et la vérification de l'adresse sont attachés au compte global. Pour chaque organisation rejointe, MonKapiten traite séparément l'identifiant d'adhésion, le rôle, le coût horaire éventuel, les dates d'acceptation et les traces de sélection. Les invitations enregistrent l'adresse destinataire, le rôle proposé, l'émetteur, l'expiration et leur état d'acceptation ou de révocation.

Les administrateurs d'une organisation voient les informations nécessaires à la gestion de leur équipe, mais ne peuvent ni modifier les identifiants globaux d'un autre utilisateur, ni consulter ses adhésions ou les données de ses autres organisations.

• Fourniture et gestion du service (comptes, organisation, fonctionnalités) : exécution du contrat.
• Facturation de l'abonnement et comptabilité : exécution du contrat et obligation légale.
• E-mails relatifs au compte (vérification, invitation, réinitialisation et cycle de vie de l'abonnement) : exécution du contrat et intérêt légitime à informer et assister les utilisateurs. Les envois de factures et relances sont effectués pour le compte du client, selon ses instructions.
• Facturation électronique (réception et émission via la Plateforme Agréée) : exécution du contrat et obligation légale liée à la réforme.
• Support et relation client : exécution du contrat et intérêt légitime.
• Sécurité, prévention de la fraude et journalisation (audit) : intérêt légitime et obligation légale. L'intérêt poursuivi est de protéger les comptes, les données et la continuité du service.
• Vérification manuelle du rattachement à une organisation et prévention de l'usurpation de son identité : exécution du contrat pour sécuriser l'accès aux fonctions officielles et intérêt légitime de MonKapiten, de l'organisation concernée et des destinataires des documents à prévenir la fraude.
• Collaboration avec le cabinet désigné, contrôle des autorisations, production et archivage des exports de ventes : exécution du contrat et instructions du client.
• Notifications push facultatives : consentement, exprimé par l'activation dans l'application et l'autorisation du navigateur ; ce consentement peut être retiré à tout moment dans les réglages ou le navigateur.
• Mesure, attribution et optimisation des campagnes Google Ads : consentement (article 6.1.a du RGPD). La balise Google est bloquée avant l'accord et le consentement peut être retiré à tout moment depuis le bouton « Gérer mes cookies ».

Les données ne sont jamais vendues. Elles sont accessibles aux personnes habilitées de l'éditeur et aux prestataires strictement nécessaires à la fourniture du service :

• Brevo (Sendinblue SAS, France) : envoi des emails transactionnels (invitations, réinitialisation de mot de passe, envoi des factures en PDF) et des relances automatiques. Données transmises : adresse e-mail, nom, contenu des messages, PDF des factures.
• SUPER PDP, 6 rue de la Dhuis, 75020 Paris : Plateforme Agréée figurant sur la liste publiée par la DGFiP, à laquelle le client s'affilie pour la transmission et la réception des factures électroniques. Son activation en production reste subordonnée à la contractualisation du service par l'éditeur.
• Hébergeur (Union européenne) : Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France ; infrastructure et données principales hébergées dans la région Paris (France).
• Stripe : paiement et gestion de l'abonnement. Stripe traite certaines données pour fournir le service et agit aussi comme responsable de traitement pour ses obligations réglementaires et de lutte contre la fraude.
• Sentry (Functional Software, Inc.) : suivi des erreurs techniques, uniquement si le service est activé. La configuration désactive l'envoi des données personnelles par défaut, le suivi de performance et le rejeu de session ; un événement peut néanmoins contenir un contexte technique incidentel.
• Services Web Push de Google, Mozilla ou Apple selon le navigateur, uniquement lorsque l'utilisateur active les notifications.
• Google Ads (Google Ireland Limited) : mesure et attribution des campagnes publicitaires, uniquement après consentement. Google peut également agir comme responsable de traitement pour certaines finalités qui lui sont propres, conformément à ses conditions et à sa politique de confidentialité.

Aucun outil publicitaire tiers n'est chargé avant le consentement. Les données peuvent par ailleurs être communiquées aux autorités compétentes lorsque la loi l'exige.

L'hébergement principal de l'application et de sa base de données est prévu dans l'Union européenne. Certains prestataires mondiaux, notamment Stripe, Sentry et les services Web Push et Google Ads, peuvent traiter des données depuis des pays situés hors de l'Espace économique européen. Ces transferts reposent, selon le destinataire, sur une décision d'adéquation, notamment le cadre de protection des données UE-États-Unis pour les organismes certifiés, ou sur les clauses contractuelles types de la Commission européenne, assorties si nécessaire de mesures supplémentaires. Une copie des garanties applicables peut être demandée à contact.monkapiten@gmail.com, sous réserve des éléments confidentiels.

• Factures de l'abonnement et pièces comptables propres à l'éditeur : 10 ans (article L123-22 du Code de commerce).
• Données de compte : pendant toute la durée de la relation contractuelle, puis le temps des délais de prescription légaux applicables.
• Justificatifs de vérification du rattachement : suppression automatique 90 jours après la décision. Le statut, les dates, l'identité des intervenants et le motif de la décision sont conservés avec le compte, puis pendant la durée probatoire applicable.
• Données de prospection et de contact : 3 ans après le dernier contact.
• Journaux, logs techniques et journal d'audit : 12 mois.
• Demandes de support et retours utilisateurs : 3 ans après le dernier contact.
• Invitations cabinet non consommées : suppression ou anonymisation après expiration ; sessions et codes à usage unique : durée technique strictement nécessaire ; journaux d'accès et archives d'exports : selon les durées de preuve et de conservation du client.
• Données traitées pour le compte des clients, notamment leurs factures : durée du contrat, période de transition et de récupération prévue par les CGV, puis suppression selon le DPA. Il appartient au client d'organiser la conservation légale de ses propres pièces comptables.
• Événements d'erreur Sentry : 30 jours lorsque le service est activé.
• Choix relatif à Google Ads : 6 mois, puis le consentement est demandé à nouveau.
• Données Google Ads : selon les réglages du compte publicitaire et les durées publiées par Google ; les rapports détaillés sont actuellement conservés jusqu'à 37 mois et les rapports agrégés sur des périodes plus longues peuvent l'être jusqu'à 11 ans.

L'éditeur met en œuvre des mesures techniques et organisationnelles adaptées :

• chiffrement des secrets et des jetons de la Plateforme Agréée (AES-256-GCM) ;
• mots de passe hachés avec Argon2id, jamais stockés en clair ;
• protection contre la falsification de requêtes (CSRF, double-submit) et sessions sécurisées ;
• transport chiffré (TLS) ;
• sauvegardes quotidiennes avec rotation sur 14 jours ;
• journal d'audit des actions sensibles ;
• justificatifs de vérification stockés dans un espace privé, accessibles uniquement aux personnes habilitées de MonKapiten et à l'organisation qui les a transmis, puis purgés automatiquement ;
• hébergement dans l'Union européenne et cloisonnement strict des données entre clients.

MonKapiten utilise des cookies strictement nécessaires au fonctionnement du service. Ils sont exemptés de consentement préalable :

• connect.sid : cookie de session, indispensable au maintien de la connexion de l'utilisateur ; durée maximale : 24 heures.
• csrf_token : cookie de sécurité, protège contre la falsification de requêtes ; durée maximale : 24 heures.

Le choix « accepter » ou « refuser » Google Ads est conservé pendant 6 mois dans le stockage local du navigateur sous la clé monkapiten:google-ads-consent. Cette mémorisation est nécessaire pour respecter le choix exprimé.

La balise Google Ads AW-18353889918 est facultative et n'est téléchargée qu'après un clic sur « Tout accepter ». Une fois activée, elle peut lire ou déposer des identifiants publicitaires, notamment des cookies dont le nom commence par _gcl_, afin d'attribuer une visite ou une conversion à une campagne et d'optimiser les annonces. Google peut également rapprocher ces informations des cookies déjà présents sur ses domaines, selon les réglages du navigateur et du compte Google.

« Tout refuser » est accessible aussi directement que « Tout accepter » et n'empêche pas l'utilisation du service. Le bouton « Gérer mes cookies », disponible dans le pied de page du site public et dans les paramètres du compte, permet de modifier ou retirer le consentement à tout moment. Le retrait bloque les futurs appels publicitaires et supprime au mieux les cookies Google Ads déposés sur le domaine MonKapiten ; il ne supprime pas les cookies placés directement sur les domaines de Google.

Pour en savoir plus, consultez la politique de Google relative aux cookies.

Les données signalées comme obligatoires lors de l'inscription sont nécessaires à la création du compte et à l'exécution du contrat. À défaut, le compte ou la fonctionnalité concernée ne peut pas être fourni. Les autres champs sont facultatifs, sauf lorsqu'ils deviennent nécessaires à une obligation réglementaire, par exemple pour émettre une facture électronique.

MonKapiten ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant l'utilisateur de manière significative. Les demandes de rattachement à une organisation sont examinées et décidées par une personne habilitée.

Conformément au RGPD, vous disposez des droits suivants sur vos données : accès, rectification, effacement, limitation du traitement, portabilité, opposition, ainsi que le droit de définir des directives relatives au sort de vos données après votre décès.

Vous pouvez exercer ces droits en écrivant à contact.monkapiten@gmail.com (ou au point de contact dédié : Rémy Vianne, contact.monkapiten@gmail.com). Lorsque l'éditeur agit en qualité de sous-traitant, les demandes relatives aux données traitées pour le compte d'un client professionnel sont relayées à ce client, responsable de traitement.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.

La présente politique peut être mise à jour. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle, les utilisateurs sont informés par les moyens appropriés.