Comment COMPTEXPRESS traite les données personnelles.
Version 1.5 — en vigueur le 15/10/2026 (remplace la version 1.4 du 07/10/2026 : collecte des factures reçues par courrier électronique, hébergeur du serveur et de la boîte de collecte)
Ce qui change dans la version 1.5. Lorsqu'une entreprise abonnée active la collecte des factures reçues par courrier électronique (option « Pilote automatique »), nous traitons pour son compte les pièces collectées et quelques informations sur les messages (section 1), et un nouveau prestataire, OVH (France), héberge notre serveur et notre boîte de collecte (section 4) ; il remplace aussi Google et Yahoo pour nos notifications contractuelles, désormais envoyées depuis envoi@comptexpress.fr. La lecture des pièces collectées et des justificatifs déposés dans la banque par le Pilote automatique est confiée à Google, comme la lecture que vous déclenchez vous-même. La présente version est en vigueur depuis le 15/10/2026 ; la version 1.4 reste consultable.
Le service COMPTEXPRESS (le « Service ») est édité par VLT GRAPHIQUE, SASU au capital de 1 000 €, 66 avenue des Champs-Élysées, 75008 Paris, RCS Paris 109 020 008 (« nous »). Contact pour toute question sur vos données : contact@vltgraphique.fr. Nous n'avons pas désigné de délégué à la protection des données, nos traitements ne relevant pas à ce jour des cas de désignation obligatoire de l'article 37 du RGPD ; cette analyse est réexaminée à chaque évolution significative du Service (ouverture de la paie, augmentation du nombre d'abonnés, nouveau traitement à grande échelle). Vos demandes sont traitées à l'adresse ci-dessus.
Nous intervenons en deux qualités distinctes :
Vous êtes salarié, client ou fournisseur d'une entreprise qui utilise COMPTEXPRESS ? Votre nom, vos coordonnées ou des montants vous concernant peuvent figurer dans ses opérations bancaires, ses factures ou ses écritures. Adressez vos demandes à cette entreprise ; si vous nous écrivez, nous lui transmettrons votre demande. L'effacement de ces informations peut être limité par l'obligation légale de l'entreprise de conserver ses documents comptables pendant 10 ans (article 17.3.b du RGPD ; article L. 123-22 du Code de commerce).
| Finalité | Base légale (RGPD, art. 6) | Durée de conservation |
|---|---|---|
| Créer et gérer le Compte et les sociétés rattachées, fournir le Service | Exécution du contrat (6.1.b) | Durée du Compte, puis période d'export de 90 jours à compter de la fin de l'abonnement, puis effacement de la base active dans les 30 jours suivant le terme de cette période ; effacement dans les 30 jours de la demande en cas de demande d'effacement anticipé ; sauvegardes écrasées sous 90 jours au plus |
| Gérer l'abonnement, facturer, tenir notre comptabilité | Exécution du contrat (6.1.b) et obligation légale (6.1.c) | Factures et pièces comptables : 10 ans (article L. 123-22 du Code de commerce) |
| Conserver la preuve de l'acceptation des conditions (version, horodatage) | Intérêt légitime (6.1.f) : établir nos droits | Durée du contrat + 5 ans |
| Sécuriser le Service, prévenir la fraude et les accès non autorisés (journaux) | Intérêt légitime (6.1.f) | 12 mois au plus |
| Répondre aux demandes de support | Exécution du contrat (6.1.b) | Durée de la relation + 3 ans |
| Informer les abonnés et prospects professionnels des évolutions du Service | Intérêt légitime (6.1.f), avec opposition possible à tout moment, dans chaque message | 3 ans après le dernier contact émanant de la personne |
| Origine des données de prospects (article 14 du RGPD) : nous ne prospectons qu'à partir des coordonnées professionnelles que la personne nous a elle-même communiquées (formulaire du site, demande d'information, échange commercial, salon professionnel). Si nous devions utiliser des coordonnées provenant d'une autre source (annuaire, registre public, fichier acquis auprès d'un tiers), nous indiquerions cette source à la personne et l'informerions dans le mois suivant la collecte, conformément à l'article 14 du RGPD. La prospection par voie électronique entre professionnels est encadrée par l'article L. 34-5 du code des postes et des communications électroniques : elle porte sur des produits en rapport avec la fonction de la personne démarchée, et chaque message comporte un moyen d'opposition. | ||
| Suivre la charge du Service (nombre d'abonnés actifs, sans donnée nominative) | Intérêt légitime (6.1.f) | Compteurs agrégés, sans conservation de données personnelles |
| Traiter les demandes d'exercice de droits | Obligation légale (6.1.c) | Durée du traitement de la demande + 5 ans (preuve) |
| Recouvrer les sommes dues, gérer un contentieux | Intérêt légitime (6.1.f) | Jusqu'à l'issue de la procédure et épuisement des voies de recours |
Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard (article 22 du RGPD). Nous ne vendons pas vos données et ne les utilisons pas pour entraîner des modèles d'intelligence artificielle.
Les données sont accessibles aux seules personnes habilitées de VLT GRAPHIQUE et, dans la limite de leur mission, aux prestataires suivants :
| Prestataire | Rôle | Localisation | Garanties en cas de transfert |
|---|---|---|---|
| Supabase (Supabase Pte. Ltd, Singapour), sur l'infrastructure Amazon Web Services | Base de données (comptes, sociétés, opérations, écritures, factures), authentification, stockage des justificatifs, clé bancaire chiffrée | Union européenne (région Paris, eu-west-3) ; accès techniques ponctuels possibles hors UE | Clauses contractuelles types de la Commission européenne (modules 2 et 3) intégrées à l'accord de traitement de Supabase |
| Netlify, Inc. (États-Unis) | Hébergement du site, exécution des fonctions serveur, stockage technique complémentaire (paramètres de modules, métadonnées), journaux techniques | États-Unis et réseau mondial de diffusion | Certification EU-U.S. Data Privacy Framework et clauses contractuelles types (décision 2021/914) |
| Google (API Gemini, conditions des services payants de Google) | Lecture automatique des justificatifs (photo ou PDF, y compris les pièces collectées par courrier électronique et les justificatifs déposés dans la banque lus par le Pilote automatique) ; analyse de contrat ; proposition de compte assistée (libellé, sens, montant et date de l'opération, sans fichier) | États-Unis et autres pays | Accord de traitement Google (« Google as Data Processor ») et clauses contractuelles types ; Google LLC certifiée Data Privacy Framework. Contenus non utilisés pour améliorer les produits de Google ; conservation limitée à la détection des abus |
| OVH (OVH SAS, France) | Hébergement de notre serveur de collecte des factures reçues par courrier électronique et de notre boîte de collecte (option « Pilote automatique », lorsque l'entreprise abonnée l'active) : réception des messages adressés à son adresse de dépôt (supprimés de notre boîte de collecte 30 jours après leur traitement ; un message que nous n'avons pas pu traiter est conservé pour de nouveaux essais automatiques, puis supprimé au plus tard 60 jours après sa réception, et un message dont l'adresse ne porte pas un code valide est supprimé au plus tard 7 jours après sa réception), lecture seule du dossier qu'elle désigne dans sa boîte (l'identifiant, l'adresse du serveur et le mot de passe de connexion sont effacés quand elle débranche la boîte ou à la fin de l'option ; seule une trace portant les derniers caractères de l'identifiant demeure au journal d'audit), extraction des pièces jointes. Le corps des messages n'est pas enregistré, hors message sans pièce jointe constituant lui-même une facture | Union européenne (France) | Données hébergées en France ; accès possible des filiales du groupe OVH au Canada et au Royaume-Uni, pays reconnus par la Commission européenne comme offrant une protection adéquate |
| Stripe (Stripe Payments Europe, Limited, Irlande) | Paiement de l'abonnement, gestion de l'abonnement | Union européenne et États-Unis | Accord de traitement et avenant de transfert de Stripe (clauses contractuelles types, Data Privacy Framework) |
| OVH (OVH SAS, France), notre messagerie : adresse comptes@vltgraphique.fr, utilisée par notre fournisseur d'authentification Supabase | Messages liés à votre compte : confirmation de votre adresse e-mail à l'inscription, réinitialisation du mot de passe (adresse e-mail et contenu du message) | France ; accès possible des filiales du groupe OVH au Canada et au Royaume-Uni, pays reconnus par la Commission européenne comme offrant une protection adéquate | Accord de traitement OVH |
| OVH (OVH SAS, France), notre messagerie : adresse envoi@comptexpress.fr | Notifications contractuelles que nous vous adressons (rappel d'échéance, mise en demeure, suspension, préavis de modification, rappel avant effacement, alerte de sécurité) | France ; accès possible des filiales du groupe OVH au Canada et au Royaume-Uni, pays reconnus par la Commission européenne comme offrant une protection adéquate | Accord de traitement OVH. Seuls l'adresse e-mail du destinataire et le contenu du message sont concernés, à l'exclusion de vos données comptables |
| Prestataire d'envoi transactionnel (adresse d'expédition dédiée du service) | Envoi d'un message et de pièces à votre cabinet, quand vous le décidez | Non encore désigné : l'envoi au cabinet est inactif. Il sera indiqué ici, avec sa localisation et l'encadrement des transferts, avant toute activation | |
| Google Fonts (Google) | Affichage des polices de caractères de l'application | États-Unis | Votre navigateur transmet votre adresse IP à Google lors du chargement des polices |
| cdnjs (Cloudflare) et unpkg | Chargement de bibliothèques de lecture de PDF et de génération de documents sur les pages « Analyse de contrats » et « Création de contrats » | Réseaux mondiaux de diffusion | Votre navigateur transmet votre adresse IP lors du chargement ; le contenu de vos documents n'est pas envoyé à ces réseaux |
Votre banque. Lorsque vous reliez un compte Qonto, les informations du compte et les opérations sont lues chez Qonto, votre propre établissement, avec la clé que vous avez générée ; lorsqu'un justificatif correspond à un paiement, il est joint à l'opération dans Qonto. Qonto agit selon son contrat avec vous et n'est pas notre sous-traitant.
Votre cabinet. Les pièces que vous choisissez d'envoyer sont reçues par le destinataire que vous désignez, qui les traite sous sa propre responsabilité. Les copies des pièces jointes que le service conserve pour vos liens de téléchargement sont supprimées automatiquement 8 jours après l'envoi ; les pièces de votre coffre ne sont pas concernées.
Outils sans envoi. L'import d'un FEC dans l'onglet dédié, le générateur de CV et le générateur de lettres fonctionnent dans votre navigateur : leur contenu n'est pas envoyé à nos serveurs. L'onglet « Analyseur immobilier » affiche un outil hébergé séparément, qui traite les recherches que vous y saisissez.
Nous pouvons aussi communiquer des données à nos conseils (expert-comptable, avocat), tenus au secret professionnel, et aux autorités qui en font la demande dans les conditions prévues par la loi. Une copie des garanties de transfert peut être obtenue sur demande à contact@vltgraphique.fr.
Nous mettons en œuvre des mesures adaptées à la sensibilité des données financières, notamment : chiffrement des échanges (HTTPS), mots de passe hachés, clés bancaires chiffrées (AES-256-GCM) et jamais renvoyées au navigateur, résolution de la société autorisée côté serveur à partir de votre appartenance, règles d'accès en base, procédure de validation qui fige les écritures, accès limités aux personnes habilitées. Le détail figure en annexe 2 du DPA. Toute violation de données présentant un risque est notifiée à la CNIL et, le cas échéant, aux personnes concernées (articles 33 et 34 du RGPD).
Le Service n'utilise ni cookie publicitaire, ni outil de mesure d'audience. Il utilise :
Ces traceurs sont strictement nécessaires au Service demandé et ne requièrent donc pas de consentement (article 82 de la loi Informatique et Libertés). Vous pouvez les effacer depuis les réglages de votre navigateur ; vous serez alors déconnecté. Sur un appareil partagé, déconnectez-vous après usage.
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (articles 15 à 21 du RGPD), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour les exercer, écrivez à contact@vltgraphique.fr depuis l'adresse de votre Compte. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe (article 12 du RGPD). Nous pouvons demander une information complémentaire en cas de doute raisonnable sur votre identité.
Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
Cette politique peut évoluer, notamment en cas de nouveau prestataire ou de nouvelle fonction. Chaque version porte un numéro et une date d'effet ; les abonnés sont informés par e-mail de toute modification importante.