Cette politique explique comment Tahar Ifrah, personne physique, éditeur du site vigicreance.fr et du service VigiCréance en phase de test gratuite (« la bêta », « nous »), traite les données personnelles, conformément au règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés. Pendant la bêta, le responsable du traitement est cette personne : il n’y a pas de société derrière le service. Contact pour toute question ou demande : support@vigicreance.fr.
1. Qui est responsable de quoi
| Traitement | Qui décide des finalités | Rôle de VigiCréance |
|---|---|---|
| Compte, authentification, facturation, support, sécurité, journaux, mesure d’audience | VigiCréance | Responsable de traitement |
| Indexation des annonces publiques du BODACC pour faire fonctionner le Service | VigiCréance | Responsable de traitement |
| Listes de clients (Débiteurs surveillés) saisies ou importées par un abonné | L’abonné (votre entreprise) | Sous-traitant |
| Déclarations de créance, factures et pièces jointes, Alertes envoyées à l’abonné | L’abonné | Sous-traitant |
Pour les traitements où VigiCréance agit comme sous-traitant, l’abonné est responsable de traitement et l'accord de sous-traitance s’applique.
2. Données traitées
- Données de compte : pour chaque utilisateur, son adresse électronique, son rôle (propriétaire ou membre) et les dates de création et de dernière connexion ; le nom du compte (celui de l’entreprise). Nous ne demandons ni nom, ni fonction, ni préférences de notification aux utilisateurs.
- Profil du créancier : saisi par l’abonné pour préparer ses déclarations de créance : dénomination, forme juridique, SIREN, adresse, e-mail et téléphone de l’entreprise, ainsi que le nom et la fonction du signataire de la déclaration.
- Données d’authentification : jetons de connexion à usage unique et de session.
- Preuves d’acceptation et de signature : version des conditions acceptées à la création du compte, date et adresse IP ; pour chaque déclaration signée, version de l’attestation, date et heure, adresse IP et navigateur du signataire.
- Listes de clients : SIREN, dénomination et coordonnées des entreprises débitrices de l’abonné. Ce sont majoritairement des données de personnes morales, mais elles peuvent concerner des entrepreneurs individuels (personnes physiques) dont le nom apparaît dans la dénomination.
- Données de déclaration : factures, montants, dates, courriers, signature du signataire (tracé ou nom saisi), coordonnées du mandataire judiciaire ou du liquidateur, suivi d’envoi (numéro de suivi, preuves de dépôt et avis de réception).
- Données publiques du BODACC : annonces de procédures collectives (dénomination, SIREN, tribunal, date, mandataire désigné). Pour les entrepreneurs individuels, ces annonces peuvent mentionner nom, prénom et adresse.
- Données de facturation : identifiant client Stripe, historique des paiements, factures. Nous ne stockons pas les numéros de carte bancaire.
- Demandes de contact de la bêta (formulaire
/beta) : profil, nom de l’entreprise (facultatif), taille, nombre de clients suivis, adresse électronique, message libre, date de votre consentement à être recontacté, et une empreinte (hachage salé) de votre adresse IP qui sert à limiter les envois répétés : l’adresse IP elle-même n’est pas conservée. - Réponses aux questions d’intérêt : lorsque vous cliquez sur un bouton d’une fonction pas encore ouverte (envoi en recommandé, offre Cabinet, plus de clients), nous enregistrons le clic, votre compte, et vos réponses facultatives (souhait d’être prévenu, prix qui vous paraît juste, commentaire).
- Données techniques : adresse IP, type de navigateur, journaux d’accès et d’erreur, événements de sécurité.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le Service (compte, surveillance, Alertes, préparation et envoi des déclarations) | Exécution du contrat (art. 6.1.b RGPD) |
| Facturation, comptabilité, obligations fiscales | Obligation légale (art. 6.1.c) |
| Sécurité, prévention de la fraude, journalisation, débogage, amélioration du Service | Intérêt légitime (art. 6.1.f) |
| Mise à jour de l’index des annonces publiques du BODACC | Intérêt légitime des créanciers et de VigiCréance à être informés des procédures collectives (art. 6.1.f) |
| Mesure d’audience sans cookie | Intérêt légitime (art. 6.1.f) |
| Répondre à une demande du formulaire de la bêta et vous recontacter à ce sujet | Votre consentement (art. 6.1.a), donné en cochant la case du formulaire ; vous pouvez le retirer à tout moment |
| Mesurer l’intérêt pour les fonctions à venir (réponses aux questions d’intérêt), préparer les futurs tarifs | Intérêt légitime (art. 6.1.f) : savoir quelles fonctions construire, sans prospection |
| Limiter les envois répétés du formulaire (empreinte de l’adresse IP) | Intérêt légitime (art. 6.1.f) : sécurité et lutte contre les abus |
Pendant la bêta, VigiCréance n’envoie aucune prospection ni lettre d’information. Les e-mails sont transactionnels (lien de connexion, invitations, alertes, rappels de dates limites), plus les messages relatifs à la bêta (fin ou évolution, tarifs à venir, annoncés 30 jours à l’avance) adressés aux testeurs et aux personnes qui ont demandé à être recontactées.
4. Données publiques du BODACC : minimisation
Le BODACC est une publication officielle de la DILA, réutilisable sous Licence Ouverte 2.0. Notre index conserve, pour toutes les annonces de la famille « procédures collectives », y compris celles qui concernent des entrepreneurs individuels : les champs analysés (nom ou dénomination, SIREN, commune, tribunal, dates, nature du jugement, mandataire ou liquidateur) et l’enregistrement d’origine compressé, qui peut contenir l’adresse publiée. Ces données servent à rapprocher les annonces des listes de nos abonnés (Alertes) ; elles ne sont jamais publiées pour une personne physique. L’enregistrement d’origine est vidé 24 mois après la publication (les champs analysés restent) et l’annonce est supprimée après 6 ans. Pour limiter l’impact sur les personnes physiques :
- la correspondance entre une annonce et un abonné se fait par numéro SIREN : une annonce n’est présentée qu’aux abonnés dont la liste contient le SIREN concerné ;
- nous ne stockons pas les sanctions visant des personnes physiques (interdiction de gérer, faillite personnelle) ;
- nous ne constituons pas de profils de personnes physiques et ne cherchons pas à enrichir les annonces avec d’autres sources ;
- aucun nom ni aucune adresse d’entrepreneur individuel ne figure sur une page publique ou dans un plan de site.
5. Pages publiques d’information
VigiCréance publie des pages d’information sur des entreprises en procédure collective (fiches d’entreprise, listes par département, vérification d’un nom ou d’un SIREN), établies à partir du BODACC et de l’identité publique de l’entreprise (Sirene). Ces pages ne concernent que des personnes morales ; les entrepreneurs individuels et les autres personnes physiques en sont exclus et ne font l’objet d’aucune page publique. Elles affichent la source (BODACC, DILA) et la date de mise à jour, ainsi que le nom et l’adresse professionnelle du mandataire judiciaire ou du liquidateur (personne physique ou société d’exercice) et l’administrateur judiciaire, tels qu’ils figurent dans l’annonce publiée.
Toute personne qui estime qu’une information la concernant figure à tort sur une page publique peut demander sa suppression ou s’y opposer (art. 21 RGPD) en écrivant à support@vigicreance.fr ou par le formulaire « Signaler » (motif « opposition », avec le SIREN concerné) ; nous répondons dans un délai d’un mois. Lorsque la demande est acceptée, le SIREN est inscrit sur une liste d’exclusion : la page n’est plus publiée et ne le redevient pas lorsque l’annonce est de nouveau reçue du BODACC.
6. Destinataires et sous-traitants
Vos données ne sont ni vendues ni louées. Elles sont accessibles au personnel habilité de VigiCréance et aux sous-traitants suivants, liés par un contrat conforme à l’article 28 du RGPD :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| OVHcloud (OVH SAS, Roubaix) | Hébergement des serveurs et sauvegarde automatique du serveur | France |
| Brevo | Envoi de courriels transactionnels (lien de connexion, Alertes) | Union européenne [à confirmer] |
| Stripe | Paiement par carte, abonnements, facturation | Union européenne, avec transferts possibles vers les États-Unis |
| MySendingBox (LIFEBOT SASU) | Impression, mise sous pli, affranchissement, dépôt en recommandé avec avis de réception, suivi des envois | France (impression) ; données dans l’Union européenne [à confirmer par écrit] |
Une copie quotidienne chiffrée des sauvegardes est en outre conservée sur un serveur de l’éditeur situé en France (voir la section 8 et la page Sécurité).
Les destinataires de la déclaration de créance (mandataire judiciaire ou liquidateur) reçoivent le courrier que vous avez décidé d’envoyer, sous votre responsabilité.
7. Transferts hors Union européenne
Notre hébergement est situé en France. Le principal transfert possible hors Union européenne concerne Stripe, qui indique être certifié au titre du cadre de protection des données UE–États-Unis (Data Privacy Framework) et avoir intégré les clauses contractuelles types de 2021 à son addendum de transferts de données. Nous ne procédons à aucun autre transfert hors Union européenne à ce jour [à confirmer pour chaque sous-traitant].
8. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte actif | Pendant la relation contractuelle |
| Compte inactif | Supprimé après 36 mois sans connexion, avec un e-mail d’avertissement à 35 mois ; jamais tant qu’un abonnement payant est en cours |
| Suppression du compte à votre demande | Immédiate, depuis la page « Compte » de votre espace (export de vos données possible avant) : listes, alertes, déclarations, pièces et preuves sont effacées, l’abonnement est résilié |
| Listes de clients et alertes | Pendant la durée du compte ; supprimées avec lui |
| Pièces et données de déclaration, envois postaux et preuves de dépôt et de réception | 5 ans après la remise de la lettre à La Poste (durée de prescription : art. 2224 du code civil et L. 110-4 du code de commerce). Brouillons non modifiés depuis 180 jours : supprimés. Déclarations annulées : supprimées après 30 jours |
| Rapports d’import de listes | 90 jours |
| Factures et données de facturation | 10 ans (art. L. 123-22 du code de commerce), chez notre prestataire de paiement et en comptabilité ; le client Stripe n’est pas supprimé avec le compte |
| Acceptation des conditions (version, date, adresse IP) | Durée du compte |
| Journal d’audit (connexions, actions sensibles) | 12 mois |
| Journaux d’accès du serveur web | 30 jours au plus |
| Journaux applicatifs | 30 jours au plus |
| Mesure d’audience | 24 mois au plus |
Demandes de contact de la bêta (formulaire /beta) et réponses aux questions d’intérêt |
24 mois après la demande ou la réponse, puis suppression automatique ; suppression immédiate sur simple demande |
| Annonces publiques du BODACC (index) | Enregistrement d’origine conservé 24 mois (seuls les champs analysés restent ensuite) ; annonces supprimées après 6 ans |
| Cache d’identité des entreprises (Sirene) | Supprimé après 2 ans lorsqu’aucune annonce ni aucun client surveillé ne le référence |
| Liste d’exclusion des pages publiques (SIREN, motif, dates) | Tant que l’opposition doit être respectée |
| Sauvegardes | 14 jours sur le serveur d’hébergement ; 60 jours pour la copie chiffrée conservée sur un serveur de l’éditeur en France |
| Jetons de connexion, sessions, invitations | Supprimés au plus tard 30 jours après leur expiration (jetons : 1 jour) |
Effacements et sauvegardes. La suppression d’un compte ou d’une donnée (y compris par expiration des durées ci-dessus) n’est pas répercutée dans les sauvegardes déjà faites : elles ne sont pas modifiées, elles expirent d’elles-mêmes, et les données effacées en disparaissent au plus tard 60 jours après. En cas de restauration d’une sauvegarde, les effacements intervenus depuis sont rejoués.
9. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les données dont votre entreprise est responsable de traitement, nous vous aidons à répondre aux demandes qui vous sont adressées. Si vous êtes une personne concernée par un traitement effectué pour le compte d’un abonné (par exemple un entrepreneur individuel débiteur), adressez-vous en priorité à cet abonné ; nous transmettrons toute demande reçue.
Pour exercer vos droits : support@vigicreance.fr. Vous pouvez aussi saisir la CNIL : Commission nationale de l’informatique et des libertés, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/adresser-une-plainte (s’ouvre dans un nouvel onglet).
10. Cookies et mesure d’audience
Nous utilisons uniquement des cookies strictement nécessaires (session et protection CSRF : __Host-session et __Host-csrf, 30 jours au plus). Nous n’utilisons aucun cookie publicitaire ni de suivi. La mesure d’audience, réalisée par GoatCounter, outil de mesure d’audience sans cookie, installé sur nos propres serveurs en France, n’utilise ni cookie ni identifiant persistant et vise à rester dans les conditions d’exemption de consentement définies par la CNIL (finalité limitée aux statistiques anonymes, pas de recoupement avec d’autres traitements ; données conservées 24 mois au plus) : voir cnil.fr (s’ouvre dans un nouvel onglet). Détails sur la page Cookies.
11. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque, décrites sur la page Sécurité.
12. Violation de données
En cas de violation de données susceptible d’engendrer un risque pour les personnes, nous notifions la CNIL dans les 72 heures après en avoir pris connaissance (art. 33 RGPD) et informons sans retard injustifié les abonnés concernés, ainsi que les personnes lorsque le risque est élevé.
13. Modifications
Nous pouvons mettre à jour cette politique. La date de mise à jour figure en tête de page ; en cas de changement important, nous informons les abonnés par courriel.