Politique de confidentialité

1. Responsable du traitement

Doxalio International LLC, société de droit du Wyoming (États-Unis), est responsable du traitement de vos données personnelles conformément au Règlement Général sur la Protection des Données (RGPD — UE 2016/679), applicable dès lors que le service est proposé à des personnes situées dans l'Union européenne.

Contact DPO : contact@doxalio.com

2. Données collectées

Nous collectons les données suivantes :

• Compte utilisateur — Email et mot de passe (stocké haché, jamais en clair) lors de la création d'un compte
• Données de facturation — Identifiants client/abonnement Stripe liés à votre compte (voir article 4 pour le détail du traitement des moyens de paiement)
• Documents uploadés — Fichiers PDF déposés sur la plateforme, stockés chiffrés sur AWS S3, ainsi que le texte extrait (OCR) et les données comptables structurées (montants, TVA, fournisseur…) qui en sont dérivées
• Connexions à vos logiciels comptables — Si vous activez un connecteur (Xero, QuickBooks, Sage ou FreeAgent), les jetons d'authentification OAuth nécessaires à la synchronisation sont stockés chiffrés
• Intégration Slack — Si vous activez cette option, l'identifiant du fichier, du canal et du fil de discussion Slack associés à un document
• Clé API et webhooks — Si vous utilisez l'accès programmatique, votre clé API et l'URL/secret de webhook que vous configurez
• Compte Cabinet — collaborateurs — Pour un compte souscrivant à l'offre Cabinet, l'email et le rôle (préparateur, réviseur…) de chaque collaborateur invité sur le compte
• Compte Cabinet — documents de clients tiers — Lorsqu'un cabinet dépose des documents appartenant à l'un de ses propres clients, ces documents et les données qui en sont extraites (voir CGU article 9.7 pour la répartition des responsabilités entre le cabinet et son client final)
• Données analytiques — Avec votre consentement : pages visitées, durée de session (Google Analytics), et parcours de navigation sous forme de cartes de chaleur et enregistrements de session (Hotjar)
• Email — En cas d'inscription à la liste d'attente, sans création de compte

3. Finalités et bases légales

4. Hébergement et transferts

Vos documents et données sont stockés exclusivement sur AWS us-east-1 (Virginie du Nord, États-Unis) (S3, DynamoDB, Textract, SES). Le traitement IA (Bedrock) peut s'appuyer sur l'infrastructure mondiale des régions commerciales AWS pour optimiser les performances — jamais les régions Chine ou GovCloud. Tout transfert hors UE est encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne, conformément à l'Art. 46 du RGPD.

Services AWS utilisés : S3 (stockage), DynamoDB (base de données), Textract (OCR), Bedrock (IA), SES (email).

Pour le paiement des abonnements payants, vos données de facturation (nom, email, moyen de paiement) sont traitées par Stripe, Inc. (États-Unis), sous son propre contrat de sous-traitance et ses propres Clauses Contractuelles Types. Doxalio ne stocke jamais votre numéro de carte bancaire complet.

Avec votre consentement, des outils de mesure d'audience et d'analyse du comportement de navigation sont utilisés : Google Analytics (statistiques de fréquentation) et Hotjar (cartes de chaleur et enregistrements de session). Ces outils ne sont chargés qu'après acceptation dans le bandeau de cookies (voir article 8).

5. Durée de conservation

• Documents uploadés (hors offre Audit ponctuel) et données qui en sont extraites : 12 mois à compter du dernier accès, tant que le compte reste actif ; 30 jours après résiliation du compte si celle-ci intervient avant (voir CGU article 10)
• Offre Audit ponctuel — Les pièces justificatives du rapport d'audit sont conservées 10 ans à compter de la livraison, sans possibilité de suppression anticipée durant cette période (archivage immuable), conformément aux pratiques usuelles de conservation des pièces comptables en France et aux États-Unis
• Historique de conversations : 12 mois
• Données analytiques : 26 mois (Google Analytics) ; voir la politique de Hotjar pour sa propre durée de conservation
• Données de liste d'attente : jusqu'à retrait du consentement

6. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès — Obtenir une copie de vos données
• Droit de rectification — Corriger des données inexactes
• Droit à l'effacement — Supprimer vos données (« droit à l'oubli »)
• Droit à la portabilité — Recevoir vos données dans un format structuré
• Droit à la limitation du traitement — Demander la suspension temporaire du traitement de vos données dans certains cas (exactitude contestée, traitement illicite, opposition en cours d'examen)
• Droit d'opposition — Vous opposer au traitement fondé sur l'intérêt légitime
• Droit au retrait du consentement — À tout moment, sans préjudice

Pour exercer ces droits : contact@doxalio.com. Réponse garantie sous 30 jours. Vous pouvez également saisir la CNIL.

7. Sécurité

Vos données sont protégées par chiffrement AES-256 au repos et TLS 1.3 en transit. Aucune donnée n'est utilisée pour entraîner des modèles d'IA. L'accès à vos documents est restreint à votre identifiant unique.

8. Cookies

Les cookies nécessaires au fonctionnement du service (authentification, session) sont toujours actifs. Les cookies analytiques (Google Analytics) et marketing (Hotjar) nécessitent votre consentement explicite et ne sont chargés qu'après acceptation. Vous pouvez modifier vos préférences à tout moment via le bandeau de cookies.

9. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle, vous serez notifié par email (si fourni) ou via un bandeau sur la plateforme.