1. Responsable du traitement
Le responsable du traitement est TMF Assist SNC, agissant sous le nom commercial « Finnix », Rue César Franck 52, 1050 Ixelles, Belgique, BCE 0505.985.850.
TMF Assist n’a pas désigné de délégué à la protection des données. Toute question relative à vos données peut être adressée à support@finnix.eu.
2. Nos deux rôles
Responsable du traitement pour les données des utilisateurs de Finnix (compte, entreprise, abonnement, support), des visiteurs du site et des personnes qui nous contactent.
Sous-traitant pour les données que nos clients enregistrent dans Finnix au sujet de leurs propres clients, fournisseurs et contacts (devis, factures, notes de crédit, documents d’achat, documents Peppol). Pour ces données, c’est le client Finnix qui est responsable du traitement ; nous les traitons uniquement pour lui fournir le service. Les règles applicables figurent à l’article « Données personnelles » des CGU-CGV.
3. Données traitées
Compte utilisateur
Nom, prénom, adresse e-mail, mot de passe (stocké sous forme hachée, jamais en clair). Si vous vous connectez avec Google, nous recevons votre nom et votre adresse e-mail Google.
Entreprise
Dénomination, forme juridique, adresse, numéro BCE et de TVA, coordonnées bancaires (IBAN), logo, identifiant Peppol.
Vérification d’identité
Copie recto-verso de la carte d’identité de la personne qui ouvre le compte et extrait du registre UBO, afin de vérifier qu’elle est bien administratrice de la société.
Abonnement et paiement
Formule choisie, historique de facturation, identifiant client Stripe. Les données de carte bancaire et Bancontact sont traitées directement par Stripe : Finnix ne les reçoit ni ne les stocke.
Données techniques
Adresse IP, type de navigateur, journaux de connexion et d’activité, statuts d’envoi Peppol.
Demandes de contact et de démo
Nom, prénom, e-mail, téléphone, entreprise, taille de l’entreprise, fonction et message envoyés via les formulaires du site.
Mesure d’audience
Statistiques de visite agrégées (pages vues, provenance, type d’appareil), collectées sans cookie. Voir la politique cookies.
4. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Création et gestion du compte, fourniture du service | Exécution du contrat |
| Vérification de l’identité et du pouvoir de représentation | Intérêt légitime (prévention de la fraude, sécurité du réseau Peppol) |
| Envoi des documents par Peppol et par e-mail | Exécution du contrat |
| Gestion de l’abonnement et des paiements | Exécution du contrat |
| Tenue de notre comptabilité | Obligation légale |
| Support, y compris l’accès assisté à votre compte | Exécution du contrat |
| Réponse aux demandes de contact et de démo | Mesures précontractuelles / intérêt légitime |
| Sécurité de la plateforme et journalisation | Intérêt légitime |
| Mesure d’audience sans cookie | Intérêt légitime |
5. Destinataires et sous-traitants
Vos données ne sont jamais vendues ni louées. Elles sont accessibles uniquement à :
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVH GmbH | Hébergement de la plateforme et de la base de données | Allemagne |
| Stripe Payments Europe Ltd | Paiement des abonnements | Irlande |
| Resend | Envoi des e-mails (notifications, documents) et réception des réponses à vos documents | États-Unis |
| Recommand | Point d’accès certifié au réseau Peppol | Union européenne |
| Google Ireland Ltd | Connexion avec un compte Google (si vous la choisissez) | Irlande |
| Kago Group | Développement et maintenance, recherche d’entreprises dans la BCE (BCE Vision), mesure d’audience (Umami) | Belgique |
Peuvent également y accéder :
- les destinataires de vos documents (vos clients, via Peppol ou e-mail) ;
- le comptable que vous invitez sur votre dossier (voir ci-dessous) ;
- les autorités publiques, uniquement sur demande fondée sur une obligation légale.
6. Transferts hors de l'Union européenne
Resend est établi aux États-Unis ; Stripe et Google peuvent également transférer certaines données vers les États-Unis. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et/ou par les clauses contractuelles types de la Commission européenne.
7. Durées de conservation
| Données | Durée |
|---|---|
| Compte, entreprise et données enregistrées dans Finnix | Durée du compte, puis suppression 90 jours après sa fermeture |
| Documents de vérification d’identité | Durée du compte, puis suppression 90 jours après sa fermeture |
| Journaux techniques | 90 jours |
| Demandes de contact et de démo | 90 jours |
| Factures d’abonnement émises par TMF Assist | Délai légal de conservation comptable (10 ans) |
8. Accès par l'équipe Finnix et par votre comptable
Accès assisté. Pour traiter une demande de support ou un incident, deux personnes habilitées de l’équipe Finnix peuvent se connecter à votre compte. Cet accès est limité à ces deux personnes et n’est utilisé qu’à cette fin.
Documents de vérification. Ils sont stockés chiffrés et ne sont consultés que par le personnel habilité chargé de la vérification. Chaque consultation est journalisée.
Comptable invité. Si vous invitez votre comptable, il accède aux données de votre dossier dont il a besoin pour sa mission. Vous restez responsable de cette invitation et pouvez la retirer à tout moment.
9. Sécurité
- Communications chiffrées (HTTPS) ;
- mots de passe hachés avec bcrypt ;
- documents d’identité chiffrés au repos ;
- hébergement au sein de l’Union européenne ;
- accès internes limités aux personnes qui en ont besoin.
10. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de retirer votre consentement lorsque le traitement en dépend.
Pour les exercer, écrivez à support@finnix.eu. Nous répondons dans un délai d’un mois. Une preuve d’identité peut être demandée en cas de doute raisonnable sur votre identité.
Si vos données ont été enregistrées dans Finnix par l’un de nos clients (par exemple sur une facture), adressez votre demande à ce client : il est responsable de ces données. Nous l’assisterons pour y répondre.
Vous pouvez aussi introduire une plainte auprès de l’Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles — www.autoriteprotectiondonnees.be.
11. Violation de données
En cas de violation de données présentant un risque, nous notifions l’Autorité de protection des données dans les 72 heures et informons les personnes concernées lorsque la loi l’exige. Lorsque nous agissons comme sous-traitant, nous informons le client concerné dans les meilleurs délais.
12. Modifications
Cette politique peut évoluer. La version en vigueur est toujours disponible sur cette page ; en cas de modification importante, les utilisateurs sont prévenus par e-mail.
Une question sur ce document ?
support@finnix.eu