Politique de confidentialité
La version anglaise du présent document fait foi. Cette traduction est fournie pour votre commodité ; en cas de divergence, la version anglaise prévaut.
À propos de cette politique
Cette politique explique quelles données personnelles Invroot collecte, pourquoi, avec qui elles sont partagées et quels droits vous avez. Elle couvre le site invroot.com et l'application Invroot.
Elle décrit le service tel qu'il est réellement construit. Lorsque nous nommons un tiers, il s'agit d'un tiers que le produit utilise véritablement ; lorsque nous décrivons ce qui sort de nos systèmes, c'est bien ce qui en sort.
Deux rôles distincts — et pourquoi la distinction compte
Pour les données personnelles de nos propres clients — les personnes qui s'inscrivent et les membres de leur équipe — nous sommes le responsable de traitement. Nous décidons pourquoi et comment elles sont traitées, et la présente politique les régit.
Pour les données qu'un client saisit au sujet de ses propres clients — noms, adresses, numéros fiscaux, lignes de facture, enregistrements de paiement — le client est le responsable de traitement et nous sommes son sous-traitant. Nous traitons ces données sur ses instructions pour fournir le service, et nous ne les utilisons pas à nos propres fins.
Si vous avez reçu une facture produite avec Invroot et souhaitez savoir pourquoi une entreprise détient vos données, adressez-vous à cette entreprise : la relation et les enregistrements lui appartiennent. Nous l'aiderons à vous répondre.
Ce que nous collectons
Données de compte et d'espace de travail
- Vos nom, adresse électronique, numéro de téléphone et mot de passe (conservé uniquement sous forme de condensat salé — jamais en clair).
- Informations d'entreprise : raison sociale, adresse, pays, devise, numéro d'identification fiscale, logo, image du cachet et de la signature, ainsi que le nom et la fonction de votre signataire habilité.
- Les membres d'équipe que vous invitez et leur rôle dans l'espace de travail.
Enregistrements que vous créez
- Clients et leurs coordonnées, factures, devis, reçus, avoirs, paiements, dépenses, articles du catalogue et coordonnées bancaires que vous choisissez d'afficher sur les documents.
- Cela peut inclure des données personnelles concernant vos clients. Vous en êtes le responsable de traitement ; voir ci-dessus.
Données de facturation
- Formule, statut de l'abonnement, pays et devise de facturation, historique des factures de votre abonnement et tout code promotionnel appliqué.
- Les données de carte sont collectées et conservées par Stripe. Elles ne transitent pas par nos serveurs et n'y sont pas stockées.
Données techniques
- Adresse IP, informations de navigateur et d'appareil, et horodatages, consignés dans les journaux serveur et de sécurité.
- Un journal d'audit des actions significatives dans votre espace de travail, qui existe pour que vous puissiez voir qui a fait quoi.
- Le pays approximatif, déduit de votre adresse IP, utilisé pour afficher les prix dans la bonne devise.
Correspondance d'assistance
- Les messages que vous nous adressez et nos réponses.
Hors d'Europe, nous mesurons l'usage du site avec Google Analytics 4 et la mesure des conversions Google Ads, tous deux chargés via Google Tag Manager. Cela nous indique quelles pages amènent les gens jusqu'au produit et si une annonce a mené à une inscription. Ce qui est enregistré, ce sont les pages consultées, une localisation approximative, le navigateur et l'appareil, ainsi qu'un identifiant conservé dans un cookie.
Nous ne chargeons ni l'un ni l'autre pour les visiteurs de l'Espace économique européen, du Royaume-Uni ou de Suisse. Nous n'utilisons aucun enregistreur de session ni aucun pixel publicitaire appartenant à quiconque d'autre que Google, et rien de ce que vous saisissez dans votre espace de travail — un client, une facture, un montant — n'est jamais transmis à un service d'analyse.
Lorsque vous vous inscrivez hors d'Europe, nous pouvons également transmettre à Google Ads un condensé SHA-256 de l'adresse e-mail avec laquelle vous vous êtes inscrit — une empreinte à sens unique de celle-ci, et non l'adresse elle-même — afin que l'inscription puisse être rattachée à l'annonce qui y a conduit même si le cookie a été bloqué ou a expiré. Google ne l'utilise que pour faire correspondre l'inscription à un compte Google connecté ayant vu l'annonce, et ne peut pas retrouver votre adresse à partir du condensé.
Pourquoi nous les utilisons, et notre base légale
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Fournir le service — créer votre espace de travail, stocker vos enregistrements, produire les documents | Exécution d'un contrat |
| Encaisser les paiements et gérer les abonnements | Exécution d'un contrat |
| Envoyer les courriels de service — vérification, réinitialisation de mot de passe, factures et reçus de votre abonnement, et rappels que vous avez configurés | Exécution d'un contrat |
| Assurer la sécurité du service, prévenir la fraude et les abus, et diagnostiquer les incidents | Intérêts légitimes |
| Améliorer le produit et comprendre quelles fonctionnalités sont utilisées | Intérêts légitimes |
| Mesurer l'audience du site et la publicité — non effectué pour les visiteurs en Europe | Intérêts légitimes |
| Respecter nos propres obligations fiscales, comptables et de conservation | Obligation légale |
| Courriels marketing facultatifs au sujet du produit | Consentement — révocable à tout moment |
Nous ne vendons pas de données personnelles. Nous n'utilisons ni vos données, ni celles de vos clients, pour entraîner des modèles d'apprentissage automatique.
Fonctionnalités d'IA et données transmises
Lorsque vous utilisez une fonctionnalité d'IA, le texte nécessaire à la réponse est envoyé à notre fournisseur d'IA, Anthropic, via une connexion chiffrée, et traité pour renvoyer un résultat.
Concrètement :
- Pour la facturation par IA : la description que vous saisissez, ainsi que le contexte client et catalogue nécessaire à la rédaction de la facture.
- Pour l'assistant du site : votre question et la documentation produit à partir de laquelle il répond.
Anthropic traite ces éléments pour renvoyer le résultat et ne les utilise pas pour entraîner ses modèles. Nous n'envoyons ni l'intégralité de votre base clients, ni vos enregistrements de paiement, ni vos fichiers téléversés à un quelconque fournisseur d'IA. Si vous préférez qu'aucune donnée ne parvienne à un fournisseur d'IA, n'utilisez pas les fonctionnalités d'IA : le reste du produit fonctionne sans elles.
Avec qui nous les partageons
Nous ne vendons pas de données personnelles et ne partageons jamais à des fins publicitaires les enregistrements contenus dans votre espace de travail. Hors d'Europe, nous partageons avec Google des données d'usage limitées du site, comme indiqué ci-dessous. Nous faisons appel à un petit nombre de sous-traitants, chacun ne traitant que ce que sa fonction exige :
| Prestataire | Rôle | Ce qu'il reçoit |
|---|---|---|
| Stripe | Traitement des paiements et facturation des abonnements | Vos nom, adresse électronique, pays de facturation et informations d'abonnement et de paiement. Les données de carte vont directement à Stripe. |
| Anthropic | Facturation par IA et assistant du site | Uniquement le texte décrit dans « Fonctionnalités d'IA » ci-dessus, et uniquement lorsque vous utilisez ces fonctionnalités. |
| Hébergement cloud et stockage d'objets | Exécuter l'application et stocker les fichiers téléversés tels que logos et cachets | Données de l'espace de travail au repos et en transit. Les objets stockés sont privés. |
| Acheminement du courriel (SMTP) | Envoyer les courriels de service en votre nom et à votre attention | Adresse du destinataire et contenu du message, y compris les PDF joints. |
| Google (Tag Manager, Analytics 4, Ads) | Mesure d'audience du site et mesure des conversions publicitaires — hors d'Europe uniquement | Pages consultées, localisation approximative, navigateur et appareil, un identifiant de cookie et, lors de l'inscription, un condensé SHA-256 de votre adresse e-mail. Aucun enregistrement de votre espace de travail. |
Nous pouvons également communiquer des données lorsque la loi l'exige, pour constater ou défendre des droits en justice, ou pour protéger les droits et la sécurité de nos utilisateurs — et, si l'activité venait à être réorganisée ou cédée, à la partie acquéreuse, sous réserve de la présente politique.
Où vos données sont stockées
Nos serveurs de production et notre base de données se trouvent à Francfort, en Allemagne, au sein de l'Union européenne. Les sauvegardes sont conservées dans la même région.
Certains de nos sous-traitants opèrent hors de l'UE — dont Stripe et Anthropic. Lorsque des données personnelles sont transférées hors de l'EEE, ce transfert est réalisé sous une garantie appropriée, ordinairement les clauses contractuelles types de la Commission européenne, assorties de mesures supplémentaires si nécessaire.
Durée de conservation
Nous conservons les données aussi longtemps qu'elles sont nécessaires à la finalité pour laquelle elles ont été collectées :
- Enregistrements de l'espace de travail — tant que votre compte est ouvert.
- Après la clôture de votre compte ou la fin d'un abonnement — nous conservons vos enregistrements 90 jours afin que le compte puisse être récupéré et vos données exportées, puis nous les supprimons ou les anonymisons irréversiblement, sauf obligation légale de conservation plus longue.
- Enregistrements de facturation — conservés aussi longtemps que l'exigent le droit fiscal et comptable, généralement entre cinq et dix ans selon la juridiction.
- Journaux de sécurité et d'audit — conservés jusqu'à 12 mois.
- Correspondance d'assistance — conservée jusqu'à 24 mois.
Vous pouvez exporter vos factures, clients et paiements à tout moment depuis l'application. Nous vous recommandons de le faire avant de clôturer un compte.
Supprimer votre compte
Vous pouvez nous demander à tout moment de supprimer votre compte Invroot et les données qu'il contient, que vous utilisiez Invroot sur le web ou dans l'application mobile Invroot :
- Écrivez à support@invroot.com depuis l'adresse e-mail avec laquelle vous vous connectez, avec pour objet « Supprimer mon compte ». Vous pouvez aussi le faire depuis Paramètres → Espace de travail dans l'application web, ou nous le dire par chat depuis l'application mobile.
- Nous confirmerons la demande en répondant à cette adresse, puis fermerons le compte sous 5 jours ouvrés.
- Ce qui est supprimé : votre profil utilisateur, les paramètres de l'espace de travail, les clients, factures, devis, dépenses, documents numérisés, coordonnées bancaires et tous les fichiers que vous avez téléversés, de nos systèmes de production et, sous 30 jours, des sauvegardes.
- Ce qui est conservé : les enregistrements que la législation fiscale et comptable nous oblige à garder (généralement les factures que vous avez émises à vos clients et nos relevés de facturation avec vous), pendant la durée exigée par la loi ; les journaux de sécurité et d'audit jusqu'à 12 mois. Ils ne sont conservés qu'à cette fin et ne servent à rien d'autre.
- Pendant 90 jours après la fermeture, le compte peut être rétabli sur demande ; ensuite la suppression est définitive.
Si vous souhaitez seulement supprimer certaines données, par exemple un client ou un document numérisé, supprimez-les dans l'application ou écrivez-nous et nous les retirerons sans fermer le compte.
Vos droits
Selon votre lieu de résidence, vous disposez de tout ou partie des droits suivants sur vos données personnelles :
- Accès — obtenir une copie des données personnelles que nous détenons à votre sujet.
- Rectification — corriger des données inexactes ou incomplètes.
- Effacement — leur suppression, lorsqu'aucune obligation prépondérante ne nous impose de les conserver.
- Limitation — restreindre notre usage le temps qu'une question soit tranchée.
- Portabilité — les recevoir dans un format structuré et lisible par machine.
- Opposition — au traitement fondé sur nos intérêts légitimes, et à la prospection à tout moment.
- Retrait du consentement — lorsque le consentement était la base, sans remettre en cause ce qui a été fait auparavant.
- Réclamation — auprès de votre autorité de protection des données. Dans l'UE, il s'agit de l'autorité de votre pays de résidence ; nous serons également heureux d'être saisis en premier.
Ces droits sont reconnus sous différentes formes par le RGPD de l'UE et du Royaume-Uni, la loi émirienne sur la protection des données personnelles, la loi saoudienne sur la protection des données personnelles, la POPIA sud-africaine et des lois comparables dans les autres pays que nous servons. Pour les exercer, écrivez à support@invroot.com. Nous répondons dans un délai d'un mois et vous préviendrons s'il nous en faut davantage. Nous pouvons vous demander de confirmer votre identité avant d'agir.
Si votre demande porte sur des données détenues à votre sujet par l'un de nos clients, nous vous renverrons vers ce client, qui en a le contrôle.
Cookies
Nous utilisons des cookies pour faire fonctionner le service et, hors d'Europe, pour mesurer l'audience du site et la publicité. Les visiteurs de l'Espace économique européen, du Royaume-Uni et de Suisse ne reçoivent que les cookies dont le service lui-même a besoin, et c'est pourquoi il n'y a là aucune bannière de consentement à valider.
Ce que nous déposons :
- Des cookies d'authentification qui vous maintiennent connecté et permettent le renouvellement de votre session. Ils sont httpOnly, c'est-à-dire illisibles par les scripts du navigateur, et marqués Secure et SameSite.
- Une préférence enregistrant votre langue et votre pays de facturation, afin que le site s'ouvre tel que vous l'avez laissé.
- Hors d'Europe uniquement : des cookies Google Analytics (_ga et _ga_*), qui comptent les visites et distinguent un navigateur d'un autre, et des cookies Google Ads (_gcl_*), qui enregistrent l'annonce dont provient une visite afin qu'une inscription ultérieure puisse lui être attribuée. Ils expirent en moins de deux ans et ne contiennent rien de votre espace de travail.
Bloquer les deux premiers vous empêchera de vous connecter. Votre navigateur peut les effacer à tout moment, et un navigateur ou une extension bloquant le pistage empêche purement et simplement le dépôt des cookies Google.
Comment nous les protégeons
Parmi les mesures que nous prenons :
- Chiffrement en transit par TLS pour l'ensemble du trafic, et chiffrement au repos des fichiers stockés.
- Mots de passe conservés uniquement sous forme de condensats salés, jamais en clair.
- Séparation stricte entre espaces de travail, de sorte qu'un client ne puisse atteindre les enregistrements d'un autre.
- Accès par rôles au sein d'un espace de travail, avec un journal d'audit des actions significatives.
- Fichiers téléversés stockés en objets privés, servis via des liens de courte durée plutôt que des URL publiques.
- Accès interne à la production limité aux personnes qui en ont besoin pour exploiter le service.
Aucun système n'est parfaitement sûr. Si nous avons connaissance d'une violation touchant vos données personnelles, nous en informerons l'autorité de contrôle compétente dans les 72 heures lorsque cela est requis, et vous en informerons sans retard injustifié lorsque la violation est susceptible de présenter un risque élevé pour vous.
Mineurs
Le service s'adresse aux entreprises et n'est pas destiné aux mineurs. Nous ne collectons pas sciemment de données auprès de personnes de moins de 18 ans. Si vous pensez qu'un mineur nous a communiqué des données personnelles, écrivez à support@invroot.com et nous les supprimerons.
Modifications de cette politique
Nous mettons à jour cette politique lorsque le service ou la loi évolue. La date figurant en haut indique toujours la version en vigueur. Lorsqu'une modification affecte sensiblement la manière dont nous traitons vos données, nous vous en informerons par courriel ou dans l'application plutôt que de compter sur le fait que vous le remarquiez.
Nous contacter
Invroot est exploité par Trasealla Solutions Limited (exerçant sous le nom Trasealla Solutions), immatriculée à Smart Station, First Floor, Incubator Building, Masdar City, Abu Dhabi, United Arab Emirates, numéro d'immatriculation MC 14272, qui est le responsable du traitement pour les finalités décrites dans la présente politique.
Pour toute question relative à la vie privée ou pour exercer un droit : support@invroot.com. Pour les autres sujets commerciaux : info@trasealla.com.
