Art. 1Qui est responsable de vos données ?
Le responsable du traitement est EXPERTISE ADMIN, SAS immatriculée au RCS de Lyon sous le n° 932 446 826, dont le siège est situé 46 avenue Auguste Blanqui, 69100 Villeurbanne, France, éditrice de la solution Melrys. Selon les données, les rôles diffèrent :
| Données | Rôle | Cadre |
|---|---|---|
| Visiteurs, prospects, Utilisateurs et Clients de Melrys (compte, commandes, création d'entreprise, support, sécurité) | EXPERTISE ADMIN, responsable de traitement | La présente politique |
| Données que vous enregistrez sur vos propres clients, fournisseurs et salariés (factures, paie) | Vous êtes responsable de traitement ; EXPERTISE ADMIN est votre sous-traitant (RGPD, art. 28) | Accord de sous-traitance (DPA) signé dans Melrys |
| Données nécessaires aux missions d'expertise comptable | [CABINET], responsable de traitement distinct | Lettre de mission et politique du cabinet |
| Données transmises pour la facturation électronique (bientôt) | Iopole, plateforme agréée [À COMPLÉTER : qualification RGPD exacte d'Iopole — responsable distinct ou sous-traitant ultérieur] | Conditions d'Iopole |
Art. 2Délégué à la protection des données et contact
Délégué à la protection des données : [À COMPLÉTER : désignation d'un DPO et coordonnées]. Pour toute question ou demande : contact@expertiseadmin.fr, ou par courrier au siège social. [À COMPLÉTER : adresse de contact dédiée du DPO — le DPA cite dpo@melrys.fr, le plan de clôture rgpd@melrys.fr]
Art. 3Les données que nous traitons
| Personnes | Données | Origine |
|---|---|---|
| Visiteurs du site | Données techniques de connexion (adresse IP, navigateur, pages demandées) enregistrées par nos hébergeurs. Aucun traceur de mesure d'audience n'est déposé à ce jour. | Votre navigateur |
| Prospects | Nom, e-mail, téléphone (facultatif), sujet et message ; pour un rendez-vous : créneau, mode (visio ou téléphone), note. | Formulaires de contact et de rendez-vous |
| Utilisateurs | Nom, prénom, e-mail, téléphone, mot de passe (haché), secret de double authentification, rôle, préférences, journaux de connexion et d'actions. | Vous ; la plateforme |
| Dirigeants, associés et, le cas échéant, conjoints (création) | État civil (noms, prénoms, date et lieu de naissance, nationalité), filiation, adresse, pièce d'identité, justificatif de domicile, déclaration de non-condamnation, numéro de sécurité sociale et organisme d'assurance maladie (auto-entrepreneur), éligibilité à l'ACRE, informations sur le capital, signatures électroniques (horodatage). | Vous et les personnes que vous invitez à signer |
| Clients en comptabilité | Opérations bancaires, justificatifs, informations fiscales et sociales, échanges avec le cabinet. | Vous ; votre banque via Bridge |
| Clients payants | Montants, dates et statuts de paiement, identifiant technique de carte (le numéro complet n'est jamais reçu par Melrys). | Stancer |
Art. 4Pourquoi, sur quelle base et combien de temps
| Finalité | Base légale (RGPD, art. 6) | Durée de conservation |
|---|---|---|
| Créer et gérer votre Compte, vous authentifier | Exécution du contrat | Durée du Compte. À la suppression : effacement immédiat des données d'identification, suppression définitive deux ans plus tard. |
| Relancer puis désactiver une inscription inachevée | Intérêt légitime | Rappel à J+2, désactivation à J+30, suppression définitive deux ans plus tard. |
| Préparer, signer, publier et déposer votre dossier de création | Exécution du contrat ; obligations légales des formalités | Durée du dossier puis cinq ans (prescription civile). La pièce d'identité et le numéro de sécurité sociale sont traités selon la même durée, sous réserve des obligations spécifiques applicables aux formalités d'immatriculation. [À COMPLÉTER : durée exacte de conservation des pièces d'identité et du numéro de sécurité sociale] |
| Fournir le Logiciel et la plateforme comptable | Exécution du contrat | Durée du contrat, puis trois mois de consultation et d'export après la clôture. |
| Facturer nos Services, encaisser, rembourser | Obligation légale ; exécution du contrat | Factures et pièces comptables : dix ans (Code de commerce, art. L.123-22). |
| Transmettre et recevoir les factures électroniques (bientôt) | Obligation légale ; exécution du contrat | Factures et avoirs : dix ans. |
| Synchroniser vos comptes bancaires (Bridge) | Exécution du contrat | Jusqu'à la déconnexion ; les opérations, pièces comptables, dix ans. |
| Répondre à vos messages et rendez-vous | Intérêt légitime ; mesures précontractuelles | Trois ans après le dernier contact. |
| Vous envoyer nos actualités | Consentement, retirable à tout moment | Jusqu'au retrait, ou trois ans sans interaction. |
| Sécuriser la plateforme (journaux, prévention de la fraude) | Intérêt légitime ; obligation de sécurité (art. 32) | Journaux d'audit : un an. |
| Corriger les erreurs techniques (Sentry) | Intérêt légitime | Rapports d'erreur conservés trente jours, puis supprimés ou anonymisés. |
| Données traitées pour votre compte (sous-traitance) | Vos instructions (DPA) | Factures et avoirs : dix ans. |
Les sauvegardes sont conservées trente jours. Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé. Lors d'une création, vous pouvez vous opposer à l'utilisation de vos données du répertoire Sirene à des fins de prospection.
Art. 5Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées d'EXPERTISE ADMIN et, selon les Services, aux destinataires suivants :
| Destinataire | Rôle | Localisation |
|---|---|---|
| [CABINET] | Missions d'expertise comptable et sociale | France |
| INPI (guichet unique), greffes, INSEE, organismes sociaux et fiscaux | Formalités de création, destinataires légaux | France |
| Journal d'annonces légales | Publication de l'avis de constitution (données rendues publiques) | France |
| Iopole (bientôt) | Plateforme agréée : factures, avoirs, statuts, données de paiement ; vérification d'identité du représentant légal (pièce d'identité et selfie vidéo) collectée directement par Iopole | France (hébergement SecNumCloud selon Iopole) |
| Stancer [À COMPLÉTER : dénomination sociale de Stancer] | Paiement par carte | [À COMPLÉTER : localisation de Stancer] |
| Bridge [À COMPLÉTER : dénomination sociale de Bridge — le DPA indique « Bridge by BPCE »] | Agrégation bancaire, en consultation seule | France (selon le DPA) |
| BoldSign [À COMPLÉTER : entité contractante de BoldSign] | Signature électronique | États-Unis par défaut dans le code ; Transfert hors UE Garanties : clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires (chiffrement). |
| Twilio SendGrid [À COMPLÉTER : prestataire d'e-mails transactionnels exact (SendGrid dans le code, Brevo dans le DPA)] | E-mails transactionnels | États-Unis ; Transfert hors UE Garanties : clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires (chiffrement). |
| Twilio | SMS de suivi du dossier de création | États-Unis ; Transfert hors UE Garanties : clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires (chiffrement). |
| Hostinger International Ltd. | Hébergement des serveurs et de la base de données | Chypre (UE) [À COMPLÉTER : localisation du centre de données Hostinger] |
| Vercel Inc. | Hébergement de l'interface web | États-Unis ; Transfert hors UE Garanties : clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires (chiffrement). |
| [À CONFIRMER : prestataire de stockage des fichiers] | Stockage des documents déposés | [À COMPLÉTER : localisation exacte du stockage] |
| Sentry | Suivi des erreurs techniques | [À COMPLÉTER : région Sentry (UE ou États-Unis)] |
| Google (Google Fonts) | Polices de caractères du site : votre adresse IP est transmise lors de leur chargement | États-Unis ; Transfert hors UE Garanties : clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures techniques supplémentaires (chiffrement). |
Les autorités administratives ou judiciaires peuvent obtenir communication de données dans les cas prévus par la loi. Nous ne vendons pas vos données.
Art. 6Transferts hors de l'Union européenne
Lorsque des données sont traitées hors de l'Espace économique européen, le transfert est encadré par une décision de la Commission européenne constatant l'adéquation du niveau de protection, notamment le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les entreprises qui y adhèrent, ou, à défaut, par les clauses contractuelles types adoptées par la Commission. Vous pouvez obtenir une copie de ces garanties en écrivant à contact@expertiseadmin.fr.
Art. 7Sécurité
Nous mettons en œuvre des mesures adaptées aux risques (RGPD, art. 32) : connexions chiffrées (TLS), mots de passe hachés, double authentification disponible, déconnexion automatique après dix minutes d'inactivité, chiffrement applicatif du numéro de sécurité sociale [À COMPLÉTER : confirmation du chiffrement du numéro de sécurité sociale saisi pour chaque dirigeant], cloisonnement des accès par entreprise et par rôle, journalisation des actions sensibles. En cas de violation de données, nous notifions la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées (art. 33 et 34).
Art. 8Vos droits
- accès à vos données et à leur copie (art. 15) ; rectification (art. 16) ; effacement (art. 17), sous réserve de nos obligations légales de conservation ;
- limitation du traitement (art. 18) ; portabilité des données que vous nous avez fournies (art. 20) ;
- opposition au traitement fondé sur notre intérêt légitime et, à tout moment et sans motif, à la prospection (art. 21) ; retrait de votre consentement à tout moment (art. 7) ;
- définition de directives sur le sort de vos données après votre décès (loi Informatique et Libertés, art. 85).
Art. 9Exercer vos droits
Depuis votre Compte, vous pouvez exporter vos données personnelles et supprimer votre accès (le Titulaire doit d'abord transférer la propriété du Compte). Pour toute autre demande, écrivez à contact@expertiseadmin.fr ou au siège social. Nous répondons dans un délai d'un mois, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes ; un justificatif d'identité ne vous est demandé qu'en cas de doute raisonnable sur votre identité.
Pour les données que votre entreprise enregistre sur ses clients, fournisseurs ou salariés, adressez la demande à cette entreprise ; nous l'assistons en qualité de sous-traitant.
Art. 10Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
Art. 11Cookies et mises à jour de la politique
Les traceurs sont décrits dans la Politique cookies. Cette politique peut évoluer ; la date de mise à jour figure en haut de la page et toute modification importante vous est signalée par e-mail ou dans la plateforme.