Politique de confidentialité

Traduction fournie à titre d’information ; seule la version allemande fait foi.

La présente politique de confidentialité explique comment les données à caractère personnel sont traitées lorsque vous utilisez la plateforme ZUGFeRD à l’adresse zugferd-invoice.attrian.de et la Stripe App « ZUGFeRD E-Invoicing » (ensemble, le « Service »).

1. Responsable du traitement et contact

BrainWave Software GmbH, Heilig-Kreuz-Straße 24, 86152 Augsburg, Allemagne. Informations complémentaires dans les mentions légales (/impressum).

Demandes relatives à la protection des données : zugferd-support@brainwave-software.de ou par courrier à l’adresse ci-dessus.

2. Rôles : responsable du traitement et sous-traitant

Nous sommes responsables du traitement des données des comptes utilisateurs de nos clients (connexion, profil d’entreprise).

Nous traitons les données de facturation que nos clients gèrent via Stripe — en particulier les données relatives à leurs destinataires de factures — en qualité de sous-traitant pour le compte de chaque client (art. 28 du règlement général sur la protection des données, RGPD). Le client est le responsable du traitement de ces données. Les destinataires de factures doivent s’adresser en premier lieu à l’entreprise qui a émis la facture. Voir la section 11 concernant l’accord de traitement des données.

3. Données que nous traitons

• Données de compte : nom d’utilisateur, adresse e-mail, rôle, mot de passe (enregistré uniquement sous forme de hachage bcrypt), appartenance à une organisation.
• Profil d’entreprise du client : raison sociale, adresse, numéro de TVA intracommunautaire, numéro fiscal, coordonnées bancaires (IBAN, BIC, titulaire du compte), logo. Une partie de ces données est reprise du compte Stripe lors de la configuration (nom, adresse e-mail, identifiant fiscal, adresse du support) et figure sur les factures générées.
• Données de facturation provenant de Stripe : numéro de facture, date, lignes de facture, montants, taux de taxe, devise, ainsi que les données du destinataire de la facture (nom, adresse, adresse e-mail, numéro de TVA intracommunautaire).
• Documents générés : XML ZUGFeRD/XRechnung, fichiers PDF/A-3, rapports de validation.
• Données de connexion Stripe : identifiant du compte Stripe et — si un client les enregistre — clés API et secrets de webhook ; paramètres d’envoi par e-mail et via PEPPOL.
• Clés API pour l’API externe (enregistrées uniquement sous forme de hachage) et date de dernière utilisation.
• Demandes d’accès (titre, description, justification, statut, notes de l’administrateur).
• Données techniques : données de session, journaux du serveur (heure, chemin d’API, code de statut, durée, contenu de réponse tronqué), adresse IP (conservée uniquement en mémoire pour la limitation du débit, non enregistrée).

4. Finalités et bases juridiques

• Fourniture du Service (conversion de factures Stripe au format ZUGFeRD/XRechnung, validation, archivage, envoi facultatif) : art. 6, paragraphe 1, point b), du RGPD (contrat) ou, pour le compte du client, art. 28 du RGPD.
• Connexion, gestion des sessions et authentification unique (single sign-on) : art. 6, paragraphe 1, point b), du RGPD.
• Sécurité, prévention des abus et résolution des incidents (journaux, limitation du débit) : art. 6, paragraphe 1, point f), du RGPD ; notre intérêt légitime consiste à exploiter le Service de manière sûre et fiable.
• Nos propres obligations légales de conservation : art. 6, paragraphe 1, point c), du RGPD.

Nous n’utilisons pas les données à des fins publicitaires, ne vendons pas de données et n’utilisons aucun outil d’analyse ou de suivi.

La fourniture des données de compte et d’entreprise est nécessaire à la conclusion du contrat et à l’utilisation du Service ; sans elles, nous ne pouvons pas fournir le Service. Il n’existe aucune obligation légale de les fournir.

Il n’y a pas de prise de décision automatisée, y compris le profilage, au sens de l’art. 22 du RGPD.

5. Stripe et la Stripe App

Lorsque vous installez la Stripe App ou connectez votre compte Stripe, le Service lit via l’API Stripe : les factures et les PDF de factures, les clients (nom, adresse e-mail, adresse, identifiants fiscaux), les taux de taxe, les informations du compte (nom de l’entreprise, adresse e-mail, identifiant fiscal, adresse du support) et l’identité visuelle (logo). Les requêtes provenant du Stripe Dashboard sont authentifiées au moyen de la requête signée de Stripe. Nous recevons des webhooks Stripe lors de l’installation et de la désinstallation de l’application ainsi que pour les factures finalisées et payées.

Le traitement effectué par Stripe lui-même est régi par votre contrat avec Stripe et par la politique de confidentialité de Stripe (stripe.com/privacy). Pour les clients situés dans l’EEE, l’entité contractante est généralement Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlande.

6. Hébergement, stockage et destinataires

• Hébergement : l’application et sa base de données PostgreSQL fonctionnent sur des serveurs de Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, dans son centre de données de Nuremberg (Allemagne).
• Stockage objet : les fichiers PDF, XML et rapports générés sont stockés dans un stockage objet compatible S3 exploité par nos soins (s3.attrian.de), sur le même hébergement que l’application. Les fichiers sont stockés chiffrés en AES-256.
• Envoi par e-mail : les factures ne sont envoyées par e-mail que si le client a activé l’envoi par e-mail. Le PDF de la facture est alors envoyé à l’adresse e-mail du destinataire de la facture via le service SMTP Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, France).
• Authentification unique : « Login with ATTRIAN » utilise un serveur Keycloak exploité par nos soins (auth.attrian.de). L’adresse e-mail, le nom d’utilisateur et le nom sont repris ; un compte est créé lors de la première connexion.
• PEPPOL : ce n’est que si un client configure l’envoi via PEPPOL que le XML de la facture est transmis au point d’accès indiqué par le client ; les services d’annuaire du réseau PEPPOL sont interrogés afin de trouver le destinataire.
• Protection du réseau et contre les attaques : l’accès au Service passe par le réseau de Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis (proxy inverse, protection DDoS). Cloudflare traite les données transmises, y compris les adresses IP, afin de les acheminer vers nos serveurs. Un accord de traitement des données a été conclu avec Cloudflare.
• Stripe : voir la section 5.

Les données ne sont transférées vers un pays situé hors de l’EEE que par l’intermédiaire de Cloudflare, Inc. (États-Unis). Cloudflare est certifiée au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) ; le transfert repose sur la décision d’adéquation de la Commission européenne (art. 45 du RGPD). En outre, les clauses contractuelles types figurant dans l’accord de traitement des données conclu avec Cloudflare s’appliquent. Tous les autres destinataires traitent les données dans l’UE ou l’EEE.

7. Cookies et stockage local

Nous n’utilisons que des moyens de stockage strictement nécessaires (§ 25, al. 2, n° 2 TDDDG) :

• Cookie « sessionId » : cookie de session pour la connexion, valable 24 heures, HttpOnly, uniquement via HTTPS en production. La session est enregistrée dans notre base de données.
• Cookie « sidebar_state » : mémorise si la barre latérale est repliée, 7 jours.
• Stockage local « language » (langue sélectionnée) et « cookie_consent » (votre choix dans le bandeau relatif aux cookies).
• Stockage de session « pkce_code_verifier » et « oauth_state » : uniquement pendant l’authentification unique.

Les polices sont servies depuis notre propre serveur ; aucun contenu tiers (CDN, outils d’analyse, publicité) n’est chargé dans le navigateur.

8. Durée de conservation

• Les données de compte, le profil d’entreprise, les données de facturation et les documents générés sont conservés pendant la durée du contrat.
• Lors de la désinstallation de la Stripe App, le compte est désactivé et toutes les sessions sont fermées ; les données sont conservées afin de permettre une réinstallation de l’application. Sur demande adressée à zugferd-support@brainwave-software.de, nous supprimons les données dans un délai de 30 jours, sauf si des obligations légales de conservation s’y opposent.
• Les sessions expirent au bout de 24 heures.
• Les journaux du serveur sont enregistrés uniquement sur nos serveurs et sont écrasés en continu dès que l’espace de stockage alloué est atteint ; il n’existe actuellement pas de délai de suppression fixe.

Remarque : les obligations légales de conservation des factures incombent à l’émetteur de la facture ; les factures doivent en règle générale être conservées pendant 8 ans en vertu du § 14b UStG et du § 147 AO (voir également les GoBD). Le Service n’est pas un système d’archivage conforme aux exigences d’audit ; les clients doivent archiver eux-mêmes les documents générés.

9. Sécurité

Les données sont transmises de manière chiffrée via HTTPS. Les mots de passe et les clés API sont enregistrés uniquement sous forme de hachages bcrypt. Les fichiers générés ainsi que les clés Stripe et jetons d’accès enregistrés sont chiffrés au repos en AES-256. Les données des différents clients (tenants) sont séparées dans la base de données par une sécurité au niveau des lignes (row-level security), et l’accès est fondé sur les rôles. Les tentatives de connexion et les requêtes de la Stripe App sont soumises à une limitation du débit. L’authentification unique requiert une adresse e-mail vérifiée.

10. Vos droits

• Droit d’accès (art. 15 du RGPD), de rectification (art. 16), d’effacement (art. 17), à la limitation du traitement (art. 18), à la portabilité des données (art. 20).
• Droit d’opposition au traitement fondé sur des intérêts légitimes (art. 21 du RGPD).
• Droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD) ; l’autorité compétente à notre égard est l’Office bavarois de contrôle de la protection des données (BayLDA), Promenade 18, 91522 Ansbach, Allemagne.

Veuillez adresser vos demandes à l’adresse indiquée à la section 1.

11. Accord de traitement des données (DPA / AVV)

Les clients qui traitent des données à caractère personnel de leurs destinataires de factures via le Service concluent avec nous un accord de traitement des données conformément à l’art. 28 du RGPD ; celui-ci fait partie des conditions d’utilisation (section 10). La liste des sous-traitants ultérieurs figure à l’adresse /fr/zugferd/support. Un exemplaire contresigné est disponible sur demande adressée à zugferd-support@brainwave-software.de.

12. Modifications

Nous mettons à jour la présente politique de confidentialité lorsque le Service ou la législation évolue. La version publiée ici fait foi.

Dernière mise à jour: 11 novembre 2026