Privacy at Taxelyo

Dernière mise à jour : 23 juin 2026. Cette politique décrit comment Taxelyo collecte et traite vos données personnelles dans le cadre du Règlement (UE) 2016/679 (RGPD) et de la Loi Informatique & Libertés modifiée.

1. Responsable de traitement

Taxelyo SAS, dont les coordonnées figurent dans les Mentions légales, agit en tant que responsable de traitement pour les données nécessaires au fonctionnement du compte et du service. Pour les données saisies par les utilisateurs dans le cadre de leur activité (factures, contacts, TVA), Taxelyo agit en qualité de sous-traitant au sens de l'article 28 du RGPD — voir le DPA.

2. Données collectées

Compte : email, nom, organisation, langue, fuseau horaire.
Facturation : adresse, numéro de TVA, IBAN partiel, plan souscrit, historique de paiement Stripe.
Usage métier : factures, devis, calculs de TVA, contacts ajoutés, exports déclenchés.
Signature de devis : nom, email, titre, signature manuscrite numérisée, IP, user-agent, horodatage UTC (10 ans, art. eIDAS).
Logs de sécurité : IP, user-agent, ressource appelée, résultat — stockés dans security_audit_log.
Analytics : pages vues, source UTM, device (anonymisés ; chargés uniquement après consentement explicite).

3. Finalités & bases légales

Finalité	Base légale
Fourniture du SaaS (compte, factures, TVA, devis)	Exécution du contrat — art. 6.1.b
Sécurité, audit, prévention de la fraude	Intérêt légitime — art. 6.1.f
Facturation, comptabilité, obligations fiscales	Obligation légale — art. 6.1.c
Newsletter & marketing	Consentement — art. 6.1.a (révocable à tout moment)
Améliorations produit (analytics)	Consentement — bandeau cookies

4. Destinataires & sous-traitants ultérieurs

Supabase (UE — Francfort) : base de données et stockage.
Stripe (UE / PCI DSS Level 1) : traitement des paiements.
Resend (transferts couverts par les clauses contractuelles types) : emails transactionnels.
Lovable AI Gateway : suggestions fiscales générées (jamais persistées avec votre identité).

5. Transferts hors UE

L'hébergement primaire est situé en UE. Les transferts éventuels vers des sous-traitants hors UE (ex. Resend en cas de basculement régional) sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914).

6. Durées de conservation

Voir la table détaillée par catégorie sur la page Conservation des données.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Accès et portabilité : export JSON complet depuis /account/data.
Rectification : depuis votre profil ou par email à privacy@taxelyo.com.
Effacement : suppression du compte sous 30 jours (sous réserve des durées légales de conservation comptable).
Opposition au traitement fondé sur l'intérêt légitime.
Limitation du traitement.
Retrait du consentement marketing à tout moment (lien désabonner dans chaque email).
Réclamation auprès de la CNIL (www.cnil.fr).

8. Cookies & consentement

Seuls les cookies strictement nécessaires sont déposés sans consentement. Les cookies de mesure d'audience (Google Analytics 4 anonymisé) ne se déclenchent qu'après acceptation via la bannière. Vous pouvez réviser votre choix depuis le pied de page.

9. Sécurité

Chiffrement AES-256 au repos, TLS 1.3 en transit, Magic Link sans mot de passe, Row-Level Security activée sur toutes les tables sensibles, secrets de webhook chiffrés dans Supabase Vault, audit logs immuables. Détails complets sur la page Sécurité.

10. Contact & DPO

Pour toute question relative à vos données ou pour exercer vos droits : privacy@taxelyo.com. Pour signaler un incident de sécurité : security@taxelyo.com.