Sécurité et protection des données

Hébergement et accès aux serveurs

Le site et le service fonctionnent sur des serveurs de Hetzner Online GmbH, dans le centre de données de Nuremberg (Allemagne), dans l'Union européenne. Facturx-Prêt est édité par Radom UG (haftungsbeschränkt), société de droit allemand établie à Francfort-sur-le-Main.

Les connexions entre votre navigateur et notre serveur sont chiffrées par TLS ; HTTP est redirigé vers HTTPS et HSTS demande aux navigateurs de n'utiliser que HTTPS.

L'accès d'administration aux serveurs se fait uniquement par clé SSH, avec un pare-feu qui n'ouvre au public que SSH, HTTP et HTTPS. Cet accès est réservé au gérant et aux personnes qu'il autorise expressément, tenues à la confidentialité.

Conservation et suppression

Les fichiers importés et les résultats générés sont conservés sous un identifiant technique, sans leur nom d'origine ni votre nom ou votre adresse e-mail ; le contenu des fichiers reste inchangé.

Ils sont effacés automatiquement après 7 jours en mode invité et après 90 jours avec un compte (purge quotidienne). Vous pouvez demander un effacement anticipé à support@facturx-pret.fr.

Avec un compte, vous pouvez supprimer vous-même votre compte depuis « Mon compte » : les fichiers de factures de votre compte sont effacés d'abord (sans quoi le compte n'est pas supprimé), puis le profil de vendeur, les clients enregistrés et l'historique des factures sont supprimés avec lui.

Les fichiers de factures ne figurent dans aucune sauvegarde. La base de données des comptes (et non les fichiers importés), qui contient aussi le profil de vendeur et le carnet de clients que vous avez enregistrés ainsi que l'historique de vos factures, est sauvegardée chaque jour, sur le même serveur et par une copie sur un second serveur de Hetzner à Nuremberg ; ces sauvegardes sont conservées 14 jours.

Les journaux d'accès du serveur web sont effacés après 14 jours.

Contrôle avant téléchargement

Avant de vous remettre un fichier Factur-X, le service contrôle le XML contre le schéma Factur-X (XSD) et contre les règles de la norme EN 16931 (Schematron), et le PDF contre la norme PDF/A-3 (veraPDF).

Ces contrôles s'exécutent sur notre propre serveur : aucune donnée n'est transmise à des tiers pour cela. Si un contrôle ne peut pas rendre son verdict (par exemple parce qu'un service est momentanément indisponible), aucun fichier n'est remis : vous pouvez réessayer quelques minutes plus tard.

Ces contrôles ne remplacent pas votre propre relecture de la facture : ses mentions et son régime de TVA restent de votre responsabilité (CGV, article 6).

Lecture assistée par IA

Pour certains fichiers importés, le contenu est transmis au service Azure OpenAI de Microsoft Ireland Operations Ltd. : images, PDF sans texte exploitable ou à l'extraction incertaine, relevés MT940, XML qui n'est ni du CII ni un relevé camt.053, et fichiers CSV ou Excel importés un à un dont la structure de colonnes n'est pas reconnue.

Microsoft Azure OpenAI Service — déploiement régional (Standard) dans la région Azure Sweden Central (UE) : les requêtes y sont traitées.

La saisie dans le formulaire, la génération du XML Factur-X, la validation et le traitement par lots de fichiers CSV et Excel n'utilisent pas d'IA. Les données extraites vous sont présentées pour vérification : vous relisez avant de générer le fichier.

Selon les conditions de Microsoft, les contenus transmis ne sont pas utilisés pour entraîner les modèles. Le détail figure à la section 8 de la politique de confidentialité.

Prestataires et sous-traitants

Les trois premiers prestataires du tableau peuvent recevoir le contenu de vos factures (Google uniquement si vous l'envoyez par e-mail au support) : ce sont les sous-traitants ultérieurs de l'annexe 3 de l'accord de sous-traitance. Les autres ne traitent que des données de compte, de facturation ou d'audience, ou les numéros de TVA que vous vérifiez, et ne reçoivent jamais le contenu de vos factures.

Protection contre les abus

Pour protéger le service contre les abus, nous limitons le nombre de tentatives de connexion, d'inscription et de réinitialisation du mot de passe, ainsi que les envois du formulaire de contact et les vérifications de numéros de TVA ; les conversions et les analyses de fichiers sont soumises à des quotas. Les mots de passe ne sont conservés que sous forme de hachage bcrypt.

L'interface interne de l'application et les services de validation ne sont joignables que localement sur le serveur ; l'interface interne est protégée par une clé interne.

Statut du service et certifications

Facturx-Prêt n'est pas une plateforme agréée : le service génère un fichier Factur-X que vous téléchargez. Il ne transmet pas vos factures et n'est pas relié au portail public de facturation.

Radom UG (haftungsbeschränkt) ne détient pas de certification de sécurité.

Accord de sous-traitance et contact

Pour une utilisation professionnelle, l'accord de sous-traitance prévu à l'article 28 du RGPD fait partie intégrante des CGV : il est conclu par l'acceptation des CGV lors de l'inscription et publié à l'adresse facturx-pret.fr/fr/accord-sous-traitance.

Il ne s'applique qu'aux clients disposant d'un compte, car les utilisateurs invités n'acceptent pas les CGV.

Pour toute question sur la sécurité ou la protection des données, utilisez le formulaire de contact ou écrivez à support@facturx-pret.fr.