Politique de confidentialité

MoneySign attache une importance fondamentale à la protection de vos données personnelles. La présente Politique de confidentialité (ci-après « la Politique ») a pour objet de vous informer, en toute transparence, sur les données que nous collectons, les raisons pour lesquelles nous les traitons, leur durée de conservation, et les droits dont vous disposez à leur égard.

Cette Politique s'applique à toute personne utilisant le service MoneySign accessible à l'adresse moneysign.fr (ci-après « le Service »).

Elle est conforme au Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) et à la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée).

Le responsable du traitement de vos données personnelles est Aymen Cherfi, entrepreneur individuel exerçant sous la marque MoneySign.

Contact : privacy@moneysign.fr

Compte tenu de sa taille, MoneySign n'est pas tenue de désigner un Délégué à la Protection des Données (DPO). Toute question relative à vos données peut être adressée directement à l'adresse ci-dessus.

Nous distinguons quatre catégories de données collectées dans le cadre du Service :

a) Données de compte utilisateur

• Adresse électronique
• Mot de passe (stocké de manière hachée, jamais en clair)
• Identifiant Google si connexion via Google OAuth (uniquement l'identifiant unique et l'adresse électronique)
• Nom du workspace (slug et libellé)
• Plan d'abonnement (Free, Starter, Business)
• Données de profil professionnel : photo, téléphone, SIREN/SIRET, secteur d'activité, méthodes de paiement (IBAN, lien PayPal, identifiant Stripe Connect)

b) Données des devis créés

• Contenu des devis (titre, description, lignes, prix)
• Brand kit (logo, couleurs, photo, biographie)
• Blocs personnalisés (texte, vidéos, galerie, témoignages)
• Statut, dates de création, modification, envoi, signature

c) Données des clients finaux (saisies par l'Utilisateur)

• Nom du client
• Adresse électronique de contact
• Lors de la signature : nom du signataire, adresse électronique, adresse IP, horodatage, tracé manuscrit de la signature

d) Données techniques

• Cookies de session (authentification, jeton CSRF, OAuth state)
• Événements d'activité (ouverture d'un devis par le destinataire, durée de lecture, signatures, paiements)
• Journaux serveurs (adresses IP, dates d'accès, codes HTTP, user-agent), conservés à des fins de sécurité et de débogage

Vos données sont traitées pour les finalités suivantes, sur les bases légales indiquées :

• Fournir le Service (création de compte, accès au tableau de bord, création et envoi de devis, signature électronique) : exécution du contrat conclu entre vous et MoneySign (article 6.1.b du RGPD).
• Facturation et paiement des abonnements : exécution du contrat et obligation légale comptable (articles 6.1.b et 6.1.c du RGPD).
• Envoi de courriels transactionnels (création de compte, signature d'un devis, paiement reçu, mots de passe oubliés) : exécution du contrat (article 6.1.b).
• Amélioration du Service et statistiques d'usage agrégées (anonymisées) : intérêt légitime de MoneySign à améliorer la qualité de son service (article 6.1.f).
• Sécurité du Service (prévention des fraudes, détection d'intrusions, journaux serveurs) : intérêt légitime (article 6.1.f).
• Conformité à la loi (réponse aux réquisitions judiciaires, conservation des éléments probants liés aux signatures électroniques) : obligation légale (article 6.1.c).

Aucune donnée n'est traitée à des fins de prospection commerciale tierce ou de revente. MoneySign ne vend pas vos données.

• Données de compte actif : conservées tant que votre compte est actif.
• Compte clôturé : les données sont supprimées ou anonymisées dans un délai de trente jours après la clôture du compte, sauf obligations légales contraires (notamment comptabilité).
• Données comptables et de facturation : conservées dix ans à compter de la clôture de l'exercice, conformément à l'article L.123-22 du Code de commerce.
• Éléments probants des signatures électroniques (adresse IP, horodatage, tracé, code OTP) : conservés cinq ans à compter de la signature, conformément à la prescription civile commerciale.
• Journaux serveurs et données de sécurité : conservés douze mois maximum.
• Cookies de session : durée maximale de trente jours.

Vos données ne sont accessibles qu'à Aymen Cherfi, éditeur du Service. Elles peuvent toutefois être traitées par des sous-traitants techniques, soigneusement sélectionnés et liés à MoneySign par un accord conforme à l'article 28 du RGPD. Voici la liste exhaustive des sous-traitants à la date de publication :

Vos données peuvent également être communiquées aux autorités publiques sur réquisition judiciaire ou demande administrative légalement fondée.

Certains de nos sous-traitants (Vercel, Resend, Google) sont établis aux États-Unis. Les transferts de données vers ces prestataires sont encadrés par :

• le Data Privacy Framework (cadre adopté par décision d'adéquation de la Commission européenne du 10 juillet 2023) lorsque le sous-traitant y est certifié ;
• les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne, accompagnées de mesures techniques et organisationnelles complémentaires lorsque nécessaire.

La base de données principale (Neon) est hébergée exclusivement en région européenne. Aucune donnée personnelle métier (utilisateurs, devis, clients finaux) ne quitte le territoire européen sans garantie appropriée.

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification : faire corriger des données inexactes ou les compléter.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sauf obligations légales de conservation.
• Droit à la limitation du traitement : demander le gel temporaire de l'usage de vos données.
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, ou les transmettre directement à un autre responsable de traitement.
• Droit d'opposition : vous opposer pour motifs légitimes au traitement de vos données, notamment pour les traitements fondés sur l'intérêt légitime.
• Droit de définir des directives post-mortem sur le sort de vos données après votre décès (loi Informatique et Libertés, article 85).

Pour exercer ces droits, contactez-nous à privacy@moneysign.fr. Nous vous répondrons dans un délai maximal d'un mois à compter de la réception de votre demande (prolongeable de deux mois en cas de complexité particulière).

Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - cnil.fr.

MoneySign met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, l'altération, l'accès non autorisé ou la divulgation illicite. Ces mesures incluent notamment :

• chiffrement TLS 1.3 de toutes les communications entre le navigateur et le serveur ;
• hachage cryptographique des mots de passe (PBKDF2 SHA-256, 600 000 itérations, conforme aux recommandations OWASP 2023) ;
• cookies de session signés cryptographiquement (HMAC-SHA-256) avec attribut HttpOnly, Secure et SameSite=Lax ;
• cloisonnement strict des données par utilisateur au niveau base de données (politiques d'accès par identifiant utilisateur) ;
• protection anti-CSRF sur tous les flux d'authentification OAuth (Google, Stripe Connect) ;
• sauvegardes quotidiennes chiffrées de la base de données.

MoneySign utilise uniquement des cookies strictement nécessaires au fonctionnement du Service. Aucun cookie publicitaire ou de mesure d'audience tiers n'est déposé sans votre consentement explicite.

La liste détaillée des cookies utilisés, leur finalité et leur durée de vie figure dans notre Politique de cookies.

Le Service est strictement destiné aux personnes majeures agissant à titre professionnel. MoneySign ne collecte pas sciemment de données concernant des personnes de moins de 18 ans. Si vous estimez qu'un mineur a créé un compte sur le Service, contactez-nous à privacy@moneysign.fr pour qu'il soit supprimé.

La présente Politique peut être modifiée à tout moment pour refléter l'évolution du Service, des sous-traitants ou de la réglementation. Toute modification substantielle vous sera notifiée par courriel ou par une bannière sur le Service avant son entrée en vigueur.

La date de dernière mise à jour est indiquée en haut de la présente page.

Pour toute question relative à la présente Politique ou à l'exercice de vos droits, contactez-nous à privacy@moneysign.fr.