Bilanea

Confidentialité

Politique de confidentialité

Nous collectons le strict nécessaire pour fournir le service, vos documents comptables ne servent qu'à vos propres analyses, aucun modèle n'est entraîné dessus et vous gardez la main à tout moment. Version du 8 septembre 2026.

Responsable du traitement

Le responsable du traitement est ICRAFT, 58 rue de Monceau, 75008 Paris, France, immatriculée sous le numéro 992314237. Un référent protection des données traite vos demandes sous un mois ; il est joignable par le formulaire de contact avec la mention « données personnelles ». L'éditeur n'est pas tenu de désigner un délégué à la protection des données (article 37 du RGPD) : il ne traite ni données sensibles à grande échelle, ni suivi systématique des personnes.

Données traitées

  • Compte : prénom, nom, adresse e-mail, mot de passe haché, langue, profil déclaré (dirigeant, repreneur, expert-comptable…), consentement aux communications, dates de connexion
  • Organisation : nom, SIREN, offre souscrite, membres et rôles, solde de crédits et historique des mouvements
  • Documents comptables déposés (fichier des écritures comptables, grand livre, bilan, liasse fiscale) et tout ce qui en est dérivé : analyses, rapports, plans d'optimisation, réponses au questionnaire, points mensuels
  • Place de marché : annonces, accords de confidentialité (nom du signataire, horodatage, adresse IP), offres, acomptes, messages échangés, étapes des opérations
  • Facturation : identité, adresse, numéro de TVA et factures ; les données de carte sont saisies chez Stripe et ne nous sont jamais transmises
  • Support : messages du formulaire de contact, demandes d'aide, tickets
  • Techniques : adresse IP, navigateur, horodatage des actions sensibles (journal d'audit), rapports de violation de la politique de sécurité du contenu, journaux du serveur
  • Parrainage : code utilisé et organisation parrainée

Finalités et bases légales

  • Fournir le service souscrit : compte, analyses, plans, place de marché, notifications et e-mails de service (exécution du contrat)
  • Facturer, encaisser et conserver les pièces comptables (obligation légale : dix ans)
  • Sécuriser la plateforme : authentification, verrouillage après échecs, journal d'audit, limitation de débit, prévention de la fraude (intérêt légitime)
  • Améliorer le service à partir de statistiques agrégées et anonymisées (intérêt légitime) ; aucune donnée d'un client n'alimente les benchmarks sans agrégation
  • Vous envoyer des guides et nouveautés (consentement, retirable à tout moment depuis votre profil ou par le lien de désinscription)
  • Répondre à vos demandes de support et d'exercice de droits (obligation légale et intérêt légitime)

Documents comptables : rôles et garanties

Un grand livre ou un fichier des écritures comptables contient des données personnelles de tiers : salariés, dirigeants, clients, fournisseurs. Pour ces données, l'organisation qui dépose le document est responsable du traitement et Bilanea agit comme sous-traitant, selon les termes de l'article 28 du RGPD repris dans les conditions générales : traitement sur instruction, uniquement pour produire les analyses demandées, confidentialité des personnes habilitées, sous-traitants ultérieurs listés ci-dessous, assistance pour les demandes des personnes concernées, notification de toute violation sous 48 heures, suppression à la demande ou à la fermeture du compte.

Les documents ne sont lus que par le moteur de calcul et, pour les fichiers scannés ou la rédaction des synthèses, par un modèle de langage sous conditions professionnelles excluant l'entraînement. L'accès par l'équipe est limité au support, à votre demande, et les actions d'administration sont journalisées.

Données publiques d'entreprises

L'observatoire, le radar et les fiches d'opportunités reprennent des données publiées par le Bulletin officiel des annonces civiles et commerciales, l'annuaire des entreprises et l'Institut national de la propriété industrielle : dénomination, dirigeants, âge des dirigeants par tranche, procédures, ventes et cessions, comptes déposés. Ce traitement repose sur notre intérêt légitime à informer les repreneurs et sur le caractère public de ces registres. Les personnes citées peuvent demander la rectification à la source ou, sur demande motivée, le retrait d'une fiche de nos pages.

Sous-traitants et destinataires

  • OVH SAS (Roubaix, France) : hébergement des serveurs, de la base de données, des documents et des sauvegardes
  • Cloudflare, Inc. (États-Unis, certifiée au cadre de protection des données UE-États-Unis) : réseau, protection contre les attaques, acheminement des e-mails adressés au contact
  • Stripe Payments Europe, Ltd (Irlande) : paiement, facturation, calcul de la TVA, portail de facturation
  • Resend, Inc. (États-Unis, clauses contractuelles types) : envoi des e-mails transactionnels
  • Mistral AI SAS (Paris, France) : lecture des documents scannés et rédaction des synthèses, sans conservation ni entraînement sur vos données
  • Google Ireland Ltd (Firebase Authentication, certifiée au cadre de protection des données) : uniquement si vous choisissez la connexion avec un compte Google
  • pCloud AG (Suisse, pays reconnu adéquat par la Commission européenne) : copie hors site des sauvegardes chiffrées
  • Aucune donnée n'est vendue ni partagée avec des annonceurs. Les autorités n'y accèdent que sur réquisition légale.

Transferts hors de l'Union européenne

Les données sont hébergées et traitées en France. Trois prestataires peuvent y accéder depuis les États-Unis (Cloudflare, Resend, Google) : ces transferts sont encadrés par la décision d'adéquation relative au cadre de protection des données UE-États-Unis ou par les clauses contractuelles types de la Commission européenne, dont une copie est disponible sur demande. La copie de sauvegarde en Suisse relève d'une décision d'adéquation.

Durées de conservation

  • Documents, analyses, rapports et plans : tant que votre organisation existe ; vous pouvez les supprimer à tout moment depuis votre espace, la suppression est effective immédiatement et répercutée dans les sauvegardes sous soixante jours au plus
  • Compte : jusqu'à sa suppression par vous ou après trois ans sans connexion ; les données personnelles sont alors anonymisées
  • Factures et pièces de paiement : dix ans (obligation comptable)
  • Accords de confidentialité et offres de la place de marché : cinq ans après la fin de l'opération (prescription)
  • Journal d'audit, historique des e-mails et notifications : douze mois
  • Journaux techniques du serveur : trente jours
  • Sauvegardes : quatorze jours sur le serveur, soixante jours pour la copie hors site chiffrée
  • Messages de contact et demandes d'aide : trois ans

Sécurité

Connexions chiffrées (TLS 1.2 minimum, HSTS préchargé), mots de passe hachés, verrouillage temporaire après cinq échecs, cloisonnement strict par organisation, clés d'API hachées et révocables, politique de sécurité du contenu par nonce, limitation de débit, journal d'audit des actions sensibles, sauvegardes quotidiennes chiffrées et testées. Le détail figure sur la page dédiée. En cas de violation de données susceptible d'engendrer un risque pour vous, nous vous informons sans délai et notifions la CNIL sous 72 heures.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Depuis votre espace, vous pouvez modifier votre profil, télécharger un export JSON complet de vos données, supprimer vos documents et vos analyses, et supprimer votre compte. Pour toute autre demande, utilisez le formulaire de contact : nous répondons sous un mois, après vérification de votre identité si nécessaire. Vous pouvez aussi introduire une réclamation auprès de la CNIL.

Cookies

Le site n'utilise que des cookies strictement nécessaires, exemptés de consentement : le cookie de session d'authentification, le jeton anti-falsification de requête et l'adresse de retour après connexion, tous limités à l'espace connecté. La préférence de thème est stockée localement dans votre navigateur. Aucun cookie publicitaire, aucun outil de mesure d'audience ni traceur tiers n'est déposé, ce qui nous dispense d'afficher une bannière de consentement.

Mises à jour de cette politique

Cette politique est modifiée lorsque le service ou ses prestataires évoluent. La date de version figure en tête de page ; un changement de sous-traitant ou de finalité est annoncé par e-mail aux titulaires de compte au moins quinze jours avant son entrée en vigueur.