Nos engagements RGPD

🇪🇺

Vos données restent en Europe

Tout est hébergé sur des serveurs européens. Pas de transfert vers les États-Unis.

→Base de données et fichiers : Supabase, région Zurich (Suisse, pays reconnu adéquat par la Commission européenne) ; migration prévue vers un hébergeur français.
→Emails transactionnels : Resend (région UE).
→Emails marketing & contacts : Brevo (Sendinblue SAS, France).
→Hébergement frontend : Vercel - les routes /api/* qui touchent à vos données sont configurées en région UE.
→Votre compte et vos documents ne sont stockés qu'en Europe ; aucun envoi à un service d'analyse sans votre consentement explicite (cf section « IA »).

Textes de référence

🚫

Votre numéro de sécurité sociale n'est jamais stocké

Le NIR est automatiquement détecté et caviardé avant tout enregistrement.

→Lors de la lecture d'un bulletin de paie ou d'une AEM, notre OCR détecte le format du NIR (15 chiffres + clé de contrôle modulo 97).
→Il est remplacé par [NIR-REDACTED] avant d'être enregistré en base, envoyé à l'IA 🇫🇷 Mistral ou écrit dans nos logs.
→Aucun champ de notre schéma de base de données ne contient un NIR. Aucun de nos formulaires ne vous le demande.
→Sources légales : décret n° 2019-341 du 19 avril 2019 (encadrement des traitements NIR) + RGPD art. 5.1.c (minimisation).

Textes de référence

🤖

L'IA, vous décidez

Par défaut, aucune donnée ne part vers une IA. Vous l'autorisez (ou non) document par document.

→L'OCR local Tesseract lit vos documents directement sur votre appareil, sans aucune connexion réseau.
→Si un document est illisible localement, nous vous proposons de l'envoyer à 🇫🇷 Mistral (IA française hébergée en UE). Vous choisissez : ce document seulement, tous, ou jamais.
→Aucune IA américaine n'est utilisée. Seule 🇫🇷 Mistral (France) traite vos documents complexes, avec DPA zéro-rétention. Conformité Schrems II garantie.
→🇫🇷 Mistral applique un DPA zéro-rétention : votre texte n'est pas conservé après traitement, n'entraîne pas ses modèles.
→Vous pouvez changer ce choix à tout moment dans Paramètres → Confidentialité IA.

Textes de référence

🔐

Chiffrement et sécurité

TLS partout, chiffrement des secrets, et bientôt chiffrement de bout en bout (E2EE).

→Toutes les communications sont chiffrées via HTTPS / TLS 1.3.
→Les secrets serveur (clés API Stripe, Mistral, etc.) ne quittent jamais notre backend - ils ne sont jamais exposés au navigateur.
→Les mots de passe sont hashés par Supabase Auth (Argon2id).
→En cours : déploiement d'un chiffrement de bout en bout (E2EE) zéro-knowledge sur les documents stockés. Le serveur ne verra plus que des blobs chiffrés indéchiffrables. Cf nos ADR techniques (Architecture Decision Records).

Textes de référence

⚖️

Vos droits, exerçables en 1 clic

Accès, rectification, effacement, portabilité - tout est accessible depuis votre espace.

→Droit d'accès & portabilité (art. 15 + 20) : exportez l'intégralité de vos données en ZIP depuis Paramètres → Mes données.
→Droit de rectification (art. 16) : tous les champs sont modifiables depuis votre espace.
→Droit à l'effacement (art. 17) : la suppression de votre compte purge vos données après une période de grâce de 30 jours.
→Droit d'opposition (art. 21) : vous pouvez à tout moment refuser l'usage de l'IA pour vos documents.
→Pour toute autre demande : contact@moka-intermittent.fr.

Textes de référence

📋

Un outil d'aide à la gestion, pas un archivage à valeur probatoire

Conservez toujours vos originaux. Moka vous aide à piloter votre activité au quotidien ; vos démarches officielles s'appuient sur les documents remis par vos employeurs.

→Moka vous permet de centraliser vos documents dans un espace personnel sécurisé, hébergé en Union européenne, pour les retrouver facilement et calculer vos droits. Le chiffrement de bout en bout de cet espace est en préparation.
→Cet espace ne se substitue pas aux originaux : pour vos démarches officielles (France Travail, CPAM, impôts, etc.), utilisez toujours les documents transmis par vos employeurs ou téléchargés depuis les portails officiels.
→Vos documents sont conservés au minimum 3 ans, et rien n'est effacé automatiquement à cette échéance : c'est une durée plancher, pas une date de suppression. Seuls partent les documents que vous mettez vous-même à la corbeille, 6 mois plus tard, et nous vous prévenons par mail avant, avec la possibilité de les restaurer ou de les exporter.

Textes de référence

🤝

Nos sous-traitants, transparents

Liste complète des services tiers utilisés, où ils sont hébergés, ce qu'ils voient.

→Supabase Inc. (US/UE) - base de données + auth + storage, région Zurich (Suisse). DPA signé.
→🇫🇷 Mistral AI (France) - OCR sur consentement uniquement, zéro rétention.
→Stripe Payments Europe Ltd. (Irlande) - paiements abonnements. Ne reçoit jamais vos documents.
→Resend (UE) - emails transactionnels. Reçoit votre email + corps du message.
→Brevo (France) - emails marketing si vous y avez consenti à l'inscription.
→Sentry (UE) - détection d'erreurs anonymisées. Aucune donnée personnelle (config maskAllText activée).

Textes de référence

RGPD art. 28 - Sous-traitant ↗