Nos engagements RGPD

🇪🇺

Vos données restent en Europe

Tout est hébergé sur des serveurs européens. Pas de transfert vers les États-Unis.

→Base de données et fichiers : Supabase, région UE (Frankfurt, Allemagne pour la phase actuelle ; migration prévue vers Scaleway France).
→Emails transactionnels : Resend (région UE).
→Emails marketing & contacts : Brevo (Sendinblue SAS, France).
→Hébergement frontend : Vercel - les routes /api/* qui touchent à vos données sont configurées en région UE.
→Aucun transfert hors UE sans votre consentement explicite (cf section « IA »).

Textes de référence

🚫

Votre numéro de sécurité sociale n'est jamais stocké

Le NIR est automatiquement détecté et caviardé avant tout enregistrement.

→Lors de la lecture d'un bulletin de paie ou d'une AEM, notre OCR détecte le format du NIR (15 chiffres + clé de contrôle modulo 97).
→Il est remplacé par [NIR-REDACTED] avant d'être enregistré en base, envoyé à l'IA 🇫🇷 Mistral ou écrit dans nos logs.
→Aucun champ de notre schéma de base de données ne contient un NIR. Aucun de nos formulaires ne vous le demande.
→Sources légales : décret n° 2019-341 du 19 avril 2019 (encadrement des traitements NIR) + RGPD art. 5.1.c (minimisation).

Textes de référence

🤖

L'IA, vous décidez

Par défaut, aucune donnée ne part vers une IA. Vous l'autorisez (ou non) document par document.

→L'OCR local Tesseract lit vos documents directement sur votre appareil, sans aucune connexion réseau.
→Si un document est illisible localement, nous vous proposons de l'envoyer à 🇫🇷 Mistral (IA française hébergée en UE). Vous choisissez : ce document seulement, tous, ou jamais.
→Aucune IA américaine n'est utilisée. Seule 🇫🇷 Mistral (France) traite vos documents complexes, avec DPA zéro-rétention. Conformité Schrems II garantie.
→🇫🇷 Mistral applique un DPA zéro-rétention : votre texte n'est pas conservé après traitement, n'entraîne pas ses modèles.
→Vous pouvez changer ce choix à tout moment dans Paramètres → Confidentialité IA.

Textes de référence

🔐

Chiffrement et sécurité

TLS partout, chiffrement des secrets, et bientôt chiffrement de bout en bout (E2EE).

→Toutes les communications sont chiffrées via HTTPS / TLS 1.3.
→Les secrets serveur (clés API Stripe, Mistral, etc.) ne quittent jamais notre backend - ils ne sont jamais exposés au navigateur.
→Les mots de passe sont hashés par Supabase Auth (Argon2id).
→En cours : déploiement d'un chiffrement de bout en bout (E2EE) zéro-knowledge sur les documents stockés. Le serveur ne verra plus que des blobs chiffrés indéchiffrables. Cf nos ADR techniques (Architecture Decision Records).

Textes de référence

⚖️

Vos droits, exerçables en 1 clic

Accès, rectification, effacement, portabilité - tout est accessible depuis votre espace.

→Droit d'accès & portabilité (art. 15 + 20) : exportez l'intégralité de vos données en ZIP depuis Paramètres → Mes données.
→Droit de rectification (art. 16) : tous les champs sont modifiables depuis votre espace.
→Droit à l'effacement (art. 17) : la suppression de votre compte purge vos données après une période de grâce de 30 jours.
→Droit d'opposition (art. 21) : vous pouvez à tout moment refuser l'usage de l'IA pour vos documents.
→Pour toute autre demande : contact@moka-intermittent.fr.

Textes de référence

📋

Un outil d'aide à la gestion, pas un archivage à valeur probatoire

Conservez toujours vos originaux. Moka vous aide à piloter votre activité au quotidien ; vos démarches officielles s'appuient sur les documents remis par vos employeurs.

→Moka vous permet de centraliser vos documents dans un espace personnel chiffré de bout en bout, pour les retrouver facilement et calculer vos droits.
→Cet espace ne se substitue pas aux originaux : pour vos démarches officielles (France Travail, CPAM, impôts, etc.), utilisez toujours les documents transmis par vos employeurs ou téléchargés depuis les portails officiels.
→Vos documents sont conservés au minimum 3 ans, et rien n'est effacé automatiquement à cette échéance : c'est une durée plancher, pas une date de suppression. Seuls partent les documents que vous mettez vous-même à la corbeille, 6 mois plus tard, et nous vous prévenons par mail avant, avec la possibilité de les restaurer ou de les exporter.

Textes de référence

🤝

Nos sous-traitants, transparents

Liste complète des services tiers utilisés, où ils sont hébergés, ce qu'ils voient.

→Supabase Inc. (US/UE) - base de données + auth + storage, région Frankfurt. DPA signé.
→🇫🇷 Mistral AI (France) - OCR sur consentement uniquement, zéro rétention.
→Stripe Payments Europe Ltd. (Irlande) - paiements abonnements. Ne reçoit jamais vos documents.
→Resend (UE) - emails transactionnels. Reçoit votre email + corps du message.
→Brevo (France) - emails marketing si vous y avez consenti à l'inscription.
→Sentry (UE) - détection d'erreurs anonymisées. Aucune donnée personnelle (config maskAllText activée).

Textes de référence

RGPD art. 28 - Sous-traitant ↗