Retour

Politique de Confidentialité

Dernière mise à jour : 3 octobre 2026

1. Responsable du traitement

Le responsable du traitement des données personnelles est :

HEDOE SAS
SIRET : en cours d'immatriculation
Siège social : 84 rue du Faubourg Saint-Martin, 75010 Paris, France
Représentant légal : Simon Herlin
Email : contact@moka-intermittent.fr

2. Données collectées

Le Service collecte les catégories de données suivantes :

Données d'identification

  • Adresse email (obligatoire, pour l'authentification)
  • Nom et prénom (optionnel)
  • Mot de passe (stocké sous forme de hash, jamais en clair)

Données professionnelles

  • Annexe d'intermittent (8 ou 10)
  • Cachets et heures travaillées (employeur, dates, montants)
  • Documents numérisés (AEM, bulletins de salaire, contrats, arrêts)
  • Données extraites par OCR (reconnaissance automatique)
  • Paramètres ARE (date anniversaire, allocations, franchises)

Données techniques

  • Journaux d'authentification (gérés par Supabase Auth)
  • Statistiques de fréquentation anonymes, mesurées par nos soins depuis le 3 août 2026, sans cookie ni identifiant durable (voir ci-dessous)
  • Avec votre consentement : données de mesure d'audience Google Analytics (voir la section Cookies)

Données NON collectées : Le Service ne collecte pas de données bancaires (traitées exclusivement par Stripe) et n'utilise aucun traceur publicitaire.

3. Finalités du traitement

Finalité Base légale
Fourniture du Service (calculs, archivage, alertes) Exécution du contrat
Authentification et sécurité du compte Exécution du contrat
Emails transactionnels (expiration documents, confirmation) Exécution du contrat
Gestion de l'abonnement et facturation Exécution du contrat
Amélioration du Service (OCR, statistiques anonymisées) Intérêt légitime
Communications marketing Consentement (opt-in)

4. Hébergement et sous-traitants

Les données sont hébergées en Europe :

Sous-traitant Rôle Localisation
Supabase (Zurich) Base de données, authentification, stockage des documents Suisse
Vercel Hébergement de l'application web (serveurs de calcul à Paris) France
Stripe Paiement et facturation Irlande (UE)
Resend Emails transactionnels Irlande (UE)
Mistral AI Analyse des documents, uniquement avec votre accord France (UE)
Google Analytics Mesure d'audience, uniquement avec votre consentement Irlande (UE), transferts possibles vers les États-Unis

La base de données et les documents sont hébergés à Zurich. La Suisse n'appartient pas à l'Union européenne, mais la Commission européenne lui reconnaît un niveau de protection adéquat (décision 2000/518/CE, confirmée le 15 janvier 2024) : les données peuvent y être conservées sans garantie supplémentaire (article 45 du RGPD). Supabase, Vercel et Resend sont des sociétés de droit américain.

Les documents ne sont envoyés à Mistral AI (serveurs en France) qu'avec votre accord. Le texte lu sur votre appareil est transmis après masquage du numéro de sécurité sociale. Lorsque ce texte est illisible, une photo de la page peut être transmise pour être lue.

Google Analytics n'est chargé qu'après votre consentement. Google Ireland Limited peut transférer ces données aux États-Unis, dans le cadre du Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023).

Migration prévue vers un hébergeur 100 % français (OVHcloud)

Dans le cadre de son engagement de souveraineté numérique, l'Éditeur prépare la migration de la base de données et du stockage de Supabase (Zurich, Suisse) vers OVHcloud, hébergeur français avec datacenters situés en France. À l'issue de cette migration :

  • l'ensemble des données utilisateur sera intégralement effacé des serveurs Supabase, selon les procédures de suppression sécurisée du sous-traitant, sans période de conservation résiduelle ;
  • les traitements resteront exclusivement au sein de l'Union européenne, sans transfert vers un pays tiers ;
  • aucune interruption de service ni risque de sécurité n'est associé à cette opération, qui sera notifiée aux utilisateurs par email au moins 30 jours à l'avance.

Cette migration est planifiée après la période de lancement du Service. La présente politique sera mise à jour à cette date.

5. Durée de conservation

  • Données de compte : conservées pendant la durée de l'abonnement + 30 jours après suppression (soft delete)
  • Documents : conservés au minimum 3 ans. Cette durée est un plancher, pas une échéance : aucun document n'est effacé automatiquement au motif de son ancienneté
  • Documents mis à la corbeille par l'utilisateur : 6 mois, restaurables pendant tout ce délai, puis effacement définitif après notification par email
  • Données de facturation : 10 ans (obligation légale comptable française)
  • Journaux techniques : 12 mois maximum

6. Sécurité

L'Éditeur met en oeuvre les mesures de sécurité suivantes :

  • Chiffrement en transit (HTTPS/TLS) et au repos (chiffrement Supabase)
  • Authentification sécurisée avec hashage bcrypt des mots de passe
  • Row Level Security (RLS) sur toutes les tables - isolation stricte des données entre utilisateurs
  • Clés API sensibles exclusivement côté serveur (jamais exposées au client)
  • Tokens OAuth tiers chiffrés en base via pgsodium
  • Rate limiting sur les opérations sensibles (OCR : 10 documents/minute/utilisateur)

7. Cookies

Aucun cookie du Service n'est publicitaire. Aucune donnée n'est vendue ni utilisée pour du ciblage.

Le Service utilise :

  • Un cookie de session d'authentification (strictement nécessaire au fonctionnement)
  • Avec votre consentement, recueilli via le bandeau : les cookies de mesure d'audience Google Analytics (durée maximale 13 mois)

Vous pouvez refuser ou retirer votre consentement à tout moment via « Gérer mes cookies » en pied de page, sans aucune conséquence sur l'utilisation du Service. Votre choix est conservé 6 mois. Une mesure de fréquentation interne, sans cookie ni identifiant durable et exemptée de consentement, est par ailleurs réalisée par nos soins sur notre hébergement européen ; l'empreinte journalière qu'elle utilise ne permet ni de remonter à l'adresse IP ni de relier deux journées, et ses données sont supprimées sous 90 jours.

8. Vos droits

Conformément au RGPD (Règlement UE 2016/679), vous disposez des droits suivants :

  • Accès : obtenir une copie de vos données personnelles
  • Rectification : corriger des données inexactes
  • Effacement : demander la suppression de vos données
  • Portabilité : recevoir vos données dans un format structuré (export ZIP)
  • Opposition : vous opposer au traitement fondé sur l'intérêt légitime
  • Limitation : restreindre temporairement le traitement

Pour exercer ces droits, contactez-nous à contact@moka-intermittent.fr. Nous répondrons dans un délai de 30 jours maximum.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr

9. Modification de cette politique

Cette politique peut être mise à jour. En cas de modification substantielle, les utilisateurs seront informés par email au moins 30 jours avant l'entrée en vigueur.

Ce document est un modèle et doit être relu et validé par un avocat avant publication.