Politique de confidentialité

Responsable du traitement

EUPHYRA (EURL), 514 Avenue du Colonel Fabien, 77190 Dammarie-les-Lys, France.
Contact : [email protected].

Catégories de données collectées

• Email — fourni volontairement lors de la création d'une clé API, de l'inscription à la newsletter, du formulaire de contact, ou pour recevoir un résumé de scan.
• Contenu des fichiers soumis à validation — PDF ou XML envoyés à l'API. Traités en mémoire ; non conservés sauf cas explicite décrit ci-dessous (debug consent).
• Métadonnées techniques de scan — verdict, codes erreur Schematron, durée, type d'input. Conservées de manière agrégée pour observabilité produit (compteurs KV serveurs, sans identifiant utilisateur).
• Données de paiement — gérées exclusivement par Stripe. Aucune donnée de carte ne transite ni n'est stockée par facturxapi.com.
• Mesure d'audience anonyme — Plausible Analytics (sans cookie, sans identifiant personnel).

Finalités et bases légales

• Fourniture du service de validation/conversion Factur-X — exécution du contrat (art. 6.1.b RGPD).
• Newsletter et communications produit — consentement (art. 6.1.a). Désinscription en un clic.
• Mesure d'audience anonyme via Plausible — intérêt légitime (art. 6.1.f), pas de cookie, pas d'identifiant personnel.
• Gestion des paiements Stripe — exécution du contrat + obligations légales.
• Conservation temporaire 72 h des fichiers en cas d'échec de conversion — consentement explicite et opt-in (art. 6.1.a).

Sous-traitants

Les sous-traitants suivants traitent des données pour notre compte. La liste reflète l'état actuel de la production ; toute évolution sera publiée sur cette page.

Transferts hors Union européenne

Certains sous-traitants ci-dessus sont établis hors UE et peuvent traiter des données depuis ces pays :

• Cloudflare, Inc. — États-Unis.
• Stripe Payments Europe Limited — Irlande (entité européenne) ; transferts vers Stripe, Inc. (États-Unis) possibles.
• Railway Corporation — États-Unis.
• Resend, Inc. — États-Unis.
• Sentry (Functional Software, Inc.) — États-Unis.

Ces transferts sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne lorsque les sous-traitants concernés y adhèrent. Vous pouvez consulter les engagements de chaque sous-traitant via les liens DPA du tableau ci-dessus.

Conservation temporaire de fichiers en cas d'échec de conversion

Lorsque vous activez l'option « autoriser la conservation temporaire en cas d'échec de conversion » et que la conversion échoue, le fichier soumis est conservé 72 heures à des fins de diagnostic technique. Sans activation explicite, le fichier est supprimé immédiatement, qu'il y ait succès ou échec.

• Le fichier est conservé uniquement si l'option a été activée AVANT la requête ET que la conversion a échoué.
• En cas de succès, le fichier est supprimé immédiatement, même si l'option est cochée.
• Durée maximale de conservation : 72 heures, après quoi la suppression est automatique.
• Aucune donnée personnelle ou métier n'est extraite ni indexée à partir du fichier conservé.
• Vous pouvez demander la suppression anticipée en écrivant à [email protected].

Cookies et consentement

La gestion du consentement utilise Tarteaucitron (open-source, exécuté côté client, sans serveur tiers). Vos préférences sont stockées dans un cookie local navigateur uniquement, sans serveur tiers.

Aucun cookie publicitaire n'est déposé. Plausible Analytics fonctionne sans cookie.

Signal Global Privacy Control (GPC)

Le site détecte le signal Global Privacy Control envoyé par votre navigateur. Si GPC est actif, tous les scripts d'analyse sont automatiquement bloqués, indépendamment de votre choix dans le bandeau de consentement.

Vos droits

Conformément au RGPD, vous disposez des droits d'accès, rectification, effacement, limitation, opposition et portabilité de vos données. Pour exercer un droit, écrivez à [email protected]. Une réponse vous sera apportée dans le délai légal d'un mois (extensible à trois mois pour demandes complexes, avec information préalable).

Vous avez également le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL).

Sécurité

Les flux entre votre navigateur et nos services sont chiffrés en TLS. Les API keys sont hashées en base. Les fichiers transmis à l'API sont traités en mémoire et supprimés immédiatement, sauf opt-in explicite décrit ci-dessus. Les secrets de production ne sont accessibles qu'au personnel autorisé.

Note de transparence : nous n'affirmons pas une localisation géographique stricte des données dans l'UE tant que les contrats correspondants (Cloudflare Regional Services, R2 jurisdiction EU, Brevo Data Residency) ne sont pas en place et vérifiables.