FluxMicro
Politique de confidentialité
Identifiant : privacy-policy · Date d'effet : 16 octobre 2026 · Version 2026.10.16
1. Responsable de traitement
Pour les traitements liés à la gestion du site, des comptes, de l'authentification, de la sécurité, de la relation contractuelle et de la facturation de l'abonnement, le responsable de traitement est CIVXII, Société par actions simplifiée (Société à associé unique), domicilié au 99 avenue Achille Peretti, 92200 Neuilly-sur-Seine, France, joignable à support@fluxmicro.fr.
2. Rôle de FluxMicro selon les traitements
FluxMicro agit comme responsable de traitement pour les données nécessaires à l'ouverture et à l'administration du compte, à l'authentification, à la sécurité, à la prévention de la fraude, à la gestion de l'abonnement, à la preuve contractuelle et au support.
Pour les données métier confiées par le Client dans le cadre de son activité professionnelle (clients finaux, devis, factures, avoirs, encaissements, documents et journaux associés), FluxMicro agit, selon le cas et dans la mesure applicable, comme sous-traitant du Client.
Les engagements complémentaires applicables à ces traitements sont détaillés dans l'annexe de sous-traitance (article 28 RGPD).
La présente politique décrit les traitements pour lesquels FluxMicro détermine ses propres finalités et donne une vue d'ensemble du cadre de traitement du service. Elle ne remplace pas l'annexe de sous-traitance, qui demeure le document contractuel de référence pour les données métier traitées pour le compte du Client.
3. Catégories de données traitées
| Catégorie | Exemples | Source |
|---|---|---|
| Compte utilisateur | Email, mot de passe haché, rôles d'accès, sessions | Inscription et utilisation de l'application |
| Organisation | Raison sociale, SIREN/SIRET, adresse, TVA, IBAN, paramètres légaux | Onboarding et réglages |
| Générateurs publics | Informations saisies dans un devis ou une facture gratuite, emails émetteur et destinataire, consentements, statut d'envoi email | Formulaires publics sans compte |
| Données métier | Clients, catalogue, devis, factures, avoirs, encaissements, historiques | Actions de l'utilisateur |
| Connecteurs IA / MCP | Compte minimal, organisation, clients, catalogue, documents commerciaux, recettes, achats, charges, fournisseurs, métadonnées d'audit et liens documentaires nécessaires aux outils appelés | Connexion volontaire du compte FluxMicro à ChatGPT (OpenAI), à Claude (Anthropic) ou à un autre assistant IA compatible MCP |
| Paiement abonnement | Identifiants client de paiement, statut d'abonnement, échéances, factures SaaS | Prestataire de paiement |
| Sécurité et logs | Journaux techniques, traces de connexions, logs d'audit | Systèmes internes |
4. Finalités et bases légales
| Finalité | Base légale | Données concernées |
|---|---|---|
| Gestion du compte et authentification | Exécution du contrat | Compte utilisateur, sessions |
| Fourniture du service SaaS | Exécution du contrat | Données organisationnelles et métier |
| Connecteurs IA / MCP optionnels | Exécution du contrat / instruction de l'utilisateur | Données strictement nécessaires à l'authentification MCP, à la délégation d'actions, à la consultation, à la synthèse, au rendu de vues intégrées et à l'audit de sécurité |
| Génération gratuite de PDF et envoi email public | Consentement de l'utilisateur et intérêt légitime de sécurité | Données saisies dans le générateur public, emails, consentements et traces techniques limitées |
| Facturation et paiements abonnement | Exécution du contrat / obligations légales | Données de facturation, statuts d'abonnement |
| Sécurité, prévention de la fraude, audit | Intérêt légitime (sécurisation des accès, prévention des usages frauduleux, continuité du service, traçabilité technique et preuve en cas de litige) | Logs techniques, événements d'audit |
| Respect des obligations légales et réglementaires | Obligation légale | Pièces comptables et traces associées |
5. Caractère obligatoire ou facultatif des données
Les données strictement nécessaires à l'ouverture du compte, à l'authentification, à la gestion de l'abonnement et à l'utilisation du service sont obligatoires. Leur absence empêche la création du compte, l'accès au service ou l'exécution correcte du contrat.
Les données facultatives sont signalées comme telles dans les formulaires concernés. Leur absence n'empêche pas l'utilisation du service, mais peut limiter certaines options de personnalisation, de support ou d'assistance.
6. Décisions automatisées et profilage
FluxMicro n'effectue pas, à ce jour, de prise de décision entièrement automatisée produisant des effets juridiques ou affectant de manière significative les personnes au sens du RGPD.
Certains traitements internes peuvent utiliser des règles techniques d'assistance (par exemple pour la sécurité, la détection d'anomalies ou la priorisation de contrôles), sans qu'une décision opposable à la personne concernée soit prise automatiquement sans intervention humaine.
7. Destinataires et accès interne
Les données sont accessibles uniquement aux personnes habilitées (équipes techniques, support et administration) dans la limite stricte de leurs attributions. Les prestataires externes interviennent en qualité de sous-traitants contractuellement encadrés.
Autres destinataires : Stripe, Inc. reçoit l'identité de facturation et les données de paiement nécessaires au règlement de l'abonnement FluxMicro (Union européenne et États-Unis, transferts encadrés par des clauses contractuelles types). Pour vérifier un numéro de TVA intracommunautaire ou préremplir une fiche d'entreprise, FluxMicro interroge les registres publics VIES (Commission européenne) et Sirene (INSEE) avec ce seul numéro.
Lorsque le Client autorise la transmission directe de ses déclarations, les données strictement nécessaires sont communiquées, sur son instruction et pour cette seule finalité : à l'Urssaf, au titre de la tierce déclaration des auto-entrepreneurs (chiffre d'affaires déclaré, identification du compte et, pour le paiement, le mandat de prélèvement SEPA choisi) ; à l'administration fiscale (DGFiP), par l'intermédiaire du partenaire EDI de FluxMicro, pour les déclarations de TVA, la déclaration de résultats n° 2035 et le paiement de la TVA. Ces transmissions sont en cours de contractualisation et n'ont lieu qu'une fois le service ouvert.
Lorsque l'utilisateur connecte volontairement son compte FluxMicro à ChatGPT (OpenAI), à Claude (Anthropic) ou à un autre assistant IA compatible MCP, les données strictement nécessaires aux outils appelés peuvent être transmises au service concerné. Ces échanges sont limités par les autorisations accordées lors de la connexion et par les actions demandées par l'utilisateur. Les données reçues par l'assistant relèvent ensuite de la politique de confidentialité de son éditeur. Ces assistants ne sont pas des sous-traitants de FluxMicro : l'utilisateur les choisit, les utilise selon son propre contrat avec leur éditeur, et FluxMicro ne leur transmet des données qu'à sa demande. C'est pourquoi ils ne figurent pas dans la liste des sous-traitants ci-dessous.
L'utilisateur peut retirer à tout moment l'accès d'un assistant IA : dans FluxMicro, depuis Réglages, onglet Ton compte, rubrique Assistants IA (« Voir les assistants connectés », puis « Retirer… ») ; ou depuis l'assistant lui-même, dans la liste de ses connecteurs ou applications. Le retrait empêche tout renouvellement de l'accès ; l'accès déjà ouvert expire au plus tard une heure après. Les journaux d'audit des actions déjà réalisées sont conservés selon les durées indiquées à la section 10.
8. Sous-traitants principaux
| Prestataire | Finalité | Localisation | Transfert hors UE |
|---|---|---|---|
OVH SAS Politique de confidentialité | Hébergement de l'application, des bases de données et des fichiers. Données de compte, données organisationnelles, documents métier, journaux techniques. | France / Union européenne | Non Infrastructure opérée dans un cadre contractuel, mesures de sécurité physiques et logiques, contrôle d'accès, traçabilité et sauvegardes adaptées. |
OVH SAS Politique de confidentialité | Envoi d'emails transactionnels et de notifications de service. Email, nom, contenu des notifications, traces d'envoi. | France / Union européenne | Non Service d'email transactionnel contractuellement encadré, authentification des accès, chiffrement des échanges et journalisation adaptée. |
Super PDP Politique de confidentialité | Transmission des factures électroniques, suivi des statuts de traitement et, le cas échéant, réception des flux de facturation entrants. Données d'identification de l'émetteur et du client, données de facture, pièces jointes associées et statuts de transmission. | France / Union européenne | Non Transmission encadrée contractuellement, authentification forte, traçabilité des échanges et mesures techniques de sécurité adaptées. |
ASPOne À venir : actif à l'ouverture du service Politique de confidentialité | Partenaire EDI de la DGFiP : transmission à l'administration fiscale, au nom du Client et sur son autorisation, des déclarations de TVA (EDI-TVA), de la déclaration de résultats n° 2035 (EDI-TDFC) et du paiement de la TVA (EDI-Paiement). En cours de contractualisation : aucune donnée ne lui est transmise avant l'ouverture du service. Identification de l'entreprise (raison sociale, SIREN, adresse), montants des déclarations, coordonnées du compte de paiement le cas échéant, accusés de réception et statuts de dépôt. | France | Non Partenaire EDI habilité par convention avec la DGFiP, échanges authentifiés et chiffrés, traçabilité des dépôts et des accusés de réception. |
9. Transferts hors Union européenne
Lorsque certains prestataires traitent des données hors Union européenne, les transferts sont encadrés par des garanties appropriées (notamment clauses contractuelles types et mesures complémentaires), selon les exigences du RGPD.
10. Durées de conservation
- Données de compte et données contractuelles : pendant la relation contractuelle, puis archivage intermédiaire limité à cinq (5) ans à compter de la fin de la relation, pour la gestion des réclamations, du recouvrement, de la preuve contractuelle et du respect des obligations légales.
- Données métier et documents générés pour le compte du client (devis, factures, avoirs, journaux, pièces associées) : conservés pendant la durée d'utilisation du service. Le client demeure seul responsable de l'archivage légal de ses documents comptables, fiscaux et justificatifs pendant les durées applicables, notamment dix (10) ans pour les documents comptables et pièces justificatives et six (6) ans pour les documents fiscaux lorsqu'ils relèvent de cette obligation.
- Données strictement nécessaires à la préparation déclarative Urssaf et, le cas échéant, à la transmission en mode tiers déclarant (historique déclaratif, journaux, statuts et traces de transmission) : conservées pendant une durée n'excédant pas trente-six (36) mois à compter de la période déclarative concernée, sauf obligation légale particulière, contentieux, demande de l'autorité compétente ou nécessité probatoire imposant une conservation plus longue.
- Logs techniques et sécurité : conservés sur une période glissante n'excédant pas douze (12) mois, sauf obligation légale particulière, incident de sécurité documenté ou nécessité probatoire imposant une conservation plus longue.
- Journaux d'authentification MCP, d'autorisation et d'audit des actions réalisées via un assistant IA : conservés selon les mêmes durées que les logs techniques et les journaux d'audit du service.
- Données prospects et échanges précontractuels : conservés pendant trois (3) ans à compter du dernier contact utile émanant de la personne concernée ou, à défaut, de la collecte.
- Générateurs publics gratuits : les brouillons restent dans le navigateur de l'utilisateur. Les jobs PDF temporaires expirent automatiquement. Les prospects, consentements et traces d'envoi email public peuvent être conservés jusqu'à trois (3) ans à compter du dernier contact utile, sauf demande d'effacement ou nécessité probatoire.
11. Mesures de sécurité
- Chiffrement des échanges réseau (HTTPS/TLS).
- Authentification et gestion de sessions sécurisées.
- Authentification OAuth/OIDC, vérification des droits accordés et limitation des actions MCP.
- Contrôle d'accès selon les rôles et journalisation des actions sensibles.
- Mesures de sauvegarde, surveillance et gestion des incidents de sécurité.
Aucune mesure ne garantissant un risque nul, l'utilisateur demeure responsable de la sécurité de ses identifiants et postes de travail.
12. Droits des personnes
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, dans les conditions prévues par la réglementation.
Pour exercer vos droits, contactez support@fluxmicro.fr. Une vérification d'identité peut être demandée en cas de doute raisonnable.
Lorsque FluxMicro agit comme sous-traitant pour le compte du Client, certaines demandes portant sur les données métier peuvent être redirigées vers le Client, en sa qualité de responsable de traitement, si cela est nécessaire pour garantir un traitement exact de la demande.
13. Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr.
14. Cookies et traceurs
Le service utilise des traceurs techniques strictement nécessaires au fonctionnement, notamment un cookie de session pour l'authentification et, le cas échéant, un stockage local du navigateur pour mémoriser certains états d'interface strictement fonctionnels.
FluxMicro utilise également une balise Google reliée à Google Ads et Google Analytics pour mesurer les inscriptions issues des campagnes publicitaires et comprendre la navigation sur les pages publiques. Par défaut, le Consent Mode Google est initialisé avec les finalités publicitaires et de mesure refusées. La mesure complète n'est activée qu'après acceptation via le bandeau de consentement.
Le choix est mémorisé dans le stockage local du navigateur sous la cléfluxmicro_google_consentet peut être modifié à tout moment depuis le lien « Préférences cookies » en pied de page.
Le cookiefm_attributionsert enfin à la mesure d'audience propre à FluxMicro : savoir comment un visiteur a découvert le site la toute première fois (moteur de recherche, assistant IA, campagne, lien depuis un autre site ou accès direct), afin de mesurer l'efficacité des actions de communication de FluxMicro. Il est déposé lors de la première arrivée sur le site, que l'adresse porte ou non un marqueur de campagne (paramètresutm_*ou identifiant de clic publicitaire). La navigation d'une page à l'autre de fluxmicro.fr n'en dépose pas, et un cookie déjà présent n'est jamais réécrit.
Contenu : les paramètres de campagne éventuellement présents dans l'adresse (source, support, campagne, contenu, mot-clé), le nom de domaine du site d'origine (jamais l'adresse complète, qui peut contenir une recherche), la page d'arrivée sur fluxmicro.fr et la date de cette première visite. L'identifiant de clic publicitaire Google n'est jamais enregistré. Durée de conservation : 90 jours. Le cookie est propre à fluxmicro.fr, inaccessible aux scripts de la page et transmis à aucun tiers. Il ne sert ni au ciblage publicitaire, ni au suivi de la navigation sur d'autres sites.
En cas d'inscription, la source, le support, la campagne, le domaine d'origine, la page d'arrivée et la date de première visite sont conservés dans le compte, pour savoir quels canaux amènent des inscriptions et des abonnements. Ces informations ne sont jamais transmises à un tiers. Vous pouvez vous opposer à ce dépôt en supprimant le cookie depuis les réglages de votre navigateur, et à la conservation de ces informations dans votre compte en écrivant à support@fluxmicro.fr.
15. Mise à jour de la politique
Cette politique peut évoluer pour refléter les changements techniques, contractuels ou réglementaires. La date d'effet et la version en vigueur sont indiquées en tête de document.
Hébergement actuel déclaré : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France.