Politique de Confidentialité

1. Responsable du traitement

ITICK SAS est responsable du traitement des données personnelles collectées via le site itick.fr et l'application mobile ITICK.

Contact : contact@itick.fr

2. Données collectées

Nous collectons les données suivantes :

• Données d'identification : nom, prénom, adresse e-mail, numéro de téléphone
• Données de facturation : factures scannées, montants, détails des transactions, informations marchands
• Données d'organisation : nom de l'entreprise, SIREN ou SIRET, TVA, adresse (si utilisation en mode organisation)
• Données techniques : appareil, version de l'OS, adresse IP, logs d'utilisation

Si vous choisissez « Continuer avec Google » ou « Continuer avec Apple »

Ces services deviennent alors une source de vos données d'identification. Nous recevons du fournisseur que vous avez choisi, et uniquement au moment où vous vous connectez :

• Un identifiant technique stable propre à ce fournisseur, qui nous sert à reconnaître votre compte d'une connexion à l'autre. Il ne révèle rien de votre activité chez eux.
• Votre adresse e-mail — y compris une adresse de relais privée si vous demandez à Apple de masquer la vôtre.
• Vos nom et prénom, lorsque le fournisseur nous les transmet. Apple ne le fait qu'à votre toute première autorisation.

Nous ne recevons ni votre mot de passe, ni vos contacts, ni aucune autre donnée de votre compte Google ou Apple. Ces informations sont utilisées pour la seule finalité d'authentification — créer votre compte ITICK, vous y reconnaître et le sécuriser — sur la base légale de l'exécution du contrat (nos CGU). Vous pouvez retirer cette autorisation à tout moment depuis les réglages de votre compte Google ou Apple. Lorsque vous supprimez votre compte ITICK, nous demandons nous-mêmes au fournisseur concerné de révoquer l'autorisation que vous nous aviez accordée, et les données reçues de lui sont effacées de nos serveurs avec le reste de votre compte. Si le fournisseur ne répond pas, la suppression de votre compte chez nous aboutit quand même — vous pouvez alors retirer l'autorisation depuis ses propres réglages.

Google LLC et Apple Inc. sont établis aux États-Unis. Pour cette authentification, ils n'agissent pas comme sous-traitants d'ITICK mais comme responsables de traitement indépendants : le compte est chez eux, ils décident seuls de ce qu'ils en font. Le fait de vous connecter leur apprend donc que vous utilisez ITICK. Nos échanges avec eux sont encadrés par les clauses contractuelles types de la Commission européenne et par leurs accords de traitement des données respectifs — le même encadrement que celui de nos notifications push, décrit à la section 6. Si vous ne souhaitez pas qu'ils l'apprennent, la connexion par adresse e-mail et mot de passe reste disponible et n'est jamais moins complète.

3. Finalités du traitement

Vos données sont utilisées pour :

• Fournir et améliorer le service de gestion et d'agrégation de factures
• Assurer la sécurité de votre compte et prévenir la fraude
• Vous authentifier, par mot de passe ou via Google ou Apple si vous le choisissez
• Envoyer des notifications relatives au service (alertes de paiement, validations)
• Respecter nos obligations légales de conservation des données fiscales
• Produire des statistiques anonymisées d'utilisation

4. Base légale du traitement

Le traitement de vos données repose sur :

• L'exécution du contrat (CGU) pour la fourniture du service, ce qui inclut votre authentification — y compris via Google ou Apple lorsque vous choisissez ce mode de connexion
• Votre consentement pour les cookies non essentiels et les notifications marketing
• Nos obligations légales de conservation des données fiscales (Code de commerce, CGI)
• L'intérêt légitime pour la sécurité du service et la prévention de la fraude

5. Durée de conservation

• Données de compte : conservées pendant toute la durée d'existence du compte. Vous pouvez demander la suppression de votre compte et de vos données à tout moment (voir section 8)
• Données de facturation : conservées 10 ans conformément aux obligations comptables (article L123-22 du Code de commerce)
• Données d'un espace entreprise supprimé : ses contacts et ses devis sont effacés 30 jours après la suppression ; factures, avoirs, bons de commande et reçus sont conservés 10 ans.
• Données techniques (logs) : conservées pendant la durée nécessaire à la sécurité et au diagnostic du service
• Adresse IP du journal d'audit : effacée 12 mois après chaque action ; le journal, qui prouve les actions faites sur les documents, est conservé 10 ans.
• Cookies : durée maximale de 13 mois (recommandation CNIL)

6. Partage des données

Vos données ne sont jamais vendues. Elles peuvent être partagées avec :

• Nos sous-traitants techniques (liste détaillée ci-dessous)
• Les membres de votre organisation : si vous utilisez le mode entreprise
• La plateforme agréée de facturation électronique : quand vous émettez ou recevez une facture électronique, la facture complète part chez notre plateforme agréée — elle contient l'identité, l'adresse et le SIRET de votre client. C'est le mécanisme même de la facturation électronique, prévu par la loi.
• L'assistant : vos messages à l'assistant, et ce qu'il lit pour vous répondre — y compris le nom, l'e-mail et le SIRET d'un client dont vous lui parlez — sont traités par Anthropic, aux États-Unis. Si vous ne voulez pas qu'une donnée y passe, ne l'écrivez pas à l'assistant.
• Le calcul de trajets et l'aide à la saisie d'adresse : les adresses de départ et d'arrivée d'un trajet, et le texte que vous tapez dans un champ d'adresse, sont envoyés à Google (Maps et Places), aux États-Unis. La recherche d'une entreprise par son nom ou son SIREN passe, elle, par deux services publics français (annuaire des entreprises et base adresse nationale).
• Votre logiciel comptable, si vous le raccordez vous-même : Pennylane, Fulll. Il faut deux gestes de votre part, pas un : d'abord raccorder le logiciel, puis demander l'envoi d'une période. Rien ne part tant que vous ne l'avez pas demandé, et il n'y a aucun flux continu. Nous transmettons alors vos écritures comptables et les justificatifs correspondants — qui peuvent contenir les coordonnées de vos clients et de vos fournisseurs. Ces éditeurs sont des destinataires : c'est vous qui avez un contrat avec eux, et ils déterminent leurs propres finalités de traitement.
  Pour débrancher un raccordement : dans votre espace, Paramètres puis « Mon comptable » ou « Comptable de l'entreprise », partie « Logiciel comptable ». En mode entreprise, c'est le propriétaire de l'organisation qui peut le faire — comme pour le raccorder. Cette fonction n'est pas encore ouverte : aucun raccordement n'existe à ce jour.
• Les autorités compétentes : en cas d'obligation légale

Nos sous-traitants (liste à jour au 17 juin 2026) :

Transferts hors de l'Espace Économique Européen : les sous-traitants situés hors de l'EEE (Stripe, Apple, Google, Sentry) impliquent un transfert de données. Ces transferts sont encadrés par les clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914), conformément aux articles 44 à 49 du RGPD. Pour FreeTSA, seule une empreinte cryptographique non réversible est transmise (aucune donnée personnelle).

Mise à jour de la liste : tout ajout, retrait ou changement de zone d'un sous-traitant est publié ici avec une date de mise à jour. Pour les partenaires B2B (section 11), un préavis de 30 jours est notifié par e-mail avant tout changement de sous-traitant ultérieur, leur permettant de s'y opposer.

7. Sécurité des données

Nous mettons en place des mesures de sécurité appropriées :

• Chiffrement des données en transit (TLS 1.3)
• Authentification par mot de passe hashé (bcrypt)
• Hébergement sécurisé sur infrastructure dédiée en France
• Sauvegardes régulières et plan de continuité

8. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles
• Droit de rectification des données inexactes
• Droit à l'effacement (droit à l'oubli)
• Droit à la portabilité de vos données
• Droit d'opposition et de limitation du traitement
• Droit de retirer votre consentement à tout moment

Application iPhone, suivi des erreurs (Sentry) : Votre choix est conservé six mois, puis redemandé. Vous pouvez le changer à tout moment dans Compte, Confidentialité, ou, sans être connecté, par le lien « Suivi des erreurs » au bas de l'écran d'accueil.

Pour exercer ces droits, contactez-nous à : dpo@itick.fr

Vous pouvez également adresser une réclamation à la CNIL (Commission Nationale de l'Informatique et des Libertés).

9. Intelligence artificielle et OCR

ITICK utilise un service d'OCR (reconnaissance optique de caractères) pour extraire automatiquement les données de vos factures. Le traitement est identique sur tous les plans : Mistral AI (société française, données traitées dans l'Union européenne) assure l'extraction. Si ce service est momentanément indisponible, le scan est simplement reporté : aucune donnée n'est confiée à un autre prestataire.

• Aucune décision automatisée n'est prise sur la base de ces données
• Aucun profilage n'est effectué
• Vos données ne sont pas utilisées pour entraîner des modèles d'IA
• L'utilisateur reste responsable de la vérification des données extraites

10. Cookies et traceurs

Pour plus de détails sur les cookies utilisés, consultez notre Politique de Cookies.

11. Accord de traitement des données (DPA) — Partenaires B2B

Lorsqu'un partenaire (commerçant, POS, e-commerce) utilise l'API ITICK pour transmettre des données de leurs clients, ITICK agit en qualité de sous-traitant (article 28 du RGPD) et le partenaire en qualité de responsable du traitement.

Engagements d'ITICK en tant que sous-traitant :

• Traiter les données personnelles uniquement sur instruction documentée du responsable du traitement
• Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité
• Mettre en œuvre les mesures techniques et organisationnelles décrites à la section 7
• Ne pas faire appel à un autre sous-traitant sans autorisation écrite préalable
• Assister le responsable du traitement pour répondre aux demandes d'exercice des droits des personnes concernées
• Assister le responsable du traitement pour ses obligations de notification de violation (sections 11 et 12)
• Supprimer ou restituer les données personnelles au terme de la prestation, au choix du responsable du traitement
• Mettre à disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect de ces obligations

Sous-traitants ultérieurs :

• OVHcloud (hébergement applicatif + stockage S3) — France
• Mistral AI (OCR des factures, tous plans) — France / Union européenne
• Brevo (e-mails transactionnels et SMS de vérification) — France
• Stripe Payments Europe (paiements) — Irlande / États-Unis, CCT Commission européenne
• Sentry (suivi des erreurs) — région UE (Francfort), CCT Commission européenne
• Apple Push Notification service (APNs) (notifications iOS) — États-Unis, CCT Commission européenne
• Firebase Cloud Messaging (FCM) (notifications Android) — États-Unis (Google), CCT Commission européenne
• FreeTSA (horodatage RFC 3161) — Autriche (UE), seul un hash anonyme est transmis

La liste complète et à jour, avec finalité, zone de traitement et durée de conservation, est détaillée dans le tableau de la section 6.

Tout changement de sous-traitant ultérieur sera notifié aux partenaires avec un préavis de 30 jours, leur permettant de s'opposer.

Durée de conservation des données partenaires :

• Environnement sandbox : 30 jours
• Environnement production : selon la politique de rétention de l'utilisateur final, avec un minimum de 10 ans pour les données comptables

Le droit à l'effacement peut être exercé via l'endpoint API DELETE /partner/data/:userId ou par demande écrite à dpo@itick.fr.

Pour obtenir un DPA signé au format PDF, contactez dpo@itick.fr. Les conditions d'utilisation de l'API sont détaillées dans nos Conditions d'Utilisation de l'API Partenaire.

12. Notification de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, ITICK SAS s'engage à notifier la CNIL dans un délai de 72 heures (RGPD art. 33) et à vous informer dans les meilleurs délais si le risque est élevé (RGPD art. 34).

13. Contact DPO

Pour toute question relative à la protection de vos données personnelles, vous pouvez contacter notre Délégué à la Protection des Données :

Email : dpo@itick.fr