Qui traite vos données ?
Samuel Gabillard EI (SOGYO LABS), éditeur de Yakafa (coordonnées dans les mentions légales), intervient à deux titres :
- Responsable de traitement pour les données de votre compte : identité, connexion, offre, sécurité, échanges avec nous.
- Sous-traitant, au sens de l'article 28 du RGPD, pour les données que vous saisissez sur vos clients et fournisseurs (factures, devis, justificatifs). Vous en restez responsable ; nous les traitons uniquement pour vous fournir le service, selon les engagements des conditions générales.
Données traitées, finalités et bases légales
| Données | Pourquoi | Base légale |
|---|---|---|
| Email, nom, mot de passe (stocké haché, jamais en clair) | Créer et sécuriser votre compte | Exécution du contrat |
| Connexion avec Google, si vous la choisissez : identifiant de votre compte Google, email (vérifié par Google), prénom et nom | Vous connecter ou créer votre compte sans mot de passe. Nous ne recevons ni votre mot de passe Google, ni vos contacts, ni aucune autre donnée de votre compte Google | Exécution du contrat, à votre demande |
| Entreprise : SIRET, adresse, TVA, IBAN, description de l'activité | Émettre vos factures et devis, rédiger des propositions par IA | Exécution du contrat |
| Factures, devis, recettes, dépenses, justificatifs, clients et fournisseurs | Fournir le service (en tant que sous-traitant) | Vos instructions, en exécution du contrat |
| Devis signés sur place : nom du signataire, tracé de sa signature, date, et position de l'appareil si elle est disponible | Prouver l'accord du client sur le devis présenté | Exécution du contrat ; vos instructions (sous-traitant) |
| Rendez-vous réservés en ligne chez un artisan : nom, téléphone, email, adresse de l'intervention, demande | Permettre la réservation, la confirmer et la rappeler (pour le compte de l'artisan) | Instructions de l'artisan (sous-traitant), exécution de la demande du client |
| Demandes d'assistance : nom, email, message, et le compte concerné si vous êtes connecté | Répondre à votre demande et en garder la trace | Intérêt légitime (traiter vos demandes) ; exécution du contrat pour les clients |
| Applications mobiles : type et nom de l'appareil, dates de connexion | Vous garder connecté, déconnecter un appareil perdu | Exécution du contrat |
| Banque connectée (si vous l'activez) : comptes, soldes et opérations des 90 derniers jours, puis au fil de l'eau | Rapprocher vos encaissements et dépenses de vos factures et justificatifs | Exécution du contrat, avec votre consentement donné à votre banque |
| Journal de sécurité : actions sensibles, adresse IP, navigateur | Prévenir l'usurpation et la fraude, prouver les opérations | Intérêt légitime (sécurité du service) |
| Acceptation d'un devis en ligne : nom, email, date, adresse IP, empreinte du document | Prouver l'accord du client | Intérêt légitime (preuve du contrat) |
| Consommation de l'IA (nombre d'appels, volume traité) | Appliquer les quotas de votre offre, maîtriser les coûts | Exécution du contrat |
Nous ne vendons aucune donnée et n'utilisons aucun outil de publicité. Si vous l'acceptez, une mesure d'audience (Google Analytics) porte sur les pages publiques du site, jamais sur votre espace client.
Intelligence artificielle
Quand vous utilisez une fonction d'IA (rédaction de facture ou de devis, lecture d'un justificatif), les éléments nécessaires sont transmis au modèle Claude d'Anthropic : la consigne, les lignes de vos documents précédents, votre catalogue, ou la photo du justificatif (débarrassée de sa position GPS). Un brief vocal est d'abord transcrit en texte par Mistral AI (modèle Voxtral, traitement en Europe), puis traité comme un brief écrit. Ces prestataires traitent les données pour produire la réponse demandée ; Anthropic ne les utilise pas pour entraîner ses modèles, selon ses conditions commerciales, et Mistral AI applique les conditions de son offre professionnelle d'API. Aucune proposition de l'IA n'est enregistrée ni envoyée sans votre validation.
Destinataires et sous-traitants
| Prestataire | Rôle | Localisation |
|---|---|---|
| UAB Cherry Servers | Hébergement de l'application, de la base de données et des justificatifs | Allemagne (Francfort) |
| Openapi S.p.A. | Transmission des factures sur le réseau Peppol, annuaire national de la facturation électronique | Italie (Union européenne) |
| Anthropic, PBC | Fonctions d'intelligence artificielle | États-Unis : transfert encadré par les clauses contractuelles types de la Commission européenne |
| Yapily | Accès en lecture à vos comptes bancaires, si vous connectez une banque (prestataire agréé d'accès aux comptes) | Royaume-Uni et Union européenne |
| Google Ireland Ltd | Mesure d'audience des pages publiques (Google Analytics), seulement si vous l'acceptez | Union européenne et États-Unis : transfert encadré par le cadre de protection des données UE–États-Unis |
| Stripe Payments Europe Ltd | Paiement de l'abonnement : nom, email, adresse de facturation, n° de TVA ; la carte bancaire n'est connue que de Stripe | Irlande (Union européenne) ; transferts vers les États-Unis encadrés par les clauses contractuelles types |
| Google Ireland Ltd | Connexion avec Google, seulement si vous la choisissez : Google nous confirme votre identité et votre email | Union européenne et États-Unis : transfert encadré par le cadre de protection des données UE–États-Unis |
| Mistral AI | Transcription des briefs vocaux | France (Union européenne) |
| API Recherche d'entreprises (État français) | Retrouver une entreprise à partir de son SIRET (données publiques) | France |
| Géoplateforme de l'IGN (État français) | Suggestions d'adresse pendant la saisie, zone d'intervention et temps de trajet du planning : l'adresse saisie, sans autre donnée | France |
Les destinataires de vos factures et devis (vos clients) reçoivent bien sûr les informations qui y figurent. L'administration fiscale peut en recevoir certaines au titre de la réforme de la facturation électronique.
Durées de conservation
- Compte et documents : tant que le compte est ouvert. Vous pouvez le supprimer vous-même depuis vos préférences ; tout est alors effacé.
- Sessions des applications mobiles : 90 jours au plus, ou jusqu'à la déconnexion.
- Demandes d'assistance : trois ans après leur envoi.
- Vos factures doivent être conservées dix ans (art. L. 123-22 du Code de commerce) : exportez-les avant de clôturer votre compte.
- Journal de sécurité : trois ans, puis suppression automatique.
- Preuve d'acceptation d'un devis : conservée avec le devis, tant que celui-ci existe.
- Liens de vérification d'email : quarante-huit heures ; codes d'acceptation de devis : quinze minutes.
Sécurité
Connexions chiffrées (HTTPS), mots de passe hachés (Argon2id), justificatifs inaccessibles sans session, IBAN masqué dans les journaux, accès d'administration limités. Une vérification manuelle des comptes précède le premier envoi de facture, contre l'usurpation d'identité d'entreprise.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, et pouvez définir des directives sur le sort de vos données après votre décès. Écrivez à dpo@yakafa.fr ; nous répondons sous un mois. Vous pouvez aussi saisir la CNIL (cnil.fr).
Si vous êtes le client d'un utilisateur de Yakafa (vous avez reçu une facture ou un devis), adressez-vous d'abord à lui : il est responsable de ces données. Nous l'aiderons à vous répondre.
Cookies et stockage local
| Nom | Finalité | Durée |
|---|---|---|
| Cookie de session | Vous garder connecté, en toute sécurité (inaccessible aux scripts) | 7 jours |
| Préférence de thème (stockage local) | Retenir le mode clair ou sombre | Jusqu'à effacement |
| État du menu (stockage local) | Retenir le menu replié ou déplié | Jusqu'à effacement |
| Choix de consentement (stockage local) | Retenir vos choix sur les traceurs, et leur date | 6 mois |
| Cookies de connexion avec Google | Sécuriser le retour depuis Google (anti-falsification) et retenir votre identité Google le temps de finir l'inscription ; posés seulement si vous cliquez sur « Continuer avec Google » | 10 à 30 minutes |
_ga, _ga_* (Google Analytics) | Mesure d'audience des pages publiques : distinguer les visiteurs et leurs visites. Seulement si vous l'acceptez. | 13 mois |
Tous, sauf le dernier, sont strictement nécessaires au service ou à vos réglages : la loi ne requiert pas votre consentement. Aucun cookie publicitaire n'est déposé ; les signaux publicitaires de Google Analytics sont désactivés.
Les cookies de mesure d'audience ne sont déposés qu'après votre accord préalable, recueilli par un bandeau où refuser est aussi simple qu'accepter. Votre choix est conservé 6 mois, puis redemandé ; vous pouvez le modifier à tout moment : .