1. Définitions

Les termes suivants sont définis selon le RGPD (Règlement UE 2016/679) :

• Données Personnelles : toutes informations qui permettent, sous quelque forme que ce soit, l'identification des personnes physiques auxquelles elles s'appliquent. Est réputée identifiable une personne physique qui peut être identifiée notamment par référence à un nom, un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
• Personnes concernées : personnes qui peuvent être identifiées, directement ou indirectement dans le cadre des activités de la Société (activité commerciale, marketing, relation client, etc.), c'est-à-dire l'ensemble des Utilisateurs, Clients et Prospects de My Autonomy.
• Responsable de traitement : organisme qui – seul ou conjointement avec d'autres – détermine le "pourquoi" et le "comment" de traitement de données, c'est-à-dire sa finalité (objectifs poursuivis) et ses moyens (conditions de mises en œuvre, notamment sur le plan technique, matériel et organisationnel).
• Sous-traitant : organisme qui traite des données pour le compte et sur instruction d'un autre organisme, Responsable de traitement.
• Traitement de Données Personnelles : toute opération appliquée à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.

2. Responsable de traitement

Autonomy Nexus SAS est responsable de traitement au sens de l'article 4 du RGPD.

3. Données collectées

• Données d'identification : nom et prénom ; adresse e-mail ; mot de passe ; numéro de téléphone ; image de profil ; préférences utilisateur (langue, thème).
• Données de connexion : pays, région et ville de connexion ; adresse IP ; logs de connexion ; identifiants de session ; user-agent ; géolocalisation ; empreinte digitale de l'appareil.
• Données d'entreprise : dénomination sociale et nom commercial ; numéro SIREN et NIC ; numéro de TVA ; code NAF/APE ; statut juridique (EURL, SASU, etc.) ; régime fiscal ; adresse du siège social ; logo d'entreprise ; configuration de l'exercice fiscal.
• Données bancaires et financières : coordonnées bancaires (IBAN, BIC, nom de la banque) ; données de transactions bancaires récupérées via l'agrégateur Bridge API ; historique des paiements et encaissements ; catégorisation des dépenses.
• Données d'activité professionnelle : saisies de temps et descriptions de tâches ; périodes de congés ; rapport d'activités ; facturation et données de revenus ; informations sur les clients et organisations.
• Données de contacts professionnels : informations sur les organisations clientes (nom, SIREN, numéro TVA) ; contacts professionnels (noms, e-mails, téléphones) ; adresses de facturation.
• Données de documents : factures PDF générées ; déclarations fiscales ; justificatifs de dépenses ; fichiers importés.

Bien que présentant une sensibilité particulière, les données financières et bancaires ne font pas partie des données dites "sensibles" du point de vue des libertés et des droits fondamentaux (article 9 du RGPD). Si ces données doivent faire l'objet de garanties appropriées en raison de leur nature particulière, leur traitement n'est néanmoins pas soumis à des règles spécifiques dans le cadre de la réglementation européenne sur la protection des données.

4. Finalités et fondements juridiques

5. Destinataires

Les destinataires de vos Données Personnelles au sein de la Société sont soumis à une obligation de confidentialité spécifique. La Société décide quel destinataire est habilité, en interne, à recevoir des données.

La politique d'habilitation est régulièrement mise à jour et tient compte des arrivées et des départs des salariés de la Société ayant accès aux données. Si un salarié se rend compte qu'il dispose d'un accès à des données auxquelles il ne devrait pas avoir accès, il a pour obligation de prévenir sans délai le service compétent. Tous les accès concernant des traitements relatifs aux Données Personnelles font l'objet d'une mesure de traçabilité.

Destinataires internes

• Personnel technique, support client et administratif autorisé
• Personnel chargé du contrôle et de la sécurité

Par ailleurs, vos Données Personnelles peuvent être transmises à des fournisseurs de services tiers qui sont tenus de les utiliser dans le cadre des seules missions que la Société leur a confiées, notamment :

Destinataires externes

• Pour la mise en œuvre de la synchronisation bancaire, la Société est en relation avec une société financière avec laquelle elle a passé une convention de partenariat spécifique
• Lorsque la Société recourt à des sous-traitants et contractants indépendants pour l'accompagner dans la fourniture de services : plateforme de messagerie client, statistiques, gestion et hébergement de données, services de paiement, etc. Ces prestataires disposent d'un accès limité aux données dans le cadre de la stricte exécution de ces prestations
• Les organismes, les auxiliaires de justice et les officiers ministériels, dans le cadre de leur mission de recouvrement de créances
• Lorsque la Personne concernée autorise le site web d'un tiers à accéder à ses données

Dans ce contexte, la Société s'assure que la sécurité de vos données est préservée via un contrôle strict :

• Dans le cas où des informations personnelles sont transférées au sein de l'Union européenne, la Société s'assure de l'adhésion de ces fournisseurs aux principes du RGPD
• Dans le cas où des informations personnelles sont transférées en dehors de l'Union européenne, la Société s'assure que le pays tiers concerné dispose d'un niveau de protection jugé adéquat par la réglementation européenne

Vos Données Personnelles pourront aussi être communiquées à toute autorité légalement habilitée à en connaître. La Société peut notamment effectuer la transmission de données pour donner suite aux réclamations présentées contre elle et se conformer aux procédures administratives et judiciaires. Dans ce cas, la Société n'est pas responsable des conditions dans lesquelles les personnels de ces autorités ont accès et exploitent vos données.

6. Durées de conservation

Les durées de conservation respectent les obligations légales françaises et européennes :

Durées par catégorie

• Données relatives aux Utilisateurs et Clients (identification, données web, suivi relation client) : Conservées toute la durée d'ouverture du compte et jusqu'à 90 jours après. Cette durée peut être augmentée de 3 ans à des fins d'animation et de prospection et de 5 ans en archive à compter de la suppression du compte ou désabonnement.
• Données relatives aux Prospects (identification et données web) : Conservées pour une durée maximum de 3 ans à compter de leur collecte ou du dernier contact émanant du Prospect.
• Données techniques (connexion et cookies) : Les données de connexion (adresses IP et logs) sont conservées pour une durée d'un an à compter de la dernière connexion. Les cookies peuvent être conservés pour une durée de 13 mois à compter de la dernière manifestation du consentement.
• Données bancaires (synchronisation des comptes et historiques) : La collecte des transactions bancaires est confiée à un prestataire de synchronisation bancaire qui en assure l'hébergement et la sécurité. Il recueille et conserve en notre nom les données relatives aux transactions bancaires pendant le temps de votre utilisation. Nous n'avons jamais accès aux données d'identification à l'interface bancaire.
• Données d'entreprise et fiscales : Conservées conformément aux obligations comptables et fiscales françaises, soit 6 ans minimum après la fin de l'exercice fiscal concerné (article L123-22 du Code de commerce).
• Documents comptables (factures, justificatifs) : Conservés pendant 6 ans minimum conformément aux obligations de conservation des pièces comptables.

Passé ces délais, les données sont supprimées définitivement ou anonymisées. La suppression est irréversible.

7. Sécurité

My Autonomy garantit un niveau de sécurité adapté aux risques (article 32 du RGPD).

Mesures organisationnelles

• Formation du personnel à la sécurité des données
• Accès limité selon le principe du moindre privilège
• Politique de non-revente des données
• Audit et traçabilité des accès

Mesures techniques

• Authentification forte (OTP, passkeys/WebAuthn)
• Chiffrement des données au repos et en transit (HTTPS/TLS)
• Isolation des données par utilisateur (RLS)
• Sauvegardes chiffrées
• Surveillance des accès et détection d'anomalies
• Protection DDoS
• Stockage sécurisé des documents
• Suppression sécurisée irréversible

8. Vos droits

Vous disposez des droits suivants :

• Droit d'accès (article 15 du RGPD) : Vous pouvez connaître les Données Personnelles vous concernant et obtenir une copie de celles-ci.
• Droit de rectification (article 16 du RGPD) : Vous pouvez demander la correction des données inexactes. Les modifications de confort peuvent être effectuées directement dans les paramètres de votre compte.
• Droit de suppression (article 17 du RGPD) : Vous pouvez demander l'effacement de vos données, sous réserve des obligations légales de conservation (comptabilité, fiscalité).
• Droit à la limitation du traitement (article 18 du RGPD) : Vous pouvez demander la limitation du traitement de vos données dans certaines circonstances.
• Droit d'opposition (article 21 du RGPD) : Vous pouvez vous opposer au traitement de vos données pour des motifs légitimes.
• Droit à la portabilité (article 20 du RGPD) : Vous pouvez récupérer vos données dans un format structuré pour les transmettre à un autre service.
• Droit de retirer votre consentement : Pour les traitements basés sur le consentement (notamment la synchronisation bancaire), vous pouvez retirer votre consentement à tout moment.

Exercer vos droits : Via les paramètres de votre compte ou notre support client. Réponse sous un mois.

9. Contact

Pour toute question relative à cette politique ou à l'exercice de vos droits : support intégré dans l'application ou par e-mail.

Déléguée à la protection des données : privacy@myautonomy.fr

Informations générales RGPD : https://www.cnil.fr

10. Conditions d'application

L'utilisation de My Autonomy vaut acceptation de cette politique. Modifications communiquées via l'application et/ou par e-mail.

Version en vigueur : 01/08/2025