Politique de confidentialité
Version du 19 octobre 2026
1. Qui est responsable de vos données ?
Le responsable du traitement est EDJ XTECH LAW SCHOOL, S.L., société à responsabilité limitée de droit espagnol (S.L.), dont le siège est situé Calle Gomeznarro, 168, 28043 Madrid (España), immatriculée au Registro Mercantil de Madrid, tomo 45444, folio 50, sección 8, hoja M-799362, inscripción 1.ª, NIF B56240278, qui édite le site www.lefrac.fr et l’application Le Frac.
- Contact pour toute question sur vos données ou pour exercer vos droits : contact@lefrac.io
- Téléphone : +34 654 83 75 24
- Courrier : EDJ XTECH LAW SCHOOL, S.L., Calle Gomeznarro, 168, 28043 Madrid (España)
2. Ce que couvre cette politique
Elle couvre les données des visiteurs du site www.lefrac.fr, des personnes qui remplissent un formulaire (test, guide, liste d’attente, bêta privée) et des utilisateurs de l’application Le Frac, y compris lorsqu’ils se connectent avec Google, Apple ou Microsoft (section 4).
Les données que nos clients enregistrent dans l’application sur leurs propres clients et fournisseurs (factures, contacts, relances) sont traitées par Le Frac en qualité de sous-traitant, pour le compte et sur les instructions de nos clients, qui en restent responsables. Ce traitement est encadré par l’accord de traitement des données (DPA). Si vous recevez une facture ou une relance envoyée avec Le Frac, adressez vos demandes d’abord à l’entreprise qui vous l’a envoyée.
3. Données collectées, finalités, bases légales et durées de conservation
Voici la liste complète des données que nous traitons, pourquoi, sur quelle base légale et combien de temps :
| Finalité | Données | Base légale (RGPD, art. 6) | Durée de conservation |
|---|---|---|---|
| Créer et gérer votre compte, vous connecter, fournir le service | Adresse e-mail, nom et prénom, téléphone si vous le donnez, entreprise et identifiants fiscaux, paramètres et préférences (langue, notifications) ; si vous vous connectez avec Google, Apple ou Microsoft : les données décrites à la section 4 | Exécution du contrat (art. 6.1.b) | Jusqu’à la suppression du compte (immédiate depuis Sécurité › Supprimer mon compte, section 7) ; à la fin de l’abonnement, 30 jours pour exporter vos données, puis suppression, sauf obligations légales |
| Utiliser l’application : factures, avoirs, devis, relances, encaissements, notes de frais, trésorerie | Données de votre entreprise et données que vous saisissez ou importez sur vos clients et fournisseurs (nous les traitons alors comme sous-traitant, voir le DPA) | Exécution du contrat (art. 6.1.b) | Durée du compte, puis 30 jours pour exporter vos données ; ensuite suppression, sauf obligations légales |
| Envoyer les e-mails du service (lien de connexion, confirmations, notifications, factures et relances envoyées pour votre compte) | Adresse e-mail du destinataire, contenu du message, état de distribution | Exécution du contrat (art. 6.1.b) | Durée du compte, puis 30 jours ; ensuite suppression |
| Facturer l’abonnement, encaisser les paiements, tenir notre comptabilité | Identité de l’entreprise, adresse, numéro de TVA, historique de paiement ; les données de carte et de compte bancaire sont saisies chez Stripe et traitées par Stripe, jamais par nous | Obligation légale (art. 6.1.c) | 6 ans (art. 30 du Code de commerce espagnol) |
| Historique des connexions, pour la sécurité de votre compte (visible dans Sécurité) | Méthode de connexion (lien par e-mail, Google, Apple, Microsoft), date, appareil résumé (par exemple « Chrome · macOS »), pays ; ni adresse IP ni identifiant complet du navigateur | Intérêt légitime : sécurité du compte (art. 6.1.f) | 13 mois, puis suppression automatique |
| Notifications push, si vous les activez | Adresse d’abonnement et clés techniques fournies par votre navigateur, type de navigateur | Exécution du contrat (art. 6.1.b) | Jusqu’à leur désactivation ou à l’expiration de l’abonnement du navigateur, au plus la durée du compte |
| Fonctions d’intelligence artificielle de l’application (lecture des réponses aux relances, facture dictée, questions sur vos factures) | Seulement les données utiles à la fonction appelée (jamais votre e-mail, votre numéro d’entreprise ni les données reçues de Google, Apple ou Microsoft) | Exécution du contrat (art. 6.1.b) | Aucune conservation par nous ; voir les conditions du fournisseur d’IA (section 5) |
| Répondre à vos demandes, vous accompagner (support, bêta) | Nom, e-mail, téléphone, contenu des échanges | Intérêt légitime (art. 6.1.f) ou mesures précontractuelles (art. 6.1.b) | 3 ans après le dernier échange |
| Vous recontacter au sujet de nos services (formulaires du site, liste d’attente, bêta) | Nom, e-mail, téléphone, entreprise, pays, taille, outil actuel, besoins | Intérêt légitime (prospection entre professionnels, art. 6.1.f) ; vous pouvez vous y opposer à tout moment | 3 ans après le dernier contact de votre part |
| Faire fonctionner et sécuriser le site et l’application | Journaux techniques de nos hébergeurs (adresse IP, date, page ou fonction demandée) | Intérêt légitime : sécurité et prévention de la fraude (art. 6.1.f) | Durée de conservation des journaux fixée par nos hébergeurs (Vercel, Supabase) ; ils ne servent à rien d’autre |
Les champs obligatoires des formulaires sont signalés ; sans eux, nous ne pouvons pas répondre à votre demande ni ouvrir votre compte.
Nous ne vendons aucune donnée, nous ne faisons pas de publicité ciblée et le site n’utilise aucun outil de mesure d’audience ni de publicité.
4. Connexion avec Google, Apple ou Microsoft
Sur la page de connexion, vous pouvez créer votre compte ou vous connecter avec les boutons « Continuer avec Google », « Continuer avec Apple » ou « Continuer avec Microsoft », au lieu d’un lien reçu par e-mail. Ce choix est facultatif. Le fournisseur vous indique, avant votre accord, les informations qu’il transmet à Le Frac.
- Google : votre adresse e-mail (et l’indication qu’elle est vérifiée), votre nom et prénom, l’adresse de votre photo de profil si votre compte en a une, et l’identifiant de votre compte Google. Nous demandons uniquement les autorisations de base « openid », « email » et « profile ». Nous n’avons accès à aucune autre donnée de votre compte Google (Gmail, Drive, Agenda, Contacts ou autre).
- Apple : votre adresse e-mail ou, si vous choisissez « Masquer mon adresse e-mail », une adresse relais fournie par Apple (se terminant par @privaterelay.appleid.com) qui vous transfère nos e-mails ; l’identifiant de votre compte Apple ; votre nom seulement si Apple le transmet.
- Microsoft : votre adresse e-mail, votre nom et l’identifiant de votre compte Microsoft (autorisations « openid », « email » et « profile »).
Utilisation : ces informations servent uniquement à vous authentifier, à créer et sécuriser votre compte, et à vous identifier dans l’application (adresse e-mail du compte, prénom dans l’accueil et dans les e-mails du service). La photo de profil n’est ni affichée ni utilisée. Base légale : exécution du contrat (RGPD, art. 6.1.b).
Ce que nous ne faisons pas : nous ne vendons pas ces informations ; nous ne les partageons avec personne, hormis Supabase, notre sous-traitant qui gère l’authentification et la base de données (section 5) ; nous ne les utilisons ni pour de la publicité, ni pour du profilage, ni pour évaluer une solvabilité ; nous ne les transmettons pas aux fonctions d’intelligence artificielle et ne les utilisons pas pour développer, améliorer ou entraîner des modèles d’intelligence artificielle. L’accès de notre équipe est limité à l’administration du service (gestion des comptes, support à votre demande, sécurité) et aux obligations légales.
Conservation : tant que votre compte existe ; elles sont supprimées avec lui (section 3).
Suppression et retrait de l’accès : vous pouvez supprimer à tout moment votre compte, et avec lui les informations reçues du fournisseur, depuis l’application (Sécurité › Supprimer mon compte), voir la section 7. Vous pouvez aussi retirer l’accès de Le Frac depuis les paramètres de sécurité de votre compte Google, Apple ou Microsoft ; vous pouvez ensuite continuer à vous connecter par lien e-mail.
Google : l’utilisation et le transfert à toute autre application, par Le Frac, des informations reçues des API Google respectent la politique Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences de « Limited Use » (https://developers.google.com/terms/api-services-user-data-policy#limited-use). En anglais : « Le Frac’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. »
5. Destinataires et sous-traitants
Vos données ne sont ni vendues ni cédées. Elles sont accessibles à notre équipe, dans la limite de ses besoins, et à nos sous-traitants, liés par un contrat conforme à l’article 28 du RGPD, chacun pour son rôle :
| Sous-traitant | Rôle | Lieu de traitement |
|---|---|---|
| Supabase Pte. Ltd. | Base de données, authentification (dont la connexion avec Google, Apple ou Microsoft), stockage des fichiers | Union européenne (Francfort) ; support possible depuis Singapour et les États-Unis |
| Vercel Inc. | Hébergement du site et de l’application | Application exécutée dans l’Union européenne (Francfort) ; pages et fichiers publics diffusés par le réseau mondial de Vercel |
| Resend (Plus Five Five, Inc.) | Envoi des e-mails (lien de connexion, confirmations, relances, notifications) | États-Unis |
| Stripe | Paiement de l’abonnement et paiement en ligne des factures | Union européenne et États-Unis (Stripe, LLC) |
| Google (API Gemini) ou Anthropic Ireland, Limited (API Claude), selon le fournisseur utilisé | Intelligence artificielle (fonctions listées à la section 3). Pour Google, les conditions de l’API Gemini applicables aux utilisateurs de l’Espace économique européen excluent l’utilisation des contenus pour améliorer ses produits ; les conditions commerciales d’Anthropic interdisent d’entraîner ses modèles sur les contenus des clients | Hors de l’Union européenne possible (section 6) |
| Plateformes de facturation électronique : Super PDP, Iopole, B2Brouter, Invopop ou Storecove, selon votre pays et le réseau utilisé | Transmission et réception des factures électroniques, si vous utilisez cette fonction | Selon la plateforme (voir ses conditions) |
| ImprovMX Incorporated | Redirection des e-mails adressés à une adresse @lefrac.fr | États-Unis |
| Namecheap, Inc. | Redirection des e-mails adressés à une adresse @lefrac.io (dont celle du contact) | États-Unis |
| OVHcloud, Merci Facteur, AR24 | Envoi de SMS, de courriers papier et de lettres recommandées électroniques, si vous utilisez ces fonctions | France |
Si vous connectez un logiciel comptable (par exemple Pennylane, Xero ou QuickBooks), les données échangées le sont à votre demande, avec ce logiciel, selon ses propres conditions. Si vous activez les notifications push, elles sont acheminées, chiffrées, par le service de notification de votre navigateur.
6. Transferts hors de l’Union européenne
Certains sous-traitants sont établis ou traitent des données hors de l’Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework) lorsque le destinataire y est certifié — c’est le cas, selon leurs politiques publiées, de Vercel Inc. et de Stripe —, ou à défaut par les clauses contractuelles types de la Commission européenne (RGPD, art. 46).
Vous pouvez obtenir une copie de ces garanties en écrivant à contact@lefrac.io.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (y compris, sans motif, à la prospection), ainsi que du droit de retirer à tout moment un consentement donné. Si vous résidez en France, vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Suppression du compte : vous pouvez supprimer votre compte vous-même, à tout moment, depuis Sécurité › Supprimer mon compte dans l’application. Après une reconnexion de moins de 10 minutes et une confirmation, la suppression est immédiate : votre compte, vos identifiants de connexion (Google, Apple, Microsoft, double authentification), vos préférences, votre historique de connexions, vos notifications, vos coordonnées bancaires de remboursement et vos retours sur le site sont effacés, et vous êtes retiré de toutes vos entreprises ; un e-mail de confirmation vous est envoyé. Si vous êtes le seul propriétaire d’une entreprise, vous transférez d’abord sa propriété à un autre membre ou vous la fermez : son abonnement est alors résilié immédiatement, sans remboursement automatique, et ses connexions et tâches automatiques sont arrêtées.
Ce qui est conservé, au titre d’une obligation légale (RGPD, art. 17.3.b) : les factures émises et reçues, avoirs, données d’e-reporting, registres et pièces comptables des entreprises, sans lien avec votre personne (les actions que vous y avez faites restent, sans auteur ; le journal d’audit chaîné de l’entreprise, non modifiable, garde ses événements sous un identifiant technique qui ne renvoie plus à aucun compte, ainsi que l’adresse e-mail citée dans les invitations et changements de rôle). Pour une entreprise fermée, ces pièces restent en archive pendant la durée légale de conservation de son pays (10 ans en France, C. com. art. L123-22 ; 6 ans en Espagne, Código de Comercio art. 30), comptée à partir du 31 décembre de l’année qui suit la fermeture, puis sont supprimées ; un lien valable 30 jours, envoyé dans l’e-mail de confirmation, permet de les télécharger. Les factures de votre abonnement à Le Frac restent conservées 6 ans (section 3).
Pour exercer vos autres droits, écrivez à contact@lefrac.io. Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous pouvons vous demander de justifier de votre identité en cas de doute.
8. Réclamation auprès d’une autorité
Vous pouvez introduire une réclamation auprès d’une autorité de contrôle, notamment :
- en Espagne, où est établi l’éditeur : l’Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es ;
- en France : la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr ;
- ou l’autorité du pays où vous résidez ou travaillez.
10. Sécurité
Les échanges sont chiffrés (HTTPS). L’accès aux données est cloisonné par entreprise au niveau de la base de données, les secrets de connexion aux services tiers sont chiffrés, et l’accès de l’équipe est limité au nécessaire.
11. Modifications
Nous pouvons modifier cette politique ; la date de version figure en haut de la page. En cas de changement important, les utilisateurs de l’application sont prévenus par e-mail ; si nous voulions utiliser les informations reçues de Google, Apple ou Microsoft autrement que décrit à la section 4, nous vous demanderions d’abord votre accord.