Politique de confidentialité

Le responsable du traitement est Steven Fadier, personne physique qui édite Kipaye à titre personnel pendant sa phase de bêta.

Pour toute question sur vos données, écrivez à contact@kipaye.fr.

Kipaye intervient à deux titres différents :

• Pour vos propres données (votre compte, votre entreprise, votre utilisation du service), Kipaye est responsable du traitement : cette politique s’applique.
• Pour les données de vos clients (noms, adresses, e-mails, téléphones saisis dans vos fiches, devis et factures, dont les contacts de chaque client, ainsi que leurs réponses aux devis que vous leur envoyez), c’est vous qui en êtes responsable : vous décidez de ce que vous enregistrez et pourquoi. Kipaye agit comme sous-traitant, uniquement pour faire fonctionner le service, dans les conditions prévues par les conditions générales d’utilisation.

Il vous appartient d’informer vos clients de l’usage que vous faites de leurs données, dans vos propres documents.

Kipaye collecte seulement ce qui sert à faire fonctionner le service :

• Votre compte : adresse e-mail, nom, mot de passe (enregistré sous forme hachée, jamais en clair), dates de création, de dernière connexion et de dernière activité, date et version des CGU et de la politique de confidentialité que vous avez acceptées. Si vous vous connectez avec Google, Kipaye reçoit de Google votre adresse e-mail, votre nom et votre photo de profil.
• Votre entreprise : raison sociale, SIRET, forme juridique, activité, adresse, e-mail et téléphone professionnels, régime et numéro de TVA, nature de vos opérations, assurance professionnelle (assureur, coordonnées, couverture) et son attestation (le fichier que vous déposez, joint à vos devis et factures et consultable par vos clients depuis le lien du devis ; chaque document envoyé garde la sienne) et sa date de fin de validité, qui sert à vous rappeler son échéance (l’attestation est lue sur votre appareil pour vous proposer ces valeurs : son contenu n’est envoyé à personne, sauf le numéro d’entreprise de l’assureur qui y est imprimé, cherché dans l’annuaire public des entreprises pour retrouver son nom et son siège), mentions propres à votre métier (carte professionnelle, ORIAS, agrément…, imprimées sur vos devis et factures), déclaration et agrément de services à la personne, logo, réglages de vos cotisations URSSAF (activité déclarée, rythme de déclaration, date de début d’activité, ACRE, versement libératoire, département) — saisis par vous ou repris des données publiques d’entreprise à partir de votre SIRET.
• L’attestation sur votre entreprise : quand vous indiquez votre entreprise, à l’inscription puis à chaque changement de SIRET, vous attestez en être le dirigeant ou être mandaté pour facturer en son nom. Kipaye enregistre la date et l’heure, le SIRET, le texte attesté, votre adresse e-mail, l’adresse IP et le navigateur utilisés, ainsi que les dirigeants que l’annuaire public des entreprises indiquait à ce moment (nom, prénoms et qualité, jamais leur date de naissance).
• Les justificatifs, seulement si Kipaye vous les demande : en cas de doute sur votre droit d’agir pour l’entreprise, un extrait Kbis ou du Registre national des entreprises, une pièce d’identité du dirigeant, votre mandat de facturation, nos échanges et le motif de la décision prise. Si vous transmettez la pièce d’identité de votre dirigeant, prévenez-le : ces informations valent aussi pour lui.
• Ce que vous saisissez : vos fiches clients, vos devis et leurs lignes, votre catalogue de prestations, montants, taux de TVA et remises, vos modèles de conditions particulières, vos notes et leurs dossiers (avec le client, le devis ou la facture auxquels vous les rattachez). Pour vous proposer un catalogue de départ : votre métier et vos réponses à quelques questions (types de prestations, façon de facturer, déplacements), ainsi que les suggestions que vous avez écartées. Elles servent seulement à choisir les lignes proposées.
• Vos réglages : vos choix de notifications et la disposition de votre tableau de bord (widgets affichés, leur place et leur taille).
• Les devis que vous envoyez et les réponses de vos clients : adresses auxquelles le devis part, date d’envoi, jour de première ouverture du lien (son heure ne figure que sur le certificat de signature d’un devis accepté), réponse (acceptation, refus avec son motif, demande de modification avec son message, rétractation d’un client particulier avec son nom, son adresse e-mail, son message éventuel et le navigateur utilisé, ou date de réception d’une rétractation que vous enregistrez). Pour une acceptation, la preuve de signature : nom saisi par le signataire, adresse e-mail à laquelle le code de vérification a été envoyé, heure de vérification, empreinte du devis et navigateur utilisé. Aucune adresse IP n’est enregistrée avec la réponse. Ces éléments figurent sur un certificat de signature, en dernière page du PDF du devis accepté : ce PDF est conservé avec le devis et envoyé en pièce jointe à votre client et à vous. Votre client est prévenu, dans l’e-mail et sur la page du devis, que vous saurez le jour où il l’a consulté ; il peut le refuser d’un clic (« Ne pas signaler ma consultation ») : la date est alors effacée et ne sera plus enregistrée. Ces données concernent vos clients : Kipaye les traite pour votre compte.
• Les factures que vous envoyez : chaque e-mail de facture (envoi, renvoi, relance) contient un lien « Voir la facture », et la facture reste jointe en PDF. Nous gardons le jour où votre client a consulté la facture en ligne, sans l’heure, sans adresse IP ni navigateur, et seulement pour vous le montrer (fiche, liste, notification). Votre client en est prévenu dans l’e-mail, avant de cliquer, et peut le refuser depuis la page de la facture (« Ne pas signaler ma consultation ») : la date est alors effacée et ne sera plus enregistrée. Aucun pixel de suivi n’est placé dans les e-mails. Ces données concernent vos clients : Kipaye les traite pour votre compte, sans s’en servir pour ses propres statistiques.
• Les e-mails envoyés pour vos documents : pour chaque devis, facture ou avoir envoyé, relancé ou confirmé à votre client, la date et les adresses des destinataires que vous avez choisis, pour l’historique du document et l’export « Mes données ». Ces données concernent vos clients : Kipaye les traite pour votre compte.
• Votre relecture avant chaque envoi : quand vous cochez « J’ai relu ce document » avant d’envoyer un devis, une facture ou un avoir, la date et l’heure, le document (numéro et version) et le texte que vous avez coché.
• Les relances de vos factures : pour chaque rappel envoyé à votre client, sa date, l’adresse à laquelle il est parti et s’il a été envoyé par vous ou automatiquement (si vous avez activé les relances automatiques, désactivées par défaut).
• Votre offre : offre utilisée et, quand les offres payantes ouvriront, dates d’abonnement et factures. Le paiement sera traité par Stripe : Kipaye ne voit ni ne conserve votre numéro de carte.
• Données techniques : journaux d’accès et d’erreur, adresse IP, navigateur, et des compteurs de tentatives (adresse IP, e-mail haché ou lien de devis, tenus chez Upstash) pour bloquer les essais de mot de passe ou de code en série, et les résultats des recherches d’entreprise (SIRET, registre de l’INPI), d’adresse, de lieu et de numéro de TVA, gardés 24 heures pour répondre plus vite. Quand une page plante, un rapport d’erreur : page concernée (sans paramètres ni lien de devis), navigateur, message et origine technique de l’erreur, sans votre nom, votre e-mail, votre adresse IP ni le contenu de vos documents. Quand une action échoue pour une raison technique (envoi d’un e-mail, création d’un PDF, enregistrement), le rapport précise l’écran et l’action en cause, le statut du document, votre régime de TVA, le type de client (entreprise ou particulier), votre offre et si votre inscription est terminée, toujours sans nom, e-mail, montant ni contenu. Quand vous signalez une erreur avec « Nous écrire », la référence de ce rapport est jointe à votre demande.
• Invitation à la bêta : l’adresse e-mail à laquelle vous avez été invité, pour n’ouvrir l’inscription qu’aux personnes invitées.
• Questions posées dans l’aide en ligne : quand l’aide intégrée ne trouve pas de réponse à votre recherche, le texte de votre question est enregistré, pour repérer les sujets à ajouter à l’aide.
• Demandes au support : quand vous nous écrivez avec « Nous écrire », votre message, son type (question, bug…) et des informations jointes automatiquement pour comprendre votre demande : la page où vous étiez, les dernières pages visitées, l’erreur affichée le cas échéant, votre navigateur et votre offre. Quand une action échoue, « Signaler ce problème » joint en plus l’action en cause et la référence du rapport d’erreur. Sans compte (un client qui ouvre le lien d’un devis, une personne qui n’arrive pas à se connecter), on peut aussi nous signaler un problème : Kipaye garde alors le message, les mêmes informations jointes et, seulement si elle est indiquée, l’adresse e-mail laissée pour recevoir une réponse. Ces demandes ne sont rattachées à aucun compte.
• Signalement d’usurpation : sans compte, depuis la page « Signaler une usurpation », vous nous indiquez l’entreprise concernée (son SIRET, dont nous lisons le nom dans l’annuaire public), vos nom et prénom, votre adresse e-mail, ce que vous avez constaté et, si vous le souhaitez, une pièce justificative. Le signalement ne nous parvient qu’après la confirmation de votre adresse par le lien reçu ; il n’est rattaché à aucun compte et l’entreprise visée n’en reçoit aucune copie.
• Mesure d’audience et de performance : pour chaque page vue, son adresse sans les identifiants (numéros et liens de vos documents), la page d’où vous venez, le type d’appareil, le navigateur, le pays et les temps de chargement ; si vous arrivez par un lien suivi, la source et la campagne indiquées dans ce lien (par exemple « instagram », « bio »). Aucun cookie n’est posé et rien n’est enregistré dans votre navigateur ; ni votre nom, ni votre e-mail, ni votre compte ne sont transmis.
• Demande d’accès à la bêta : avant d’avoir un compte, si vous demandez votre accès à la bêta, votre adresse e-mail, votre métier (et sa précision si vous choisissez « Autre »), la date de votre accord, le bouton utilisé et, si vous êtes arrivé par un lien suivi, la source et la campagne de ce lien. Votre métier sert à vérifier que Kipaye est prêt pour les règles de votre activité avant de vous inviter.

L’adresse e-mail est indispensable pour créer un compte : sans elle, Kipaye ne peut pas vous ouvrir l’accès. Kipaye ne collecte pas de données sensibles et n’achète aucun fichier de contacts.

Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires. Kipaye ne prend aucune décision automatisée qui produirait des effets juridiques à votre égard.

Vous devez conserver vous-même vos factures pendant dix ans : cette obligation comptable est la vôtre, pas celle de Kipaye. Téléchargez vos documents avant de supprimer votre compte. Les copies de sauvegarde techniques disparaissent ensuite au fil de leur rotation.

Kipaye s’appuie sur des prestataires qui agissent comme sous-traitants, sur instruction et sans usage propre de vos données :

Deux services agissent aussi pour leur propre compte :

• Google, si vous choisissez de vous connecter avec votre compte Google : Google traite cette connexion selon sa propre politique de confidentialité.
• Stripe, pour la lutte contre la fraude et ses obligations financières, en tant que responsable de traitement distinct.

Quand vous cherchez une entreprise (la vôtre, un client professionnel ou votre assureur), le nom ou le SIRET saisi est envoyé à l’API Recherche d’entreprises de l’État (recherche-entreprises.api.gouv.fr), qui renvoie les données publiques de l’entreprise. La liste des médiateurs de la consommation proposée est une copie de la liste publique de la CECMC, consultée sans rien envoyer. Quand vous attestez être dirigeant ou mandaté, Kipaye relit votre SIRET auprès de la même API et garde, avec votre attestation, les dirigeants qu’elle publie (nom, prénoms et qualité). Ces personnes peuvent exercer auprès de Kipaye les droits décrits plus bas, dont le droit de s’opposer à ce traitement.

Quand vous cherchez une adresse (fiche client, adresse de livraison ou du chantier), le texte saisi est envoyé à la Base Adresse Nationale de l’État (api-adresse.data.gouv.fr). Pour vous proposer aussi des lieux et des établissements (un parc, un club, un commerce), il est envoyé à l’API Recherche d’entreprises de l’État et à Photon, un moteur de recherche de lieux bâti sur les données OpenStreetMap et exploité par Komoot GmbH sur des serveurs en Allemagne (UE). Seul le texte tapé part, sans votre nom ni rien de votre compte. Les compléments (bâtiment, étage, appartement) en sont retirés.

Les justificatifs et le dossier de vérification ne sont consultés que par l’éditeur de Kipaye. Ils ne sont transmis qu’aux autorités judiciaires et administratives qui les demandent dans le cadre prévu par la loi. À l’entreprise dont le nom a été utilisé, Kipaye peut seulement confirmer qu’un compte a été rattaché à son SIRET, depuis quand, et qu’il est suspendu.

Quand vous vérifiez le numéro de TVA intracommunautaire d’un client, ce numéro, et lui seul, est envoyé au service VIES de la Commission européenne (ec.europa.eu/taxation_customs/vies), qui indique s’il est actif et renvoie le nom et l’adresse déclarés. La vérification ne se fait que lorsque vous la demandez.

Le numéro de TVA de votre entreprise est lu dans la liste publique de la DGFiP, fournie par la même API, ou à défaut calculé à partir de votre SIREN et vérifié auprès de VIES, à la fin de votre inscription et quand vous cliquez sur « Remplir depuis mon SIRET ». Il n’est enregistré que s’il est actif ; votre immatriculation et la nature de vos opérations sont déduites des mêmes données publiques (SIRENE, code NAF).

Aux mêmes moments, votre SIREN, et lui seul, est envoyé à l’Institut national de la propriété industrielle (INPI, data.inpi.fr), qui tient le Registre national des entreprises : il renvoie votre capital social et indique si votre activité est artisanale ou commerciale. Seuls ces éléments sont enregistrés, et seulement dans les champs encore vides ou ceux que vous choisissez de remplacer.

Si vous êtes en micro-entreprise, ces mêmes données publiques (code APE, date de création, code postal, activité artisanale) servent aussi à pré-remplir vos réglages de cotisations URSSAF : à la fin de votre inscription, ou à votre première visite de la page Cotisations URSSAF, votre SIRET est alors envoyé une fois à l’API Recherche d’entreprises et votre SIREN à l’INPI. Seuls les réglages encore vides sont remplis, et vous les vérifiez avant de vous y fier. Rien n’est envoyé à l’Urssaf.

Chez Kipaye, seul l’éditeur accède, depuis un espace d’administration réservé, aux informations de votre compte : e-mail, entreprise, abonnement, dates d’inscription et de connexion, nombre de clients et de documents, total des devis acceptés. Il ne s’en sert que pour répondre à une demande, régler un problème ou suivre le service. Il ne consulte pas le contenu de vos devis, de vos factures ni de votre liste de clients, sauf si vous le lui demandez.

Cette liste est tenue à jour : si un prestataire est ajouté ou remplacé, cette page est modifiée.

La base de données est hébergée à Stockholm, en Suède, et l’application y est aussi exécutée ; les compteurs de tentatives et les recherches mises en cache sont tenus à Francfort, en Allemagne. Les e-mails du service partent de la région Irlande, et ceux que vous envoyez à contact@kipaye.fr sont reçus en France. Les rapports d’erreur sont conservés à Francfort, en Allemagne. Vos données sont donc hébergées en Europe.

Plusieurs prestataires sont des sociétés de droit américain, et le paiement comme la protection anti-robots reposent sur des réseaux internationaux : des transferts en dehors de l’Union européenne peuvent se produire, par exemple lors d’une intervention technique. Ils sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par le Data Privacy Framework entre l’Union européenne et les États-Unis.

Kipaye utilise seulement des cookies nécessaires au service :

Sur les formulaires publics, Cloudflare Turnstile analyse des signaux techniques du navigateur pour distinguer un humain d’un robot, sans cookie publicitaire.

La mesure d’audience et de performance (Vercel Web Analytics et Speed Insights) ne pose aucun cookie et n’enregistre rien dans votre navigateur : chaque visite est comptée à partir d’une empreinte effacée au bout de 24 heures, et les statistiques ne servent qu’à améliorer Kipaye. Il n’y a ni cookie publicitaire, ni pixel de réseau social, ni pixel de suivi dans les e-mails envoyés à vos clients. Ces cookies étant strictement nécessaires, aucun consentement n’est demandé.

Conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez d’un droit :

• d’accès : savoir quelles données Kipaye détient sur vous ;
• de rectification : corriger une donnée inexacte ;
• d’effacement : demander la suppression de votre compte et de vos données ;
• à la portabilité : récupérer vos données dans un format réutilisable ;
• à la limitation et d’opposition, dans les cas prévus par le règlement (pour la prévention de la fraude, Kipaye peut garder ses preuves s’il en a besoin pour agir ou se défendre en justice) ;
• de définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, y compris supprimer votre compte, écrivez à contact@kipaye.fr ou passez par « Nous écrire » (Aide), type « Mes données personnelles ». La loi prévoit une réponse dans un délai d’un mois. Une preuve d’identité peut être demandée en cas de doute sur l’auteur de la demande. Pour tenir ce délai, Kipaye enregistre votre demande, y compris reçue par e-mail, comme une demande au support, avec son type (accès, export, suppression, rectification) et sa date de réception.

Si la réponse ne vous satisfait pas, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), sur cnil.fr/fr/plaintes ou au 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Cette politique peut évoluer, notamment à l’ouverture des offres payantes ou à l’arrivée d’un nouveau prestataire. La date de mise à jour figure en haut de page. En cas de changement important, vous êtes prévenu par e-mail ou dans l’application avant qu’il ne s’applique.