Politique de confidentialité de Volcanium Facturation

Version du 25 octobre 2026. Cette politique est une information au sens des articles 12 à 14 du RGPD ; elle ne vous demande pas de consentir à un traitement.

1. Qui est responsable de vos données ?

Pour les données nécessaires au fonctionnement du compte, à la sécurité et à la fourniture du service (hors données que votre organisation met elle-même dans le service : voir le paragraphe 3), le responsable de traitement est :

• Volcanium Studio, association régie par la loi du 1er juillet 1901 et le décret du 16 août 1901
• Siège : 46 route du Bergeron, 38290 Frontonas, France — SIRET 990 895 807 00016 — RNA W382011801
• Représentant : Julien Rilliot, président
• Contact « données personnelles » : rgpd@volcanium.eu
• Aucun délégué à la protection des données (DPO) n'est désigné : cette désignation n'est pas obligatoire pour l'association (article 37 du RGPD). Toute demande relative aux données personnelles est traitée par le président de l'association à l'adresse ci-dessus.

2. Quelles données, pourquoi, sur quelle base légale, combien de temps ?

Compte utilisateur et organisation

• Données : Identifiant, nom et adresse e-mail de l'utilisateur (copie depuis Volcanium Compte), rôle dans l'organisation, informations légales de l'organisation
• Finalité : Authentifier les utilisateurs et gérer l'organisation
• Base légale : Exécution du contrat : fournir le service demandé (article 6.1.b du RGPD)
• Durée de conservation : Tant que l'utilisateur est membre ; copie supprimée sous 30 jours après retrait ou suppression du compte

Clients de l'organisation, devis et factures

• Données : Nom, contact, SIREN, adresse e-mail, téléphone, adresses, notes, références de paiement ; documents émis et leur copie figée ; paiements ; rappels envoyés
• Finalité : Permettre à l'organisation d'établir, envoyer, faire signer, encaisser et suivre ses documents commerciaux
• Base légale : Exécution du contrat avec l'organisation ; l'organisation est responsable de traitement vis-à-vis de ses clients (contrat, obligation légale comptable)
• Durée de conservation : Factures, pièces comptables, paiements, signatures qui les accompagnent et journal d'audit comptable : 10 ans (article L. 123-22 du Code de commerce) ; fiches clients sans facture, brouillons et devis non signés : au choix de l'organisation, l'organisation étant invitée à ne pas dépasser 3 ans après le dernier contact ; rappels : 12 mois

Signature électronique et acceptation des conditions

• Données : Nom, adresse e-mail, adresse IP, navigateur, signature manuscrite (image), horodatage
• Finalité : Prouver l'accord du signataire
• Base légale : Intérêt légitime de l'organisation à prouver l'accord (articles 1366 et 1367 du Code civil)
• Durée de conservation : Même durée que le document signé (10 ans)

Pages de paiement et d'abonnement des clients de l'organisation

• Données : Adresse e-mail, nom, adresse, moyen de paiement (marque, 4 derniers chiffres, expiration : jamais le numéro complet), adresse IP et navigateur à l'acceptation des conditions
• Finalité : Encaisser le paiement demandé et conserver la preuve d'acceptation
• Base légale : Exécution du contrat entre l'organisation et son client
• Durée de conservation : Selon le document de l'organisation ; preuves d'acceptation : durée du contrat et 5 ans après la fin de la relation (prescription civile)
• Destinataires : Stripe Payments Europe, Ltd (si l'organisation a connecté Stripe)

Aide à la saisie d'adresses

• Données : Adresse en cours de saisie (jamais l'adresse IP du navigateur)
• Finalité : Compléter automatiquement les adresses
• Base légale : Exécution du contrat : fournir le service demandé (article 6.1.b du RGPD)
• Durée de conservation : Non conservée par nous ; traitée par la Géoplateforme de l'IGN
• Destinataires : Institut national de l'information géographique et forestière

Journaux techniques

• Données : Adresse IP, date, ressource demandée (les jetons des liens de paiement et de signature ne sont jamais enregistrés en clair)
• Finalité : Sécurité, diagnostic
• Base légale : Obligation légale : conservation des données d'identification par les hébergeurs (article 6-II de la LCEN et décret n° 2021-1362 du 20 octobre 2021) ; Intérêt légitime : sécurité du service et prévention de la fraude (article 6.1.f du RGPD)
• Durée de conservation : 12 mois ; événements de webhooks : 30 jours

Aucune donnée dite « sensible » (article 9 du RGPD) n'est demandée. Aucune décision automatisée produisant des effets juridiques à votre égard n'est prise (article 22 du RGPD). Vos données ne sont ni vendues, ni louées, ni utilisées à des fins publicitaires ou de profilage commercial.

3. Données de votre organisation

Les données de vos clients, devis, factures, paiements et signatures sont traitées pour le compte de votre organisation, qui en est responsable de traitement : c'est elle qui fixe les finalités, informe ses clients et répond à leurs demandes.

Si vous souhaitez exercer vos droits sur ces données, adressez-vous d'abord à votre organisation. L'Éditeur l'aide à y répondre dans les conditions de l'accord de sous-traitance, et vous orientera vers elle si vous le contactez directement.

4. Qui reçoit vos données ?

Vos données sont accessibles aux seules personnes habilitées de l'Éditeur, dans la limite de leurs fonctions (support, sécurité, administration), chacune étant soumise à une obligation de confidentialité. Chaque consultation de fiche par un administrateur est tracée.

Les documents sont destinés à l'organisation qui les émet et à son client ; les paiements transitent par Stripe si l'organisation l'a connecté.

Les sous-traitants techniques intervenant pour ce service sont :

• Microsoft Ireland Operations Limited (Microsoft Azure) — Hébergeur : serveurs applicatifs, bases de données, fichiers, visioconférence (serveur en Espagne), réplique de Facturation — Espagne (Union européenne) ; serveur de visioconférence : Espagne

• Stripe Payments Europe, Ltd — Encaissement des paiements demandés par une organisation à ses propres clients via Volcanium Facturation, si cette organisation connecte son compte Stripe — Irlande (Stripe, Inc. aux États-Unis pour une partie des opérations)

• Institut national de l'information géographique et forestière (Géoplateforme) — Aide à la saisie d'adresses (autocomplétion) dans Volcanium Facturation : seule l'adresse tapée est transmise, jamais l'adresse IP de l'utilisateur — France

La liste complète, commune à tous les services, est sur la page Sous-traitants et hébergement.

5. Transferts hors de l'Union européenne

Vos données sont traitées dans l'Union européenne par nos hébergeurs. Microsoft Ireland Operations Limited appartenant à un groupe américain, le transfert éventuel de données vers les États-Unis est encadré par le Microsoft Corporation, société mère établie aux États-Unis, est certifiée au EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) ; les clauses contractuelles types de la Commission européenne figurent en outre aux conditions de protection des données de Microsoft. Lorsque l'organisation connecte Stripe, Stripe Payments Europe, Ltd (Irlande) traite les paiements et peut transférer certaines données à Stripe, Inc. (États-Unis) sous le même cadre (EU-US Data Privacy Framework et clauses contractuelles types). Aucun autre transfert hors de l'Union européenne n'est réalisé.

6. Cookies et traceurs

Volcanium Facturation n'utilise que des cookies et du stockage local strictement nécessaires. Sur les pages de paiement, lorsque l'organisation a connecté Stripe, le module de paiement de Stripe peut déposer ses propres cookies pour sécuriser le paiement et prévenir la fraude : ils sont nécessaires à l'exécution du paiement que vous demandez. Aucun traceur publicitaire ou de mesure d'audience n'est utilisé.

Le détail des cookies et du stockage local est sur la page Cookies et traceurs.

7. Vos droits

Vous disposez, dans les conditions du RGPD (articles 15 à 22) et de la loi n° 78-17 du 6 janvier 1978 modifiée, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment pour les traitements fondés sur notre intérêt légitime) et de portabilité. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment sans effet sur ce qui a été fait avant. Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès (article 85 de la loi du 6 janvier 1978).

Vous pouvez exercer vos droits d'accès, de portabilité, de rectification et d'effacement directement depuis votre compte Volcanium Compte (Paramètres). Pour toute autre demande, écrivez à rgpd@volcanium.eu.

Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, auquel cas vous en êtes informé. Pour vous protéger, nous pouvons vous demander de prouver votre identité, de préférence en répondant depuis l'adresse du compte. La procédure complète est détaillée sur la page Exercer vos droits.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — https://www.cnil.fr/fr/plaintes.

8. Sécurité

Nous protégeons vos données par des mesures techniques et organisationnelles adaptées au risque (article 32 du RGPD) : chiffrement des échanges (HTTPS), mots de passe stockés sous forme de hachage, double authentification et clés d'accès, cloisonnement des organisations, contrôle des accès et journalisation, sauvegardes. Voir la page Sécurité et signalement.

En cas de violation de données susceptible d'engendrer un risque pour vous, nous notifions la CNIL dans les 72 heures lorsque la loi l'exige et, si le risque est élevé, nous vous en informons directement (articles 33 et 34 du RGPD).

9. Mineurs

Volcanium Facturation est réservé aux personnes âgées d'au moins 18 ans. La date de naissance déclarée à la création du compte sert uniquement à vérifier cet âge minimum. Si vous constatez qu'un mineur de moins de 18 ans a ouvert un compte, écrivez-nous à rgpd@volcanium.eu : nous le supprimerons.

10. Modification de cette politique

Nous mettons cette politique à jour lorsque nos traitements évoluent. La date de version figure en tête ; les versions précédentes sont conservées sur le hub légal. Les changements importants vous sont notifiés dans le Service ou par courriel.