Politique de confidentialité et cookies

Qui est responsable de vos données ?

Pour votre compte (vous, artisan ou entreprise cliente de Indices), le responsable du traitement est Yanis DRIF EI.

Pour les données de vos propres clients (fichier clients, devis, factures, interventions, dictées, SMS), c'est vous qui en êtes responsable. Indices les traite uniquement pour votre compte et selon vos instructions, en qualité de sous-traitant, dans les conditions prévues par les conditions générales.

Données traitées pour votre compte

• Compte et entreprise : nom, e-mail, mot de passe (stocké sous forme chiffrée irréversible), raison sociale, SIREN, numéro de TVA, adresse, IBAN.
• Abonnement : offres souscrites, historique de facturation. Les données de carte bancaire sont traitées par Stripe et ne sont jamais stockées par Indices.
• Sécurité : tentatives de connexion, adresse IP et adresse e-mail saisie (même inconnue), pour bloquer les attaques par force brute ; événements de sécurité (connexion refusée, code refusé), sans adresse IP ni e-mail ; double authentification : code de connexion envoyé par e-mail, appareils reconnus et codes de secours, conservés sous forme d'empreintes.
• Copilote IA : nombre de crédits consommés, durée des enregistrements, coût estimé. Le contenu des dictées n'est pas conservé dans ce journal.
• Journal technique : identifiant de compte, date, action et erreur rencontrée, pour diagnostiquer les pannes. Aucun contenu saisi (client, montant, dictée) n'y figure.
• Mesure d'usage : étapes franchies dans l'application (premier devis, facture émise, mentions légales manquantes…), pour simplifier les parcours. Mesurée par Indices lui-même, sans cookie ni outil tiers.
• Origine des inscriptions : le canal par lequel le visiteur est arrivé (annonce, moteur de recherche, lien d'un autre site, e-mail ou accès direct) et le nom de la campagne d'annonce, joints à l'inscription. Rien n'est écrit sur votre appareil pour cela (ni cookie ni stockage du navigateur) : le canal reste en mémoire le temps de la page et passe à l'inscription dans l'adresse des liens du site (par exemple « ?canal=organic »). Ni identifiant de clic, ni adresse de la page d'origine, ni identifiant du visiteur : ces libellés ne servent qu'à compter les inscriptions par canal (intérêt légitime : piloter nos dépenses publicitaires). Quand la visite vient d'un moteur de recherche, son nom (Google, Bing, DuckDuckGo ou autre) est aussi retenu, jamais les mots que vous avez recherchés. Ce canal et ce moteur sont gardés avec le compte créé, pour suivre les abonnements par canal. Pour vous y opposer, activez « Global Privacy Control » ou « Ne pas me pister » dans votre navigateur : rien n'est alors retenu.
• Fréquentation du site : pour chaque page du site public affichée, un compteur du jour augmente de 1, par page et par canal d'arrivée. Ni cookie ni identifiant, et aucune adresse IP avec le compteur : on sait combien de fois une page a été vue, jamais par qui. Pour limiter les abus (1 000 pages par heure), seule une empreinte de votre adresse IP, chiffrée avec une clé qui change chaque jour, est gardée 24 heures. Mesure d'audience faite par Indices lui-même, exemptée de consentement ; compteurs gardés 13 mois. « Global Privacy Control » ou « Ne pas me pister » l'arrêtent aussi.
• Mesure d'audience de l'hébergeur : sur les pages du site public (jamais l'espace connecté ni les pages de compte), Vercel, notre hébergeur, compte les pages visitées avec son outil « Web Analytics », sans cookie et sans suivre un visiteur d'un site à l'autre. Sont retenus la page (sans paramètres d'adresse), le site d'où vient la visite, le pays, le système et le navigateur ; le visiteur n'est reconnu que par une empreinte qui change chaque jour. Vercel agit pour notre compte, seulement pour établir ces statistiques. « Global Privacy Control » ou « Ne pas me pister » l'arrêtent aussi : rien n'est alors envoyé.
• Parrainage : le code d'un lien de parrainage ouvert est gardé dans votre navigateur le temps de la visite (stockage de session, effacé à la fermeture de l'onglet), puis sur votre compte jusqu'à la fin de l'inscription : il sert l'offre que vous avez choisie, il ne vous piste pas. Votre entreprise est ensuite rattachée à celle de votre parrain. À votre premier mois payé, votre parrain reçoit un e-mail qui annonce son mois offert, sans votre nom ; sa page Parrainage ne montre que des nombres. Pour vérifier que les deux comptes ne paient pas avec la même carte, Indices compare l'empreinte des cartes enregistrées chez Stripe (jamais leur numéro). Données gardées avec le compte de l'entreprise.
• Déclaration d'exactitude des mentions : quand le titulaire certifie les mentions de son entreprise avant d'émettre, Indices garde son identifiant, la date et une copie des informations certifiées (celles imprimées sur ses devis et factures, IBAN compris), pour prouver ce qui a été déclaré. Données gardées avec le compte de l'entreprise.

Pourquoi, et sur quelle base légale

• Fournir le service et gérer votre abonnement : exécution du contrat.
• Émettre les factures électroniques via la Plateforme Agréée et conserver les pièces : obligation légale.
• Sécuriser les comptes et prévenir la fraude : intérêt légitime.
• Vérifier que votre compte représente bien l'entreprise de son SIREN : intérêt légitime (voir « Vérification de votre entreprise »).
• Détecter et traiter les usages frauduleux (usurpation d'une entreprise, faux RIB) et les signalements des destinataires de vos documents : intérêt légitime (voir « Lutte contre la fraude »).
• Détecter les pannes et améliorer les parcours (journal technique, mesure d'usage) : intérêt légitime.
• Vous accompagner : si votre compte reste bloqué (mentions légales incomplètes, aucun devis plusieurs jours après l'inscription), l'équipe peut vous contacter pour vous aider. Intérêt légitime, vous pouvez vous y opposer à tout moment.
• Vous informer des évolutions du service et des échéances réglementaires : intérêt légitime, avec possibilité de vous y opposer à tout moment.
• Vous aider à terminer une inscription commencée (adresse e-mail et SIREN saisis au premier écran) : 3 rappels par e-mail au plus, chacun avec un lien pour ne plus les recevoir. Intérêt légitime.

Combien de temps

• Données du compte : pendant toute la durée de l'abonnement, puis le temps nécessaire à la clôture du compte et à l'export de vos données.
• Pièces comptables (factures de l'abonnement Indices) : 10 ans, comme l'exige le Code de commerce.
• Tentatives de connexion : 24 heures ; événements de sécurité : 90 jours.
• Vérification de votre entreprise : justificatifs, supprimés dès la vérification et au plus tard 30 jours après leur dépôt ; preuve de la vérification, pendant la durée du compte et 5 ans après sa clôture.
• Lutte contre la fraude : signaux levés, 3 ans après leur levée ; historique des suspensions (motif, décision, levée), pendant la durée du compte et 5 ans après sa clôture ; signalements des destinataires (motif, adresse facultative), 12 mois.
• Double authentification : code de connexion 10 minutes ; appareil reconnu 30 jours ; codes de secours jusqu'à leur remplacement ou la désactivation.
• Journal technique et rapports d'erreurs : 30 jours.
• Mesure d'usage : 13 mois.
• Inscription commencée mais pas terminée : 30 jours après sa création, puis supprimée avec l'adresse e-mail ; vous pouvez la supprimer vous-même avant, depuis l'écran « C'est bien vous ? ».
• Liens reçus par e-mail (mot de passe oublié : 1 heure ; confirmation de l'adresse : 7 jours) : effacés un jour après leur usage ou leur expiration.
• E-mails de conseils (avec votre accord) : 3 ans après le dernier résultat d'outil envoyé à votre adresse ou votre dernier accord ; à la désinscription, l'adresse est effacée et seule une empreinte non lisible est gardée 3 ans (liste d'opposition) ; sans accord, l'adresse n'est utilisée que pour vous envoyer le résultat.
• Devis signés à l'écran : la signature de votre client (tracé, nom, date et heure) et l'exemplaire signé sont conservés avec le devis, comme preuve du contrat, tant que vous ne le supprimez pas.
• Attestations d'entretien : la signature tracée par la personne qui a fait la visite est conservée avec les relevés de l'intervention et imprimée sur l'attestation remise à votre client ; elle est supprimée avec l'intervention. Sur le téléphone, elle est gardée avec le brouillon de la visite jusqu'à l'envoi de la fin de visite, et tout est effacé du téléphone à la déconnexion.
• Photos d'intervention : conservées avec l'intervention et jointes au rapport remis à votre client. Prises sans réseau, elles restent sur le téléphone jusqu'à leur envoi, puis y sont effacées ; tout est effacé du téléphone à la déconnexion.

Les factures que vous émettez avec Indices doivent être conservées 10 ans : pensez à les télécharger avant de clôturer votre compte.

Vérification de votre entreprise

Nous pouvons vérifier que votre compte représente bien l'entreprise de son SIREN : une facture est un document fiscal, qui ne doit pas partir au nom d'une entreprise sans son accord. Cette vérification n'est plus exigée avant la première facture : elle intervient quand un signal le justifie (voir « Lutte contre la fraude ») ou quand une autre inscription porte le même SIREN.

• Sources : le répertoire Sirene de l'INSEE et le registre national des entreprises (RNE), où nous lisons l'existence de l'entreprise, l'adresse de son siège et, au besoin, le nom de ses dirigeants (données publiques).
• Justificatifs : extrait d'immatriculation, pièce d'identité d'un dirigeant inscrit au RNE et, si vous agissez pour lui, son mandat signé. Ils sont déposés par un formulaire sécurisé de l'appli, jamais par e-mail, conservés dans notre base de données à Paris et lus par les seules personnes habilitées de notre support. Ils sont supprimés dès la vérification faite, et au plus tard 30 jours après leur dépôt. Masquez la photo et le numéro de la pièce : seul le nom est comparé au registre.
• Preuve de la vérification : la date, la méthode, le compte vérifié et la nature des pièces contrôlées, sans copie ni numéro, sont conservés pendant la durée du compte et 5 ans après sa clôture, pour pouvoir prouver la vérification en cas de litige.
• Plateforme Agréée : si vous reliez votre compte à Super PDP en production, par votre connexion à Super PDP, et que le SIREN de votre compte Super PDP est identique au vôtre, nous nous appuyons sur les vérifications d'identité et de qualité de représentant légal faites par Super PDP pour considérer votre entreprise comme vérifiée. Nous gardons la date et la méthode de cette vérification. Elle peut être refaite si un élément sérieux la remet en cause.
• Base légale : notre intérêt légitime à empêcher la facturation au nom d'une entreprise sans son accord (prévention de la fraude). Vous pouvez vous opposer à ce traitement en écrivant au support : votre situation est alors examinée par une personne.

Lutte contre la fraude

Pour éviter qu'une personne facture au nom d'une entreprise qu'elle ne représente pas, ou fasse payer ses clients sur un compte bancaire qui n'est pas le sien, Indices relève des signaux après coup, sans vérification préalable de chaque entreprise.

• Signaux : même IBAN sur deux entreprises, IBAN modifié après une facture émise, document signalé par son destinataire, SIREN déjà inscrit par un autre compte ; et, à surveiller seulement : titulaire absent des dirigeants de l'annuaire officiel, entreprise créée depuis moins de 3 mois, IBAN hors de France et de Monaco, plus de 5 factures en 24 heures la première semaine, facture de plus de 5 000 € TTC sans devis signé. Les dirigeants et la date de création sont lus dans l'annuaire public consulté à l'inscription ; ils ne sont pas enregistrés.
• Compte bancaire : votre IBAN n'est comparé à celui des autres entreprises que par une empreinte chiffrée (non lisible) ; il n'est jamais copié ailleurs que sur votre fiche. Avant la première facture qui porte un nouvel IBAN, le titulaire confirme que ce compte est au nom de l'entreprise : la date, le compte qui confirme et l'empreinte de l'IBAN sont gardés. Un IBAN hors de la zone SEPA n'est pas imprimé sur les factures.
• Examen par une personne : chaque signal fort est envoyé au support, qui le relit sous 24 heures. Une suspension de l'émission et de l'envoi de nouvelles factures est décidée par une personne habilitée, avec un motif. Seuls deux signaux urgents (même IBAN sur deux entreprises, document signalé par un destinataire) suspendent aussitôt, à titre conservatoire : la situation est alors réexaminée par une personne sous 1 jour ouvré. Aucune décision n'est donc prise par la seule machine au-delà de cette mesure provisoire (art. 22 du RGPD).
• Vos droits : vous êtes informé aussitôt du motif et des justificatifs attendus (bandeau de la page Factures) ; vous pouvez présenter vos observations et contester depuis l'appli (« Présenter mes observations »). Pendant une suspension, le reste du service, la consultation et l'export de vos données restent ouverts.
• Signalement par un destinataire : les e-mails de devis et de factures portent un lien « Signalez-la ». La personne qui signale donne un motif et, si elle le souhaite, son adresse e-mail pour être recontactée ; ces données ne sont pas transmises à l'entreprise et sont conservées 12 mois. Le lien est propre à chaque envoi : seul le destinataire de l'e-mail peut l'utiliser.
• Alertes au support : elles ne contiennent ni IBAN, ni nom, ni adresse e-mail, seulement un lien vers la console, réservée aux personnes habilitées.
• Base légale : notre intérêt légitime, et celui de vos clients, à prévenir la fraude. Durées : voir « Combien de temps ».

Outils gratuits et e-mails de conseils

Les outils gratuits du site (simulateur de TVA, calendrier d'entretien, vérificateur de facture) s'utilisent sans compte. Une facture déposée dans le vérificateur est analysée en mémoire puis oubliée : elle n'est jamais enregistrée. Nous mesurons l'usage des outils sans adresse IP ni e-mail.

Si vous demandez le résultat par e-mail, votre adresse n'est utilisée que pour vous l'envoyer, par notre prestataire d'envoi. Elle n'entre dans notre fichier que si vous cochez la case d'accord pour recevoir nos conseils et offres (base légale : votre consentement). Nous gardons alors votre adresse, la date, le texte accepté et l'outil d'origine, pendant 3 ans après le dernier résultat d'outil envoyé à votre adresse ou votre dernier accord. Chaque e-mail contient un lien de désinscription en un clic, et vous pouvez retirer votre accord à tout moment : votre adresse est alors effacée de notre fichier, et nous gardons 3 ans une empreinte non lisible, pour respecter votre opposition. Pour vous réinscrire ensuite, cocher la case ne suffit pas : vous confirmez depuis le lien envoyé à votre adresse.

Formulaire de contact

Le formulaire de la page Contact sert à répondre à votre demande (base légale : notre intérêt légitime à vous répondre). Votre nom, votre adresse e-mail, le sujet et votre message nous sont envoyés par e-mail (envoi par Brevo, réception dans notre messagerie hébergée par OVHcloud, en France) : ils ne sont pas enregistrés sur le site, et aucun e-mail ne vous est envoyé automatiquement. Nous gardons l'échange dans notre messagerie le temps de traiter votre demande, puis 3 ans au plus après le dernier échange. Pour limiter les envois abusifs, une empreinte de l'adresse IP de l'appareil (jamais l'adresse elle-même) est gardée 24 heures. Une demande sur un compte ou des données personnelles reçoit sa réponse à l'adresse du compte concerné, pas à une adresse saisie dans le formulaire.

Dictée vocale et intelligence artificielle

Avec l'option Copilote IA, vos enregistrements vocaux sont transmis à OpenAI pour être transcrits, et le texte obtenu est analysé par Anthropic pour pré-remplir vos devis et comptes rendus. Indices ne conserve pas l'enregistrement audio sur ses serveurs : une dictée faite sans réseau reste sur votre téléphone jusqu'à son envoi (30 jours au plus), puis elle y est effacée. Le texte et les lignes proposées sont conservés jusqu'à la création du devis, 30 jours au plus. Pour un compte rendu, le texte transcrit est conservé 30 jours au plus, le temps que le téléphone le reçoive ; il figure ensuite dans le compte rendu de l'intervention. Ces prestataires n'utilisent pas les données reçues par leur API pour entraîner leurs modèles, selon leurs conditions commerciales.

Évitez de dicter des informations sensibles qui ne sont pas utiles au devis (santé, situation personnelle du client). Les propositions de l'IA sont toujours soumises à votre validation.

Assistant IA

L'assistant de l'application est une intelligence artificielle (Claude, d'Anthropic) : il répond à vos questions sur Indices et l'écran l'indique. Pour répondre, il transmet à Anthropic votre question, la page ouverte, le dernier message d'erreur affiché et les réglages du compte (modules actifs, mentions légales manquantes, liaison à la Plateforme Agréée). Il ne lit les données de votre compte (devis, factures, clients, interventions), en lecture seule, que si le titulaire l'a autorisé dans Paramètres, rubrique Fonctions (« Assistant IA : accès à vos données », coupé par défaut). Ses conversations sont conservées 13 mois après le dernier échange, puis effacées. Le bouton « Transmettre au support » envoie la conversation à notre équipe par e-mail.

Les données de vos clients y sont alors traitées pour votre compte, comme dans le reste de l'application : Anthropic est notre sous-traitant ultérieur. L'assistant peut aussi être coupé entièrement dans Paramètres, rubrique Fonctions.

Nos prestataires (sous-traitants)

Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne, intégrées au contrat de traitement de chaque sous-traitant (pour Anthropic : son contrat de traitement des données, ou « DPA »).

Destinataires responsables de leur propre traitement : Google Ireland Limited (Google Ads), mesure des inscriptions venues de nos annonces, seulement si vous l'acceptez (cookies de mesure, sans personnalisation des annonces) (Union européenne et États-Unis ; politique : policies.google.com/privacy). Pour cette mesure, Indices et Google décident ensemble de la collecte sur le site, puis Google traite les données pour son propre compte ; les transferts vers les États-Unis sont encadrés par le cadre de protection des données UE–États-Unis et les clauses contractuelles types.

Cookies

Le cookie facturx_session vous garde connecté. Il est strictement nécessaire au fonctionnement du service et ne demande donc pas de consentement. L'origine de votre visite, elle, n'est écrite ni dans un cookie ni dans le stockage du navigateur : elle passe par l'adresse des pages (voir « Origine des inscriptions » plus haut).

Sur le site public et la page d'inscription, un bandeau vous demande votre accord pour un seul usage : mesurer quelles annonces Google amènent des inscriptions. Si vous acceptez, Google dépose sur ce site ses cookies de mesure des conversions (_gcl_au, _gcl_aw, 90 jours au plus) et peut lire ou déposer ses propres cookies sur ses domaines (par exemple IDE sur doubleclick.net, jusqu'à 13 mois ; liste et durées sur policies.google.com/technologies/cookies), sans personnalisation des annonces. Si vous refusez, rien n'est déposé et le site marche de la même façon. Votre choix est gardé 6 mois dans le cookie indices_consentement, puis redemandé ; le lien « Cookies » en bas des pages du site et de l'inscription permet de le changer à tout moment. Si vous retirez votre accord, les cookies de Google déposés sur ce site sont effacés et la balise n'est plus chargée. Rien de Google n'est chargé dans l'espace connecté.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Pour les exercer, écrivez à l'adresse dédiée : rgpd [arobase] indices [point] fr, ou utilisez la page Contact. Nous répondons dans un délai d'un mois.

Portabilité : le titulaire du compte télécharge à tout moment toutes les données de son entreprise (clients, devis signés, factures avec leurs lignes, achats, appareils, interventions, caisse…) depuis Paramètres, « Exporter mes données » ; les exemplaires signés et les photos se téléchargent à part (« Exporter les fichiers joints »), en plusieurs fichiers pour un gros compte. Les mots de passe et codes de connexion n'y figurent jamais.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr).

Les clients de nos utilisateurs qui souhaitent exercer leurs droits doivent s'adresser à l'artisan ou à l'entreprise qui les a enregistrés ; Indices l'aidera à y répondre.