1. Responsable du traitement
Kinvo, dont l'adresse est située 25 rue de Ponthieu, 75008 Paris, France, SIRET 891 850 422 00041, est responsable du traitement de vos données personnelles collectées via la plateforme Kinvo.
2. Données collectées
Lors de l'utilisation de Kinvo, nous collectons les données suivantes :
Données de compte
- Nom, prénom, adresse email
- Informations sur votre entreprise (nom, SIRET, adresse, logo)
- Mot de passe (chiffré, jamais stocké en clair)
- Si vous avez accepté la mesure d'audience : la façon dont vous êtes arrivé sur le site avant de vous inscrire (voir la section 10)
Données d'utilisation
- Factures et devis créés
- Informations clients saisies
- Historique des paiements
- Logs de connexion (date, heure, adresse IP)
- Clés du connecteur IA, si vous en créez : nom, empreinte de la clé (jamais la clé elle-même), dates de création, de dernier usage et de révocation
- Assistants connectés au connecteur IA, si vous en autorisez : nom et identifiant de l'assistant, niveau d'accès choisi, empreintes des jetons de connexion (jamais les jetons eux-mêmes), dates de connexion, d'expiration, de dernier usage et de déconnexion
Données des clients à qui vous envoyez vos documents
Quand votre client signe un devis en ligne, Kinvo enregistre pour votre compte la preuve de sa signature : le nom qu'il saisit, l'adresse e-mail vérifiée par un code à usage unique, la date et l'heure, son adresse IP, son navigateur et le contenu du devis signé. Cette preuve est conservée avec le devis, n'est visible que de votre entreprise, et disparaît avec lui. Quand il consulte une facture en ligne, seuls la date et le nombre d'ouvertures sont enregistrés.
Données de paiement
Les paiements des abonnements sont traités par Stripe. Kinvo ne stocke jamais vos coordonnées bancaires.
3. Finalités du traitement
Vos données sont utilisées pour :
- Fournir et améliorer le service Kinvo
- Gérer votre abonnement et la facturation
- Vous envoyer des notifications liées au service
- Assurer la sécurité de votre compte
- Détecter et corriger les anomalies de l'application
- Respecter nos obligations légales
- Compter les pages vues du site, sans cookie (voir la section 10)
- Mesurer l'audience du site, savoir d'où viennent les inscriptions et mesurer l'efficacité de nos annonces, uniquement avec votre accord
Kinvo ne vend jamais vos données à des tiers. Les données de votre compte, de vos clients et de vos factures ne servent jamais à la publicité.
4. Base légale
Les traitements effectués par Kinvo reposent sur :
- L'exécution du contrat (fourniture du service)
- Le respect d'obligations légales
- Notre intérêt légitime (sécurité, détection des anomalies, amélioration du service, mesure de fréquentation sans cookie)
- Votre consentement (mesure d'audience et publicité, voir la section 10 ; communications marketing, si applicable)
5. Destinataires de vos données
Kinvo ne vend ni ne loue vos données. Elles sont confiées à un nombre restreint de prestataires techniques, qui agissent comme sous-traitants au sens de l'article 28 du RGPD : ils traitent vos données sur nos seules instructions et pour les seules finalités décrites ci-dessus.
- Supabase Inc. assure l'hébergement de la base de données, l'authentification et les traitements serveur. Données concernées : compte, entreprise, clients, factures et devis. Serveurs situés en Irlande.
- Vercel Inc. héberge le site et l'application, et compte les pages vues du site sans cookie (voir la section 10). Données concernées : adresse IP, journaux de connexion et pages consultées. Société établie aux États-Unis.
- Stripe traite les paiements d'abonnement et, si vous l'activez, l'encaissement de vos factures clients. Données concernées : identifiants de facturation et de transaction. Kinvo ne reçoit ni ne conserve vos coordonnées bancaires. Les traitements relatifs à l'Espace économique européen sont assurés par Stripe Technology Europe, Limited, établie en Irlande.
- Resend achemine les emails transactionnels : bienvenue, envoi de factures et de devis, relances, réponses du formulaire de contact. Données concernées : adresse email du destinataire et contenu du message. Société établie aux États-Unis.
- Trello, service du groupe Atlassian, nous sert à suivre les messages du formulaire de contact et les signalements d'anomalie envoyés depuis l'application. Données concernées : nom, adresse email, contenu du message et, le cas échéant, la capture d'écran jointe, la page concernée et le plan d'abonnement. Aucune donnée de vos clients ni de vos factures n'y est transmise. Données hébergées aux États-Unis.
- Google mesure l'audience du site (Google Analytics) et l'efficacité de nos annonces (Google Ads), uniquement pour les finalités auxquelles vous avez consenti. Données concernées : adresse IP, pages consultées, identifiants de cookies et, pour la publicité, l'annonce d'où vous venez et l'inscription qui a suivi. Voir la section 10. Les données sont collectées au sein de l'Union européenne, puis peuvent être stockées et traitées sur des serveurs de Google situés aux États-Unis.
- Sentry, service de Functional Software, Inc., nous signale les erreurs qui surviennent dans l'application, pour que nous puissions les corriger. Données concernées : la page et l'action en cours, le message d'erreur, le navigateur utilisé et l'identifiant technique de votre compte. Ni votre nom, ni votre adresse email, ni le contenu de vos factures ne lui sont transmis, et aucun cookie n'est déposé. Données hébergées dans l'Union européenne, en Allemagne, et conservées 30 jours. Société établie aux États-Unis.
Connecteur IA. Si un administrateur de votre entreprise connecte un assistant à Kinvo (bouton « Connecter » de l'assistant, puis autorisation sur une page Kinvo) ou crée une clé de connecteur IA dans Paramètres, cet assistant (par exemple Claude, d'Anthropic, ou ChatGPT, d'OpenAI) peut lire les factures, devis, clients, encaissements et prestations de l'entreprise et, si l'accès le permet (plan Pro), préparer des brouillons de devis et enregistrer des encaissements au nom de la personne qui l'a autorisé. Ces écritures sont inscrites dans un journal visible dans Paramètres. Cet assistant n'est pas un prestataire de Kinvo : c'est vous qui le choisissez et lui donnez accès, et il traite ces données selon les conditions de votre abonnement à son service, le cas échéant hors de l'Union européenne. Il ne peut ni émettre, ni envoyer, ni supprimer, et la déconnexion de l'assistant ou la révocation de la clé coupe l'accès immédiatement. Les jetons de connexion expirent seuls : une heure pour l'accès, soixante jours sans usage pour la connexion.
Vos données peuvent en outre être communiquées à l'administration fiscale, à un expert-comptable ou à une autorité judiciaire lorsque la loi l'impose.
6. Transferts hors de l'Union européenne
Les données de votre compte, de vos clients, de vos factures et de vos devis sont stockées en Irlande, donc au sein de l'Union européenne.
Certains prestataires listés ci-dessus sont toutefois établis aux États-Unis, ou y transfèrent des données pour l'exploitation de leur service. C'est le cas de Vercel, de Resend, de Trello, de Sentry, du groupe Stripe et de Google.
Ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD. Lorsque le prestataire adhère au Data Privacy Framework entre l'Union européenne et les États-Unis, le transfert repose sur la décision d'adéquation adoptée par la Commission européenne le 10 juillet 2023, qui reconnaît à ce cadre un niveau de protection équivalent à celui du RGPD. À défaut d'adhésion, le transfert est encadré par les clauses contractuelles types de la Commission européenne.
Vous pouvez nous demander à contact@kinvo.fr une copie des garanties applicables à un prestataire donné.
7. Conservation des données
- Données de compte : conservées tant que le compte existe, quel que soit le plan
- Après résiliation de l'abonnement : le compte repasse au plan Gratuit et vos données restent conservées, jusqu'à la suppression du compte décrite ci-dessous
- Données comptables : conservées 10 ans conformément à la loi
- Après suppression de votre compte : vos identifiants de connexion, vos clients, vos devis, vos prestations et votre logo sont supprimés immédiatement. Vos factures et votre livre des recettes, que la loi impose de conserver dix ans à compter de la clôture de l'exercice (art. L123-22 du Code de commerce), sont archivés sans aucun accès, puis effacés automatiquement à l'échéance.
8. Vos droits (RGPD)
Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :
- Droit d'accès : obtenir une copie de vos données
- Droit de rectification : corriger des données inexactes
- Droit à l'effacement : demander la suppression de vos données
- Droit à la portabilité : récupérer vos données dans un format lisible
- Droit d'opposition : vous opposer à certains traitements
Pour exercer ces droits, contactez-nous à : contact@kinvo.fr
Vous pouvez également introduire une réclamation auprès de la CNIL.
9. Sécurité
Kinvo met en œuvre des mesures techniques et organisationnelles pour protéger vos données : chiffrement SSL/TLS, authentification sécurisée, hébergement en Europe, accès restreint aux données.
10. Cookies, mesure d'audience et publicité
Cookies strictement nécessaires. Ils permettent au service de fonctionner et ne demandent pas votre consentement : jeton de session et d'authentification (conservé dans le stockage local de votre navigateur), et mémorisation de vos choix en matière de cookies.
Mesure d'audience. Kinvo utilise Google Analytics pour compter les visites et comprendre quelles pages sont consultées. Ce service dépose des cookies (préfixe _ga) et transmet votre adresse IP à Google LLC. Le suivi entre appareils (Google Signals) est désactivé.
Provenance des inscriptions. Avec ce même accord, et seulement avec lui, Kinvo garde dans le stockage local de votre navigateur, pendant 30 jours au plus, votre première arrivée sur le site : la page par laquelle vous êtes entré, le nom du site qui vous y a mené (jamais l'adresse complète de la page), les marqueurs de campagne du lien (utm_source, utm_medium, utm_campaign) et, si vous veniez d'une annonce Google, ce seul fait. Si vous créez un compte, ces informations sont enregistrées avec votre entreprise, pour savoir d'où viennent les inscriptions, puis effacées de votre navigateur. Elles ne sont transmises à personne et sont supprimées avec votre compte. Refuser ou retirer votre accord à la mesure d'audience les efface de votre navigateur.
Mesure de fréquentation sans cookie. Kinvo utilise aussi Vercel Web Analytics pour compter les pages vues du site et savoir d'où viennent les visiteurs. Ce service ne dépose aucun cookie et n'enregistre rien sur votre appareil. Une visite y est reconnue par une empreinte calculée à partir de la requête, effacée au bout de 24 heures, qui ne permet de vous suivre ni d'un jour à l'autre, ni d'un site à l'autre. Cette mesure ne demande donc pas votre accord préalable, mais vous pouvez vous y opposer : si vous refusez la mesure d'audience dans le bandeau, elle s'arrête elle aussi.
Publicité. Avec votre accord, Google Ads mesure les inscriptions qui suivent un clic sur une annonce de Kinvo, et peut vous montrer nos annonces sur d'autres sites. Ce service dépose des cookies (préfixe _gcl) et transmet à Google l'annonce d'où vous venez, votre adresse IP et les pages consultées. Sans cet accord, aucun cookie publicitaire n'est déposé, et les identifiants de clic publicitaire sont retirés de ce qui est transmis à Google.
Rien n'est déposé avant votre accord. Chaque finalité fait l'objet d'un choix distinct, depuis le lien « Personnaliser » du bandeau. Si vous refusez tout, ou si vous ne répondez pas, aucun script de Google n'est appelé.
Vous pouvez revenir sur vos choix à tout moment : modifier mes choix en matière de cookies. Retirer un accord efface les cookies correspondants.