Politique de confidentialité

Dernière mise à jour : 11 juillet 2026 · Version 1.6

1. Responsable du traitement

2. Délégué à la protection des données (DPO)

En l'absence d'obligation légale de désigner un DPO (effectif inférieur à 250 salariés, absence de traitement à grande échelle de données sensibles au sens de l'article 9 RGPD), les missions équivalentes sont assurées directement par Geoffrey Gotfryd, président de Nael SASU.

Contact DPO : hello@nael.so — Geoffrey répond personnellement sous 24 heures ouvrées (le délai légal RGPD de réponse formelle reste d'un mois maximum).

3. Données collectées et finalités

3.1 Lors de l'inscription

• Prénom, email, nom d'établissement, ville, téléphone, métier — nécessaires pour identifier l'Utilisateur et configurer son espace (base légale : exécution du contrat) ;
• Consentement RGPD et CGU — horodaté, conservé à titre de preuve (base légale : consentement) ;
• Consentement benchmarks — uniquement si activé volontairement par l'Utilisateur (opt-in, base légale : consentement).

3.2 Traitement du FEC et finalité

Le Fichier des Écritures Comptables (FEC), importé par le consultant mandaté ou par l'Utilisateur (auto-import), est traité uniquement pour extraire les indicateurs financiers nécessaires à :

• alimenter le tableau de bord de l'Utilisateur (score, KPIs, alertes, trajectoire) ;
• produire le rapport de diagnostic exportable (PDF de 4 pages) ;
• comparer les ratios de l'établissement aux benchmarks sectoriels (médiane, P25, P75) de la table data.benchmarks_sectoriels, associés au code NAF renseigné à l'inscription.

Base légale : exécution du contrat (article 6(1)(b) RGPD). Le FEC n'est jamais utilisé à d'autres fins (publicité, revente, entraînement de modèles tiers) sans consentement explicite distinct.

3.3 Visualisation sectorielle pendant le traitement

Durant la phase d'attente du traitement du FEC (entre l'import par le consultant et la disponibilité du tableau de bord), l'application peut appeler la route GET /api/benchmarks/:naf_code pour afficher temporairement à l'Utilisateur les marges moyennes du secteur correspondant à son code NAF.

Cet appel ne transmet aucune donnée comptable personnelle : seul le code NAF est utilisé. Les valeurs retournées proviennent exclusivement de la table agrégée data.benchmarks_sectoriels. Aucune donnée nominative de l'Utilisateur n'est conservée au-delà de ce qui est strictement nécessaire au fonctionnement du service.

3.4 Pendant l'utilisation du service

• FEC — importé dans Nael par le consultant mandaté ou par l'Utilisateur lui-même (auto-import), depuis un logiciel de gestion compatible. Il contient les écritures comptables structurées du Client : libellés, comptes, montants, dates, journaux.
• Pièces justificatives — factures fournisseurs, tickets de caisse ou documents de gestion déposés volontairement par l'Utilisateur dans le cadre de l'échange reporting avec son cabinet (formules Pilote et supérieures). Base légale : exécution du contrat.
• Données cabinet — pour les experts-comptables : identité du cabinet, SIRET, membres d'équipe, journaux d'audit sur les ajustements comptables validés (base légale : exécution du contrat).
• Données de gestion calculées — score, indicateurs (chiffre d'affaires, food cost, masse salariale, trésorerie, EBE, TVA), ratios, alertes et rapport de diagnostic produits par Nael à partir du FEC. Stockées dans la base de données PostgreSQL sécurisée, isolées par identifiant client.
• Données d'usage — dates de connexion, pages consultées, événements produit agrégés via PostHog (base légale : intérêt légitime pour l'amélioration du service et la mesure d'audience produit).

3.5 Génération et export de rapports PDF

Le FEC permet de générer, à la demande exclusive de l'Utilisateur, un rapport de diagnostic exportable au format PDF (4 pages). Ce document comprend le Score Nael, la synthèse des écarts sectoriels, la trajectoire historique et le compte de résultat simplifié.

Le rapport est généré uniquement sur action explicite de l'Utilisateur. Les données qu'il contient restent strictement confidentielles et ne sont transmises à aucun tiers sans consentement préalable.

4. Sous-traitants et transferts internationaux

Nael fait appel aux sous-traitants suivants pour fournir le service :

Sous-traitant	Rôle	Localisation	Base légale
OVH SAS	Hébergement API, base PostgreSQL	Strasbourg, France	Art. 6.1.b RGPD
Vercel Inc.	Hébergement frontend nael.so	USA (edge Paris CDG1)	SCC + DPF
Mistral AI SAS	Analyse IA — inférences (calcul des indicateurs, alertes et bilan mensuel)	Paris, France (UE)	Art. 6.1.b RGPD
Mémoire conversationnelle	PostgreSQL local, VPS OVH France — stockage self-hosted ; aucun sous-traitant tiers (Letta ou autre) ; aucune donnée mémoire ne quitte le VPS	Strasbourg, France	Art. 6.1.b RGPD
Resend Inc.	Emails transactionnels (activation, alertes, confirmations)	USA	SCC + DPF
Cloudflare Inc.	DNS, protection DDoS	USA (transit)	SCC + DPF
Stripe Inc.	Paiement par carte bancaire — activé uniquement si un abonnement payant est souscrit	USA	SCC + DPF
PostHog Inc.	Analytics produit (pages vues, funnels, événements d'usage) — instance EU	UE (Francfort, eu.posthog.com)	Art. 6.1.f RGPD
Functional Software Inc. (Sentry)	Monitoring erreurs applicatives (stack traces anonymisées)	USA	SCC + DPF
Namecheap Inc.	Enregistrement nom de domaine	USA	SCC + DPF

4.1 Transferts hors Union européenne — Art. 44 RGPD

Les sous-traitants situés aux États-Unis (Vercel, Cloudflare, Stripe, Namecheap) sont encadrés par :

• les clauses contractuelles types (SCC) de la Commission européenne (décision 2021/914), qui imposent un niveau de protection équivalent au RGPD ;
• la certification au Data Privacy Framework (DPF) UE-USA, reconnu par décision d'adéquation de la Commission européenne du 10 juillet 2023, pour les sous-traitants éligibles.

Le FEC peut être importé par le consultant mandaté ou par l'Utilisateur (auto-import). Les pièces justificatives sont déposées volontairement. Mistral AI reçoit uniquement les données comptables minimisées nécessaires à l'analyse ; Stripe ne reçoit de données qu'en cas d'abonnement payant actif. PostHog reçoit des événements d'usage anonymisés (aucune donnée comptable) ; Sentry reçoit des rapports d'erreur techniques.

4.2 Note spécifique sur la mémoire conversationnelle

Les conversations avec le conseiller Nael sont persistées exclusivement dans la base PostgreSQL hébergée sur le VPS OVH (France). Nael n'utilise pas Letta ni aucun autre service tiers pour stocker l'historique des échanges clients.

4.3 Note spécifique sur Mistral AI

Les analyses financières IA sont traitées par Mistral AI SAS (Paris, France). Seul le contenu de votre message et les indicateurs financiers nécessaires à la réponse sont transmis. Mistral ne stocke pas les données des appels API à des fins d'entraînement de ses modèles (voir Mistral Privacy Policy). Base légale : exécution du contrat (Art. 6.1.b RGPD). DPA Mistral disponible sur demande à hello@nael.so.

4.4 Minimisation lors de l'appel IA

Lors du traitement par notre prestataire IA, Nael ne transmet jamais d'identifiant bancaire complet (IBAN tronqué), de numéro de compte ni de nom de tiers nominatif lorsque cela peut être évité. Seules les données strictement nécessaires à l'extraction et à l'analyse sont transmises.

5. Hébergement et sécurité

Les garanties ci-dessous sont identiques à celles affichées sur la page restaurateurs :

• API et base de données hébergées chez OVH SAS — datacenter Strasbourg, France ;
• Frontend nael.so servi par Vercel Inc. via son edge node Paris (CDG1) ;
• Données financières hébergées en France, isolées par client, conformes RGPD ;
• Isolation stricte — chaque établissement dispose d'un espace de données séparé ;
• Suppression à la demande — suppression complète de toutes vos données sur simple demande à hello@nael.so ;
• Base de données PostgreSQL 16 avec isolation stricte par client (requêtes multi-tenant contrôlées) ;
• Chiffrement TLS 1.3 pour toutes les communications (HTTPS obligatoire sur nael.so et api.nael.so) ;
• Mots de passe stockés sous forme de hash bcrypt, jamais en clair ;
• Clés d'API externes stockées en variables d'environnement, jamais dans le code source ;
• Backups quotidiens automatisés de la base de données avec rétention de 30 jours ;
• Journal d'audit (audit trail) tracé en base sur toutes les opérations sensibles.

6. Durée de conservation

• FEC importé : stocké de façon isolée et chiffrée pendant la durée du compte, puis 10 ans après clôture (obligation légale de conservation des documents comptables prévue à l'article L.123-22 du Code de commerce) ;
• Indicateurs, score et bilans calculés : conservés pendant toute la durée de l'abonnement, puis 10 ans après résiliation, alignés sur la même obligation légale ;
• Données d'identification (prénom, email) : conservées pendant la durée de l'abonnement, puis supprimées dans les 3 ans suivant la résiliation ;
• Logs techniques et audit : 10 ans (obligation de piste d'audit fiable).

6.3 Données anonymisées et référentiel de performance

Avec votre consentement, Nael peut utiliser vos données financières sous forme strictement anonymisée et agrégée aux fins suivantes :

• Amélioration du service — détection de dysfonctionnements algorithmiques, calibrage des seuils d'alerte et des ratios de référence ;
• Référentiel de performance — production d'indices de performance permettant à chaque Utilisateur de se positionner par rapport à des entreprises comparables.

Base légale : consentement (article 6(1)(a) RGPD), librement révocable à tout moment depuis les paramètres du compte ou par email à hello@nael.so.

→ Lire la page d'information complète sur les données anonymisées

7. Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie des données que nous détenons sur vous ;
• Droit de rectification — corriger des données inexactes ou incomplètes ;
• Droit à l'effacement — demander la suppression de vos données (sous réserve des obligations légales de conservation comptable) ;
• Droit à la limitation du traitement — restreindre l'usage de vos données dans certains cas ;
• Droit à la portabilité — recevoir vos données dans un format structuré, lisible par machine ;
• Droit d'opposition — vous opposer à certains traitements fondés sur l'intérêt légitime ;
• Retrait du consentement — pour les traitements fondés sur le consentement (benchmarks, emails marketing) à tout moment.

Pour exercer ces droits, contactez-nous à hello@nael.so. Une réponse est garantie sous 30 jours (délai prolongeable de 2 mois en cas de complexité).

8. Cookies et traceurs

Le site nael.so et l'application Nael n'utilisent aucun cookie publicitaire ni traceur marketing tiers (pas de Google Analytics, Meta Pixel, etc.).

Cookies strictement nécessaires (exemptés de consentement préalable, article 82 de la loi Informatique et Libertés) :

• Cookie HttpOnly nael_auth — session authentifiée (jeton jamais accessible au JavaScript) ;
• Stockage local pour préférences d'affichage et métadonnées non sensibles (prénom, plan).

Analytics produit (PostHog) : Nael utilise PostHog (hébergement EU, eu.posthog.com) pour mesurer l'usage du service (pages consultées, parcours d'inscription, clics CTA). PostHog peut déposer un cookie de session et utiliser le localStorage pour l'attribution (UTM). Aucune donnée comptable n'est transmise à PostHog. Base légale : intérêt légitime (amélioration du produit). Vous pouvez vous y opposer en activant le mode « Ne pas suivre » de votre navigateur ou en nous contactant à hello@nael.so.

Monitoring erreurs (Sentry) : en cas d'erreur technique, un rapport anonymisé peut être envoyé à Sentry pour diagnostic. Aucune donnée comptable n'est incluse.

9. Réclamations auprès de l'autorité de contrôle

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• En ligne : cnil.fr/plaintes
• Par courrier : CNIL — 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07