← Retour à DepoFact

Traitement des données personnelles

Dernière mise à jour : mai 2026  ·  Applicable à depofact.be, my.depofact.be et l'application mobile DepoFact

1. Responsable du traitement

Una Group BV, opérant sous la marque DepoFact, est le responsable du traitement au sens du Règlement général sur la protection des données (RGPD, Règlement (UE) 2016/679).

2. Quelles données collectons-nous ?

Catégorie	Données concrètes	Source
Données de compte	Adresse e-mail, nom d'affichage, UID Firebase Authentication, horodatage de connexion, préférence de langue	Directement via le formulaire de connexion
Données métier et transactions	Noms d'entreprises, coordonnées, factures, commandes, paiements, mouvements de stock, devis	Saisis par l'utilisateur ou importés via l'API Billit
Token de notification push	Token FCM (Firebase Cloud Messaging), plateforme (Android/iOS), langue, horodatage d'enregistrement	Automatiquement à l'installation de l'application
Données analytiques	ID de session, pages vues, événements de clic, langue, type d'appareil, adresse IP anonymisée (dernier octet supprimé)	Google Analytics 4 (GA4), ID de mesure G-5M5S0MHMET
Données de journalisation	Horodatages d'envoi d'e-mails, statut de livraison (ouverture/clic via événements SES), journaux d'erreurs Cloud Functions	AWS Simple Email Service (SES) + Firebase Cloud Functions
Données d'appareil et de session	User-agent, version navigateur/OS, largeur d'écran (uniquement pour le diagnostic d'erreurs)	Automatique

3. Finalités et bases légales

Finalité	Base légale (RGPD art. 6)
Fourniture du service SaaS (facturation, gestion des stocks, reporting)	Exécution d'un contrat (art. 6.1.b)
Authentification et contrôle d'accès	Exécution d'un contrat (art. 6.1.b)
Envoi d'e-mails transactionnels (alertes de factures, confirmations de paiement)	Exécution d'un contrat (art. 6.1.b)
Notifications push sur les nouvelles factures et paiements	Intérêt légitime (art. 6.1.f) – notification rapide au personnel autorisé
Analyse de la plateforme et amélioration de l'UX	Intérêt légitime (art. 6.1.f) – statistiques agrégées anonymes
Sécurité, prévention de la fraude et détection d'erreurs	Intérêt légitime (art. 6.1.f)

4. Infrastructure technique et lieu de stockage

Toutes les données personnelles sont stockées et traitées sur des serveurs belges via les prestataires suivants :

• Google Firebase (GCP) – stockage, authentification, notifications push et traitement serverless. Serveurs situés en Belgique (UE). Traitement des données conforme au DPA Google Cloud et aux Clauses Contractuelles Types (CCT).
• Amazon SES – utilisé uniquement pour l'envoi d'e-mails transactionnels. Serveurs situés dans l'UE (Irlande).
• Google Analytics – statistiques anonymisées du site web (l'adresse IP n'est pas stockée intégralement).
• Billit NV – synchronisation des données comptables, uniquement sur demande explicite de l'administrateur locataire.

5. Durées de conservation

Catégorie de données	Durée de conservation
Données de compte et données de transaction	Durée du contrat locataire + 7 ans (obligation légale de comptabilité)
Tokens FCM push	Supprimés automatiquement à la déconnexion ; tokens invalides supprimés après échec de livraison
Journaux d'e-mails (événements SES)	90 jours
Journaux Cloud Functions (Google Cloud Logging)	30 jours (rétention GCP par défaut)
Données analytiques GA4	14 mois (configuré dans les paramètres de propriété GA4)

6. Cookies et stockage local

• IndexedDB – cache hors ligne Firestore : copie locale des données métier pour utilisation hors ligne.
• localStorage – préférence de langue, ID de locataire actif, token FCM, marqueurs de session.
• Service Worker Cache (Cache Storage API) – assets PWA statiques pour disponibilité hors ligne.
• Cookies Google Analytics – _ga, _ga_* : suivi de session anonyme (validité 2 ans).

7. Partage avec des tiers

DepoFact ne partage les données personnelles qu'avec les parties suivantes, et uniquement dans la mesure strictement nécessaire à la prestation du service :

• Google LLC – infrastructure cloud et analytics (accord de traitement des données en place).
• Amazon Web Services EMEA SARL – livraison d'e-mails via Amazon SES (accord de traitement des données en place).
• Billit NV – synchronisation comptable uniquement sur activation explicite par l'administrateur locataire.

Les données ne sont jamais vendues, louées ni transmises à des partenaires marketing.

8. Sécurité

• Toutes les communications chiffrées via TLS 1.2+.
• Accès Firestore sécurisé par les Firebase Security Rules au niveau du document (isolation multi-locataires par tenantId).
• Cloud Functions sécurisées via Firebase App Check et Google reCAPTCHA Enterprise.
• Livraison d'e-mails SES avec authentification DKIM et SPF sur notify.depofact.be.
• Tokens FCM supprimés immédiatement de Firestore à la déconnexion.

9. Vos droits en tant que personne concernée

• Droit d'accès (art. 15)
• Droit de rectification (art. 16)
• Droit à l'effacement (art. 17)
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité des données (art. 20)
• Droit d'opposition (art. 21)

Pour soumettre une demande : privacy@depofact.be. Réponse sous 30 jours.

Vous avez également le droit de déposer une plainte auprès de l'Autorité de protection des données (APD) :
Rue de la Presse 35, 1000 Bruxelles – autoriteprotectiondonnees.be

10. Contact