Version 2026-11

Accord de sous-traitance

Quand vous utilisez le Service avec un compte, vous y mettez des données personnelles de vos clients. Cet accord fixe, comme l'exige l'article 28 du RGPD, ce que facturx peut en faire. Il fait partie des conditions générales d'utilisation : les accepter, c'est l'accepter.

1. Les parties et les rôles

Vous (l'« Utilisateur ») êtes responsable du traitement des données personnelles de vos clients et de leurs interlocuteurs que vous saisissez dans le Service.
facturx est votre sous-traitant pour ces données : il les traite pour votre compte et sur vos instructions.
Pour les données de votre compte et de votre entreprise (adresse e-mail, acceptation des CGU, profil de votre entreprise et coordonnées de paiement, journaux du site), facturx est lui-même responsable du traitement : voir la politique de confidentialité.

facturx est édité par Ibird, particulier, à titre non professionnel et gratuit. Contact : hello@ibird.dev.

Cet accord porte le numéro de version 2026-11, comme les conditions générales d'utilisation dont il fait partie, et s'applique depuis le 8 novembre 2026.

2. Objet, nature et durée du traitement

Le traitement a pour seul objet de vous rendre le Service. Il consiste à héberger et conserver vos données ; à émettre vos factures (numérotation, contrôle, production du PDF) ; à calculer les statuts de paiement et le tableau de bord ; à envoyer les relances que vous demandez ; à exporter et à supprimer vos données.

Il dure autant que votre compte, jusqu'à l'effacement qui suit sa suppression (article 10).

3. Données et personnes concernées

Données : nom ou raison sociale, nom de l'interlocuteur, adresse postale, SIREN, SIRET et numéro de TVA, adresse e-mail et téléphone de contact de vos clients ; contenu de vos factures (lignes et montants) ; paiements que vous saisissez ; relances envoyées (destinataire, objet, texte).
Personnes concernées : vos clients quand ce sont des particuliers ou des entrepreneurs individuels, et les interlocuteurs que vous désignez chez vos clients.

Le Service n'est pas conçu pour des données sensibles (santé, opinions, appartenance syndicale…). Ne les saisissez pas dans les notes ou les libellés.

4. Vos instructions

Nous ne traitons ces données que sur vos instructions documentées : ce que vous faites dans le Service (créer un client, émettre une facture, enregistrer un paiement, demander une relance, exporter, supprimer) et les présentes conditions. Une relance, par exemple, ne part que lorsque vous l'envoyez vous-même. Si une instruction nous paraît contraire au RGPD, nous vous le disons.

5. Confidentialité

Les personnes autorisées à accéder à ces données sont tenues à la confidentialité.

6. Sécurité

Nous mettons en œuvre les mesures suivantes, détaillées dans la politique de confidentialité.

Des règles d'accès sur chaque table, qui refusent par défaut : un compte ne lit ni n'écrit les données d'un autre.
Des écritures qui engagent juridiquement (émission, relance) faites uniquement par des fonctions du serveur ; aucune facture émise ne peut être modifiée ni supprimée depuis le navigateur.
Des espaces de stockage privés, ouverts par des liens signés valables 60 secondes.
Une clé de service qui reste dans les secrets des fonctions du serveur.
Une copie chiffrée chaque nuit chez un autre hébergeur européen, seule sauvegarde des données.
Un chiffrement au repos par l'hébergeur. Les données restent lisibles par le Service, qui en a besoin pour émettre, numéroter, calculer ce qu'il reste à payer et relancer : ce n'est pas un chiffrement de bout en bout.

7. Sous-traitants ultérieurs

Vous nous autorisez à faire appel aux sous-traitants ultérieurs suivants.

Sous-traitant	Traitement confié	Société	Où
Supabase	Base de données, authentification, stockage des PDF et des fichiers, fonctions du Service	Supabase Inc., société américaine	Région eu-central-1 (Francfort, Allemagne), sur l'infrastructure d'AWS
Brevo	Envoi des e-mails d'authentification et des relances	Société française	Hébergement dans l'Union européenne
Scaleway	Copie quotidienne chiffrée des données du Service	Scaleway SAS, société française	Région fr-par (Paris), hors de Supabase

Supabase est une société américaine. Vos données sont hébergées à Francfort, mais Supabase Inc. reste soumise au droit des États-Unis : nous ne pouvons pas vous promettre que les données de vos clients échappent à toute demande d'une autorité américaine adressée à ce prestataire. Si cela vous pose problème, n'utilisez pas le Service avec un compte pour les données de vos clients : le Studio sans compte ne transmet rien de ce que vous saisissez.

Nous lions chaque sous-traitant ultérieur par un contrat qui lui impose les obligations de protection du présent accord (article 28, paragraphe 4 du RGPD). Tout ajout ou remplacement d'un sous-traitant ultérieur est publié sur cette page, sous un nouveau numéro de version. Si vous vous y opposez, exportez vos données et supprimez votre compte.

8. Droits des personnes concernées

Si l'un de vos clients nous écrit pour exercer ses droits sur des données que vous avez saisies, nous le renvoyons vers vous. Nous vous aidons à lui répondre : l'export vous remet l'ensemble des données, et vous corrigez vos clients dans le Service.

Les factures émises ne se modifient ni ne se suppriment pendant la vie du compte. Elles relèvent de votre obligation légale de conservation, qui limite le droit à l'effacement pour ces données.

9. Violation de données et assistance

Si nous constatons une violation de données personnelles qui touche les données de vos clients, nous vous en informons dans les meilleurs délais après en avoir pris connaissance, avec les informations dont nous disposons, pour que vous puissiez remplir vos propres obligations. Nous vous aidons, dans la mesure de nos moyens, pour la sécurité des données, les analyses d'impact et les échanges avec l'autorité de protection des données.

10. Fin du contrat : restitution et effacement

Avant de supprimer votre compte, exportez vos données : « Exporter mes données » vous remet une archive zip, avec un fichier JSON portable et tous vos PDF.
À votre demande de suppression, un délai de grâce de 30 jours commence. Le Service n'émet plus rien et n'envoie plus de relance ; il ne propose que l'export, l'annulation de la suppression et la déconnexion.
Après 30 jours, à la première passe de nuit qui suit, nous effaçons tout, dans cet ordre : les PDF et les fichiers, votre identifiant de connexion, les données de votre entreprise (factures, clients, catalogue, paiements, relances), puis les traces de vos connexions que garde le serveur d'authentification.

Les copies de sauvegarde ne sont pas réécrites par cet effacement : elles disparaissent quand elles expirent, selon la durée indiquée dans la politique de confidentialité. Les journaux techniques de l'hébergeur non plus : ils s'effacent d'eux-mêmes au bout d'un jour.

La loi impose de conserver vos factures pendant dix ans. Cette obligation est la vôtre, pas celle de facturx : l'export est le moyen de les garder.

11. Preuves et audits

Pour que vous puissiez vérifier que nous respectons cet accord, nous mettons à votre disposition ce texte, la politique de confidentialité et le code du Service, publié dans le dépôt du projet (schéma, règles d'accès, fonctions d'émission et de relance). Nous contribuons aux audits que vous demandez, ou que demande un auditeur que vous mandatez, dans des conditions convenues à l'avance.

12. Vos obligations

Vous informez vos clients que leurs données sont traitées pour établir et suivre leurs factures, et par qui.
Vous vous assurez que vous avez le droit de traiter ces données et de contacter vos clients, notamment pour les relancer.
Vous gardez vous-même vos factures pendant la durée légale.