Politique de confidentialité

Cette politique s'applique aux visiteurs du site Cashbox (cashbox.events) ainsi qu'aux organisations et utilisateurs de l'application Cashbox.

Lorsque vous utilisez Cashbox par l'intermédiaire de votre employeur ou de votre société de production, cette organisation est responsable du traitement des données d'événements, de dépenses, de recettes et de justificatifs saisies par votre équipe. Cashbox agit comme sous-traitant pour son compte.

Pour le site lui-même et pour votre compte personnel (nom, e-mail, connexion), Cashbox est responsable du traitement.

Données de compte et d'authentification : nom, adresse e-mail, photo de profil (si fournie), identifiants hachés ou identifiants de connexion fédérée (p. ex. Google), appartenance à une organisation, rôle et langue préférée.

Configuration de l'organisation : nom de l'organisation, numéro fiscal, devise par défaut, paramètres régionaux, catégories, seuils de validation, catalogue des taux de TVA et membres invités.

Données financières saisies par votre équipe : événements, budgets, dépenses (y compris fournisseur, montants, dates, lignes de TVA, taux de change figés), lignes de recettes, validations, notes et l'historique d'audit associé.

Fichiers téléversés : factures et justificatifs joints, et captures d'écran facultatives jointes aux demandes de support ou signalements de bug. Ils sont stockés dans Firebase Storage sous votre organisation. Un CSV que vous importez est lu dans votre navigateur et le fichier lui-même n'est jamais conservé : seules les lignes que vous confirmez sont enregistrées, sous forme de dépenses ou de recettes.

Données de facturation : offre, statut de l'abonnement, e-mail de facturation, numéro de TVA et historique des factures. Les données de carte bancaire sont traitées par Stripe et ne sont jamais stockées sur les serveurs de Cashbox.

Communications : le contenu des messages que vous nous envoyez via le formulaire de contact, le formulaire de support, les signalements de bug et les e-mails directs.

Données techniques : adresse IP, navigateur, type d'appareil, localisation approximative déduite de l'IP, horodatages et journaux serveur standard utilisés pour la sécurité, la prévention des abus et le débogage.

Pour faire fonctionner le service : authentifier les utilisateurs, afficher les données de votre organisation, gérer les validations, calculer les totaux, envoyer les e-mails transactionnels (invitations, validations, réinitialisation de mot de passe) et tenir une piste d'audit infalsifiable.

Pour assurer le support : répondre aux messages de contact, de support et aux signalements de bug, et analyser les problèmes que vous signalez.

Pour faciliter les imports : lorsque vous importez un CSV, ses en-têtes de colonnes et un échantillon de ses lignes sont envoyés à l'API Gemini de Google afin de proposer une association des colonnes. Vous confirmez l'association avant tout enregistrement, et si le service est indisponible, l'import associe les colonnes par leur nom.

Pour facturer et gérer les abonnements : appliquer les limites de l'offre (événements actifs, utilisateurs), traiter les paiements via Stripe et émettre des reçus.

Pour protéger le service : détecter les abus, prévenir la fraude, limiter le nombre de soumissions et protéger les autres clients.

Pour améliorer le produit : comprendre les usages agrégés et la fiabilité. Nous ne vendons pas de données personnelles et n'utilisons pas les données financières de votre organisation pour entraîner des modèles externes.

Exécution d'un contrat : fournir le service à l'organisation et à l'utilisateur qui se sont inscrits.

Intérêts légitimes : sécuriser le service, prévenir les abus, répondre aux demandes et améliorer la fiabilité, dans le respect de vos droits.

Obligations légales : respecter les exigences comptables, fiscales et autres obligations légales (par exemple, la conservation des données de facturation).

Consentement : lorsque vous choisissez de nous envoyer des informations facultatives, comme une capture d'écran jointe à un signalement de bug.

Nous partageons des données avec un petit nombre de fournisseurs d'infrastructure et de services, uniquement pour faire fonctionner Cashbox :

Google Cloud / Firebase : authentification, base de données Firestore et Cloud Storage (région des données : UE lorsque disponible).

Vercel : hébergement et diffusion de l'application. Traite les requêtes adressées au site et à l'API, et conserve des journaux serveur standard.

Stripe : facturation des abonnements et paiements ; traite vos données de carte dans son propre environnement conforme PCI.

Resend : envoi des e-mails transactionnels et des notifications émis par le produit.

Google Gemini : association des colonnes lors des imports CSV. Lorsque vous importez un fichier, ses en-têtes de colonnes, ses 15 premières lignes et les valeurs distinctes de catégorie ou de source de recettes qu'il contient sont envoyés à l'API Gemini pour qu'elle propose quelle colonne correspond à quoi. La proposition est une suggestion que vous confirmez, et l'import fonctionne même si l'appel échoue.

Google Analytics : mesure d'audience sur nos pages publiques, chargée uniquement avec votre consentement ; les adresses IP sont anonymisées.

Nous avons signé des accords écrits de traitement des données avec chaque sous-traitant et ne partageons que le minimum nécessaire au service concerné. Les transferts internationaux sont encadrés par des clauses contractuelles types lorsque c'est applicable.

Les données saisies dans une organisation (événements, dépenses, recettes, pièces jointes, entrées d'audit) sont visibles par les autres membres de cette organisation selon le rôle qui leur est attribué.

Les propriétaires et administrateurs d'une organisation voient les membres, les invitations, les changements de rôle et l'intégralité des données financières. Les propriétaires peuvent exporter ou supprimer les données de leur organisation à tout moment.

Nous ne vendons pas de données personnelles et ne les communiquons pas à des tiers pour leur propre publicité.

Nous pouvons communiquer des informations si la loi l'exige, en réponse à une procédure légale valable, ou lorsque c'est raisonnablement nécessaire pour protéger le service, nos utilisateurs ou nos droits.

Les données de compte et d'organisation sont conservées tant que l'organisation est active. En cas de résiliation, elles sont conservées pendant une courte période de grâce pour permettre l'export, puis supprimées ou anonymisées sur demande.

Les données de facturation, fiscales et comptables peuvent être conservées plus longtemps lorsque le droit estonien et le droit de l'UE l'exigent (généralement jusqu'à 7 ans pour les documents comptables).

Les journaux serveur et les données de sécurité sont conservés pendant une durée limitée, adaptée à leur finalité.

Les données sont transmises via TLS et stockées sur une infrastructure gérée avec chiffrement au repos. Les accès sont fondés sur les rôles et appliqués à la fois dans l'application et au niveau de la base de données via des règles de sécurité.

Chaque écriture sur les données financières est consignée dans un journal d'audit avec l'auteur, l'horodatage et la modification. Aucun système n'est parfaitement sûr : si vous pensez que votre compte a été compromis, contactez-nous immédiatement.

En vertu du RGPD et de lois similaires, vous pouvez demander l'accès à vos données personnelles, leur rectification ou leur effacement, vous opposer à certains traitements ou en demander la limitation, et demander une copie portable de vos données.

Les propriétaires peuvent exporter les données financières de leur organisation directement depuis le produit. Pour les demandes concernant un compte personnel, écrivez à hello@cashbox.events avec suffisamment de détails pour que nous puissions identifier l'enregistrement.

Si vous estimez que nous n'avons pas traité votre demande correctement, vous pouvez introduire une réclamation auprès de l'autorité estonienne de protection des données (Andmekaitse Inspektsioon) ou de l'autorité de contrôle de l'État membre de l'UE où vous résidez.

Cashbox utilise un petit nombre de cookies strictement nécessaires pour vous garder connecté, vous protéger contre la falsification de requêtes intersites et mémoriser votre langue. Ils sont indispensables au fonctionnement du service et ne sont pas facultatifs.

Avec votre consentement, nous utilisons aussi Google Analytics 4 pour comprendre comment les visiteurs trouvent et utilisent notre site public. Il n'est chargé qu'après votre acceptation dans le bandeau cookies : si vous refusez ou ignorez le bandeau, aucun script de mesure n'est chargé et aucun cookie de mesure n'est déposé.

Si vous acceptez, nous conservons aussi les paramètres de campagne (comme utm_source ou gclid) du lien qui vous a amené sur le site pour la première fois, afin de savoir quelle action marketing a mené à une inscription. Si vous refusez, ils sont supprimés et ne quittent jamais votre navigateur.

Vous pouvez modifier votre choix à tout moment en effaçant les données de ce site dans votre navigateur : le bandeau réapparaît. Nous vous le redemandons de toute façon au moins tous les six mois.

Cashbox est un produit professionnel et ne s'adresse pas aux enfants de moins de 16 ans. Si vous pensez qu'un mineur a créé un compte, contactez-nous et nous le supprimerons.

Nous pouvons mettre à jour cette politique à mesure que le produit évolue. Les changements importants seront signalés sur la page et, le cas échéant, notifiés par e-mail aux propriétaires d'organisation.

La date de « dernière mise à jour » en haut de cette page indique toujours la version en vigueur.

Pour toute question sur la confidentialité, demande relative à vos droits ou information sur les sous-traitants, écrivez à hello@cashbox.events.