Informations légales
Politique de confidentialité
Dernière mise à jour : novembre 2026
1. Responsable du traitement
CST Lab, éditeur de Kompta, est responsable du traitement de vos données personnelles. Pour toute question relative à vos données : contact@cstlab.dev.
2. Données collectées
Nous collectons les données suivantes :
- Données de compte : email, nom, mot de passe (chiffré)
- Données d'entreprise : nom, SIRET, adresse, régime TVA
- Données comptables : factures, montants, fournisseurs, clients, devis
- Données de navigation : logs de connexion, adresse IP
- Données de paiement : gérées directement par Stripe (nous n'accédons pas à vos coordonnées bancaires)
3. Finalités du traitement
Vos données sont utilisées pour :
- Fournir le service Kompta (gestion comptable)
- Gérer votre compte et votre abonnement
- Vous envoyer des notifications de service (nouveaux abonnements, factures)
- Améliorer le service et assurer sa sécurité
- Respecter nos obligations légales
4. Base légale
Le traitement de vos données repose sur :
- L'exécution du contrat (fourniture du service)
- Notre intérêt légitime (amélioration du service, sécurité)
- Le respect de nos obligations légales
5. Hébergement et sécurité
Vos données sont hébergées sur les serveurs de Supabase (infrastructure AWS, région Europe). Les communications sont chiffrées en HTTPS. Les mots de passe sont hachés avec bcrypt.
Chaque entreprise dispose d'un espace de données totalement isolé grâce à des politiques de sécurité au niveau de la base de données (Row Level Security).
6. Partage des données
Nous ne vendons jamais vos données. Elles peuvent être partagées avec les sous-traitants suivants, strictement pour le fonctionnement du service :
- Supabase, hébergement de la base de données (région européenne)
- Hostinger, hébergement du site et de l'application
- Stripe, traitement des paiements
- Resend, envoi d'emails transactionnels
- B2Brouter, Plateforme Agréée (PA) assurant la transmission officielle de vos factures électroniques (réseau B2B et dépôt Chorus Pro). Reçoit les données nécessaires à l'émission de la facture (client, montants, lignes).
- Google (API Gemini), extraction automatique des données de vos factures fournisseurs par intelligence artificielle. Les documents transmis ne sont pas utilisés pour entraîner les modèles.
- Sentry, supervision technique et détection d'erreurs (journaux applicatifs)
Ces prestataires sont soumis à des obligations strictes de confidentialité et agissent en tant que sous-traitants au sens du RGPD.
7. Transferts hors Union européenne
Certains sous-traitants (Stripe, Google, Resend, Sentry) sont établis aux États-Unis. Les transferts de données correspondants sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification EU-U.S. Data Privacy Framework, garantissant un niveau de protection adéquat.
8. Durée de conservation
- Données de compte actif : durée de l'abonnement
- Après résiliation : 30 jours puis suppression définitive
- Données de facturation : 10 ans (obligation légale comptable)
9. Vos droits (RGPD)
Conformément au RGPD, vous disposez des droits suivants :
- Accès, obtenir une copie de vos données
- Rectification, corriger vos données inexactes
- Suppression, demander la suppression de vos données
- Portabilité, recevoir vos données dans un format lisible
- Opposition, vous opposer à certains traitements
Pour exercer ces droits : contact@cstlab.dev
Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).
10. API, webhooks et assistants IA (connecteur MCP)
Ces fonctions sont facultatives : elles ne s'activent que si le titulaire du compte ou un administrateur crée une clé API, enregistre un webhook ou connecte un assistant IA (par exemple Claude) à Kompta.
Données accessibles. Uniquement celles de l'entreprise qui a donné l'accès, selon les droits choisis : clients, devis, factures clients et fournisseurs, prospects, catalogue et chiffres d'activité, en lecture seule ou avec création de brouillons. Jamais les données d'une autre entreprise, ni les mots de passe, les coordonnées bancaires de connexion ou les réglages du compte. Rien n'est envoyé à vos clients par ces accès : l'envoi d'un devis ou d'une facture se fait toujours depuis Kompta.
Assistants IA. Lorsque vous posez une question à votre assistant, celui-ci demande à Kompta les seules données utiles à votre demande ; Kompta les lui transmet, et l'éditeur de l'assistant (par exemple Anthropic pour Claude) les traite selon sa propre politique de confidentialité, dans le cadre de votre relation avec lui. Kompta ne reçoit pas le contenu de vos conversations : seulement les paramètres de chaque demande (par exemple une période ou un nom de client), utilisés pour y répondre et non conservés au-delà des journaux techniques et du journal d'audit des créations.
Ce que Kompta conserve. L'empreinte chiffrée (jamais la valeur) des clés et jetons d'accès ; la liste des applications autorisées (nom de l'application, date d'autorisation et de dernière utilisation) ; les adresses de webhooks et leur journal d'envoi (30 jours). Jetons d'accès valables 1 heure, jetons de renouvellement 60 jours, codes de connexion 10 minutes.
Contrôle. Vous voyez et coupez à tout moment chaque clé, webhook et application connectée dans Kompta (Plus d'outils → API) : l'accès cesse immédiatement. Documentation : kompta.pro/developpeurs. Questions : contact@cstlab.dev.