Responsable du traitement
Marcel Budget — 20, avenue des Champs-Élysées, 75000 Paris
SIRET : 245 678 958 00013 — Email : contact@praxow.com
Données collectées
Données de compte : adresse email, mot de passe (chiffré), date d'inscription et d'acceptation des CGU.
Données financières : transactions, comptes bancaires, budgets et objectifs. Saisies volontairement, elles ne proviennent d'aucune connexion bancaire automatique.
Données de facturation : identifiant client et abonnement Stripe, plan souscrit. Les données de carte bancaire sont gérées exclusivement par Stripe et ne transitent jamais par nos serveurs.
Hébergement et localisation
Les données sont hébergées exclusivement en Europe :
- Base de données : Google Firebase Firestore — région europe-west3 (Francfort, Allemagne)
- Application et Serverless Functions : Vercel — région cdg1 (datacenter de Paris, France). Un Data Processing Agreement (DPA) a été signé avec Vercel conformément à l'article 28 du RGPD
- Paiements : Stripe Payments Europe Ltd — certifié PCI-DSS niveau 1, données hébergées en Europe
- Emails transactionnels : Brevo (ex-Sendinblue) — société française, données hébergées en France
- Analytics : PostHog — instance européenne (eu.posthog.com), mode persistence:memory (aucun cookie déposé, aucune donnée stockée sur le navigateur)
- Détection d'erreurs applicatives : Sentry — instance européenne (Frankfurt, Allemagne), traces d'erreur conservées 90 jours
Toutes les données sont hébergées dans des datacenters situés dans l'Espace Économique Européen. Aucun transfert de données personnelles hors EEE n'est effectué. Des accords de traitement des données (DPA) conformes à l'article 28 du RGPD ont été signés avec chaque sous-traitant.
Durée de conservation
- Données de compte et financières : conservées pendant toute la durée de l'abonnement actif, puis supprimées 30 jours après la suppression du compte
- Données de facturation : 10 ans (obligation légale comptable)
- Journal d'audit (historique des actions) : 6 mois glissants, supprimé automatiquement au-delà
- Sessions et données de connexion : 30 jours
- Logs techniques : 12 mois
Politique de rétention — comptes inactifs
Conformément au principe de minimisation des données (article 5 du RGPD), les comptes inactifs sont soumis à la politique de rétention suivante :
- Après 6 mois d'inactivité : un email de rappel vous est envoyé
- Après 11 mois d'inactivité : un email d'avertissement vous informe que vos données seront supprimées dans 30 jours
- Après 12 mois d'inactivité : suppression automatique de toutes vos données et de votre compte
Une simple connexion à votre compte remet le compteur à zéro. Vous pouvez désactiver la suppression automatique depuis Mon compte → Sécurité.
Partage des données
Les données ne sont jamais vendues ni partagées à des fins commerciales. Elles sont accessibles uniquement par nos sous-traitants techniques dans le cadre strict de la fourniture du Service :
- Google Firebase — base de données et authentification (DPA Google Cloud)
- Vercel — hébergement et fonctions serverless (DPA Vercel signé)
- Stripe — traitement des paiements (DPA Stripe, certifié PCI-DSS)
- Brevo — envoi d'emails transactionnels (DPA Brevo, hébergement France)
- PostHog — analytics d'usage anonymisées (DPA PostHog, instance EU, aucun cookie)
- Sentry — détection d'erreurs applicatives (DPA Sentry, instance EU Frankfurt)
Vos droits (RGPD)
Vous disposez des droits suivants sur vos données :
- Accès : obtenir une copie de vos données
- Rectification : corriger des données inexactes
- Effacement : supprimer votre compte depuis Mon compte → Sécurité & Données
- Portabilité : exporter vos données depuis Mon compte → Sécurité & Données
- Opposition et limitation du traitement
Pour exercer ces droits : contact@praxow.com. Réponse sous 30 jours. En cas de réponse insatisfaisante, vous pouvez saisir la CNIL (cnil.fr).
Cookies et traceurs
Praxow utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du Service (authentification Firebase, session utilisateur). Aucun cookie publicitaire, de profilage ou de tracking tiers n'est utilisé.
L'outil d'analytics PostHog est configuré en mode persistence:memory : il ne dépose aucun cookie et ne stocke aucune donnée sur le navigateur de l'utilisateur. Aucune bannière de consentement cookies n'est donc requise au titre de l'article 82 de la loi Informatique et Libertés.
Sécurité
- Chiffrement des mots de passe (Firebase Authentication)
- Double authentification TOTP disponible (Google Authenticator, Authy)
- Communications chiffrées via HTTPS/TLS sur tous les échanges
- Accès aux données restreint par identifiant utilisateur (règles Firestore par uid + email vérifié)
- Données de paiement gérées exclusivement par Stripe (certifié PCI-DSS niveau 1)
- Monitoring applicatif via Sentry (détection et correction proactive des erreurs)
- Déconnexion automatique après inactivité prolongée (durée configurable)