Politique de confidentialité

1. Responsable du traitement

L’entité responsable des traitements décrits dans cette politique est :

CALITEM TECH, S.L.
CL TOLEDO, 110, 28005 MADRID, ESPAGNE
NIF : B93778769
Contact : info@calitem.com

Si nous nous implantons en Italie et désignons un établissement local ou un représentant au titre de l’article 27 du RGPD, leurs coordonnées seront ajoutées à l’annexe Italie ci-dessous.

2. Délégué à la protection des données

Calitem n’a pas désigné de délégué à la protection des données. Au regard de l’article 37 du RGPD et de l’article 34 de la LOPDGDD, la nature, l’étendue et les finalités de nos traitements ne nous y obligent pas. Pour toute question, écrivez à info@calitem.com.

Nous réexaminons périodiquement cette désignation selon ces critères et mettrons cette page à jour si elle change.

3. Catégories de données personnelles traitées

Données de compte et de facturation

• Identification : nom, e-mail professionnel, fonction, nom de l’entreprise.
• Authentification : mot de passe haché ou identifiant d’identité fédérée.
• Facturation : identifiant fiscal, adresse de facturation, référence du moyen de paiement (jeton Stripe ; nous ne conservons pas les numéros de carte bruts).

Contenu client, factures et documents comptables

Les factures, reçus, bons de livraison et documents similaires importés contiennent généralement des données de tiers : fournisseurs, leurs salariés, indépendants et parfois votre personnel. Les champs comprennent :

• Noms, identifiants fiscaux (NIF, CIF, numéro de TVA), adresses, e-mails et téléphones.
• Identifiants bancaires (IBAN) visibles sur le document.
• Données de transaction : montants, lignes, dates et conditions de paiement.

Nous traitons ces données en qualité de sous-traitant pour votre compte, conformément à l’avenant de traitement des données incorporé à nos Conditions.

Données techniques et télémétrie

• Adresse IP, navigateur, système d’exploitation, empreinte de l’appareil.
• Journaux applicatifs, traces d’erreur et indicateurs de performance.
• Événements d’authentification et journaux d’audit.

Communications

• Demandes d’assistance, correspondance par e-mail et messages dans l’application.
• Réponses aux enquêtes et commentaires.

Nous utilisons le pays et la région approximatifs associés à votre adresse IP pour proposer le catalan aux visiteurs détectés en Catalogne et le basque aux visiteurs détectés au Pays basque (Euskadi). Nous ne demandons pas la position précise de votre appareil et ne modifions pas un choix explicite de langue.

4. Finalités et bases juridiques

Pour chaque finalité, nous identifions la base juridique au titre de l’article 6 du RGPD :

• Fourniture du service (réception, OCR, classification, export vers votre ERP) : article 6(1)(b), exécution d’un contrat.
• Facturation, comptabilité et obligations fiscales : article 6(1)(c), obligation légale (Código de Comercio, Ley General Tributaria).
• Amélioration du service, sécurité, prévention des fraudes et débogage : article 6(1)(f), intérêt légitime. Nous effectuons une mise en balance dont vous pouvez demander un résumé.
• Marketing auprès des clients existants pour des produits similaires : article 6(1)(f) et exception de l’article 21 LSSI-CE, avec désinscription dans chaque message.
• Marketing auprès des prospects et non-clients : article 6(1)(a), consentement.
• Cookies et traceurs non essentiels : article 6(1)(a) RGPD et article 22.2 LSSI-CE, consentement. Consultez la Politique de cookies.

La base juridique entre vous et les personnes figurant sur les factures relève de votre responsabilité de responsable du traitement, généralement une obligation légale ou un intérêt légitime comptable.

5. Responsable du traitement et sous-traitant

Calitem intervient comme :

• Responsable du traitement pour les données de compte, de facturation, les analyses du site et les communications d’assistance : nous déterminons les finalités et moyens.
• Sous-traitant pour le contenu des documents importés. Vous restez responsable du traitement ; nous suivons vos instructions documentées selon un avenant de traitement des données (DPA). Pour le recevoir, écrivez à info@calitem.com.

6. Destinataires et sous-traitants ultérieurs

Nous partageons les données uniquement avec des prestataires liés contractuellement selon l’article 28 RGPD. Les sous-traitants actuels comprennent :

• Supabase (région UE) : base de données, authentification et stockage d’objets.
• Microsoft Azure, Document Intelligence : OCR et analyse de la mise en page.
• OpenAI / Anthropic (API) : inférence pour extraction et classification. Des accords d’entreprise s’appliquent ; voir §7.
• Stripe : paiements.
• Postmark : e-mails transactionnels.
• Google Analytics 4, Microsoft Clarity : analyses du site et recherche sur l’expérience utilisateur, uniquement avec votre consentement.
• Apollo.io : identification des visiteurs professionnels et attribution marketing, uniquement avec votre consentement.
• HubSpot, Supabase, Google Chat : stockage, transmission et suivi de vos demandes de démo.
• Intercom : assistance client.

La liste actuelle faisant foi est disponible auprès de info@calitem.com. Les changements significatifs sont annoncés au moins 30 jours à l’avance, avec un droit d’opposition prévu dans la DPA.

7. Traitement par IA et grands modèles de langage

Calitem repose sur un processus d’IA. Voici comment vos données sont traitées :

• Lors d’un import, l’image et le texte analysé sont envoyés aux prestataires d’IA documentaire et de modèles de langage uniquement pour l’inférence, afin d’extraire les champs structurés et proposer une catégorie.
• Nos accords d’entreprise prévoient que votre contenu n’est pas utilisé pour entraîner leurs modèles fondamentaux. Nous ne l’utilisons pas non plus pour entraîner un modèle appartenant à Calitem.
• Certains prestataires conservent les requêtes et réponses jusqu’à 30 jours pour surveiller les abus, sauf accord de conservation nulle. Cela figure dans notre registre des sous-traitants lorsque cela concerne vos données.
• Vous pouvez vérifier les résultats avant comptabilisation. Aucune décision produisant des effets juridiques ou similaires significatifs sur une personne n’est prise exclusivement de manière automatisée ; voir §11.

8. Transferts internationaux

Nous cherchons à conserver les données personnelles dans l’Espace économique européen. Lorsqu’un sous-traitant est hors EEE ou qu’un service, comme les déploiements Azure Global, peut traiter les données hors EEE même si elles y sont stockées, nous utilisons l’une des garanties suivantes :

• Clauses contractuelles types (décision d’exécution 2021/914), évaluations d’impact des transferts et mesures techniques complémentaires comme le chiffrement au repos et en transit.
• Certifications EU–US Data Privacy Framework applicables aux prestataires américains.

Demandez une copie des garanties d’un transfert précis à info@calitem.com.

9. Durées de conservation

• Compte et contenu client : pendant le contrat. Après résiliation, vous disposez de 30 jours pour exporter. Le contenu est ensuite supprimé des systèmes actifs dans les 30 jours supplémentaires et des sauvegardes dans les 90 jours.
• Facturation et comptabilité : six ans selon l’article 30 du Código de Comercio. Les documents fiscaux suivent le délai de quatre ans de l’article 66 LGT, sauf obligation de conservation plus longue.
• Journaux et télémétrie : 12 mois.
• Données marketing : jusqu’au retrait du consentement ou à la désinscription.
• Tickets d’assistance : 24 mois après résolution.

10. Vos droits

Le RGPD et la LOPDGDD vous donnent les droits suivants :

• Accès à vos données (article 15).
• Rectification des données inexactes ou incomplètes (article 16).
• Effacement ou « droit à l’oubli » (article 17), sous réserve des obligations de conservation.
• Limitation du traitement (article 18).
• Portabilité des données fournies dans un format structuré lisible par machine (article 20).
• Opposition aux traitements fondés sur l’intérêt légitime, y compris au profilage (article 21).
• Retrait du consentement à tout moment sans affecter la licéité des traitements antérieurs (article 7).
• Absence de décisions exclusivement automatisées ayant des effets juridiques ou similaires significatifs (article 22) ; voir §11.

Exercez ces droits auprès de info@calitem.com. Nous pouvons vérifier votre identité. Nous répondons sous un mois, prolongeable de deux mois pour les demandes complexes.

Vous pouvez saisir l’Agence espagnole de protection des données (AEPD) : C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Les utilisateurs italiens peuvent saisir le Garante per la protezione dei dati personali : www.garanteprivacy.it.

11. Décisions automatisées et profilage

Calitem automatise l’extraction des champs et la proposition de catégories. Ces résultats sont indicatifs et présentés dans votre espace pour vérification humaine avant comptabilisation. Nous ne prenons aucune décision produisant des effets juridiques ou similaires significatifs sur une personne exclusivement de manière automatisée au sens de l’article 22(1) RGPD.

Si cela change, par exemple avec une notation automatisée des fraudes ayant des effets contraignants, nous mettrons cette politique à jour et fournirons des informations utiles sur la logique, l’importance et les conséquences prévues.

12. Sécurité

Nous appliquons les mesures techniques et organisationnelles appropriées selon l’article 32 RGPD, notamment :

• Chiffrement en transit (TLS 1.2+) et au repos.
• Contrôles d’accès par rôle, moindre privilège et journaux d’audit.
• Analyse régulière des vulnérabilités et revue des dépendances.
• Séparation des environnements de production et hors production ; pseudonymisation des analyses lorsque possible.
• Procédures de réponse aux incidents avec circuits d’escalade testés.

13. Notification des violations de données

En cas de violation de données personnelles, nous notifions l’AEPD sans retard injustifié et, si possible, dans les 72 heures après en avoir connaissance (article 33 RGPD). Si elle présente un risque élevé pour les personnes concernées, nous les notifions aussi directement sans retard injustifié (article 34).

14. Mineurs

Calitem est un produit professionnel qui ne s’adresse pas aux enfants. Nous ne collectons pas sciemment de données d’enfants de moins de 14 ans, seuil du consentement numérique selon l’article 7 LOPDGDD en Espagne et le D.Lgs. 101/2018 en Italie. Contactez-nous si un mineur nous a transmis des données afin que nous les supprimions.

15. Annexe Italie

Pour les utilisateurs italiens, les dispositions suivantes s’ajoutent à cette politique :

• Une version italienne de cette information est fournie.
• L’autorité de contrôle est le Garante per la protezione dei dati personali (garanteprivacy.it). Législation nationale : D.Lgs. 196/2003 modifié par D.Lgs. 101/2018.
• Calitem n’a pas désigné de représentant selon l’article 27 RGPD. Si un représentant est désigné avant le lancement italien, ses coordonnées seront publiées ici.

16. Modifications de cette politique

Nous conservons l’historique des versions. La date de mise à jour indique la dernière modification substantielle. Les changements importants, comme un nouveau sous-traitant recevant du contenu client ou une nouvelle base juridique, sont annoncés par e-mail ou dans le produit au moins 30 jours à l’avance lorsque possible.