Politique de Confidentialité — Encrelio

Dernière mise à jour : 1er novembre 2026 Version : 1.4 Langue de référence : français

Préambule

Le service Encrelio (le « Service »), accessible à l'adresse https://encrelio.fr, est édité par Nestone, entreprise individuelle exerçant en qualité d'entrepreneur individuel sous le régime micro-entrepreneur, immatriculé au Registre National des Entreprises (RNE) sous le numéro SIREN 922 226 428 (SIRET 92222642800014), dont le siège est situé à Besançon (25000), France (ci-après « Encrelio », « nous »).

La présente politique décrit comment Encrelio collecte, utilise, partage et protège les données à caractère personnel des utilisateurs du Service, conformément au Règlement (UE) 2016/679 du 27 avril 2016 dit « RGPD » et à la loi française n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».

Cette politique est inspirée des bonnes pratiques publiées par la CNIL (France), le Comité européen de la protection des données (EDPB), la Commission européenne, l'ICO (Royaume-Uni) et l'ANSSI, ainsi que des politiques de référence d'acteurs SaaS : Stripe, Notion, Linear, Supabase, Vercel, GitHub, Slack, Pennylane, HubSpot, Intercom, Salesforce, Mailchimp, Resend, Sentry, Mixpanel, PostHog, Auth0, Twilio, Atlassian, Asana, Monday.com, Apple, Microsoft, AWS, Cloudflare, Algolia, Zapier. Elle intègre les exigences spécifiques de la Google API Services User Data Policy (Limited Use).

1. Qualité d'Encrelio

Lorsque Encrelio agit en qualité de sous-traitant, la relation est encadrée par l'accord de sous-traitance figurant en annexe 3 des CGUV, accepté avec elles. Un exemplaire signé peut être obtenu sur demande à dpo@encrelio.fr.

2. Catégories de données traitées

2.1 Données fournies directement par l'utilisateur

• Identité : email professionnel ; nom, prénom, société, téléphone, adresse et logo s'ils sont renseignés dans la signature email
• Compte : adresse email, mot de passe (haché par le service d'authentification avec l'algorithme bcrypt, jamais stocké en clair)
• Organisation : raison sociale, adresse, numéros SIRET et de TVA, email comptable
• Contenu généré : notes d'interaction, résumés d'appels, promesses de paiement, modèles de relance et objet des emails envoyés

2.2 Données générées par l'usage du Service

• Logs techniques : horodatage, adresse IP, agent utilisateur, identifiant de session
• Tokens et identifiants de session

2.3 Données importées depuis Pennylane

Sur connexion explicite du Client via sa clé API Pennylane :

• Factures clients : fiche complète renvoyée par Pennylane (numéro, libellé, dates d'émission et d'échéance, montants, reste dû, statut, devise)
• Clients : raison sociale, emails, téléphone, numéros SIRET et de TVA, conditions de paiement
• Date de règlement des factures, déduite des paiements enregistrés dans Pennylane
• PDF des factures : lus au moment de l'envoi d'une relance pour y être joints, sans être conservés

Ces données restent la propriété du Client et sont stockées dans un environnement Supabase cloisonné par organisation, accessible uniquement aux utilisateurs autorisés via Row Level Security PostgreSQL.

2.4 Données issues de l'intégration Gmail (OAuth)

Lorsque le Client connecte son compte Google :

• Scopes demandés : openid et email (identification du compte connecté), https://www.googleapis.com/auth/gmail.send (envoi des relances depuis l'adresse du Client) et https://www.googleapis.com/auth/gmail.readonly (lecture des emails utiles au suivi des clients du Client, pour les rattacher à leur fiche)
• Compte connecté : identifiant Google, adresse email et scopes accordés ; les tokens OAuth sont stockés chiffrés dans Supabase Vault, jamais exposés au navigateur
• Toutes les 5 minutes, Encrelio lit l'expéditeur, l'objet, la date et l'aperçu des emails reçus depuis le passage précédent, pour repérer ceux qui viennent d'une adresse enregistrée sur la fiche d'un client ; les autres ne sont ni conservés ni exploités. Quand cette adresse figure sur les fiches de plusieurs clients, les numéros de facture cités dans l'objet ou l'aperçu désignent la fiche concernée
• Dans un fil de relance actif, chaque nouveau message est rattaché à la fiche, y compris ceux envoyés depuis Gmail
• À la demande de l'Utilisateur, Encrelio recherche dans sa boîte (sur l'adresse du client quand sa fiche en a une) et affiche le texte complet d'un échange, sans l'enregistrer
• À la demande d'un Utilisateur de l'organisation, Encrelio affiche le texte complet d'un email rattaché à une fiche, lu dans la boîte de l'organisation qui l'a reçu (y compris quand elle a été connectée par un autre Utilisateur de la même organisation), sans l'enregistrer ; dans la boîte d'un autre Utilisateur, seuls les messages déjà rattachés à une fiche sont affichés
• Pour chaque message rattaché à une fiche, Encrelio conserve l'objet, l'expéditeur, la date, l'aperçu fourni par Gmail et ses identifiants techniques ; le texte complet n'est pas enregistré
• Si l'Utilisateur choisit sa signature Gmail, elle est lue au moment de l'envoi
• Pour une organisation qui l'a demandé, un import quotidien rattache à ses fiches les fils de relance envoyés depuis sa boîte hors de l'application (voir GitHub, section 5)

Google n'est pas un sous-traitant d'Encrelio : il reste le fournisseur de la boîte Gmail du Client et agit, pour celle-ci, en responsable de traitement indépendant. Encrelio y accède avec l'autorisation OAuth du Client, dans le cadre des Google APIs Terms of Service.

Google API Services User Data Policy — Limited Use

L'utilisation et le transfert par Encrelio des informations reçues des API Google se conforment à la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (Limited Use).

Concrètement, les données issues de Gmail sont uniquement utilisées pour :

• Envoyer une relance depuis le compte du Client, avec sa signature Gmail s'il la choisit
• Rattacher à la fiche d'un client ses réponses, les emails reçus de lui et les messages des fils de relance
• Retrouver et afficher, à la demande de l'Utilisateur, les échanges avec un client

Encrelio n'utilise pas les données Gmail pour :

• Servir ou personnaliser de la publicité
• Vendre les données à un tiers
• Entraîner des modèles d'intelligence artificielle généralistes
• Permettre à un humain de les consulter, sauf : (i) consentement explicite et préalable du Client, (ii) opération de support en cours autorisée par le Client, (iii) obligation légale, (iv) anonymisation préalable et complète à des fins de sécurité.

Encrelio s'engage par ailleurs à se soumettre à toute évaluation CASA (Cloud Application Security Assessment) annuelle requise par Google pour les applications utilisant les scopes Gmail restreints.

2.5 Utilisation par l'intelligence artificielle

Le Service n'intègre aujourd'hui aucune fonctionnalité d'intelligence artificielle générative. Encrelio n'utilise pas les Données Client (factures, contacts, interactions, contenu Gmail) pour entraîner ses propres modèles d'intelligence artificielle ni pour entraîner des modèles d'IA de tiers.

Si de telles fonctionnalités venaient à être introduites (par exemple, une aide à la rédaction des relances), les données soumises au modèle seraient traitées via les API entreprise des fournisseurs (OpenAI, Anthropic, Mistral ou équivalent) en mode « no-training » contractuel : ces données ne seraient pas conservées au-delà de l'inférence ni utilisées pour améliorer le modèle.

Une telle évolution serait notifiée au Client 30 jours avant son entrée en vigueur, avec droit de résilier sans frais.

3. Bases légales (RGPD art. 6)

Pour les Données Client, dont les emails rattachés aux fiches, Encrelio agit en sous-traitant : la base légale de ces traitements relève du Client.

4. Finalités

Les données sont traitées exclusivement pour :

1. Fournir, sécuriser et maintenir le Service
2. Permettre la connexion Pennylane et la synchronisation des factures
3. Permettre l'envoi de relances et le suivi des réponses (Gmail)
4. Gérer la facturation et les obligations comptables d'Encrelio
5. Améliorer le Service à partir d'analyses agrégées et anonymisées
6. Communiquer avec l'utilisateur (notifications, support, évolutions)
7. Répondre aux obligations légales et à toute autorité compétente

5. Destinataires et sous-traitants

Encrelio s'appuie sur les sous-traitants ci-dessous. Supabase, OVHcloud et Resend sont liés à Encrelio par l'accord de traitement des données (DPA) intégré à leurs conditions générales, qui leur impose des engagements de sécurité, de confidentialité et d'assistance conformes à l'article 28 du RGPD. GitHub traite les données de l'import quotidien selon sa déclaration de confidentialité, dans le cadre de sa certification au Data Privacy Framework.

Services connectés par le Client : Pennylane (source des données comptables) et Google (boîte Gmail) ne sont pas des sous-traitants d'Encrelio. Pennylane est sous-traitant du Client, qui l'a choisi ; Encrelio utilise son API sur autorisation explicite et révocable du Client. Google est, pour la boîte Gmail, un responsable de traitement indépendant (voir section 2.4).

La liste à jour et versionnée est publiée à l'adresse https://encrelio.fr/legal/sous-traitants. Tout ajout ou remplacement de sous-traitant est notifié 30 jours à l'avance par email, le Client pouvant s'y opposer pour motif légitime (résiliation alors possible sans frais).

6. Transferts hors Union européenne

Lorsque des données sont transférées vers un pays hors de l'EEE, le transfert repose sur :

• la certification du destinataire au Data Privacy Framework (DPF) UE–États-Unis (Resend, GitHub), qui bénéficie d'une décision d'adéquation de la Commission européenne ;
• les clauses contractuelles types de la Commission européenne (décision 2021/914 du 4 juin 2021), intégrées aux accords de Supabase et de Resend ;
• des mesures techniques complémentaires : chiffrement TLS en transit et chiffrement AES-256 de la base de données au repos.

7. Durées de conservation

8. Sécurité (RGPD art. 32)

Encrelio met en œuvre les mesures techniques et organisationnelles suivantes :

Chiffrement et confidentialité

• Chiffrement TLS en transit (HTTPS, certificats Let's Encrypt renouvelés automatiquement)
• Chiffrement AES-256 de la base de données au repos, assuré par l'hébergeur (Supabase)
• Jetons d'accès aux services tiers (Pennylane, Gmail) chiffrés dans Supabase Vault, dont la clé est gérée par Supabase hors de la base, et jamais exposés au navigateur

Contrôle d'accès

• Cloisonnement multi-tenant strict via Row Level Security PostgreSQL (couvert par des tests pgTAP)
• Mot de passe d'au moins 8 caractères, dont une majuscule, une minuscule et un chiffre, exigé à la création et à chaque changement
• Authentification par lien magique ou mot de passe avec confirmation email
• Sessions JWT à durée limitée, révocables

Gestion des vulnérabilités

• Correctifs de sécurité appliqués dans un délai cible de 30 jours, en priorité pour les failles critiques

Accès de l'éditeur

• Encrelio est édité par un entrepreneur individuel, seul à accéder à l'infrastructure de production
• L'accès aux Données Client est réservé aux besoins de l'exploitation et du support
• Toute personne qui interviendrait à l'avenir sur le Service serait soumise à un engagement de confidentialité écrit avant tout accès aux données

Notification des violations

• Données Client (Encrelio sous-traitant) : Encrelio notifie le Client sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance (RGPD art. 33.2), et l'aide à remplir ses obligations ; il revient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.
• Données dont Encrelio est responsable (comptes utilisateurs, journaux) : Encrelio notifie la CNIL dans les 72 heures lorsque la violation présente un risque pour les droits et libertés des personnes (RGPD art. 33.1), et informe les personnes concernées sans délai injustifié lorsque ce risque est élevé (RGPD art. 34).

Limites inhérentes à la sécurité informatique Encrelio met en œuvre les mesures décrites ci-dessus ; toutefois, aucun système informatique connecté à Internet ne peut être considéré comme totalement inviolable. Le Client reconnaît cette limitation et adopte de son côté les mesures appropriées (mots de passe robustes, authentification multi-facteurs, gestion des accès, formation des utilisateurs).

9. Droits des personnes

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement dit « droit à l'oubli » (art. 17), dans les limites légales
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
• Droit d'opposition au traitement basé sur l'intérêt légitime (art. 21)
• Droit de retirer votre consentement à tout moment, sans effet rétroactif (art. 7.3)
• Droit de définir des directives relatives au sort de vos données après votre décès (loi française art. 85)
• Droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques (art. 22)

Pour exercer vos droits :

Adressez votre demande, accompagnée d'un justificatif d'identité si nécessaire, à : dpo@encrelio.fr.

Encrelio répond à votre demande dans les 30 jours maximum (prolongeable de 2 mois pour les demandes complexes, avec information motivée).

Recours :

Vous pouvez introduire une réclamation auprès de la CNIL :

• 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
• https://www.cnil.fr/fr/plaintes

10. Cookies et traceurs

Encrelio n'utilise aucun cookie publicitaire ni traceur tiers à des fins commerciales. Le Service ne dépose pas de cookie : il utilise le stockage du navigateur, uniquement pour son fonctionnement :

Conformément à la délibération CNIL n° 2020-091 du 17 septembre 2020, ces traceurs strictement nécessaires ne requièrent pas de consentement préalable, mais sont mentionnés ici par transparence.

Aucun outil d'analytics tiers, aucun pixel publicitaire, aucun script de tracking comportemental n'est intégré.

11. Données des mineurs

Le Service est strictement réservé aux professionnels (B2B). Aucune donnée relative à un mineur n'est sciemment collectée. Si une telle situation venait à survenir, Encrelio supprimerait les données concernées sans délai.

12. Modifications de la politique

Encrelio peut modifier la présente politique pour refléter des évolutions légales, techniques ou de service. Toute modification substantielle est notifiée par email aux utilisateurs au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour figure en tête de document.

13. Contacts

Document élaboré sur la base des référentiels CNIL, EDPB, Commission européenne, ICO, ANSSI, Google API Services User Data Policy, et inspiré des politiques de référence du secteur SaaS (Stripe, Notion, Linear, Supabase, Vercel, GitHub, Slack, Pennylane, HubSpot, Intercom, Salesforce, Mailchimp, Resend, Sentry, Mixpanel, PostHog, Auth0, Twilio, Atlassian, Asana, Monday.com, Apple, Microsoft, AWS, Cloudflare, Algolia, Zapier).