Politique de confidentialité

ByDatum, Inc. (« ByDatum », « nous », « notre » ou « nos ») exploite la plateforme CashflowCycles (la « Plateforme »), une application de gestion financière infonuagique conçue pour aider les cabinets comptables, les entreprises et leurs clients à gérer les flux de trésorerie, les rapports financiers et les intégrations bancaires. La Plateforme est accessible via cashflowcycles.com et tout sous-domaine ou portail en marque blanche associé.

La présente Politique de confidentialité explique quelles informations nous collectons, comment nous les utilisons et les partageons, comment nous les protégeons, et quels sont vos droits et choix. En créant un compte ou en utilisant notre Plateforme, vous reconnaissez avoir lu et compris la présente Politique de confidentialité.

La présente Politique de confidentialité s'applique à tous les utilisateurs de la Plateforme, y compris :

• Utilisateurs Cabinet : Professionnels comptables, administrateurs de cabinet et membres d'équipe qui gèrent les relations clients, les données financières et les rapports via la Plateforme.
• Utilisateurs Clients : Particuliers et entreprises intégrés par un Utilisateur Cabinet qui connectent leurs institutions financières et consultent les informations financières via un portail client dédié.
• Visiteurs : Personnes qui naviguent sur notre site Web public sans créer de compte.

Cette politique ne s'applique pas aux sites Web, applications ou services tiers liés à notre Plateforme, chacun pouvant avoir sa propre politique de confidentialité.

Nous collectons des informations dans les catégories suivantes :

2.1 Informations que vous fournissez directement

• Données d'inscription au compte : Nom complet, adresse courriel, nom du cabinet, désignation du rôle et identifiants de compte lors de la création de votre compte.
• Données d'intégration et de profil : Secteur d'activité, taille de l'entreprise, spécialités, objectifs professionnels, préférences de plan d'intégration et acceptation des conditions d'utilisation collectées lors du sondage d'intégration.
• Données clients : Noms des clients, codes clients, types de clients (particulier, entreprise ou cabinet), coordonnées et détails des mandats saisis par les Utilisateurs Cabinet.

2.2 Données financières obtenues via Plaid

• Informations sur les comptes bancaires : Lorsque vous ou votre client connectez une institution financière via notre Plateforme, nous utilisons Plaid, Inc. pour récupérer de manière sécurisée les détails du compte, y compris les noms de compte, les types, les soldes et les identifiants d'institution.
• Données transactionnelles : Historique et enregistrements de transactions en cours, y compris les montants, les dates, les noms des commerçants, les catégories et les canaux de paiement.
• Identité du titulaire du compte : Lorsque disponible, les noms et détails de propriété du compte retournés par Plaid.

Nous accédons à ces données uniquement avec votre autorisation explicite via le flux de consentement Plaid Link. Notre utilisation des informations reçues de Plaid est régie par la Politique de confidentialité de l'utilisateur final de Plaid.

2.3 Données de paiement et d'abonnement obtenues via Stripe

• Informations de facturation : Nous utilisons Stripe, Inc. pour traiter les paiements d'abonnement. Stripe collecte et traite directement les détails de votre carte de paiement. Nous ne stockons pas les numéros complets de carte de crédit sur nos serveurs.
• Métadonnées d'abonnement : Sélection du forfait, cycle de facturation, statut de paiement et identifiants client Stripe nécessaires à la gestion de votre abonnement.

2.4 Données collectées automatiquement

• Données d'utilisation et d'analyse : Fonctionnalités consultées, pages visitées, durée des sessions et schémas d'interaction collectés pour améliorer la Plateforme.
• Données sur l'appareil et le navigateur : Adresse IP, type et version du navigateur, système d'exploitation, résolution d'écran et URL de référence.
• Témoins (cookies) et stockage local : Jetons de session, état d'authentification et paramètres de préférences utilisateur stockés localement dans votre navigateur.

Nous traitons vos informations aux fins légitimes suivantes :

• Prestation de services : Pour fournir, exploiter et maintenir la Plateforme, y compris les tableaux de bord de trésorerie, les rapports financiers (bilans, résumés de flux de trésorerie, répartitions des dépenses), les alertes et les outils de prévision.
• Authentification et sécurité : Pour vérifier votre identité via AWS Cognito, appliquer les contrôles d'accès basés sur les rôles et protéger l'intégrité des sessions utilisateur.
• Connectivité aux institutions financières : Pour faciliter la connexion sécurisée et la synchronisation des comptes bancaires et des données transactionnelles via Plaid en votre nom.
• Traitement des paiements : Pour gérer les abonnements, traiter les paiements et faciliter l'accès au portail client Stripe pour la gestion de la facturation.
• Communications par courriel : Pour envoyer des courriels transactionnels, y compris les codes de vérification de compte, les réinitialisations de mot de passe, les notifications de mandat et les communications de facturation via Amazon SES.
• Analyse et amélioration : Pour comprendre les habitudes d'utilisation et améliorer continuellement les fonctionnalités, les performances et l'expérience utilisateur de la Plateforme.
• Conformité légale : Pour nous conformer aux lois, réglementations, procédures judiciaires ou demandes gouvernementales applicables.
• Prévention de la fraude : Pour détecter, prévenir et traiter la fraude, les atteintes à la sécurité ou d'autres activités potentiellement interdites ou illégales.

Nous ne vendons pas, ne louons pas et n'échangeons pas vos informations personnelles. Nous partageons les données uniquement dans les circonstances limitées suivantes :

• Plaid, Inc. : Pour récupérer et synchroniser les données de votre institution financière. L'utilisation de vos données par Plaid est régie par la Politique de confidentialité de l'utilisateur final de Plaid.
• Stripe, Inc. : Pour traiter les paiements d'abonnement. L'utilisation de vos données par Stripe est régie par la Politique de confidentialité de Stripe.
• Amazon Web Services (AWS) : Notre infrastructure de Plateforme — y compris l'authentification (Cognito), la couche API (AppSync), les bases de données (DynamoDB), le stockage de fichiers (S3) et la livraison de courriels (SES) — est entièrement hébergée sur AWS. AWS traite les données en notre nom en tant que sous-traitant de données conformément aux garanties contractuelles appropriées.
• Votre cabinet comptable : Si vous êtes un Utilisateur Client, vos données financières connectées et vos rapports sont accessibles au(x) Utilisateur(s) Cabinet qui vous ont intégré, conformément au mandat entre vous et votre cabinet.
• Obligations légales : Nous pouvons divulguer des informations si la loi l'exige, par assignation à comparaître, ordonnance du tribunal ou réglementation gouvernementale, ou lorsque nous estimons que la divulgation est nécessaire pour protéger nos droits, votre sécurité ou celle d'autrui.
• Transferts d'entreprise : En cas de fusion, acquisition, réorganisation ou vente de tout ou partie de nos actifs, vos informations peuvent être transférées dans le cadre de la transaction, sous réserve de l'engagement de l'acquéreur à respecter la présente Politique de confidentialité.

Nous mettons en œuvre des mesures techniques et organisationnelles rigoureuses pour protéger vos données :

• Chiffrement en transit : Toutes les communications entre votre navigateur et nos serveurs sont chiffrées à l'aide de TLS 1.2 ou supérieur, strictement appliqué aux couches périphériques AWS CloudFront et API Gateway.
• Chiffrement au repos : Toutes les données stockées — y compris les enregistrements DynamoDB, les documents hébergés sur S3 et les index de recherche — sont chiffrées à l'aide d'AES-256 via AWS Key Management Service (KMS).
• Gestion des identités et des accès : AWS Cognito fournit une authentification centralisée avec vérification par courriel. Le contrôle d'accès basé sur les rôles (RBAC) garantit que les utilisateurs n'accèdent qu'aux données et fonctionnalités correspondant à leur rôle et locataire.
• Authentification multifacteur (AMF) : L'AMF via les applications d'authentification est imposée pour tous les accès administratifs et d'ingénierie aux systèmes critiques qui stockent ou traitent les données financières des consommateurs.
• Infrastructure en tant que code : Toute l'infrastructure infonuagique est définie, contrôlée en version et déployée via AWS Cloud Development Kit (CDK), permettant une auditabilité complète de chaque changement de configuration de sécurité.
• Principe du moindre privilège : Les politiques AWS IAM appliquent les permissions minimales nécessaires pour chaque fonction sans serveur, garantissant qu'aucun composant n'a un accès plus large que nécessaire.
• Gestion des secrets : Les identifiants tiers (clés API Plaid, clés secrètes Stripe) ne sont jamais stockés dans le code source et sont gérés exclusivement via les magasins de paramètres sécurisés AWS, accessibles uniquement par les fonctions Lambda autorisées du serveur dorsal.

La plateforme Cashflow fonctionne selon une architecture multi-locataire stricte. Chaque cabinet et ses clients associés sont logiquement isolés par un identifiant de locataire unique. Cela garantit :

• Les données d'un cabinet ne sont jamais visibles ni accessibles par un autre cabinet ou ses clients.
• Toutes les requêtes API, lectures de base de données et générations de rapports sont exclusivement limitées au locataire de l'utilisateur authentifié.
• Les Utilisateurs Clients ne peuvent consulter que les données relatives à leurs propres comptes financiers connectés au sein du portail de leur cabinet désigné.

Nous conservons vos informations aussi longtemps que raisonnablement nécessaire pour remplir les objectifs décrits dans la présente Politique de confidentialité et pour nous conformer à nos obligations légales et contractuelles. Plus précisément :

• Comptes actifs : Les données sont conservées pendant la durée de votre abonnement actif et de votre utilisation de la Plateforme.
• Comptes fermés : À la fermeture du compte ou à l'annulation de l'abonnement, nous conservons les registres essentiels pendant une période requise par les obligations fiscales, financières et réglementaires applicables (généralement jusqu'à 7 ans), après quoi les données sont supprimées de manière sécurisée ou anonymisées.
• Jetons d'accès Plaid : Si vous déconnectez une institution financière ou demandez la suppression, nous désactivons les jetons d'accès Plaid associés et purgeons les données transactionnelles liées de nos systèmes conformément à notre calendrier de conservation des données.

Selon votre juridiction, vous pouvez disposer des droits suivants concernant vos informations personnelles :

• Droit d'accès : Demander une copie des données personnelles que nous détenons à votre sujet.
• Droit de rectification : Demander la correction de données personnelles inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : Demander la suppression de vos données personnelles, sous réserve de nos obligations légales de conservation.
• Droit à la limitation du traitement : Demander que nous limitions l'utilisation de vos données dans certaines circonstances.
• Droit à la portabilité des données : Demander que nous fournissions vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition : S'opposer au traitement fondé sur des intérêts légitimes ou à des fins de marketing direct.
• Droit de retirer le consentement : Lorsque le traitement est fondé sur le consentement, vous pouvez retirer ce consentement à tout moment sans affecter la légalité du traitement antérieur.
• Droit de déconnecter les institutions financières : Vous pouvez déconnecter tout compte bancaire lié à tout moment via la Plateforme, ce qui désactivera le jeton d'accès Plaid associé et cessera toute synchronisation ultérieure des données.

Pour exercer l'un de ces droits, veuillez nous contacter à privacy@cashflowcycles.com. Nous répondrons à votre demande dans les 30 jours, ou dans le délai autrement requis par la loi applicable.

Nous utilisons des témoins et des technologies similaires aux fins suivantes :

• Témoins essentiels : Nécessaires pour l'authentification, la gestion des sessions et la sécurité de la Plateforme (p. ex., jetons de session AWS Cognito).
• Témoins fonctionnels : Utilisés pour mémoriser vos préférences, le thème sélectionné et les configurations de mise en page.
• Témoins d'analyse : Utilisés pour collecter des données d'utilisation anonymisées afin d'améliorer les performances et les fonctionnalités de la Plateforme.

Vous pouvez contrôler les paramètres des témoins via les préférences de votre navigateur. La désactivation des témoins essentiels peut altérer le fonctionnement de la Plateforme.

Notre infrastructure de Plateforme est hébergée sur Amazon Web Services aux États-Unis. Si vous accédez à la Plateforme depuis l'extérieur des États-Unis, vos informations peuvent être transférées, stockées et traitées aux États-Unis ou dans d'autres juridictions où nos fournisseurs de services opèrent.

Nous veillons à ce que des garanties appropriées soient en place pour ces transferts, y compris les clauses contractuelles types (CCT) ou des mécanismes équivalents reconnus en vertu de la législation applicable en matière de protection des données.

La Plateforme ne s'adresse pas aux personnes de moins de 18 ans et nous ne collectons pas sciemment d'informations personnelles auprès de celles-ci. Si nous apprenons que nous avons collecté par inadvertance des données d'un mineur, nous prendrons des mesures rapides pour supprimer ces informations.

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre pour refléter les changements dans nos pratiques, technologies, exigences légales ou autres facteurs. Lorsque nous apportons des modifications importantes, nous :

• Publierons la politique révisée sur notre site Web avec une « Date d'entrée en vigueur » mise à jour.
• Notifierons les utilisateurs enregistrés par courriel lorsque la loi l'exige ou lorsque le changement affecte de manière significative la façon dont nous traitons vos données.

Votre utilisation continue de la Plateforme après de tels changements constitue une acceptation de la Politique de confidentialité révisée.

Si vous avez des questions, préoccupations ou demandes concernant la présente Politique de confidentialité ou nos pratiques en matière de données, veuillez nous contacter :