Politique de confidentialité

1. Qui traite vos données

Alpboard est un logiciel professionnel destiné aux cabinets de commissaires aux comptes. Il n’est pas ouvert au grand public : aucun compte ne peut être créé en libre-service, les accès sont ouverts par chaque cabinet à ses collaborateurs et aux intervenants habilités sur ses mandats.

Deux situations sont à distinguer :

• Le site public, les demandes de démonstration, les comptes et la sécurité du service : le responsable du traitement est l’éditeur d’Alpboard, dont les coordonnées complètes figurent dans les mentions légales.
• Les données des mandats (pièces, fichiers comptables, tickets, messages, champs saisis) : chaque cabinet utilisateur en est responsable, pour les besoins de sa mission. L’éditeur d’Alpboard les traite pour son compte, en qualité de sous-traitant au sens de l’article 28 du RGPD, et uniquement pour lui fournir le service. Ses engagements à ce titre figurent dans l’accord de sous-traitance.

La page d’accueil d’alpboard.com présente le logiciel à qui ne l’utilise pas encore. Comme la page de connexion, cette politique, les mentions légales et la page d’assistance, elle ne dépose aucun cookie, ne mesure pas l’audience et ne charge rien depuis un site tiers, pas même ses polices de caractères. Seul son formulaire de demande de démonstration recueille des données, et uniquement celles que vous y saisissez.

Sur alppy.ai, Alppy répond aussi à des questions sans rapport avec les mandats (une recette, du code, une traduction). Ces conversations sont traitées par les mêmes prestataires et conservées de la même façon que celles d’Alpboard.

Pour toute question relative à vos données, écrivez à contact@alpboard.com.

2. Données traitées

Les fichiers comptables déposés dans Alpboard peuvent contenir des données personnelles concernant des tiers (salariés, clients ou fournisseurs de l’entité contrôlée). Elles ne sont traitées que pour les besoins de la mission, sous la responsabilité du cabinet qui la conduit.

Intelligence artificielle. Alppy est un assistant d’intelligence artificielle : ses réponses sont produites par un modèle de langage (Mistral par défaut) et peuvent être inexactes. De même, la lecture des pièces juridiques, l’extraction de leurs champs et les textes rédigés par l’IA sont proposés au collaborateur, qui les relit ; aucun ne produit seul d’effet à votre égard. Les contrôles du fichier des écritures comptables, eux, sont des règles écrites, sans intelligence artificielle. Chaque usage est décrit sur la page Intelligence artificielle.

3. Cookies et stockage dans le navigateur

Alpboard ne dépose que des cookies strictement nécessaires au service que vous demandez ; ils sont dispensés de consentement (article 82 de la loi Informatique et Libertés). Aucun cookie de mesure d’audience, de publicité ou de réseau social n’est déposé, sur aucune page.

Une fois connecté, le navigateur garde aussi, dans son stockage local, quelques préférences d’affichage (disposition des panneaux, colonnes, sons) et, le temps d’un changement de page, la conversation en cours avec Alppy. Ces éléments ne quittent pas votre appareil.

4. Ce que nous ne faisons pas

• Aucun suivi publicitaire, aucun traceur tiers, aucune régie.
• Aucune revente, location ou mise à disposition commerciale de vos données.
• Aucune collecte de position géographique, de contacts, de photothèque ni d’identifiant publicitaire.
• Aucun entraînement de modèle d’intelligence artificielle sur les documents des mandats.
• Aucun profilage ni décision entièrement automatisée produisant des effets juridiques à votre égard.

5. Données restant sur votre appareil

L’application iOS conserve localement, et uniquement localement :

• votre jeton de session, dans le trousseau chiffré du système ;
• votre préférence de déverrouillage par Face ID ou Touch ID.

Le déverrouillage biométrique est traité par iOS : l’application reçoit un simple résultat « réussi ou non » et n’a jamais accès à votre empreinte ni à votre visage. Désinstaller l’application efface ces éléments.

6. Autorisations demandées par l’application

• Appareil photo : uniquement lorsque vous choisissez de photographier une pièce à joindre à un ticket.
• Micro : uniquement lorsque vous dictez un texte.
• Face ID / Touch ID : uniquement si vous activez le verrouillage de l’application.
• Notifications : pour vous prévenir d’un message, d’un ticket ou d’une échéance.

Chacune est facultative ; l’application reste utilisable si vous la refusez.

7. Prestataires qui reçoivent des données

Chacun n’accède qu’à ce que sa fonction exige, et pour le seul compte d’Alpboard.

Pennylane et Qonto ne reçoivent des données que si le cabinet active la liaison correspondante, pour le mandat, la facturation ou le compte concerné. Dropbox n’est lu qu’en lecture seule, depuis un espace configuré par l’éditeur, pour reprendre à l’ouverture d’un cabinet le classement juridique qu’il y tenait déjà : rien n’y est écrit. Les recherches faites dans les registres publics (INSEE, INPI, BODACC, Journal officiel) et dans la presse portent sur les entités contrôlées et leurs dirigeants, pas sur les utilisateurs.

Lorsqu’un prestataire est établi hors de l’Union européenne, le transfert est encadré par le cadre de protection des données UE-États-Unis pour les sociétés qui y ont adhéré, ou par les clauses contractuelles types de la Commission européenne.

8. Durée de conservation

• Demandes de démonstration : trois ans à compter de la demande, puis effacées.
• Comptes : pendant la durée de l’habilitation. Quand un collaborateur quitte le cabinet, son accès est retiré aussitôt et son compte supprimé trois mois plus tard. Seule reste alors, attachée au travail qu’il a accompli, une identité figée (nom, initiales, couleur, rôle et numéro d’inscription à la CNCC) : elle suit le dossier et sa durée de conservation.
• Conversations avec Alppy : vingt-quatre mois sans nouvel échange, puis effacées, et au plus tard avec le compte. Chacun peut aussi effacer une conversation, ou la retirer de la mémoire d’Alppy : elle reste alors dans son historique, mais Alppy ne s’y reporte plus.
• Messages échangés hors d’un mandat et abonnements aux notifications : tant que le compte existe, puis supprimés avec lui. Un abonnement aux notifications resté sans activité quatre-vingt-dix jours est supprimé.
• Dossiers, tickets et fichiers de mission : dix ans au moins, au titre des obligations de conservation applicables aux dossiers de commissariat aux comptes. Ils ne sont pas effacés automatiquement à l’échéance : le cabinet, qui en est responsable, décide de leur sort.
• Historique des actions sur un mandat : conservé avec le mandat.
• Journal des connexions : douze mois. Seule la date de la dernière connexion de chacun est gardée au-delà, tant que son compte existe.
• Temps passé dans l’application : douze mois.
• Activité dans l’espace client (connexions, pages consultées, temps passé, téléchargements) : treize mois, puis effacée. Les documents déposés suivent la durée de conservation du dossier de mission.
• Consommation des services d’intelligence artificielle : le nom du collaborateur est retiré au bout de douze mois ; le coût reste, sans lui.
• Tentatives de connexion (adresse électronique saisie, adresse IP) : trente jours.
• Compteurs anti-abus liés à une adresse IP : effacés à l’expiration de leur fenêtre, d’une heure au plus.

Hormis celle des dossiers de mission, ces durées sont appliquées automatiquement.

9. Sécurité

Les échanges sont chiffrés en transit (TLS). Les messages, les conversations avec Alppy et les secrets de connexion sont en outre chiffrés en AES-256-GCM sous une clé propre à Alpboard ; la base et les fichiers déposés sont chiffrés au repos par l’hébergeur. Les accès sont nominatifs et se règlent domaine par domaine ; chaque page et chaque appel de l’interface de programmation vérifient la session et, pour qui l’a activée, la double authentification. Celle-ci est proposée aux administrateurs ; les clés d’accès sont proposées à tous sur le site. Les actions sensibles sont journalisées. Les mots de passe ne sont jamais stockés en clair. Le détail des mesures et l’état de notre conformité figurent sur la page Sécurité et conformité.

10. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés). Vous pouvez vous opposer à tout moment, sans avoir à vous justifier, à ce que nous vous recontactions au sujet d’une démonstration.

Écrivez à contact@alpboard.com ; une réponse vous sera apportée dans un délai d’un mois. Si vos données figurent dans les dossiers d’un cabinet, votre demande lui sera transmise, puisqu’il en est responsable. Vous pouvez également adresser une réclamation à la CNIL.

Ces droits s’exercent sous réserve des obligations légales de conservation propres à la mission de commissariat aux comptes, qui peuvent faire obstacle à un effacement immédiat.

11. Modifications

Toute évolution de cette politique sera publiée sur cette page, avec mise à jour de la date indiquée en tête.