Politique de confidentialité.

1. Responsable du traitement

Fiscal.ia SAS
17 Chemin du Prieuré, 79260 La Crèche
Email : contact@ifg.tax

2. Données collectées

2.1 Données d'identification

• Email (requis pour créer un compte)
• Nom et prénom (facultatif)

2.2 Données d'usage

• Questions fiscales posées (traitées pour fournir et améliorer le service ; les identifiants directs sont minimisés autant que possible)
• Journaux de connexion (adresse IP, dates, heures)
• Historique des conversations

2.3 Données de l'espace IFG France et du connecteur Gmail

• Métadonnées de dossier client saisies dans IFG France : nom du dossier, statut, période fiscale, notes de travail
• Documents ou extraits que vous téléversez ou collez pour analyse fiscale (proposition de rectification, demande de renseignements, courrier client…)
• Lorsque vous connectez explicitement Gmail : données d'autorisation du compte Gmail et messages Gmail que vous demandez à IFG France de pré-traiter

Pour IFG France, le mode confidentialité est actif par défaut. Les données personnelles présentes dans les questions, notes de dossier, extraits de documents, comptes rendus et contenus Gmail sont minimisées ou masquées avant la synthèse par le modèle ou les requêtes de recherche vers les sources externes, dès que c'est techniquement possible.

2.4 Données de paiement

• Informations de paiement (traitées par Stripe, non stockées sur nos serveurs)
• Historique des transactions

3. Finalités du traitement

Vos données servent à :

• Fournir et améliorer le service IFG
• Gérer votre compte utilisateur
• Traiter vos paiements
• Fournir les fonctionnalités IFG France : recherche fiscale, analyse de documents, mémoire de dossier et pré-analyse des courriers clients
• Envoyer des communications liées au service
• Assurer la sécurité et prévenir la fraude
• Respecter les obligations légales

4. Base légale

Nous traitons vos données sur le fondement de :

• Exécution du contrat : fourniture du service demandé
• Consentement : communications marketing (révocable à tout moment)
• Intérêt légitime : amélioration du service, sécurité
• Obligation légale : comptabilité, fiscalité

5. Partage des données

Vos données peuvent être partagées avec :

• Supabase (Francfort, Allemagne) : hébergement de la base de données et du stockage (UE)
• Hetzner (Nuremberg, Allemagne) : hébergement applicatif (UE)
• Stripe (Irlande) : traitement des paiements (certifié PCI-DSS)
• OpenAI (États-Unis) : traitement IA via API, avec données minimisées et, si possible, entrées pseudonymisées
• Groq (États-Unis) : inférence IA pour IFG France lorsqu'activée, avec entrées minimisées ou masquées
• Google (États-Unis / mondial) : authentification OAuth et accès à l'API Gmail uniquement si vous connectez votre compte Google

Rétention IA : les réglages contractuels « pas d'entraînement » / rétention réduite sont utilisés lorsqu'ils sont disponibles, et seules les données minimales nécessaires à la fonctionnalité sont envoyées aux API d'IA.

Hébergement UE : hormis l'inférence IA, la plateforme (application, base de données, journaux) est hébergée dans l'Union européenne.

Nous ne vendons jamais vos données à des tiers.

6. Connecteur Gmail d'IFG France

Le connecteur Gmail est optionnel et nécessite votre consentement OAuth Google explicite. Il aide les professionnels à pré-traiter les demandes clients avant revue manuelle.

• IFG France demande un accès Gmail en lecture seule pour le compte utilisateur connecté.
• IFG France n'envoie pas d'emails automatiquement, ne marque pas les emails comme lus, ne les archive pas, ne les supprime pas et ne modifie pas les libellés Gmail.
• Le corps des messages Gmail n'est utilisé que pour générer la pré-analyse demandée, et est minimisé avant analyse lorsque c'est techniquement possible.
• La file d'entrée d'IFG France ne stocke que des métadonnées limitées et le résultat d'analyse ; elle ne stocke pas le corps complet des messages Gmail comme mémoire de dossier.
• Vous pouvez déconnecter le connecteur dans IFG France et révoquer l'accès depuis les paramètres de sécurité de votre compte Google.

7. Vos droits (RGPD)

En vertu du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : supprimer vos données (« droit à l'oubli »)
• Droit à la limitation : limiter le traitement de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer au traitement
• Droit de retrait du consentement : à tout moment

Pour exercer ces droits : contact@ifg.tax

8. Conservation des données

• Données de compte : pendant la durée de votre abonnement + 3 ans
• Données de dossier IFG France, historique des conversations, résultats d'analyse de documents et résultats d'entrée Gmail : conservés tant que votre compte est actif, sauf suppression de votre part ou demande de suppression, sous réserve des exigences légales et de sécurité
• Corps complet des messages Gmail : non conservé comme mémoire de dossier ni comme enregistrement d'entrée IFG France
• Données de paiement : 10 ans (obligation comptable)
• Journaux de connexion : 12 mois (sécurité)

9. Sécurité

Nous mettons en œuvre des mesures de sécurité appropriées :

• Chiffrement en transit (HTTPS/TLS)
• Chiffrement au repos
• Authentification sécurisée
• Contrôles d'accès propres à l'utilisateur et sécurité au niveau des lignes (row-level security) lorsque applicable
• Stockage chiffré des jetons OAuth lorsque l'accès par connecteur est activé
• Minimisation de confidentialité toujours active pour les entrées clients sensibles d'IFG France
• Accès restreint aux données personnelles
• Surveillance et détection d'incidents
• Sélection des sous-traitants sur la base de contrôles reconnus (p. ex. ISO/IEC 27001, SOC 2, PCI-DSS le cas échéant)

10. Cookies

Nous utilisons des cookies essentiels au fonctionnement du site (session, authentification). Les cookies de mesure d'audience sont optionnels et ne sont activés qu'après consentement explicite.

11. Réclamations

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) :

CNIL
3 Place de Fontenoy - TSA 80715
75334 PARIS CEDEX 07
www.cnil.fr

12. Connecteur pour assistants IA (Model Context Protocol)

IFG peut être connecté à des assistants IA tiers (par exemple ChatGPT ou Claude) via le protocole MCP (Model Context Protocol), à l'adresse https://ifg.tax/v1/mcp. Dans ce cas, et contrairement à l'application web décrite ci-dessus :

• Ce que nous recevons. Uniquement les paramètres précis que votre assistant envoie pour effectuer une recherche (par exemple la référence d'un texte, un code juridiction, une citation à vérifier, ou des mots-clés). Nous ne recevons pas — et ne demandons jamais — votre conversation ou votre historique de discussion complet.
• Ce que nous en faisons. Chaque paramètre est traité en temps réel par notre moteur de routage — un graphe de couverture fiscale et juridictionnelle — qui détermine les accès pertinents, récupère le texte officiel correspondant et le renvoie à votre assistant. Ni la demande ni le résultat ne sont conservés.
• Ce que nous stockons. Nous ne stockons ni vos requêtes, ni les paramètres envoyés par l'assistant, ni les résultats renvoyés. La seule donnée personnelle conservée pour le connecteur est votre identifiant OAuth (jetons d'accès et de rafraîchissement, stockés sous forme hashée) afin de maintenir la connexion autorisée, ainsi que des journaux de connexion minimaux (adresse IP, date et heure) pour la sécurité.
• Destinataires. Les paramètres transitent par les serveurs IFG (Union européenne). Le moteur interroge des sources publiques officielles selon la juridiction et le type de document ; nous ne divulguons pas publiquement la cartographie détaillée de ce routage. L'assistant IA que vous connectez est exploité par son propre éditeur (par exemple OpenAI ou Anthropic) sous sa propre politique de confidentialité. Nous ne vendons jamais vos données et n'envoyons pas vos paramètres à des bases commerciales ni à l'entraînement de modèles.
• Conservation. Les requêtes et les résultats ne sont pas conservés (traités en mémoire le temps de la requête uniquement). Les jetons OAuth sont conservés jusqu'à ce que vous déconnectiez IFG ou révoquiez l'accès. Les journaux de connexion sont conservés 12 mois.
• Vos contrôles. Vous pouvez déconnecter IFG de votre assistant à tout moment, ce qui révoque la connexion, et exercer vos droits RGPD à contact@ifg.tax.

13. Offre étudiante

Pour l’offre étudiante, nous traitons votre nom, votre adresse électronique d’établissement et votre certificat de scolarité, à votre demande, dans le seul but de vérifier votre inscription pour l’année universitaire en cours (base légale : mesures précontractuelles et exécution du contrat). Le certificat est lu automatiquement ; s’il ne peut pas l’être, il est examiné par Fiscal.ia SAS. Il est supprimé dès la vérification faite. Nous gardons seulement la décision, l’établissement, l’année universitaire et le résultat des contrôles, pendant la durée de l’accès et un an après. Le certificat est hébergé dans l’Union européenne pendant la vérification et n’est transmis à aucun tiers.

14. Modifications

Cette politique peut être mise à jour. Nous vous informerons par email de tout changement substantiel.