Politique de confidentialité, application Cashlab

1. Qui sommes-nous

L'application Cashlab (Android et iOS) est éditée par EMMAX SAS, exerçant sous le nom commercial Cashlab, société par actions simplifiée au capital de 121 302 €, immatriculée au RCS de Paris sous le numéro 807 662 515 (SIRET 807 662 515 00020), dont le siège social est situé 1 rue des Prouvaires, 75001 Paris.

Pour toute question relative à vos données personnelles : hello@cashlab.fr

2. À qui s'adresse l'application

L'application Cashlab est réservée aux collaborateurs des entreprises clientes de la plateforme de pilotage de trésorerie Cashlab. Les comptes utilisateurs sont créés et gérés par l'organisation cliente : il n'est pas possible de créer un compte depuis l'application.

Cashlab agit en tant que responsable de traitement pour la gestion des comptes utilisateurs et la sécurité du service. Pour les données de l'entreprise cliente, Cashlab agit en tant que sous-traitant de cette entreprise, conformément au contrat qui les lie.

3. Les données que nous traitons

Données de compte. Adresse email professionnelle, nom, prénom, fonction (facultative), organisation de rattachement, rôles et droits d'accès, langue, date de dernière connexion. Ces données sont fournies par votre organisation. Votre mot de passe n'est jamais conservé en clair (seule une empreinte chiffrée est stockée), de même que le secret et les codes de secours de la double authentification.

Données de connexion et de sécurité. Adresse IP, empreinte technique du navigateur ou de l'appareil, identifiants de session, nom d'appareil si vous choisissez « Se souvenir de cet appareil » lors de la double authentification, et journal des requêtes adressées à nos serveurs, associé à votre identifiant.

Données financières affichées dans l'application. Soldes des comptes bancaires de votre entreprise, noms des banques, des entités et des comptes, numéros de compte. L'application les affiche en lecture seule : elle ne permet aucun paiement ni virement.

Données de la plateforme web. Sur la plateforme web Cashlab, votre entreprise peut aussi importer des transactions, des données comptables et des prévisions. Ces données proviennent des connexions bancaires (notamment via Powens), d'échanges de fichiers avec les banques ou de connecteurs vers les logiciels comptables. Cashlab ne collecte ni ne stocke vos identifiants de banque en ligne lorsque la connexion passe par Powens. L'application mobile n'effectue aucune connexion bancaire.

Données stockées sur votre appareil. Votre session (dans le stockage sécurisé du système : Android Keystore, trousseau iOS), votre langue, les entités sélectionnées et l'activation du déverrouillage biométrique.

Authentification unique. Si votre organisation l'a activée, la connexion passe par son fournisseur d'identité (Google ou Microsoft), selon les règles de ce fournisseur.

L'application n'utilise aucun outil de mesure d'audience, de publicité ou de suivi, et ne collecte pas l'identifiant publicitaire de l'appareil.

4. Biométrie

Si vous activez le déverrouillage par empreinte digitale ou reconnaissance faciale, la vérification est entièrement réalisée par le système de votre appareil. Cashlab ne reçoit ni ne stocke aucune donnée biométrique.

5. Pourquoi nous utilisons ces données, et sur quelle base

• Vous donner accès au service et afficher les données de votre entreprise : exécution du contrat conclu avec votre organisation.
• Vous authentifier, sécuriser votre compte et prévenir la fraude : intérêt légitime et obligation de sécurité.
• Assurer le support et diagnostiquer les incidents techniques : intérêt légitime.
• Respecter nos obligations légales : obligation légale.

6. Destinataires des données

Vos données sont accessibles à votre organisation, selon les droits qu'elle définit, et aux personnes habilitées de Cashlab. Elles peuvent être traitées, pour notre compte et dans la stricte limite de ce qui est nécessaire, par les prestataires suivants :

• DigitalOcean, LLC : hébergement des serveurs et des données (centre de données de Francfort, Allemagne) ;
• Google : messagerie professionnelle (Google Workspace) ;
• Mailjet (prestataire établi en France) : envoi des emails liés au service ;
• Powens : connexion aux comptes bancaires, pour la plateforme web.

EMMAX SAS ne vend ni ne loue vos données à des tiers.

7. Localisation et transferts hors de l'Union européenne

Les serveurs de Cashlab sont situés dans l'Union européenne (Francfort, Allemagne). Certains de nos prestataires sont des sociétés établies aux États-Unis ou relevant du droit américain (DigitalOcean, Google). Lorsque cela peut entraîner un accès depuis l'extérieur de l'Union européenne, ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées aux contrats de traitement des données conclus avec ces prestataires.

8. Durée de conservation

• Données de compte : tant que votre organisation maintient votre accès, puis supprimées à la suppression du compte (voir la page dédiée).
• Journaux de connexion et de sécurité : 12 mois, puis supprimés.
• Appareil mémorisé pour la double authentification : 14 jours.
• Données de trésorerie de l'entreprise : selon le contrat conclu avec votre organisation.
• Données sur votre appareil : la session est effacée à la déconnexion, toutes les données locales sont effacées à la désinstallation de l'application.

9. Sécurité

Toutes les communications entre l'application et nos serveurs sont chiffrées (HTTPS). Les mots de passe sont stockés sous forme d'empreinte, jamais en clair, et les secrets de double authentification sont chiffrés. L'accès au compte est protégé par double authentification ou par l'authentification unique de votre organisation. Sur l'appareil, la session est conservée dans le stockage sécurisé du système, la sauvegarde automatique des données de l'application est désactivée sur Android, et l'accès peut être protégé par biométrie, auquel cas le contenu est masqué lorsque l'application passe en arrière-plan.

10. Vos droits

Conformément au Règlement général sur la protection des données (RGPD), vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Vous pouvez les exercer auprès de l'administrateur Cashlab de votre organisation, ou en écrivant à hello@cashlab.fr. Lorsque la demande porte sur des données de trésorerie dont votre entreprise est responsable, nous la transmettons à votre entreprise.

Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

11. Suppression de votre compte

Vous pouvez à tout moment demander la suppression de votre compte. La suppression ne se fait pas depuis l'application : les étapes sont décrites sur la page « Supprimer votre compte Cashlab ».

12. Mineurs

L'application Cashlab est destinée à un usage professionnel et n'est pas conçue pour être utilisée par des mineurs.

13. Modifications

Cette politique peut être mise à jour. La date de dernière mise à jour figure en haut de la page, et toute modification importante vous sera communiquée par les moyens appropriés.