Politique de confidentialité

1. Responsable et sous-traitant

Pour les pages publiques (landing, formulaires d’inscription, cookies), AceFisc est responsable de traitement. Pour les dossiers clients saisis dans l’application par un cabinet, le cabinet est responsable de traitement. AceFisc est sous-traitant.

Écrivez à cedric@acefisc.lu

2. Données collectées

• Compte. Nom, prénom, e-mail professionnel, organisation.
• Usage. Journaux techniques, journal d’audit des actions sensibles.
• Dossiers du cabinet. Données clients, KYC, pièces, temps, facturation, sous la responsabilité du cabinet.
• Cookies. Voir la politique cookies.

3. Finalités et bases légales

• Fourniture du service et authentification. Exécution du contrat.
• Sécurité, prévention des abus, journal d’audit. Intérêt légitime et obligations légales.
• Réponse aux demandes d’accès. Mesures précontractuelles.
• Mesure d’audience optionnelle. Consentement.

4. Destinataires et localisation

Les données sont hébergées dans l’Union européenne : base de données et fichiers chez Supabase (région de Francfort, Allemagne), serveurs applicatifs chez Hetzner (Allemagne). Elles ne sont communiquées qu’aux personnes habilitées du cabinet, aux prestataires strictement nécessaires au service (hébergement, envoi d’emails par Resend, intelligence artificielle, voir la section 4 bis) et aux autorités lorsque la loi l’exige.

Deux prestataires peuvent traiter des données hors de l’Union européenne : le support technique de Supabase (accès à distance possible depuis l’extérieur de l’Union) et Resend (journaux d’envoi des emails stockés aux États-Unis pendant 30 jours). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Leur détail figure dans le contrat de sous-traitance.

4 bis. Intelligence artificielle (Ace AI)

Les fonctions d’intelligence artificielle (assistant Ace, voix, transcription de réunions, lecture de pièces d’identité, analyse de documents) traitent les données du cabinet pour son compte : le cabinet en est responsable, AceFisc sous-traitant. Elles ne sont accessibles qu’après leur activation par un administrateur du cabinet et l’acceptation, par chaque collaborateur, d’une notice d’information détaillée (finalités, bases légales, durées, destinataires, droits).

• Sous-traitant ultérieur : Amazon Web Services EMEA SARL (Luxembourg). Amazon Bedrock (modèles Claude d’Anthropic) traite les données dans l’Union européenne ; Amazon Transcribe et Amazon Polly à Francfort.
• Le détail des sous-traitants et des mesures de sécurité figure dans le contrat de sous-traitance.
• Les contenus ne servent pas à entraîner des modèles. L’audio n’est jamais enregistré ; la transcription intégrale d’une réunion n’est pas conservée.
• Aucune décision fondée exclusivement sur un traitement automatisé n’est prise : toute action proposée par l’IA exige la confirmation d’un collaborateur.
• Les conversations avec Ace sont effacées automatiquement après 365 jours.

5. Durées de conservation

Les comptes et journaux techniques sont conservés le temps de la relation, puis selon les obligations légales applicables (notamment LBC/FT lorsque le cabinet y est assujetti). Les cookies optionnels suivent la durée indiquée dans la politique cookies (180 jours pour le consentement).

6. Droits des personnes

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité et vous opposer à certains traitements, dans les limites de l’article 17§3 du RGPD (obligations légales de conservation). Écrivez à cedric@acefisc.lu. Vous pouvez également saisir la CNPD (Luxembourg) ou l’APD (Belgique).

7. Sécurité

Authentification, rôles, chiffrement des données sensibles (AES-256) et journalisation des accès aux informations personnelles font partie des mesures mises en œuvre.