Politique de confidentialité.

1. Responsable du traitement

VAD ONLINE édite le service Assistant Subvention accessible à l'adresse assistant-subvention.com. La présente politique décrit la manière dont vos données personnelles sont collectées, utilisées et protégées.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

2.1. Lors de l'audit gratuit

• SIREN de votre entreprise, utilisé pour interroger l'Annuaire des Entreprises (data.gouv.fr)
• Données publiques d'entreprise récupérées automatiquement : raison sociale, code NAF, effectif, statut, localisation, date de création
• Informations de projet saisies par vos soins (nature des projets, priorités)

L'audit peut être effectué sans création de compte.

2.2. Lors de l'activation de l'accès complet

• Adresse e-mail
• Nom et prénom
• Adresse de facturation (obligatoire pour l'application de la TVA)
• Numéro de TVA intracommunautaire (optionnel, pour les clients B2B intra-UE)
• Données de paiement : jamais stockées par VAD ONLINE. Le traitement est délégué à Stripe.

2.3. Lors de l'utilisation du service

• Historique de vos interactions avec les fiches d'aides (favoris, statuts)
• Données techniques de connexion (adresse IP anonymisée, horodatage)

3. Finalités et bases légales

Vos données sont traitées pour les finalités suivantes, sur les bases légales suivantes :

• Fourniture du service audité et personnalisé — Exécution du contrat (Art. 6-1-b RGPD)
• Facturation et respect des obligations comptables et fiscales — Obligation légale (Art. 6-1-c RGPD)
• Envoi d'e-mails transactionnels (confirmation, magic link, alertes d'aides) — Exécution du contrat
• Sécurité du service et prévention des fraudes — Intérêt légitime (Art. 6-1-f RGPD)
• Réponse à une demande de contact — Intérêt légitime, à votre initiative

Aucun profilage automatisé produisant des effets juridiques n'est effectué. Aucune revente ni partage à des fins publicitaires n'est réalisé.

4. Destinataires — Sous-traitants

Vos données sont accessibles uniquement aux personnels habilités de VAD ONLINE et aux sous-traitants suivants, tous liés par des accords de traitement conformes à l'article 28 du RGPD :

Prestataire	Finalité	Hébergement
Supabase	Hébergement base de données (compte, historique)	Francfort — UE
Brevo	Envoi d'e-mails transactionnels (magic link, alertes)	Paris — UE
Stripe	Traitement des paiements et facturation TVA	États-Unis (DPF)
Cloudflare	Hébergement du site et CDN, protection anti-DDoS	Mondial (routage)
Anthropic	Traitement IA pour la génération de dossiers	États-Unis (DPF)

Transferts hors UE : les prestataires basés aux États-Unis (Stripe, Anthropic, Cloudflare) sont couverts soit par leur adhésion au Data Privacy Framework (DPF), soit par des clauses contractuelles types de la Commission européenne, garantissant un niveau de protection équivalent au RGPD.

5. Durée de conservation

• Données d'audit (SIREN, réponses au profilage) sans création de compte : 30 jours puis suppression automatique
• Compte client actif : pendant toute la durée de l'abonnement
• Compte client inactif : supprimé 3 ans après la fin de l'accès, sauf demande contraire de votre part
• Factures et pièces comptables : 10 ans (obligation fiscale — Art. L123-22 du Code de commerce)
• Logs techniques : 12 mois maximum
• Messages via le formulaire de contact : 3 ans après le dernier échange

6. Sécurité

Vos données sont hébergées principalement au sein de l'Union européenne (Francfort). Les mesures de sécurité en place comprennent :

• Chiffrement des communications en transit (HTTPS/TLS 1.3)
• Chiffrement au repos de la base de données Supabase
• Authentification par lien magique à usage unique (pas de mot de passe stocké)
• Cloisonnement des rôles d'accès (Row Level Security Supabase)
• Limitation drastique des accès aux données par un principe de minimisation

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès et de copie de vos données
• Droit de rectification des données inexactes
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit à la portabilité de vos données dans un format structuré
• Droit d'opposition au traitement pour motif légitime
• Droit de définir des directives post-mortem sur vos données

Pour exercer ces droits, adressez votre demande via le formulaire de contact, en précisant l'objet de votre demande. Un justificatif d'identité pourra vous être demandé en cas de doute raisonnable. Nous vous répondrons dans un délai maximum d'un mois.

En cas de désaccord persistant, vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

8. Cookies et traceurs

Le site n'utilise aucun cookie publicitaire, aucun traceur tiers marketing (Google Analytics, Meta Pixel, TikTok, LinkedIn, etc.) et aucun outil de tracking comportemental.

Seuls les éléments techniques strictement nécessaires au fonctionnement du service sont utilisés :

• Jeton d'authentification stocké localement dans votre navigateur (nécessaire pour maintenir votre session)
• Éléments techniques Cloudflare de protection contre les attaques (cookie __cf_bm, durée 30 minutes)

Ces éléments techniques ne nécessitent pas de consentement préalable en application des lignes directrices de la CNIL.

9. Modification de la politique

La présente politique peut être modifiée à tout moment pour tenir compte des évolutions légales, jurisprudentielles ou techniques. La version en vigueur est celle publiée sur cette page. En cas de modification substantielle, les utilisateurs enregistrés en seront informés par e-mail.

10. Contact

Pour toute question relative à cette politique ou à l'exercice de vos droits, vous pouvez nous joindre via le formulaire de contact. VAD ONLINE n'a pas désigné de Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD ; les demandes sont traitées directement par la direction.