Politique de confidentialité

1. Responsable du traitement et champ d’application

• Responsable du traitement : Antonio Samuel Martín Polo, exerçant sous le nom commercial Autonomio et sous la marque ImmigraFlow (ci-après, le « Prestataire »)
• NIF (numéro d’identification fiscale espagnol) : 50555557Q
• Adresse : Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España
• Adresse électronique : hello@immigraflow.io
• Site web : immigraflow.io

ImmigraFlow est une plateforme destinée aux cabinets qui gèrent des dossiers de droit des étrangers. La présente politique explique comment le Prestataire traite les données dont il est responsable : celles des cabinets qui souscrivent à ImmigraFlow et de leurs utilisateurs, et celles des personnes qui visitent le site web ou contactent le Prestataire.

Les données des clients de chaque cabinet (dossiers, documents, messages) sont décidées et contrôlées par le cabinet, qui en est le responsable du traitement. Le Prestataire ne les traite que pour le compte du cabinet, en tant que sous-traitant, conformément au Contrat de sous-traitance. Si vous êtes client d’un cabinet qui utilise ImmigraFlow, c’est le cabinet qui vous informe sur le traitement de vos données et auprès duquel vous pouvez exercer vos droits (section 8).

2. Données que nous traitons

2.1. Cabinets et leurs utilisateurs

• Identification et contact : nom, adresse électronique, téléphone et rôle de chaque utilisateur ; dénomination, NIF et adresse du cabinet.
• Accès : identifiants de connexion (le mot de passe est stocké de façon chiffrée par le fournisseur d’authentification) ou connexion avec Google.
• Facturation de l’abonnement : formule, modules, montants et statut des paiements. Les paiements sont traités par Stripe ; le Prestataire ne stocke pas de données de carte bancaire.
• Assistance et communications : demandes, incidents et conversations avec l’assistant d’assistance.
• Utilisation de la Plateforme : activité et journaux techniques et, si l’utilisateur accepte les cookies d’analyse, données d’usage conformément à la Politique de cookies.

2.2. Visiteurs et contacts

• Formulaires : les données que vous communiquez en demandant des informations, en vous inscrivant à un webinaire, en vous abonnant à la newsletter ou en démarrant un essai gratuit (nom, adresse électronique, téléphone, cabinet et message).
• Origine de la visite : la campagne ou le lien par lequel vous arrivez sur le site web, qui est enregistré dans la session de votre navigateur et associé à votre fiche uniquement si vous vous inscrivez.

2.3. Données recueillies automatiquement

• Données de navigation : adresse IP, type de navigateur, langue et pages consultées.
• Cookies : conformément à la Politique de cookies.

3. Finalités du traitement

• Fourniture du service : créer et maintenir le compte du cabinet et de ses utilisateurs et fournir le service souscrit.
• Facturation : facturer l’abonnement et émettre les factures.
• Assistance : traiter les demandes et incidents, y compris au moyen d’un assistant d’intelligence artificielle.
• Communications relatives au service : avis concernant le compte, la sécurité, l’essai gratuit et les modifications des Conditions.
• Communications commerciales : la newsletter et les webinaires, aux personnes qui s’y abonnent, et les actualités d’ImmigraFlow aux cabinets clients. Toutes comportent un moyen de se désabonner.
• Analyse et mesure des campagnes : comprendre l’utilisation du site web et de la Plateforme et mesurer les résultats publicitaires, uniquement avec votre consentement.
• Sécurité : prévenir la fraude et les abus et enregistrer les erreurs techniques pour les corriger.
• Conformité légale : obligations fiscales, comptables et toute autre obligation applicable.

4. Base juridique du traitement

5. Sous-traitants et destinataires

Les prestataires qui traitent des données pour le compte du Prestataire sont les mêmes que ceux qui figurent comme sous-traitants à la clause 10 du Contrat de sous-traitance. Chacun n’intervient que dans le service indiqué :

En outre, si vous acceptez les cookies publicitaires, Google Ireland Limited (Google Ads) et Meta Platforms Ireland Limited (pixel Meta) reçoivent des données sur votre navigation sur le site web pour mesurer les campagnes, en tant que responsables de leur propre traitement. L’administration fiscale espagnole et les autres organismes publics reçoivent les données que la loi les oblige à leur communiquer.

5.1. Canal WhatsApp

Si un cabinet active le canal WhatsApp, les messages avec ses clients passent par le serveur d’intégration du Prestataire (DigitalOcean, Francfort) et par les serveurs de WhatsApp, avec le numéro et le compte WhatsApp propres au cabinet. Ce traitement est décidé par le cabinet et est régi par le Contrat de sous-traitance et par la section 9 des Conditions générales. Le canal est facultatif et le cabinet peut le désactiver à tout moment ; les messages restent sur la Plateforme même si le canal cesse d’être disponible.

6. Transferts internationaux

Certains des prestataires de la section 5 sont établis aux États-Unis ou fournissent le service depuis ce pays ; en particulier, l’application fonctionne sur des serveurs Vercel situés aux États-Unis, et les fonctions d’intelligence artificielle transitent par OpenRouter et par le fournisseur de chaque modèle, qui peut se trouver en dehors de l’Espace économique européen. Ces transferts s’appuient sur les clauses contractuelles types approuvées par la Commission européenne (décision d’exécution (UE) 2021/914) ou, lorsque le prestataire y adhère, sur le cadre de protection des données UE-États-Unis. La localisation et la garantie de chaque prestataire figurent dans le tableau de la section 5.

7. Conservation des données

• Compte du cabinet et de ses utilisateurs : tant que le compte existe. À la fin de l’abonnement, le compte passe en lecture seule pendant 12 mois, puis ses données sont supprimées automatiquement, après un avis envoyé par courrier électronique au titulaire et aux administrateurs du compte au moins 30 jours à l’avance. Le cabinet peut demander la suppression plus tôt, qui est exécutée dans un délai maximal de 30 jours.
• Données des clients de chaque cabinet : conservées par le Prestataire pour le compte du cabinet, conformément à la clause 15 du Contrat de sous-traitance : suppression automatique 12 mois après la fin de l’abonnement, annoncée au cabinet au moins 30 jours à l’avance, suppression plus tôt si le cabinet en fait la demande, dans un délai maximal de 30 jours, et conservation pendant 6 ans des factures émises par le cabinet et de ses registres VeriFactu, sauf indication contraire du cabinet. Les documents supprimés par le cabinet sont définitivement effacés au bout de 30 jours.
• Facturation de l’abonnement : 6 ans, conformément à l’article 30 du Code de commerce espagnol (Código de Comercio).
• Formulaires de contact, de démonstration et de webinaire : le temps nécessaire pour traiter la demande ; supprimés à votre demande.
• Newsletter : jusqu’à votre désabonnement.
• Analyse : 13 mois maximum. La durée de chaque cookie figure dans la Politique de cookies.
• Sauvegardes : les sauvegardes quotidiennes du fournisseur de base de données sont conservées 7 jours, et celles de la copie externe de la base de données, 30 jours. La copie externe des fichiers retire les documents supprimés 30 jours après leur disparition du stockage principal.
• Questions posées aux assistants d’intelligence artificielle : les questions que vous posez à l’assistant de questions du portail client, à l’assistant de recherche juridique ou à l’assistant d’assistance sont conservées après suppression automatique des données personnelles (les noms détectés, numéros de documents, e-mails, numéros de téléphone et IBAN) pendant une durée maximale de 180 jours, afin d’améliorer les réponses. Chaque cabinet ne voit que ses propres questions ; le Prestataire peut analyser l’ensemble des questions de tous les cabinets, mais uniquement sur ce texte ainsi épuré et uniquement pour améliorer le service. Elles ne sont jamais utilisées pour entraîner des modèles de tiers : les fournisseurs d’intelligence artificielle sont configurés sans conservation des données.

8. Vos droits

Conformément au RGPD et à la LOPDGDD (loi organique espagnole sur la protection des données et la garantie des droits numériques), vous pouvez exercer les droits suivants :

• Accès : savoir si nous traitons vos données et en obtenir une copie.
• Rectification : corriger les données inexactes.
• Effacement : demander leur suppression lorsqu’elles ne sont plus nécessaires.
• Limitation du traitement : en demander la restriction dans certains cas.
• Portabilité : recevoir vos données dans un format structuré et d’usage courant.
• Opposition : vous opposer au traitement fondé sur l’intérêt légitime et aux communications commerciales.
• Retrait du consentement : à tout moment, sans affecter la licéité du traitement effectué avant ce retrait.

Pour les exercer, écrivez à hello@immigraflow.io en indiquant votre nom et le droit que vous souhaitez exercer. Nous répondrons dans un délai d’un mois. Si vous êtes client d’un cabinet qui utilise ImmigraFlow, adressez-vous à votre cabinet ; si vous nous écrivez, nous lui transmettrons votre demande.

Si vous estimez que vos droits n’ont pas été dûment respectés, vous pouvez introduire une réclamation auprès de l’Agence espagnole de protection des données (Agencia Española de Protección de Datos, AEPD) : www.aepd.es.

9. Sécurité

Le Prestataire applique des mesures techniques et organisationnelles adaptées au risque, notamment :

• Chiffrement des communications (TLS/HTTPS).
• Chiffrement au repos de la base de données et des fichiers, et chiffrement supplémentaire des certificats électroniques et des identifiants.
• Cloisonnement entre cabinets au moyen de politiques de sécurité au niveau des lignes sur toutes les tables, et contrôle d’accès par rôles au sein de chaque cabinet.
• Base de données et fichiers hébergés dans l’Union européenne, avec des sauvegardes quotidiennes.
• Journalisation des erreurs techniques sans données identifiantes.

Le détail figure à la clause 9 du Contrat de sous-traitance.

10. Mineurs

ImmigraFlow s’adresse à des professionnels et non à des mineurs. Les données de mineurs qu’un cabinet inclut dans ses dossiers (par exemple, les enfants dans un regroupement familial) sont traitées par le cabinet en tant que responsable du traitement, et par le Prestataire uniquement pour le compte du cabinet, conformément au Contrat de sous-traitance.

11. Extension Chrome Mercurio

L’extension Chrome Mercurio remplit les formulaires des sites administratifs en ligne avec les données des clients du cabinet. Elle les traite pour le compte du cabinet, conformément au Contrat de sous-traitance, et traite en outre les données suivantes :

11.1. Données traitées par l’extension

• Session : le jeton d’authentification est stocké dans le stockage local de l’extension dans le navigateur (chrome.storage.local) jusqu’à ce que l’utilisateur se déconnecte.
• Données des clients : nom, NIE/NIF, adresse et données de la demande du client, que l’extension demande à la Plateforme uniquement pour le remplissage et qu’elle ne stocke pas dans le navigateur.
• Description du formulaire : une description compacte des champs du formulaire du site administratif (libellés, types de champ, texte à proximité), sans les données personnelles que la page peut contenir. Elle est envoyée au serveur pour associer les champs, puis supprimée.
• Certificats électroniques : uniquement le nom du titulaire et le NIF du certificat, pour remplir les données du déposant. Les fichiers de certificat chiffrés (.p12) ne quittent jamais le serveur.
• Rapports d’incident : lorsque l’utilisateur le demande, une capture de la page du site administratif qui a échoué, enregistrée dans le dossier.
• Journal des opérations : chaque remplissage (type de formulaire, nombre de champs remplis, durée) est enregistré à des fins d’audit interne.

11.2. Traitement par intelligence artificielle

Pour faire correspondre les champs du formulaire aux données du client, le serveur d’ImmigraFlow envoie la description des champs et les données du client à un modèle d’IA (Gemini, de Google, avec Claude, d’Anthropic, comme solution de repli) via OpenRouter. L’IA renvoie les correspondances et les données ne sont pas conservées au-delà de l’opération.

11.3. Autorisations de l’extension

12. Modifications

Le Prestataire peut mettre à jour la présente politique. Toute modification sera publiée sur cette page avec sa date, et les changements importants seront communiqués aux cabinets par courrier électronique.

13. Contact

Pour toute question relative à la protection des données :

• Adresse électronique : hello@immigraflow.io
• Adresse postale : Antonio Samuel Martín Polo, Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España