Version 2026-10-16.4 · SHA-256 633ff57b24952e56daa6843ecb8db4bfbde3b7ed2cdc8da64a0f01f3d584b237
Version 2026-10-16.4
Exploitant : Yanis SIDI BOULENOUAR EI, entrepreneur individuel, SIREN 937734622, SIRET 93773462200015, 23 rue de Sauve, 30900 Nîmes, France. KREDIA Finance est le nom commercial du logiciel, non une personne morale distincte.
TVA intracommunautaire : FR81937734622. Contact : yanis@krediafinance.fr. Téléphone : 07 66 29 30 11.
Politique de confidentialité
Qui traite les données
Pour comptes, relation commerciale, sécurité et support, l’exploitant KREDIA agit comme responsable de traitement. Pour les dossiers déposés par un cabinet qui détermine les finalités, KREDIA agit comme sous-traitant sur instruction de ce cabinet, selon le DPA. Le cabinet peut lui-même être sous-traitant de son propre client : il doit vérifier les instructions et habilitations correspondantes. Le responsable de ces traitements est Yanis SIDI BOULENOUAR EI, identifié ci-dessus. Le contact public pour les demandes relatives aux données est yanis@krediafinance.fr. Aucun DPO n’est déclaré sans désignation effective.
Registre des traitements
| Traitement | Données | Finalité et base lorsque KREDIA est responsable | Destinataires | Durée ou critère |
|---|---|---|---|---|
| Comptes et authentification | Identité professionnelle, e-mail, hash du mot de passe, jetons, sessions | Fourniture du compte ; contrat pour le cocontractant, intérêt légitime pour ses collaborateurs et la sécurité | Utilisateur, Admin habilité, exploitation, hébergeur | Relation active ; cookie 8 h ; jeton de réinitialisation 1 h ; exceptions probatoires séparées |
| Organisations et collaborateurs | Rôles, affectations, organisation, invitations | Gestion des habilitations et du service ; contrat/intérêt légitime | Organisation concernée, exploitation | Relation, puis période de sortie ; identité résiduelle à revoir après purge |
| Dossiers, imports, scénarios et rapports | Données comptables, pièces, hypothèses, résultats, personnes présentes dans les données | Fourniture sur instruction du cabinet, qui détermine sa base ; pas de base autonome inventée par KREDIA | Collaborateurs affectés, exploitation autorisée, Oracle, Microsoft si choisi | Contrat et 90 jours de sortie ; dernière version courante du livrable |
| Conversations et commentaires IA | Questions, contexte sélectionné, méthodes, réponses, pièces autorisées | Interprétation demandée sur instruction ; traitement propre de support à distinguer | Dossier autorisé, OpenAI lorsque appelé | Vie du dossier et sortie ; rétention fournisseur distincte |
| Support | Coordonnées et échanges volontairement adressés | Réponse au service ; contrat ou intérêt légitime proportionné | Personnel support et prestataire de messagerie | Douze mois calendaires après clôture, sauf besoin probatoire justifié et accès restreint |
| Facturation et acceptations | Organisation, utilisateur habilité, coordonnées fiscales, identifiants Stripe, versions et preuves | Exécution du contrat et obligations légales | Exploitant, Stripe, comptabilité autorisée | Factures/pièces comptables : dix ans lorsque la règle comptable s’applique ; preuve contractuelle selon prescription applicable |
| Journaux de sécurité et activité | Identifiants, actions, dates, données techniques nécessaires | Sécurité, investigation et preuve ; intérêt légitime avec minimisation | Exploitation habilitée ; client dans son périmètre | Six mois calendaires pour les traces applicatives hors dossier ; activités des dossiers et preuves selon leur finalité, gel motivé possible ; journaux d’infrastructure distincts |
| Sauvegardes | Copies protégées des catégories nécessaires | Continuité, restauration, sécurité sur instruction | Exploitation et Oracle Object Storage | Trente jours glissants, deux points récents vérifiés au minimum et gels justifiés ; réapplication des suppressions avant remise en service, pas d’effacement immédiat de toutes les copies |
Les durées actives et limites d’effacement sont précisées dans la politique de conservation. Le support clos suit douze mois calendaires et la file d’e-mails traités trente jours, indépendamment des journaux du fournisseur. Un registre chiffré de suppressions, indépendant des sauvegardes de base, protège la reprise ; le journal et sa réplication sont activés en exploitation depuis le 16 octobre 2026 ; les nettoyages sont sous gel transitoire documenté jusqu’à la clôture contractuelle. Les critères généraux ne justifient pas une conservation indéfinie ; les identités résiduelles, preuves et exceptions font l’objet d’une revue restreinte.
Vérification des coordonnées professionnelles de facturation
Avant une première souscription, l’Admin habilité fournit le SIRET de facturation et atteste son pouvoir d’engager l’organisation. KREDIA interroge l’API publique de Recherche d’entreprises du service public pour vérifier un établissement actif et récupérer son identité et son adresse publiées. Le SIRET est transmis à ce registre ; les coordonnées vérifiées et la trace de qualification sont ensuite enregistrées pour la facturation auprès de Stripe. Cette vérification sert à préparer et exécuter le contrat B2B et à établir des factures exactes ; elle ne détermine ni le régime de TVA du client ni son éligibilité à un crédit. Aucun dossier, document comptable ou échange IA n’est envoyé au registre pour ce contrôle. Une identité non vérifiable reste refusée sans être inventée ; le contact support permet une vérification documentée.
Fournisseurs, IA et transferts
La VM, PostgreSQL et le bucket de sauvegarde contrôlés se trouvent à Marseille. Cela n’établit pas le lieu de chaque accès de support ou traitement tiers. Le DPA annexé aux conditions décrit Oracle, OpenAI, Brevo (relais), IONOS (boîte), Microsoft (parcours facultatif) et Stripe ; GitHub est réservé au code et à la QA fictive, pas aux dossiers clients. Le compte Oracle Free Tier est rapproché du CSA standard référencé par la FAQ officielle et du DPA incorporé selon ses modalités ; une commande historique particulière n’a pas été consultée. Les conditions publiques et preuves du compte sont distinguées : une documentation publique n’est pas à elle seule une preuve d’acceptation historique. Les transferts possibles hors EEE reposent sur les garanties contractuelles applicables, notamment les clauses types ou décisions d’adéquation lorsqu’elles s’appliquent ; aucune résidence exclusivement française ou européenne n’est promise pour l’ensemble des prestataires.
L’IA reçoit le contexte autorisé et minimisé, mais une question ou pièce peut contenir une identité ou une information confidentielle. Les rapports utilisent des chiffres sélectionnés ; le parcours documentaire requiert une autorisation de traitement distincte. Les réponses API ne sont pas conservées via store:true ; cela ne supprime pas tous les journaux fournisseur. Le document IA précise ces limites. Il n’existe ni décision autonome d’octroi de crédit ni vente de données prévue par ce service.
Droits, procédure et contacts
Une personne peut demander accès, rectification, effacement, limitation, opposition et, dans les cas applicables, portabilité. Elle adresse sa demande à yanis@krediafinance.fr, contact données de l’exploitant ; une identité n’est contrôlée que proportionnellement au risque, sans demander mot de passe ou clé. Si le cabinet est responsable, KREDIA lui transmet la demande et l’assiste dans le périmètre autorisé. Les personnes ne peuvent pas obtenir les données d’un autre cabinet. Les obligations légales, droits de tiers et nécessité probatoire peuvent limiter une suppression, avec explication du motif.
Pour ses propres traitements, le responsable répond dans le délai légal d’un mois ; la prolongation possible de deux mois en cas de complexité/nombre de demandes doit être motivée et annoncée dans le premier mois. Il documente les réponses et la vérification. Une réclamation peut être adressée à la CNIL. Le contact et le responsable sont identifiés ci-dessus ; aucun bouton ne garantit une suppression instantanée de toutes les copies. Les cookies nécessaires sont décrits séparément ; aucun consentement à la prospection n’est présumé.
Contrats fournisseurs et conservation distincte
Pour IONOS, la confirmation du 5 janvier 2026 identifie Email Basic 5 et krediafinance.fr au nom de Yanis Sidi Boulenouar ; elle joint un DPA version 1.2, daté 12/2023. Il ne s’agit donc plus d’un accord présumé à partir d’une page publique. Ce DPA décrit un traitement dans l’UE/EEE sauf transfert nécessaire, avec garanties requises ; il ne garantit pas que toute copie ou assistance soit française. La conservation de la boîte doit être gérée selon la nature de chaque échange, non confondue avec les délais du relais SMTP.
Les durées et localisations du fournisseur ne se déduisent pas de celles de PostgreSQL. Les journaux et caches OpenAI, les traces de remise Brevo et les données de paiement que Stripe traite sous sa responsabilité suivent aussi leurs conditions propres. La suppression d’un dossier KREDIA ne supprime pas automatiquement toutes ces données. Le registre administratif rapproche versions publiques, compte réellement utilisé et preuve contractuelle ; un document public ou une notification concernant un autre compte n’est pas présenté comme une acceptation KREDIA. Les éléments non établis restent bloquants avant publication contractuelle ou transmission de données clients réelles dans le périmètre concerné.
Preuves d’incorporation contractuelle
La consultation du compte Brevo KREDIA confirme que son DPA est incorporé aux conditions applicables par souscription ou usage. Le compte Stripe LIVE KREDIA comporte une acceptation de conditions datée du 29 septembre 2026 ; son DPA fait partie de l’accord Stripe. Aucune nouvelle signature séparée de ces DPA n’est demandée pour la seule raison qu’ils sont incorporés. Ces preuves ne règlent pas les paramètres de rétention à vérifier et ne valent pas preuve de la commande Oracle particulière. Les dates, périmètres et preuves de compte sont conservés dans le registre administratif sans publier les accès ni les données privées.
Contact commun et version
Le compte OpenAI effectivement utilisé a été identifié le 16 octobre 2026 par la méthode officielle /v1/me, avec la clé gardée côté serveur. L’organisation et son propriétaire sont rapprochés de l’usage KREDIA et de la décision de l’exploitant EI. Le DPA s’incorpore au contrat par l’usage ; un PDF signé séparément n’est pas exigé par principe. Cette preuve ne vaut ni résidence exclusivement européenne, ni rétention nulle, ni approbation des présents documents. Les identifiants de compte et données privées restent dans le dossier administratif, pas dans les pages publiques.
Les versions applicables sont celles approuvées et mises à disposition dans KREDIA. Les projets accessibles dans l’administration ne valent pas acceptation. Contact : yanis@krediafinance.fr.