Politique de confidentialité

1. Responsable du traitement

Alastia SLU (ci-après, « nous » ou « Tributs ») est le responsable du traitement des données à caractère personnel traitées lorsque vous utilisez le service via tributs.ad et ses sous-domaines.

Identification : société à responsabilité limitée andorrane, NRT L-720150-X, siège social au C/ Prat de la Creu 96, 4-1, AD500 Andorra la Vella (Principauté d'Andorre). Contact confidentialité : hola@tributs.ad.

Double rôle — important. En ce qui concerne les données de votre compte et la facturation de votre abonnement, Alastia SLU est le responsable du traitement et cette politique s'applique pleinement. En revanche, en ce qui concerne les données à caractère personnel de tiers (vos clients, fournisseurs et employés) que vous saisissez ou téléversez dans le service pour tenir votre comptabilité, votre facturation et votre paie, vous êtes le responsable du traitement et Alastia SLU agit uniquement en tant que sous-traitant (art. 31 de la Llei 29/2021), selon vos instructions. Cette seconde relation est régie par l'Accord de traitement des données (DPA), qui fait partie des conditions du service.

2. Quelles données nous traitons

Données de compte : nom complet, e-mail, mot de passe (haché avec bcrypt), date d'inscription. Origine : formulaire d'inscription.

Données de l'entreprise : raison sociale, NRT, paroisse, date de constitution, données fiscales. Origine : inscription + édition dans le panneau.

Données comptables et fiscales : factures émises et reçues, mouvements bancaires, déclarations fiscales, comptes annuels. Origine : utilisation du service.

Images et documents joints : photos et PDF de factures que vous numérisez avec la fonction de capture par IA. Origine : téléversement volontaire par l'utilisateur.

Conversations avec l'assistant d'aide : le texte des questions que vous saisissez à l'assistant d'utilisation du produit et les réponses générées, avec votre historique. Origine : utilisation volontaire de l'assistant.

Données techniques : journaux d'accès (IP, navigateur, horodatages), cookies de session. Origine : navigation dans le service.

Registre d'activité : les jours, heures et minutes pendant lesquels chaque utilisateur utilise le service (uniquement le temps avec un geste : clic, touche ou défilement). Il n'enregistre ni les écrans consultés ni les documents ouverts. Origine : utilisation du service.

3. Finalités du traitement

Vous fournir le service souscrit (gestion fiscale et comptable d'une entreprise andorrane).

Générer les déclarations fiscales à partir de vos données comptables.

Extraire des données structurées des factures que vous numérisez au moyen de fournisseurs d'IA générative (section 5).

Suggérer une catégorisation comptable des mouvements bancaires (lorsque vous le demandez) au moyen des mêmes fournisseurs d'IA (section 5) ; la suggestion est indicative et n'est pas comptabilisée sans votre confirmation.

Fournir un assistant d'aide sur l'utilisation du produit : le texte de vos questions est traité par des fournisseurs d'IA (section 5) afin de vous renvoyer des orientations fondées sur notre base de connaissances d'aide et, si vous le demandez, le nom officiel du plan comptable andorran (pas vos livres) ; il n'est pas utilisé pour du conseil fiscal ni pour consulter vos données comptables, et il ne certifie pas le choix du compte.

Vous envoyer des notifications transactionnelles (vérification, factures impayées, rappels du calendrier fiscal).

Gérer la facturation de votre abonnement à Tributs.

Respecter les obligations légales.

Exploiter le service : assurer le support, repérer les entreprises qui n'avancent pas et dimensionner la plateforme à partir du registre d'activité.

4. Base légale

Exécution du contrat : pour tous les traitements nécessaires à la fourniture du service.

Obligation légale : pour la conservation de la documentation comptable et fiscale pendant les délais exigés par le droit andorran (base : art. 6.1.c de la Llei 29/2021 ; obligation de conservation de la comptabilité pendant six ans en vertu de l'art. 7 de la Llei 30/2007, du 20 décembre, sur la comptabilité des entreprises).

Consentement : pour les communications commerciales sans rapport avec le service.

Intérêt légitime : pour l'amélioration du service, l'analyse anonyme de l'usage, la prévention de la fraude et le diagnostic des erreurs techniques (art. 6.1.f de la Llei 29/2021). Vous pouvez vous y opposer à tout moment depuis /perfil → Diagnostic des erreurs sans que cela affecte la fourniture du service.

Intérêt légitime à exploiter le service : pour le registre d'activité (art. 6.1.f de la Llei 29/2021). Vous pouvez vous y opposer en écrivant à hola@tributs.ad.

Intérêt légitime à la sécurité du service : pour le journal des accès et la prévention de la fraude et des abus (art. 6.1.f de la Llei 29/2021). Vous pouvez vous y opposer en écrivant à hola@tributs.ad.

5. Sous-traitants ultérieurs

Pour vous fournir le service, nous faisons appel à des prestataires externes qui agissent en tant que sous-traitants ultérieurs, organisés dans les catégories suivantes. Avec chacun d'eux, nous maintenons un accord de traitement des données (DPA) et, le cas échéant, des garanties appropriées (clauses contractuelles types) pour les transferts hors de l'EEE.

• Fournisseurs d'IA générative (États-Unis, SCCs + Zero Data Retention) — pour le scanner de factures, la catégorisation des mouvements bancaires et l'assistant d'aide.
• Hébergement et infrastructure (UE) — serveurs et bases de données.
• Stockage des pièces jointes (région UE, SCCs) — stockage chiffré des fichiers et images que vous téléversez.
• E-mails transactionnels (États-Unis, avec région d'envoi UE, SCCs) — vérification, notifications et factures.
• DNS, CDN et sécurité (États-Unis, SCCs) — disponibilité et protection de nos domaines.
• Hébergement du site web public (États-Unis, SCCs) — la landing tributs.ad et l'analytique anonyme.
• Diagnostic des erreurs techniques (région d'ingestion UE, société mère aux États-Unis, SCCs) — erreurs logicielles, sans accès au contenu de vos documents.

Vous pouvez consulter la liste nominative et à jour des sous-traitants ultérieurs (avec l'identité de chaque prestataire et la date de version). Si vous agissez en tant que responsable du traitement, le mécanisme de notification des modifications et votre droit d'opposition figurent dans l'Accord de traitement des données (DPA).

6. Transferts internationaux

Certains sous-traitants ultérieurs (section 5) sont situés en dehors de l'Espace économique européen (États-Unis). Pour ces transferts, nous nous appuyons sur les garanties appropriées prévues à l'art. 44 de la Llei 29/2021 — en particulier les clauses contractuelles types (SCCs) — dans le cadre du Capítol V (arts. 42 à 45).

Pour nos transferts depuis l'Andorre vers nos fournisseurs d'IA (scanner de factures, catégorisation bancaire et assistant d'aide), la garantie applicable est constituée de ces mêmes SCCs de l'art. 44, avec Zero Data Retention (ZDR) activé au niveau de la passerelle.

Vous pouvez demander une copie des SCCs applicables en écrivant à hola@tributs.ad.

7. Durée de conservation

Données de compte : tant que vous avez un compte actif + 30 jours après la clôture.

Documents fiscaux et comptables : 6 ans à compter de la dernière clôture de l'exercice, en application de l'obligation légale de conservation de la comptabilité (art. 7 de la Llei 30/2007). Ce délai couvre également le délai de prescription fiscale de 3 ans (art. 54.1 de la Llei 21/2014, sur les bases du régime fiscal) et la conservation des factures aux fins de l'IGI (art. 77.1 de la Llei 11/2012). Le principe de limitation de la conservation est l'art. 5.2.e de la Llei 29/2021.

Journal des accès du serveur : 90 jours.

Résumé des accès par compte : 12 mois.

Registre d'activité : 6 mois par utilisateur. Les décomptes par entreprise couvrent les 30 derniers jours et les totaux de la plateforme ne contiennent les données de personne.

Conversations avec l'assistant d'aide : 12 mois à compter de la dernière activité, avec purge automatique. Vous pouvez les supprimer plus tôt en exerçant votre droit d'effacement.

Sauvegardes : 30 jours (rotation automatique).

Avant la clôture de votre compte, vous pouvez exporter toutes vos données au format standard.

8. Journal des accès et sécurité

Pour protéger le service et les entreprises qui y travaillent, nous enregistrons les accès à Tributs :

Journal des accès du serveur : pour chaque requête, la date et l'heure, l'adresse IP, le pays approximatif, le domaine, le chemin de la page (sans les paramètres du lien), le résultat, le temps de réponse et le navigateur (user agent). Nous n'y conservons ni mots de passe, ni codes de liens à usage unique, ni le contenu de ce que vous saisissez.

Résumé des accès par compte : pour chaque personne, entreprise et jour, les adresses IP et les navigateurs utilisés pour se connecter, le nombre de requêtes et la première et la dernière heure.

Nous le faisons pour la sécurité du service et pour prévenir la fraude et les abus : détecter les accès indus à un compte, l'utilisation automatisée du service et l'utilisation contraire aux Conditions. La base légale est notre intérêt légitime (art. 6.1.f de la Llei 29/2021). Nous ne les utilisons ni à des fins publicitaires ni pour vous profiler, et nous ne les communiquons pas à des tiers, sauf obligation légale ou demande d'une autorité.

Nous conservons le journal des accès 90 jours et le résumé par compte 12 mois ; ensuite, ils sont supprimés automatiquement. Vous pouvez vous opposer à ce traitement en écrivant à hola@tributs.ad : nous examinerons votre situation particulière, en tenant compte du fait que sans ce registre nous ne pouvons protéger ni votre compte ni celui des autres utilisateurs.

9. Mesures de sécurité

Chiffrement en transit : TLS 1.3 pour toute communication.

Chiffrement au repos : mots de passe stockés avec bcrypt. Les pièces jointes (factures numérisées) sont stockées chiffrées au repos (SSE AES-256) sur un service de stockage d'objets situé dans la région UE.

Isolement physique : chaque entreprise cliente dispose de sa propre base de données physique (modèle multi-site).

Contrôle d'accès : 2FA obligatoire pour le personnel interne.

Sauvegardes : copies automatiques quotidiennes avec rétention rotative.

10. Droits de la personne concernée

En application des articles 18 à 25 de la Llei 29/2021, vous disposez des droits suivants : accès, rectification, effacement, limitation, portabilité, opposition et décisions automatisées. Notre service n'applique pas de décisions automatisées produisant des effets juridiques significatifs, mais le droit existe.

Pour exercer un droit, écrivez à hola@tributs.ad. Nous répondrons dans un délai d'un mois à compter de la réception de la demande (art. 15.3 de la Llei 29/2021), prorogeable de deux mois supplémentaires pour les demandes particulièrement complexes.

Si vous êtes client, fournisseur ou employé d'une entreprise qui utilise Tributs et que votre demande concerne des données que cette entreprise traite avec le service, adressez-vous directement à elle : elle est le responsable du traitement. Nous, en tant que sous-traitant, l'assisterons pour traiter votre demande.

Si vous estimez que nous enfreignons la réglementation, vous pouvez déposer une réclamation auprès de l'Agence andorrane de protection des données (APDA) : www.apda.ad.

11. Notification des violations

En tant que responsable, en cas de violation de la sécurité des données présentant un risque pour vos droits, nous la notifierons à l'APDA sans retard injustifié et, lorsque cela est possible, dans un délai maximal de 72 heures à compter de sa prise de connaissance (art. 36 de la Llei 29/2021) ; et nous vous en informerons sans retard lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés (art. 37). Lorsque nous agissons en tant que sous-traitant d'un client, nous l'informerons sans retard injustifié (art. 36.2) afin qu'il puisse remplir ces obligations ; le délai de 72 heures ne s'applique qu'à la notification du responsable à l'APDA, et non à notre notification en tant que sous-traitant.

12. Modifications de cette politique

Si nous modifions cette politique de manière substantielle, nous vous en informerons par e-mail au moins 30 jours à l'avance.

13. Contact

Questions relatives à la protection des données : hola@tributs.ad.

Lorsque nous désignerons un Délégué à la protection des données (DPO), ses coordonnées seront publiées ici.