Politique de confidentialité

La présente politique explique comment NEXORA SASU (« Nexora », « nous ») traite les données personnelles dans le cadre du site stixflow.com et du logiciel StixFlow. Elle est établie en application des articles 13 et 14 du règlement (UE) 2016/679 (« RGPD ») et de la loi Informatique et Libertés du 6 janvier 1978.

1. Qui est responsable de vos données

Le responsable du traitement est NEXORA SASU, RCS Bernay 102 944 022, 195 rue Pierre et Marie Curie, 27310 Bourg-Achard, France. Pour toute question sur vos données ou pour exercer vos droits, écrivez à [email protected].

Nexora intervient à deux titres différents :

Qualité	Données concernées	Ce que cela signifie
Responsable du traitement	Visiteurs du site, prospects, utilisateurs des marchands, représentants légaux et bénéficiaires effectifs	Nexora décide des finalités et des moyens du traitement. La présente politique s’applique intégralement.
Sous-traitant	Clients finaux des marchands (acheteurs)	Nexora traite les données sur instruction du marchand. Le marchand est responsable du traitement et sa propre politique de confidentialité s’applique. Voir l’Accord de traitement des données.
Responsable du traitement, de façon limitée	Clients finaux des marchands	Nexora traite des données techniques et de transaction pour ses propres finalités de sécurité de la plateforme, de prévention de la fraude et de respect de ses obligations légales (section 3).

Si vous êtes acheteur, le marchand nommé sur la page de paiement est votre premier interlocuteur pour toute demande relative à votre commande ou à vos données. Le prestataire de services de paiement qui traite le paiement est un responsable de traitement distinct pour les données de paiement qu’il manipule.

2. Données collectées

Catégorie	Données	Source
Compte	Nom, e-mail professionnel, mot de passe (conservé sous forme hachée), langue, paramètres du compte	Vous
Vérification de l’entreprise	Informations sur la société, numéros d’immatriculation et de TVA, site web, activité, coordonnées bancaires ; identité, date de naissance, adresse, fonction et participation des représentants légaux et bénéficiaires effectifs ; pièces justificatives	Vous, votre société, les registres publics, le prestataire de services de paiement
Contrat et signature	Nom et qualité du signataire, e-mail vérifié, événements liés au code à usage unique, adresse IP, navigateur, horodatages, empreinte du document	Vous, collecte automatique
Facturation	Offre, factures, frais de plateforme, historique des paiements	Votre utilisation du service
Transactions	Données de commande et de paiement : montant, devise, statut, type de moyen de paiement, quatre derniers chiffres et marque de la carte tels que renvoyés par le prestataire de services de paiement, remboursements, litiges	Le marchand, le prestataire de services de paiement
Coordonnées des clients finaux	Nom, e-mail, adresse de facturation ou de livraison et tout champ que le marchand choisit de collecter	L’acheteur, le marchand
Données techniques et de sécurité	Adresse IP, appareil et navigateur, journaux, métadonnées des requêtes API, signaux de risque	Collecte automatique
Communications	Messages envoyés via le formulaire de contact commercial, e-mails et demandes d’assistance	Vous

Nous ne conservons ni les numéros de carte complets ni les cryptogrammes. Ils sont saisis dans des champs contrôlés par le prestataire de services de paiement. Nous ne traitons pas intentionnellement de catégories particulières de données au sens de l’article 9 du RGPD.

Lorsque des données sont demandées via un formulaire, les champs obligatoires sont signalés. À défaut, nous ne pouvons pas ouvrir de compte, vérifier une entreprise, signer le contrat ou répondre à une demande.

3. Finalités et bases légales

Finalité	Base légale (article 6 du RGPD)
Création et gestion des comptes, fourniture du logiciel, de l’environnement de test et de l’assistance	Exécution du contrat, ou mesures précontractuelles prises à votre demande
Vérification de l’entreprise, identification des représentants et bénéficiaires effectifs, transmission au prestataire de services de paiement	Exécution du contrat ; obligations légales du prestataire de services de paiement et intérêt légitime à connaître les utilisateurs de la plateforme
Signature électronique du Contrat marchand et conservation de sa preuve	Exécution du contrat ; intérêt légitime à pouvoir prouver l’accord
Facturation, comptabilité et recouvrement	Exécution du contrat ; obligation légale
Sécurité de la plateforme, journalisation, prévention et détection de la fraude et des abus, y compris le contrôle automatisé des paiements	Intérêt légitime à protéger la plateforme, les marchands et les acheteurs
Gestion des remboursements, litiges et impayés	Exécution du contrat ; intérêt légitime
Réponse aux demandes de contact et aux demandes commerciales	Mesures précontractuelles prises à votre demande ; intérêt légitime à développer notre activité
E-mails de service : sécurité, modification des conditions, avis opérationnels	Exécution du contrat ; obligation légale
Statistiques agrégées et amélioration du service	Intérêt légitime à améliorer le logiciel
Réponse aux autorités, constatation et défense de droits en justice	Obligation légale ; intérêt légitime

Lorsque nous nous fondons sur l’intérêt légitime, nous l’avons mis en balance avec vos droits. Vous pouvez vous y opposer à tout moment (section 8). Nous ne vendons pas de données personnelles et ne les utilisons pas à des fins de publicité pour des tiers.

4. Contrôle antifraude automatisé

Lorsqu’un marchand a activé l’outil Shield, chaque paiement fait l’objet d’un contrôle automatisé avant son autorisation, à partir de signaux techniques et de transaction, au moyen du dispositif de détection de la fraude du prestataire de services de paiement. Un paiement peut être approuvé, soumis à une authentification supplémentaire ou refusé. Ce traitement a pour finalité la prévention de la fraude. En cas de refus d’un paiement, l’acheteur peut contacter le marchand, qui peut réexaminer la situation avec une intervention humaine, et écrire à [email protected] pour exprimer son point de vue.

5. Destinataires des données

• Le personnel de Nexora qui en a besoin pour ses fonctions, soumis à une obligation de confidentialité.
• Les sociétés du groupe Nexora : Nexora Financial Technologies Limited (Irlande) et Nexora Financial Technologies, LLC (États-Unis), pour l’exploitation, l’assistance et l’administration du service.
• Les prestataires de services de paiement : Stripe, par l’intermédiaire de l’entité Stripe applicable au pays du marchand, pour la vérification des entreprises, le traitement des paiements, les remboursements et les litiges. Stripe agit en qualité de responsable de traitement distinct pour une partie de ces traitements, selon sa propre politique de confidentialité.
• Les réseaux de cartes, banques et émetteurs, par l’intermédiaire du prestataire de services de paiement, pour exécuter les paiements et traiter les litiges.
• L’hébergeur : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France, qui héberge la plateforme dans l’Union européenne.
• Le marchand, pour les données de ses propres acheteurs et transactions.
• Les conseils professionnels et les autorités, lorsque la loi l’exige ou pour constater ou défendre des droits en justice.
• Un successeur, en cas de fusion, d’acquisition ou de cession d’activité, avec les mêmes garanties.

Les pages de connexion et les boutiques des marchands chargent des polices de caractères depuis Google Fonts. Lors de leur affichage, votre navigateur transmet votre adresse IP à Google Ireland Limited.

6. Transferts hors de l’Espace économique européen

La plateforme est hébergée dans l’Union européenne. Certains destinataires sont situés hors de l’Espace économique européen, notamment aux États-Unis (Nexora Financial Technologies, LLC et des entités du prestataire de services de paiement). Ces transferts reposent sur une décision d’adéquation de la Commission européenne lorsqu’il en existe une, y compris le cadre de protection des données UE-États-Unis pour les destinataires certifiés, ou sur les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission, complétées de mesures supplémentaires si nécessaire. Vous pouvez obtenir une copie de ces garanties en écrivant à [email protected].

7. Durées de conservation

Données	Durée
Données de compte	Pendant la durée de vie du compte, puis cinq (5) ans en archive à des fins de preuve
Comptes de test inactifs	Suppression ou anonymisation après trois (3) ans sans connexion
Données de vérification de l’entreprise	Pendant la relation d’affaires, puis cinq (5) ans
Contrat marchand signé et dossier de preuve	Pendant la durée du contrat, puis dix (10) ans
Factures et pièces comptables	Dix (10) ans à compter de la clôture de l’exercice
Enregistrements des transactions	Cinq (5) ans à compter de la transaction, ou plus longtemps tant qu’un litige ou une enquête est en cours
Données de clients finaux traitées pour un marchand	Selon les instructions du marchand et l’Accord de traitement des données
Demandes de contact et demandes commerciales	Trois (3) ans à compter du dernier contact
Journaux techniques et de sécurité	Douze (12) mois

À l’issue de ces durées, les données sont supprimées ou anonymisées, sauf si une durée plus longue est imposée par la loi ou nécessaire à la constatation ou à la défense d’un droit en justice.

8. Vos droits

Dans les conditions prévues par le RGPD, vous disposez du droit :

• d’accéder à vos données et d’en obtenir une copie ;
• de faire rectifier des données inexactes ou incomplètes ;
• de faire effacer vos données ;
• d’obtenir la limitation du traitement ;
• de vous opposer à un traitement fondé sur l’intérêt légitime, pour des raisons tenant à votre situation, et de vous opposer à tout moment à la prospection commerciale ;
• de recevoir dans un format portable les données que vous avez fournies, lorsque le traitement repose sur le contrat ou le consentement ;
• de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci ;
• de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez à [email protected]. Nous pouvons vous demander les informations nécessaires pour confirmer votre identité. Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour les demandes complexes.

Si vous êtes acheteur et que votre demande porte sur des données traitées pour le compte d’un marchand, nous la transmettons à ce marchand, à qui il appartient d’y répondre.

Vous pouvez également introduire une réclamation auprès de l’autorité de contrôle de votre pays. En France, il s’agit de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque, notamment le chiffrement des échanges, le hachage des mots de passe, la restriction des accès, la journalisation et la séparation des environnements de test et de production. Elles sont décrites sur la page Sécurité. Si une violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, nous vous en informons dans les conditions prévues par la loi.

10. Cookies

Le site n’utilise que des cookies strictement nécessaires à son fonctionnement et à la sécurité des paiements. Ils sont listés dans la Politique de cookies.

11. Mineurs

Le logiciel est destiné aux professionnels. Nous ne collectons pas sciemment de données relatives à des mineurs. Si vous pensez qu’un mineur nous a transmis des données, écrivez à [email protected].

12. Modification de la politique

Nous pouvons mettre à jour la présente politique pour tenir compte de l’évolution de nos traitements ou de la loi. La date de la version en vigueur figure en haut de cette page. En cas de modification importante, nous en informons les titulaires de compte par e-mail ou dans le tableau de bord avant son entrée en vigueur.