Politique de confidentialité

1. Introduction

Scutti est un logiciel de gestion conçu pour les micro-entrepreneurs, artiste-auteurices et associations. Nous nous engageons à protéger votre vie privée et à traiter vos données personnelles de manière transparente et sécurisée, conformément au Règlement Général sur la Protection des Données (RGPD).

Cette politique explique quelles données nous collectons, pourquoi nous les collectons, et quels sont vos droits concernant ces données.

2. Responsable du traitement

Le responsable du traitement des données de votre compte est l'exploitant de cette instance de Scutti. Si vous utilisez Scutti en auto-hébergement, c'est vous.

Les contacts, adhérents et abonnés que chaque structure enregistre dans Scutti relèvent de cette structure, qui en est responsable de traitement ; l'exploitant de l'instance les héberge pour son compte, en qualité de sous-traitant.

3. Données collectées

Nous collectons les catégories de données suivantes :

3.1 Données de compte

• Adresse email (obligatoire pour la connexion)
• Nom et prénom (facultatif)
• Mot de passe (stocké sous forme hashée, jamais en clair)

3.2 Données d'activité

• Contacts créés (clients, fournisseurs)
• Documents générés (devis, factures)
• Emails envoyés et reçus (si synchronisation activée)
• Tâches et projets
• Notes

3.3 Données techniques

• Adresse IP (pour la sécurité et les logs)
• User-Agent du navigateur
• Horodatage des connexions

3.4 Données optionnelles

Si vous activez ces fonctionnalités, nous traitons également, au titre de l'exécution du contrat :

• Vos emails professionnels (synchronisation IMAP)
• Vos transactions bancaires (connexion bancaire)

4. Finalités du traitement

Vos données sont traitées pour les finalités suivantes :

5. Base légale du traitement

Nous traitons vos données sur les bases légales suivantes :

• Exécution du contrat : pour fournir le service de gestion
• Obligation légale : conservation des factures (10 ans)
• Intérêt légitime : sécurité de l'application et prévention de la fraude
• Exécution du contrat : également pour les fonctionnalités que vous activez vous-même (synchronisation des e-mails, connexion bancaire, recherche d'une entreprise par son SIRET). Vous les coupez en déliant la boîte ou le compte, pas par un interrupteur séparé.
• Consentement : pour le comptage des écrans que vous ouvrez, qui sert à vous proposer vos raccourcis. C'est le seul traitement que vous pouvez refuser sans perdre une fonction du service, et il se retire depuis Mon compte.

Nous ne demandons un consentement que là où il change réellement quelque chose. Présenter comme un choix un traitement nécessaire au service, ou un traitement que nous ne faisons pas, reviendrait à promettre un retrait que nous ne pourrions pas honorer.

6. Destinataires et sous-traitants

Vos données sont traitées sur cette instance. Les services tiers ci-dessous en reçoivent une partie, dans le seul cadre indiqué ; cette liste correspond à la configuration actuelle de l'instance.

7. Durée de conservation

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

9. Journalisation de l'activité des membres

Lorsque vous êtes membre d'une structure, vos actions dans l'application (création, modification, suppression d'un document, d'une tâche, d'un contact) sont enregistrées avec votre nom et la date, afin que la structure puisse retracer qui a fait quoi. C'est une exigence de traçabilité comptable et de sécurité, fondée sur l'intérêt légitime de la structure.

• Ce qui est enregistré : l'action, son objet, son auteur, la date. Pas le contenu de ce qui a été écrit, à l'exception des champs modifiés sur une fiche, et jamais les notes internes.
• Qui peut le consulter : les membres de votre structure à qui le droit de lire les journaux a été accordé, et personne d'autre. Les autres structures n'y ont aucun accès.
• Combien de temps : 1 an, puis les lignes sont supprimées automatiquement.
• Ce qui n'est pas suivi : votre position, le contenu de votre écran, votre présence ou votre inactivité. Les temps que vous saisissez restent privés et ne sont visibles que de vous.

Ce journal ne sert pas à évaluer une personne. Conformément à l'article L. 1222-4 du code du travail, aucune information vous concernant ne peut être collectée par un dispositif qui ne vous a pas été porté à connaissance : c'est l'objet de cette section, reprise sur l'écran du journal lui-même.

10. Sécurité des données

Nous mettons en œuvre les mesures de sécurité suivantes :

• Chiffrement HTTPS pour toutes les communications
• Mots de passe hashés avec bcrypt (jamais stockés en clair)
• Authentification à deux facteurs (2FA) disponible
• Protection contre les attaques CSRF et XSS
• Rate limiting pour prévenir les attaques par force brute
• Chiffrement des credentials sensibles (SMTP, IMAP)
• Audit trail des actions sensibles

11. Cookies et stockage dans votre navigateur

Scutti n'utilise que des cookies strictement nécessaires, exemptés de consentement :

• Session (session) : maintient votre connexion, 24 heures au plus, 30 minutes d'inactivité ; contient aussi le jeton qui protège les formulaires
• Dernière adresse (lastEmail) : pré-remplit l'écran de connexion, 30 jours
• Appareil de confiance (totp_device) : évite de redemander le second facteur sur cet appareil, 30 jours, si vous l'avez demandé
• Accès invité (guest_session, partages_verifies) : pour les personnes qui consultent un partage sans compte, 7 jours

L'application garde aussi dans votre navigateur, pour fonctionner hors connexion, une copie chiffrée des données que vous consultez ; elle est effacée à la déconnexion. Aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers.

12. Modifications de la politique

Cette politique peut être modifiée pour refléter des changements dans nos pratiques ou la réglementation. En cas de modification substantielle, vous serez informé(e) et invité(e) à revoir vos consentements.

Historique des versions

• Version 1.1 (20/09/2026) - Durées de conservation réelles, destinataires selon la configuration de l'instance, inventaire exact des cookies, bases légales corrigées, coordonnées du responsable
• Version 1.0 (01/01/2025) - Version initiale de la politique de confidentialité

13. Contact

Pour toute question concernant cette politique ou vos données personnelles, adressez-vous à l'exploitant de cette instance. Vos droits s'exercent aussi directement depuis votre compte (accès, rectification, export, suppression).

Vous avez également le droit de déposer une réclamation auprès de l'autorité de contrôle compétente (CNIL en France).