POLITIQUE DE CONFIDENTIALITÉ

Dernière mise à jour : 28 août 2026

Responsable de traitement

Le responsable du traitement des données personnelles collectées via Order Invoicer (les « Services ») est :

• Société : Bewizit — SARL (société à responsabilité limitée)
• Siège social : 2 rue de Vienne, 75008 Paris, France
• SIREN : 813 538 956 — RCS Paris
• SIRET (siège) : 813 538 956 00018
• Numéro de TVA intracommunautaire : FR74 813 538 956
• Représentant légal : Alexandre Wizel (Gérant)
• Contact général : contact@orderinvoicer.com
• Contact vie privée : privacy@orderinvoicer.com
• Délégué à la protection des données (DPO) : dpo@orderinvoicer.com

La présente Politique décrit comment et pourquoi nous accédons, collectons, stockons, utilisons et/ou partageons (« traitons ») vos données personnelles lorsque vous utilisez nos Services, notamment :

• Lorsque vous visitez notre site https://www.orderinvoicer.com, ou tout site qui renvoie à la présente Politique.
• Lorsque vous nous contactez via notre formulaire de contact, par e-mail ou tout autre canal.
• Lorsque vous interagissez avec nous dans le cadre de ventes, d'actions marketing ou d'événements.

Des questions ou préoccupations ? Si vous n'êtes pas d'accord avec nos pratiques, merci de ne pas utiliser les Services. Pour toute question, écrivez-nous à privacy@orderinvoicer.com.

SYNTHÈSE

Quelles données traitons-nous ? Données de compte, données de facturation, données du formulaire de contact et journaux techniques. Voir section 1.

Traitons-nous des données sensibles ? Non, nous ne traitons pas de données relevant de l'article 9 RGPD.

Recevons-nous des données de tiers ? Non.

Pourquoi traitons-nous vos données ? Pour fournir et administrer les Services, traiter vos paiements, respecter nos obligations légales et assurer la sécurité. Voir section 2.

Qui traite vos données pour notre compte ? Un nombre limité de sous-traitants (hébergement, base de données, paiements, publicité en ligne). Voir section 4.

Vos données sont-elles transférées hors UE ? Certains sous-traitants sont situés aux États-Unis. Les transferts sont encadrés par le Data Privacy Framework UE–US et/ou des Clauses Contractuelles Types. Voir section 4.

Utilisons-nous des cookies ? Un nombre limité de cookies et traceurs. Aucun cookie non essentiel (mesure d'audience, publicité) n'est déposé ou lu sans votre consentement, finalité par finalité. La balise Google Ads est présente sur toutes les pages mais reste, avant votre consentement, dans un état où elle n'accède pas à votre terminal. Voir section 5.

Combien de temps conservons-nous vos données ? Durées précises par finalité. Voir section 6.

Quels sont vos droits ? Accès, rectification, effacement, limitation, portabilité, opposition, et réclamation auprès de la CNIL. Voir section 9.

Comment les exercer ? Par e-mail à privacy@orderinvoicer.com ou dpo@orderinvoicer.com.

TABLE DES MATIÈRES

1. QUELLES DONNÉES COLLECTONS-NOUS ?
2. COMMENT TRAITONS-NOUS VOS DONNÉES ?
3. SUR QUELLES BASES LÉGALES NOUS APPUYONS-NOUS ?
4. AVEC QUI PARTAGEONS-NOUS VOS DONNÉES ?
5. COOKIES ET TRACEURS
6. COMBIEN DE TEMPS CONSERVONS-NOUS VOS DONNÉES ?
7. COMMENT PROTÉGEONS-NOUS VOS DONNÉES ?
8. COLLECTONS-NOUS DES DONNÉES DE MINEURS ?
9. QUELS SONT VOS DROITS ?
10. GESTION DU SIGNAL « DO-NOT-TRACK »
11. MISES À JOUR DE LA POLITIQUE
12. COMMENT NOUS CONTACTER ?
13. COMMENT EXERCER VOS DROITS ?

1. QUELLES DONNÉES COLLECTONS-NOUS ?

Données que vous nous communiquez directement

En bref : nous collectons les données que vous nous transmettez.

Données de compte et de facturation :

• Nom complet
• Adresse e-mail
• Mot de passe (stocké sous forme hashée)
• Adresse de facturation
• Informations de carte bancaire (traitées et stockées exclusivement par Stripe — voir section 4)

Données du formulaire de contact (/contact) :

• Nom complet
• Adresse e-mail
• Numéro de téléphone
• URL de la boutique
• Plateforme e-commerce utilisée
• Logiciel de facturation utilisé
• Volume de commandes mensuel estimé
• Message libre

Données techniques collectées automatiquement :

• Adresse IP, user-agent, informations relatives au navigateur et à l'appareil
• Horodatage des connexions et journaux serveur (article 6-II LCEN)
• Cookies et technologies similaires (voir la section Cookies et traceurs ci-dessous)

Données sensibles. Nous ne traitons pas de données « particulières » au sens de l'article 9 RGPD.

Données de paiement. Toutes les données de paiement sont traitées et stockées par Stripe. Leur politique est disponible à l'adresse https://stripe.com/fr/privacy.

Toutes les données que vous nous fournissez doivent être exactes, complètes et à jour.

2. COMMENT TRAITONS-NOUS VOS DONNÉES ?

En bref : pour fournir, améliorer et administrer les Services, communiquer avec vous, assurer la sécurité et respecter la loi.

Finalités de traitement :

• Gestion de compte : création, authentification, administration du compte.
• Fourniture des Services : exploitation des connecteurs e-commerce ↔ logiciel de facturation.
• Facturation et comptabilité : émission et conservation des factures conformément au droit comptable français.
• Support client : réponse à vos demandes via le formulaire de contact ou par e-mail.
• Prospection commerciale : vous contacter au sujet de nos Services sur la base de notre intérêt légitime ou de votre consentement.
• Publicité en ligne et mesure des campagnes : mesurer l'efficacité de nos campagnes Google Ads (nombre de demandes de contact générées) et diffuser des annonces auprès des visiteurs de notre site. Le remarketing, la personnalisation des annonces et tout dépôt de cookie publicitaire supposent votre consentement ; seule une mesure agrégée sans identifiant a lieu avant celui-ci. Voir section 5.
• Sécurité et prévention de la fraude : détection des abus, protection de l'intégrité des Services, gestion des incidents.
• Obligations légales : réponse aux demandes juridiquement contraignantes des autorités compétentes.

3. SUR QUELLES BASES LÉGALES NOUS APPUYONS-NOUS ?

Conformément au RGPD, nous nous appuyons sur :

• Exécution d'un contrat (art. 6.1.b) : gestion de compte, fourniture des Services, facturation.
• Obligation légale (art. 6.1.c) : archivage comptable, réponse aux réquisitions judiciaires, conservation des logs de connexion (LCEN).
• Intérêt légitime (art. 6.1.f) : sécurité, prévention de la fraude, amélioration du Service, prospection B2B auprès de nos clients, mesure agrégée et sans identifiant de nos campagnes publicitaires avant tout consentement (voir la section Google Ads).
• Consentement (art. 6.1.a) : cookies non essentiels (mesure d'audience, publicité et mesure des campagnes), prospection commerciale hors clients, newsletters.

Vous pouvez retirer votre consentement à tout moment en écrivant à privacy@orderinvoicer.com.

4. AVEC QUI PARTAGEONS-NOUS VOS DONNÉES ?

Nous ne vendons pas vos données personnelles. Nous les partageons uniquement avec les sous-traitants listés ci-dessous, strictement dans les limites du Service.

Sous-traitants

| Sous-traitant | Finalité | Localisation | Garanties de transfert | |---|---|---|---| | Vercel Inc. | Hébergement, CDN, Web Analytics (suivi des soumissions de formulaire à des fins de pilotage commercial), détection de bots (BotId) | États-Unis | Data Privacy Framework UE–US + CCT | | Supabase Inc. | Base de données (PostgreSQL), authentification | Union européenne (région UE) | N/A (intra-UE) | | Stripe Payments Europe | Traitement des paiements | Irlande / États-Unis | Data Privacy Framework UE–US + CCT | | Resend, Inc. | Envoi des e-mails transactionnels (notifications de compte et relais des messages du formulaire de contact à notre équipe) | États-Unis | Data Privacy Framework UE–US + CCT | | Slack Technologies (Salesforce, Inc.) | Notification interne de l'équipe commerciale à réception d'un message de contact | États-Unis | Data Privacy Framework UE–US + CCT | | Inngest, Inc. | Orchestration des tâches d'arrière-plan (synchronisations, retries) | États-Unis | Data Privacy Framework UE–US + CCT | | Google Ireland Limited / Google LLC | Publicité en ligne et mesure des conversions (Google Ads) — uniquement après votre consentement à la finalité « Publicité et mesure des campagnes » | Irlande / États-Unis | Data Privacy Framework UE–US + CCT |

Les données du formulaire de contact (catégories listées en section 1) sont transmises à Resend, Slack et Vercel Analytics pour les finalités ci-dessus.

Chaque sous-traitant est engagé par un accord de sous-traitance conforme à l'article 28 RGPD.

Traceurs de sécurité (BotId / anti-spam)

Le site intègre la bibliothèque BotId (éditée par Vercel Inc.) sur les pages de soumission de formulaire. Cette bibliothèque effectue une empreinte technique (fingerprinting) du navigateur afin de détecter et bloquer les soumissions automatisées par des robots.

• Finalité : sécurité du site et prévention du spam sur le formulaire de contact.
• Base légale : intérêt légitime du responsable de traitement à protéger le service contre les abus (art. 6.1.f RGPD).
• Statut réglementaire : traceur strictement nécessaire à un service expressément demandé par l'utilisateur (soumission d'un formulaire), et bénéficiant à ce titre de l'exemption de consentement prévue par les lignes directrices de la CNIL sur les cookies et autres traceurs (délibération n°2020-091) et l'article 82 de la loi Informatique et Libertés.
• Durée : les signaux collectés ne sont conservés que le temps nécessaire à l'évaluation anti-bot (session).
• Destinataire : Vercel Inc. (États-Unis), dans les conditions de transfert décrites ci-dessus.

Traceurs publicitaires (Google Ads)

Le site charge la balise Google Ads (gtag.js, identifiant de conversion commençant par AW-), éditée par Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande) pour l'Espace économique européen.

Cette balise est configurée en mode consentement Google (« Consent Mode v2 »). Concrètement, cela signifie que la balise est présente sur toutes les pages, y compris avant que vous ayez répondu à notre bandeau, mais que toutes les finalités publicitaires y sont refusées par défaut :

• tant que vous n'avez pas accepté la finalité « Publicité et mesure des campagnes », la balise n'écrit aucun cookie et ne lit aucun identifiant stocké sur votre terminal. Elle se limite à des mesures dites « sans cookie » (voir ci-dessous les données transmises dans cet état) ;
• la fonction ads_data_redaction de Google est activée dans cet état : les identifiants de clic publicitaire sont retirés de ces mesures ;
• si vous acceptez cette finalité, la balise est autorisée à déposer et lire les cookies publicitaires décrits ci-dessous. Si vous refusez — ou si vous retirez votre consentement — elle repasse immédiatement en état refusé et cesse de lire et d'écrire ces cookies.

Pourquoi ce fonctionnement ? Une balise qui n'apparaît qu'après acceptation est une balise que Google ne voit jamais : nos actions de conversion restent alors marquées comme n'ayant « jamais reçu de données », et nous ne pouvons plus mesurer nos campagnes du tout. La balise en état refusé n'accède pas à votre terminal, ce qui est ce que protège l'article 82 de la loi Informatique et Libertés.

• Finalités :
  • mesurer les conversions de nos campagnes publicitaires, c'est-à-dire rattacher une demande de contact envoyée depuis notre site (formulaire de contact ou questionnaire « choisir son logiciel de facturation ») au clic publicitaire qui l'a précédée ;
  • constituer des listes de remarketing afin de rediffuser nos annonces auprès des personnes ayant déjà visité notre site.
• Bases légales :
  • avant votre consentement (état refusé) : notre intérêt légitime (art. 6.1.f RGPD) à mesurer, de façon agrégée et sans identifiant, l'efficacité de nos campagnes. Aucun accès à votre terminal n'a lieu, l'article 82 de la loi Informatique et Libertés n'est donc pas en cause ;
  • après votre consentement : votre consentement (art. 6.1.a RGPD et art. 82 de la loi Informatique et Libertés), qui seul autorise le dépôt et la lecture des cookies publicitaires, le remarketing et la personnalisation des annonces. Aucun cookie publicitaire n'est déposé tant que ce consentement n'a pas été recueilli.
• Données transmises à Google avant votre consentement (état refusé) : adresse IP, user-agent, URL de la page visitée et horodatage — c'est-à-dire les données inhérentes à toute requête web — ainsi que le fait qu'une conversion a eu lieu. Aucun identifiant de cookie, aucun identifiant de clic publicitaire, et aucune des réponses que vous avez saisies dans nos formulaires ne sont transmis dans cet état.
• Données transmises à Google après votre consentement : les données ci-dessus, complétées par l'identifiant de cookie publicitaire (_gcl_au, _gcl_aw), l'identifiant de clic publicitaire (gclid) le cas échéant, et — lors de l'envoi d'une demande de contact — la plateforme e-commerce et le logiciel de facturation que vous avez sélectionnés dans le formulaire. Aucune donnée directement identifiante (nom, e-mail, téléphone, URL de boutique) n'est transmise à Google, à aucun stade.
• Pas de conversions améliorées : nous n'activons pas les « conversions améliorées » de Google Ads ; aucune adresse e-mail ni aucun numéro de téléphone, même sous forme hachée, n'est transmis à Google.
• Destinataire et transferts : Google Ireland Limited, avec transferts possibles vers Google LLC (États-Unis), encadrés par le Data Privacy Framework UE–US (Google LLC est certifié) et les Clauses Contractuelles Types.
• Rôle des parties : pour la mesure des conversions et le remarketing, Bewizit et Google agissent en qualité de responsables conjoints du traitement au sens de l'article 26 RGPD, dans les conditions prévues par les Conditions relatives au traitement des données publicitaires de Google.
• Durée : les cookies publicitaires déposés par Google ont une durée de vie maximale de 13 mois ; les listes de remarketing sont purgées au plus tard 540 jours après la dernière visite.
• Politique de Google : https://policies.google.com/privacy et https://policies.google.com/technologies/ads.
• Opposition : outre le retrait de votre consentement via notre bandeau (section 5) — qui remet immédiatement la balise en état refusé — vous pouvez désactiver la personnalisation des annonces Google à l'adresse https://adssettings.google.com. Pour vous opposer également aux mesures sans cookie décrites ci-dessus, fondées sur notre intérêt légitime, écrivez-nous à l'adresse indiquée en section 12.

Transferts internationaux

Les transferts vers des sous-traitants hors UE/EEE sont encadrés par :

• le Data Privacy Framework UE–US (décision d'adéquation du 10 juillet 2023), lorsque le destinataire est certifié ; et/ou
• les Clauses Contractuelles Types adoptées par la Commission européenne (art. 46.2.c RGPD), le cas échéant.

Autres divulgations

Nous pouvons être amenés à partager vos données :

• Obligations légales : pour respecter la loi applicable ou répondre à une requête légitime d'une autorité publique.
• Cessions d'activité : dans le cadre d'une fusion, vente d'actifs, financement ou acquisition de tout ou partie de notre activité.

5. COOKIES ET TRACEURS

En bref : nous utilisons un nombre limité de cookies et traceurs. Aucun cookie non essentiel (mesure d'audience, publicité) n'est déposé sur votre terminal ni lu sans votre consentement, recueilli finalité par finalité.

Conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL (délibération n°2020-091), nous vous informons des traceurs déposés sur votre terminal.

Catégories de traceurs

| Nom | Éditeur | Finalité | Catégorie | Durée | Consentement | |---|---|---|---|---|---| | orderinvoicer.cookie-consent.v2 | Bewizit (1ʳᵉ partie, localStorage) | Mémorise votre choix de consentement, finalité par finalité, pour éviter de réafficher le bandeau | Strictement nécessaire | 13 mois | Exempté (art. 82 loi I&L) | | _vercel_insights* | Vercel Inc. | Mesure d'audience agrégée (Web Analytics) — volume de pages vues, plateformes, soumissions de formulaire | Mesure d'audience | Session | Requis — activé uniquement après « Tout accepter » ou « Personnaliser » → Mesure d'audience | | Empreinte BotId | Vercel Inc. | Détection et blocage des soumissions automatisées sur le formulaire de contact | Sécurité (anti-spam) | Session | Exempté — traceur strictement nécessaire à un service expressément demandé (soumission de formulaire), voir section 4 | | _gcl_au, _gcl_aw | Google Ireland Limited (Google Ads) | Mesure des conversions publicitaires (rattacher une demande de contact au clic publicitaire) et remarketing | Publicité et mesure des campagnes | 90 jours à 13 mois | Requis — déposés uniquement après « Tout accepter » ou « Personnaliser » → Publicité et mesure des campagnes. La balise Google Ads est chargée avant ce choix, mais n'écrit ni ne lit aucun cookie dans cet état. Voir la section Google Ads |

Gestion de vos préférences

Le bandeau de consentement affiché lors de votre première visite vous permet de :

• Tout accepter : activer la mesure d'audience (Vercel Web Analytics) et la publicité et mesure des campagnes (Google Ads).
• Tout refuser : aucun traceur non essentiel n'est déposé. Seuls les traceurs strictement nécessaires (mémorisation du consentement, sécurité anti-spam) restent actifs.
• Personnaliser : choisir finalité par finalité les traceurs que vous acceptez — « Mesure d'audience » et « Publicité et mesure des campagnes » sont deux cases indépendantes, désactivées par défaut.

Le refus est aussi simple que l'acceptation : le bandeau propose « Tout refuser » au même niveau que « Tout accepter », et aucun traceur non essentiel n'est déposé tant que vous n'avez pas fait de choix.

Vous pouvez modifier vos choix à tout moment en supprimant la valeur orderinvoicer.cookie-consent.v2 du stockage local de votre navigateur : le bandeau s'affichera de nouveau à la prochaine visite. Le retrait du consentement empêche tout nouveau dépôt ; pour effacer les cookies déjà déposés par Google, utilisez les paramètres de votre navigateur ou https://adssettings.google.com.

Paramétrage via votre navigateur

Vous pouvez également configurer votre navigateur pour bloquer l'ensemble des cookies ou être averti lorsqu'un cookie est déposé. Le blocage de certains traceurs essentiels peut toutefois affecter le bon fonctionnement du site.

6. COMBIEN DE TEMPS CONSERVONS-NOUS VOS DONNÉES ?

Nous conservons vos données uniquement le temps nécessaire aux finalités poursuivies, puis les archivons ou les supprimons.

| Catégorie de données | Durée de conservation | |---|---| | Données de compte (identification, authentification) | Durée de la relation contractuelle + 3 ans après la dernière interaction | | Facturation et comptabilité (factures, historique de paiement) | 10 ans à compter de l'émission (art. L123-22 Code de commerce) | | Formulaire de contact (prospects) | 3 ans après le dernier contact | | Prospection commerciale | 3 ans après le dernier contact (recommandation CNIL) | | Logs de connexion / journaux serveur | 1 an (art. 6-II LCEN) | | Cookies et technologies similaires | 13 mois maximum (CNIL) | | Listes de remarketing Google Ads | 540 jours maximum après la dernière visite | | Demandes d'exercice des droits | 3 ans après clôture |

Au-delà, les données sont supprimées ou anonymisées à des fins statistiques.

7. COMMENT PROTÉGEONS-NOUS VOS DONNÉES ?

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS en transit, chiffrement au repos chez nos sous-traitants, contrôle strict des accès, sauvegardes régulières. Aucune méthode de transmission sur Internet ni de stockage n'est cependant totalement sécurisée.

8. COLLECTONS-NOUS DES DONNÉES DE MINEURS ?

Nous ne collectons pas sciemment de données de mineurs de moins de 18 ans. Si vous pensez qu'une telle donnée a été collectée, contactez-nous à dpo@orderinvoicer.com.

9. QUELS SONT VOS DROITS ?

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès à vos données (art. 15)
• Droit de rectification (art. 16)
• Droit à l'effacement (« droit à l'oubli », art. 17)
• Droit à la limitation du traitement (art. 18)
• Droit à la portabilité (art. 20)
• Droit d'opposition, notamment à la prospection (art. 21)
• Droit de retirer votre consentement à tout moment
• Directives post-mortem (art. 85 loi Informatique et Libertés)

Pour exercer ces droits, écrivez à privacy@orderinvoicer.com ou au DPO à dpo@orderinvoicer.com. Nous répondons sous un mois.

Si vous estimez que notre traitement ne respecte pas le RGPD, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — https://www.cnil.fr.

10. GESTION DU SIGNAL « DO-NOT-TRACK »

La plupart des navigateurs proposent un signal « Do-Not-Track » (DNT). Aucune norme n'étant stabilisée, nous ne répondons pas automatiquement à ce signal. Notre bandeau de consentement vous permet toutefois de refuser tout traceur non essentiel.

11. MISES À JOUR DE LA POLITIQUE

Cette Politique peut être mise à jour. La date de dernière révision figure en haut du document. Les changements substantiels vous seront notifiés.

12. COMMENT NOUS CONTACTER ?

• Délégué à la protection des données : dpo@orderinvoicer.com
• Vie privée : privacy@orderinvoicer.com
• Adresse postale : Bewizit, 2 rue de Vienne, 75008 Paris, France

13. COMMENT EXERCER VOS DROITS ?

Vous pouvez demander l'accès, la rectification ou la suppression de vos données en écrivant à privacy@orderinvoicer.com. Vous pouvez également gérer la majorité de vos données directement depuis votre espace compte.