1. Responsable du traitement
BACABS GROUP, SARL, siège social : 9 rue de Condé, Bureau 3, 33000 Bordeaux.
Contact DPO / exercice des droits : contact@hokabe.fr.
2. Données collectées
- Identification et compte : nom, prénom, adresse email professionnelle, mot de passe (haché, jamais stocké en clair), informations cabinet, rôle dans le cabinet.
- Données métier : clients et prospects, dossiers, factures et devis, saisies de temps, documents uploadés, messages du chat interne.
- Données techniques : adresse IP, type de navigateur, logs d'activité, données d'usage anonymisées à des fins d'amélioration du service.
- Facturation : historique des abonnements et factures Hokabe. Les données de carte bancaire sont gérées exclusivement par Stripe et ne transitent jamais par nos serveurs.
3. Finalités et bases légales
- Fourniture du service : exécution du contrat (art. 6.1.b RGPD).
- Gestion abonnement et facturation : exécution du contrat et obligation légale (art. 6.1.b et 6.1.c).
- Support client : exécution du contrat (art. 6.1.b).
- Amélioration du service : intérêt légitime de Hokabe (art. 6.1.f).
- Emails transactionnels : exécution du contrat (art. 6.1.b).
- Communications commerciales optionnelles : consentement (art. 6.1.a), désabonnement possible à tout moment.
- Obligations légales comptables et fiscales : obligation légale (art. 6.1.c).
4. Durée de conservation
- Compte actif : pendant toute la durée de l'abonnement.
- Après résiliation : 30 jours puis suppression définitive.
- Données comptables et fiscales : 10 ans (obligation légale).
- Logs de sécurité : 12 mois.
- Facturation Hokabe : 10 ans.
- Données de prospection : 3 ans depuis le dernier contact.
5. Destinataires et sous-traitants
- Supabase Inc. (région France — eu-west-3, Paris) — base de données et authentification.
- Cloudflare Inc. — hébergement de l'interface et CDN.
- Stripe Inc. — traitement des paiements.
- Resend Inc. — envoi des emails transactionnels.
- Sentry (Functional Software Inc.) — monitoring des erreurs et performances applicatives.
- Google LLC — authentification OAuth2 (connexion compte Google) et intégration email.
- Microsoft Corporation — authentification OAuth2 (connexion compte Microsoft) et intégration email.
Un accord de traitement des données (DPA) est en place avec chacun de ces sous-traitants. Hokabe ne vend ni ne commercialise les données de ses clients auprès de tiers.
Dans la relation entre le cabinet (responsable de traitement) et Hokabe (sous-traitant), les obligations respectives sont encadrées par notre Accord de sous-traitance (DPA) au titre de l'article 28 du RGPD, qui fait partie intégrante du contrat.
6. Transferts hors Union européenne
Certains sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par des garanties appropriées : Clauses Contractuelles Types (CCT) de la Commission européenne et adhésion au cadre EU-US Data Privacy Framework. Les données métier (base de données, fichiers, authentification) sont hébergées en France (datacenter AWS eu-west-3, Paris).
7. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès à vos données personnelles ;
- Droit de rectification des données inexactes ;
- Droit à l'effacement (« droit à l'oubli ») ;
- Droit à la limitation du traitement ;
- Droit à la portabilité des données ;
- Droit d'opposition au traitement ;
- Droit de retirer votre consentement à tout moment.
Pour exercer ces droits, contactez-nous à : contact@hokabe.fr. Nous nous engageons à répondre dans un délai d'un mois. Vous pouvez également adresser une réclamation à la CNIL via cnil.fr.
8. Cookies
Hokabe utilise uniquement des cookies strictement nécessaires à son fonctionnement :
- Cookie de session — maintien de l'authentification entre les pages ;
- Préférences d'interface — mémorisation des réglages utilisateur (thème, vue, etc.) ;
- Token JWT Supabase — sécurisation des appels à l'API.
Aucun cookie publicitaire, de profilage ou de tracking tiers n'est déposé sur votre appareil. Le monitoring technique (Sentry) collecte des données d'erreur et de performance sur la base de notre intérêt légitime à garantir le bon fonctionnement du service ; il ne dépose aucun cookie publicitaire et ne suit pas votre navigation sur d'autres sites.
9. Sécurité
- Chiffrement des données en transit : TLS 1.3.
- Chiffrement des données au repos : AES-256.
- Row-Level Security PostgreSQL — isolation stricte des données par cabinet.
- Mots de passe hachés avec bcrypt.
- Authentification à deux facteurs (2FA TOTP) disponible.
- Principe du moindre privilège appliqué aux accès internes.
- Sauvegardes quotidiennes avec rétention de 7 jours.
10. Modifications
La présente politique peut être mise à jour pour refléter l'évolution du service ou des réglementations applicables. Toute modification substantielle fera l'objet d'une notification 30 jours avant son entrée en vigueur, par email et/ou via l'interface de l'application.