Politique de confidentialité
Dernière mise à jour : 2 octobre 2026
La présente politique explique comment le Service https://9five.app collecte et traite les données à caractère personnel, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi « Informatique et Libertés ».
1. Deux rôles distincts
Le Service intervient sous deux qualités selon les données concernées :
- Responsable de traitement — pour les données liées aux comptes des utilisateurs freelances (inscription, authentification, facturation, communications). C'est 19.5 qui décide des finalités et moyens.
- Sous-traitant (au sens de l'article 28 du RGPD) — pour les données que le freelance saisit lui-même sur ses propres clients (coordonnées de contact, projets, temps passé, comptes rendus d'activité). Dans ce cas, le freelance est responsable de traitement et 19.5 agit sur ses instructions. Ces traitements sont encadrés par l'accord de sous-traitance (DPA), annexe aux CGU/CGV.
Le responsable de traitement pour les données de comptes est : 19.5, 28-30 chemin de Sabalce, 64100 Bayonne, contact : support@9five.app.
19.5 n'a pas désigné de délégué à la protection des données (DPO). Le point de contact unique pour toute question relative aux données personnelles est support@9five.app.
2. Données traitées
2.1 Données des comptes freelances (nous = responsable)
- Identité et contact : nom, prénom, adresse e-mail, téléphone (facultatif), image de profil (facultative).
- Authentification : mot de passe (stocké haché, jamais en clair), jetons de session et de vérification, journaux techniques de connexion.
- Données professionnelles / de facturation : raison sociale, SIRET, n° de TVA, IBAN, adresse postale — saisies volontairement dans les paramètres pour figurer sur les documents générés.
- Données d'usage : saisies de temps, congés, paramètres de l'application.
2.2 Données saisies par le freelance sur ses clients (nous = sous-traitant)
- Clients : nom du contact, société, e-mail, n° de TVA, adresse.
- Projets, tâches, contrats : intitulés, descriptions, montants, taux, références, notes.
- Temps et CRA : saisies horaires, comptes rendus d'activité, périodes, validations.
2.3 Personnes destinataires / valideurs de CRA
- Adresse e-mail des personnes recevant un lien d'accès à un CRA (valideur ou destinataire côté client), afin de leur permettre de consulter ou valider un relevé.
2.4 Données techniques et anti-abus
- Adresse IP et e-mail enregistrés temporairement lors des demandes de lien de connexion / réinitialisation, pour limiter les abus. Ces journaux sont purgés automatiquement au bout de 24 heures.
Aucune donnée dite « sensible » (santé, opinions, etc.) n'est collectée. L'IBAN, bien que non « sensible » au sens du RGPD, fait l'objet de mesures de protection renforcées (voir §7).
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Création et gestion du compte, authentification | Exécution du contrat (art. 6.1.b) |
| Fourniture des fonctionnalités (temps, CRA, congés, PDF) | Exécution du contrat (art. 6.1.b) |
| Envoi des e-mails transactionnels (liens, notifications, envoi de CRA) | Exécution du contrat (art. 6.1.b) |
| Traitement des données clients saisies par le freelance | Sur instructions du freelance (nous = sous-traitant, art. 28) |
| Facturation et abonnement | Exécution du contrat + obligation légale comptable (art. 6.1.b et 6.1.c) |
| Sécurité, prévention des abus (journaux IP temporaires) | Intérêt légitime (art. 6.1.f) |
| Respect des obligations légales et comptables | Obligation légale (art. 6.1.c) |
4. Destinataires et sous-traitants
Les données ne sont ni vendues ni cédées. Elles sont accessibles :
- au sein de 19.5, aux seules personnes habilitées ;
- au freelance concerné, pour ses propres données et celles de ses clients ;
- aux sous-traitants techniques suivants, dans la stricte mesure nécessaire :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Hostinger International Ltd | Hébergement du serveur et de la base de données | France |
| Brevo (Sendinblue SAS) | Envoi des e-mails transactionnels | Union européenne (France) |
| Stripe Payments Europe, Limited | Encaissement des abonnements, facturation et moyens de paiement | Irlande (Union européenne) |
Les données de carte bancaire ne transitent jamais par nos serveurs et ne sont pas stockées par l'Éditeur : la saisie a lieu sur les pages hébergées par Stripe, qui est seul à les détenir en qualité de responsable de traitement pour les besoins du service de paiement.
À compléter si d'autres services sont ajoutés (stockage de sauvegarde, monitoring…).
5. Transferts hors de l'Union européenne
Le Service est conçu pour maintenir les données dans l'Union européenne. Si un sous-traitant venait à traiter des données hors UE, le transfert serait encadré par un mécanisme conforme au RGPD (clauses contractuelles types, décision d'adéquation).
6. Durées de conservation
- Compte freelance : pendant toute la durée de la relation contractuelle, puis conservées 3 mois après la résiliation / clôture du compte, à l'issue desquels l'ensemble des éléments est supprimé définitivement (hors données de facturation soumises à conservation légale, voir ci-dessous).
- Données de facturation / comptables : conservées 10 ans conformément aux obligations légales.
- Données clients / CRA saisies par le freelance : conservées tant que le compte est actif ou jusqu'à suppression par le freelance ; effacées sur ses instructions.
- Jetons d'authentification et de vérification : expirent automatiquement (durées courtes).
- Journaux anti-abus (IP) : 24 heures.
- Données clients / CRA saisies par le freelance : supprimées avec le compte, soit 3 mois après la résiliation.
7. Sécurité
Les mesures techniques et organisationnelles incluent notamment :
- Cloisonnement multi-locataire au niveau base de données (Row-Level Security PostgreSQL, refus par défaut) : chaque organisation ne peut accéder qu'à ses propres données.
- Mots de passe hachés (jamais stockés en clair).
- Secrets applicatifs chiffrés au repos.
- Accès aux CRA côté client par lien tokenisé à durée de vie limitée, sans compte permanent.
- Chiffrement des échanges (HTTPS/TLS), hébergement sur serveur dédié.
8. Vos droits
Conformément au RGPD, toute personne dispose des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données, ainsi que du droit de définir des directives relatives à leur sort après le décès.
- Pour les données de compte, la demande s'exerce auprès de 19.5 : support@9five.app.
- Pour les données saisies sur les clients d'un freelance, la personne concernée doit s'adresser au freelance (responsable de traitement) ; 19.5 l'assistera en tant que sous-traitant.
Une réponse est apportée dans un délai d'un mois. En cas de désaccord, un recours peut être introduit auprès de la CNIL (www.cnil.fr).
9. Cookies
Le Service utilise uniquement des cookies strictement nécessaires à son fonctionnement (session d'authentification). Ces cookies ne nécessitent pas de consentement préalable. Aucun cookie publicitaire ou de mesure d'audience tierce n'est déposé à ce jour. Si un outil de mesure d'audience est ajouté, une bannière de consentement devra être mise en place.
10. Modifications
La présente politique peut être mise à jour. La date de dernière mise à jour figure en tête de document. Les utilisateurs sont informés en cas de modification substantielle.
11. Contact
support@9five.app — 19.5, 28-30 chemin de Sabalce, 64100 Bayonne.