PNTAX

Politique de confidentialité

Version du 8 octobre 2026.

1. Responsable du traitement

Sacha Cowen, entrepreneur individuel — SIRET 88461012200019, 2 rue Thiers, 94130 Nogent-sur-Marne, France. Contact : admin@pntax.fr. Voir les mentions légales.

2. Données traitées

Compte : adresse électronique, mot de passe (jamais stocké en clair — géré par Supabase Auth), prénom et nom, compagnie, base d’affectation, spécialité.

Documents que vous déposez : états d’activité, bulletins de paie, attestations de nuitées, justificatifs de dépenses. Ces documents contiennent des données à caractère personnel — rémunération, déplacements, adresse — et relèvent de votre vie professionnelle et privée.

Données extraites : montants, périodes, rotations, escales, dépenses, ainsi que les paramètres que vous saisissez (surfaces du bureau à domicile, profil du véhicule, tranche marginale d’imposition, revenu fiscal de référence).

Journal d’accès : horodatage, identifiant de compte et nature de l’action (import, export, suppression de compte). Ce journal ne contient aucun contenu de document.

Journal d’erreurs serveur : contexte technique, message d’erreur, identifiant de compte. Il ne contient aucun contenu de document.

Codes d’aéroport non reconnus : lorsque le service ne parvient pas à identifier une escale, son code à trois lettres (par exemple DGX) est enregistré pour que nous puissions compléter notre table de référence, au bénéfice de tous les utilisateurs. Cet enregistrement ne contient aucun identifiant de compte, aucune date de vol et aucun élément permettant de vous rattacher à ce code : seulement le code lui-même, le nombre de journées distinctes où il a été rencontré, et la date de la dernière rencontre. Une fois l’escale ajoutée à la table de référence, la ligne correspondante est supprimée.

Ce que vous nous écrivez : lorsque vous utilisez un formulaire de contact — depuis l’aide de l’application ou depuis la page publique — nous conservons la catégorie choisie, le texte de votre message et, si vous n’avez pas de compte, l’adresse électronique que vous indiquez pour la réponse. Le texte est libre : ce que vous y écrivez nous parvient tel quel. Ces messages sont conservés douze mois, puis effacés (voir §7).

Si vous vous portez volontaire pour votre compagnie : depuis la page d’accueil, un pilote dont la compagnie n’est pas encore prise en charge peut proposer de nous fournir ses documents pour que nous en écrivions la lecture. Ce formulaire n’enregistre que votre adresse électronique et le nom de votre compagnie — il ne reçoit aucun document, et il n’existe aucun moyen d’en déposer un à cet endroit. Ces deux informations servent uniquement à vous recontacter à ce sujet ; elles ne sont transmises à personne, et surtout pas à une compagnie aérienne. Si un échange de documents suit, nous en conviendrons avec vous par écrit : rien ne sera fait de vos documents sans votre accord explicite. Vous n’avez pas besoin d’avoir un compte pour utiliser ce formulaire, et le remplir n’en crée pas un.

Tableau de suggestions : lorsque vous publiez une proposition, nous enregistrons son titre et sa description, sa date de publication, et une signature composée de votre fonction et de votre base d’affectation — la base est lue dans le plus récent de vos relevés d’activité qui l’indique. Nous enregistrons aussi la compagnie de votre compte, qui détermine qui peut la lire. La signature et le texte sont visibles des utilisateurs de votre compagnie ; votre nom, votre adresse électronique et l’identifiant de votre compte ne le sont jamais. Nous conservons, sans le publier, le lien entre la proposition et votre compte : il sert à supprimer vos propositions avec votre compte, à limiter le nombre de publications, et à vous informer si une proposition est masquée. Lorsque vous votez ou signalez une proposition, nous enregistrons ce vote ou ce signalement avec votre compte ; les autres utilisateurs ne voient qu’un nombre de votes, jamais qui a voté ni qui a signalé. Le texte que vous écrivez est libre : n’y mentionnez aucune personne, aucune donnée personnelle et aucun élément de votre situation fiscale.

3. Finalités et bases légales

Les données de compte et de dossier sont traitées pour exécuter le contrat qui nous lie (article 6.1.b du RGPD) : sans elles, le service ne peut pas fonctionner. Les journaux d’accès et d’erreurs relèvent de l’intérêt légitime (article 6.1.f) à sécuriser et maintenir le service. La qualification retenue pour chaque traitement est à faire confirmer — voir la liste en bas de page.

L’adresse laissée par un pilote qui se porte volontaire pour sa compagnie relève d’une logique différente : il n’y a pas de contrat entre nous, et la donnée ne sert pas à lui rendre un service mais à développer le nôtre. Nous retenons l’intérêt légitime (article 6.1.f) ; la démarche étant entièrement volontaire et sans engagement, le consentement (article 6.1.a) est une lecture au moins aussi défendable. Le choix entre les deux est à faire trancher — voir la liste en bas de page. Dans les deux cas, il vous suffit de nous écrire pour que votre adresse soit effacée immédiatement.

Le tableau de suggestions — publication, votes, signalements, modération et courriel d’information en cas de masquage — relève de l’intérêt légitime (article 6.1.f) de l’éditeur à recueillir l’avis des utilisateurs sur l’évolution du service et à modérer ce qui y est publié. Cette base est à faire confirmer — voir la liste en bas de page.

4. Hébergement

Application : Vercel Inc., déployée en région Paris.
Mesure d’audience : Vercel Web Analytics (Vercel Inc.), sans cookie.
Base de données et documents : Supabase, région Paris (eu-west-3).
Lecture des documents PDF : conteneur hébergé chez Scaleway SAS, région Paris (fr-par).

Vos documents et vos données de dossier sont stockés en France. Les trois prestataires ci-dessus sont des sous-traitants au sens du RGPD ; deux d’entre eux (Vercel, Supabase) sont des sociétés de droit américain opérant des infrastructures situées dans l’Union — la portée de cette distinction est à faire qualifier — voir la liste en bas de page.

5. Traitement par une intelligence artificielle hors de l’Union européenne

Deux fonctions du service envoient des données à un prestataire situé aux États-Unis.

Lecture d’un justificatif photographié. Lorsque vous ajoutez une dépense à partir d’une photo ou d’un PDF de facture, ce fichier est transmis à l’API d’Anthropic PBC (États-Unis) pour en extraire le fournisseur, la date et le montant. Le fichier est donc envoyé en entier, tel que vous l’avez fourni.

Recherche du pays d’une escale. Lorsqu’un code d’aéroport n’est pas reconnu, ce code seul est transmis au même prestataire. Aucun document, aucun montant, aucune donnée vous identifiant n’accompagne cette requête.

Rétention. Anthropic supprime les entrées et sorties de son API dans un délai de trente jours par défaut. Un régime sans rétention existe en option ; il n’est pas activé à ce jour.

Transfert hors Union européenne. Ce traitement a lieu aux États-Unis. Il constitue un transfert de données personnelles hors de l’Union, encadré par des clauses contractuelles types. L’accord de traitement correspondant n’est pas signé à ce jour — c’est l’un des points bloquants avant toute ouverture publique.

Ce que ce prestataire ne reçoit jamais : vos bulletins de paie, vos états d’activité, vos attestations de nuitées, vos montants calculés, votre identité. Ces documents sont lus par un service que nous hébergeons nous-mêmes en France.

6. Notification par courriel

Lorsque vous nous écrivez depuis l’aide, une notification est envoyée à l’éditeur via le prestataire d’envoi Resend. Cette notification contient votre adresse électronique, la catégorie choisie et le texte de votre message — rien d’autre : aucun montant, aucun extrait de document, aucune pièce jointe. Les courriels d’authentification (confirmation d’inscription, réinitialisation de mot de passe) sont envoyés par Supabase.

Le formulaire « volontaire » de la page d’accueil déclenche la même notification, avec votre adresse et le nom de votre compagnie — rien d’autre. Ce message reste ensuite dans la boîte de l’éditeur : l’effacement de votre adresse dans notre base n’efface pas le courriel qui l’annonçait. Nous l’écrivons plutôt que de laisser croire à une suppression plus complète qu’elle ne l’est.

Si une proposition que vous avez publiée sur le tableau de suggestions est masquée, un courriel vous en informe, envoyé via Resend. Resend reçoit alors votre adresse électronique, le titre de la proposition et le motif du masquage — rien d’autre. Votre adresse est lue par nos serveurs au moment de l’envoi : elle n’est jamais montrée à la personne qui modère.

7. Durées de conservation

Vos documents et vos données de dossier sont conservés tant que votre compte existe, puis effacés à sa suppression. Aucune durée maximale n’est appliquée automatiquement aujourd’hui : la durée pertinente au regard du délai de reprise de l’administration fiscale, et l’obligation éventuelle de purger au-delà, sont à faire trancher — voir la liste en bas de page. Le journal d’accès et le journal d’erreurs ne sont pas purgés à ce jour — durée à définir.

Deux exceptions, et ce sont les seules aujourd’hui : douze mois. Les messages que vous nous envoyez par un formulaire de contact, et l’adresse laissée par un pilote qui se porte volontaire pour sa compagnie, sont conservés douze mois puis effacés.

Ces deux durées sont réellement appliquées : la suppression est déclenchée par les envois suivants, et la base elle-même refuse d’effacer autre chose que des lignes de plus de douze mois. Elles ne sont pas exécutées à la journée près — s’il ne nous est rien envoyé pendant plusieurs mois, rien ne tourne pendant ces mois-là et une ligne peut dépasser sa date jusqu’à l’envoi suivant. Nous préférons le dire que promettre une horloge qui n’existe pas. Si vous voulez que ce qui vous concerne parte plus tôt, écrivez-nous : la suppression est immédiate.

Les propositions, votes et signalements du tableau de suggestions sont conservés tant que votre compte existe, puis effacés à sa suppression. Une proposition masquée est conservée avec son motif pendant la même durée, sauf si l’éditeur la supprime définitivement : elle est alors effacée avec ses votes, ses signalements, son motif et la trace du courriel qui vous a informé de son masquage. Aucune durée maximale ne s’applique pour un compte qui dure : elle est à faire trancher — voir la liste en bas de page.

8. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Deux d’entre eux s’exercent directement depuis le produit, sans nous écrire :

Export — Mon compte permet de récupérer vos données. Effacement — la suppression du compte efface immédiatement vos documents stockés, toutes vos lignes de dossier et votre identifiant de connexion ; votre adresse électronique redevient disponible pour une nouvelle inscription. Cette suppression est irréversible et ne passe par aucune validation de notre part.

Les autres droits s’exercent en nous écrivant depuis l’aide, ou directement à admin@pntax.fr — cette seconde voie ne demande pas de compte, ce qui compte pour qui nous a écrit sans jamais s’inscrire. Vous pouvez également introduire une réclamation auprès de la CNIL.

9. Sécurité

Chaque compte est isolé au niveau de la base de données par des politiques d’accès appliquées par le moteur lui-même, et non par le code applicatif. Cette isolation est vérifiée automatiquement à chaque modification du code par une suite de tests dédiée qui tente réellement d’accéder aux données d’un autre compte et échoue si l’accès réussit.

Ce qui n’existe pas aujourd’hui : vos documents ne font l’objet d’aucun chiffrement applicatif au-delà de celui appliqué par l’hébergeur au stockage et au transport. Nous ne l’écrivons nulle part ailleurs comme une garantie, et cette page sera réécrite le jour où ce chiffrement existera.

10. Cookies

Le service utilise des cookies strictement nécessaires à son fonctionnement : maintien de la session authentifiée et mémorisation de l’année sélectionnée. Aucun cookie publicitaire. La fréquentation du site est mesurée par Vercel Web Analytics, sans cookie et sans donnée de compte. Voir la page cookies.

Ce qui reste ouvert sur cette page

Liste volontairement longue, et publiée plutôt que tenue à part : ce qui n’est pas tranché est dit, y compris les décisions que l’éditeur assume en connaissance de cause.

  1. 1. Le tableau de suggestions (§2, §3, §6, §7 — ajouté le 13/09/2026)
    Écrit après la relecture du 07/09/2026. À faire vérifier : l’intérêt légitime comme base ; le fait qu’une signature « fonction · base » est une pseudonymisation et non un anonymat ; la durée de conservation pour un compte qui dure ; et le transfert éventuel hors Union chez Resend, qui reçoit l’adresse, le titre et le motif lorsqu’une proposition est masquée.
  2. 2. La mesure d’audience (§4, §10 — ajoutée le 08/10/2026)
    Vercel Web Analytics ne pose aucun cookie et n’écrit rien dans le navigateur (mesuré le 08/10/2026). À faire établir, parce que le dépôt ne le peut pas : que Vercel ne réutilise pas ces données pour son propre compte (clause du contrat d’hébergement, non lue) ; la durée de conservation des points de mesure (la CNIL recommande vingt-cinq mois au plus) ; la région où ils sont traités ; et si une mesure SANS cookie relève de l’exemption de consentement de la CNIL, dont la page ne traite que des traceurs.
  3. 3. Le transfert vers Anthropic (États-Unis) — le point le plus exposé
    L’accord de traitement n’est pas signé, les clauses contractuelles types ne sont donc pas en place, et le régime sans rétention n’est pas activé. Faire valider : la licéité du transfert en l’état, la nécessité d’une analyse d’impact, et si le consentement explicite de l’utilisateur doit être recueilli avant l’envoi d’un justificatif plutôt que de reposer sur l’exécution du contrat. Voir RGPD-ANTHROPIC.md.
  4. 4. L’opportunité d’activer le régime sans rétention chez Anthropic
    Il existe et n’est pas activé. Trente jours de rétention sur des factures nominatives méritent d’être pesés face à cette option avant l’ouverture.
  5. 5. Le registre des traitements
    Document interne obligatoire (article 30 du RGPD), distinct de cette page publique. Cette ligne a dit « il n’existe pas » du 3 au 6 septembre 2026, alors qu’il existait depuis le 24 août : elle est corrigée, et l’écart est laissé visible plutôt qu’effacé. Il reste à faire relire, et à compléter sur trois points qu’il nomme lui-même — le responsable de traitement, les bases légales, et l’encadrement des documents qu’un pilote non utilisateur pourrait nous transmettre.
  6. 6. Les durées de conservation (§7)
    Aucune purge automatique n’existe : ni pour les documents d’un compte actif, ni pour le journal d’accès, ni pour le journal d’erreurs. Le RGPD impose une durée déterminée. Faire fixer chaque durée en tenant compte du délai de reprise de l’administration fiscale, puis l’implémenter — c’est un chantier technique, pas seulement rédactionnel.
  7. 7. Les bases légales retenues (§3)
    Exécution du contrat pour le dossier, intérêt légitime pour les journaux. Faire confirmer, et faire vérifier si un traitement relève du consentement — notamment l’envoi d’un justificatif à un prestataire hors Union.
  8. 8. La qualification de Vercel et Supabase
    Sociétés de droit américain opérant des infrastructures dans l’Union. Faire qualifier l’existence d’un transfert au sens du RGPD malgré la localisation européenne des serveurs, et vérifier que les accords de sous-traitance sont conclus.
  9. 9. L’accord de sous-traitance avec Resend
    Ajouté au produit le 03/09/2026 pour les notifications de contact. Adresse électronique et message y transitent. Vérifier la localisation du traitement et conclure l’accord.
  10. 10. L’appel à volontaires, et les documents qui pourraient suivre
    Le formulaire de la page d’accueil ne collecte qu’une adresse et une compagnie, jamais un document — c’est ce qui le rend proportionné aujourd’hui. Faire confirmer la base légale retenue (intérêt légitime, ou consentement). Et faire encadrer AVANT toute réception le cas des documents eux-mêmes : un relevé d’activité nomme les collègues du pilote (section « Other Crew »), donc des tiers non informés qui ne peuvent pas être couverts par l’accord de celui qui transmet. Voir REGISTRE-TRAITEMENTS.md, fiches 8 et 8 bis.
  11. 11. L’absence de chiffrement applicatif (§9)
    Assumé et écrit tel quel. Faire évaluer si l’état de l’art, au sens de l’article 32 du RGPD, l’exige pour des bulletins de paie — et si son absence doit retarder l’ouverture.
  12. 12. La désignation d’un délégué à la protection des données
    Non désigné. Faire évaluer si le traitement à grande échelle de données de rémunération rend la désignation obligatoire.
  13. 13. L’exhaustivité des données listées au §2
    Cette liste a été établie en lisant le schéma de la base. Faire recouper avec le registre des traitements une fois celui-ci constitué, pour qu’aucune catégorie n’y manque.
  14. 14. L’information à fournir au moment de la collecte
    Les articles 13 et 14 du RGPD imposent une information au moment où les données sont recueillies, pas seulement sur une page dédiée. Faire vérifier que le parcours d’import et le formulaire d’inscription informent suffisamment, en particulier sur le transfert du §5.
  15. 15. La suppression réelle chez les sous-traitants
    La suppression du compte efface nos propres données, vérifié par un test qui crée deux comptes et contrôle qu’un seul disparaît. Elle ne commande rien chez Anthropic, où les données envoyées suivent leur propre délai de trente jours. À écrire explicitement dans cette page si un juriste le juge nécessaire.

Voir aussi les mentions légales, les conditions générales et la politique de confidentialité — les trois portent chacune leur propre liste.

PNTAX — Politique de confidentialité