En résumé
Invocourier transforme les commandes Shopify d'un marchand en factures électroniques conformes et les transmet. Pour cela, nous traitons les informations de l'acheteur qui doivent figurer sur une facture — nom, adresse de facturation, e-mail, numéro de TVA — pour le compte du marchand et sur ses seules instructions.
Nous ne vendons jamais de données personnelles, ne les utilisons jamais à des fins publicitaires, et ne les utilisons pour rien d'autre que produire, transmettre et archiver les factures du marchand. La liste des sociétés qui nous aident à faire fonctionner le service figure ci-dessous, et nous la tenons à jour.
1. Qui nous sommes
| Société | LIQUID ECOMM S.R.L. (exerçant sous le nom Invocourier) |
|---|---|
| Siège social | Str. Dealu Nou 13A, Sat Sărata, Comuna Sărata, département de Bacău, 607361, Roumanie |
| Identifiant fiscal (CUI) | 48989226 |
| Registre du commerce | J2023001636041 (EUID ROONRC.J2023001636041) |
| Contact | [email protected] |
| Autorité de contrôle | ANSPDCP, Roumanie (dataprotection.ro) |
Nous n'avons pas désigné de délégué à la protection des données : nous n'y sommes pas tenus. Les questions relatives à la protection des données sont adressées au contact ci-dessus et traitées par l'administrateur de la société.
2. Deux rôles distincts
Les règles applicables dépendent de la personne concernée. Invocourier intervient à deux titres :
Sous-traitant pour les données des acheteurs
Les données personnelles qui figurent sur les factures — les clients du marchand — appartiennent au marchand. C'est lui qui décide ce qui est facturé et pourquoi ; nous agissons uniquement sur ses instructions, via les réglages de l'application. Au sens du RGPD, le marchand est responsable de traitement et nous sommes sous-traitant. Si vous avez acheté auprès d'une boutique et avez une question sur vos données, adressez-vous d'abord à cette boutique : c'est elle qui peut vous répondre, et nous l'assistons.
Responsable de traitement pour nos propres données
Pour les données concernant les marchands eux-mêmes — le compte, les réglages, la facturation de l'abonnement — et pour les personnes qui laissent une adresse e-mail sur ce site, nous sommes responsable de traitement et la présente politique constitue notre information.
Les obligations qui nous lient en tant que sous-traitant sont détaillées dans notre accord de traitement des données (DPA), conclu automatiquement avec chaque marchand qui installe l'application.
3. Ce que nous traitons, et pourquoi
a. Données des acheteurs sur les factures (sous-traitant)
Lorsqu'une commande donne lieu à une facture, Shopify nous transmet la commande et nous produisons le document. Celui-ci contient : le nom de l'acheteur, son adresse de facturation, son adresse e-mail, son numéro de TVA ou d'identification d'entreprise lorsqu'il l'a fourni, les articles commandés et les montants. Nous conservons le document finalisé (son XML, et le PDF lorsqu'il en existe un) ainsi que le nom de l'acheteur et son numéro de TVA comme champs d'index, pour que le marchand puisse retrouver la facture.
Nous conservons également le résultat des vérifications de numéro de TVA auprès du service européen VIES (le numéro, sa validité, la raison sociale enregistrée et la date du contrôle), car c'est la preuve du traitement de TVA appliqué à la facture.
Finalité et base légale : produire et transmettre les factures que le marchand est légalement tenu d'émettre. La base du marchand est son obligation légale (art. 6.1.c du RGPD) ; la nôtre est le contrat qui nous lie à lui (art. 6.1.b) et ses instructions documentées. Nous demandons le strict minimum qu'exige une facture : nous ne demandons pas le numéro de téléphone de l'acheteur à Shopify.
b. Données de compte du marchand (responsable de traitement)
Le domaine .myshopify.com de la boutique, les informations de société saisies dans les réglages (raison sociale, adresse, numéro de TVA, numéro d'immatriculation, e-mail et téléphone de contact, IBAN lorsqu'il est ajouté pour les instructions de paiement), les préférences de facturation, la session d'authentification avec Shopify, et le nombre de documents émis chaque mois pour la facturation de l'abonnement.
Finalité et base légale : fournir et facturer le service — l'exécution du contrat (art. 6.1.b).
c. Inscriptions par e-mail sur ce site (responsable de traitement)
Si vous utilisez le test de conformité et laissez votre e-mail, nous conservons l'adresse et les réponses que vous avez sélectionnées (votre pays, si vous vendez en B2B, votre méthode de facturation actuelle). Nous les utilisons pour vous envoyer la check-list demandée et vous prévenir du lancement du connecteur pour votre pays.
Base légale : votre consentement (art. 6.1.a). Vous pouvez le retirer à tout moment en répondant à n'importe quel message ou en écrivant à [email protected] ; nous supprimons alors l'adresse.
d. Journaux techniques
Notre serveur web enregistre les requêtes de manière ordinaire : adresse IP, horodatage, page demandée et signature du navigateur. C'est ce qui nous permet de diagnostiquer les pannes et de repérer les abus. Base légale : notre intérêt légitime à exploiter un service sécurisé (art. 6.1.f).
4. Qui d'autre intervient
Les sociétés suivantes traitent des données personnelles pour notre compte afin que le service fonctionne. Chacune est liée par un contrat qui la limite à nos instructions.
| Qui | Rôle | Où |
|---|---|---|
| Hetzner Online GmbH | Hébergement de l'application et de sa base de données — c'est là que résident les factures | Helsinki, Finlande (UE) |
| Cloudflare, Inc. | DNS, TLS et réseau en amont de nos serveurs | Réseau mondial ; société américaine |
| Recommand BV | Point d'accès Peppol — transmission des factures aux destinataires belges | Belgique (UE) |
Shopify ne figure pas dans cette liste : Shopify est la plateforme du marchand et la source des données de commande, et non un tiers à qui nous transmettons des données.
Nous tenons cette liste à jour. Avant qu'un nouveau sous-traitant ne commence à traiter des données personnelles — par exemple un prestataire d'envoi d'e-mails pour les pays où les factures circulent par courriel, ou une Plateforme Agréée française lorsque nous prendrons en charge la réforme française — nous mettons cette page à jour et prévenons les marchands, afin qu'ils puissent s'y opposer.
5. Où les données sont traitées
Les données de facturation sont stockées et traitées au sein de l'Union européenne, sur des serveurs situés à Helsinki, en Finlande. Les documents transmis via le réseau Peppol parviennent au point d'accès du destinataire, déterminé par la propre inscription de celui-ci.
Cloudflare, qui exploite le réseau en amont de nos serveurs, est une société américaine disposant d'un réseau mondial ; le trafic vers ce site peut transiter par des infrastructures situées hors de l'UE. Lorsqu'un transfert en résulte, il repose sur les clauses contractuelles types de la Commission européenne.
6. Combien de temps nous conservons les données
Les factures, tant que le marchand utilise Invocourier. Une facture est une pièce comptable : la loi oblige le marchand à la conserver pendant des années, pas des mois (dix ans en France et en Allemagne, sept en Belgique, etc.). Tant que l'application est installée, nous maintenons l'archive du marchand intacte pour cette raison précise.
Une demande d'effacement émanant d'un acheteur ne supprime pas une facture. L'article 17.3.b du RGPD met hors de portée du droit à l'effacement les documents qui existent pour satisfaire à une obligation légale, et une facture émise en fait partie. À réception d'une demande, nous indiquons au marchand quels documents contiennent les données de l'acheteur et confirmons que nous ne détenons rien d'autre à son sujet. Ce qui concerne cet acheteur sans figurer sur une facture, nous ne le conservons tout simplement pas.
La désinstallation supprime tout. Lorsqu'un marchand retire l'application, Shopify nous en informe 48 heures plus tard et nous supprimons l'intégralité des données de cette boutique, factures archivées comprises. Nous les détenions parce que nous agissions pour le compte du marchand ; la relation prenant fin, la base juridique disparaît, et l'obligation légale de conservation reste celle du marchand. Les marchands doivent télécharger leurs documents depuis la page Factures avant de désinstaller.
Le reste : les données de compte et les réglages sont supprimés avec la boutique, comme ci-dessus. Les adresses e-mail collectées sur ce site sont conservées jusqu'à votre désinscription. Les journaux serveur font l'objet d'une rotation et sont supprimés au bout de 14 jours au maximum.
7. Vos droits
Le RGPD vous permet de demander l'accès à vos données personnelles, leur rectification, leur effacement, la limitation du traitement, leur portabilité, et de vous opposer à un traitement fondé sur l'intérêt légitime. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause ce qui a été fait auparavant.
Si vous êtes un acheteur dont les coordonnées figurent sur une facture : contactez la boutique auprès de laquelle vous avez acheté. C'est elle qui décide du sort de ces données ; nous agissons sur ses instructions et l'aidons à vous répondre.
Si vous êtes marchand, ou si vous vous êtes inscrit sur ce site : écrivez à [email protected]. Nous répondons sous 30 jours.
Si vous estimez que nous avons mal traité vos données, vous pouvez introduire une réclamation auprès de votre autorité de protection des données — en France, la CNIL — ou auprès de la nôtre, l'ANSPDCP en Roumanie.
8. Cookies
Ce site ne dépose aucun cookie. Aucune mesure d'audience, aucun pixel de suivi, aucun script publicitaire sur ces pages — c'est pourquoi aucune bannière ne vous demande d'accepter quoi que ce soit.
L'application elle-même, dans l'administration Shopify, ne dépose que les cookies de session nécessaires pour maintenir le marchand connecté. Ils sont strictement nécessaires et ne servent à suivre personne.
9. Sécurité
Les données sont chiffrées en transit (TLS partout) et au repos. L'accès aux systèmes de production est limité à l'administrateur de la société, par authentification par clé uniquement, et il est journalisé. Les sauvegardes sont chiffrées. Nous appliquons une procédure écrite de gestion des incidents : en cas de violation de données personnelles, nous prévenons les marchands concernés dans les meilleurs délais et l'autorité de contrôle dans les 72 heures lorsque le RGPD l'exige.
10. Modifications de cette politique
Lorsque nous modifions un élément substantiel — nouveau sous-traitant, nouvelle catégorie de données, durée de conservation différente — nous mettons à jour la date en haut de cette page et prévenons les marchands avant l'entrée en vigueur. Les versions antérieures sont disponibles sur demande.
En cas de divergence d'interprétation, la version anglaise fait foi.