Sécurité & RGPD

Pourquoi vos documents ne peuvent pas fuir de chez nous

L’extension s’exécute dans votre navigateur, dans votre session impots.gouv.fr, ouverte par vous. Quand elle récupère un avis CFE, le PDF est écrit par Chrome dans votre dossier de téléchargements. À aucun moment le fichier n’est envoyé vers une de nos machines : il n’existe donc aucune copie de vos documents à sécuriser, à sauvegarder ou à supprimer chez nous.

L’extension ne communique avec api.collectefiscale.fr que pour une seule chose : vérifier que votre clé de licence est valide et qu’un poste est disponible.

Ce que nous ne collectons pas

• Vos avis CFE et tout autre document fiscal.
• Vos identifiants, mots de passe et cookies de session impots.gouv.fr.
• Les données de vos clients : SIREN, raisons sociales, adresses, montants.

Ce que nous conservons

• Votre compte : email, nom du cabinet, mot de passe haché en Argon2id.
• Votre licence : clé, nombre de postes, dates d’activation et d’expiration.
• Vos installations : un identifiant technique aléatoire par poste, le nom de la machine, la version de l’extension et la date de dernière validation.
• Des journaux techniques (adresse IP, user agent) à des fins de sécurité, conservés 90 jours.

Licences et jetons

• Clés générées cryptographiquement, environ 120 bits d’entropie.
• Jeton d’activation signé, valable 72 heures et renouvelé automatiquement : le poste continue de fonctionner hors connexion pendant cette durée.
• Suspension, révocation et libération de poste applicables à tout moment, effectives à la validation suivante.
• Protection contre les tentatives d’activation en force brute.

Hébergement et transport

• Infrastructure hébergée en Union européenne.
• TLS 1.3, HSTS et politique de sécurité de contenu stricte.
• Base de données chiffrée au repos, sauvegardes régulières et testées.
• Journal d’audit immuable à hachage chaîné.

Authentification de votre espace client

• Mots de passe hachés avec Argon2id.
• Jetons de session courts et jetons de renouvellement rotatifs, avec détection de réutilisation.
• Double authentification TOTP disponible, recommandée pour les responsables de cabinet.
• Verrouillage progressif du compte après échecs répétés.

Sous-traitants

• Stripe : paiement et facturation.
• Postmark : emails transactionnels (activation, clé de licence).
• Hébergeur de serveur Linux en Union européenne : exécution de l’API et base de données.

Vos droits

Accès, rectification, portabilité et effacement sont disponibles en libre-service depuis votre espace client, rubrique Paramètres. Pour toute demande relative aux données personnelles, écrivez à dpo@collectefiscale.fr. La politique complète est détaillée dans notre politique de confidentialité.