Politique de confidentialité

Pleaxy est fourni par Pleaxy Inc., société constituée dans l’État de Delaware, 1318 SE 26th Street, Bellevue, WA 98005, USA (« Pleaxy », « nous »). La présente politique couvre le site web, l’application web, l’API et le serveur MCP de Pleaxy.

Pour toute question ou demande relative à la confidentialité, écrivez à support@pleaxy.ai.

Nous traitons des données personnelles en deux qualités différentes.

• En tant que responsable du traitement, nous déterminons la manière dont les données sont utilisées. Cela couvre les données nécessaires au fonctionnement de votre compte et de notre activité : informations d’inscription et de connexion, contact de facturation, journaux du site web et de l’API, ainsi que les messages et demandes d’assistance que vous nous envoyez. Lorsqu’une demande porte sur le statut d’une facture, d’un bon de commande, d’un contrat, d’un fournisseur ou d’un acheteur que vous avez désigné, nous le consultons dans l’espace de travail dans la limite de vos propres autorisations et ne le copions dans la demande que pour vous répondre.
• En tant que sous-traitant, nous agissons sur instruction de notre client. Cela couvre tout ce qu’une entreprise saisit dans son espace de travail Pleaxy : salariés, contacts fournisseurs, bons de commande, factures, contrats, documents fournisseurs, historique des validations et données de facturation cloud. L’entreprise à laquelle appartient l’espace de travail est le responsable du traitement, et nous n’agissons que sur ses instructions. Notre accord de traitement des données (Data Processing Agreement, DPA) en fixe les conditions ; écrivez à support@pleaxy.ai si vous en avez besoin.
• Les acheteurs et les fournisseurs sont des clients distincts. Chaque espace de travail appartient à sa propre entreprise. Lorsqu’un acheteur et un fournisseur se connectent, consultent les informations du profil d’entreprise l’un de l’autre et échangent des bons de commande, des factures ou des documents, ce partage a lieu à leur initiative, et chaque entreprise est responsable de ce qu’elle partage et de l’usage qu’elle fait de ce qu’elle reçoit.

Si votre employeur ou un partenaire commercial a saisi vos données dans Pleaxy, merci de lui adresser d’abord vos questions ou demandes. Si vous nous contactez, nous lui transmettrons votre demande et l’aiderons à y répondre.

• Données de compte : nom, adresse e-mail professionnelle, intitulé de poste, rôle et appartenance aux espaces de travail. Votre mot de passe est géré par Amazon Cognito au moyen d’un protocole (SRP) qui ne l’envoie jamais aux serveurs de Pleaxy : nous ne le voyons jamais.
• Profil de l’entreprise : nom de l’entreprise, logo, adresse e-mail et adresse de facturation, numéro d’identification fiscale, ainsi que le nom et l’adresse e-mail du contact principal. Le nom, le logo, la région, la devise, l’adresse e-mail de facturation et l’adresse de facturation de votre entreprise sont visibles par les entreprises auxquelles vous êtes connecté, et votre adresse de facturation et votre numéro d’identification fiscale figurent sur les PDF de facture que Pleaxy crée pour les factures entre vous (voir Avec qui nous partageons les données).
• Enregistrements de l’espace de travail : bons de commande, factures, contrats, catalogues et historique des validations. L’historique des validations comprend le nom de la personne qui a validé, son identifiant utilisateur et l’heure de chaque décision.
• Documents fournisseurs téléversés par un fournisseur, comme les formulaires fiscaux W-9 et W-8BEN (qui contiennent des numéros d’identification fiscale), les attestations d’assurance et les lettres bancaires (qui contiennent des coordonnées bancaires).
• Données de facturation cloud issues des comptes cloud qu’un client connecte : relevés de facturation et de consommation, qui concernent principalement l’entreprise plutôt que des personnes.
• Messages de l’assistant IA : ce que vous écrivez à l’assistant et ses réponses ; voir L’assistant IA.
• Demandes d’assistance : lorsque vous ouvrez une demande dans Pleaxy, votre nom et votre adresse e-mail professionnelle (issus de votre compte), l’objet, la description et les messages que vous rédigez, ainsi que les informations de diagnostic que nous ajoutons : votre plan, votre rôle, la version de l’application, le statut de toute facture ou de tout bon de commande que vous désignez (y compris le nom de l’autre entreprise et l’étape de validation en cours), de tout contrat que vous désignez (son titre, son statut, ses dates et le nom de l’autre entreprise, mais pas ses conditions ni ses prix) ou de tout fournisseur ou acheteur que vous désignez (son nom et l’état d’avancement de son intégration, mais pas ses réponses au questionnaire ni ses coordonnées), et tout code d’erreur. Votre conversation avec l’assistant d’aide n’est incluse que si vous cochez « Joindre cette conversation ». Les administrateurs de votre espace de travail peuvent voir les demandes qui y sont ouvertes.
• Avis sur les articles d’aide : lorsque vous répondez à « Cet article a-t-il répondu à votre question ? » sur un article d’aide, votre réponse, toute note que vous ajoutez, votre identifiant utilisateur, l’espace de travail et l’article. Nous les utilisons uniquement pour améliorer nos articles d’aide.
• Données de facturation pour les plans payants : l’adresse e-mail du contact de facturation et le nom de l’entreprise. Les données de carte et de paiement bancaire sont transmises directement à Stripe ; Pleaxy ne les reçoit jamais.
• Journaux techniques : lorsque votre navigateur ou votre intégration appelle notre API, nous enregistrons l’adresse IP, le point de terminaison demandé, la méthode, le résultat et l’heure.
• Messages que vous nous envoyez : si vous écrivez à support@pleaxy.ai ou à sales@pleaxy.ai, nous recevons votre adresse e-mail et le contenu de votre message.

Nous ne collectons pas de catégories particulières de données, comme les données de santé, et vous demandons de ne pas en téléverser.

Les données dont nous sommes responsables sont utilisées pour :

• Fournir le Service : créer et sécuriser les comptes, envoyer les e-mails d’inscription, de vérification et d’invitation, faire fonctionner le produit et facturer les plans payants. Base légale : exécution de notre contrat avec vous ou votre entreprise.
• Assurer la sécurité et le bon fonctionnement de Pleaxy : détecter les abus et les attaques, appliquer les limites de débit, corriger les erreurs et surveiller les performances. Base légale : notre intérêt légitime à disposer d’un service sûr et fiable.
• Vous assister : répondre à vos demandes d’assistance et à vos e-mails. Nous utilisons les demandes, et toute conversation qui y est jointe, uniquement pour y répondre et en assurer le suivi, pour maintenir la sécurité de l’assistance et le respect de ses limites, et lorsque la loi l’exige. Nous ne les utilisons pas à des fins de marketing, pour rédiger des articles d’aide, ni pour entraîner ou évaluer des modèles d’IA. Base légale : intérêt légitime, ou contrat.
• Respecter nos obligations légales : conserver les registres de facturation et fiscaux et répondre aux demandes légitimes des autorités. Base légale : obligation légale.

Nous n’envoyons pas d’e-mails marketing à ce jour. Si nous commençons, nous respecterons la loi en matière de consentement, et chaque e-mail comportera un moyen de se désabonner.

Les données que nous traitons pour le compte de nos clients sont utilisées uniquement pour fournir le Service selon les instructions du client concerné.

Nous ne prenons à votre sujet aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs. Toute validation automatique dans Pleaxy suit des règles fixées par le client, et ces règles s’appliquent à des achats, non à des personnes.

• L’assistant intégré à l’application utilise le modèle Claude d’Anthropic, fourni par Amazon Bedrock (AWS), que nous appelons depuis notre propre compte AWS.
• Ce qui est transmis. Pour vous répondre, l’assistant transmet à Amazon Bedrock vos messages, la conversation jusque-là et les enregistrements de l’espace de travail qu’il consulte. Ces enregistrements peuvent contenir des noms, des informations sur les fournisseurs et des montants. L’assistant ne voit que ce que votre rôle permet de voir.
• Enregistré dans votre compte. Nous enregistrons vos conversations avec Pleaxy Assistant sous votre propre utilisateur, dans l’espace de travail que vous avez utilisé, afin que vous puissiez y revenir, les rechercher et les renommer. Les autres membres de l’espace de travail ne peuvent pas les voir. Vous pouvez supprimer une conversation à tout moment, et chacune est supprimée automatiquement 180 jours après son dernier message. Nous conservons également un décompte des messages, pour les limites d’utilisation, pendant environ 8 jours, ainsi que toute action proposée par l’assistant, qui expire au bout de 10 minutes puis est supprimée automatiquement.
• Non utilisé pour l’entraînement. Selon les conditions d’AWS applicables à Bedrock, AWS n’utilise pas vos requêtes et les réponses pour entraîner des modèles et ne les partage pas avec Anthropic. Nous ne les utilisons pas non plus pour entraîner des modèles.
• Vous gardez le contrôle. L’assistant peut seulement proposer des validations, des enregistrements de paiement, des refus de facture, des résolutions d’écarts et des modifications de règles, et une personne confirme chacune de ces propositions. À votre demande, il peut aussi refuser un bon de commande, créer un bon de commande ou transformer un bon de commande en facture sans étape de confirmation distincte ; voir nos Conditions. Il agit uniquement dans la limite des autorisations de la personne qui l’utilise.
• L’assistant d’aide de la page Aide fonctionne avec le même modèle et le même service. Il est en lecture seule. Il consulte nos articles d’aide, votre plan, votre utilisation de Pleaxy Assistant, votre rôle, l’état de vos connexions et toute facture ou tout bon de commande que vous désignez, uniquement dans la mesure où votre rôle permet de les voir.
• Les conversations avec l’assistant d’aide restent dans l’onglet de votre navigateur (dans son stockage de session) et disparaissent lorsque vous fermez l’onglet, sauf si vous en joignez une à une demande d’assistance : nous la conservons alors avec la demande (voir Durée de conservation des données). Nous conservons les décomptes quotidiens de messages, pour les limites d’utilisation, pendant environ 8 jours, et un total mensuel de messages et de tokens pour chaque espace de travail, sans donnée personnelle, pendant environ 13 mois.
• Non utilisé pour l’entraînement ni l’évaluation. Ni les conversations avec l’un ou l’autre assistant, ni les demandes d’assistance ne sont utilisées pour entraîner ou évaluer des modèles d’IA.

• Vous pouvez connecter un agent IA, comme Claude ou ChatGPT, à votre compte Pleaxy au moyen de notre serveur MCP, qu’il s’exécute sur votre ordinateur ou qu’il soit hébergé par nos soins à l’adresse mcp.pleaxy.ai. Vous choisissez, au moment de le connecter, les espaces de travail qu’il peut utiliser. Il agit uniquement dans la limite de vos propres autorisations dans ces espaces, pendant 30 jours au plus, et vous pouvez le déconnecter à tout moment dans Pleaxy (voir Connecter un agent IA).
• Ce que reçoit l’application de l’agent. Les enregistrements de l’espace de travail que l’agent demande sont transmis à l’application que vous avez connectée, et son fournisseur (par exemple Anthropic ou OpenAI) les traite selon ses propres conditions, en tant que service que vous avez choisi de connecter (voir Avec qui nous partageons les données).
• Ce que nous recevons. Uniquement les requêtes de l’agent, jamais votre conversation avec lui. Notre serveur hébergé transmet chaque requête à notre API et n’en conserve rien au-delà de nos journaux techniques.
• Ce que nous conservons. Pour chaque connexion : le nom de l’application, l’adresse vers laquelle elle vous renvoie, le nom de l’appareil pour un agent exécuté sur votre ordinateur, les espaces de travail que vous avez autorisés, ainsi que la date de la connexion et celle de la dernière utilisation. Ses jetons de connexion ne sont stockés que sous forme d’empreintes irréversibles (hachage à sens unique). Nous enregistrons également chaque modification que l’agent effectue ou demande, ainsi que chaque demande en attente de votre confirmation. Une application qui s’enregistre auprès de nous laisse son nom et ses adresses, qui ne sont pas des données personnelles. La durée de conservation de chacun de ces éléments figure dans Durée de conservation des données.
• Les décisions vous reviennent. Les validations, les enregistrements de paiement et les autres décisions qu’un agent demande vous sont envoyés pour confirmation dans Pleaxy, et rien ne se passe tant que vous ne les avez pas confirmés. Nous vous prévenons lorsqu’un agent se connecte à votre compte, et vous envoyons un e-mail si nous en déconnectons un pour protéger votre compte.

Pleaxy contrôle les fournisseurs des acheteurs au regard de listes publiques de sanctions (voir nos Conditions). Cela implique des données personnelles de deux façons.

• Les noms dans l’espace de travail d’un acheteur. La raison sociale d’un fournisseur peut être le nom d’une personne (un entrepreneur individuel), et le titulaire du compte figurant dans ses coordonnées bancaires peut être une personne. Nous contrôlons ces noms en tant que sous-traitant, pour le compte de l’acheteur : l’acheteur est le responsable du traitement et décide de la suite à donner à une correspondance possible. Le résultat, l’entrée de la liste à laquelle le nom ressemble et la décision de l’acheteur, avec son auteur et son motif, ne sont affichés que dans l’espace de travail de l’acheteur, jamais au fournisseur. Aucun nom ne quitte Pleaxy pour être contrôlé : la comparaison s’effectue sur notre propre copie des listes.
• Les listes elles-mêmes. Les listes nomment les personnes et organisations désignées par leurs éditeurs, avec des informations telles que des alias, des nationalités, des numéros de pièces d’identité et des dates. Nous conservons une copie de chaque liste telle que publiée, pour effectuer le contrôle et comme trace de ce au regard de quoi chaque contrôle a été fait, et nous ne l’utilisons à aucune autre fin. Nous nous fondons sur notre intérêt légitime à proposer un contrôle qui aide les acheteurs à respecter leurs obligations légales. Les éditeurs sont le Département du Trésor des États-Unis (OFAC), le Foreign, Commonwealth and Development Office du Royaume-Uni, la Commission européenne et le Conseil de sécurité de l’ONU : les questions sur une entrée doivent leur être adressées.

Nous ne vendons pas et ne partageons pas d’informations personnelles à des fins publicitaires, y compris au sens de la « vente » (selling) et du « partage » (sharing) tels que définis par le droit californien. Nous n’utilisons aucun traceur publicitaire ou analytique.

Nous ne partageons des données personnelles qu’avec :

• Nos sous-traitants ultérieurs, les prestataires qui font fonctionner Pleaxy pour nous (ci-dessous). Nous mettrons à jour cette liste avant d’ajouter un nouveau sous-traitant ultérieur, et les clients ayant signé un DPA sont informés avant la modification.
• Les entreprises avec lesquelles vous commercez dans Pleaxy. Dès qu’un fournisseur accepte l’invitation d’un acheteur, il peut voir le nom, le logo, la région, les pays, la devise, l’adresse e-mail de facturation et l’adresse de facturation de l’acheteur, tels qu’ils figurent actuellement dans le profil d’entreprise de l’acheteur. Dès que le fournisseur commence le questionnaire de l’acheteur, l’acheteur peut voir les mêmes informations concernant le fournisseur. Chacun peut également voir les bons de commande, factures, documents et coordonnées échangés entre eux, y compris des notes comme les motifs de refus. Votre numéro d’identification fiscale n’est pas affiché de cette manière. Lorsque Pleaxy crée le PDF d’une facture entre un acheteur et un fournisseur connectés (parce que le fournisseur n’a pas téléversé le sien), le PDF indique l’adresse de facturation et le numéro d’identification fiscale des deux entreprises, tels qu’ils figuraient dans leurs profils d’entreprise lors de la création de la facture, et chacune des deux entreprises peut l’ouvrir.
• Les acheteurs à la recherche de fournisseurs. Le nom de l’entreprise d’un fournisseur vérifié, l’adresse e-mail de son contact principal et les noms des espaces de travail dans lesquels il est actif peuvent être trouvés par les acheteurs qui invitent des fournisseurs dans Pleaxy.
• Les autres clients de Pleaxy de votre domaine d’e-mail. Si vous créez une nouvelle entreprise dont le nom ressemble fortement à celui d’une entreprise déjà présente sur Pleaxy avec des personnes de votre domaine d’e-mail, nous envoyons votre adresse e-mail aux administrateurs de cette entreprise, pour qu’ils puissent vous inviter si vous vouliez en fait la rejoindre. Nous vous le disons avant que vous ne confirmiez.
• Les services que vous choisissez de connecter, comme vos comptes cloud, votre logiciel comptable (QuickBooks Online ou Xero : lorsqu’un administrateur en connecte un, Pleaxy lui envoie les factures et avoirs validés, avec leurs lignes, montants et PDF, et y lit les fournisseurs, comptes et paiements), le catalogue punchout d’un fournisseur ou un outil d’IA que vous connectez via notre API ou notre serveur MCP. Leurs propres conditions s’appliquent.
• Obligations légales et sécurité : lorsque la loi l’exige, ou pour protéger des droits, la sécurité des personnes ou la sécurité du Service. Lorsque la loi le permet, nous en informerons d’abord le client concerné.
• Un acquéreur de notre activité, en cas de fusion ou de cession de Pleaxy. Il devra respecter les engagements de la présente politique.

Ce site web ne dépose aucun cookie et ne charge aucun script d’analyse, de publicité ou autre script de suivi tiers.

L’application Pleaxy n’utilise que ce dont elle a besoin pour vous maintenir connecté :

• pleaxy_signed_in : un cookie contenant uniquement la valeur 1, qui permet au site web d’afficher « Accéder au tableau de bord » au lieu de « Se connecter ». L’application le dépose pour pleaxy.ai et ses sous-domaines afin que le site web puisse le lire, et le supprime lorsque vous vous déconnectez. Il ne contient aucune donnée personnelle, dure 30 jours et est défini avec SameSite=Lax.
• Les jetons de connexion d’Amazon Cognito, conservés dans le stockage local de votre navigateur et supprimés lorsque vous vous déconnectez.

Ces éléments sont strictement nécessaires au service que vous avez demandé ; nous ne demandons donc pas votre consentement. Nous mettrons à jour cette section, et vous demanderons votre consentement, avant d’ajouter quoi que ce soit qui ne soit pas strictement nécessaire.

Pleaxy stocke et traite les données aux États-Unis, sur AWS dans la région US East (Virginie du Nord), y compris pour l’assistant IA, qui appelle Amazon Bedrock dans cette région. Nos sous-traitants ultérieurs sont des sociétés américaines.

Si vous vous trouvez dans l’UE, l’EEE, au Royaume-Uni ou en Suisse, l’utilisation de Pleaxy implique le transfert de vos données vers les États-Unis.

• Pour les données client que nous traitons, notre DPA encadre le transfert au moyen des clauses contractuelles types de la Commission européenne, complétées de l’addendum britannique (UK Addendum) pour les données du Royaume-Uni.
• Pour les données dont nous sommes responsables, nous les transférons dans la mesure nécessaire pour fournir le Service auquel vous avez souscrit.

Pleaxy n’est pas certifiée au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework).

• Les données sont chiffrées en transit (HTTPS uniquement) et au repos, au moyen de clés gérées par AWS.
• Chaque requête est vérifiée par rapport à l’espace de travail et au rôle de l’appelant.
• Les validations sont enregistrées avec leur auteur (ou le fait qu’elles étaient automatiques) et leur date.

Notre page Sécurité décrit nos mesures en détail. Si une violation affecte vos données, nous en informerons les clients concernés dans les meilleurs délais, leur fournirons les informations dont ils ont besoin pour remplir leurs propres obligations, et en informerons les autorités de contrôle lorsque la loi l’exige.

Selon votre lieu de résidence (par exemple en vertu du RGPD et du RGPD britannique, des lois des États américains sur la protection de la vie privée comme celle de la Californie, et des lois du Canada et de l’Argentine), vous pouvez avoir le droit d’accéder à vos données personnelles, de les rectifier, de les effacer, de limiter leur utilisation ou de vous y opposer, d’en recevoir une copie portable, et de retirer votre consentement lorsque nous nous fondons sur celui-ci.

• Comment faire une demande. Écrivez à support@pleaxy.ai. Nous pourrons avoir besoin de vérifier votre identité, et nous vous répondrons dans le délai prévu par la loi, généralement un mois. L’exercice de vos droits n’entraînera aucune différence de traitement à votre égard.
• Données présentes dans l’espace de travail d’une entreprise. Nous traitons ces données pour le compte de l’entreprise ; nous lui transmettrons donc votre demande et l’aiderons à y répondre (voir Nos deux rôles).
• Les administrateurs peuvent retirer eux-mêmes des utilisateurs de leur espace de travail. Les exports et suppressions portant sur l’ensemble d’un espace de travail sont effectués sur demande, par e-mail.
• Supprimer votre compte. Écrivez à support@pleaxy.ai depuis l’adresse avec laquelle vous vous connectez. Nous le supprimons dès que vous n’êtes plus membre d’aucun espace de travail : si c’est encore le cas, nous demandons d’abord à ses administrateurs de vous retirer. Nous vous prévenons par e-mail une fois la suppression faite. Ce que nous conservons est indiqué dans Durée de conservation des données.
• Réclamations. Si vous vous trouvez dans l’UE, l’EEE ou au Royaume-Uni, vous pouvez introduire une réclamation auprès de votre autorité locale de protection des données, par exemple l’ICO au Royaume-Uni. Nous apprécierions d’avoir d’abord l’occasion de vous aider.

Pleaxy est un service professionnel destiné aux personnes dans le cadre de leur travail. Il ne s’adresse pas aux personnes de moins de 18 ans, et nous ne collectons pas sciemment de données concernant des enfants.

Nous mettrons à jour la présente politique lorsque nos pratiques évolueront, par exemple lorsque nous ajouterons un sous-traitant ultérieur ou un nouveau type de données. La date de « Dernière mise à jour » en haut de la page indique la version en vigueur et, pour toute modification substantielle, nous en informerons les titulaires de compte par e-mail ou dans l’application avant son entrée en vigueur.