Politique de confidentialité

Politique de Confidentialité Pennylane

Dernière mise à jour : 16 décembre 2025

------

Nous attachons une grande importance à la protection de vos Données à Caractère Personnel et veillons attentivement au respect de la réglementation relative à la vie privée, en particulier le Règlement européen n°2016/679 du 26 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) et la loi n°78-17 du 6 janvier 1978 dite "Informatique et libertés" modifiée en 2018 (la « Législation en Vigueur »).

Nous vous invitons à lire attentivement la présente politique de confidentialité (la « Politique »), qui contient des informations importantes sur la façon dont nous collectons, utilisons et communiquons certaines de vos Données à Caractère Personnel.

Si vous êtes candidat, veuillez lire la politique de confidentialité destinée au recrutement. 

Définitions

Les termes avec des majuscules utilisés dans cette Politique et non définis ci-dessous sont définis dans nos Conditions Générales de Service et d’Utilisation et  Conditions de Partenariat et d’Utilisation (les « Conditions Générales ») disponibles ici.

Consentement éclairé désigne toute indication librement donnée, spécifique et informée, de l’accord de la Personne Concernée sur le traitement de ses Données à Caractère Personnel.

Données Sensibles ou Catégories Spéciales de Données incluent les Données à Caractère Personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’affiliation à un syndicat, ainsi que le traitement des données génétiques, les données biométriques destinées à identifier une personne physique, des données relatives à la santé ou des données relatives à la vie sexuelle ou à l’orientation sexuelle d’une personne physique.

Personne Concernée désigne une personne physique identifiée ou identifiable.

Site Internet : désigne le site de Pennylane / ou tout autre site internet dont Pennylane est propriétaire.

Traitement (“traiter” ou “traitement”) désigne toute opération ou ensemble d’opérations effectuées sur des Données à Caractère Personnel, que ce soit de manière automatisée ou non, y compris, sans limitation, les opérations de collecte, enregistrement, organisation, stockage, accès, adaptation, modification, récupération, consultation, utilisation, divulgation, diffusion, mise à disposition, alignement, combinaison, blocage, suppression, effacement ou destruction.

Tiers désigne une partie tierce ou un partenaire commercial qui, dans le cadre de votre utilisation actuelle ou potentielle de la Solution, nous communique des Données à Caractère Personnel pour votre compte ou reçoit ou accède à des Données à Caractère Personnel pour notre compte, par exemple des fournisseurs, sous-traitants et autres prestataires de services.

Vous, votre, vos, ou Utilisateur désigne la personne physique dont les Données à Caractère Personnel sont collectées pour être traitées au titre des présentes, et revêtant la qualité de Personne Concernée au sens de la Législation en Vigueur.

Article 1 - Qui sommes-nous ?

1.1. La Solution et le Site Internet vous sont fournis par Pennylane, société par actions simplifiée, immatriculée au RCS de Paris sous le n° 880 265 921, ayant son siège social au 2-4 rue Jules Lefebvre, Paris (« nous », « notre » ou « nos »). 

1.2. Vous pouvez contacter notre délégué à la protection des données à l’adresse email suivante : dpo@pennylane.com.

Article 2 - Objet  et champ d’application de la Politique

2.1. Objet. La présente Politique vise à vous informer, que vous soyez Utilisateurs de la Solution et des Services Afférents ou Visiteurs du Site Internet sur la façon dont Pennylane utilise et protège vos Données à Caractère Personnel. Cette Politique s'applique aux expert-comptables, sous-traitants, consultants, clients, utilisateurs, prospects et fournisseurs, et plus généralement à tout tiers dont nous traitons les Données à Caractère Personnel dans le cadre de notre activité (ci-après “Vous”ou “vous”).

2.2. Champ d’application. Cette Politique gouverne uniquement les traitements que nous effectuons en tant que Responsable de traitement. Les traitements que nous effectuons en qualité de Sous-traitant sont gouvernés par la Convention de Traitement de Données annexée à vos Conditions Générales.

Article 3 - Rôle de Pennylane sur vos Données à Caractère Personnel

Conformément au RGPD, il existe deux principaux rôles: 

- le Responsable du traitement est la personne qui détermine les raisons et la façon dont vos Données à Caractère Personnel sont traitées ; 

- Le Sous-traitant est la personne traitant des Données à Caractère Personnel pour le compte du Responsable du traitement. Il agit sous l’autorité du Responsable du traitement et sur instruction de celui-ci.

Pennylane peut avoir l’un ou l’autre des rôles. 

Responsable de Traitement. Lorsque Pennylane agit pour son compte et décide pour quelles raisons elle utilise vos Données à Caractère Personnel, elle agit en qualité de Responsable de traitement. C’est le cas par exemple quand nous rentrons en contact avec vous pour vous renseigner sur la Solution ou lorsque vous créez un Compte Client ou un Compte Utilisateur et utilisez vos données de connexion (login et mot de passe) pour utiliser la Solution.

Sous-traitant, Traitement Initial. Lorsque vos Données à Caractère Personnel sont traitées dans le cadre du fonctionnement de la Solution et de la provision des Services Afférents, le responsable de traitement est le Client ou le Partenaire dont l'utilisation de la Solution implique le traitement de vos Données à Caractère Personnel, et nous agissons en qualité de sous-traitant pour le compte de ce responsable de traitement (le Traitement Initial). Dans ce cadre, nous ne faisons que suivre les instructions du responsable de traitement, telles que recueillies dans les Conditions (Annexe Convention de Données à Caractère Personnel). C’est le cas par exemple lorsqu’un Partenaire crée un dossier client pour la gestion de votre comptabilité contenant vos Données à Caractère Personnel.

Responsable de Traitement, Traitement Ultérieur. Dans certains cas, Pennylane est amenée à réutiliser les Données à Caractère Personnel collectées initialement en qualité de Sous-traitant et collectées dans le cadre de votre utilisation de la Solution et des Services Afférents pour son propre compte, en qualité de Responsable de traitement. C’est le cas par exemple pour la réalisation des finalités de création de statistiques, et d’amélioration de la Solution  (par exemple l’amélioration de l’expérience ou du parcours utilisateur, le développement de nouvelles fonctionnalités ou l’amélioration de fonctionnalités existantes) (ci-après “Traitement Ultérieur”). Ce Traitement Ultérieur est compatible avec le Traitement Initial compte tenu (entre autres) du lien qui existe entre ces deux traitements (utilisation et amélioration de la Solution), de la nature des Données à Caractère Personnel impliquées (absence de Données Sensibles), des conséquences limitées du Traitement Ultérieur pour les Personnes Concernées, et de l'existence de garanties appropriées que nous mettons en oeuvre dans le cadre de ce traitement.

Article 4 - Comment collectons-nous vos Données à Caractère Personnel ?

4.1. Dans le cadre de notre activité, nous collectons des Données à Caractère Personnel directement:

• Lorsque vous créez votre Compte Client, Compte Utilisateur ou votre Compte Pro; 

• Lors de votre utilisation de la Solution et des Services Afférents;

• Lorsque vous complétez un formulaire de contact ou tout autre document disponible en ligne ou sur un Site Internet ou fournis à l’occasion d’évènements (congrès, etc);

• Lors de vos échanges via téléphone ou mail avec les équipes de Pennylane. 

4.2. Nous pouvons également collecter vos Données à Caractère Personnel indirectement :

• De nos partenaires Tiers, que vous aurez préalablement autorisé à nous communiquer vos Données à Caractère Personnel, notamment des prestataires de services de paiement, des agrégateurs de données bancaires, des prestataires de paie, des prestataires de facturation, de caisse, de gestion documentaire, ou autres connecteurs reliés à la Solution.

• De bases de données publiques. Il est possible que vous ayez enregistré vos informations et coordonnées professionnelles dans des bases de données publiques. Nous pouvons collecter certaines de ces informations ou les recevoir de Tiers que nous avons expressément mandaté pour les collecter. Nous ne sélectionnons que les bases de données publiques où vous pouvez raisonnablement vous attendre à être contacté à des fins commerciales. 

• De la part de Client, Utilisateurs qui renseignent vos Données à Caractère Personnel dans le cadre de leur utilisation de la Solution et des Services Afférents.

4.3. Nous pouvons également collecter vos Données à Caractère Personnel automatiquement : 

Lors de votre utilisation de la Solution et Services Afférents et navigation sur un Site Internet. Cette collecte automatique peut notamment se faire via l’utilisation de cookies et autres traceurs. Pour plus d’informations, veuillez consulter notre Politique en matière de cookies.

Article 5 - Quelles sont les Données à Caractère Personnel que nous collectons ? 

5.1. Nature des Données à Caractère Personnel. Les Données à Caractère Personnel que nous traitons sont détaillées en Annexe 1 de la présente Politique de confidentialité.

5.2. Nécessité de la collecte et du traitement. Dans le cadre de votre utilisation de la Solution et des Services Afférents, vous pouvez être amené à communiquer à Pennylane certaines Données à Caractère Personnel nécessaires à la fourniture de la Solution et des Services Afférents. Si vous ne souhaitez pas communiquer ces informations, ou si vous vous opposez à leur utilisation par Pennylane, il se peut que vous ne puissiez pas accéder à certaines parties de la Solution et des Services Afférents et que Pennylane soit dans l’impossibilité de répondre à votre demande.

5.3. Minimisation. Nous veillons à ce que les Données à Caractère Personnel que nous collectons soient pertinentes, adéquates et non excessives au regard de la finalité du traitement et de son utilisation éventuelle. Cela signifie que seules les informations nécessaires aux fins recherchées peuvent être collectées et traitées.

Article 6 - Pourquoi et sur quelle base légale traitons-nous vos Données à Caractère Personnel ? 

6.1. Base légale. Les traitements mis en œuvre par Pennylane ont les bases légales décrites dans le tableau en Annexe 1. Nous ne traitons les Données à Caractère Personnel que sur la base d’un fondement juridique :

• pour exécuter un contrat avec la Personne Concernée ou le responsable de traitement initial (par exemple, nos sous-traitants, Clients, Partenaires, fournisseurs);

• pour respecter une obligation légale;

• lorsque nous avons un intérêt légitime d’utiliser des Données à Caractère Personnel dans le cadre de nos activités (par exemple, lorsque nous effectuons un traitement pour mieux connaître nos clients et leur envoyer des offres promotionnelles);

• lorsque nous avons obtenu le consentement éclairé de la Personne Concernée ou du responsable de traitement lorsque cela est expressément requis par la loi ou par la politique applicable. 

6.2. Finalités des traitements. Les traitements mis en œuvre par Pennylane ont les finalités décrites dans le tableau en Annexe 1. Les Données à Caractère Personnel ne seront pas traitées ultérieurement de manière incompatible avec ces finalités.

Article 7 - Cookies

Nous utilisons des technologies de cookies sur nos Sites Internet pour nous permettre d’évaluer et d’améliorer les fonctionnalités du site et de la Solution. Nous pouvons également utiliser des cookies à des fins publicitaires ou analytiques, sous réserve de votre consentement et selon votre choix, à l’aide de notre outil de paramétrage des cookies. Pour plus d’informations sur la manière dont nous utilisons les cookies, veuillez consulter notre politique de cookies. 

Article 8 - Pendant combien de temps conservons-nous vos Données à Caractère Personnel?

8.1. Nous conservons les Données à Caractère Personnel pendant la durée nécessaire aux fins pour lesquelles elles ont été collectées et traitées telles que définies en Annexe 1. A la fin de ces durées de traitement, nous pouvons conserver certaines de vos Données à Caractère Personnel pour les finalités et durées de conservation suivantes : 

• le respect de nos obligations de conservation légales, comptables et fiscales, soit 10 ans à compter de la fin de l’exercice comptable ;

• la conservation de preuves pendant les délais de prescription applicables afin, soit 5 ans à partir de la fin des durées de traitement décrites dans le tableau en Annexe 1.

8.2. Tout Tiers traitant des Données à Caractère Personnel pour le compte de Pennylane ne les conservera que le temps nécessaire aux fins pour lesquelles elles ont été collectées et traitées.

Article 9 - Comment sécurisons-nous vos données ?

9.1. Nous protégeons les Données à Caractère Personnel en respectant les mesures techniques et organisationnelles nécessaires pour en assurer la sécurité, l’intégrité et la confidentialité la plus absolue. Des mesures techniques et organisationnelles conformes aux normes de l’industrie et à l’état de l’art sont mises en œuvre pour empêcher toute destruction ou perte accidentelle ou illégale, toute altération, toute divulgation ou tout accès non autorisé, ou toute autre forme de traitement illicite ou non autorisé. Nous mettons en œuvre ces mesures dès les premières étapes de la conception des opérations de traitement, de manière à protéger dès le départ les principes de confidentialité et de protection des données (“Privacy by design”). Par défaut, nous veillons à ce que les Données à Caractère Personnel soient traitées pour assurer la protection de la vie privée (par exemple, en limitant leur accessibilité aux seules personnes qui ont besoin d’en avoir accès), de sorte que les Données à Caractère Personnel ne soient pas accessibles à un nombre indéterminé ou trop important de personnes (“Privacy by default”).

9.2. Nous choisissons des prestataires de services et partenaires offrant les garanties suffisantes pour mettre en œuvre les mesures techniques et organisationnelles au moins aussi protectrices.

9.3. Nous mettons en place et conservons la documentation nécessaire pour démontrer le respect de toutes nos obligations découlant de la Législation en Vigueur.

9.4. Lorsque la Législation en Vigueur le prévoit, nous notifions à l’Utilisateur et à toute Personne Concernée ainsi qu’à l’autorité de contrôle compétente toute violation de Données à Caractère Personnel dans les délais légaux requis après en avoir pris connaissance. Nous nous engageons à mettre en place les mesures de sécurité techniques et organisationnelles afin de limiter l'impact de toute violation de Données à Caractère Personnel et de faire en sorte qu’elles ne se reproduisent pas.

9.5. Pour en savoir plus sur nos mesures de sécurité, veuillez lire notre page dédiée. 

9.6. Analyses d’impact. Avant de collecter, d’utiliser, de conserver ou de divulguer des Données à Caractère Personnel dans un nouveau système ou dans le cadre d’un nouveau projet, nous définissons avec soin les finalités de ce traitement et nous évaluons les risques d’atteinte à la vie privée. Lorsque le traitement des Données à Caractère Personnel est susceptible d’entraîner un risque élevé pour les droits et libertés des Personnes Concernées, nous procéderons à une évaluation de l’impact sur la vie privée avant sa mise en œuvre et nous nous abstenons du traitement si cette analyse révèle une incompatibilité avec les principes de la Législation en Vigueur.

Article 10 - Quels sont vos droits en tant que Personne Concernée ?

10.1. Vos droits. Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978, vous disposez des droits suivants sur ces Données à Caractère Personnel:

Droit d’accès. Article 15 du RGPD. Vous pouvez à tout moment accéder aux Données à Caractère Personnel vous concernant et traitées par Pennylane. 

Droit de portabilité. Article 20 du RGPD. Vous avez la possibilité de demander à récupérer les Données à Caractère Personnel que vous avez fournies à Pennylane, pour un usage personnel ou pour les transmettre à un tiers de votre choix, dans un format compatible et structuré. Uniquement lorsque ces Données à Caractère Personnel font l’objet de traitements automatisés fondés sur votre consentement ou sur un contrat.

Droit de rectification. Article 16 du RGPD. Vous pouvez demander à Pennylane de corriger, de modifier toute Donnée Personnelle incomplète, périmée ou inexacte.

Droit d’effacement. Article 16 du RGPD. Vous pouvez demander la suppression de vos Données à Caractère Personnel (i) si ces Données à Caractère Personnel ne sont plus nécessaires aux fins du traitement des données, (ii) vous avez retiré votre consentement au traitement (lorsque le traitement repose sur le consentement) (iii) le traitement de vos Données à Caractère Personnel est illégal, ou (iv) vos Données à Caractère Personnel doivent être effacées pour respecter une obligation légale applicable à Pennylane. 

Droit de restriction (limitation). Article 18 du RGPD. Vous disposez du droit de limiter les traitement effectués sur vos Données à Caractère Personnel uniquement lorsque l’une des situations suivantes se présente: (i) lorsque vous contestez l’exactitude de vos données, (ii) lorsque vous pensez que le traitement de vos Données à Caractère Personnel est illicite, ou (iii) lorsque vous avez besoin de cette limitation pour la constatation, l’exercice ou la défense de vos droits en justice.

Droit de retirer son consentement : lorsque le traitement des Données à Caractère Personnel est basé sur le consentement vous pouvez retirer votre consentement à tout moment, sans que la légalité du traitement fondé sur le consentement soit affectée avant son retrait.

Droit d’opposition. Article 21 du RGPD. Vous pouvez vous opposer au traitement de vos Données à Caractère Personnel à des fins de marketing direct et/ou de publicité ciblée, au partage de vos Données à Caractère Personnel à des Tiers et/ou vous opposer aux traitements effectués sur le fondement de l’intérêt légitime de Pennylane.  

Héritage numérique. Vous disposez du droit de définir le sort de vos Données à Caractère Personnel après votre mort et de choisir à qui Pennylane devra communiquer (ou non) vos Données à Caractère Personnel. Dès que Pennylane a connaissance de votre décès et à défaut d’instructions de votre part, Pennylane s’engage à détruire vos Données à Caractère Personnel, sauf si leur conservation s’avère nécessaire à des fins probatoires ou pour répondre à une obligation légale.

Vous avez également le droit de porter plainte auprès de l’autorité compétente de contrôle des Données à Caractère Personnel, la Commission Nationale de l’Informatique et des Libertés (https://www.cnil.fr/fr/plaintes).

10.2. Comment exercer vos droits. Pour toutes les demandes concernant des Données à Caractère Personnel pour lesquelles Pennylane agit en tant que Responsable de traitement : Pour plus d’information et pour exercer vos droits, vous pouvez contacter Pennylane à l’adresse suivante : Pennylane, 2-4 rue Jules Lefebvre, 75009 Paris ou par mail à dpo@pennylane.com. Dans ce cas, vous devez indiquer les Données à Caractère Personnel que vous souhaitez que Pennylane corrige, mette à jour ou supprime. Lorsque nécessaire ou en cas de doutes raisonnables sur l’identité du requérant, il pourra vous être demandé de s’identifier de manière précise avec une copie d’une pièce d’identité (carte d’identité ou passeport) ou tout autre élément permettant de justifier de votre identité. 

Pour toutes les demandes concernant des Données à Caractère Personnel pour lesquelles Pennylane agit en tant que Sous-traitant, vous pouvez contacter le Partenaire et/ou Client qui agit comme Responsable de traitement. Pennylane, à la demande de ce dernier, pourra l’assister dans les suites à donner aux demandes adressées par vous mais ne pourra répondre directement aux demandes.

Article 11 - Avec qui partageons nous vos Données à Caractère Personnel ?

11.1. Usage interne. Vos Données à Caractère Personnel peuvent être traitées par nos employés  dans la limite de leurs attributions respectives et ce exclusivement afin de réaliser les finalités exposées dans la présente Politique. Dans ce cas, nos employés s’engagent à respecter la stricte confidentialité de vos Données à Caractère Personnel.

11.2. Les Données à Caractère Personnel ne sont divulguées à des Tiers que dans la mesure où il existe une justification légale à ce partage (e.g. la personne concernée a donné son consentement, la divulgation est nécessaire pour exécuter un contrat, Pennylane poursuit un but légitime qui n’enfreint pas les droits fondamentaux de la personne concernée, y compris le droit à la vie privée). La divulgation est effectuée sur la base d’un “besoin de savoir” strictement limité au regard de la base légale. Si une divulgation est nécessaire pour respecter une obligation légale (par exemple, pour un organisme gouvernemental ou une force de police/un service de sécurité) ou dans le cadre d’une procédure judiciaire, les Données à Caractère Personnel peuvent généralement être fournies tant que la divulgation est limitée à ce qui est légalement requis et, si la loi le permet, la Personne Concernée a été informée de la situation.

11.3. Sous-traitants. Nous nous appuyons sur des fournisseurs de services leaders du secteur pour la gestion des serveurs, de l'hébergement et des infrastructures (Amazon Web Services). Les serveurs utilisés par ces prestataires sont situés à Dublin, Irlande. Ces services d'hébergement offrent une évolutivité, une disponibilité des données, une sécurité et des performances à la pointe du secteur, avec un plan de continuité des activités documenté. Dans le cadre des finalités exposées dans la présente Politique, Pennylane a recourt aux services fournis par plusieurs prestataires spécialisés (e.g. Salesforce, Modjo), campagnes emailing (e.g. Customer.io, Outreach), gestion de base de donnée (Metabase, Amplitude, Segment, Stitch), outils de communication et documentation interne (e.g. Google, Notion, Slack), outils d’amélioration produit (e.g Maze, Screeb), outils de surveillance et d’analyse de performance d’application (e.g Datadog, Sentry) (liste non exhaustive).

11.4. Transfert transfrontalier. Afin d’assurer les finalités de traitement décrites dans la présente Politique, Pennylane peut avoir recours à des prestataires se situant hors de l’Union européenne. Si le transfert a lieu vers un pays tiers dans lequel la législation n’a pas été reconnue comme offrant un niveau de protection adéquat des Données à Caractère Personnel, Pennylane veille à ce que les mesures adéquates soient mises en place conformément à la Législation en Vigueur, et notamment, lorsque nécessaire à ce que des clauses contractuelles types ou des clauses ad hoc équivalentes soient intégrées dans le contrat conclu entre Pennylane et le sous-traitant ultérieur.

11.5. Liens Hypertextes. La Solution et nos Sites Internet peuvent contenir des liens hypertextes vers les sites internet de Tiers (notamment de réseaux sociaux et des commerçants partenaires). Nous vous prions de noter que si vous suivez ces liens, les sites internet et services fournis seront régis par leurs propres conditions d’utilisation et politiques de confidentialité. Nous ne pourrons en aucun cas être tenus responsables de la non-conformité de leurs conditions d’utilisation et politiques de confidentialité à la Législation en Vigueur. Nous vous conseillons de prendre connaissance des politiques de confidentialité et des conditions d’utilisation applicables à ces sites internet avant de fournir vos Données à Caractère Personnel et d’utiliser ces sites internet.

Article 12 - Comment traitons-nous les plaintes ?

12.1. Pennylane est engagée à résoudre les problèmes légitimes de confidentialité des Personnes Concernées. Nous examinons toutes les réclamations liées à une violation de la présente Politique ou de la Législation en Vigueur, potentielles ou réelles, portées à notre connaissance et prendrons toutes les mesures raisonnables pour limiter leur impact.

12.2. Si une Personne Concernée dépose une plainte concernant le traitement de ses Données à Caractère Personnel ou celle d’une autre personne et que la plainte n’est pas résolue de manière satisfaisante, Pennylane coopérera avec les autorités de surveillance de la protection des données appropriées et se conformera aux avis de ces autorités pour résoudre toute plainte en suspens. Si Pennylane ou les autorités de surveillance de la protection des données déterminent que Pennylane ou un(e) ou plusieurs de ses employé(e)s ne se sont pas conformées à la présente Politique, Pennylane prendra les mesures appropriées pour remédier aux effets de cette non-conformité et promouvoir la conformité future.

Article 13 - Application et modification de cette Politique

13.1. Pennylane est susceptible de modifier, compléter ou mettre à jour la présente Politique afin de prendre en compte toute évolution légale, réglementaire, jurisprudentielle et/ou technique. En cas de modifications significatives des termes de la présente Politique (i.e., relatives aux bases légales, finalités de traitement, ou à l’exercice des droits), Pennylane s’engage à en informer ses Clients par tout moyen écrit dans un délai minimum de trente (30) jours avant leur date de prise d’effet. Tout accès et utilisation de la Solution passé ce délai seront soumis aux termes de la nouvelle Politique. Toute Personne Concernée dont les Données à Caractère Personnel sont dans soumises à la présente Politique reconnaît que l’unique version de la Politique qui fait foi est celle qui se trouve en ligne.

13.2. En visitant  Site internet, en contactant Pennylane, en créant un compte client ou un compte utilisateur et plus généralement en utilisant la solution, vous acceptez les termes et conditions mentionnés dans la présente politique.

________

Annexe 1 - Tableau résumant les finalités de traitement, Données à Caractère Personnel, bases légales et durées de conservation correspondantes appliquées par Pennylane

*Vos Données à Caractère Personnel sont conservées dans certains cas pour une période plus longue afin de permettre à Pennylane de se conformer à ses obligations légales ou pour la durée de prescription légale à des fins de litige.