Politique de confidentialité

L'éditeur est responsable de traitement pour les données qu'il traite pour son propre compte : les comptes des utilisateurs, la relation commerciale, les messages reçus par le formulaire de contact, la sécurité du service. Il est identifié aux mentions légales.

Pour les données que ses clients déposent afin de vérifier leurs propres tiers — dirigeants, bénéficiaires effectifs, pièces —, le client est responsable de traitement et l'éditeur son sous-traitant. Ces traitements sont régis par l'accord de sous-traitance : une personne dont les données figurent dans un dossier exerce ses droits auprès du client qui l'a constitué.

Compte. Nom, adresse email, organisation, rôle ; mot de passe, conservé uniquement sous forme d'empreinte par le service d'authentification ; si vous l'activez, le secret du second facteur et l'empreinte de vos codes de secours ; la version des conditions générales acceptées et sa date.

Usage. La date de chaque connexion ; le journal des actions accomplies sur les dossiers et leur auteur. Les prestataires d'hébergement et d'authentification conservent par ailleurs des journaux techniques (adresse IP, navigateur), selon leurs propres règles.

Contact et abonnement. Ce que vous écrivez dans le formulaire de contact ou dans une demande d'abonnement, avec vos coordonnées.

Listes publiques. Pour cribler, le service conserve les listes publiques de sanctions et une liste de personnes politiquement exposées tirée de Wikidata. Ces listes nomment des personnes physiques : l'éditeur les traite au titre de l'intérêt légitime de ses clients à respecter leurs obligations de vigilance, sans les enrichir ni les publier ailleurs que dans le résultat d'un criblage.

Paiement. Pour un abonnement payant : le nom et le SIREN de l'entreprise, son adresse de facturation, l'adresse email de facturation et le moyen de paiement. Ils sont saisis sur les pages de Stripe ; le numéro de carte et l'IBAN complets ne passent jamais par le service.

• Fournir le service et gérer le compte — exécution du contrat (article 6.1.b).
• Sécuriser le service, tracer les actions et prouver les diligences — intérêt légitime (article 6.1.f).
• Répondre aux messages et aux demandes d'abonnement — mesures précontractuelles ou intérêt légitime (articles 6.1.b et 6.1.f).
• Facturer et tenir la comptabilité — obligation légale (article 6.1.c).

Aucune décision produisant des effets juridiques n'est prise par le service seul : un score ou une correspondance est un constat soumis à l'examen d'une personne.

• Supabase Inc. — Base de données, authentification des comptes et stockage des pièces déposées. Union européenne — Irlande (région eu-west-1). Constaté par le contrôle de région du dépôt, qui lit la région de la base réelle.
• Vercel Inc. — Hébergement du site et rendu des pages. Union européenne — Paris (région cdg1, épinglée dans la configuration).
• Resend — Envoi des emails : confirmation de compte, réinitialisation du mot de passe, accusés de réception et notifications internes. Non établie par Mirea : traitement aux États-Unis possible.
• GitHub Inc. — Conservation des sauvegardes quotidiennes de la base de production. États-Unis.
• Anthropic PBC — Rédaction de la synthèse de conformité d'un dossier, UNIQUEMENT quand l'utilisateur la demande. États-Unis.

Le détail — ce que chacun reçoit et les garanties qui l'encadrent — figure dans l'accord de sous-traitance.

Pour le paiement des abonnements seulement, et sans accès aux dossiers :

• Stripe — Encaissement des abonnements, émission des factures, et portail où l'abonné consulte ses factures, change de moyen de paiement ou résilie. Le nom et le SIREN de l'entreprise qui s'abonne, son adresse de facturation, l'adresse email de facturation et le moyen de paiement — saisis directement sur les pages de Stripe. Aucune donnée des dossiers ni des comptes de l'espace client. Non établie par Mirea : traitement aux États-Unis possible. Stripe déclare adhérer au cadre de protection des données UE–États-Unis (lu dans sa documentation le 8 octobre 2026). Pour les données de paiement, Stripe agit aussi comme responsable de traitement, selon sa propre politique de confidentialité.

La base de données est hébergée en Irlande et le site est rendu à Paris. Mais 6 des 6 prestataires listés ci-dessus sont établis aux États-Unis ou peuvent y accéder aux données : des données personnelles peuvent donc être transférées hors de l'Union.

Ces transferts reposent sur le cadre de protection des données UE–États-Unis lorsque le prestataire y adhère, ou sur les clauses contractuelles types de la Commission européenne. Le transfert le plus sensible — la synthèse d'un dossier par un modèle d'Anthropic — n'a lieu qu'à la demande d'un utilisateur, et ne transmet pas le nom des bénéficiaires effectifs.

Pour vérifier une entreprise, le service interroge des sources publiques. Il y lit ; il n'y dépose aucune donnée de votre espace. Ce qui part vers elles est dit ci-dessous, parce que ce n'est pas toujours rien.

• Listes de sanctions (Trésor américain, ONU, Union européenne, DG Trésor) — Rien : les listes sont téléchargées en entier chaque nuit.
• Wikidata (personnes politiquement exposées) — Rien : la liste est téléchargée en entier.
• Registres publics français (Recherche d'entreprises, BODACC, Egapro, INPI) — Le SIREN ou le nom de l'entreprise recherchée, directement depuis le navigateur de l'utilisateur.
• INPI — Registre national des entreprises (actes et comptes annuels déposés) — Le SIREN de l'entreprise, depuis une fonction serveur de Mirea qui s'authentifie avec le compte INPI de Mirea : ces identifiants ne passent jamais par le navigateur. Les pièces publiques sont relayées à l'utilisateur et ne sont pas conservées. Réutilisation sous la licence de l'INPI (2024), qui impose de citer la source et la date de mise à jour.
• GLEIF et Autorité européenne des marchés financiers (cotation sur un marché réglementé) — Le SIREN de l'entreprise vers GLEIF, puis l'identifiant d'entité juridique (LEI) rendu par GLEIF vers l'ESMA — depuis une fonction serveur de Mirea, l'ESMA n'acceptant pas d'appel direct du navigateur.
• Google Actualités — Le nom de l'entreprise, pour la veille presse.
• Have I Been Pwned (mots de passe compromis) — Les cinq premiers caractères de l'empreinte SHA-1 du mot de passe — jamais le mot de passe, ni son empreinte entière.

Aucune suppression automatique n'est encore en service, et cette politique ne l'annonce donc pas. Les durées ci-dessous sont celles que l'éditeur applique à la main, sur demande ou à la fin du contrat.

• Compte et dossiers : la durée du contrat, puis trente jours pour l'export, puis suppression.
• Journal d'audit : il ne peut pas être modifié ni supprimé, parce qu'il sert de preuve. Quand un compte est supprimé, ses entrées y restent sous une forme pseudonymisée.
• Messages de contact et traces de connexion : supprimés sur simple demande.
• Pièces comptables : dix ans, comme l'exige le Code de commerce.
• Sauvegardes : quotidiennes, chiffrées, remplacées au fil de l'eau ; une donnée supprimée en disparaît au plus tard après quatre-vingt-dix jours.

Chiffrement des échanges ; cloisonnement des organisations dans la base elle-même ; second facteur d'authentification disponible pour chaque utilisateur ; pièces accessibles uniquement par liens signés et de courte durée ; journal d'audit inaltérable ; sauvegardes chiffrées dont la restauration est éprouvée. Le détail figure en annexe de l' accord de sous-traitance.

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, leur portabilité, la limitation de leur traitement, vous opposer à un traitement fondé sur l'intérêt légitime, et définir des directives sur leur sort après votre décès. Écrivez par le formulaire de contact ; une réponse vous est apportée dans un délai d'un mois.

Vous pouvez aussi introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, cnil.fr.

Le service n'utilise ni cookie publicitaire, ni outil de mesure d'audience, ni traceur tiers. Il conserve dans votre navigateur ce qui est strictement nécessaire à son fonctionnement : votre session de connexion, l'organisation et l'entreprise que vous consultez, vos dernières recherches et votre choix de thème clair ou sombre. Ces éléments sont exemptés de consentement ; les effacer vous déconnecte et rétablit les réglages par défaut.