Politique de confidentialité, application Cashlab
1. Qui sommes-nous
L'application Cashlab (Android et iOS) est éditée par EMMAX SAS, exerçant sous le nom commercial Cashlab, société par actions simplifiée au capital de 121 302 €, immatriculée au RCS de Paris sous le numéro 807 662 515 (SIRET 807 662 515 00020), dont le siège social est situé 1 rue des Prouvaires, 75001 Paris.
Pour toute question relative à vos données personnelles : hello@cashlab.fr
2. À qui s'adresse l'application
L'application Cashlab est réservée aux collaborateurs des entreprises clientes de la plateforme de pilotage de trésorerie Cashlab. Les comptes utilisateurs sont créés et gérés par l'organisation cliente : il n'est pas possible de créer un compte depuis l'application.
Cashlab agit en tant que responsable de traitement pour la gestion des comptes utilisateurs et la sécurité du service. Pour les données de l'entreprise cliente, Cashlab agit en tant que sous-traitant de cette entreprise, conformément au contrat qui les lie.
3. Les données que nous traitons
Données de compte. Adresse email professionnelle, nom, prénom, fonction (facultative), organisation de rattachement, rôles et droits d'accès, langue, date de dernière connexion. Ces données sont fournies par votre organisation. Votre mot de passe n'est jamais conservé en clair (seule une empreinte chiffrée est stockée), de même que le secret et les codes de secours de la double authentification.
Données de connexion et de sécurité. Adresse IP, empreinte technique du navigateur ou de l'appareil, identifiants de session, nom d'appareil si vous choisissez « Se souvenir de cet appareil » lors de la double authentification, et journal des requêtes adressées à nos serveurs, associé à votre identifiant.
Données financières affichées dans l'application. Soldes des comptes bancaires de votre entreprise, noms des banques, des entités et des comptes, numéros de compte. L'application les affiche en lecture seule : elle ne permet aucun paiement ni virement.
Données de la plateforme web. Sur la plateforme web Cashlab, votre entreprise peut aussi importer des transactions, des données comptables et des prévisions. Ces données proviennent des connexions bancaires (notamment via Powens), d'échanges de fichiers avec les banques ou de connecteurs vers les logiciels comptables. Cashlab ne collecte ni ne stocke vos identifiants de banque en ligne lorsque la connexion passe par Powens. L'application mobile n'effectue aucune connexion bancaire.
Données stockées sur votre appareil. Votre session (dans le stockage sécurisé du système : Android Keystore, trousseau iOS), votre langue, les entités sélectionnées et l'activation du déverrouillage biométrique.
Authentification unique. Si votre organisation l'a activée, la connexion passe par son fournisseur d'identité (Google ou Microsoft), selon les règles de ce fournisseur.
L'application n'utilise aucun outil de mesure d'audience, de publicité ou de suivi, et ne collecte pas l'identifiant publicitaire de l'appareil.
4. Biométrie
Si vous activez le déverrouillage par empreinte digitale ou reconnaissance faciale, la vérification est entièrement réalisée par le système de votre appareil. Cashlab ne reçoit ni ne stocke aucune donnée biométrique.
5. Pourquoi nous utilisons ces données, et sur quelle base
- Vous donner accès au service et afficher les données de votre entreprise : exécution du contrat conclu avec votre organisation.
- Vous authentifier, sécuriser votre compte et prévenir la fraude : intérêt légitime et obligation de sécurité.
- Assurer le support et diagnostiquer les incidents techniques : intérêt légitime.
- Respecter nos obligations légales : obligation légale.
6. Destinataires des données
Vos données sont accessibles à votre organisation, selon les droits qu'elle définit, et aux personnes habilitées de Cashlab. Elles peuvent être traitées, pour notre compte et dans la stricte limite de ce qui est nécessaire, par les prestataires suivants :
- DigitalOcean, LLC : hébergement des serveurs et des données (centre de données de Francfort, Allemagne) ;
- Google : messagerie professionnelle (Google Workspace) ;
- Mailjet (prestataire établi en France) : envoi des emails liés au service ;
- Powens : connexion aux comptes bancaires, pour la plateforme web.
EMMAX SAS ne vend ni ne loue vos données à des tiers.
7. Localisation et transferts hors de l'Union européenne
Les serveurs de Cashlab sont situés dans l'Union européenne (Francfort, Allemagne). Certains de nos prestataires sont des sociétés établies aux États-Unis ou relevant du droit américain (DigitalOcean, Google). Lorsque cela peut entraîner un accès depuis l'extérieur de l'Union européenne, ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées aux contrats de traitement des données conclus avec ces prestataires.
8. Durée de conservation
- Données de compte : tant que votre organisation maintient votre accès, puis supprimées à la suppression du compte (voir la page dédiée).
- Journaux de connexion et de sécurité : 12 mois, puis supprimés.
- Appareil mémorisé pour la double authentification : 14 jours.
- Données de trésorerie de l'entreprise : selon le contrat conclu avec votre organisation.
- Données sur votre appareil : la session est effacée à la déconnexion, toutes les données locales sont effacées à la désinstallation de l'application.
9. Sécurité
Toutes les communications entre l'application et nos serveurs sont chiffrées (HTTPS). Les mots de passe sont stockés sous forme d'empreinte, jamais en clair, et les secrets de double authentification sont chiffrés. L'accès au compte est protégé par double authentification ou par l'authentification unique de votre organisation. Sur l'appareil, la session est conservée dans le stockage sécurisé du système, la sauvegarde automatique des données de l'application est désactivée sur Android, et l'accès peut être protégé par biométrie, auquel cas le contenu est masqué lorsque l'application passe en arrière-plan.
10. Vos droits
Conformément au Règlement général sur la protection des données (RGPD), vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Vous pouvez les exercer auprès de l'administrateur Cashlab de votre organisation, ou en écrivant à hello@cashlab.fr. Lorsque la demande porte sur des données de trésorerie dont votre entreprise est responsable, nous la transmettons à votre entreprise.
Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
11. Suppression de votre compte
Vous pouvez à tout moment demander la suppression de votre compte. La suppression ne se fait pas depuis l'application : les étapes sont décrites sur la page « Supprimer votre compte Cashlab ».
12. Mineurs
L'application Cashlab est destinée à un usage professionnel et n'est pas conçue pour être utilisée par des mineurs.
13. Modifications
Cette politique peut être mise à jour. La date de dernière mise à jour figure en haut de la page, et toute modification importante vous sera communiquée par les moyens appropriés.
Écrivez-nous à hello@cashlab.fr, nous vous répondons.
Nous contacterPrivacy policy, Cashlab app
1. Who we are
The Cashlab app (Android and iOS) is published by EMMAX SAS, trading under the commercial name Cashlab, a simplified joint-stock company with share capital of €121,302, registered with the Paris Trade and Companies Register under number 807 662 515 (SIRET 807 662 515 00020), whose registered office is at 1 rue des Prouvaires, 75001 Paris, France.
For any question about your personal data: hello@cashlab.fr
2. Who the app is for
The Cashlab app is reserved for employees of companies that are clients of the Cashlab cash management platform. User accounts are created and managed by the client organisation: it is not possible to create an account from the app.
Cashlab acts as data controller for the management of user accounts and the security of the service. For the client company's data, Cashlab acts as data processor on behalf of that company, in accordance with the contract between them.
3. The data we process
Account data. Business email address, last name, first name, job title (optional), organisation, roles and access rights, language, date of last login. This data is provided by your organisation. Your password is never stored in clear text (only an encrypted hash is kept), and neither are the secret and the backup codes of two-factor authentication.
Connection and security data. IP address, technical fingerprint of the browser or the device, session identifiers, device name if you choose « Remember this device » during two-factor authentication, and a log of the requests sent to our servers, linked to your identifier.
Financial data displayed in the app. Balances of your company's bank accounts, names of banks, entities and accounts, account numbers. The app displays them in read-only mode: it does not allow any payment or transfer.
Data from the web platform. On the Cashlab web platform, your company may also import transactions, accounting data and forecasts. This data comes from bank connections (in particular through Powens), from file exchanges with banks, or from connectors to accounting software. Cashlab neither collects nor stores your online banking credentials when the connection goes through Powens. The mobile app makes no bank connection.
Data stored on your device. Your session (in the system's secure storage: Android Keystore, iOS keychain), your language, the selected entities and whether biometric unlocking is enabled.
Single sign-on. If your organisation has enabled it, logging in goes through its identity provider (Google or Microsoft), according to that provider's rules.
The app uses no analytics, advertising or tracking tool, and does not collect the device's advertising identifier.
4. Biometrics
If you enable unlocking by fingerprint or facial recognition, the verification is carried out entirely by your device's operating system. Cashlab neither receives nor stores any biometric data.
5. Why we use this data, and on what basis
- To give you access to the service and display your company's data: performance of the contract entered into with your organisation.
- To authenticate you, secure your account and prevent fraud: legitimate interest and security obligation.
- To provide support and diagnose technical incidents: legitimate interest.
- To comply with our legal obligations: legal obligation.
6. Recipients of the data
Your data is accessible to your organisation, according to the rights it defines, and to authorised Cashlab staff. It may be processed, on our behalf and strictly within what is necessary, by the following providers:
- DigitalOcean, LLC: hosting of servers and data (data centre in Frankfurt, Germany);
- Google: business email (Google Workspace);
- Mailjet (provider established in France): sending of service-related emails;
- Powens: connection to bank accounts, for the web platform.
EMMAX SAS neither sells nor rents your data to third parties.
7. Location and transfers outside the European Union
Cashlab's servers are located in the European Union (Frankfurt, Germany). Some of our providers are companies established in the United States or subject to US law (DigitalOcean, Google). Where this may lead to access from outside the European Union, such transfers are governed by the standard contractual clauses adopted by the European Commission, incorporated into the data processing agreements entered into with those providers.
8. Retention periods
- Account data: for as long as your organisation maintains your access, then deleted when the account is deleted (see the dedicated page).
- Connection and security logs: 12 months, then deleted.
- Device remembered for two-factor authentication: 14 days.
- Company cash data: according to the contract entered into with your organisation.
- Data on your device: the session is erased on logout, and all local data is erased when the app is uninstalled.
9. Security
All communications between the app and our servers are encrypted (HTTPS). Passwords are stored as a hash, never in clear text, and two-factor authentication secrets are encrypted. Access to the account is protected by two-factor authentication or by your organisation's single sign-on. On the device, the session is kept in the system's secure storage, automatic backup of the app's data is disabled on Android, and access can be protected by biometrics, in which case the content is hidden when the app goes into the background.
10. Your rights
Under the General Data Protection Regulation (GDPR), you have the right of access, rectification, erasure, restriction, objection and portability of your data. You may exercise these rights with the Cashlab administrator of your organisation, or by writing to hello@cashlab.fr. Where the request concerns cash data for which your company is responsible, we forward it to your company.
You may also lodge a complaint with the CNIL, the French data protection authority (www.cnil.fr).
11. Deleting your account
You may request the deletion of your account at any time. Deletion is not carried out from the app: the steps are described on the page « Delete your Cashlab account ».
12. Minors
The Cashlab app is intended for professional use and is not designed to be used by minors.
13. Changes
This policy may be updated. The date of the last update appears at the top of the page, and any significant change will be communicated to you by appropriate means.
Write to us at hello@cashlab.fr, we will get back to you.
Contact us