En bref. Une facture n'est pas un document anodin : elle porte votre chiffre d'affaires, l'identité de vos clients, parfois des coordonnées de personnes physiques. En confiant vos flux à une Plateforme Agréée, vous restez responsable de traitement et la plateforme agit comme sous-traitant au sens du RGPD, ce qui suppose un contrat, des engagements écrits et une réversibilité. Côté sécurité, quatre exigences ne se négocient pas : chiffrement en transit et au repos, traçabilité des accès, archivage à valeur probante, et capacité d'export à tout moment.
Quelles données circulent réellement
Avant de parler de garanties, il faut nommer ce qu'on protège. Une facture électronique contient :
- des données d'entreprise : raison sociale, SIREN, adresse, montants, conditions commerciales ;
- des données personnelles : nom du contact, e-mail professionnel, parfois un numéro de téléphone, et systématiquement, chez les clients personnes physiques (professions libérales, artisans, auto-entrepreneurs), des données qui identifient une personne ;
- des données sensibles au sens commercial : vos prix, vos remises, votre carnet de clients.
Cette dernière catégorie n'est pas couverte par le RGPD mais elle est souvent la plus stratégique. C'est elle qui justifie de lire les clauses de confidentialité aussi attentivement que les clauses de sécurité.
La répartition des rôles RGPD
C'est le point que beaucoup d'entreprises n'ont jamais formalisé, alors qu'il conditionne tout le reste.
| Rôle | Qui | Ce que ça implique |
|---|---|---|
| Responsable de traitement | Votre entreprise | Vous décidez des finalités et des moyens : vous facturez vos clients, vous choisissez votre plateforme |
| Sous-traitant | Votre Plateforme Agréée | Elle traite les données pour votre compte et sur vos instructions, dans le cadre d'un contrat |
| Destinataires | Plateforme de votre client, administration fiscale | Le circuit implique par construction des transmissions encadrées |
Conséquences pratiques :
- il vous faut un contrat de sous-traitance (ou des clauses équivalentes dans les conditions générales), qui liste les traitements, les durées, les mesures de sécurité et les conditions de restitution ou de suppression ;
- votre registre des traitements doit mentionner la facturation et la plateforme utilisée ;
- si votre client exerce un droit RGPD (accès, rectification), c'est vous qu'il sollicite, pas la plateforme : celle-ci doit vous permettre d'y répondre.
Les quatre exigences non négociables
1. Le chiffrement, en transit et au repos
En transit, c'est le minimum syndical : HTTPS/TLS sur toutes les interfaces, y compris les API et les dépôts de fichiers. Au repos, les documents et leurs métadonnées doivent être chiffrés côté stockage. Une plateforme qui ne sait pas répondre précisément à cette question mérite qu'on insiste.
2. La traçabilité des accès
Qui, dans votre entreprise, a consulté quelle facture, et quand ? Qui côté plateforme peut accéder aux documents, et sous quel contrôle ? La journalisation des accès n'est pas un luxe : c'est ce qui permet de qualifier un incident, et de démontrer votre diligence en cas de contrôle.
Corollaire souvent négligé : la gestion de vos propres utilisateurs. Le départ d'un collaborateur doit se traduire par une révocation d'accès le jour même. C'est votre responsabilité, pas celle de la plateforme.
3. L'archivage à valeur probante
Les factures se conservent dix ans côté pièces comptables. L'archivage doit garantir la lisibilité, l'intégrité et la disponibilité des documents sur cette durée, et permettre de le démontrer. Nous avons consacré un article entier au sujet : archivage à valeur probante : 10 ans, concrètement.
Attention à ne pas confondre deux durées : la conservation comptable et fiscale des factures d'une part, et les durées de conservation des données personnelles au sens RGPD d'autre part, qui répondent à des logiques différentes.
4. La réversibilité
Pouvoir partir est une garantie de sécurité au même titre que le chiffrement. Vérifiez avant de signer : sous quel format récupère-t-on l'historique ? En combien de temps ? À quel coût ? Une plateforme qui n'a pas de réponse écrite à ces trois questions vous expose. Le sujet est développé dans changer de Plateforme Agréée.
Localisation et transferts
La question de l'hébergement revient systématiquement, et elle est légitime : où sont physiquement stockées vos données, et un transfert hors Union européenne est-il possible dans le cadre du service ?
Deux exigences raisonnables :
- une information écrite sur la localisation de l'hébergement et sur les éventuels sous-traitants ultérieurs ;
- un engagement de notification en cas de changement, qui vous laisse le temps de réagir.
Chez WeInvoice, l'hébergement est assuré en France ; le détail de nos engagements figure sur la page sécurité.
Ce qui reste votre responsabilité
Les incidents les plus fréquents ne viennent presque jamais de la plateforme. Ils viennent de trois angles morts internes :
Les accès. Comptes partagés, mots de passe faibles, absence d'authentification renforcée, comptes d'anciens collaborateurs jamais désactivés.
Les exports sauvages. Un export de factures posé sur un disque partagé, une pièce jointe transférée à une adresse personnelle : la donnée sort du périmètre protégé et vous n'avez plus aucune traçabilité.
Les circuits parallèles. Le fournisseur qui envoie aussi un PDF par e-mail, l'assistant qui archive « au cas où » dans un dossier local. Chaque copie hors circuit est une surface d'exposition supplémentaire, et une divergence potentielle avec le document qui fait foi.
Les huit questions à poser avant de signer
- Le chiffrement est-il assuré en transit et au repos ?
- Où sont hébergées les données, et existe-t-il des transferts hors UE ?
- Quels engagements de sous-traitance RGPD figurent au contrat ?
- Les accès sont-ils journalisés, et l'historique m'est-il accessible ?
- Quelle est la durée d'archivage garantie, et sous quelle forme probante ?
- Comment j'exporte l'intégralité de mes données, sous quel format et en combien de temps ?
- Quelle est la procédure de notification d'incident, et sous quel délai ?
- Comment sont gérés les sous-traitants ultérieurs, et suis-je informé des changements ?
Les réponses doivent être écrites. Une réponse orale rassurante ne vous servira pas en cas d'incident.
Questions fréquentes
Q : Qui est responsable des données personnelles présentes sur mes factures ?
R : Vous, en tant que responsable de traitement : c'est vous qui décidez de facturer et qui choisissez vos outils. La Plateforme Agréée agit comme sous-traitant, pour votre compte et sur vos instructions, dans le cadre d'un contrat.
Q : Combien de temps la plateforme conserve-t-elle mes factures ?
R : L'archivage à valeur probante des factures s'étend sur dix ans, cohérent avec la conservation des pièces comptables. Les durées applicables aux données personnelles au sens RGPD relèvent d'une logique distincte et doivent être documentées dans le contrat.
Q : Faut-il un contrat de sous-traitance avec sa Plateforme Agréée ?
R : Oui, ou des clauses équivalentes intégrées aux conditions générales. Elles doivent préciser les traitements réalisés, les mesures de sécurité, les durées, le sort des données en fin de contrat et les conditions de recours à des sous-traitants ultérieurs.
Q : Que faire si un client demande la suppression de ses données ?
R : Le droit à l'effacement n'est pas absolu : une facture répond à une obligation légale de conservation, qui prime sur une demande de suppression. Vous pouvez en revanche traiter les données qui ne relèvent pas de cette obligation, et devez répondre à la demande de façon motivée.
Q : L'hébergement en France est-il obligatoire ?
R : Ce qui compte juridiquement est le respect du RGPD et l'encadrement des transferts hors Union européenne. L'hébergement en France est une garantie supplémentaire fréquemment recherchée, et un critère de choix légitime, mais il doit être vérifié, pas supposé.
À retenir
- Vous restez responsable de traitement ; la plateforme est sous-traitant.
- Quatre exigences : chiffrement, traçabilité des accès, archivage probant, réversibilité.
- Distinguez la conservation comptable (dix ans) des durées RGPD.
- Les incidents viennent surtout de vos accès, de vos exports et de vos circuits parallèles.
- Exigez des réponses écrites aux huit questions avant de signer.