Politique de confidentialité – CraFlow

Dernière mise à jour : 16 octobre 2026 · English version

CraFlow permet aux consultants, aux indépendants et à leurs sociétés (ESN, sociétés de portage, cabinets) de saisir les comptes rendus d'activité (CRA), les absences et les notes de frais, de les valider et d'en tirer les factures. Le service est disponible sur Android, sur iPhone et sur le web. Cette page explique quelles données sont traitées, pourquoi et qui les voit.

Données collectées

• Compte : adresse email et nom, via Firebase Authentication (Google). Vous pouvez vous connecter avec un email et un mot de passe, avec Google ou avec Apple ; avec « Se connecter avec Apple », Apple peut nous transmettre une adresse relais à la place de la vôtre.
• Données professionnelles saisies par vous ou votre société : nom de votre société, SIRET, adresse, clients et missions (nom, adresse, TJM, taux d'heures supplémentaires et d'astreinte), jours travaillés, heures supplémentaires et astreintes, lieu de travail le cas échéant.
• Absences : demandes de congés et d'absences, leur motif et leur décision ; les absences validées sont reportées dans votre CRA.
• Notes de frais : montant, date, catégorie et justificatif (photo ou PDF) que vous déposez. Quand vous scannez un ticket avec l'appareil photo, le texte est lu sur votre téléphone (reconnaissance de texte intégrée : services Google Play sur Android, Apple Vision sur iPhone) pour proposer le montant, la date et la catégorie ; la lecture n'envoie rien à un serveur, seule la photo du justificatif est enregistrée avec la note.
• Factures et documents : factures émises à partir des CRA, CRA signés et documents que vous ou votre société déposez.
• Facturation électronique : pour savoir si un client reçoit les factures électroniques, son SIREN est consulté dans l'annuaire public de la facturation électronique. Si vous connectez votre compte de la plateforme agréée SUPER PDP, les factures que vous choisissez d'y envoyer lui sont transmises, ainsi que leur statut « encaissée » ; les identifiants de ce compte sont conservés chiffrés. Le bouton « Vérifier » transmet la facture au validateur de SUPER PDP pour contrôler sa conformité.
• Résultat & comptable : si votre société active cette option, elle enregistre l'adresse email de son expert-comptable, à qui le résultat de gestion (chiffres, détail des factures, notes de frais et versements, écritures comptables) est envoyé par un lien personnel valable 30 jours.
• Signature : celle du PDF exporté depuis l'application reste sur votre téléphone. Lorsque vous faites signer un CRA par votre client, votre signature et celle du client (tracés, nom, date et adresse IP du signataire) sont enregistrées sur le serveur et figurent sur le PDF signé.
• Bulletins de paie : si votre société active cette fonction, elle dépose vos bulletins de paie (PDF) dans votre espace. Seuls vous, les responsables du compte de votre société et ses gestionnaires ayant accès à toute la société peuvent les ouvrir ; ils ne sont jamais envoyés par email et sont supprimés si vous quittez la société ou supprimez votre compte.
• Compte de portage : si votre société de portage l'utilise, CraFlow tient votre compte : paiements de vos clients, frais de gestion, salaires et sommes versées, notes de frais remboursées, congés payés, vos demandes d'argent et le moyen de paiement utilisé. Seuls vous, les responsables du compte de votre société et ses gestionnaires ayant accès à toute la société le voient. Ces lignes ont valeur de pièces comptables pour votre société : elles restent chez elle si vous la quittez.
• Abonnement Freelance : l'identifiant de l'achat (jeton Google Play, ou transaction signée par Apple sur iPhone) et sa date de fin, afin de vérifier votre abonnement. Aucune donnée bancaire n'est reçue : le paiement est géré par Google Play ou par l'App Store.
• Notifications : si vous les acceptez, un identifiant technique de votre téléphone (jeton Firebase Cloud Messaging, qui passe par le service de notifications d'Apple sur iPhone) est enregistré pour vous prévenir (rappel de CRA, CRA validé ou refusé, demande à valider). Il est supprimé à la déconnexion ; vous pouvez couper les notifications dans les réglages du téléphone.
• Diagnostic : si l'application plante, un rapport technique (modèle d'appareil, version du système, identifiant d'installation, trace de l'erreur) est envoyé à Firebase Crashlytics pour corriger le problème. Il ne contient pas le contenu de vos CRA.
• Sécurité : sessions ouvertes (appareil, date) et, si vous l'activez, la double authentification ; un journal d'activité garde qui a validé, modifié ou supprimé quoi dans l'espace d'une société.

Qui voit vos données

Votre société (ses responsables et gestionnaires, selon leurs droits) voit ce qui la concerne : vos CRA, absences, notes de frais, factures, documents et, pour le portage, votre compte. Le client final ne voit que le CRA que vous lui faites signer et les factures qui lui sont adressées. Un indépendant sans société est seul à voir ses données.

Utilisation

Ces données servent uniquement à fournir le service (sauvegarde et synchronisation, validation, génération des PDF et des factures, gestion de l'accès). Elles ne sont ni vendues ni utilisées à des fins publicitaires ; l'application ne contient ni publicité ni pistage. Le site craflow.fr compte les pages vues de façon anonyme (page, jour et site d'origine, par exemple LinkedIn), sans cookie, sans adresse IP enregistrée ni identifiant.

Services utilisés

Google Firebase (authentification, notifications, rapports de plantage), Apple (« Se connecter avec Apple », achats sur iPhone), Google Play (achats sur Android), SUPER PDP (plateforme agréée de facturation électronique, quand vous la connectez ; annuaire et validateur publics). Les vidéos d'aide du site sont hébergées sur YouTube (mode sans cookie) et ne sont chargées que si vous cliquez dessus. Pour remplir les informations d'une entreprise ou les jours fériés, CraFlow interroge les services publics de l'État (annuaire des entreprises, calendrier des jours fériés) : seule la recherche saisie leur est envoyée.

Hébergement et conservation

Le serveur et les données sont hébergés en France par OVHcloud. Les données sont conservées tant que votre compte existe et supprimées lors de la suppression du compte, sauf les pièces que la loi impose à votre société de garder (factures, comptes de portage), qui restent chez elle.

Vos droits (RGPD)

Vous pouvez accéder, corriger ou supprimer vos données à tout moment. Vous pouvez en télécharger une copie complète depuis l'application (Réglages → Télécharger mes données) ou votre espace en ligne (Clients et profil → Mes données). La suppression du compte est disponible dans l'application (Réglages → Supprimer mon compte) ou sur simple demande à mouhamedhadi.hassine@gmail.com. Vous pouvez aussi saisir la CNIL (www.cnil.fr).

Contact

mouhamedhadi.hassine@gmail.com