Politique de confidentialité

1. Deux publics, deux rôles très différents

notemie traite deux ensembles de données qu'il ne faut jamais confondre, parce que la responsabilité n'est pas la même dans les deux cas.

Les utilisateurs de notemie

Le gérant qui souscrit un abonnement et les employés à qui il ouvre un accès. Pour ces personnes, notemie est responsable de traitement : c'est notemie qui décide pourquoi et comment ces données sont traitées.

Les clients des boulangeries

Les particuliers et les professionnels dont une boulangerie enregistre les commandes. Pour ces personnes, la boulangerie est responsable de traitement et notemie est sous-traitant : notemie n'agit que sur instruction de la boulangerie, et n'utilise jamais ces données pour son propre compte. Une seule exception, décrite à la section 3 : le compte de connexion qu'un client professionnel crée pour l'espace en ligne relève de notemie, qui en est responsable.

Concrètement : si vous avez commandé une galette chez votre boulanger et que vous voulez savoir ce qu'il conserve à votre sujet, c'est à lui qu'il faut écrire, pas à notemie. La section 9 le détaille.

2. Qui est responsable

Le service est édité par Preziosi Paul-Antoine Salvatore, entrepreneur individuel, dont le siège est à Palazzo, 20253 Patrimonio, France. Les coordonnées complètes figurent dans les mentions légales.

Adresse de contact pour toute question relative aux données personnelles : contact@notemie.fr.

3. Les données des utilisateurs de notemie

Ce sont les seules données pour lesquelles notemie est responsable de traitement.

Le compte du gérant

• Son adresse email. Elle sert d'identifiant de connexion, et à recevoir les messages nécessaires au fonctionnement du compte : confirmation de l'adresse, code de réinitialisation du mot de passe.
• Son mot de passe, conservé sous forme de condensat par le service d'authentification. Il n'est jamais stocké ni lisible en clair, y compris par l'éditeur.
• Son nom, son prénom et son numéro de téléphone, saisis à la création du compte et conservés avec celui-ci pour identifier le titulaire de l'abonnement.
• La date et la version des conditions générales acceptées, enregistrées par le serveur au moment de l'inscription. Elles font la preuve de l'accord.
• Son offre et l'état de son abonnement, redemandés au fournisseur de validation des achats et jamais déclarés par l'application elle-même.
• Le nom de ses boulangeries et les réglages de son compte.
• L'identité légale de son entreprise, s'il utilise le module de facturation et seulement dans ce cas : raison sociale, forme juridique, adresse du siège, adresse de facturation si elle diffère, SIREN ou SIRET, numéro de TVA intracommunautaire, immatriculation au registre du commerce ou au répertoire des métiers, capital social le cas échéant, et l'adresse email qui figurera sur ses factures. S'y ajoute, pour chaque boulangerie, l'adresse de l'établissement qui émet ses factures, lorsqu'elle diffère de celle du siège : la loi exige l'adresse de l'établissement qui facture, et à défaut c'est celle du siège qui est imprimée. La loi impose de porter ces mentions sur une facture. Pour un entrepreneur individuel, l'adresse du siège est souvent son domicile et le SIREN identifie une personne et non une société : ce sont donc des données personnelles, et elles sont nommées ici pour cette raison.

Les comptes des employés

Un employé n'a pas d'adresse email. Son compte est créé par le gérant, et l'application lui fabrique une adresse technique de la forme identifiant@employes.notemie.invalid, dont le domaine est réservé par la norme et n'est routable nulle part : aucun message ne peut en partir ni y arriver. Elle n'existe que parce que le mécanisme d'authentification exige une adresse.

• Son nom, qui signe ses actions dans l'historique des commandes.
• Son identifiant de connexion, choisi par le gérant, et son mot de passe, lui aussi conservé sous forme de condensat.
• Ses autorisations, dix cases décidées par le gérant.
• La liste des prénoms des personnes qui travaillent sur cette tablette, lorsque le compte est un compte d'équipe et non un compte individuel. Ces prénoms sont saisis par le gérant et servent à savoir qui, au comptoir, a créé ou modifié une commande. Ce sont bien des données personnelles, et elles sont nommées ici pour cette raison.

Pourquoi, et sur quel fondement

Ces données servent à ouvrir et à tenir le compte, à authentifier les personnes, à attribuer une modification à son auteur, et à vérifier qu'un abonnement est en cours. Le fondement est l'exécution du contrat conclu avec la boulangerie, et l'intérêt légitime à la sécurité du service pour ce qui touche à la traçabilité des actions.

Le compte de connexion d'un client professionnel

Un client professionnel d'une boulangerie peut créer un compte de connexion pour l'espace en ligne où il consulte son historique et dépose ses commandes. Pour ce compte, et pour lui seul, notemie est responsable de traitement : le compte est unique et peut servir chez plusieurs boulangeries, aucune d'elles ne peut donc en répondre. Ce que ce client consulte et dépose depuis cet espace reste en revanche les données de sa boulangerie, décrites à la section 4.

• Son adresse email, qui sert d'identifiant de connexion, et son mot de passe, conservé sous forme de condensat, jamais lisible en clair.
• Sa date de dernière connexion, qui sert à une seule chose : supprimer le compte après 3 ans sans connexion.

Créer ce compte ne donne, en soi, accès à rien : une fiche ne devient accessible que lorsque la boulangerie ouvre l'accès sur cette fiche, jamais par la seule saisie d'une adresse. Le fondement du traitement est l'exécution du contrat que la personne demande elle-même en créant son compte, et l'intérêt légitime à la sécurité du service. Le compte se supprime depuis l'espace lui-même, « Supprimer mon accès », immédiatement et sans retour.

4. Les données des clients des boulangeries

Ici, notemie n'est que sous-traitant. La boulangerie décide de ce qu'elle enregistre, pourquoi elle le fait, et sur quel fondement.

La fiche client

• Le type de client, particulier ou professionnel.
• Le nom et le prénom, ou la raison sociale pour un professionnel.
• Le numéro de téléphone, obligatoire : c'est lui qui identifie un client de façon unique chez une même boulangerie, et qui évite les fiches en double.
• L'adresse email, facultative.
• La case « Ne pas contacter », qui retire définitivement le client de toute liste d'envoi groupé.
• Pour un client professionnel, la liste des produits que la boulangerie lui réserve et le prix qu'elle a fixé pour lui sur chacun. C'est aussi ce qui détermine ce qu'il peut commander depuis son espace en ligne.
• Pour un client professionnel, l'interrupteur de son accès en ligne, par lequel la boulangerie ouvre ou ferme l'accès de cette fiche à l'espace en ligne décrit plus bas.
• Son adresse de livraison, facultative, sur la fiche d'un professionnel comme sur celle d'un particulier. Elle sert à organiser les livraisons, et à rien d'autre : c'est le lieu où la personne qui livre dépose la commande, et c'est à ce titre qu'elle s'affiche sur l'écran de tournée de cette personne. Elle est distincte de l'adresse de facturation décrite juste après, qui est le siège d'un professionnel et non l'endroit où on dépose la marchandise, et elle ne figure sur aucune facture. Elle se conserve aussi longtemps que la fiche du client, et pas au-delà : elle est effacée avec le reste de ses coordonnées lorsque la fiche est neutralisée, dans les conditions décrites plus bas.
• Ses coordonnées de facturation, lorsque la boulangerie lui établit des factures : son adresse de facturation et, pour un client professionnel seulement, son SIREN et, s'il en a un, son numéro de TVA intracommunautaire. Elles ne sont demandées que parce que la loi impose de les porter sur une facture, et elles ne servent à rien d'autre. L'adresse est exigée pour facturer un professionnel, et facultative pour un particulier : la note remise à un particulier n'a à porter que son nom, notemie ne réclame donc pas davantage, et le gérant ne saisit cette adresse que si elle lui sert.
• Ces deux adresses sont les seules adresses postales que notemie enregistre, et elles méritent d'être nommées à part plutôt que noyées dans la liste. L'adresse de facturation, d'abord : pour une société, c'est l'adresse d'une entreprise ; pour un entrepreneur individuel, un restaurateur seul, un traiteur, un commerçant de marché, c'est le plus souvent son domicile, et son SIREN identifie de la même façon une personne et non une société ; pour un client particulier, c'est l'adresse du domicile d'une personne, sans autre lecture possible. L'adresse de livraison, ensuite, et elle l'est plus directement encore : c'est par construction un endroit où quelqu'un se rend, à une heure connue d'avance. Ce sont les données les plus sensibles qu'une fiche client puisse porter, et c'est précisément pourquoi notemie n'en exige aucune des deux d'un particulier : l'adresse de livraison est facultative sur toutes les fiches, et l'adresse de facturation n'est exigée que pour facturer un professionnel.

Les commandes

• La date et l'heure de retrait, les produits, les quantités, les poids, les prix, l'acompte, la remise, l'état du paiement, le retrait ou la livraison, et l'avancement en production.
• Le nom du client, figé sur la commande au moment de son enregistrement. Il ne suit pas les modifications ultérieures de la fiche : c'est ce qui permet de savoir, un an plus tard, pour qui la commande avait été passée.
• Un champ de texte libre, sur la commande et sur chaque ligne. Il mérite d'être nommé tel quel plutôt que d'être noyé dans une liste. Depuis que les clients professionnels déposent eux-mêmes leurs commandes par un lien web, ce champ est rempli par la personne concernée, et une mesure faite sur une vraie commande y a trouvé une adresse postale complète, un digicode et un numéro de portable. La boulangerie doit donc le considérer comme pouvant contenir n'importe quelle donnée personnelle, et notemie le traite comme tel. Ce champ est aussi restitué au client : repris dans l'email récapitulatif envoyé quand la boulangerie enregistre sa commande, et visible du client professionnel dans l'historique de son espace en ligne.
• Une photo de preuve de livraison, facultative. Sur une commande en livraison, au moment d'avertir le client qu'elle a été livrée, la personne qui livre peut joindre une photo de la marchandise déposée. Elle est prise sur le moment, avec l'appareil photo : la photothèque du téléphone n'est jamais ouverte, et aucune image existante ne peut être choisie. Elle part en pièce jointe du courriel envoyé au client, et notemie en garde une copie dans un espace de stockage privé, que seule la boulangerie qui l'a prise peut relire, et seulement par une adresse temporaire engendrée à la demande. Elle sert uniquement à établir que la commande a bien été remise, et à rien d'autre. Elle est effacée automatiquement au bout de trois mois, dans les conditions décrites plus bas.
• L'historique des modifications : qui a fait quoi, et quand. L'auteur et l'heure sont écrits par le serveur et ne peuvent pas être choisis par l'application.

Les factures

Une boulangerie peut éditer les factures qu'elle adresse à ses clients, professionnels comme particuliers : depuis le 21 août 2026, une commande de mariage, de baptême ou de communion se facture comme une commande de restaurant. Une facture validée est une pièce comptable : elle ne se modifie plus, elle ne se supprime plus, et elle se conserve longtemps. Ce qu'elle retient est donc volontairement limité, et la limite est écrite ici.

• Sur le client : son nom ou sa raison sociale, son adresse de facturation lorsqu'elle a été saisie, et, pour un professionnel seulement, son SIREN et son numéro de TVA intracommunautaire, recopiés au moment de la validation. La facture d'un particulier ne porte donc ni SIREN ni numéro de TVA, qu'il n'a pas. Ni son numéro de téléphone, ni son adresse email, ni aucun texte libre : ces informations n'ont rien à faire sur une facture, et elles n'y figurent pas.
• Sur la vente : le numéro de la facture, ses dates, la période facturée, les lignes facturées avec leur date de livraison ou de retrait, les quantités, les prix, les taux de TVA, les remises, les montants, les acomptes déjà versés et le net à payer.
• Sur la boulangerie qui l'émet : son identité légale, recopiée elle aussi.

Ces informations sont figées au moment de la validation : une facture de l'an dernier ne change pas parce qu'un produit a été supprimé depuis, ou parce qu'une raison sociale a été corrigée. Le document PDF, lui, n'est stocké nulle part : il est reconstitué à la demande à partir de ces informations figées.

Une facture restée à l'état de brouillon n'est pas une pièce comptable. Elle se supprime comme n'importe quelle donnée, et elle est supprimée d'office lorsque la fiche du client est neutralisée.

Les devis

Une boulangerie peut établir un devis pour une commande importante, un mariage, un baptême, une communion ou une réception, et le client le valide ou non. Un devis n'est pas une pièce comptable : contrairement à une facture, aucune loi n'impose de le conserver, et il ne bénéficie donc d'aucune des exceptions au droit à l'effacement. C'est ce qui commande tout ce qui suit, et c'est la différence de fond avec la section précédente.

• Sur le client : son nom ou sa raison sociale, son adresse de facturation lorsqu'elle a été saisie, et, pour un professionnel seulement, son SIREN et son numéro de TVA, recopiés au moment où le client valide le devis.
• Le lieu de l'événement, et il mérite d'être nommé à part plutôt que noyé dans une liste. C'est un champ de texte libre, et sur un devis de mariage ou de baptême ce qu'on y écrit est très souvent une adresse de domicile, celle du client ou celle d'un tiers. La boulangerie doit le considérer comme pouvant contenir n'importe quelle donnée personnelle, et notemie le traite comme tel.
• Sur la prestation : le numéro du devis, sa date d'émission, sa date de validité, la date et l'heure de l'événement, le retrait ou la livraison, les lignes avec leurs quantités, leurs poids, leurs prix, leurs taux de TVA et leurs remises, l'acompte demandé et les totaux.
• Sur la boulangerie qui l'émet : son identité légale, recopiée elle aussi.

Un devis validé par le client devient une commande, qui suit dès lors les règles de la section « Les commandes » ci-dessus. Le devis, lui, est conservé à côté comme trace de ce qui a été convenu, et il est figé : il ne se modifie plus. Un devis resté à l'état de brouillon se supprime à tout moment.

Quand la fiche d'un client est effacée, ses brouillons de devis sont supprimés, et ses devis validés perdent son nom, son adresse et le lieu de l'événement : il ne subsiste que les montants, les dates et le numéro, jusqu'à la purge décrite à la section 8. Rien ne s'y oppose, précisément parce qu'un devis n'est pas une facture.

Les statistiques de la boulangerie, et le fichier qu'elles permettent d'exporter

Le gérant dispose d'un écran de statistiques : le chiffre d'affaires d'un mois ou d'une année, réparti par type de client, par catégorie, par produit et par jour de la semaine. Ces chiffres sont calculés à la demande à partir des commandes déjà enregistrées : aucune donnée nouvelle n'est collectée pour les produire, rien n'est conservé à part, et ils disparaissent avec les commandes qui les ont formés. notemie ne les lit pas, ne les rapproche pas d'un autre compte et ne s'en sert pour aucun usage qui lui soit propre.

Un export tableur du détail est possible, et c'est la pièce la plus nominative que notemie laisse sortir : nous préférons le dire que le laisser découvrir. Le fichier porte une ligne par commande, avec la date et l'heure, la boulangerie, le nom du client, le type de client, l'origine de la commande, les montants et l'état du règlement. Sur une année, c'est une bonne partie du fichier client réunie dans un seul document.

Trois choses encadrent ce fichier. L'écran et l'export sont réservés au gérant, et cette réserve est imposée par la base de données elle-même : un employé qui appellerait directement l'interface de programmation, hors de l'application, est arrêté par le serveur et non par l'affichage. Le fichier n'est envoyé à personne par notemie : il est composé sur l'appareil, puis remis au volet de partage du téléphone, ou à la boîte « Enregistrer sous » sur ordinateur, et c'est le gérant qui choisit alors sa destination. Il est effacé de l'appareil aussitôt après, pour qu'aucun export ne traîne sur une tablette de boutique utilisée par toute l'équipe.

Ce que devient ce fichier une fois partagé échappe à notemie : déposé dans une messagerie personnelle ou sur une clé USB, il sort du service, et la boulangerie en devient seule comptable.

L'espace en ligne des clients professionnels

Une boulangerie peut ouvrir à un client professionnel un accès à un espace en ligne, où il dépose ses commandes sur les produits et les prix qu'elle lui a réservés, et consulte l'historique de ses commandes chez elle. Ce que ce client y consulte et y dépose sont des données de la boulangerie, au même titre que le reste de cette section : elle en est responsable, notemie n'agit que pour son compte. Son compte de connexion, lui, relève de notemie et il est décrit à la section 3.

L'accès s'ouvre et se ferme par un geste de la boulangerie sur la fiche du client : c'est cet interrupteur, et jamais la seule création d'un compte avec une adresse email, qui rend une fiche accessible. Une commande déposée depuis cet espace reste soumise à la validation de la boulangerie. Cet espace a remplacé le lien de commande personnel, retiré du service le 19 septembre 2026 : aucun secret porteur ne circule plus, chaque client professionnel se connectant désormais avec son propre compte.

5. Ce que notemie ne collecte pas

• Aucune donnée bancaire. Les abonnements sont vendus et encaissés par Apple et par Google. Aucun numéro de carte, aucun relevé d'identité bancaire ne transite par notemie ni n'est stocké par elle.
• Aucun cookie, aucun traceur, aucune mesure d'audience sur le site, aucun identifiant publicitaire dans l'application. Le site n'écrit que deux choses dans la mémoire de votre navigateur, l'une et l'autre sur l'espace en ligne des clients professionnels : le jeton de votre connexion, et, le temps de l'afficher, la facture que vous venez d'ouvrir. Rien d'autre, et rien qui suive la navigation.
• Aucune géolocalisation.
• Aucun profilage et aucune décision automatisée produisant des effets juridiques.
• Aucune photo prise à votre insu, et aucune image puisée dans votre photothèque sans que vous l'y choisissiez. notemie touche à deux images, et à deux seulement. La première est la preuve de livraison décrite à la section 4 : elle n'existe que si la personne qui livre décide de la prendre, sur le moment, avec l'appareil photo, et la photothèque du téléphone n'est jamais ouverte pour elle. La seconde est l'affiche facultative d'un message groupé : celle-là est choisie dans la photothèque, par le gérant et par personne d'autre, puis remise directement à l'application de messagerie de l'appareil ; elle ne transite par aucun serveur de notemie et n'y est jamais conservée.

Ces deux stockages sont strictement nécessaires au service que vous demandez, et c'est pourquoi aucune bannière de consentement ne vous est présentée : l'article 82 de la loi Informatique et Libertés dispense de consentement ce qui sert uniquement à fournir le service que vous avez expressément demandé. Le jeton de connexion disparaît à la fermeture de l'onglet si vous n'avez pas coché « rester connecté », et au plus tard 30 jours après votre connexion si vous l'avez cochée ; la facture que vous ouvrez est effacée dès qu'elle s'affiche. Ni l'un ni l'autre ne quitte votre navigateur, et rien n'y est déposé tant que vous ne vous connectez pas. Vous pouvez les effacer à tout moment par les réglages de votre navigateur : vous serez alors simplement déconnecté de votre espace.

Les hébergeurs conservent en revanche des journaux techniques de connexion, qui comportent des adresses IP : c'est inhérent au fonctionnement de tout service en ligne. notemie ne les exploite pas et n'en tire aucun profil.

6. Qui d'autre voit ces données

Les données d'un compte ne sont accessibles qu'aux personnes de ce compte. Le cloisonnement entre comptes est imposé par la base de données elle-même, sur les vingt-deux tables du service, et non par l'application : un appel direct à l'interface de programmation est arrêté par les mêmes règles que l'écran.

Il y a une exception, et elle est écrite plutôt que tue : l'éditeur détient une clé d'administration qui contourne ce cloisonnement. Elle est nécessaire au fonctionnement du service, et sert à des opérations nommées : créer ou régénérer l'accès d'un employé, supprimer un compte, pseudonymiser une fiche client à la demande d'une boulangerie, et exécuter la purge automatique décrite à la section 8. Elle n'est jamais embarquée dans l'application ni écrite dans son code. Techniquement, elle donne donc à l'éditeur accès aux données d'un compte : il ne s'en sert que pour ces opérations et pour le maintien du service.

notemie fait appel aux prestataires suivants, qui agissent comme sous-traitants ultérieurs :

Supabase Pte. Ltd. (Singapour)

Base de données, authentification et fonctions serveur. Les données sont stockées sur l'infrastructure Amazon Web Services, en région eu-west-3 (Paris, France).

Cloudflare, Inc. (États-Unis)

Hébergement du site www.notemie.fr, de la page de commande et de l'espace en ligne des clients professionnels.

RevenueCat, Inc. (États-Unis)

Validation des abonnements. notemie ne lui transmet que l'identifiant technique du compte, un numéro sans signification : ni nom, ni prénom, ni adresse email, ni aucune donnée de client de boulangerie. Le composant fourni par ce prestataire et intégré à l'application y ajoute en revanche, de lui-même, des informations techniques sur l'appareil et sur l'achat (modèle, système, version de l'application, pays de la boutique, identifiant d'installation, preuve d'achat), que notemie ne choisit pas.

650 Industries, Inc. (Expo, États-Unis)

Distribution des mises à jour de l'application. L'appareil interroge ce service au démarrage pour savoir s'il existe une version plus récente.

OVH SAS (France)

Nom de domaine, messagerie contact@notemie.fr et acheminement des emails envoyés par le service.

Apple et Google

Distribution des applications et encaissement des abonnements, pour leur propre compte.

Aucune donnée n'est vendue, louée, ni cédée à un tiers à des fins publicitaires ou commerciales.

Les emails que notemie envoie, et ceux qu'elle n'envoie pas

Pour trois évènements précis, c'est notemie elle-même qui envoie un email au client, depuis l'adresse contact@notemie.fr, au nom de la boulangerie : la réponse à une commande qu'un client professionnel a déposée en ligne (acceptée ou refusée), l'annonce qu'une commande, celle de n'importe quel client, particulier ou professionnel, est prête à retirer ou à livrer, et le récapitulatif de sa commande, envoyé au client au moment où la boulangerie l'enregistre, avec ses produits, ses montants et le texte du champ « Détails ». Dans les trois cas, c'est un geste de la boulangerie dans l'application qui déclenche l'envoi. Ce sont des emails transactionnels, liés à une commande précise le concernant : jamais de la prospection, jamais un envoi groupé.

L'offre Plus permet en plus à un gérant d'écrire à ses clients pour autre chose, une fermeture, une nouveauté. Ce message groupé, notemie ne l'envoie pas. Elle ouvre l'application de messagerie du téléphone du gérant, avec les destinataires en copie cachée, jamais en destinataires visibles, et le message part ensuite depuis la messagerie personnelle du gérant et sous son adresse. Les adresses des clients sortent donc de notemie à ce moment précis.

Une facture part de la même façon, et il vaut mieux le savoir avant d'appuyer : notemie prépare le message, y joint le document, puis ouvre l'application de messagerie de l'appareil. L'envoi part de la messagerie de la personne qui a appuyé et sous son adresse, avec la boulangerie en copie cachée pour qu'elle garde sa propre copie. La facture reste ensuite dans la boîte d'envoi de cette personne, y compris après son départ de la boulangerie.

7. Hébergement et transferts hors d'Europe

Les données de l'application sont stockées en France, à Paris, sur l'infrastructure Amazon Web Services en région eu-west-3. Ce n'est pas la fin de l'histoire, et la suite est dite honnêtement.

Plusieurs des prestataires listés à la section précédente sont établis hors de l'Union européenne : Cloudflare, RevenueCat et Expo aux États-Unis, Supabase à Singapour. Leur personnel technique peut, dans le cadre de l'exploitation du service, accéder aux données depuis ces pays.

Ces transferts reposent sur les accords de traitement des données publiés par chacun de ces prestataires, qui incorporent les clauses contractuelles types de la Commission européenne. Ce que cette page ne dira pas, parce que ce serait faux : l'éditeur n'a pas conclu à ce jour d'accord distinct, négocié et signé avec eux. La garantie invoquée est donc celle que ces prestataires publient, et non un engagement particulier pris envers notemie.

8. Combien de temps elles sont conservées

Le compte et ses données

Tant que le compte existe. La suppression se demande depuis l'application, ou depuis la page Supprimer mon compte si l'application n'est plus installée. Elle efface immédiatement et sans retour l'ensemble des données du compte, y compris les accès de connexion du gérant et de tous ses employés. Il n'y a ni corbeille, ni délai de grâce, ni sauvegarde de courtoisie. Une seule trace subsiste, et elle est nommée : lorsqu'une étape de la suppression échoue et doit être reprise, l'incident est inscrit dans les journaux techniques du serveur avec les identifiants internes concernés. Ces journaux ne contiennent aucun nom, aucune commande, aucune fiche client, et ils sont effacés selon la politique de l'hébergeur.

Les commandes

Une commande, ses lignes et ses entrées d'historique sont effacées 3 ans après sa date de retrait, automatiquement, par un travail qui s'exécute chaque nuit.

Les photos de preuve de livraison

Une photo jointe au courriel qui annonce une livraison est effacée 3 mois après avoir été prise, automatiquement, par un travail qui s'exécute chaque nuit. Elle disparaît donc bien avant la commande à laquelle elle se rattache : passé ce délai, il ne reste ni le fichier, ni la mention de son existence sur la commande. Elle disparaît aussi, sans attendre les trois mois, lorsque la fiche du client est pseudonymisée ou lorsque le compte est supprimé : la commande cesse aussitôt d'y renvoyer, et le fichier lui-même part au balayage de la nuit suivante. Nous l'écrivons ainsi plutôt que d'écrire « immédiatement » : un effacement en base n'emporte pas un fichier, et une photo peut donc survivre quelques heures à la suppression du compte, sans que personne puisse l'atteindre entre-temps. Le même courriel reste chez le client, avec sa pièce jointe : une fois remis, il ne dépend plus de notemie, et c'est aussi ce qui fait de cette photo une preuve utile à la boulangerie comme au client.

Les fiches clients

Une fiche créée il y a plus de 3 ans, qui ne porte plus aucune commande une fois les anciennes effacées et qui ne porte plus aucune commande récurrente en cours, est pseudonymisée par le même travail : son nom ou sa raison sociale, son prénom, son téléphone, son adresse email, son adresse de livraison et ses coordonnées de facturation (adresse, SIREN, numéro de TVA) sont effacés, ses éventuels brouillons de facture et de devis sont supprimés, ses devis déjà validés perdent son nom, son adresse et le lieu de l'événement, et la fiche affiche « Client effacé ». Une fiche récente, ou qui porte encore une série en cours, est laissée en l'état.

Les factures

Une facture validée est conservée dix ans à compter de la clôture de l'exercice auquel elle se rattache, et non dix ans à compter de sa date : une facture de janvier 2026, pour une boulangerie dont l'exercice se clôt le 31 décembre, se conserve jusqu'à la fin de 2036. Cette durée est celle que l'article L123-22 du code de commerce impose à la boulangerie, et notemie la conserve pour son compte et sur son instruction, jamais pour son propre usage. Elle vaut à l'identique pour la facture d'un particulier : une facture est une pièce comptable quel que soit son destinataire, et dix ans restent dix ans. Ces factures sont conservées à part des données courantes, dans un espace qui leur est propre, dont la lecture est réservée aux membres que le gérant a autorisés à la facturation et où plus aucune modification n'est possible : c'est ce que la CNIL appelle un archivage intermédiaire. Les commandes qui ont servi à l'établir sont, elles, effacées à 3 ans comme toutes les autres : la facture leur survit, avec les lignes qu'elle avait figées. Un brouillon de facture ne bénéficie d'aucune de ces durées : il n'est pas une pièce comptable et se supprime à la demande.

Les devis

Un devis, ses lignes et les informations qu'il a figées sur le client sont effacés 3 ans après la date de l'événement, par le même travail nocturne que les commandes, et sur sa date d'émission lorsqu'aucune date d'événement n'a été saisie. Cette durée est la même que celle des commandes, et ce n'est pas un hasard : un devis et la commande qu'il fait naître portent la même date et la même matière, et il serait absurde que le devis survive à la commande qu'il justifie. Aucune conservation de dix ans ne s'applique ici : un devis n'est pas une pièce comptable, l'article L123-22 du code de commerce ne le vise pas, et l'article 17.3.b du RGPD ne l'exempte donc pas du droit à l'effacement. La facture éventuellement établie ensuite, elle, suit sa propre règle ci-dessus. Un brouillon de devis se supprime à tout moment, et il est supprimé d'office lorsque la fiche du client est neutralisée.

Le compte de connexion d'un client professionnel

Supprimé après 3 ans sans connexion, par le même travail nocturne, ou à tout moment par la personne elle-même, depuis l'espace en ligne, « Supprimer mon accès ». Sa suppression n'efface ni la fiche ni les commandes que ses boulangeries conservent : elles leur appartiennent aussi.

Un abonnement qui n'est plus payé gèle le compte, et voici exactement ce que cela veut dire. Le serveur bloque toutes les écritures. L'application, elle, n'affiche plus qu'un écran « Abonnement inactif » : les autres écrans ne sont plus atteignables et aucune donnée n'y est chargée, la consultation est donc suspendue tant que le compte est gelé. Depuis cet écran, le gérant garde deux issues, renouveler son abonnement ou supprimer son compte. Le gel ne supprime rien : tout est conservé en l'état et redevient consultable dès que l'abonnement reprend. Seule la suppression du compte efface.

9. Vos droits, et à qui les adresser

Si vous utilisez notemie (gérant ou employé)

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Un gérant peut rectifier lui-même les fiches de ses employés et supprimer son compte depuis l'application, sans avoir à écrire à qui que ce soit. Pour le reste, écrivez à contact@notemie.fr.

La suppression du compte peut aussi être demandée sans installer l'application, et c'est le seul chemin ouvert à un employé : la page Supprimer mon compte dit qui peut demander quoi, ce qui est effacé, ce qui subsiste et sous quel délai.

Si vous êtes client d'une boulangerie

Adressez-vous à votre boulangerie, et non à notemie : c'est elle qui décide de ce qu'elle conserve à votre sujet, et notemie n'a pas le droit d'y toucher de sa propre initiative. notemie assiste la boulangerie pour qu'elle puisse répondre, dans les conditions prévues par le contrat de sous-traitance.

Voici ce que le logiciel permet réellement, pour que personne ne promette autre chose :

• Une fiche qui n'a jamais servi à aucune commande se supprime entièrement, depuis l'application, en un geste.
• Une fiche qui porte une facture ne se supprime jamais, qu'elle soit celle d'un professionnel ou celle d'un particulier, et même lorsque ses commandes ont disparu au bout de 3 ans et qu'elle paraît vide : la suppression est refusée, pour que la facture ne s'efface pas avec elle. Cette fiche se pseudonymise, comme celles qui portent des commandes.
• Une fiche qui porte des commandes ne se supprime pas : elle se pseudonymise. Le prénom, le nom ou la raison sociale, le numéro de téléphone, l'adresse email, l'adresse de livraison et les coordonnées de facturation (adresse, SIREN, numéro de TVA) sont effacés, ainsi que le texte libre des demandes en attente ou refusées, qui n'ont jamais donné lieu à une vente, et les brouillons de facture, qui ne sont pas des pièces comptables. La fiche affiche alors « Client effacé ». Ce geste n'existe pas encore comme bouton dans l'application : il est exécuté par l'éditeur sur demande écrite de la boulangerie, à l'adresse contact@notemie.fr.
• Ce que la pseudonymisation n'efface pas : le nom du client figé sur ses commandes, sur toutes ses commandes, et le texte libre des commandes qui ont donné lieu à une vente. Ils font partie de ce qui a été commandé, préparé et vendu, et une commande sans nom ne serait plus rattachable à rien. Ils disparaissent avec la commande elle-même, 3 ans après sa date de retrait.
• Elle n'efface pas non plus ce qu'une facture validée a figé : le nom ou la raison sociale, l'adresse de facturation, et pour un professionnel le SIREN et le numéro de TVA, tels qu'ils étaient au jour de la facture. Une facture est une pièce comptable que la boulangerie doit conserver dix ans, et l'article 17.3.b du RGPD écarte le droit à l'effacement lorsque la conservation est imposée par la loi. Ces informations disparaissent avec la facture elle-même, au terme de ces dix ans, ou plus tôt si la boulangerie supprime son compte notemie. Rien d'autre du client n'y figure : ni son téléphone, ni son adresse email, ni aucun texte libre.
• Cette limite vaut désormais pour un particulier, et elle est écrite en toutes lettres plutôt que laissée à découvrir. Si votre boulangerie vous a établi une facture, demander l'effacement de vos données ne l'effacera pas. Ce que vous obtenez est réel, mais borné : votre fiche est neutralisée, vous sortez du fichier actif de la boulangerie, votre numéro de téléphone et votre adresse email disparaissent, et vous ne recevez plus rien. La facture, elle, reste dans l'archive comptable, avec le nom et l'adresse qu'elle portait ce jour-là, jusqu'au terme des dix ans. Sortir du fichier actif n'est pas sortir de l'archive comptable, et aucune boulangerie ne peut vous promettre l'inverse : c'est la loi qui lui impose de conserver cette pièce, ce n'est pas notemie qui le décide.
• Un devis, lui, est bel et bien effacé, et c'est exactement l'inverse d'une facture. Aucune loi n'impose de le conserver, donc l'article 17.3.b ne s'y applique pas : vos brouillons de devis sont supprimés, et vos devis déjà validés perdent votre nom, votre adresse de facturation et le lieu de l'événement. Ce qui subsiste est un document sans identité, des montants et des dates, effacé à son tour 3 ans après la date de l'événement. La seule chose qui survit est la commande née de ce devis, avec le nom figé dessus, et elle suit la règle des commandes, un point plus haut.
• Une fiche qui porte une commande récurrente encore en cours ne peut pas être pseudonymisée : la série continuerait de produire de nouvelles données à chaque échéance. Il faut d'abord l'arrêter : une fois sa dernière date passée, elle n'engendre plus rien et ne retient plus la fiche. Une série arrivée d'elle-même à son terme ne la retient pas davantage.
• La case « Ne pas contacter » répond au droit d'opposition aux messages groupés, et son effet est immédiat et définitif.
• Le compte de connexion à l'espace en ligne, pour un client professionnel qui en a un, se supprime depuis l'espace lui-même, « Supprimer mon accès », immédiatement et sans écrire à personne. La fiche et les commandes restent chez chacune de ses boulangeries, et tant qu'une boulangerie garde l'accès de sa fiche ouvert, une nouvelle inscription avec la même adresse retrouve le même accès.

Réclamation

Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.

10. Sécurité

Les mesures ci-dessous sont en place, et elles sont décrites parce qu'elles existent :

• Cloisonnement entre comptes imposé par la base de données, sur les vingt-deux tables du service. Une boulangerie ne peut lire ni écrire les données d'une autre, même par un appel direct à l'interface de programmation en dehors de l'application.
• Les règles métier sensibles sont vérifiées côté serveur, jamais seulement à l'écran : l'état de l'abonnement, les autorisations des employés, la propriété d'une commande. Ce que l'application affiche n'est jamais ce qui décide.
• Chiffrement des communications en transit (HTTPS) entre les appareils, le site et les serveurs. Ce n'est pas un chiffrement de bout en bout, et il ne faut pas le lire comme tel : l'hébergeur de la base déchiffre les données pour les traiter, et c'est précisément ce qui permet au serveur d'appliquer lui-même les règles décrites plus haut.
• Mots de passe conservés sous forme de condensat, illisibles y compris par l'éditeur.
• Écritures les plus sensibles réservées à des fonctions serveur nommées, chacune avec sa règle et sa trace, plutôt qu'ouvertes à l'application.
• Sur Android, la sauvegarde automatique des fichiers de l'application vers le compte Google de l'utilisateur est désactivée, pour que le jeton de session ne quitte pas l'appareil.

En cas de violation de données susceptible d'engendrer un risque pour les personnes, notemie notifie la boulangerie concernée dans les meilleurs délais et au plus tard sous 72 heures après en avoir eu connaissance.

11. Modifications de cette page

Cette politique peut évoluer avec le service. La version en vigueur est celle publiée ici, et sa date figure en haut de la page : c'est en la consultant que l'on constate un changement. L'application n'avertit aujourd'hui personne d'une modification, aucun mécanisme de ce genre n'existe, et cette page ne le promet donc pas. La date et la version des conditions acceptées à l'inscription sont en revanche enregistrées par le serveur pour chaque compte, ce qui permet de savoir quelle version a été acceptée. Si un avertissement dans l'application est ajouté un jour, cette page le dira à ce moment-là et pas avant.