---
title: "Politique de confidentialité — React Box"
description: "Comment React Box collecte, utilise, héberge et protège vos données personnelles, et comment exercer vos droits."
url: https://www.react-box.com/fr/legal/privacy
lang: fr
---

Dernière mise à jour : octobre 2026

# Politique de confidentialité

Chez React Box, nous prenons la protection de vos données personnelles très au sérieux. Cette politique explique quelles données sont traitées, à quel titre, comment elles sont utilisées, où elles sont hébergées et quels sont vos droits au regard de la loi marocaine n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel.

## Responsable de traitement et DPO

Le responsable de traitement est React Consulting SARL AU, éditeur de React Box, ICE 003399449000060, dont le siège est situé Boulevard My Hassan 1er, Imm Siam Block A, 3ème N10, Marrakech, Maroc. Vous pouvez contacter notre délégué à la protection des données (DPO) à l'adresse dpo@react-box.com.

## Notre rôle : responsable de traitement et sous-traitant

React Box agit en deux qualités distinctes. (1) Responsable de traitement pour les données nécessaires à la fourniture et à la commercialisation du service : comptes utilisateurs, organisations, abonnements et leur facturation, sécurité et journaux, notifications, mesure d'audience, support et exercice des droits. (2) Sous-traitant, au sens de la loi 09-08, pour les données de gestion et les documents qu'une organisation cliente (entreprise ou cabinet comptable) traite dans React Box : c'est elle qui en est responsable de traitement, et nous ne les traitons que sur ses instructions, jamais pour notre propre compte. Ces données sont hébergées en accès strictement privé ; nos équipes n'accèdent pas au contenu de vos documents, sauf nécessité technique documentée ou obligation légale. Une analyse automatisée par intelligence artificielle n'a lieu que dans trois cas, tous décidés par l'organisation : lorsqu'un utilisateur demande la numérisation (OCR) d'une pièce, lorsqu'il s'adresse à l'assistant Atlas, et lorsque l'organisation utilise son adresse e-mail de dépôt — chaque e-mail reçu y est alors trié automatiquement et ses pièces jointes comptables sont numérisées. Le résultat est toujours rendu à l'utilisateur pour validation. L'organisation cliente est seule responsable des contenus et des données qu'elle dépose ou traite dans React Box, ainsi que de l'usage qu'en font ses utilisateurs, dans les conditions prévues par les CGU.

## Données traitées

(A) Données dont React Consulting SARL AU est responsable : identité et compte des utilisateurs (nom, adresse e-mail, photo de profil, langue, mot de passe haché, paramètres de double authentification, comptes de connexion sociale) ; sessions et appareils (adresse IP, agent utilisateur, jeton de notification push, plateforme, nom de l'appareil et version de l'application) ; organisations (raison sociale, ICE, IF, RC, TP, adresse, logo, membres et rôles) ; abonnements, modules, crédit Atlas et factures d'abonnement ; journaux de sécurité et d'activité ; notifications et préférences ; consommation des fonctionnalités d'intelligence artificielle ; mesure d'audience ; demandes de support et d'exercice des droits ; clés d'API et autorisations OAuth accordées à des applications tierces (métadonnées, jamais la clé en clair). (B) Données traitées pour le compte des organisations clientes, qui en restent responsables : documents du coffre-fort et leurs métadonnées ; tiers — clients et fournisseurs — avec leur identité, ICE, IF, RC, TP, CNSS, coordonnées bancaires (IBAN/RIB), contacts et adresses, ainsi que, pour les seules personnes physiques et à titre facultatif, le numéro de carte nationale d'identité (CIN), masqué à l'affichage, réservé aux rôles autorisés et dont chaque consultation est journalisée ; comptes bancaires, relevés et pièces de recette ; factures de vente, avoirs, relances et factures d'achat ; plan comptable et imputations ; e-mails reçus sur l'adresse de dépôt de l'organisation (expéditeur, destinataires, objet, corps et pièces jointes) ; conversations, messages et demandes de documents ; conversations avec l'assistant Atlas ; liens de partage publics et journaux de leurs consultations.

## Finalités et bases légales

Les données de la catégorie (A) sont utilisées pour fournir le service et gérer votre abonnement (exécution du contrat), assurer la sécurité et la traçabilité (obligation légale et intérêt légitime), tenir notre comptabilité (obligation légale), vous adresser des notifications transactionnelles, par e-mail et par notification push (exécution du contrat), et améliorer le produit via la mesure d'audience (consentement). La mesure d'audience est opérée par PostHog : elle enregistre les pages consultées, les interactions avec l'interface et les erreurs rencontrées, et — sur les surfaces connectées uniquement (tableau de bord, compte, authentification) — un enregistrement de votre session de navigation. Sans votre consentement, seul un comptage anonyme des visites du site public est effectué : il repose sur un condensé calculé côté serveur, renouvelé chaque jour, sans cookie, sans stockage sur votre appareil et sans identifiant de personne. Les autres traitements de mesure ne sont activés qu'après votre consentement, recueilli dans la bannière de cookies sur le web et dans les réglages de l'application sur mobile, et peuvent être retirés à tout moment. Indépendamment de ce consentement, quelques événements métier — création de compte, création d'organisation, émission d'une facture, dépôt d'un document, résiliation d'abonnement, appel d'un outil par un agent — sont enregistrés depuis nos serveurs auprès de PostHog, avec l'identifiant de compte et d'organisation mais sans aucun contenu, pour suivre l'activité commerciale du service (intérêt légitime) ; vous pouvez vous y opposer en écrivant à notre DPO. Les données de la catégorie (B) sont traitées pour les finalités décidées par l'organisation cliente, qui en détermine la base légale.

## Hébergement et transferts

Les données sont stockées dans l'Union européenne : base de données Neon à Francfort, Allemagne (eu-central-1, AWS), fichiers sur Cloudflare R2 et canaux temps réel sur Cloudflare Durable Objects, tous deux restreints à la juridiction Union européenne, mesure d'audience sur l'infrastructure européenne de PostHog. L'application elle-même s'exécute sur le réseau mondial de Cloudflare Workers : chaque requête est traitée dans un centre de données proche de l'utilisateur, sans y être conservée. Certaines opérations quittent néanmoins l'Union européenne. (1) Cache mondial : des informations de validité de vos sessions de connexion (identifiant de session et de compte, état du compte, conservés 60 secondes) et les codes de vérification à usage unique sont conservés dans un cache réparti mondialement par Cloudflare (Workers KV), sans restriction de juridiction ; le contenu complet de vos sessions reste dans la base de données européenne. Le même cache conserve, 10 minutes au plus, les agrégats affichés par les tableaux de bord et les analyses d'une organisation (montants, noms de clients, de fournisseurs et d'expéditeurs des pièces en attente). (2) Notifications push : elles transitent par le service d'expédition d'Expo (650 Industries, Inc., États-Unis) puis par les passerelles d'Apple (APNs) et de Google (FCM), qui reçoivent le jeton de votre appareil et un texte générique — par exemple « Nouveau message » — qui ne contient ni nom de personne, ni nom d'organisation, ni intitulé de pièce ; le détail s'affiche à l'ouverture de l'application. (3) Connexion sociale : si vous choisissez de vous connecter avec Google, Apple ou Microsoft (États-Unis), ces sociétés reçoivent la demande d'authentification et nous transmettent votre identité (adresse e-mail, nom, photo de profil). (4) Cloudflare, Inc. et Neon, Inc. sont des sociétés de droit américain, susceptibles à ce titre de recevoir des demandes d'accès de leurs autorités, alors même que les données restent hébergées en Union européenne. La numérisation des pièces, le tri des e-mails reçus sur l'adresse de dépôt et l'assistant Atlas sont confiés à sference, service de Neural Compute Ltd (Royaume-Uni), calcul dans l'Espace économique européen, sans conservation des données : seuls le fichier, l'e-mail ou le message concerné lui sont transmis ; ils sont supprimés dès la réponse rendue et ne servent jamais à entraîner un modèle. Les transferts vers des pays figurant sur la liste des pays assurant une protection adéquate établie par la CNDP (délibération n° 236-2015), dont ceux liés à l'intelligence artificielle, font l'objet d'une déclaration auprès de la CNDP. Les transferts vers les États-Unis reposent sur votre consentement ou sur l'exécution du contrat, conformément à l'article 43 de la loi 09-08, et sont soumis à l'autorisation de la CNDP ; les engagements contractuels de protection des données de chaque sous-traitant les complètent. Vous êtes informé(e) de ces transferts à l'inscription et lors de la création de votre organisation ; vous pouvez éviter celui lié aux notifications push en les désactivant dans les réglages de l'application, celui lié à la connexion sociale en créant votre compte avec une adresse e-mail et un mot de passe, et ceux liés à l'intelligence artificielle en ne soumettant aucune pièce à la numérisation, en n'utilisant pas l'assistant Atlas et en n'activant pas l'adresse de dépôt.

## Sous-traitants techniques

Nous recourons aux sous-traitants suivants, tous tenus par des engagements contractuels de protection des données. (1) Cloudflare, Inc. — États-Unis : exécution de l'application sur son réseau mondial (Workers), canaux temps réel (Durable Objects, juridiction UE), stockage des fichiers (R2, juridiction UE), cache mondial des informations de validité de session, des codes de vérification et des agrégats des tableaux de bord (Workers KV), envoi des e-mails transactionnels et réception des e-mails adressés aux adresses de dépôt, vérification anti-robot des formulaires publics (Turnstile). Reçoit l'ensemble des données du service, y compris le contenu des fichiers. (2) Neon, Inc. — États-Unis, base de données hébergée à Francfort (eu-central-1, AWS) : comptes, organisations, données de gestion, métadonnées des documents, journaux. Ne reçoit pas le contenu des fichiers. (3) sference, service de Neural Compute Ltd — Royaume-Uni, calcul dans l'Espace économique européen : numérisation des pièces (OCR), tri des e-mails reçus, assistant Atlas et aide à la rédaction des réponses de notre support. Ne reçoit que les fichiers, e-mails et messages soumis à ces fonctionnalités (pour le support : l'adresse de l'expéditeur et des extraits de l'échange), sans conservation des données : ils sont supprimés dès la réponse rendue et ne servent jamais à entraîner un modèle. (4) PostHog — mesure d'audience, enregistrement de session et suivi des erreurs sur l'infrastructure européenne de l'éditeur. Sans consentement : un simple comptage anonyme des visites, sans cookie ni identifiant. Après consentement : pages consultées, interactions, erreurs, identifiant de compte et d'organisation. Ne reçoit pas le contenu de vos fichiers. (5) 650 Industries, Inc. (Expo) — États-Unis : expédition des notifications push. Reçoit le jeton de votre appareil et un texte générique, sans donnée identifiante. (6) Apple Inc. et Google LLC — États-Unis : passerelles de distribution des notifications push (APNs et FCM), destinataires des mêmes éléments. (7) Google LLC, Apple Inc. et Microsoft Corporation — États-Unis : connexion sociale, uniquement si vous choisissez ce mode d'authentification. (8) Have I Been Pwned (service Pwned Passwords) : lorsque vous choisissez un mot de passe, nous vérifions qu'il ne figure pas dans une fuite connue par la méthode dite de k-anonymat — seuls les cinq premiers caractères d'une empreinte SHA-1 du mot de passe sont transmis ; ni le mot de passe ni votre adresse e-mail ne quittent nos serveurs. L'authentification par adresse e-mail et mot de passe est assurée en interne par React Box. Cette liste est tenue à jour ; toute évolution est publiée sur cette page et, pour les organisations clientes, annoncée conformément à l'accord de sous-traitance.

## Durée de conservation

Les données de compte sont conservées tant que votre compte est actif ; un compte dont la suppression est demandée est effacé au terme d'un délai de 30 jours, pendant lequel la demande peut être annulée. Les documents et les données de gestion sont conservés sous la responsabilité de l'organisation, qui décide de leur suppression ; un document ou un tiers supprimé reste 30 jours dans la corbeille, puis est effacé définitivement. Les autres durées sont les suivantes : notifications lues, 6 mois ; notifications non lues, 12 mois ; conversations avec l'assistant Atlas, 30 jours après le dernier message ; journaux d'activité des documents et des organisations, 2 ans ; journal d'audit de la plateforme, 5 ans, l'adresse IP n'y figurant que sous forme d'empreinte non réversible ; preuves d'envoi des factures par e-mail, 5 ans ; données de consommation des fonctionnalités d'intelligence artificielle, 2 ans ; sessions expirées, 30 jours après leur expiration ; archives d'export de documents, 30 jours ; lien de téléchargement de l'export de vos données personnelles, 7 jours ; adresse IP et navigateur associés à une demande d'exercice de vos droits, 6 mois après son dépôt ; échanges avec nos adresses de contact (contact@, billing@, dpo@, security@), 3 ans après le dernier message. Lorsque votre compte est effacé, les messages que vous avez rédigés dans la messagerie sont remplacés par une mention de suppression, leurs fichiers joints sont effacés, et vos commentaires sur les documents sont supprimés. Les données d'une organisation suspendue sont conservées au moins 30 jours après la suspension et peuvent être supprimées définitivement à compter de cette échéance ; ses administrateurs peuvent les exporter jusqu'à leur suppression. Les factures d'abonnement émises par React Consulting SARL AU sont conservées 10 ans, conformément à nos obligations comptables et fiscales.

## Vos droits

Conformément à la loi 09-08, vous disposez d'un droit d'accès, de rectification et d'opposition, pour des motifs légitimes, au traitement de vos données personnelles ; nous donnons également suite, dans la mesure du possible, aux demandes de suppression, de limitation et de portabilité. Pour les exercer, écrivez à dpo@react-box.com ou utilisez notre formulaire en ligne (« Exercer mes droits », en pied de page). Pour les données traitées pour le compte d'une organisation — documents, tiers, factures, messages —, votre interlocuteur direct est l'entreprise ou le cabinet comptable concerné, responsable de traitement ; nous l'assistons pour vous répondre. Vous disposez également du droit de saisir la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP, www.cndp.ma).

## Cookies

Notre site utilise des cookies essentiels au fonctionnement (session, langue, préférences de consentement, préférences d'affichage) et, sous réserve de votre consentement explicite, des cookies de mesure d'audience. Vous pouvez à tout moment ajuster vos préférences via le lien « Préférences cookies » du pied de page. Voir notre politique de cookies pour le détail.

## Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS des échanges, chiffrement au repos (AES-256) côté Cloudflare R2, contrôle d'accès par rôles et permissions, authentification à deux facteurs (2FA) disponible, vérification des mots de passe contre les fuites connues, URLs signées à durée de vie courte (5 minutes en téléchargement, 15 minutes en téléversement), journalisation des actions effectuées sur vos documents et des consultations des données sensibles, masquage du numéro de CIN des tiers, principe de moindre accès — nos équipes n'accèdent pas au contenu de vos documents, sauf nécessité technique documentée ou obligation légale.

## Accès programmatique : clés d'API, OAuth et serveur MCP

Une organisation peut ouvrir ses données à des applications et à des agents automatisés de deux manières : en créant une clé d'API depuis ses paramètres, ou en autorisant une application tierce par le parcours OAuth, qui donne accès à notre serveur MCP. Ces deux mécanismes sont réservés aux administrateurs de l'organisation. Une clé ou une autorisation ne peut porter que sur les données de l'organisation qui l'a émise, dans la limite d'une liste d'opérations autorisées, et son usage est journalisé comme celui d'un utilisateur. Un agent ainsi autorisé peut lire les données de gestion de l'organisation et les métadonnées de son coffre-fort. Une clé se révoque à tout moment depuis les paramètres de l'organisation ; l'autorisation accordée à une application tierce se retire de la même manière. C'est à l'organisation qui délivre la clé qu'il revient de vérifier la fiabilité du destinataire.

## Partage d'un document par lien public

Un utilisateur disposant des droits nécessaires peut créer un lien public pointant vers un document de son coffre-fort, afin de le transmettre à un destinataire qui n'a pas de compte React Box. Tant qu'il n'est pas expiré ni révoqué, ce lien rend le document accessible à toute personne qui en dispose : il constitue une communication de données décidée par l'organisation, sous sa seule responsabilité. Chaque lien peut être assorti d'une date d'expiration et d'un mot de passe, et la page publique exige une vérification anti-robot. Nous conservons, pour chaque ouverture, la date, une empreinte non réversible de l'adresse IP, le pays et l'agent utilisateur du visiteur, afin de permettre à l'organisation de tracer les accès et de détecter un partage non souhaité. Un lien se révoque à tout moment, avec effet immédiat.

## E-mails envoyés pour le compte des organisations

À la demande d'une organisation, React Box envoie en son nom des e-mails à ses propres clients : factures, avoirs et relances de paiement. L'organisation reste responsable de ces traitements, notamment du choix des destinataires et de leur information. Chaque relance de paiement comporte un lien permettant à son destinataire de ne plus en recevoir ; l'organisation peut aussi suspendre les relances pour un client ou pour une facture.

## Déclaration auprès de la CNDP

Les traitements décrits dans la présente politique seront déclarés à la CNDP avant l'ouverture commerciale du service ; les numéros de récépissé et d'autorisation seront publiés ici.