La protection de vos données, notre priorité.

1. Qui est responsable du traitement ?

Le responsable du traitement est l'entité Expenséo qui détermine les finalités et les moyens du traitement de vos données personnelles dans le cadre du service ou de la relation concernée.

Pour les traitements dont elle détermine effectivement les finalités et les moyens, EXPENSEO LTD agit en qualité de responsable du traitement. Le rôle exact de chaque société du groupe et de chaque partenaire est déterminé traitement par traitement et documenté dans les accords applicables.

Le numéro d'immatriculation de la société auprès de Companies House n'a pas été communiqué et devra être ajouté aux mentions légales du site lorsque disponible.

Pour certains traitements, une autre société du groupe Expenséo ou un partenaire peut agir en qualité de responsable de traitement distinct ou de sous-traitant. Cette qualité doit être indiquée dans les documents contractuels et les informations remises aux personnes concernées.

2. Quelles données personnelles peuvent être traitées ?

Selon votre utilisation des services Expenséo, les catégories de données susceptibles d'être traitées peuvent notamment inclure :

Expenséo veille à limiter les données traitées à celles qui sont nécessaires aux finalités poursuivies. Les données particulières ou sensibles ne sont traitées que lorsqu'un fondement légal approprié et des garanties spécifiques le permettent.

3. Pourquoi utilisons-nous vos données ?

Les données peuvent être utilisées, selon le service et la relation concernés, pour :

• créer, administrer et sécuriser les comptes utilisateurs et entreprises ;
• fournir les fonctionnalités de gestion des dépenses, notes de frais, transactions, bénéficiaires, validations et pilotage ;
• exécuter les opérations demandées et assurer le suivi des demandes ;
• assurer le support client, la maintenance et l'amélioration des services ;
• prévenir les utilisations frauduleuses, les incidents de sécurité et les accès non autorisés ;
• respecter les obligations légales, réglementaires, comptables et contractuelles applicables ;
• communiquer des informations relatives au service et, lorsque la réglementation l'autorise, des communications commerciales.

Selon le traitement, la base légale peut être l'exécution d'un contrat, le respect d'une obligation légale, l'intérêt légitime d'Expenséo ou le consentement de la personne concernée. La base applicable doit être précisée pour chaque traitement dans le registre et les informations détaillées remises aux utilisateurs.

4. Combien de temps conservons-nous les données ?

Les données sont conservées pendant une durée limitée, proportionnée à la finalité du traitement, puis supprimées ou archivées lorsque leur conservation reste nécessaire pour répondre à une obligation légale ou défendre des droits en justice.

La politique de conservation proposée est la suivante, sous réserve des durées impératives prévues par les lois applicables dans chaque pays :

• Prospects : jusqu'à trois ans après le dernier contact actif, sauf opposition ou demande d'effacement recevable.
• Comptes clients et utilisateurs : pendant la relation contractuelle ; à sa clôture, les données nécessaires sont supprimées ou archivées avec accès restreint pendant les délais de prescription et obligations légales applicables.
• Pièces comptables, factures et justificatifs : pendant la durée imposée par la réglementation comptable et fiscale applicable à l'entité et au pays concernés.
• Données de transaction et de paiement : pendant la durée nécessaire à l'exécution, au rapprochement, à la gestion des contestations, à la lutte contre la fraude et au respect des obligations réglementaires applicables.
• Demandes au support : pendant le traitement de la demande, puis jusqu'à trois ans après sa clôture, sauf nécessité de conservation plus longue pour un litige ou une obligation légale.
• Journaux techniques et de sécurité : en principe jusqu'à douze mois, avec une durée plus longue uniquement lorsqu'un incident, une enquête ou une obligation le justifie.
• Cookies : selon la durée propre à chaque traceur, qui doit être indiquée dans le gestionnaire de consentement et la politique cookies.

À l'expiration de ces périodes, les données sont supprimées, anonymisées ou archivées avec des accès limités lorsque la loi l'exige. Les durées définitives doivent être vérifiées pays par pays avant mise en production.

5. Qui peut accéder aux données ?

L'accès aux données est limité aux personnes qui en ont besoin dans le cadre de leurs fonctions et aux destinataires autorisés. Il peut notamment s'agir :

• des équipes habilitées de l'entité Expenséo concernée ;
• des clients entreprises, pour les données des utilisateurs rattachés à leur organisation et dans les limites de leurs droits d'administration ;
• des prestataires techniques et sous-traitants intervenant pour l'hébergement, la maintenance, la communication ou le support ;
• des partenaires financiers ou de paiement, lorsque cela est nécessaire à l'exécution du service concerné ;
• des autorités compétentes, lorsque la loi l'exige.

Les prestataires qui agissent en qualité de sous-traitants sont encadrés par des engagements contractuels relatifs à la confidentialité, à la sécurité et au traitement des données.

Expenséo ne doit communiquer les données qu'aux prestataires et partenaires effectivement nécessaires à la fourniture du service. Les catégories susceptibles d'intervenir sont l'hébergement et l'infrastructure cloud, la maintenance et la sécurité informatique, l'envoi de courriels et notifications, l'assistance client, l'analyse technique, ainsi que les établissements et prestataires de paiement lorsque l'utilisateur active une fonctionnalité financière concernée.

Les entreprises clientes restent responsables des accès qu'elles accordent à leurs administrateurs et collaborateurs. Elles doivent utiliser les fonctions d'habilitation de manière proportionnée et informer leurs utilisateurs des traitements réalisés pour leur compte.

Une liste à jour des prestataires réellement utilisés, de leur rôle et, lorsque pertinent, de leur pays de traitement doit être tenue dans la documentation interne et communiquée aux personnes concernées lorsque la réglementation l'exige. Aucun partenaire ne doit être nommé sur cette page sans vérification contractuelle préalable.

6. Où sont hébergées les données ?

Les données peuvent être hébergées ou traitées dans différents pays en fonction de l'architecture technique et des prestataires retenus par Expenséo.

Lorsqu'un transfert de données personnelles hors de l'Espace économique européen est soumis au chapitre V du RGPD, Expenséo doit s'assurer qu'un mécanisme de transfert valable est mis en place, par exemple une décision d'adéquation ou des clauses contractuelles types accompagnées, si nécessaire, de mesures supplémentaires.

Avant tout recours à un prestataire situé hors du pays ou de la zone dans lesquels les données ont été collectées, Expenséo vérifie les règles applicables au transfert et met en place les garanties requises. Pour les transferts soumis au RGPD hors de l'Espace économique européen, ces garanties peuvent notamment reposer sur une décision d'adéquation, les clauses contractuelles types de la Commission européenne et, lorsque nécessaire, des mesures techniques ou organisationnelles complémentaires.

Pour les utilisateurs situés dans des pays africains, les transferts sont également encadrés par les textes nationaux applicables en matière de protection des données. Les pays d'hébergement, d'accès au support et de sauvegarde doivent être documentés et vérifiés avant le lancement de chaque service ou intégration.

Expenséo ne présente pas un pays comme lieu d'hébergement tant que cette information n'a pas été confirmée auprès de ses fournisseurs techniques.

7. Comment protégeons-nous vos données ?

Expenséo met en œuvre des mesures techniques et organisationnelles adaptées aux risques afin de préserver la confidentialité, l'intégrité et la disponibilité des données personnelles.

Les mesures précises dépendent des services utilisés et sont régulièrement réévaluées. Aucun système ne pouvant garantir une sécurité absolue, les dispositifs sont adaptés à l'évolution des risques.

8. Quels sont vos droits ?

Dans les conditions et limites prévues par la réglementation applicable, vous pouvez notamment disposer des droits suivants :

• Droit d'accès : obtenir la confirmation qu'un traitement est effectué et accéder à vos données ;
• Droit de rectification : demander la correction de données inexactes ou incomplètes ;
• Droit à l'effacement : demander la suppression de données lorsque les conditions légales sont réunies ;
• Droit à la limitation : demander, dans certains cas, la suspension temporaire de l'utilisation de données ;
• Droit d'opposition : vous opposer à certains traitements fondés sur l'intérêt légitime ou à la prospection ;
• Droit à la portabilité : recevoir certaines données dans un format structuré et couramment utilisé, lorsque ce droit s'applique ;
• Droit de retirer votre consentement : lorsque le traitement repose sur celui-ci, sans remettre en cause la licéité du traitement antérieur au retrait.

Pour exercer vos droits, contactez-nous à l'adresse indiquée ci-dessous. Nous pourrons vous demander des informations raisonnables permettant de vérifier votre identité et de traiter votre demande en toute sécurité.

Si vos données sont traitées dans le cadre du compte d'une entreprise cliente (par exemple des notes de frais, justificatifs ou validations), adressez-vous également à l'administrateur de votre organisation. Selon les circonstances, l'entreprise peut être responsable du traitement et Expenséo agir en qualité de sous-traitant. Expenséo transmettra la demande à l'entité compétente ou assistera le client entreprise conformément aux engagements applicables.

Nous répondons dans les délais prévus par la réglementation applicable. Lorsque la demande est complexe ou que plusieurs demandes sont reçues, une prolongation peut être possible dans les conditions prévues par la loi ; vous en serez informé.

Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle compétente de votre lieu de résidence, de votre lieu de travail ou du lieu où vous estimez qu'une violation a été commise. Dans l'Union européenne, les coordonnées des autorités sont disponibles auprès du Comité européen de la protection des données.

Pour toute question ou demande relative à vos données personnelles, vous pouvez contacter EXPENSEO LTD à l'adresse suivante : expenseosolution@gmail.com. Cette adresse est le point de contact communiqué par la société. Une adresse dédiée à la confidentialité pourra être mise en place ultérieurement, sans remplacer ce contact tant qu'elle n'est pas opérationnelle.

À la date de publication, ne mentionner un délégué à la protection des données (DPO) que si Expenséo en a formellement désigné un. Si aucun DPO n'est désigné, les demandes sont adressées au point de contact indiqué ci-dessus et traitées par l'équipe habilitée.

Pour les traitements soumis au droit britannique, l'autorité de contrôle est l'Information Commissioner's Office (ICO). Pour les traitements soumis au RGPD de l'Union européenne, les personnes peuvent saisir l'autorité de contrôle compétente dans leur pays de résidence habituelle, leur lieu de travail ou le lieu de l'éventuelle violation. En France, il s'agit de la CNIL. La détermination de l'autorité chef de file, lorsqu'elle est applicable, dépend de la structure réelle des établissements et des traitements d'Expenséo.

Site de l'ICO : ico.org.uk · Site de la CNIL : cnil.fr.

9. Cookies et technologies similaires

Le site et les services Expenséo peuvent utiliser des cookies ou technologies similaires nécessaires à leur fonctionnement, à la mesure d'audience ou à d'autres fonctionnalités.

Les traceurs non essentiels ne doivent être déposés qu'après le recueil du consentement lorsque la réglementation l'exige. Vous pouvez gérer vos choix depuis le mécanisme de gestion des cookies mis à disposition sur le site, lorsqu'il est activé.

La configuration des cookies doit suivre ces principes :

• les cookies strictement nécessaires au fonctionnement, à la sécurité et à la fourniture d'une fonctionnalité demandée peuvent être utilisés sans consentement lorsque la loi le permet ;
• les cookies de mesure d'audience non exemptés, de personnalisation non essentielle et de publicité ne sont déposés qu'après consentement lorsque celui-ci est requis ;
• le refus doit être aussi simple que l'acceptation et le choix doit pouvoir être modifié à tout moment ;
• les choix de consentement sont conservés afin de pouvoir en apporter la preuve.

Avant publication, l'équipe technique doit auditer les traceurs effectivement déposés sur le site et la plateforme, puis compléter le gestionnaire de consentement avec leur nom, fournisseur, finalité et durée. Ne pas déclarer qu'un outil est utilisé s'il n'est pas effectivement installé.

10. Nous contacter

Cette page peut être mise à jour afin de refléter l'évolution des services, des traitements ou des obligations applicables. La date de dernière mise à jour doit être indiquée lors de sa publication.

Dernière mise à jour : 21 octobre 2026.