Politique de confidentialité

Le responsable du traitement, c'est moi, Kevin Sayrignac, éditeur du site (voir les mentions légales). Pour toute question ou demande sur vos données : contact indiqué dans les mentions légales.

Les montants que vous saisissez et le formulaire final se traitent dans votre navigateur. Le PDF rempli est généré sur votre appareil et n'est jamais envoyé par le site. Une copie chiffrée de votre déclaration est en revanche mise de côté sur nos serveurs pendant que vous la remplissez, même sans compte, pour que vous la retrouviez si quelque chose se passe mal : c'est le point 3 bis, et vous pouvez vous y opposer. À noter : le téléchargement du PDF demande de créer un compte, et votre déclaration y est alors enregistrée durablement (point 3).

Si vous cochez la case d'accord, chaque document déposé (certificat de salaire, certificat d'assurance...) est transmis à Anthropic, notre sous-traitant d'analyse (États-Unis, hors Union européenne), le temps d'en extraire les montants. Ce sous-traitant ne les utilise pas pour entraîner ses modèles et les supprime au plus tard sous 30 jours, conformément à ses conditions commerciales. Sans cette case, rien n'est envoyé pour lecture : vous saisissez les montants à la main. La conservation éventuelle de vos documents dans votre espace est un sujet distinct, décrit au point 3.

Base légale : votre consentement, donné avant le premier envoi et retirable à tout moment (la case se décoche).

Avec un compte, votre déclaration est enregistrée pour y revenir plus tard et la retrouver d'une année sur l'autre : chiffrée (AES-256-GCM, clé de chiffrement conservée hors de la base de données), sur des serveurs dans l'Union européenne (Francfort). C'est le service que le compte rend ; l'enregistrement se fait quand vous sauvegardez, et automatiquement à l'étape finale quand vous êtes connecté.

Les documents que vous déposez (certificats, fiches de salaire...) suivent la même logique. Sans compte, rien n'est conservé : ils restent sur votre appareil. Avec votre compte, chaque document est chiffré sur votre appareil avant l'envoi (AES-256, une clé par fichier, elle-même chiffrée avec une clé que Fillo garde hors de la base de données) et conservé sur les mêmes serveurs (Francfort), pour finir votre dossier plus tard et les retélécharger, même des années après.

Déclarations et documents sont conservés tant que votre compte existe, supprimés immédiatement si vous les supprimez depuis « Mon espace », et la suppression du compte efface tout (profil, déclarations et documents). Il n'y a pas de suppression automatique au bout d'un délai : c'est un choix assumé, pour que vous retrouviez vos déclarations d'une année sur l'autre. Vous gardez la main à tout moment pour tout effacer vous-même.

Base légale : l'exécution du service que vous demandez en créant votre compte.

Pendant que vous remplissez votre déclaration, une copie chiffrée en est mise de côté sur nos serveurs, dans l'Union européenne (Francfort), sans attendre que vous ayez un compte. Elle sert à une seule chose : que vous ne perdiez pas votre travail. Sans elle, une connexion qui échoue au dernier moment, un téléphone changé ou un navigateur vidé effacent une déclaration entière.

Elle porte votre adresse email dès que vous l'avez donnée, et c'est ce qui vous permet de récupérer votre travail depuis un autre appareil : il suffit de vous connecter avec cette adresse. Sans elle, une déclaration commencée sur un ordinateur serait perdue pour le téléphone qui la reprendrait.

Cet identifiant s'écrit même si vous refusez la mesure d'audience : il fait partie de ce qui fait fonctionner l'outil, au même titre que votre déclaration en cours. Refuser la mesure ne doit pas vous coûter votre travail, ce sont deux questions sans rapport.

Elle est supprimée automatiquement six mois après votre dernière modification. Si vous créez votre compte entre-temps, elle y est rattachée et devient la sauvegarde décrite au point 3, que vous gardez et supprimez comme vous voulez.

Base légale : notre intérêt légitime à ne pas vous faire perdre le travail que vous venez de faire.

Vous pouvez vous opposer à cette copie de sauvegarde, sans que cela vous empêche d'utiliser l'outil. Le bouton se trouve sur le premier écran de la déclaration, sous « Le compte, seulement à la fin » : il supprime aussitôt les copies déjà mises de côté et empêche qu'il en reparte. Vous pouvez revenir sur ce choix au même endroit.

Vous pouvez aussi nous écrire au contact indiqué dans les mentions légales : votre adresse nous permet de retrouver la copie et de la supprimer.

Plusieurs endroits du parcours proposent que je vous recontacte, toujours via une case à cocher, jamais cochée d'avance. La case reste facultative : si vous la cochez, un numéro de téléphone est demandé, car c'est ce qui permet de vous rappeler ; si vous ne la cochez pas, aucune de ces informations n'est transmise et vous utilisez l'outil normalement. Ce qui est transmis dépend de l'endroit où vous cochez la case. Depuis l'analyse d'une ancienne déclaration ou d'un bulletin d'impôt : votre email, votre numéro le cas échéant, l'année concernée et la déduction qui vous intéresse ; rien d'autre (votre dossier n'existe pas à cet endroit). Depuis l'écran des optimisations du parcours : s'y ajoutent vos nom, prénom, adresse et âge, tels que saisis dans votre dossier ; ils servent à préparer le rendez-vous (un devis auto ou habitation demande une adresse, la prévoyance dépend de l'âge). Au moment du téléchargement de votre déclaration : s'y ajoutent votre situation familiale (couple, nombre d'enfants), votre revenu brut annuel (par personne pour un couple), votre résidence fiscale (résident ou frontalier), votre logement (locataire ou propriétaire, prêt en cours ou non), vos sources de revenus (salaire, pension, capitaux, location, activité libérale, revenus étrangers) et le résumé de vos déductions (montants utilisés, plafonds, marges et économies d'impôt estimées par levier, avec le score global d'optimisation). Jamais votre déclaration complète ligne à ligne, jamais vos documents : ces informations ne sont transmises que si vous cochez la case, et uniquement à moi.

Cette demande sert uniquement à ce que je vous rappelle ; elle déclenche une notification par email (via Resend, notre sous-traitant d'envoi). Ces données ne sont jamais vendues ni transmises à d'autres fins. Elles sont conservées le temps nécessaire au suivi de votre demande, puis supprimées ; vous pouvez à tout moment en demander la suppression (voir « Vos droits ») ou supprimer votre compte, ce qui les efface. Décocher la case avant de générer à nouveau retire la demande.

Base légale : votre consentement, exprimé par la case à cocher au moment de la demande.

Le téléchargement de votre déclaration demande votre email : il crée votre espace Fillo (pour retrouver votre déclaration l'an prochain) et vous envoie un lien de connexion. Il signale aussi, en interne, qu'une déclaration a été terminée. Sans la case d'accord décrite au point 4, cet email ne sert pas à vous démarcher.

La connexion se fait par lien envoyé à votre email (pas de mot de passe), via Supabase. Seuls les cookies strictement nécessaires à cette session de connexion sont utilisés.

Base légale : l'exécution du service que vous demandez (création de l'espace, envoi du lien de connexion) et notre intérêt légitime pour la notification interne, qui n'est jamais utilisée pour vous démarcher sans la case décrite au point 4.

Nos rappels par email couvrent les échéances fiscales à ne pas manquer et les nouveautés de l'outil. Deux chemins y mènent, et chacun a sa règle.

Sans compte (un guide, le simulateur de potentiel) : uniquement si vous cochez la case dédiée, jamais cochée d'avance. Tant que vous ne la cochez pas, votre email ne sert jamais à ces envois.

Avec un compte (depuis le 20 juillet 2026) : la création de votre compte inclut ces rappels. L'écran de création vous en informe au moment même où vous saisissez votre adresse, et une case, jamais cochée d'avance, vous permet de les refuser à ce même moment. Ce sont des messages sur le service que vous utilisez déjà, jamais autre chose ; le premier email, envoyé à la création, contient déjà le lien pour ne plus rien recevoir. L'envoi se fait via Resend, notre sous-traitant d'envoi d'emails.

Ces rappels ne demandent jamais à être rappelé : cela passe seulement par la case de recontact, distincte, décrite au point 4. Les deux accords sont séparés ; ni la case rappels ni la création d'un compte n'impliquent jamais le recontact.

Vous pouvez sortir des rappels à tout moment, par le lien de désinscription présent dans chaque email (il fonctionne sans compte ni connexion) ou depuis « Mon espace ». Le retrait prend effet tout de suite et ne change rien au reste de votre utilisation de l'outil. La version exacte du texte que vous avez accepté (ou qui vous a été présenté à la création du compte) et sa date sont enregistrées : si ce texte évolue, votre situation reste rattachée à la version que vous aviez sous les yeux.

Base légale : sans compte, votre consentement, exprimé par la case à cocher ; avec un compte, l'exception dite « clients existants » de la directive vie privée et communications électroniques (article 13, paragraphe 2) : des messages sur notre propre service, annoncés au moment de la collecte de votre adresse, avec une opposition possible dès cette collecte (la case de refus), puis à tout moment et sans frais.

Au bas de chaque guide, vous pouvez nous signaler une erreur ou une imprécision. Ce que vous écrivez dans ce message nous est transmis pour vérifier et corriger le contenu. Nous vous demandons de n'y indiquer aucune donnée personnelle ni chiffre fiscal (matricule, revenus) : seul le texte du guide est concerné.

L'email est facultatif : vous ne le laissez que si vous souhaitez une réponse, via une case dédiée jamais cochée d'avance. Sans email, votre signalement reste anonyme. Si vous le laissez, il ne sert qu'à vous répondre sur ce point, jamais à vous démarcher. Le message est transmis par email (via Resend, notre sous-traitant d'envoi) et conservé le temps de traiter le signalement puis de vérifier la correction ; vous pouvez en demander la suppression (voir « Vos droits »).

Base légale : notre intérêt légitime à corriger l'outil pour le signalement lui-même ; votre consentement pour la réponse par email, si vous la demandez.

Fillo garde quelques informations dans la mémoire de votre navigateur. Celles que l'outil écrit lui-même portent le préfixe « fillo- », et vous pouvez les consulter et les effacer vous-même. Une seule d'entre elles est envoyée à nos serveurs, l'identifiant de votre copie de sauvegarde, et c'est justement ce qui permet de vous la rendre (point 3 bis) ; toutes les autres restent chez vous. Elles se rangent en quatre familles ; pour chacune, ce à quoi elle sert, combien de temps elle reste, et qui la reçoit.

• Ce qui fait fonctionner l'outil. Votre déclaration en cours, pour la retrouver si vous fermez l'onglet : c'est la seule de toutes ces informations qui contienne vos chiffres et votre identité. S'y ajoutent les montants affichés dans « Mon espace », pour ne pas vous les faire attendre, un simple compteur des pages vues depuis le début de votre visite, qui évite de vous ouvrir une fenêtre sur votre première réponse FAQ et qui ne retient ni lesquelles ni quand, et deux écritures d'essai qui vérifient que votre navigateur accepte bien d'enregistrer quelque chose : sans elles, l'outil pourrait vous annoncer « Enregistré » alors que rien ne l'est. S'y ajoute l'identifiant de votre copie de sauvegarde (point 3 bis) : un tirage au hasard, qui ne dit rien de vous et ne contient aucun chiffre, mais qui est la seule clé permettant de vous rendre votre déclaration. Combien de temps : la déclaration reste tant que vous ne l'effacez pas, par « Repartir de zéro » ou en supprimant votre compte ; les montants partent à la déconnexion, le compteur à la fermeture de l'onglet, et les essais sont effacés dans la foulée. Qui la reçoit : personne, sauf l'identifiant de sauvegarde, qui va à nos serveurs pour y retrouver votre copie.
• Ce que vous avez choisi. Votre accord à la lecture automatique de vos documents, votre réponse à la question sur la mesure d'audience, votre demande éventuelle de ne pas être compté dans nos statistiques, le fait que la fenêtre des rappels vous ait déjà été présentée, sa date et le nombre de fermetures, et un refus de rappels que la connexion nous aurait empêché d'enregistrer. Aucune ne contient votre adresse ni votre nom. Combien de temps : jusqu'à ce que vous reveniez dessus, y compris après la fermeture de l'onglet. La fenêtre des rappels peut revenir après 24 heures ; trois fermetures entraînent une pause de 7 jours, puis le compteur repart de zéro au prochain affichage. Une inscription reconnue sur cet appareil empêche son retour. Votre accord à la lecture automatique vous survit donc d'une visite à l'autre, pour ne pas vous le redemander sur chaque écran de dépôt ; il ne vaut que pour le texte que vous avez accepté, et si ce texte change, la question vous est reposée. Décocher la case l'efface aussitôt, la demande de ne pas être compté s'annule par la même adresse en sens inverse, et le refus de rappels est rejoué à votre visite suivante puis effacé. Qui la reçoit : personne.
• La mesure d'audience. Un numéro de visite, tiré au hasard, qui ne dit rien de vous : il sert à ce que vos six pages comptent pour une visite et non pour six personnes. Il ne porte pas le préfixe « fillo- » mais « ph_ », parce qu'il vient de PostHog et non de nous. Si vous avez accepté, s'y ajoutent les mêmes informations mais qui vous survivent, et c'est ce qui autorise l'enregistrement d'écran. Combien de temps : le numéro de visite disparaît quand vous fermez l'onglet ; ce que vous avez accepté dure jusqu'à ce que vous refusiez, et un refus efface tout sur-le-champ. C'est la différence exacte entre accepter et ne rien dire : ce qui survit à la fermeture de l'onglet. Qui la reçoit : PostHog, notre outil de mesure, décrit au point suivant.
• Votre session, si vous avez un compte. Les cookies qui vous maintiennent connecté, décrits au point 5. Combien de temps : le temps de votre session, et la déconnexion les retire. Qui les reçoit : Supabase, qui héberge les comptes.

Le détail clé par clé existe, il est simplement plus long que ce que cette page peut porter sans devenir illisible : votre navigateur vous le montre en entier, et le préfixe « fillo- » vous dit lesquelles viennent de nous.

Base légale : notre intérêt légitime au bon fonctionnement de l'outil, ces informations étant nécessaires au service que vous demandez ; votre consentement pour celle qui porte votre accord à la lecture automatique.

Pour le numéro de visite, c'est différent, et autant vous le dire clairement : il relève de l'exemption prévue pour la mesure d'audience. Elle nous dispense de vous demander votre accord à condition que nous restions dans ses limites, et nous y restons : ce numéro sert à nos seules statistiques, il ne vous suit sur aucun autre site, il n'est croisé avec rien, et il meurt avec l'onglet. Refuser le fait disparaître tout de même.

Pour améliorer l'outil, nous comptons les pages vues, les étapes atteintes dans le parcours, et les boutons par lesquels vous partez depuis la page d'accueil. Nous mesurons aussi le temps d'affichage des pages, leur temps de réaction et leur stabilité à l'écran. Ces mesures de performance ne contiennent ni le contenu de vos champs ni les détails des éléments affichés. Le comptage commence dès votre arrivée, sans que nous sachions qui vous êtes.

Ce que vous tapez dans la recherche des guides et de la FAQ nous est transmis, et c'est la seule chose que vous écrivez vous-même à nous arriver par cette voie. Elle sert à voir les questions auxquelles le site ne répond pas, ce qu'aucune autre mesure ne montre. Le texte part en minuscules, sans les accents, coupé à 60 signes, une seule fois par recherche et seulement quand vous arrêtez de taper. Il n'est rattaché ni à votre nom ni à un compte, et rien n'est écrit sur votre appareil pour cela. Merci de ne pas y saisir de données personnelles : le champ n'en a pas besoin pour trouver.

Tant que vous ne répondez pas, un numéro de visite est conservé dans l'onglet. Il permet de compter votre parcours comme une seule visite et disparaît à la fermeture de l'onglet. Aucun cookie de mesure n'est déposé.

Si vous refusez, ce numéro est effacé du stockage de l'onglet. Le comptage continue en mémoire, sans nouvelle écriture sur votre appareil. Vous n'êtes reconnu ni d'une visite à l'autre, ni d'une page chargée à la suivante.

Si vous acceptez, nous déposons un identifiant technique qui nous permet de savoir que vous revenez, et nous enregistrons votre navigation. Cet enregistrement rejoue les pages parcourues, les clics et les défilements, pour voir où le site n'est pas clair.

Depuis le 11 août 2026, cela comprend les écrans de la déclaration, ce qui n'était pas le cas avant. Si vous aviez déjà répondu à la question sur les cookies, nous vous la reposons : votre accord précédent ne portait pas là-dessus.

Dans ces écrans, ce que vous tapez dans un champ est masqué, votre matricule et les montants que vous saisissez n'apparaissent donc pas. Les montants que l'outil affiche lui-même, par exemple dans le récapitulatif avant génération, sont en revanche visibles dans l'enregistrement. Nous préférons vous le dire plutôt que de vous laisser le supposer.

Votre espace, le dépôt de documents et la connexion ne sont jamais enregistrés, que vous ayez accepté ou non. Ce n'est pas un masquage : l'enregistrement n'y démarre pas.

Vous pouvez revenir sur votre réponse à tout moment, ici même ou depuis la page Vos cookies, qui porte le même choix sous forme de cases à cocher.

Nous utilisons pour cela PostHog. Ses données sont hébergées dans l'Union européenne, à Francfort, mais la société qui les traite est établie aux États-Unis. Ce transfert est encadré par les clauses contractuelles types prévues par le RGPD.

Base légale : votre consentement pour le stockage qui survit à la visite et pour l'enregistrement de votre navigation ; notre intérêt légitime pour le comptage et la mesure de performance, auxquels vous pouvez vous opposer. Le numéro temporaire dans l'onglet repose sur l'exemption de consentement pour la mesure d'audience.

Pas de cookies publicitaires, pas de pistage entre sites, pas de profilage publicitaire, pas de revente de données. La seule mesure d'audience est celle décrite ci-dessus, et elle ne sert qu'à nous : personne ne vous suit sur d'autres sites depuis celui-ci.

Vercel (hébergement du site, États-Unis), Supabase (base de données et stockage des documents, Union européenne, Francfort), Anthropic (lecture automatique des documents, États-Unis), Resend (envoi d'emails, États-Unis), PostHog (mesure d'audience, données hébergées à Francfort, société établie aux États-Unis). Les transferts hors Union européenne sont encadrés par les mécanismes prévus par le RGPD (clauses contractuelles types).

Un service de plus intervient dès que vous ouvrez la page de prise de rendez-vous : Cal.com, l'outil qui affiche le calendrier. Celui-ci est intégré à la page, donc votre navigateur contacte Cal.com dès son ouverture, avant même que vous réserviez quoi que ce soit. Sur les autres pages du site, Cal.com n'est jamais contacté.

Quand vous réservez un créneau depuis l'outil et que vous avez coché la case de recontact décrite au point 4, votre nom, votre email et le motif que vous avez choisi pré-remplissent la réservation chez Cal.com, pour vous éviter de les ressaisir. Sans cette case, le lien de réservation ne transmet aucune de ces informations. Tout transfert éventuel hors de l'Union européenne est, là aussi, encadré par les mécanismes prévus par le RGPD.

Vous pouvez demander l'accès à vos données, leur rectification, leur suppression, la limitation du traitement, leur portabilité, et retirer un consentement à tout moment. Le plus rapide : la suppression d'une déclaration, d'un document ou du compte entier se fait directement depuis « Mon espace ». Pour le reste, écrivez au contact des mentions légales.

Vous pouvez aussi vous opposer aux traitements que nous fondons sur notre intérêt légitime, dont le comptage et la mesure de performance. Pour exercer ce droit, écrivez au contact des mentions légales. Le refus du bandeau retire le stockage de mesure et l'enregistrement de votre navigation ; le comptage en mémoire continue, comme décrit dans la section La mesure d'audience.

Quand vous supprimez votre compte, vous recevez un e-mail qui confirme ce qui a été effacé, pour que vous en gardiez une trace écrite. Si cet e-mail n'arrive pas, la suppression a quand même eu lieu : elle ne dépend pas de son envoi.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNPD (Commission nationale pour la protection des données, Luxembourg) : cnpd.lu.