Politique de confidentialité

Votre confidentialité est importante pour nous

Credia BV est une plateforme SaaS fintech basée à Bruxelles qui aide les PME belges à comparer les conditions de prêt en utilisant l'intelligence artificielle. Nous accordons une grande importance à votre confidentialité et nous assurons que vous avez une expérience positive sur notre plateforme. Cette politique de confidentialité explique comment nous collectons, utilisons et protégeons vos données personnelles conformément au Règlement général sur la protection des données (RGPD).

Quelles données nous collectons

Nous collectons les types de données personnelles suivants :

• Adresse e-mail : Utilisée pour l'authentification du compte et la communication.
• Hachage de l'adresse IP : Pour la sécurité et la détection de fraude, nous hachons votre adresse IP à l'aide de HMAC-SHA256 avec un secret côté serveur. Nous ne stockons pas votre adresse IP réelle. Uniquement le résultat du hachage. Le hachage est utilisé pour détecter les schémas de connexion suspects et les abus. Le secret de hachage est stocké de manière sécurisée (jamais journalisé) et renouvelé périodiquement. Les adresses IP hachées sont conservées 30 jours puis supprimées.
• Informations sur l'appareil (collectées automatiquement) : Type de navigateur, version du système d'exploitation et résolution d'écran pour la sécurité et l'optimisation de la plateforme. Nous ne collectons pas d'identifiants matériels (IMEI, numéros de série), d'identifiants publicitaires ni de données de fingerprinting du navigateur.
• Données d'utilisation : Interactions avec la plateforme, fonctionnalités utilisées et horodatages pour améliorer notre service.
• Documents téléchargés : PDF d'offres de prêt contenant les noms d'emprunteurs, les noms de banques, les numéros de TVA et les montants de prêts pour l'analyse.
• Données extraites : champs standardisés automatiquement extraits de vos documents (marges, frais, clauses, durée et autres caractéristiques de prêt).

Minimisation des données : Nous ne collectons que les données nécessaires au fonctionnement du service ou aux finalités légitimes énoncées ci-dessus. Vous pouvez contacter privacy@credia.pro pour vous renseigner sur la désinscription de la collecte de données non essentielles.

Comment nous utilisons vos données

Nous utilisons vos données personnelles aux fins suivantes :

• Gestion de compte et communication : Envoyer des mises à jour de service, répondre aux demandes d'assistance et vous informer des changements.
• Analyser les offres de prêt et fournir les résultats d'extraction : Extraire les champs standardisés de vos documents et les présenter de manière structurée.
• Améliorer notre service : Nous utilisons des informations anonymisées et agrégées pour affiner la précision de notre extraction et notre analyse comparative. Nous n'utilisons jamais vos documents ni vos données extraites pour entraîner le modèle Claude d'Anthropic ou tout autre modèle d'IA.
• Générer des rapports de benchmarking : Comparer vos conditions de prêt avec des données de marché pseudonymisées pour fournir un scoring et des recommandations.
• Renseignement de marché et produits de données : utilisation de données anonymisées et agrégées (qui ne contiennent pas de données personnelles conformément au considérant 26 du RGPD) pour produire des rapports de benchmark, des produits de renseignement de marché et des analyses statistiques pour des tiers. Aucun utilisateur ou transaction individuel n'est identifiable dans ces produits. Vous pouvez vous désabonner de la contribution aux ensembles de données agrégées à tout moment via Paramètres > Centre de confidentialité ou en contactant privacy@credia.pro.

Base juridique du traitement

Nous traitons vos données personnelles sur la base des fondements juridiques suivants en vertu de l'article 6 du RGPD : (1) Exécution d'un contrat (Article 6(1)(b)) pour l'extraction et l'analyse de term sheets par IA, (2) Intérêt légitime (Article 6(1)(f)) pour les comparaisons de benchmarks, l'amélioration du service et la production de produits de renseignement de marché anonymisés (voir Section 3), et (3) Consentement (Article 6(1)(a)) uniquement pour les communications marketing futures. Vous pouvez retirer votre consentement aux e-mails marketing à tout moment sans affecter les autres traitements. Remarque : les produits de données anonymisées et agrégées ne constituent pas un traitement de données personnelles (RGPD Considérant 26) et ne sont donc pas soumis au retrait du consentement, bien que vous puissiez vous désabonner des futures contributions de données.

Traitement par l'IA et responsables du traitement

Nous utilisons les tiers suivants pour fournir notre analyse alimentée par l'IA. Tous les responsables du traitement ont des Contrats de traitement des données (DPA) avec des Clauses contractuelles types (CCT) en place :

• Anthropic (Claude API) – Anthropic (Claude API) : Traite vos term sheets pour l'extraction. Situé aux États-Unis. Notre accord de traitement des données avec Anthropic (conforme à l'art. 28 RGPD) interdit explicitement l'utilisation de vos données pour l'entraînement de modèles. Toutes les données sont supprimées dans les 30 jours suivant le traitement. Cette restriction est contractuellement contraignante. DPA disponible sur demande à privacy@credia.pro.
• Vercel – Vercel : Héberge notre application frontend. Situé aux États-Unis. Des Clauses contractuelles types s'appliquent.
• Neon – Neon : Fournit l'hébergement de base de données pour l'outil gratuit. Situé dans l'UE. Un accord de traitement des données s'applique.
• Railway – Railway : Hébergement de l'application backend et base de données. Situé dans l'UE. Un accord de traitement des données s'applique.
• Stripe – Stripe : Traite les paiements et la facturation. Situé aux États-Unis et en Irlande. Des Clauses contractuelles types s'appliquent.
• Google (Gmail) – Google (Gmail) : Assure la distribution des e-mails transactionnels (vérification, notifications). Situé aux États-Unis. Des Clauses contractuelles types s'appliquent.
• Sentry – Sentry : Surveillance des erreurs et débogage. Situé aux États-Unis. Configuré avec suppression des informations personnelles pour éviter la journalisation des données sensibles. Des Clauses contractuelles types s'appliquent.

Les sept sous-traitants listés ci-dessus ont signé des accords de traitement des données (DPA) conformément à l'art. 28 du RGPD, incluant des instructions de traitement uniquement selon nos directives, des garanties de confidentialité et de sécurité, des restrictions sur la sous-traitance, et des clauses contractuelles types (CCT) pour les transferts hors UE/EEE. Contactez privacy@credia.pro pour demander une copie du DPA d'un sous-traitant. Si nous ajoutons ou modifions des sous-traitants, nous vous en informerons par e-mail au moins 15 jours à l'avance.

Demandes de financement et réponses des banques

Credia peut transformer votre dossier analysé en une demande de financement standardisée que vous envoyez vous-même aux banques, depuis votre propre messagerie. Credia n'envoie ni ne reçoit jamais d'e-mail en votre nom. Nous conservons votre demande verrouillée, les banques que vous avez choisies et votre propre suivi des envois et des réponses.

Lorsqu'une banque répond, vous téléchargez vous-même sa réponse, qui passe par la même analyse documentaire que tout autre document. Nous conservons le contenu intégral de la réponse (formulation, conditions, réserves et calendrier) avec l'offre structurée, au sein de votre propre dossier. Les coordonnées professionnelles des employés de banque figurant dans les réponses sont traitées uniquement dans le cadre de votre dossier ; elles ne sont jamais partagées ni utilisées à d'autres fins. À partir de chaque réponse analysée, nous créons également un enregistrement de comparaison pseudonymisé (les éléments standardisés de votre demande, y compris le montant exact, le secteur et la région, ainsi que les conditions clés de la réponse, mais jamais sa formulation ni aucune coordonnée) ; cet enregistrement reste soumis à vos droits RGPD, sert uniquement à établir les statistiques de marché agrégées décrites ci-dessous, et est supprimé avec le cycle de demande, le dossier ou le compte concerné.

Base juridique : l'exécution du contrat (art. 6.1.b RGPD) pour votre demande et son suivi, et l'intérêt légitime (art. 6.1.f RGPD) pour les coordonnées professionnelles des employés de banque dans la correspondance que vous recevez. Ces données sont supprimées avec le dossier concerné ou votre compte, selon les délais de conservation standard décrits ci-dessous ; les demandes verrouillées sont des enregistrements à écriture unique, supprimés intégralement et définitivement.

Pseudonymisation et dé-identification

Nous appliquons des techniques de pseudonymisation améliorant la confidentialité à vos données extraites : La K-anonymité (k≥5) garantit que les enregistrements individuels ne peuvent pas être distingués d'au moins 4 autres dans les ensembles de données agrégées. Les noms des banques sont remplacés par des hachages HMAC-SHA256 avec un secret serveur, et les montants des prêts sont regroupés en fourchettes pour réduire le risque de ré-identification. Important : les données pseudonymisées restent régies par le RGPD car la ré-identification est théoriquement possible. Vos droits en tant que personne concernée (accès, effacement, portabilité) s'appliquent donc aux données pseudonymisées. Vous pouvez vous désinscrire du benchmarking et demander la suppression de vos données pseudonymisées à tout moment en contactant privacy@credia.pro.

Les données anonymisées et agrégées qui satisfont à notre seuil de k-anonymat (k≥5) et ont été dépouillées de tous les identifiants directs et indirects se qualifient comme données non personnelles au sens du considérant 26 du RGPD. Ces données peuvent être utilisées pour des produits de renseignement de marché sans consentement individuel, car la réidentification n'est pas raisonnablement probable. Vous conservez le droit de vous désabonner des futures contributions de données via Paramètres > Centre de confidentialité.

Conservation des données

Nous conservons vos données personnelles pour les durées suivantes : Les données de compte sont conservées pendant la durée de votre compte actif, plus 30 jours après la suppression. Les PDF téléchargés sont conservés indéfiniment pour les utilisateurs connectés jusqu'à ce que vous supprimiez votre compte ou la fiche de prêt individuelle ; la suppression d'une fiche de prêt déclenche un délai de grâce de 30 jours avant la suppression définitive. Utilisateurs anonymes : les PDF téléchargés sont supprimés immédiatement après l'analyse et ne sont jamais conservés au-delà de la session d'analyse. Les données extraites sont conservées pendant la durée de votre compte. Les messages de conversation du chatbot IA sont conservés indéfiniment pour les utilisateurs connectés jusqu'à ce que vous supprimiez la conversation ou votre compte ; la suppression d'une conversation déclenche un délai de grâce de 30 jours avant la suppression définitive. Les données de benchmarking pseudonymisées sont conservées pendant la durée de votre compte plus 30 jours ; vous pouvez vous désinscrire du benchmarking à tout moment. Les journaux d'erreurs sont conservés 30 jours. Après la suppression, les données sont définitivement purgées dans les 30 jours, à l'exception des données requises par la loi.

Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• Droit d'accès : Demander une copie des données personnelles que nous détenons à votre sujet.
• Droit de rectification : Demander la correction des données inexactes.
• Droit à l'effacement : Demandez la suppression de vos données, sous réserve d'un délai de grâce de 30 jours avant la suppression définitive. La suppression d'une fiche de prêt dans la plateforme supprime immédiatement l'accès et efface définitivement le PDF associé et les données extraites dans un délai de 30 jours. Vous pouvez également demander la suppression de tous vos PDF téléchargés à tout moment en contactant privacy@credia.pro.
• Droit à la portabilité des données : Demander vos données dans un format lisible par machine pour transfert vers un autre service.
• Droit à la limitation du traitement : Demander que nous limitions le traitement de vos données dans certaines circonstances.
• Droit d'opposition : Vous opposer aux comparaisons d'évaluation comparative et au traitement basé sur l'intérêt légitime.
• Droit de retirer le consentement : Retirer le consentement pour les e-mails marketing et le traitement non essentiel.
• Droit de réclamation : Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données (Gegevensbeschermingsautoriteit). Adresse postale : Rue de la Presse 35, 1000 Bruxelles, Belgique. E-mail : contact@apd-gba.be. Site web : www.gegevensbeschermingsautoriteit.be. Les réclamations sont gratuites, confidentielles et ne nécessitent pas d'avocat.

Pour exercer vos droits, soumettez une demande à privacy@credia.pro avec votre nom complet, l'adresse e-mail associée à votre compte Credia, et une description du droit que vous souhaitez exercer. Nous accuserons réception dans les 3 jours ouvrables et vérifierons votre identité. Pour les demandes simples, nous répondons intégralement dans les 30 jours. Pour les demandes complexes, nous pouvons prolonger le délai de réponse de 2 mois maximum et vous en informerons dans les 30 jours. Les demandes d'accès aux données sont fournies dans un format lisible par machine (CSV, JSON ou PDF). Pour les questions urgentes, envoyez un e-mail à privacy@credia.pro avec 'URGENT DSAR' comme objet. Toutes les réponses sont gratuites. privacy@credia.pro

Transferts internationaux de données

Certains de nos responsables du traitement sont situés aux États-Unis. Tous les transferts vers les États-Unis sont protégés par des Clauses contractuelles types (CCT) approuvées par la Commission européenne. Nous maintenons des Contrats de traitement des données avec les sept responsables du traitement qui incluent les CCT et autres garanties. L'Autorité de protection des données belge (Gegevensbeschermingsautoriteit) est notre autorité de contrôle.

Prise de décision automatisée

L'algorithme de scoring de Credia calcule les caractéristiques de votre prêt par rapport aux données de benchmarking agrégées. Le score est informatif et consultatif. Credia ne prend pas de décisions contraignantes concernant votre solvabilité ou votre éligibilité au crédit. En vertu de l'art. 22 du RGPD, vous avez le droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques ou similairement significatifs. Le scoring de Credia ne produit pas directement de tels effets ; la décision d'approuver ou de refuser votre prêt reste celle de votre banque ou prêteur. Toutefois, si votre banque utilise le score Credia dans une décision de prêt automatisée sans examen humain, l'art. 22 peut s'appliquer à cette décision. Nous recommandons de demander un examen humain à votre banque si une telle décision est prise. Nos pondérations de scoring sont : marge (35%), frais (15%), covenants (30%) et structure (20%). Vous pouvez consulter les données sous-jacentes et auditer la logique de scoring à tout moment. Vous pouvez demander un examen manuel en contactant privacy@credia.pro. Credia ne pratique pas de profilage automatisé pour prédire le comportement financier.

Notification de violation de données

Si une violation de données personnelles survient et présente un risque pour vos droits ou libertés, nous vous en informerons par e-mail sans retard excessif et au plus tard 72 heures après en avoir pris connaissance. La notification inclura : une description de la violation, ses conséquences probables, les mesures prises pour y remédier, ainsi que vos droits et coordonnées. Nous notifierons également l'Autorité de protection des données (Gegevensbeschermingsautoriteit) dans les 72 heures si la violation présente un risque significatif. Nous ne vous notifierons pas si la violation est peu susceptible d'entraîner un risque (par exemple, une violation de données chiffrées dont la clé de chiffrement n'a pas été compromise).

Nous contacter

Pour les questions de confidentialité, les demandes d'accès aux données, ou pour exercer vos droits, contactez : Credia BV, Contact Protection des Données : Credia Team, privacy@credia.pro. Pour les questions juridiques : legal@credia.pro. Autorité de contrôle : Autorité de protection des données (Gegevensbeschermingsautoriteit), Rue de la Presse 35, 1000 Bruxelles, Belgique, www.gegevensbeschermingsautoriteit.be.

Mises à jour de la politique

Nous pouvons mettre à jour cette politique de confidentialité pour refléter les changements dans nos pratiques ou la loi applicable. Nous vous informerons des changements matériels par e-mail ou via la plateforme. Votre utilisation continue de Credia constitue l'acceptation de la politique mise à jour.