Politique de confidentialité

Votre confidentialité est importante pour nous

Credia BV est une plateforme SaaS fintech basée à Bruxelles qui aide les PME belges à comparer les conditions de prêt en utilisant l'intelligence artificielle. Nous accordons une grande importance à votre confidentialité et nous assurons que vous avez une expérience positive sur notre plateforme. Cette politique de confidentialité explique comment nous collectons, utilisons et protégeons vos données personnelles conformément au Règlement général sur la protection des données (RGPD).

Quelles données nous collectons

Nous collectons les types de données personnelles suivants :

• Adresse e-mail : Utilisée pour l'authentification du compte et la communication.
• Hachage de l'adresse IP : Pour la sécurité et la détection de fraude, nous hachons votre adresse IP à l'aide de HMAC-SHA256 avec un secret côté serveur. Nous ne stockons pas votre adresse IP réelle. Uniquement le résultat du hachage. Le hachage est utilisé pour détecter les schémas de connexion suspects et les abus. Le secret de hachage est stocké de manière sécurisée (jamais journalisé) et renouvelé périodiquement. Les adresses IP hachées sont conservées 30 jours puis supprimées.
• Informations sur l'appareil (collectées automatiquement) : Type de navigateur, version du système d'exploitation et résolution d'écran pour la sécurité et l'optimisation de la plateforme. Nous ne collectons pas d'identifiants matériels (IMEI, numéros de série), d'identifiants publicitaires ni de données de fingerprinting du navigateur.
• Données d'utilisation : Interactions avec la plateforme, fonctionnalités utilisées et horodatages pour améliorer notre service.
• Documents téléchargés : PDF d'offres de prêt contenant les noms d'emprunteurs, les noms de banques, les numéros de TVA et les montants de prêts pour l'analyse.
• Données extraites : 78 champs standardisés automatiquement extraits de vos documents (marges, frais, clauses, durée et autres caractéristiques de prêt).

Minimisation des données : Nous ne collectons que les données nécessaires au fonctionnement du service ou aux finalités légitimes énoncées ci-dessus. Vous pouvez contacter privacy@credia.pro pour vous renseigner sur la désinscription de la collecte de données non essentielles.

Comment nous utilisons vos données

Nous utilisons vos données personnelles aux fins suivantes :

• Gestion de compte et communication : Envoyer des mises à jour de service, répondre aux demandes d'assistance et vous informer des changements.
• Analyser les offres de prêt et fournir les résultats d'extraction : Extraire les champs standardisés de vos documents et les présenter de manière structurée.
• Améliorer notre modèle d'IA : Former et affiner nos algorithmes d'extraction pour fournir des comparaisons de référence et des recommandations de scoring plus précises.
• Générer des rapports de benchmarking : Comparer vos conditions de prêt avec des données de marché pseudonymisées pour fournir un scoring et des recommandations.
• Renseignement de marché et produits de données : utilisation de données anonymisées et agrégées (qui ne contiennent pas de données personnelles conformément au considérant 26 du RGPD) pour produire des rapports de benchmark, des produits de renseignement de marché et des analyses statistiques pour des tiers. Aucun utilisateur ou transaction individuel n'est identifiable dans ces produits. Vous pouvez vous désabonner de la contribution aux ensembles de données agrégées à tout moment via Paramètres > Centre de confidentialité ou en contactant privacy@credia.pro.

Base juridique du traitement

Nous traitons vos données personnelles sur la base des fondements juridiques suivants en vertu de l'article 6 du RGPD : (1) Exécution d'un contrat (Article 6(1)(b)) pour l'extraction et l'analyse de term sheets par IA, (2) Intérêt légitime (Article 6(1)(f)) pour les comparaisons de benchmarks, l'amélioration du service et la production de produits de renseignement de marché anonymisés (voir Section 3), et (3) Consentement (Article 6(1)(a)) uniquement pour les communications marketing futures. Vous pouvez retirer votre consentement aux e-mails marketing à tout moment sans affecter les autres traitements. Remarque : les produits de données anonymisées et agrégées ne constituent pas un traitement de données personnelles (RGPD Considérant 26) et ne sont donc pas soumis au retrait du consentement, bien que vous puissiez vous désabonner des futures contributions de données.

Traitement par l'IA et responsables du traitement

Nous utilisons les tiers suivants pour fournir notre analyse alimentée par l'IA. Tous les responsables du traitement ont des Contrats de traitement des données (DPA) avec des Clauses contractuelles types (CCT) en place :

• Anthropic (Claude API) – Anthropic (Claude API) : Traite vos term sheets pour l'extraction. Situé aux États-Unis. Notre accord de traitement des données avec Anthropic (conforme à l'art. 28 RGPD) interdit explicitement l'utilisation de vos données pour l'entraînement de modèles. Toutes les données sont supprimées dans les 30 jours suivant le traitement. Cette restriction est contractuellement contraignante. DPA disponible sur demande à privacy@credia.pro.
• Vercel – Vercel : Héberge notre application frontend. Situé aux États-Unis. Des Clauses contractuelles types s'appliquent.
• Neon – Neon : Fournit l'hébergement de base de données (niveau gratuit). Situé aux États-Unis. Des Clauses contractuelles types s'appliquent.
• Google Cloud Platform – Google Cloud Platform (GCP) : Services de backend. Situé en Belgique (UE). Des Clauses contractuelles types s'appliquent.
• Stripe – Stripe : Traite les paiements et la facturation. Situé aux États-Unis et en Irlande. Des Clauses contractuelles types s'appliquent.
• Sentry – Sentry : Surveillance des erreurs et débogage. Situé aux États-Unis. Configuré avec suppression des informations personnelles pour éviter la journalisation des données sensibles. Des Clauses contractuelles types s'appliquent.
• Resend – Resend : Service de livraison d'e-mail. Situé aux États-Unis. Des Clauses contractuelles types s'appliquent.

Les sept sous-traitants listés ci-dessus ont signé des accords de traitement des données (DPA) conformément à l'art. 28 du RGPD, incluant des instructions de traitement uniquement selon nos directives, des garanties de confidentialité et de sécurité, des restrictions sur la sous-traitance, et des clauses contractuelles types (CCT) pour les transferts hors UE/EEE. Contactez privacy@credia.pro pour demander une copie du DPA d'un sous-traitant. Si nous ajoutons ou modifions des sous-traitants, nous vous en informerons par e-mail au moins 15 jours à l'avance.

Pseudonymisation et dé-identification

Nous appliquons des techniques de pseudonymisation améliorant la confidentialité à vos données extraites : La K-anonymité (k≥5) garantit que les enregistrements individuels ne peuvent pas être distingués d'au moins 4 autres dans les ensembles de données agrégées. Les noms des banques sont remplacés par des hachages HMAC-SHA256 avec un secret serveur, et les montants des prêts sont regroupés en fourchettes pour réduire le risque de ré-identification. Important : les données pseudonymisées restent régies par le RGPD car la ré-identification est théoriquement possible. Vos droits en tant que personne concernée (accès, effacement, portabilité) s'appliquent donc aux données pseudonymisées. Vous pouvez vous désinscrire du benchmarking et demander la suppression de vos données pseudonymisées à tout moment en contactant privacy@credia.pro.

Les données anonymisées et agrégées qui satisfont à notre seuil de k-anonymat (k≥5) et ont été dépouillées de tous les identifiants directs et indirects se qualifient comme données non personnelles au sens du considérant 26 du RGPD. Ces données peuvent être utilisées pour des produits de renseignement de marché sans consentement individuel, car la réidentification n'est pas raisonnablement probable. Vous conservez le droit de vous désabonner des futures contributions de données via Paramètres > Centre de confidentialité.

Conservation des données

Nous conservons vos données personnelles pendant les périodes suivantes : Les données de compte sont conservées pendant la durée de votre compte actif plus 30 jours après suppression. Les PDF téléchargés sont conservés 30 jours après l'extraction pour vous permettre de les consulter et de les re-télécharger ; après cette période, les PDF sont automatiquement supprimés sauf si vous optez pour un stockage prolongé (jusqu'à 24 mois pour Pro, 12 mois pour gratuit) pour votre commodité. Le stockage prolongé des PDF est basé sur votre consentement explicite (art. 6(1)(a)). Les données extraites (78 champs) sont conservées pendant la durée de votre compte. Les données de benchmarking pseudonymisées sont conservées pendant la durée de votre compte plus 30 jours ; vous pouvez vous désinscrire du benchmarking à tout moment. Les journaux d'erreurs sont conservés 30 jours. Les comptes inactifs (aucune connexion pendant 18+ mois) sont supprimés avec un préavis de 30 jours par e-mail, incluant des instructions pour exporter vos données. Après suppression, les données sont définitivement purgées dans les 30 jours, sauf obligations légales.

Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• Droit d'accès : Demander une copie des données personnelles que nous détenons à votre sujet.
• Droit de rectification : Demander la correction des données inexactes.
• Droit à l'oubli : Demander la suppression de vos données, avec un délai de grâce de 30 jours avant suppression définitive.
• Droit à la portabilité des données : Demander vos données dans un format lisible par machine pour transfert vers un autre service.
• Droit à la limitation du traitement : Demander que nous limitions le traitement de vos données dans certaines circonstances.
• Droit d'opposition : Vous opposer aux comparaisons d'évaluation comparative et au traitement basé sur l'intérêt légitime.
• Droit de retirer le consentement : Retirer le consentement pour les e-mails marketing et le traitement non essentiel.
• Droit de réclamation : Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données (Gegevensbeschermingsautoriteit). Adresse postale : Rue de la Presse 35, 1000 Bruxelles, Belgique. E-mail : contact@apd-gba.be. Site web : www.gegevensbeschermingsautoriteit.be. Les réclamations sont gratuites, confidentielles et ne nécessitent pas d'avocat.

Pour exercer vos droits, soumettez une demande à privacy@credia.pro avec votre nom complet, l'adresse e-mail associée à votre compte Credia, et une description du droit que vous souhaitez exercer. Nous accuserons réception dans les 3 jours ouvrables et vérifierons votre identité. Pour les demandes simples, nous répondons intégralement dans les 30 jours. Pour les demandes complexes, nous pouvons prolonger le délai de réponse de 2 mois maximum et vous en informerons dans les 30 jours. Les demandes d'accès aux données sont fournies dans un format lisible par machine (CSV, JSON ou PDF). Pour les questions urgentes, envoyez un e-mail à privacy@credia.pro avec 'URGENT DSAR' comme objet. Toutes les réponses sont gratuites. privacy@credia.pro

Cookies et suivi

Credia utilise des cookies et un stockage local techniquement essentiels, exemptés des exigences de consentement : (1) session_id. Maintient votre état de connexion, expire en fin de session ; (2) csrf_token. Protection CSRF, expire en fin de session ; (3) locale. Stocke votre préférence linguistique, expire après 1 an. Nous utilisons également Google Analytics (GA4) pour des statistiques d'utilisation anonymisées. Celui-ci n'est chargé qu'après votre consentement explicite via notre bannière de consentement. Nous n'utilisons pas de cookies publicitaires ou marketing, de pixels de suivi, de scripts de fingerprinting ou de cookies de reciblage. Nos sous-traitants (Vercel, GCP) n'injectent pas de cookies de suivi dans votre navigateur. Nous pouvons stocker des jetons d'authentification dans le localStorage de votre navigateur ; ceux-ci sont supprimés lorsque vous vous déconnectez. Si nous introduisons des cookies non essentiels supplémentaires à l'avenir, nous fournirons des mécanismes de consentement explicites et mettrons à jour cette section avec un préavis de 30 jours.

Transferts internationaux de données

Certains de nos responsables du traitement sont situés aux États-Unis. Tous les transferts vers les États-Unis sont protégés par des Clauses contractuelles types (CCT) approuvées par la Commission européenne. Nous maintenons des Contrats de traitement des données avec les sept responsables du traitement qui incluent les CCT et autres garanties. L'Autorité de protection des données belge (Gegevensbeschermingsautoriteit) est notre autorité de contrôle.

Prise de décision automatisée

L'algorithme de scoring de Credia calcule les caractéristiques de votre prêt par rapport aux données de benchmarking agrégées. Le score est informatif et consultatif. Credia ne prend pas de décisions contraignantes concernant votre solvabilité ou votre éligibilité au crédit. En vertu de l'art. 22 du RGPD, vous avez le droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques ou similairement significatifs. Le scoring de Credia ne produit pas directement de tels effets ; la décision d'approuver ou de refuser votre prêt reste celle de votre banque ou prêteur. Toutefois, si votre banque utilise le score Credia dans une décision de prêt automatisée sans examen humain, l'art. 22 peut s'appliquer à cette décision. Nous recommandons de demander un examen humain à votre banque si une telle décision est prise. Nos pondérations de scoring sont : marge (35%), frais (15%), covenants (30%) et structure (20%). Vous pouvez consulter les données sous-jacentes et auditer la logique de scoring à tout moment. Vous pouvez demander un examen manuel en contactant privacy@credia.pro. Credia ne pratique pas de profilage automatisé pour prédire le comportement financier.

Notification de violation de données

Si une violation de données personnelles survient et présente un risque pour vos droits ou libertés, nous vous en informerons par e-mail sans retard excessif et au plus tard 72 heures après en avoir pris connaissance. La notification inclura : une description de la violation, ses conséquences probables, les mesures prises pour y remédier, ainsi que vos droits et coordonnées. Nous notifierons également l'Autorité de protection des données (Gegevensbeschermingsautoriteit) dans les 72 heures si la violation présente un risque significatif. Nous ne vous notifierons pas si la violation est peu susceptible d'entraîner un risque (par exemple, une violation de données chiffrées dont la clé de chiffrement n'a pas été compromise).

Nous contacter

Pour les questions de confidentialité, les demandes d'accès aux données, ou pour exercer vos droits, contactez : Credia BV, Contact Protection des Données : Luca Burigat, privacy@credia.pro. Pour les questions juridiques : legal@credia.pro. Autorité de contrôle : Autorité de protection des données (Gegevensbeschermingsautoriteit), Rue de la Presse 35, 1000 Bruxelles, Belgique, www.gegevensbeschermingsautoriteit.be.

Mises à jour de la politique

Nous pouvons mettre à jour cette politique de confidentialité pour refléter les changements dans nos pratiques ou la loi applicable. Nous vous informerons des changements matériels par e-mail ou via la plateforme. Votre utilisation continue de Credia constitue l'acceptation de la politique mise à jour.