Politique de
Confidentialité

1. Identité du responsable du traitement

Le responsable du traitement des données personnelles collectées via la plateforme AFRIMO est :

AFRIMO n'a pas désigné de Délégué à la Protection des Données (DPO) au sens de l'article 37 RGPD, cette obligation ne s'appliquant pas aux traitements réalisés dans le cadre de la présente activité. Toute demande relative à la protection des données doit être adressée directement au responsable du traitement via notre site web.

2. Données personnelles collectées

AFRIMO collecte uniquement les données strictement nécessaires au fonctionnement du service (principe de minimisation, article 5(1)(c) RGPD). Ces données sont regroupées en plusieurs catégories :

2.1 Données d'identité et d'authentification

2.2 Données de paiement et d'abonnement

AFRIMO utilise Stripe comme processeur de paiement certifié PCI-DSS niveau 1. Les données bancaires (numéro de carte, CVV) ne transitent jamais par les serveurs AFRIMO et ne sont jamais stockées dans notre base de données.

2.3 Données métier (contenu utilisateur)

Ces données sont saisies librement par l'utilisateur dans le cadre de son activité professionnelle. Elles peuvent contenir des données à caractère personnel de tiers (clients finaux). L'utilisateur est responsable du respect du RGPD vis-à-vis de ses propres clients.

• •Projets de construction : nom, description, type de projet, région, surfaces, nature des travaux, statut.
• •Devis : lignes de postes CCTB, quantités, prix unitaires, taux TVA, marges, totaux HT/TVA/TTC, versions successives.
• •Données clients (CRM) : nom ou raison sociale, type (particulier, société, indépendant…), numéro BCE, numéro TVA belge, numéro de registre national, adresse, email, téléphone, notes internes.
• •Profil entreprise : nom légal, forme juridique, numéro BCE, adresse professionnelle, coordonnées bancaires (IBAN/BIC), nom du signataire.

2.4 Données techniques et de journalisation

• •Adresse IP de connexion (journaux serveur Morgan, durée de conservation : 30 jours).
• •Horodatage des requêtes API.
• •Identifiant de session JWT (stocké dans un cookie navigateur afrimo_token).
• •Langue sélectionnée (cookie afrimo_langue).

2.5 Données non collectées

AFRIMO ne collecte pas : données de géolocalisation précise, données biométriques, données de santé, données relatives aux condamnations pénales, données d'origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques.

3. Finalités et bases légales du traitement

Conformément à l'article 6 RGPD, tout traitement repose sur l'une des bases légales suivantes : exécution d'un contrat (6(1)(b)), intérêt légitime (6(1)(f)), obligation légale (6(1)(c)) ou consentement (6(1)(a)).

4. Durée de conservation

Les données sont conservées pour la durée strictement nécessaire à la finalité pour laquelle elles ont été collectées, conformément à l'article 5(1)(e) RGPD.

À l'expiration des délais ci-dessus, les données sont supprimées ou anonymisées de manière irréversible. Certaines données peuvent être conservées sous forme agrégée et anonymisée à des fins statistiques sans limitation de durée.

5. Vos droits RGPD

En tant que personne concernée, vous disposez des droits suivants sur vos données personnelles, conformément aux articles 15 à 22 du RGPD. Pour exercer l'un de ces droits, contactez-nous via https://afrimo.be — Nous répondrons dans un délai maximal d'un mois (prorogeable de deux mois en cas de demande complexe, avec notification préalable).

6. Sécurité des données

AFRIMO met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre toute destruction accidentelle ou illicite, perte accidentelle, altération, divulgation ou accès non autorisé (article 32 RGPD).

6.1 Mesures techniques

• •Chiffrement des mots de passe : algorithme bcrypt avec facteur de coût 12 — les mots de passe en clair ne sont jamais stockés ni transmis.
• •Transport chiffré : toutes les communications entre le navigateur et le serveur s'effectuent via HTTPS (TLS 1.2 minimum).
• •Authentification par JWT : tokens signés (HMAC-SHA256), durée de validité limitée à 7 jours, invalidés à la déconnexion.
• •Contrôle d'accès basé sur les rôles (RBAC) : chaque utilisateur n'accède qu'à ses propres données ; les administrateurs ont un accès étendu limité à la gestion de la plateforme.
• •Isolation des données : chaque compte est strictement isolé — aucune donnée d'un utilisateur n'est accessible à un autre.
• •Protection des headers HTTP : Helmet.js (CSP, X-Frame-Options, X-Content-Type-Options, HSTS…).
• •Paiements PCI-DSS : les données de cartes bancaires sont traitées exclusivement par Stripe (certifié PCI-DSS niveau 1) et ne transitent pas par nos serveurs.
• •Authentification à deux facteurs (2FA) optionnelle (TOTP) : le secret est chiffré au repos (AES-256) et des codes de secours à usage unique sont fournis.

6.2 Mesures organisationnelles

• •Accès aux données de production limité au strict nécessaire (principe du moindre privilège).
• •Mises à jour de sécurité des dépendances effectuées régulièrement.
• •Variables d'environnement sensibles (clés API, secrets JWT) stockées hors du code source.
• •Sauvegardes régulières de la base de données PostgreSQL.
• •Journal d'audit : les actions sensibles (connexions, modifications, exports, suppressions de compte) sont horodatées et conservées.

6.3 Violation de données

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, AFRIMO s'engage à notifier l'Autorité de protection des données (APD) dans un délai de 72 heures conformément à l'article 33 RGPD, et à vous en informer sans délai injustifié si la violation présente un risque élevé pour vos droits (article 34 RGPD).

7. Cookies et traceurs

AFRIMO utilise un nombre minimal de cookies, strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire, de profilage ou de suivi comportemental n'est utilisé.

Ces cookies sont strictement nécessaires à la fourniture du service demandé par l'utilisateur. Conformément à l'article 5(3) de la Directive ePrivacy, ils sont exemptés de l'obligation de recueil du consentement préalable.

Si AFRIMO intègre à l'avenir des outils d'analyse ou de marketing, la présente politique sera mise à jour et un mécanisme de recueil du consentement conforme sera mis en place.

8. Sous-traitants et destinataires tiers

AFRIMO fait appel à des prestataires tiers pour fournir certaines fonctionnalités. Ces prestataires agissent en qualité de sous-traitants au sens de l'article 28 RGPD et sont liés par des obligations contractuelles de protection des données.

AFRIMO ne divulgue vos données personnelles à aucun autre tiers, sauf obligation légale imposée par une autorité judiciaire ou administrative compétente. Si vous activez l'option facultative « Afrimo Index », vos prix unitaires sont intégrés à un indice de référence sous forme strictement anonymisée et agrégée (médiane et quartiles, calculés sur au minimum 5 organisations distinctes, sans aucune identification d'organisation) ; cette fonctionnalité repose sur votre consentement (opt-in) et est désactivable à tout moment.

9. Transferts hors Union européenne

Certains sous-traitants d'AFRIMO (Google, Resend, Vercel, Railway, Cloudflare) ont leur siège social aux États-Unis. Les transferts de données vers ces entités sont encadrés par les garanties appropriées prévues au Chapitre V du RGPD :

• •Clauses contractuelles types (CCT) — Clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914/UE), intégrées dans les contrats de traitement des données conclus avec les sous-traitants établis hors UE (Google LLC, Resend, Vercel, Railway). Stripe est établi en Irlande (UE) et ne fait l'objet d'aucun transfert hors UE.
• •Data Privacy Framework (DPF) — Data Privacy Framework (DPF) : dans la mesure où ces prestataires y adhèrent, le cadre de protection des données UE–États-Unis constitue une garantie supplémentaire (décision d'adéquation de la Commission du 10 juillet 2023).

Vous pouvez obtenir une copie des garanties via https://afrimo.be.

10. Données relatives aux mineurs

AFRIMO est une plateforme professionnelle B2B destinée exclusivement aux professionnels du secteur de la construction. Le service n'est pas destiné aux personnes âgées de moins de 18 ans. AFRIMO ne collecte pas sciemment de données personnelles relatives à des mineurs. Si vous avez connaissance d'un traitement non conforme concernant un mineur, veuillez nous contacter immédiatement.

11. Modifications de la présente politique

AFRIMO se réserve le droit de modifier la présente politique de confidentialité à tout moment, notamment pour se conformer à l'évolution de la réglementation applicable ou pour refléter de nouvelles fonctionnalités du service.

En cas de modification substantielle (nouvelle finalité de traitement, nouveau sous-traitant, nouveau transfert hors UE), vous serez informé par email à l'adresse associée à votre compte au moins 30 jours avant l'entrée en vigueur des modifications. L'utilisation continue du service après cette période vaut acceptation des modifications.

La date de « Dernière mise à jour » en haut de ce document indique la version actuellement en vigueur. Les versions antérieures sont disponibles sur demande.

12. Contact et droit de réclamation

12.1 Contact du responsable du traitement

Pour toute question relative à la présente politique ou pour exercer vos droits :

12.2 Droit de réclamation auprès de l'autorité de contrôle

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente. En Belgique, il s'agit de :