Accord de traitement des données

Version 1.0 · 15 octobre 2026

De quoi parle cet accord ?

Qui utilise Hopfact y introduit des données à caractère personnel d'autres personnes : les personnes de contact de ses clients, les signataires d'une feuille de temps, les destinataires d'une feuille de temps ou d'une facture. Pour ces données, votre entreprise est le responsable du traitement, et LOOTVOET BV le sous-traitant. L'article 28 du Règlement général sur la protection des données (RGPD) exige alors un accord entre les deux. Cet accord, le voici.

Des termes comme données à caractère personnel, traitement, personne concernée et sous-traitant ultérieur ont le sens que leur donne le RGPD. Une fuite de données est une violation de données à caractère personnel au sens du RGPD.

Parties

Vous : l'entreprise qui utilise Hopfact, en tant que responsable du traitement.
Nous : LOOTVOET BV, Groenestraat 37/C, 8691 Alveringem, numéro d'entreprise et de TVA BE 0800.934.047, RPM Gand, division Furnes, en tant que sous-traitant. Vous nous joignez à info@hopfact.be.

Vous acceptez cet accord dans l'app : lorsque vous créez votre organisation, et à nouveau à chaque nouvelle version. Nous enregistrons avec quel compte, quelle version et quand vous l'avez accepté. Cette acceptation vaut accord écrit sous forme électronique, comme le permet l'article 28 du RGPD. Qui l'accepte déclare pouvoir le faire au nom de l'entreprise.

Pour votre propre compte, votre connexion et la liste d'attente, nous sommes nous-mêmes responsables. Ils ne relèvent pas de cet accord. Pour ceux-là, c'est la déclaration de confidentialité qui s'applique.

Objet, durée, nature et finalité

Objet : les données à caractère personnel que vous saisissez dans Hopfact, et celles qui naissent lorsque vous utilisez Hopfact.
Durée : de votre acceptation jusqu'à ce que nous ayons effacé toutes les données (voir « Après la fin »).
Nature : conserver, organiser, rechercher et afficher, assembler en documents (feuilles de temps, factures et pistes d'audit), envoyer par e-mail et via Peppol, enregistrer des événements, et effacer.
Finalité : uniquement vous fournir Hopfact : suivre votre travail, établir des feuilles de temps et les faire signer, établir et envoyer des factures, vous envoyer vos notifications et conserver vos documents. Nous gardons aussi Hopfact sûr et en état de marche. Nous n'utilisons jamais vos données à nos propres fins, nous ne les vendons pas et nous ne nous en servons pas pour de la publicité.

Quelles données, de qui

Personnes concernées	Données
Personnes de contact chez vos clients	Nom, adresse e-mail, fonction et langue
Signataires	Nom, adresse e-mail et langue. Le nom tapé ou la signature dessinée (sous forme de traits, pas d'image), et le motif d'un refus. La date et l'heure de chaque étape : demande, rappel, ouverture, téléchargement, approbation ou refus. Pour chaque action sur la page de signature, aussi l'adresse IP et le navigateur
Clients et bureaux qui sont une personne physique, comme un indépendant	Nom, adresse, numéro de TVA et d'entreprise, logo, adresses e-mail pour les factures et les feuilles de temps, et ce qui figure sur leurs factures
Destinataires de feuilles de temps et de factures	Adresse e-mail, et si l'e-mail est arrivé
Consultants et autres personnes de votre entreprise sans compte propre	Nom sur les missions, feuilles de temps et factures, et les jours, heures et notes sur leurs feuilles de temps
Toute personne que vous nommez en texte libre	Ce que vous écrivez dans les notes de journée, les descriptions de blocs de temps ou les lignes de facture

Vous n'introduisez dans Hopfact aucune catégorie particulière de données à caractère personnel, comme des données de santé ou de religion, aucune donnée relative à des condamnations pénales et aucun numéro de registre national. Hopfact ne les demande nulle part.

Vos instructions

Nous ne traitons vos données que sur votre instruction. Vos instructions sont cet accord et ce que vous faites dans l'app. Avec « Signer et envoyer », vous nous demandez par exemple d'envoyer la feuille de temps par e-mail au signataire, avec « Envoyer via Peppol » d'envoyer la facture via Recommand.

Si la loi nous oblige à un autre traitement, nous vous en informons au préalable, sauf si la loi l'interdit. Si nous estimons qu'une instruction viole le RGPD, nous vous le disons.

Ce que nous faisons

Confidentialité

Qui chez nous a accès à vos données est tenu au secret. Aujourd'hui, c'est une seule personne : l'exploitant de Hopfact. Il ne consulte vos données que si c'est nécessaire : pour résoudre une erreur ou une panne, pour un support que vous avez demandé, ou parce que la loi l'exige.

Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées, comme l'exige l'article 32 du RGPD. Aujourd'hui, ce sont celles-ci :

L'app et ses données se trouvent dans l'Union européenne, chez Microsoft Azure en Suède.
Tout le trafic est chiffré (TLS 1.2 ou plus), et la base de données et le stockage des documents sont chiffrés.
Chaque organisation ne voit que ses propres données. Un filtre dans l'app l'impose à chaque recherche, et des tests automatisés le vérifient.
Hopfact n'a pas de mots de passe. Vous vous connectez via Microsoft Entra External ID, avec un code à usage unique, avec Google ou avec un compte Microsoft personnel. L'app elle-même accède à la base de données, au stockage et au coffre de clés avec une identité managée d'Azure, sans mot de passe.
Les clés secrètes se trouvent dans Azure Key Vault, pas dans le code.
Les documents se trouvent dans un stockage privé. Vous ne les téléchargez que via l'app, après qu'elle a vérifié qui vous êtes.
Les factures émises, les feuilles de temps envoyées et leur piste d'audit se trouvent dans un stockage immuable : pendant 10 ans, personne ne peut les modifier ni les effacer.
Un lien de signature contient 32 octets aléatoires. Nous n'en conservons qu'une empreinte (hash), et le lien n'apparaît jamais dans un journal.
Les journaux ne contiennent jamais d'adresse e-mail, d'IBAN ou de jeton, et sont effacés après 30 jours.
Les pages publiques, comme la page de signature, freinent les tentatives trop nombreuses par adresse IP.
Azure fait automatiquement des sauvegardes de la base de données.
Seul l'exploitant a accès à l'environnement de production, avec son propre compte Microsoft.

Nous adaptons ces mesures lorsque les risques ou la technique évoluent.

Sous-traitants ultérieurs

Vous nous donnez une autorisation générale de faire appel à ces sous-traitants ultérieurs :

Sous-traitant ultérieur	Quoi	Où
Microsoft Ireland Operations Ltd, Irlande	Hébergement (App Service), base de données (Azure SQL), stockage des documents (Blob Storage), coffre de clés (Key Vault), e-mail et rapports de remise (Azure Communication Services et Event Grid), journaux (Application Insights) et connexion (Entra External ID)	Suède (Sweden Central). E-mail : Europe
Recommand : BRBX BV, Nieuwdorp 5, 3990 Peer, Belgique, numéro d'entreprise 1012.081.766	Point d'accès Peppol : enregistrer votre entreprise comme expéditeur, vérifier si un client peut recevoir via Peppol, et envoyer des factures via Peppol	Union européenne
Plausible Insights OÜ, Estonie	Statistiques de visite du site. Ne reçoit aucune donnée de l'app	Allemagne

Nous imposons à chaque sous-traitant ultérieur, dans un accord écrit, les mêmes obligations que celles de cet accord. Pour Microsoft, c'est son Data Protection Addendum. Si un sous-traitant ultérieur ne respecte pas ses obligations, nous en restons responsables envers vous.

Si nous voulons ajouter ou remplacer un sous-traitant ultérieur, nous vous en informons au moins 30 jours à l'avance, par e-mail à l'adresse de contact de votre organisation. L'app vous demande alors d'accepter une nouvelle version de cet accord. Vous pouvez vous y opposer. Si nous ne trouvons pas de solution ensemble, vous pouvez arrêter Hopfact avant que la modification n'entre en vigueur.

Ne sont pas des sous-traitants ultérieurs les destinataires que vous choisissez (votre client, le signataire, le point d'accès Peppol de votre client et votre outil comptable), ni VIES, le service de la Commission européenne auprès duquel nous vérifions un numéro de TVA.

Transfert en dehors de l'Espace économique européen

Vos données se trouvent dans l'Union européenne. Lors d'un support ou d'une maintenance par Microsoft, un accès depuis un pays en dehors de l'Espace économique européen est possible. Les clauses contractuelles types de la Commission européenne s'appliquent alors, dans l'accord avec Microsoft. Recommand fait appel, pour quelques services, à ses propres sous-traitants situés en dehors de l'Espace économique européen, également sous ces clauses contractuelles types. Nous ne faisons d'autre transfert qu'avec les garanties du chapitre V du RGPD, et après vous en avoir informé.

Aide pour les droits des personnes concernées

Vous pouvez faire beaucoup vous-même dans l'app : consulter et corriger des données, supprimer des personnes de contact et des entreprises, et télécharger des documents. Si quelque chose n'est pas possible dans l'app, nous vous aidons dans un délai raisonnable.

Si nous recevons une demande d'une personne concernée au sujet de données que vous avez introduites dans Hopfact, nous vous la transmettons sans retard injustifié. Nous n'y répondons pas nous-mêmes, sauf si vous nous le demandez.

Aide pour la sécurité et les analyses d'impact

Nous vous aidons à respecter vos obligations des articles 32 à 36 du RGPD, avec les informations dont nous disposons : sur la sécurité, en cas de fuite de données, et si vous réalisez une analyse d'impact relative à la protection des données ou devez consulter l'Autorité de protection des données.

Fuites de données

Si nous constatons une fuite de données qui touche vos données, nous vous la notifions sans retard injustifié, comme l'exige l'article 33 du RGPD. Nous écrivons pour cela à l'adresse de contact de votre organisation.

Nous vous communiquons ce que nous savons à ce moment-là : ce qui s'est passé, quelles données et combien de personnes concernées sont touchées, les conséquences probables, et ce que nous faisons pour y remédier et en limiter les conséquences. Ce que nous apprenons ensuite, nous vous le transmettons. C'est vous qui décidez de notifier la fuite de données à l'Autorité de protection des données et aux personnes concernées. Nous vous y aidons.

Après la fin

Le traitement prend fin lorsque vous supprimez votre compte, ou lorsque Hopfact ou votre participation s'arrête comme le décrivent les conditions de la bêta.

Restitution. Tant que votre compte existe, vous pouvez télécharger chaque document : les factures en PDF et en UBL, les feuilles de temps et les pistes d'audit en PDF. C'est ainsi que vous récupérez vos données. Téléchargez-les donc de préférence avant de supprimer votre compte.
Supprimer votre compte. Vous le faites vous-même, avec un bouton dans l'app. 30 jours après votre clic, nous effaçons les données de votre organisation et votre connexion. Pendant ces 30 jours, vous pouvez encore l'annuler.
Documents soumis à une obligation de conservation. Les factures émises, les feuilles de temps envoyées et leur piste d'audit restent dans le stockage immuable jusqu'à ce que leurs 10 ans soient écoulés. Personne ne peut les effacer plus tôt, pas même nous, et vous êtes légalement tenu de les conserver 10 ans. Personne ne les ouvre, nous vous les remettons sur demande, et après ces 10 ans nous les effaçons.
Si Hopfact ou votre participation s'arrête, il en va de même, après que vous avez pu télécharger vos documents comme le décrivent les conditions de la bêta.
Sauvegardes et journaux. Les données effacées disparaissent aussi des sauvegardes automatiques de la base de données dans les 7 jours. Les journaux disparaissent après 30 jours.

Informations et audits

Vous pouvez nous demander de démontrer que nous respectons cet accord. Nous vous fournissons alors dans les 30 jours les informations dont vous avez besoin pour cela. Pour les centres de données de Microsoft, nous renvoyons à ses certificats et rapports d'audit, comme ISO 27001.

Si ces informations ne suffisent pas, un auditeur indépendant tenu au secret peut réaliser un audit. Cela peut se faire au maximum une fois par an (plus souvent après une fuite de données), moyennant un préavis d'au moins 30 jours, et à vos frais. L'audit ne peut pas toucher aux données d'autres utilisateurs.

Ce que vous faites

Vous disposez d'une base légale pour les données que vous introduisez dans Hopfact, et vous informez les personnes concernées, comme vos signataires. Vous pouvez pour cela renvoyer à notre déclaration de confidentialité, qui décrit ce que Hopfact fait de leurs données.
Vous n'introduisez dans Hopfact que les données dont vous avez besoin pour vos feuilles de temps et vos factures.
Vos instructions respectent le RGPD.
Vous protégez votre connexion et vos appareils, et vous nous prévenez immédiatement si vous soupçonnez un abus de votre compte.

Responsabilité

Pour la responsabilité entre vous et nous, ce sont les conditions de la bêta qui s'appliquent, et plus tard les conditions générales qui les remplacent. Envers les personnes concernées, l'article 82 du RGPD s'applique.

Modifications et priorité

Nous pouvons modifier cet accord, par exemple pour un nouveau sous-traitant ultérieur. Vous acceptez une nouvelle version dans l'app, lors de votre prochaine connexion.

Si les conditions et cet accord se contredisent au sujet des données à caractère personnel, cet accord prévaut.

Droit applicable et tribunal compétent

Le droit belge s'applique à cet accord. En cas de litige, seul le tribunal de l'entreprise de Gand, division Furnes, est compétent.