Politique de confidentialité

1. Responsable du traitement & Délégué à la protection des données

1.1 Responsable du traitement

Le responsable du traitement, au sens de l'article 4.7 du RGPD, est :

• Waventix SRL, société à responsabilité limitée de droit belge — éditeur de la plateforme OceanBilling
• Siège social : Rue du Quatre Août 3b7, 1300 Wavre (Belgique)
• Numéro d'entreprise (BCE) : 1001.102.851
• Email : hello@waventix.com
• Téléphone : +32 10 87 08 08

1.2 Délégué à la protection des données (DPO)

Conformément à l'article 37 du RGPD, nous avons désigné un Délégué à la protection des données :

• Nom : Pierre Tielemans
• Email : dpo@waventix.com
• Courrier : Waventix SRL — DPO — Rue du Quatre Août 3b7, 1300 Wavre (Belgique)

2. Rôles : responsable, sous-traitant, co-traitement

Le rôle de Waventix SRL au sens du RGPD varie selon le contexte. Cette distinction est essentielle pour comprendre vos droits.

2.1 Waventix est responsable du traitement

Lorsque vous visitez le site https://www.waventix.com, utilisez le formulaire de contact, candidatez à un poste, créez un compte OceanBilling en votre nom ou échangez avec notre support, Waventix détermine les finalités et les moyens du traitement. Waventix est alors responsable du traitement au sens de l'article 4.7 du RGPD.

2.2 Waventix est sous-traitant

Lorsque vous utilisez OceanBilling pour traiter les données de vos propres clients, fournisseurs, prospects ou salariés (fiches clients, factures, paiements, écritures comptables, documents archivés…), vous êtes le responsable du traitement et Waventix agit comme sous-traitant au sens de l'article 28 du RGPD.

Dans ce cadre, un Contrat de sous-traitance des données (DPA / Data Processing Agreement) régit nos engagements (confidentialité, sécurité, sous-traitance ultérieure, assistance à l'exercice des droits, notification des violations, sort des données en fin de contrat). Le DPA est accessible sur demande à dpo@waventix.com et fait partie intégrante des conditions d'utilisation d'OceanBilling.

En tant que sous-traitant, Waventix n'utilise jamais les données de vos clients à ses propres fins commerciales, ne les revend pas et ne les partage pas en dehors des sous-traitants ultérieurs listés à la section 5.

2.3 Co-responsabilité éventuelle

Certaines intégrations optionnelles (paiements, échange Peppol, agrégation bancaire) impliquent des prestataires qui agissent comme responsables conjoints ou responsables indépendants du traitement vis-à-vis de leurs propres clients (Stripe, SumUp, Isabel, Scrada). Leurs politiques propres s'appliquent en parallèle de la nôtre (voir section 6).

3. Données collectées

Nous appliquons les principes de licéité, loyauté et transparence (art. 5.1.a RGPD), de minimisation (art. 5.1.c) et de limitation des finalités (art. 5.1.b).

3.1 Site institutionnel waventix.com

• Formulaire de contact : prénom, nom, adresse email, type de projet, contenu du message.
• Candidature spontanée (par email à jobs@waventix.com) : données contenues dans votre email et vos pièces jointes (CV, lettre de motivation, portfolio).
• Journaux serveur : adresse IP, user-agent, referer, date/heure, code HTTP — à des fins de sécurité et de diagnostic.
• Mesure d'audience (avec consentement uniquement) : pages visitées, durée, source de trafic, type d'appareil, IP tronquée.

3.2 Application OceanBilling (web et mobile)

Données de compte utilisateur :

• identité (prénom, nom), email, numéro de téléphone, mot de passe haché (Argon2/bcrypt) ;
• rôle, droits et organisation de rattachement ;
• préférences d'affichage, langue, fuseau horaire ;
• données d'authentification multi-facteurs (le cas échéant).

Données métier saisies ou importées par l'utilisateur :

• fiches clients, fournisseurs et prospects (raison sociale, contacts, TVA, adresses) ;
• documents commerciaux (devis, bons de commande, factures, notes de crédit, rappels) ;
• articles, prix, stocks, taux de TVA ;
• écritures et pièces comptables, journaux, plans comptables ;
• données bancaires (RIB/IBAN saisis ou agrégés via l'intégration optionnelle) ;
• documents joints (PDF, images) et archives importées ;
• échanges avec le support intégré.

Données techniques (web + mobile) :

• adresse IP, user-agent, identifiant d'appareil (sur mobile, le cas échéant) ;
• journaux d'application (logs d'authentification, actions sensibles, erreurs) ;
• sur les applications mobiles iOS et Android : identifiants techniques fournis par Apple Push Notification Service (APNs) ou Firebase Cloud Messaging (FCM) uniquement si vous activez les notifications ; aucune donnée de géolocalisation, de carnet d'adresses, de photos, de microphone ni de capteurs n'est collectée hors action explicite et fonctionnalité utilisant cette donnée.

3.3 Données que nous ne collectons pas

Nous ne collectons aucune catégorie particulière de données au sens de l'article 9 RGPD (origine, opinions, religion, syndicat, santé, biométrie, orientation sexuelle), ni de données relatives aux condamnations pénales au sens de l'article 10. Si vous saisissez librement de telles données dans des champs libres (note, mémo, document joint), vous le faites sous votre seule responsabilité.

4. Finalités, bases légales & durées de conservation

Au-delà des durées indiquées, les données sont soit supprimées définitivement, soit anonymisées de manière irréversible à des fins statistiques.

5. Destinataires & sous-traitants

Vos données sont accessibles aux seuls collaborateurs habilités de Waventix SRL, dans la limite stricte de leurs fonctions et selon le principe du moindre privilège. Nous faisons appel aux sous-traitants suivants, au sens de l'article 28 du RGPD, encadrés par des accords de traitement de données (DPA) :

Nous pouvons également être amenés à communiquer vos données à :

• nos conseillers professionnels (avocats, experts-comptables) tenus au secret professionnel ;
• les autorités publiques compétentes en cas de réquisition judiciaire ou d'obligation légale.

Nous ne vendons, ne louons ni n'échangeons vos données à des tiers à des fins commerciales ou publicitaires.

6. Intégrations optionnelles (Peppol, banque, paiements)

OceanBilling propose plusieurs intégrations avec des prestataires tiers qui agissent comme responsables (conjoints ou indépendants) du traitement pour les données qu'ils reçoivent. Ces intégrations sont :

• strictement optionnelles et désactivées par défaut ;
• activées par votre choix explicite dans les réglages de l'application ;
• désactivables à tout moment sans conséquence sur les autres fonctionnalités d'OceanBilling.

Lors de l'activation, nous vous redirigeons généralement vers le prestataire pour recueillir votre consentement et, le cas échéant, votre Strong Customer Authentication (SCA). La politique de confidentialité du prestataire s'applique alors en parallèle de la nôtre.

6.1 Peppol — envoi et réception de factures électroniques via Scrada

Scrada est un Access Point agréé du réseau Peppol. Lorsque vous activez cette intégration, OceanBilling transmet à Scrada le contenu des factures que vous envoyez via Peppol et reçoit pour votre compte les factures électroniques émises par vos fournisseurs.

• Données transmises : contenu structuré des factures (UBL/Peppol BIS), identifiants Peppol (numéro de TVA), métadonnées de routage.
• Finalité : émission, réception et traçabilité des factures électroniques conformément aux obligations belges (e-invoicing B2G obligatoire, B2B en cours de déploiement).
• Base légale : exécution du contrat (6.1.b) et, à compter de l'entrée en vigueur de l'obligation, obligation légale (6.1.c).

6.2 Données bancaires — Isabel Group via Ponto

Ponto (édité par Isabel Group) est un agrégateur agréé au sens de la directive DSP2 (UE) 2015/2366. Avec votre consentement et après authentification forte auprès de votre banque, Ponto récupère vos opérations et soldes pour les afficher dans OceanBilling et faciliter le rapprochement bancaire.

• Données transmises depuis votre banque : IBAN, soldes, transactions, libellés, contreparties.
• Finalité : rapprochement automatique des paiements avec les factures, suivi de trésorerie.
• Base légale : consentement (6.1.a) — révocable depuis votre interface bancaire et depuis OceanBilling.
• Important : nous ne stockons jamais vos identifiants bancaires ; l'authentification se déroule directement chez votre banque (redirect SCA).

6.3 Paiements en ligne — Stripe

L'intégration Stripe permet à vos clients de régler leurs factures en ligne (carte, virement instantané, méthodes locales). Stripe agit comme responsable de traitement indépendant pour les données de paiement et de conformité (KYC/AML).

• Données transmises par OceanBilling à Stripe : montant, devise, référence facture, identifiant client.
• Données saisies directement chez Stripe : coordonnées bancaires/carte du payeur — jamais traitées ni stockées par Waventix. La page de paiement est iframée ou redirigée vers Stripe (PCI-DSS).
• Base légale : exécution du contrat de paiement (6.1.b) entre vous et votre client ; obligations légales de Stripe (6.1.c) pour la lutte contre le blanchiment.
• Politique Stripe : stripe.com/privacy.

6.4 Paiements par terminal — SumUp

L'intégration SumUp permet d'encaisser des paiements en présentiel via un terminal SumUp (TPE) ou tap-to-pay sur smartphone. SumUp agit comme responsable de traitement indépendant pour les données de paiement.

• Données transmises par OceanBilling à SumUp : montant, devise, référence de transaction.
• Données carte : jamais traitées par Waventix — elles transitent et sont traitées par SumUp et son acquéreur (PCI-DSS).
• Base légale : exécution du contrat de paiement (6.1.b) ; obligations légales de SumUp (6.1.c).
• Politique SumUp : sumup.com/legal/privacy.

6.5 Désactivation des intégrations

Vous pouvez désactiver à tout moment chacune de ces intégrations depuis les paramètres d'OceanBilling. La désactivation interrompt l'envoi futur de données vers le prestataire concerné, mais ne supprime pas automatiquement les données déjà traitées chez celui-ci ; vous devez le cas échéant exercer vos droits directement auprès du prestataire selon sa propre politique.

7. Intelligence artificielle

OceanBilling intègre des fonctionnalités d'intelligence artificielle (assistance à la rédaction, catégorisation comptable, OCR, suggestions, agent IA Kaï). Nous avons fait des choix d'architecture stricts pour garantir la confidentialité de vos données.

7.1 Hébergement souverain chez Infomaniak (Suisse)

Les modèles d'IA utilisés par OceanBilling sont hébergés et exécutés sur l'infrastructure Infomaniak, en Suisse (pays bénéficiant d'une décision d'adéquation de la Commission européenne). Vos prompts et leurs résultats restent dans l'environnement Infomaniak. Aucun appel n'est effectué vers des fournisseurs d'IA américains (OpenAI, Anthropic, Google, Microsoft, etc.) sans information préalable et accord explicite.

7.2 Pas d'entraînement sur vos données

Nous nous engageons expressément à ne pas utiliser vos données pour entraîner, ré-entraîner ou affiner des modèles d'IA, qu'ils soient les nôtres ou ceux de tiers. Vos prompts, vos documents, vos factures, vos écritures comptables et vos conversations avec l'IA ne sont jamais utilisés à des fins d'apprentissage.

Cet engagement est contractualisé avec notre prestataire d'infrastructure IA (Infomaniak) et appliqué techniquement par l'isolement des inférences et l'absence de journalisation à des fins d'entraînement.

7.3 Décisions humaines

Les suggestions de l'IA sont des aides à la décision. Aucune décision juridique, comptable ou financière n'est exécutée automatiquement sans validation humaine de votre part (voir aussi section 14 sur l'article 22 RGPD).

7.4 AI Act

Les fonctionnalités d'IA d'OceanBilling sont conçues pour respecter le Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act) et, notamment, les obligations de transparence (article 50) : chaque interaction avec l'IA est identifiable comme telle dans l'interface.

8. Archivage documentaire & responsabilité de l'utilisateur

OceanBilling propose des fonctionnalités d'archivage de documents (factures, devis, pièces comptables, documents annexes) afin de faciliter votre gestion et le respect de vos obligations de conservation.

8.1 Fonctionnalités d'archivage proposées

• Stockage des documents émis et reçus dans votre espace OceanBilling.
• Conservation des pièces comptables et des factures électroniques (formats UBL/PDF).
• Export à la demande (PDF, CSV, archives ZIP) pour vos sauvegardes externes.
• Restitution des données en cas de résiliation, dans un format structuré couramment utilisé.

8.2 Responsabilité de l'utilisateur — Sauvegardes

8.3 Limitation de responsabilité de Waventix

Bien que nous mettions en œuvre des mesures de sécurité, des sauvegardes internes et un plan de reprise d'activité (voir section 11), Waventix SRL ne saurait être tenu responsable, dans toute la mesure permise par le droit belge applicable, de :

• la perte, l'altération ou la destruction de données ou de documents archivés sur la plateforme ;
• l'indisponibilité temporaire du service quelle qu'en soit la cause ;
• le non-respect par l'utilisateur de ses propres obligations légales de conservation (comptables, fiscales, sociales) ;
• les conséquences fiscales, comptables ou contractuelles résultant de l'absence de sauvegardes externes ou d'une perte de données ;
• les actes de tiers (cyberattaques, défaillance d'un sous-traitant, force majeure) malgré les mesures de sécurité raisonnablement attendues.

Conformément aux articles 5.241 et 5.247 du Code civil belge, les présentes limitations ne s'appliquent pas en cas de dol ou de faute lourde de Waventix, ni aux dommages corporels causés par notre faute.

8.4 Archivage à valeur probante

OceanBilling met en œuvre des mécanismes raisonnables d'intégrité (horodatage, journaux d'événements, hachage). Pour un archivage électronique à valeur probante renforcée au sens du règlement eIDAS (UE) 910/2014 et de la norme belge NBN Z 04-001, il vous appartient de souscrire un service tiers dédié — Waventix peut vous orienter vers des prestataires qualifiés sur demande.

9. Applications mobiles & support

9.1 Applications iOS et Android

OceanBilling est disponible en application mobile :

• iOS — distribuée via l'Apple App Store (Apple Inc., Apple Distribution International Ltd., Irlande). La politique de confidentialité d'Apple s'applique au téléchargement.
• Android — distribuée via Google Play (Google Ireland Ltd.). La politique de Google s'applique au téléchargement.

Les applications mobiles ne collectent aucune donnée de géolocalisation, carnet d'adresses, photo, microphone, calendrier ou capteur sans action explicite de votre part pour une fonctionnalité l'exigeant. Les permissions système peuvent être révoquées à tout moment dans les réglages de votre appareil.

9.2 Support utilisateur

Waventix fournit un support utilisateur pour OceanBilling, accessible via :

• la messagerie intégrée à l'application web et aux apps mobiles ;
• par email à support@oceanbilling.com.

Pour les besoins du support, les agents habilités peuvent accéder, dans la mesure strictement nécessaire au traitement de votre demande, à vos journaux d'application et, avec votre accord, à votre espace. Tout accès au contenu de vos données métier est journalisé.

9.3 Absence de garantie de résultat

10. Transferts hors Union européenne

Conformément au chapitre V du RGPD (art. 44 à 50), nous nous assurons que des garanties appropriées encadrent les transferts vers des pays tiers :

• Suisse (Infomaniak, hébergement IA) — décision d'adéquation (décision 2000/518/CE, mise à jour 15 janvier 2024).
• États-Unis (Railway, Apple, Google LLC) — EU-US Data Privacy Framework (décision d'adéquation du 10 juillet 2023) et, à titre subsidiaire, Clauses Contractuelles Types (CCT) — décision 2021/914 du 4 juin 2021.
• Stripe, SumUp, Isabel, Scrada, Apple Distribution International, Google Ireland — établissements dans l'UE ou l'EEE.

Vous pouvez obtenir copie des garanties applicables à dpo@waventix.com.

11. Cookies et technologies similaires

Conformément à l'article 129 de la Loi belge du 13 juin 2005 (transposition de l'article 5.3 de la directive ePrivacy 2002/58/CE) et à la Recommandation 01/2020 de l'APD, nous vous informons des cookies utilisés sur le site public et dans l'application OceanBilling.

11.1 Google Analytics 4 — paramétrage

• Anonymisation d'IP (anonymize_ip) activée.
• Google Consent Mode v2 — stockage refusé par défaut.
• Aucun usage publicitaire ; signaux Google désactivés ; pas de remarketing.

11.2 Aucune publicité, aucun pixel social

Nous n'utilisons aucun cookie publicitaire, aucun pixel Meta/Facebook, TikTok, LinkedIn ou autre réseau social.

11.3 Gestion du consentement

Votre consentement est sollicité dès votre première visite via une bannière à trois choix d'égale visibilité (accepter, refuser, personnaliser), conformément aux lignes directrices EDPB 03/2022. Vous pouvez modifier vos choix via « Gérer mes cookies » en pied de page.

12. Sécurité des données

Conformément à l'article 32 du RGPD, nous mettons en œuvre des mesures techniques et organisationnelles appropriées :

• Chiffrement TLS (HTTPS/HSTS) sur l'ensemble du site, des apps et des emails en transit.
• Chiffrement des données au repos sur les volumes hébergés.
• Mots de passe stockés sous forme de hachage cryptographique (Argon2/bcrypt) ; jamais en clair.
• Authentification multi-facteurs disponible pour les comptes OceanBilling.
• Anti-bot par proof-of-work (Altcha) sur les formulaires publics ; honeypot anti-spam.
• Cloisonnement strict des environnements (dev / recette / production).
• Principe du moindre privilège, revue régulière des accès.
• Journalisation des accès aux données sensibles.
• Sauvegardes régulières chiffrées et plan de reprise d'activité.
• Mises à jour de sécurité régulières des dépendances et du système.
• Hébergement chez des prestataires certifiés (Infomaniak ISO 27001 / 50001 ; Railway SOC 2).

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'APD dans les 72 heures (art. 33 RGPD) et vous informerons individuellement en cas de risque élevé (art. 34).

13. Mineurs

OceanBilling est un service à destination des professionnels. Le site et l'application ne sont pas destinés aux mineurs de moins de 13 ans (seuil retenu par la Belgique en application de l'article 8 du RGPD, conformément à la Loi du 30 juillet 2018). Si vous estimez qu'un mineur nous a transmis des données sans le consentement de ses représentants légaux, contactez dpo@waventix.com.

14. Décisions automatisées & profilage

Conformément à l'article 22 du RGPD, nous ne prenons aucune décision automatisée produisant des effets juridiques vous concernant ou vous affectant de manière significative. Les fonctionnalités d'IA décrites en section 7 sont des aides à la décision soumises à validation humaine.

15. Vos droits et comment les exercer

En vertu des articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15)
• Droit de rectification (art. 16)
• Droit à l'effacement (art. 17)
• Droit à la limitation (art. 18)
• Droit à la portabilité (art. 20) — vos données vous sont restituées dans un format structuré, couramment utilisé et lisible par machine (export OceanBilling : CSV, PDF, UBL pour les factures)
• Droit d'opposition (art. 21)
• Droit de retrait du consentement (art. 7.3)
• Droit aux directives post-mortem (art. 84 RGPD et Loi belge du 30 juillet 2018)
• Droit d'introduire une réclamation auprès d'une autorité de contrôle (art. 77 — voir section 16)

15.1 Cas particulier : données concernant les clients d'un utilisateur OceanBilling

Si vous êtes client ou fournisseur d'un utilisateur d'OceanBilling et souhaitez exercer vos droits sur les données vous concernant (par exemple une facture émise à votre nom), vous devez adresser votre demande directement à l'utilisateur d'OceanBilling, qui est le responsable du traitement (voir section 2.2). Waventix, en tant que sous-traitant, ne peut intervenir qu'à la demande de ce responsable, conformément à l'article 28.3.e du RGPD.

En cas de difficulté à identifier ce responsable, vous pouvez nous écrire à dpo@waventix.com et nous transmettrons votre demande à l'utilisateur concerné.

15.2 Comment exercer vos droits

• Email : dpo@waventix.com
• Courrier : Waventix SRL — DPO — Rue du Quatre Août 3b7, 1300 Wavre (Belgique)

Nous répondons gratuitement dans un délai d'un mois (art. 12.3 RGPD), prolongeable de deux mois en cas de complexité.

16. Réclamation auprès de l'Autorité de protection des données

Vous pouvez également saisir l'autorité de contrôle de l'État membre de l'UE dans lequel se trouve votre résidence habituelle, votre lieu de travail ou le lieu où la violation aurait été commise.

17. Modifications de la présente politique

Toute modification substantielle (nouvelle finalité, nouveau sous-traitant majeur, nouvelle intégration optionnelle, changement de base légale) vous sera notifiée par bannière, par email aux titulaires de comptes OceanBilling, et — pour les traitements fondés sur le consentement — par renouvellement de la demande de consentement.

Dernière mise à jour : 21 mai 2026 · Version 1.1.

18. Contact

• Support OceanBilling : support@oceanbilling.com
• Signalement d'abus : abuse@waventix.com
• Contact général : hello@waventix.com

Pour les mentions légales (éditeur, hébergeur, propriété intellectuelle, responsabilité, droit applicable), consultez la page Mentions légales.