Cette politique décrit ce que nous faisons des données personnelles lorsque vous consultez avanserv.com, lorsque vous nous écrivez, nous soumettez une demande de projet ou vous vous inscrivez à une liste d'attente, et lorsque vous utilisez l'application app.avanserv.com. Elle est rédigée pour être lue en entier : elle est courte parce que nous collectons peu.

Le responsable du traitement est Avanserv SRL, Rue du Vieux Fermier 6, 5100 Namur (Wierde), Belgique, numéro d'entreprise 1019.087.245. Pour toute question ou pour exercer vos droits : privacy@avanserv.com. Nous n'avons pas désigné de délégué à la protection des données, la taille et la nature de nos activités ne l'exigeant pas.

Ce que nous ne faisons pas#

Le site ne contient aucun traceur publicitaire ni outil de mesure d'audience. Nous ne vendons ni ne louons aucune donnée, nous n'envoyons pas de lettre d'information et nous ne prenons aucune décision entièrement automatisée produisant des effets juridiques à votre égard.

La consultation du site#

Comme tout serveur web, le nôtre tient des journaux techniques : adresse IP, page demandée, horodatage et identification du navigateur. Ils servent uniquement à la sécurité, au diagnostic d'incidents et à la prévention des abus, sur la base de notre intérêt légitime à maintenir le service en état de fonctionnement (article 6.1.f du RGPD). Ils sont hébergés par Scaleway dans l'Union européenne ; leur collecte centralisée, avec une conservation de 90 jours, est planifiée et n'est pas encore active : chaque journal reste aujourd'hui sur le nœud qui l'a produit, sous la rotation par défaut de l'environnement d'exécution.

Les quelques cookies utilisés sont tous strictement nécessaires ou liés à une préférence que vous avez exprimée ; ils sont détaillés dans la politique relative aux cookies.

Tout ce qu'une page affiche, polices de caractères et icônes comprises, provient de nos propres serveurs. L'affichage du site ou de l'application ne transmet votre adresse IP à personne d'autre.

Le formulaire de contact#

Lorsque vous nous soumettez une demande de projet, nous enregistrons ce que vous saisissez : votre nom, votre adresse email, le cas échéant le nom de votre entreprise et votre environnement technique, la nature du besoin, sa description, l'horizon de temps, la fourchette de budget et la langue de votre navigateur. Ces réponses servent à une seule chose : vous répondre et établir une proposition. La base juridique est l'exécution de mesures précontractuelles prises à votre demande (article 6.1.b du RGPD). Le nom, l'adresse email, la nature du besoin, sa description, l'horizon de temps et la fourchette de budget sont nécessaires pour traiter votre demande ; sans eux, nous ne pouvons pas y donner suite. Le nom de votre entreprise et votre environnement technique sont facultatifs.

Les réponses enregistrées dans notre base de données, hébergée dans l'Union européenne, sont supprimées définitivement douze mois après leur envoi, par un traitement automatique. Deux emails seront émis au moment de la soumission : un accusé de réception qui vous sera adressé et une notification interne qui reprendra vos réponses, purement transactionnelle ; soumettre le formulaire ne vous inscrit à aucune liste de diffusion. La notification interne aboutira dans nos boîtes professionnelles, hébergées par Google Workspace (voir la section sur les transferts), où elle sera conservée avec notre correspondance (voir la section sur la correspondance).

Pour prévenir les abus, le nombre de soumissions est limité par adresse IP et par adresse email ; ces compteurs techniques sont de courte durée et ne sont pas joints à votre demande.

Les listes d'attente#

Pour une offre encore en construction, une liste d'attente vous prévient de son ouverture. Lorsque vous vous y inscrivez, nous enregistrons votre adresse email, l'offre qui vous intéresse, la ligne facultative sur ce que vous construisez, la langue de la page et la date de l'inscription. Ces données servent à vous écrire lorsque l'offre ouvre et, si votre projet correspond à ce que nous cherchons pour la phase pilote, à vous écrire directement avant cela. La base juridique est votre consentement (article 6.1.a du RGPD). L'adresse email est nécessaire pour votre inscription ; sans elle, nous ne pouvons pas vous prévenir de l'ouverture de l'offre.

Vous retirez ce consentement à tout moment en écrivant à privacy@avanserv.com, ou par le lien de l'email de confirmation : le lien supprime votre inscription immédiatement, une demande écrite est traitée sans retard injustifié. Le retrait ne remet pas en cause les traitements effectués auparavant. Sans retrait, l'inscription est enregistrée dans notre base de données, hébergée dans l'Union européenne, et supprimée définitivement deux ans après sa date, par un traitement automatique.

Deux emails seront émis au moment de l'inscription : une confirmation qui vous sera adressée et une notification interne qui reprendra votre adresse, l'offre choisie et votre ligne facultative, conservée dans nos boîtes professionnelles avec notre correspondance. Quitter la liste efface votre inscription ; une demande à privacy@avanserv.com efface aussi cette notification une fois qu'elle existe. Le nombre d'inscriptions est limité par adresse IP et par adresse email, par des compteurs de courte durée qui ne sont pas joints à votre inscription.

La prise de rendez-vous#

La page de contact propose un lien vers notre page de prise de rendez-vous (Google Calendar) : ce que vous y indiquez, votre nom, votre adresse email, ce que vous nous écrivez dans le champ libre et le créneau retenu, est enregistré directement dans notre propre agenda, hébergé par Google Workspace (voir la section sur les transferts). Nous en sommes responsables du traitement, Google le traitant pour notre compte. Nous conservons ces informations comme notre correspondance (voir la section sur la correspondance).

Les avis sur Google#

Le site renvoie au formulaire d'avis de notre fiche Google. Ce que vous y écrivez est publié par Google, selon ses propres conditions et sa politique de confidentialité, sous le nom de votre compte Google. Nous pouvons y répondre publiquement, sur Google.

Les emails que nous envoyons#

Les accusés de réception, les confirmations d'inscription à une liste d'attente, la vérification d'adresse, la réinitialisation de mot de passe et les notifications de compte sont des emails automatiques et transactionnels, qui seront envoyés par le service d'emails transactionnels de Scaleway, en France, dès que ce relais fonctionnera ; la liste des sous-traitants sera mise à jour à ce moment. Les emails qui annoncent l'ouverture d'une offre ou proposent la phase pilote sont écrits et envoyés à la main depuis nos boîtes professionnelles, sur la base du consentement donné à l'inscription, non d'une relation transactionnelle. L'email qui clôture une mission, envoyé à la main lui aussi, demande un avis sur Google, sur la base de notre intérêt légitime à faire connaître notre travail (article 6.1.f du RGPD) ; pour vous y opposer, écrivez à privacy@avanserv.com. Notre registre d'envoi conserve la trace de la remise, avec l'adresse du destinataire et l'objet du message, pendant 30 jours ; toute trace d'un message resté bloqué disparaît au plus tard après 90 jours. Le corps des messages qui contiennent un élément sensible, comme un lien de vérification ou les réponses envoyées par un formulaire, est effacé du registre dès la remise ; celui des autres messages expire avec la ligne du registre.

La correspondance#

Les emails que vous nous adressez, nos réponses et les notifications internes des formulaires sont conservés dans nos boîtes professionnelles, hébergées par Google Workspace (voir la section sur les transferts). Ils servent à suivre nos échanges, sur la base de notre intérêt légitime à vous répondre et à garder la trace de ce qui a été dit (article 6.1.f du RGPD). Une règle de Google Workspace supprime automatiquement chaque email trois ans après son envoi ou sa réception. Ceux qui se rattachent à un contrat ou à une pièce comptable sont classés à part et conservés aussi longtemps que la loi l'exige. Vous pouvez demander leur effacement plus tôt à privacy@avanserv.com.

Le compte utilisateur de l'application#

Votre compte sur app.avanserv.com a l'une de ces origines : un administrateur de votre organisation cliente le crée pour vous, ou le fournisseur d'identité qu'elle utilise (authentification unique) le crée à votre première connexion ; dans ces deux cas, nous obtenons vos données de cette source tierce (article 14.2.f du RGPD). Nous traitons vos données d'identification et de contact (nom, prénom, adresse email, le cas échéant téléphone, langue, avatar) et celles nécessaires à la sécurité du compte, sur la base de notre intérêt légitime à fournir et à sécuriser le service (article 6.1.f du RGPD) ; ce compte n'est pas nécessairement un contrat conclu avec vous personnellement. Le contenu que votre organisation héberge dans l'application est traité pour son compte, selon l'accord de sous-traitance de données qui nous lie à elle.

Votre mot de passe n'est jamais stocké en clair : nous n'en conservons qu'une empreinte obtenue par un algorithme de hachage robuste (bcrypt). Lors de la création ou du changement d'un mot de passe, nous vérifions qu'il n'apparaît pas dans des fuites de données connues en interrogeant le service Have I Been Pwned : seuls les cinq premiers caractères d'une empreinte cryptographique du mot de passe candidat sont transmis, jamais le mot de passe lui-même ni aucune donnée permettant de vous identifier.

Les journaux techniques de l'application comportent l'adresse IP de la requête et, pour une session ouverte, les identifiants de votre compte et de votre organisation ; une collecte centralisée, avec une conservation de 90 jours, est planifiée et n'est pas encore active : chaque journal reste aujourd'hui sur le nœud qui l'a produit, sous la rotation par défaut de l'environnement d'exécution. Les données de compte sont conservées jusqu'à ce que leur effacement soit demandé après la clôture du compte : une demande adressée à privacy@avanserv.com déclenche alors leur effacement, exécuté par une personne et non par un automate, qui retire vos données d'identification, de contact et de sécurité de compte. Il laisse en place les journaux techniques sur leur rotation actuelle, la sauvegarde de la base de données de la plateforme jusqu'à son cycle de sept jours, et les pièces comptables et fiscales que la loi nous impose de garder sept ans.

Les destinataires#

Vos données ne sont accessibles qu'aux personnes qui en ont besoin au sein de la société et aux prestataires techniques listés dans la liste des sous-traitants, chacun lié par un contrat conforme à l'article 28 du RGPD.

Selon leur nature, vos données peuvent aussi être accessibles à nos outils de gestion interne (le logiciel Odoo, à odoo.avanserv.com, hébergé dans l'Union européenne), à notre comptable, à notre banque et à notre assureur, chacun pour ce que sa mission requiert, et à nos conseils juridiques lorsque nous devons les consulter. Nos factures à un client assujetti à la TVA en Belgique lui sont transmises par le réseau Peppol, via le point d'accès qu'exploite Odoo SA, en Belgique. Nous ne communiquons des données à des autorités que lorsque la loi nous y oblige.

Les transferts hors de l'Espace économique européen#

Nos serveurs et notre stockage sont dans l'Union européenne, comme le sera notre relais d'envoi d'emails. Plusieurs services font exception :

Google Workspace héberge nos boîtes professionnelles et notre agenda de prise de rendez-vous ; nos échanges par email, les notifications des formulaires et les rendez-vous pris y aboutissent. Google traite ces données aux États-Unis et dans les pays où ses propres sous-traitants opèrent. Google est certifié dans le cadre du Data Privacy Framework UE-États-Unis ; ce cadre fait l'objet d'un recours devant la Cour de justice de l'Union européenne (affaire C-703/25 P), de sorte que les clauses contractuelles types de la Commission européenne restent applicables en complément.
Have I Been Pwned, utilisé pour la vérification des mots de passe décrite ci-dessus, est opéré depuis l'Australie, derrière le réseau Cloudflare ; il ne reçoit qu'un fragment d'empreinte cryptographique, qui ne constitue pas une donnée permettant de vous identifier.

Notre hébergeur de code source et notre chaîne d'intégration continue (GitHub) et l'outil d'intelligence artificielle qui relit nos modifications de code avant leur fusion (Anthropic) ne reçoivent aucune donnée que nous traitons pour nos clients ou nos visiteurs : GitHub héberge notre code, Anthropic n'en reçoit que le contenu des modifications.

Vos droits#

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation du traitement, la portabilité des données que vous nous avez fournies, et vous opposer aux traitements fondés sur notre intérêt légitime. Écrivez à privacy@avanserv.com ; nous pouvons vous demander un élément permettant de vérifier votre identité avant de répondre. Nous répondons dans le mois, gratuitement. Le traitement de ces demandes est assuré par une personne, pas par un automate.

Si vous estimez que nous traitons vos données de manière contraire au règlement, vous pouvez introduire une réclamation auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, téléphone +32 2 274 48 00, contact@apd-gba.be.

La sécurité#

Les échanges avec nos serveurs sont chiffrés (TLS). Les accès internes suivent le principe du moindre privilège, les mots de passe sont hachés, la séparation entre les environnements des clients est logique, sur une infrastructure partagée, et la base de données de la plateforme app.avanserv.com fait l'objet d'une sauvegarde quotidienne, conservée sept jours et chiffrée par notre fournisseur d'infrastructure. Le nombre de tentatives de connexion et de réinitialisation de mot de passe est limité pour contenir les essais automatisés, et un compte créé par un administrateur garde la trace de la personne qui l'a créé. Un outil de suivi des erreurs, en préparation dans notre propre infrastructure, n'est pas encore en service. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous la notifions à l'Autorité de protection des données dans les 72 heures et nous vous en informons lorsque le risque est élevé.

Les modifications de cette politique#

Chaque version de cette politique est datée. En cas de changement substantiel, une mention visible sur le site le signale ; la version en ligne fait foi.

Confidentialité et RGPD