Politique de confidentialité

1. Responsable du traitement

Korta SRL
Siège social : [Adresse à compléter], Belgique
Email : hello@korta.be

Pour toute question relative au traitement de vos données, contactez-nous à l'adresse ci-dessus. Nous répondons dans un délai maximum de 30 jours calendrier.

2. Données collectées

Dans le cadre de l'utilisation de la plateforme Korta, nous collectons :

• Données de compte : nom, prénom, adresse email professionnelle, numéro de téléphone, nom de l'entreprise, numéro BCE, numéro de TVA, adresse du siège.
• Données de facturation : coordonnées bancaires ou de carte (gérées exclusivement par Stripe — Korta n'accède jamais aux numéros de carte en clair).
• Données d'usage : journaux de connexion, actions effectuées dans l'application (analytics agrégées, sans identification individuelle).
• Données clients de l'installateur : les informations relatives aux clients finaux saisies dans Korta (nom, adresse, téléphone, projets) sont traitées par Korta en qualité de sous-traitant. L'installateur reste responsable du traitement pour ses propres clients et doit s'assurer d'avoir la base légale adéquate.
• Agenda connecté (facultatif) : si un utilisateur connecte son agenda Google ou Outlook, les données décrites en section 5 bis.

3. Finalités du traitement

• Fourniture et amélioration du service Korta
• Gestion de l'abonnement et de la facturation
• Envoi d'emails transactionnels (confirmation de compte, alertes, factures)
• Support client et réponse aux demandes
• Respect des obligations légales et comptables

4. Base légale des traitements

• Exécution du contrat (Art. 6.1.b RGPD) : traitement nécessaire à la fourniture du service souscrit (compte, facturation, fonctionnalités de la plateforme).
• Intérêt légitime (Art. 6.1.f RGPD) : analytics d'usage agrégées et anonymisées pour l'amélioration du produit. Ces données ne permettent pas d'identifier un utilisateur individuel.
• Obligation légale (Art. 6.1.c RGPD) : conservation des données de facturation conformément aux obligations comptables belges.

5. Sous-traitants et transferts

Korta fait appel aux sous-traitants suivants, tous sélectionnés pour leur conformité RGPD :

• Supabase (Supabase Inc., USA) — hébergement de la base de données. Données stockées exclusivement en EU West (Irlande). DPA disponible sur supabase.com.
• Cloudflare (Cloudflare Inc., USA) — hébergement de l'application web (Cloudflare Workers) et de son cache. Conforme au Data Privacy Framework UE–USA.
• Stripe (Stripe Inc., USA) — traitement des paiements. Certifié PCI-DSS Level 1. DPA disponible sur stripe.com.
• Postmark (ActiveCampaign, LLC, USA) — envoi d'emails transactionnels. Données traitées en conformité avec le RGPD.
• Mistral AI (Mistral AI SAS, France, UE) — fonctionnalités d'intelligence artificielle (assistant de devis, brouillons d'e-mails et relances, briefing, transcription des notes vocales, analyse de photos de toiture et de chantier, publications pour les réseaux sociaux, assistant du portail client). Seules les données utiles à la tâche demandée sont transmises ; elles ne servent pas à entraîner les modèles.
• Google (Google LLC, USA) — si elle est activée, Google Maps Platform (analyse solaire des toits, Street View).
• Anthropic (Anthropic PBC, USA) — lecture automatique des demandes reçues par le formulaire de contact du site de l'installateur, pour créer la fiche du prospect. Uniquement si l'installateur active ce formulaire.
• OpenStreetMap : recherche d'adresses via Photon (komoot GmbH, Allemagne) et Nominatim (OpenStreetMap Foundation, Royaume-Uni). Seule l'adresse saisie est transmise, depuis nos serveurs.
• Esri (Esri Inc., USA) et Mapbox (Mapbox Inc., USA) — images satellite des cartes de chantier : le navigateur charge les images autour des coordonnées du projet.
• Cloudflare Turnstile — vérification anti-robot sur les pages de connexion et d'inscription, sans cookie publicitaire.
• Google Calendar (Google LLC, USA) et Outlook (Microsoft Corporation, USA) — synchronisation d'agenda. Opt-in uniquement : activée exclusivement si l'utilisateur connecte son compte. Détails en section 5 bis.
• DocuSeal — e-signature de documents. Opt-in uniquement : activée uniquement pour les devis soumis à signature électronique.
• Storecove (Datajust B.V., Pays-Bas) — point d'accès Peppol pour l'envoi des factures électroniques. Opt-in uniquement : activé si l'installateur active la facturation Peppol.

Les transferts vers les États-Unis reposent sur le Data Privacy Framework UE–USA ou, à défaut, sur les clauses contractuelles types de la Commission européenne.

Aucune donnée n'est vendue ni cédée à des tiers à des fins publicitaires ou commerciales.

5 bis. Agendas Google et Microsoft

La synchronisation avec Google Agenda ou Outlook est facultative. Elle n'est active que si un utilisateur connecte son agenda dans Paramètres › Calendriers, et il peut la couper à tout moment.

• Données consultées : l'adresse e-mail du compte connecté (pour l'afficher dans Korta) et les évènements de son agenda principal, de 30 jours avant à 12 mois après la synchronisation : titre, date et heure, lieu, description et couleur. Korta ne consulte ni les e-mails, ni les contacts, ni les fichiers, ni les autres agendas du compte.
• Utilisation : afficher ces évènements dans le planning Korta de l'entreprise, et ajouter à l'agenda les rendez-vous créés dans Korta (poses, visites, réunions) avec leur titre, horaire, lieu et notes, puis les tenir à jour. Ces données ne servent à rien d'autre.
• Ce que Korta ne fait pas : ces données ne sont ni vendues, ni utilisées pour de la publicité, ni transmises à des tiers (hors hébergement nécessaire au service, voir section 5), ni utilisées pour entraîner des modèles d'intelligence artificielle. Personne chez Korta ne les consulte, sauf à la demande explicite de l'utilisateur (support), pour la sécurité du service ou pour respecter la loi.
• Stockage : les jetons d'accès sont conservés dans notre base de données (Supabase, Union européenne, Irlande) et ne sont lisibles que par nos serveurs. Les évènements importés sont enregistrés dans le planning de l'entreprise.
• Suppression : déconnecter l'agenda dans Korta supprime les jetons et arrête la synchronisation. L'accès peut aussi être retiré depuis le compte Google (myaccount.google.com/permissions) ou Microsoft (account.live.com/consent/Manage). Les évènements déjà importés restent dans le planning jusqu'à ce que l'utilisateur les supprime ou ferme son compte ; une demande à hello@korta.be les efface.

L'utilisation et le transfert vers toute autre application des informations reçues des API Google par Korta respectent la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use).

Korta's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6. Durée de conservation

• Données de compte : durée de l'abonnement actif, puis 3 ans après la résiliation (prescription civile belge).
• Données de facturation : 7 ans à compter de la date de la facture (obligation légale belge — Code des sociétés et des associations).
• Données clients de l'installateur : conservées tant que le compte est actif. Exportables et supprimables à la demande de l'installateur.
• Agenda connecté : jetons d'accès supprimés à la déconnexion de l'agenda ; évènements importés conservés comme les autres données du planning.
• Journaux techniques : 90 jours glissants.

7. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement (« droit à l'oubli ») : supprimer vos données, sous réserve des obligations légales de conservation
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition : vous opposer à un traitement basé sur l'intérêt légitime
• Droit à la limitation : demander la suspension temporaire d'un traitement

Pour exercer vos droits, contactez-nous à hello@korta.be. Nous répondons dans les 30 jours calendrier. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l' Autorité de Protection des Données (APD) belge.

8. Cookies et traceurs

Korta n'utilise aucun outil de mesure d'audience : aucun identifiant persistant n'est déposé sur votre navigateur à cette fin.

Korta n'utilise aucun cookie publicitaire, aucun pixel de retargeting, ni aucun outil de profilage commercial.

9. Sécurité des données

Korta met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte ou divulgation, notamment :

• Chiffrement des données en transit (TLS 1.2+) et au repos
• Authentification à deux facteurs disponible pour tous les comptes
• Contrôle d'accès basé sur les rôles (Row Level Security — Supabase)
• Journalisation des accès et audits réguliers

10. Modifications de la politique

Cette politique de confidentialité peut être mise à jour pour refléter des évolutions réglementaires ou des changements dans nos pratiques. Toute modification substantielle sera notifiée aux utilisateurs actifs par email au moins 30 jours avant son entrée en vigueur.

La version en vigueur est toujours consultable à l'adresse korta.be/confidentialite.

11. Délégué à la Protection des Données (DPO)

Korta n'est pas tenu de désigner un DPO au sens de l'article 37 du RGPD (PME hors traitements à grande échelle de données sensibles). Pour toute question relative à la protection des données, le point de contact est : hello@korta.be