Sécurité & protection de vos données

Chiffrement de vos données

• Au repos : les tokens de connexion à votre boîte Gmail et à votre banque (Ponto Connect / Ibanity) sont chiffrés AES-256-GCM, avec une clé dédiée distincte de la base de données.
• En transit : toutes les connexions à Dirigia utilisent TLS 1.3.
• Avec votre banque : les échanges entre Dirigia et Ibanity (agrégateur bancaire) sont sécurisés par mTLS — authentification mutuelle par certificat client, en plus du TLS standard.
• Vos identifiants bancaires ne transitent jamais par Dirigia — vous vous authentifiez toujours directement sur l'interface de votre banque.

Isolation stricte entre entreprises

Dirigia est une plateforme multi-entreprise. Chaque table de notre base PostgreSQL est protégée par des politiques Row Level Security (RLS), qui filtrent chaque requête selon votre company_id. Concrètement : même en cas d'erreur applicative, une requête ne peut techniquement pas retourner les données d'une autre entreprise que la vôtre — l'isolation est appliquée au niveau de la base de données, pas seulement dans le code de l'application.

Hébergement dans l'Union européenne

Votre base de données et l'authentification sont hébergées en Irlande (Supabase, AWS eu-west-1). L'application elle-même tourne sur des serveurs européens (Vercel, Frankfort par défaut). Les données bancaires transitent uniquement via des acteurs établis en UE (Ibanity/Ponto Connect, Belgique). Certains sous-traitants annexes (assistant IA, monitoring) sont établis hors UE — voir la section « Sous-traitants » ci-dessous pour le détail et les garanties appliquées.

Vos droits RGPD

Conformément au Règlement Général sur la Protection des Données (RGPD — UE 2016/679), vous disposez à tout moment des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) — obtenir une copie des données que nous détenons sur vous
• Droit de rectification (art. 16) — corriger une donnée inexacte
• Droit à l'effacement (art. 17) — demander la suppression de votre compte et de vos données
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré et réutilisable

Ces demandes s'exercent directement dans l'application (export et suppression, voir ci-dessous) ou par email à privacy@dirigia.app, pour l'accès, la rectification ou toute autre demande. Voir aussi notre politique de confidentialité pour le détail complet des traitements et bases légales.

Exporter vos données

Depuis Paramètres → RGPD → Demander un export, vous pouvez télécharger l'intégralité de vos données dans un fichier structuré (JSON par entité, CSV de courtoisie, justificatifs uploadés). La génération se fait en arrière-plan : vous recevez un email avec le lien de téléchargement dès qu'il est prêt, généralement en 5 à 10 minutes. Limite : un export par 24 heures.

Supprimer votre compte

Depuis Paramètres → RGPD → Supprimer mon compte, la suppression suit un workflow sécurisé en plusieurs étapes :

• Un email de confirmation avec un lien valable 24 heures vous est envoyé
• Une fois confirmé, votre compte est supprimé sous 5 à 10 minutes
• Les factures émises et écritures comptables sont anonymisées (données personnelles retirées) puis conservées 10 ans, conformément aux obligations légales comptables belges (art. 60 §4 du Code TVA, art. III.86 du Code de droit économique)
• Tout le reste (notifications, historique IA, plannings, sites, catalogue) est supprimé définitivement
• Vous ne pourrez pas recréer un compte avec le même email pendant 30 jours — un délai de sécurité contre la ré-inscription frauduleuse, sans aucune autre conséquence pour vous

Sous-traitants ultérieurs

Pour fournir le service, Dirigia recourt à un nombre limité de sous-traitants, chacun encadré par un accord RGPD (DPA, clauses contractuelles types et/ou EU-US Data Privacy Framework selon leur localisation). Toute évolution de cette liste — ajout d'un sous-traitant ou changement de localisation — est notifiée par email avec un préavis de 30 jours.

Liste et garanties détaillées (DPA, clauses contractuelles types, EU-US Data Privacy Framework) sur la page sous-traitants ultérieurs.

Accord de sous-traitance (DPA)

Si vous traitez dans Dirigia des données de tiers (clients, fournisseurs, salariés), l'accord de sous-traitance (DPA) formalise le rôle de Dirigia comme sous-traitant au sens de l'article 28 du RGPD. Il est consultable sur /legal/dpa et signable directement depuis Paramètres → RGPD, avec conservation horodatée de votre signature et du hash du document signé.

En cas de violation de données

Dirigia applique une procédure interne documentée en cas de violation de données à caractère personnel (RGPD art. 33-34) :

• Notification à l'Autorité de Protection des Données (APD) belge sous 72 heures à compter de la constatation, si un risque existe pour vos droits et libertés
• Notification directe aux personnes concernées, sans délai indu, si le risque est jugé élevé (par exemple données financières exposées)
• Communication par email et, le cas échéant, bannière dans l'application, précisant la nature de l'incident, les données concernées, les conséquences probables et les mesures prises

Questions fréquentes

Besoin d'aide ?

Pour toute question strictement liée à la protection de vos données (RGPD, DPA, sous-traitants, effacement), écrivez à privacy@dirigia.app. Pour toute autre question, notre support est joignable du lundi au vendredi à support@dirigia.app.