Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données est Atlas Digital SRL (TVA BE 1033.770.471), Boulevard du Roi Albert II 4, 1000 Bruxelles, Belgique, joignable à contact@lumohub.eu.

2. Données collectées

Nous traitons uniquement les données nécessaires au fonctionnement du service :

• Compte : nom, prénom, email, mot de passe (haché), langue, téléphone (optionnel).
• Connexion avec Google ou Microsoft (si vous la choisissez) : ce fournisseur vous authentifie selon sa propre politique de confidentialité et nous transmet votre nom et votre adresse e-mail. Nous ne lui transmettons rien.
• Entreprise : dénomination, numéro d'entreprise, numéro de TVA, adresse, forme juridique, caisse sociale, coordonnées bancaires (IBAN, BIC).
• Activité : factures, dépenses, contrats, clients, prospects, jours prestés, investissements, documents que vous y déposez.
• Facturation Lumohub : votre abonnement est géré par Stripe ; nous ne stockons jamais vos données de carte bancaire.
• Techniques : journaux serveur et historique de vos connexions (adresse IP, pays, navigateur, horodatage) à des fins de sécurité et de diagnostic.

Les données de vos propres clients que vous enregistrez dans Lumohub sont traitées pour votre compte : vous en restez responsable, et Lumohub agit comme sous-traitant au sens du RGPD, selon l'accord de traitement annexé aux conditions générales d'utilisation.

3. Finalités et bases légales

• Fourniture du service (exécution du contrat) : gestion du compte, facturation, e-facturation Peppol, calculs fiscaux, exports.
• Emails transactionnels (exécution du contrat) : confirmation de compte, rappels d'échéances, alertes fiscales.
• Sécurité et prévention des abus (intérêt légitime) : journaux, limitation de débit, authentification à deux facteurs, protection du réseau.
• Obligations légales de Lumohub comme vendeur : la comptabilité de nos propres factures d'abonnement. Les documents que vous créez dans Lumohub n'en font pas partie : leur conservation légale reste votre obligation (section 6).

4. Sous-traitants

Nous faisons appel à des prestataires strictement nécessaires, dans le cadre du RGPD :

• Scaleway — hébergement et stockage, centres de données dans l'UE.
• Cloudflare — placé devant le site et l'application : il reçoit chaque connexion chiffrée (TLS), la filtre contre les attaques et la transmet à notre hébergeur ; il assure aussi la résolution des noms de domaine (DNS). Il voit donc chaque requête, dont votre adresse IP, et nous indique le pays d'où vous vous connectez.
• Stripe — paiement des abonnements (certifié PCI-DSS).
• Brevo — envoi des emails transactionnels.
• Recommand — point d'accès au réseau Peppol pour l'envoi et la réception de factures électroniques.
• Scaleway — stockage de nos sauvegardes nocturnes, centres de données en France. Elles sont chiffrées avant de quitter notre chaîne de déploiement : Scaleway ne peut pas les lire.
• GitHub (groupe Microsoft) — notre chaîne de déploiement, qui exécute aussi la sauvegarde nocturne : le temps de la chiffrer, la base de données passe par ses serveurs.
• Anthropic — fonctions d'intelligence artificielle. Le chat d'aide (tous les plans) reçoit vos questions et la conversation en cours ; les conseils personnalisés (à partir du plan Pro) reçoivent les chiffres de votre année (chiffre d'affaires, charges, revenu net), votre pays, votre forme juridique et vos assurances ; la lecture de documents (plan Expert, et pendant l'essai) reçoit le reçu, le contrat ou la facture que vous déposez pour remplir le formulaire. Anthropic traite ces données pour notre compte, sous un accord de traitement des données, et ne les utilise pas pour entraîner ses modèles.

5. Transferts hors de l'Union européenne

Vos données sont hébergées dans l'Union européenne, et l'envoi des e-mails (Brevo) comme le réseau Peppol (Recommand) y restent. Quatre sous-traitants sont des sociétés américaines qui peuvent traiter des données aux États-Unis :

• Cloudflare, par où passe chaque requête vers le site et l'application, sous le cadre de protection des données UE–États-Unis (Data Privacy Framework), complété par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914) ;
• Anthropic, pour les fonctions d'intelligence artificielle décrites ci-dessus, sous ces mêmes clauses contractuelles types ;
• Stripe, pour le paiement de l'abonnement, sous le Data Privacy Framework, complété par ces mêmes clauses contractuelles types ;
• GitHub, dont les serveurs qui exécutent la sauvegarde nocturne peuvent se trouver aux États-Unis, sous le Data Privacy Framework, complété par ces mêmes clauses contractuelles types.

6. Durées de conservation

• Compte actif : tant que le compte existe.
• Suppression de compte : effacement définitif de toutes vos données après un délai de rétractation de 30 jours. Rien n'est conservé au-delà.
• Inscription inachevée : les réponses déjà saisies sont gardées 30 jours pour vous permettre de reprendre, puis effacées. Elles le sont aussitôt l'inscription terminée.
• Compte inactif : un compte sans abonnement depuis plus de 2 ans est averti par e-mail, puis effacé définitivement de la même manière.
• Avant tout effacement, vous pouvez exporter vos factures et documents (archive ZIP certifiée incluse dans le plan Expert). Votre obligation légale de conservation reste la vôtre : sa durée dépend de votre pays et l'application vous la rappelle.
• Nos propres factures d'abonnement : conservées conformément à nos obligations comptables de vendeur. Il s'agit de vos coordonnées de facturation et des montants payés — jamais des documents que vous avez créés dans Lumohub.
• Journaux techniques (connexions, erreurs, e-mails envoyés) : 90 jours.

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. L'application intègre directement l'export complet de vos données et la demande de suppression de compte (Paramètres → Compte). Pour toute autre demande : contact@lumohub.eu. Vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre pays de résidence (en Belgique : l'Autorité de protection des données, autoriteprotectiondonnees.be).

8. Cookies et stockage local

Lumohub n'utilise que des cookies strictement nécessaires — à votre connexion, à la sécurité du service ou au rappel d'un choix que vous avez fait vous-même :

• .AspNetCore.Cookies — votre session de connexion, sécurisée et illisible par les scripts de la page ; il disparaît à la déconnexion ou à la fin de la session.
• .AspNetCore.Correlation.… — seulement pendant une connexion avec Google ou Microsoft : il sécurise l'aller-retour vers ce fournisseur, puis disparaît.
• .AspNetCore.Antiforgery.… — protège les formulaires de l'application contre les requêtes envoyées à votre insu ; il disparaît à la fermeture du navigateur.
• .AspNetCore.Culture — la langue que vous avez choisie, gardée un an.
• flh-theme — le thème clair ou sombre que vous avez choisi, gardé un an.
• flh_country — le pays choisi sur le site public, pour y afficher ses taux et ses montants, gardé un an.
• ARRAffinity et ARRAffinitySameSite — déposés par notre hébergeur pour adresser vos requêtes au même serveur pendant votre visite ; ils disparaissent à la fermeture du navigateur.

Lors d'un paiement, et seulement à cette étape, notre prestataire de paiement Stripe dépose sur ses pages ses propres cookies de prévention de la fraude, strictement nécessaires à la transaction. Cloudflare peut déposer un cookie de sécurité (__cf_bm, ou cf_clearance après une vérification) lorsqu'il doit distinguer un visiteur d'un robot.

L'application garde aussi quelques réglages dans le stockage local de votre navigateur : la langue, le plan choisi à l'inscription, la taille des listes, les messages déjà lus ou fermés. Ils restent sur votre appareil.

Aucun cookie publicitaire, de mesure d'audience ou de pistage n'est utilisé : les visites du site public sont comptées sans cookie ni adresse IP, en simples totaux par jour et par page. Ces cookies et réglages étant strictement nécessaires, ils ne demandent pas votre consentement — c'est pourquoi aucun bandeau de consentement n'est requis.

9. Sécurité

Connexions chiffrées (HTTPS), données chiffrées au repos par l'hébergeur, mots de passe hachés (bcrypt), authentification à deux facteurs disponible pour chaque compte et obligatoire pour l'administration, cloisonnement strict des données par utilisateur, hébergement dans l'UE. Voir la page Sécurité.