Politique de confidentialité

Entrée en vigueur : à sa publication dans l'Application et sur loyable.be

Cas du Règlement du concours : les traitements propres au concours Loyable sont décrits dans la présente politique et rappelés à l'article 14 du Règlement du concours Loyable.

Périmètre : la présente politique couvre l'ensemble des traitements de données personnelles opérés par Loyable, tant dans le cadre de l'application mobile Loyable (objet principal des sections 1 à 14) que dans le cadre de la liste d'attente publiée sur loyable.be (section 15 dédiée).

---

1. Qui sommes-nous ?

Loyable est une application mobile qui récompense les habitants qui font vivre les commerces de leur quartier : chaque passage chez un commerçant partenaire, constaté par le contact du téléphone avec le badge du commerçant, donne des tentatives pour un concours d'aptitude. Chaque semaine, les participants qualifiés sont répartis par niveau ; les meilleurs scores de chaque niveau gagnent de l'argent, porté à un solde que le participant fait virer sur son compte bancaire à partir d'un seuil publié. C'est l'aptitude qui désigne le gagnant.

Le responsable du traitement de vos données personnelles est :

Loyable Exploitant : entreprise individuelle belge, exploitée sous le nom commercial « Loyable » Siège d'activité : Rue des Français 218D boîte 22, 4430 Ans, Belgique BCE (Banque-Carrefour des Entreprises) : BE 1019.446.640 E-mail de contact général : contact@loyable.be Téléphone : +32 498 28 15 77 E-mail de contact pour la protection des données : privacy@loyable.be

2. À qui s'adresse cette politique ?

Cette politique s'adresse aux utilisateurs adultes (18 ans et plus) qui utilisent l'application Loyable en Belgique.

Si vous avez moins de 18 ans, vous ne pouvez pas utiliser Loyable.

Vérification de l'âge : à l'inscription, nous vous demandons votre âge ; l'inscription est refusée automatiquement en dessous de 18 ans. Nous ne conservons pas votre date de naissance : seulement l'année de naissance qui découle de l'âge indiqué. En appuyant sur « Accepter et créer ma carte », vous confirmez en outre avoir 18 ans ou plus. Votre majorité est vérifiée à nouveau, sur votre année de naissance, à chaque demande de virement de vos gains. En cas de doute fondé, nous pouvons vous demander une preuve de votre âge.

3. Quelles données personnelles nous traitons

Nous traitons uniquement les données nécessaires à la fourniture du service. Voici la liste complète.

3.1 Données que vous nous fournissez directement

Aucun numéro de téléphone n'est demandé aux habitants. Les numéros fournis sous des versions antérieures du service sont conservés sans être utilisés, sauf pour un contrôle : la détection d'un même numéro utilisé par un compte commerçant et par un compte habitant, qui ouvre une alerte examinée par une personne, jamais un blocage automatique.

Aucune connexion bancaire. Loyable ne vous demande aucune connexion à votre banque et ne lit jamais vos opérations bancaires.

3.2 Données générées par votre utilisation

3.3 Données que nous NE collectons PAS

• Vos numéros de carte bancaire
• Vos identifiants ou mots de passe bancaires
• Vos opérations bancaires
• Vos données de santé, opinions politiques, religieuses, ou toute autre donnée dite « sensible » au sens du RGPD

3.4 Qui voit quoi dans l'Application

3.5 Données issues de versions antérieures du service

Sous des versions antérieures du service, Loyable a collecté auprès de certains utilisateurs : une déclaration de charge de logement (type de charge, mode d'habitat, adresse du logement et, pour certaines déclarations, une empreinte de l'IBAN de paiement), et, pour le seul gagnant d'un concours, un consentement à une vérification bancaire réalisée par le prestataire Bridge (Perspecteev SAS), dont il ne subsiste qu'une trace d'audit sans aucune donnée bancaire. Ces données ne sont plus collectées et ne servent plus à aucune finalité. Elles sont conservées à titre de preuve pendant dix (10) ans à compter de leur collecte, puis supprimées.

Les comptes créés avant que l'Application ne demande l'âge ont fourni une date de naissance : elle reste conservée jusqu'à la suppression du compte, et la majorité de ces comptes continue d'être vérifiée sur cette date. Aucun nouveau compte n'en fournit.

4. Pour quelles finalités nous utilisons vos données

5. Décisions automatisées encadrées

Certaines règles du service s'appliquent automatiquement, selon des critères publics et identiques pour tous :

• Inscription : l'inscription est refusée lorsque l'âge indiqué est inférieur à 18 ans, ou lorsque le nom saisi contient une forme de société (Loyable est réservé aux particuliers) ; un pseudonyme peut être refusé s'il est déjà pris ou contient un mot réservé.
• Concours : les tentatives, la qualification, la composition des ligues, le classement, les montées et descentes de niveau et le montant des parts résultent de règles publiques et déterministes (Règlement, articles 5 à 10), sans profilage ni évaluation individuelle.
• Mises en revue : hors les refus techniques du jeu (Règlement, article 6.3), une partie qui déclenche un contrôle technique, ou une demande de virement dont l'IBAN a déjà servi à un autre compte ou dont la majorité n'est pas établie, est mise en revue humaine, jamais refusée automatiquement.

Toute décision susceptible de vous affecter (invalidation d'une partie, refus d'un virement, suspension ou suppression du compte pour fraude) est prise par une personne. Vous pouvez à tout moment demander une intervention humaine, exprimer votre point de vue ou contester une décision en écrivant à privacy@loyable.be ; le Règlement du concours organise en outre un recours interne (article 12.3).

6. Qui reçoit vos données ?

6.1 Au sein de Loyable et dans l'Application

Seules les personnes habilitées ont accès à vos données, avec des permissions limitées à leur rôle. Aujourd'hui, l'équipe Loyable est restreinte à son exploitant et aux prestataires techniques sous contrat de confidentialité. Certaines données sont en outre visibles d'autres utilisateurs de l'Application, dans les limites décrites au §3.4.

6.2 Nos prestataires techniques (sous-traitants au sens RGPD)

Nous recourons aux sous-traitants suivants, organisés par catégorie fonctionnelle. Chaque sous-traitant est lié à Loyable par un Accord de Traitement des Données (DPA) conforme à l'article 28.3 RGPD, n'utilise vos données que sur nos instructions documentées, et applique des mesures techniques et organisationnelles conformes à l'article 32 RGPD.

Infrastructure et plateforme (hébergement des données)

Services de paiement

Les virements de vos gains sont émis par Loyable depuis son compte bancaire ; votre IBAN, votre nom et le montant sont transmis à la banque de Loyable, qui agit en qualité de responsable autonome, pour l'exécution du virement.

Messagerie et notifications

Déploiement, observabilité et cartographie

Prestataire antérieur. Bridge (Perspecteev SAS), prestataire de services d'information sur les comptes agréé par l'ACPR (n° 16918P), a été utilisé sous une version antérieure du service pour la seule vérification bancaire ponctuelle d'un gagnant. Il ne reçoit plus aucune donnée ; les données conservées en lien avec cet usage sont décrites au §3.5.

La liste consolidée des sous-traitants, à jour, est disponible dans notre registre interne des sous-traitants (article 30 RGPD) et consultable sur loyable.be/legal/sous-traitants ou sur simple demande à privacy@loyable.be.

Fournisseurs d'authentification fédérée (responsables autonomes). Lorsque vous choisissez de vous connecter via Sign in with Google (Google Ireland Ltd, Irlande) ou Sign in with Apple (Apple Distribution International Ltd, Irlande), vous ouvrez une session directe chez Google ou Apple, qui nous transmet votre adresse e-mail, un identifiant technique et, si vous l'acceptez chez eux, votre prénom et votre nom, que nous utilisons pour préremplir l'écran de vos noms. Apple et Google agissent ici en qualité de responsables du traitement autonomes au sens des Lignes directrices 07/2020 du Comité européen de la protection des données — et non en qualité de sous-traitants de Loyable. Leur traitement est régi par leurs propres politiques de confidentialité : Apple et Google.

6.3 Transferts hors de l'UE

La majorité de vos données personnelles identifiables est hébergée dans l'Espace Économique Européen (Supabase Francfort, Render Francfort, Stripe Irlande, APNs Irlande, FCM Irlande ; voir §6.2). Certains de nos sous-traitants techniques sont toutefois établis aux États-Unis et reçoivent des données personnelles limitées dans le cadre de leurs services :

Ces transferts sont encadrés par deux couches juridiques cumulatives :

1. La décision d'adéquation UE–États-Unis (Data Privacy Framework, décision d'exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023) lorsque le sous-traitant concerné est certifié DPF ;
2. Les Clauses Contractuelles Types (Standard Contractual Clauses, décision d'exécution (UE) 2021/914 du 4 juin 2021), intégrées à nos DPA à titre subsidiaire ou cumulatif, accompagnées d'une analyse d'impact des transferts (Transfer Impact Assessment) conformément à l'arrêt CJUE Schrems II (C-311/18).

En cas d'invalidation future du DPF ou de modification du cadre juridique, les Clauses Contractuelles Types continueront à s'appliquer et nous vous informerons par une mise à jour de la présente politique.

6.4 Autorités publiques

Nous pouvons être tenus de transmettre certaines données à des autorités compétentes (administration fiscale, forces de l'ordre sur réquisition judiciaire, Autorité de Protection des Données). Nous vous en informerons dans la mesure où la loi nous le permet.

7. Combien de temps nous conservons vos données

8. Comment nous sécurisons vos données

Conformément à l'article 32 du RGPD, Loyable met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

• Chiffrement en transit : toutes les communications utilisent TLS 1.2 ou supérieur
• Chiffrement au repos : sur la base de données et le stockage ; l'IBAN d'une demande de virement est en outre chiffré individuellement (AES-256-GCM)
• Contrôle d'accès par rôle : chaque personne accède uniquement aux données nécessaires à sa mission ; toute consultation du dossier d'un joueur par l'administration est journalisée
• Row-Level Security (RLS) : chaque utilisateur ne peut accéder qu'à ses propres données
• Authentification : mot de passe d'au moins huit caractères, confirmé par un code envoyé par e-mail, ou connexion par Google ou Apple
• Journal d'audit : les actions sensibles de l'administration sont tracées et horodatées
• Sauvegardes chiffrées
• Mises à jour de sécurité appliquées en continu
• Notification de violation : en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, Loyable notifie l'Autorité de Protection des Données dans un délai de 72 heures (Art. 33 RGPD) et vous en informe dans les meilleurs délais si le risque est élevé (Art. 34 RGPD)

Registre des activités de traitement. Conformément à l'article 30 du RGPD, Loyable tient un registre interne des activités de traitement documentant, pour chaque traitement : la finalité, les catégories de personnes concernées, les catégories de données, les destinataires, les transferts hors UE, les durées de conservation et les mesures de sécurité. Ce registre est tenu à la disposition de l'Autorité de Protection des Données sur simple demande.

9. Vos droits

Vous disposez de l'ensemble des droits prévus par le RGPD et la loi belge du 30 juillet 2018 :

Vous pouvez supprimer vous-même votre compte dans l'Application (Réglages > Supprimer mon compte). Avant la suppression, l'Application vous indique le sort de votre solde (Règlement du concours, article 11.8).

10. Comment exercer vos droits

Par e-mail : privacy@loyable.be

Canal d'exercice : l'ensemble de ces droits est exerçable par courriel à privacy@loyable.be, sans formalisme particulier. La copie de vos données (droit d'accès et de portabilité) vous est adressée au format JSON.

Délai de réponse : un mois maximum à compter de la réception de votre demande (extensible de deux mois supplémentaires en cas de complexité, avec information préalable de votre part).

Vérification d'identité : nous pouvons vous demander de prouver votre identité avant de traiter certaines demandes sensibles (accès, effacement), afin de protéger votre compte.

Gratuité : l'exercice de vos droits est gratuit. Nous ne facturons un montant raisonnable qu'en cas de demandes manifestement infondées ou excessives (ce qui est rare).

11. Autorité de contrôle et réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'Autorité de Protection des Données (APD) de Belgique :

Autorité de Protection des Données Rue de la Presse 35, 1000 Bruxelles Téléphone : +32 (0)2 274 48 00 E-mail : contact@apd-gba.be Site web : www.autoriteprotectiondonnees.be

Nous vous encourageons toutefois à nous contacter en premier lieu à privacy@loyable.be — nous mettrons tout en œuvre pour répondre à vos préoccupations rapidement et amiablement.

12. Stockage sur votre téléphone et traceurs dans l'application

L'application mobile Loyable utilise uniquement les technologies suivantes :

• Stockage local sécurisé de votre session (jeton d'authentification)
• Stockage local de votre inscription en cours (noms, pseudonyme, âge, adresse), effacé dès la création de votre carte ou à la déconnexion
• Identifiant technique de notification (Expo Push Notifications, routé ensuite vers Apple APNs ou Google FCM), enregistré lorsque vous autorisez les notifications ; sur iPhone, une autorisation de notifications discrètes peut être enregistrée sans fenêtre de confirmation, et vous pouvez la retirer à tout moment dans les réglages du téléphone

Le site loyable.be utilise une mesure d'audience anonymisée et sans cookie (Vercel Web Analytics / Speed Insights). Nous n'utilisons aucun cookie publicitaire, aucun traceur tiers à but commercial.

13. Modifications de cette politique

Nous pouvons être amenés à modifier cette politique pour refléter des évolutions légales, techniques, ou fonctionnelles. En cas de modification substantielle, nous vous en informerons :

• Par un message dans l'application
• Par e-mail à l'adresse associée à votre compte
• Au moins 30 jours avant l'entrée en vigueur des modifications

La version la plus récente est toujours accessible dans l'application et sur loyable.be/confidentialite.

14. Questions ?

Pour toute question relative à cette politique ou au traitement de vos données personnelles :

• E-mail dédié : privacy@loyable.be
• Courrier postal : Loyable, Rue des Français 218D boîte 22, 4430 Ans, Belgique

Nous nous engageons à vous répondre dans les plus brefs délais.

15. Liste d'attente (loyable.be)

Avant le lancement public de l'Application mobile, Loyable a opéré une liste d'attente sur le site loyable.be, permettant aux personnes intéressées de manifester leur intérêt. Le formulaire d'inscription à la liste d'attente est fermé. La présente section décrit, conformément aux principes de transparence (Art. 12 RGPD) et de loyauté (Art. 5, §1, a RGPD), les traitements opérés dans ce cadre, qui sont distincts des traitements opérés via l'Application mais relèvent du même responsable de traitement (cf. section 1).

15.1 Données collectées via la liste d'attente

15.2 Finalités du traitement

Les données ci-dessus sont utilisées exclusivement pour :

• gérer l'inscription à la liste d'attente Loyable ;
• informer les inscrits du lancement de l'Application et de l'avancement du projet ;
• gérer le système de parrainage (suivi des invitations et des conversions) ;
• prioriser le déploiement géographique en fonction de la demande exprimée.

15.3 Base légale

Le traitement repose sur le consentement exprès de l'inscrit (Art. 6.1.a RGPD), exprimé lors de l'inscription volontaire à la liste d'attente. Ce consentement est révocable à tout moment, sans rétroactivité sur les traitements antérieurs, par simple demande à privacy@loyable.be ou par l'utilisation du lien de désinscription présent dans chaque e-mail de Loyable.

15.4 Durée de conservation

Les données de la liste d'attente sont conservées jusqu'au lancement de l'Application, ou jusqu'à la demande de suppression de l'inscrit. Après le lancement, les données des inscrits non convertis en Compte Loyable sont supprimées dans un délai de douze (12) mois, sauf demande contraire expresse de l'inscrit.

15.5 Sous-traitants spécifiques à la liste d'attente

Dans le cadre de la liste d'attente, les données sont hébergées et traitées exclusivement par les sous-traitants suivants, qui sont également listés à la section 6.2 :

• Supabase Inc. — hébergement de la base de données (région UE, Francfort) ;
• Vercel Inc. — hébergement du site web et mesure d'audience anonymisée ;
• Resend, Inc. — envoi des e-mails transactionnels et de confirmation.

Aucun autre sous-traitant ne reçoit les données de la liste d'attente.

15.6 Cookies et traceurs sur le site loyable.be

Le site loyable.be n'utilise aucun cookie publicitaire ni traceur tiers à but commercial. Les seuls cookies utilisés sont strictement nécessaires au fonctionnement du site, à la sécurité, et à la mesure d'audience anonymisée et sans cookie (Vercel Web Analytics / Speed Insights).

15.7 Droits des inscrits à la liste d'attente

Les inscrits à la liste d'attente disposent de l'ensemble des droits prévus aux sections 9 et 10 de la présente politique. Le canal d'exercice est identique : privacy@loyable.be.

---

Cette politique a été rédigée conformément au Règlement (UE) 2016/679 (RGPD), à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et aux lignes directrices du Comité européen de la protection des données (CEPD / EDPB).

Document rédigé en français, qui est la seule version faisant foi.