RGPD — Politique de protection des données personnelles
Dernière mise à jour : 23/08/2026 · Conforme au Règlement (UE) 2016/679 et à la Loi belge du 30 juillet 2018.
1. Responsable de traitement
RiLoProxy, plateforme exploitée à Enghien (Belgique). Pour toute question relative au traitement de vos données : dpo@enghien-proxy.be. Le responsable du traitement détermine les finalités et les moyens du traitement au sens de l'article 4(7) du RGPD.
2. Catégories de données collectées
- Identité : nom, prénom, date de naissance le cas échéant.
- Coordonnées : email, téléphone, adresses postales (livraison & facturation).
- Compte : identifiant, mot de passe haché (bcrypt/argon2id), préférences.
- Commandes : historique d'achats, statut, factures.
- Paiement : données de paiement traitées exclusivement par Stripe ; nous n'avons jamais accès au numéro complet de votre carte.
- Vendeurs : raison sociale, BCE, TVA, IBAN, document Stripe Connect.
- Documents Proximity : fichiers stockés au sein de l'espace entreprise (chiffrés AES-256-GCM, voir §7).
- Navigation : cookie de session indispensable, journal d'activité (date, IP, route HTTP) pour la sécurité.
3. Finalités & bases légales
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Création et gestion du compte | Exécution du contrat (b) |
| Traitement des commandes & livraison | Exécution du contrat (b) |
| Facturation, comptabilité, archivage légal | Obligation légale (c) |
| Sécurité, prévention de la fraude, journaux d'audit | Intérêt légitime (f) |
| Newsletter, marketing direct | Consentement (a) — révocable à tout moment |
| Programme fidélité, points, e-deals | Exécution du contrat (b) |
| Documents Proximity (stockage chiffré) | Exécution du contrat (b) + intérêt légitime (f) |
4. Durées de conservation
- Compte client : tant que le compte est actif, puis 3 ans après la dernière activité.
- Commandes & factures : 7 ans (obligation comptable belge / Code TVA).
- Documents Proximity : tant que l'entreprise est active, puis 30 jours pour permettre une restauration sur demande, puis suppression définitive (clé DEK révoquée).
- Logs de sécurité : 12 mois.
- Newsletters : jusqu'au retrait du consentement, puis purge sous 30 jours.
5. Destinataires & sous-traitants
- Vendeurs RiLoProxy — pour exécuter votre commande (uniquement les données nécessaires : adresse, téléphone, contenu commandé).
- Stripe Payments Europe Ltd (Irlande) — encaissement et paiement vendeurs.
- Hébergeur — infrastructure technique située en Union européenne.
- Bpost / livreurs partenaires — uniquement pour la livraison physique.
- Autorités — sur réquisition légale exclusivement.
Tous nos sous-traitants signent un accord de sous-traitance (DPA) au sens de l'article 28 du RGPD.
6. Transferts hors UE
Aucun transfert systématique de données hors de l'Union européenne. Lorsqu'un sous-traitant traite des données depuis un pays tiers, ce traitement est encadré par les Clauses Contractuelles Types (décision d'exécution UE 2021/914) ou un mécanisme reconnu équivalent.
7. Mesures techniques & organisationnelles (art. 32)
- Chiffrement at-rest des Documents Proximity en AES-256-GCM, avec gestion en enveloppe : une DEK (Data Encryption Key) unique par fichier est elle-même chiffrée par une KEK (Key Encryption Key) dérivée par HKDF-SHA256 à partir de trois facteurs distincts (clé applicative + secret filesystem hors-DB + sel). La compromission isolée d'un seul facteur (base de données ou disques ou variable d'environnement) ne permet pas de déchiffrer les fichiers.
- Chiffrement TLS 1.2+ en transit (HTTPS obligatoire en production).
- Mots de passe hachés via bcrypt / argon2id (jamais en clair).
- Sessions HTTP avec cookie HttpOnly + SameSite=Lax + rotation d'identifiant après login.
- Protection CSRF sur tous les formulaires sensibles ; en-têtes
X-Content-Type-Options,Referrer-Policy,Cache-Control: no-storesur les ressources confidentielles. - Journalisation d'audit des accès aux données sensibles ; détection d'intrusion basique.
- Sauvegardes chiffrées, isolées, testées périodiquement.
- Pseudonymisation et minimisation appliquées aux exports analytiques.
8. Vos droits (RGPD art. 15 à 22)
- Droit d'accès à vos données.
- Droit de rectification de données inexactes.
- Droit à l'effacement (« droit à l'oubli »), sous réserve des obligations légales de conservation.
- Droit à la limitation du traitement.
- Droit à la portabilité (export JSON / CSV).
- Droit d'opposition, notamment au profilage et à la prospection.
- Droit de retirer votre consentement à tout moment, sans affecter les traitements antérieurs.
- Droit de définir des directives post-mortem sur le sort de vos données.
Pour exercer un droit : dpo@enghien-proxy.be avec une preuve d'identité. Réponse sous 30 jours (extension possible à 60 jours pour les demandes complexes, avec information préalable).
9. Mineurs
L'inscription est réservée aux personnes majeures (18 ans). Les mineurs ne peuvent utiliser la plateforme qu'avec l'autorisation explicite et la supervision d'un parent ou tuteur légal.
10. Notification de violation
En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, vous serez notifié dans les meilleurs délais (RGPD art. 34). Toute violation est également notifiée à l'Autorité de Protection des Données dans les 72 heures (art. 33).
11. DPO & autorité de contrôle
Délégué à la Protection des Données : dpo@enghien-proxy.be.
Autorité de contrôle compétente : Autorité de Protection des Données (APD), Rue de la Presse 35, 1000 Bruxelles —
www.autoriteprotectiondonnees.be.
Cette politique peut être modifiée pour tenir compte d'évolutions légales ou techniques. Vous serez informé par email pour tout changement substantiel.