Politique de confidentialité

Dernière mise à jour : 15 mars 2026

1. Responsable du traitement des données

Ovation Studio, en sa qualité de responsable du traitement au sens de l’article 4, point 7, du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « RGPD »), s’engage à protéger la vie privée des utilisateurs de la plateforme AutoSourcer (ci-après « la Plateforme »).

La présente politique de confidentialité décrit les catégories de données à caractère personnel collectées, les finalités et bases juridiques du traitement, les durées de conservation, les droits des personnes concernées et les mesures de sécurité mises en œuvre, conformément au RGPD, à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et à la directive 2002/58/CE « ePrivacy ».

2. Données à caractère personnel collectées

Dans le cadre de la fourniture et de l’amélioration du service AutoSourcer, nous collectons et traitons les catégories de données suivantes :

2.1. Données d’identification et de contact

• Nom et prénom
• Adresse e-mail
• Mot de passe (stocké sous forme de hachage cryptographique irréversible ; nous ne stockons jamais le mot de passe en clair)
• Langue préférée

2.2. Données d’utilisation du service

• Recherches enregistrées (critères de recherche automobile : marque, modèle, année, prix, kilométrage, etc.)
• Véhicules ajoutés aux favoris
• Historique des exports CSV
• Messages envoyés via le chat de support intégré
• Paramètres de notifications et préférences utilisateur
• Code de parrainage et historique du programme de parrainage

2.3. Données de paiement

• Les transactions de paiement sont intégralement gérées par notre prestataire de services de paiement Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, États-Unis)
• Ovation Studio ne collecte, ne stocke et ne traite aucune donnée de carte bancaire (numéro de carte, date d’expiration, cryptogramme)
• Nous conservons uniquement l’identifiant client Stripe, le type de plan souscrit, la date de début et de fin d’abonnement, et le statut du paiement

2.4. Données techniques et de connexion

• Adresse IP
• Type et version du navigateur (User-Agent)
• Système d’exploitation
• Date, heure et durée de connexion
• Pages consultées et actions effectuées sur la Plateforme
• Cookies de session et d’authentification (voir section 10)

2.5. Données collectées automatiquement par des tiers

Lorsque vous effectuez un paiement, Stripe peut collecter des données supplémentaires conformément à sa propre politique de confidentialité disponible sur stripe.com/privacy.

3. Finalités et bases juridiques du traitement

Conformément à l’article 6 du RGPD, chaque traitement repose sur une base juridique spécifique :

Finalité	Base juridique (art. 6 RGPD)
Création et gestion de votre compte utilisateur	Exécution du contrat (art. 6.1.b)
Fourniture du service de sourcing automobile (recherches, alertes, favoris, exports)	Exécution du contrat (art. 6.1.b)
Gestion des abonnements et facturation via Stripe	Exécution du contrat (art. 6.1.b)
Gestion du programme de parrainage	Exécution du contrat (art. 6.1.b)
Envoi de notifications relatives au service (nouveaux résultats, alertes prix)	Exécution du contrat (art. 6.1.b)
Sécurité de la Plateforme, prévention de la fraude et des abus	Intérêt légitime (art. 6.1.f)
Amélioration du service et analyse d’utilisation agrégée	Intérêt légitime (art. 6.1.f)
Support client via le chat intégré	Exécution du contrat (art. 6.1.b)
Respect des obligations légales et fiscales (facturation, comptabilité)	Obligation légale (art. 6.1.c)
Communications marketing (le cas échéant)	Consentement (art. 6.1.a)

4. Durée de conservation des données

Conformément au principe de limitation de la conservation (article 5.1.e du RGPD), vos données personnelles sont conservées pour la durée strictement nécessaire aux finalités pour lesquelles elles sont traitées :

• Données de compte : conservées pendant toute la durée d’activité du compte, puis supprimées dans un délai maximum de 12 mois après la clôture ou la suppression du compte
• Données d’utilisation (recherches, favoris) : conservées pendant la durée du compte actif, supprimées avec le compte
• Messages du chat support : conservés pendant 24 mois après le dernier message, puis anonymisés ou supprimés
• Données de facturation et comptables : conservées pendant 7 ans conformément aux obligations comptables belges (Code des sociétés et des associations, article III.86)
• Données techniques (logs de connexion) : conservées pendant 12 mois à des fins de sécurité
• Cookies de session : supprimés à la fermeture du navigateur ou après expiration de la session (maximum 30 jours)

À l’expiration de ces délais, les données sont irréversiblement supprimées ou anonymisées de manière à rendre impossible toute identification de la personne concernée.

5. Destinataires et partage des données

Vos données à caractère personnel ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales ou publicitaires.

Elles peuvent être communiquées aux catégories de destinataires suivantes, exclusivement dans la mesure nécessaire aux finalités décrites ci-dessus :

Destinataire	Finalité	Localisation
Stripe, Inc.	Traitement des paiements par carte bancaire	UE / États-Unis (clauses contractuelles types)
OVHcloud	Hébergement de l’infrastructure et des données	France (Union européenne)
Hetzner Online GmbH	Hébergement de serveurs	Allemagne (Union européenne)
Autorités compétentes	Sur réquisition judiciaire ou obligation légale	Belgique / UE

Des accords de traitement de données (Data Processing Agreements — DPA) conformément à l’article 28 du RGPD sont en place avec chacun de nos sous-traitants.

6. Transferts internationaux de données

Vos données sont principalement hébergées au sein de l’Union européenne (OVHcloud, France ; Hetzner, Allemagne).

En cas de transfert de données vers un pays situé en dehors de l’Espace économique européen (EEE), et notamment vers les États-Unis dans le cadre de l’utilisation de Stripe, des garanties appropriées sont mises en place conformément au chapitre V du RGPD :

• Décision d’adéquation de la Commission européenne (le cas échéant, notamment le EU-US Data Privacy Framework)
• Clauses contractuelles types (Standard Contractual Clauses — SCC) adoptées par la Commission européenne conformément à la décision d’exécution (UE) 2021/914
• Mesures supplémentaires techniques et organisationnelles lorsque nécessaire, conformément aux recommandations 01/2020 du Comité européen de la protection des données (EDPB)

7. Sécurité des données

Conformément à l’article 32 du RGPD, Ovation Studio met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

7.1. Mesures techniques

• Chiffrement de toutes les communications par protocole TLS/SSL (HTTPS)
• Hachage irréversible des mots de passe avec des algorithmes conformes à l’état de l’art (bcrypt/Argon2)
• Pare-feu et systèmes de détection d’intrusion sur les serveurs
• Mises à jour régulières des logiciels et correctifs de sécurité
• Sauvegardes régulières et chiffrées des bases de données
• Isolation des environnements de production et de développement
• Protection contre les attaques par injection SQL, XSS et CSRF

7.2. Mesures organisationnelles

• Accès aux données limité au strict nécessaire (principe du moindre privilège)
• Authentification par clé SSH pour l’accès aux serveurs
• Journalisation des accès aux systèmes et aux données
• Procédures de notification en cas de violation de données conformément aux articles 33 et 34 du RGPD

8. Vos droits en tant que personne concernée

Conformément aux articles 15 à 22 du RGPD et à la loi belge du 30 juillet 2018, vous disposez des droits suivants :

8.1. Droit d’accès (article 15 RGPD)

Vous avez le droit d’obtenir la confirmation que des données à caractère personnel vous concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données ainsi qu’une copie de celles-ci.

8.2. Droit de rectification (article 16 RGPD)

Vous avez le droit d’obtenir la rectification des données à caractère personnel inexactes vous concernant. Vous avez également le droit d’obtenir que les données incomplètes soient complétées.

8.3. Droit à l’effacement / droit à l’oubli (article 17 RGPD)

Vous avez le droit d’obtenir l’effacement de vos données à caractère personnel dans les cas prévus par le RGPD, notamment lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, ou lorsque vous retirez votre consentement.

8.4. Droit à la limitation du traitement (article 18 RGPD)

Vous avez le droit d’obtenir la limitation du traitement dans certains cas, notamment lorsque vous contestez l’exactitude des données ou lorsque le traitement est illicite.

8.5. Droit à la portabilité des données (article 20 RGPD)

Vous avez le droit de recevoir les données à caractère personnel vous concernant dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable du traitement.

8.6. Droit d’opposition (article 21 RGPD)

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement de vos données fondé sur l’intérêt légitime (article 6.1.f). En cas d’opposition au traitement à des fins de prospection commerciale, les données ne seront plus traitées à ces fins.

8.7. Droit de ne pas faire l’objet d’une décision automatisée (article 22 RGPD)

Vous avez le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative.

8.8. Droit de retirer votre consentement (article 7.3 RGPD)

Lorsque le traitement est fondé sur votre consentement, vous avez le droit de le retirer à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait.

8.9. Exercice de vos droits

Pour exercer l’un quelconque de ces droits, vous pouvez :

• Envoyer un e-mail à contact@ovation-studio.be en joignant une copie de votre pièce d’identité
• Envoyer un courrier recommandé à l’adresse du responsable du traitement mentionnée à la section 1

Nous nous engageons à répondre à votre demande dans un délai de 30 jours à compter de sa réception, conformément à l’article 12.3 du RGPD. Ce délai peut être prolongé de deux mois supplémentaires en raison de la complexité ou du nombre de demandes, auquel cas vous en serez informé.

9. Profilage et décisions automatisées

La Plateforme AutoSourcer utilise des algorithmes automatisés pour :

• Détecter les opportunités (véhicules dont le prix est inférieur au prix estimé du marché)
• Détecter les annonces potentiellement frauduleuses (score anti-fraude)
• Générer des alertes basées sur vos critères de recherche

Ces traitements automatisés ne produisent aucun effet juridique à votre égard et ne vous affectent pas de manière significative au sens de l’article 22 du RGPD. Ils constituent uniquement une aide à la décision que vous êtes libre de suivre ou non.

10. Cookies et technologies similaires

Conformément à la directive 2002/58/CE « ePrivacy » et à la loi belge du 13 juin 2005 relative aux communications électroniques :

10.1. Cookies utilisés

AutoSourcer utilise exclusivement des cookies strictement nécessaires au fonctionnement du service :

Cookie	Finalité	Durée
session	Maintien de la session utilisateur et authentification	Session / 30 jours
lang	Mémorisation de la langue choisie	1 an

10.2. Absence de cookies de traçage

AutoSourcer n’utilise aucun cookie de traçage publicitaire, aucun cookie analytique tiers (Google Analytics, Facebook Pixel, etc.), et aucune technologie de fingerprinting. Étant donné que seuls des cookies strictement nécessaires sont utilisés, aucun consentement préalable n’est requis conformément à l’article 5.3 de la directive ePrivacy.

11. Protection des données des mineurs

La Plateforme AutoSourcer est un service B2B (Business-to-Business) destiné aux professionnels du secteur automobile. Elle n’est pas destinée aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données à caractère personnel de mineurs. Si nous découvrons que des données d’un mineur ont été collectées, elles seront immédiatement supprimées.

12. Violation de données

Conformément aux articles 33 et 34 du RGPD :

• En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, Ovation Studio notifiera l’Autorité de protection des données (APD) belge dans les 72 heures suivant la découverte de la violation
• Si la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais
• Un registre des violations de données est tenu conformément à l’article 33.5 du RGPD

13. Délégué à la protection des données (DPO)

Compte tenu de la nature et de l’échelle des traitements effectués, la désignation d’un délégué à la protection des données n’est pas obligatoire au sens de l’article 37 du RGPD. Pour toute question relative à la protection de vos données, vous pouvez contacter directement Ovation Studio à l’adresse contact@ovation-studio.be.

14. Réclamation auprès de l’autorité de contrôle

Conformément à l’article 77 du RGPD, si vous estimez que le traitement de vos données à caractère personnel constitue une violation du RGPD, vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle, et en particulier dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise.

15. Registre des activités de traitement

Conformément à l’article 30 du RGPD, Ovation Studio tient un registre des activités de traitement mis à la disposition de l’autorité de contrôle sur demande.

16. Analyse d’impact relative à la protection des données (AIPD)

Conformément à l’article 35 du RGPD, une analyse d’impact est réalisée lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Les traitements effectués dans le cadre d’AutoSourcer ont été évalués et ne nécessitent pas, à ce stade, la réalisation d’une AIPD formelle.

17. Modification de la présente politique

Ovation Studio se réserve le droit de modifier la présente politique de confidentialité à tout moment. En cas de modification substantielle affectant la manière dont vos données sont traitées, vous en serez informé par e-mail au moins 30 jours avant l’entrée en vigueur des modifications. La version en vigueur est toujours accessible sur la Plateforme à l’adresse /privacy.

18. Droit applicable et juridiction compétente

La présente politique de confidentialité est régie par le droit belge et le droit de l’Union européenne, en particulier le Règlement (UE) 2016/679 (RGPD) et la loi belge du 30 juillet 2018.

En cas de litige relatif à l’interprétation ou à l’exécution de la présente politique, et à défaut de résolution amiable, les tribunaux de l’arrondissement judiciaire de Charleroi (Belgique) seront seuls compétents, sans préjudice du droit de l’utilisateur de saisir les tribunaux de son lieu de résidence habituelle conformément à l’article 79.2 du RGPD.

19. Contact

Pour toute question relative à la présente politique de confidentialité ou à la protection de vos données personnelles :