Politique de confidentialité

1. Responsable du traitement

Aureus IA SRL, BCE BE 1028.230.781, Square Eugène Plasky 92-94 bte 11, 1030 Schaerbeek, Bruxelles. Email : info@aureussocial.be.

Aureus IA SRL agit en qualité de responsable du traitement pour les données de ses clients directs (utilisateurs du Service) et en qualité de sous-traitant au sens de l'Art. 28 RGPD pour le traitement des données salariées de ses Clients.

2. Données collectées

3. Bases juridiques (Art. 6 RGPD)

• Exécution du contrat (Art. 6.1.b) : gestion de la paie et des déclarations sociales obligatoires.
• Obligation légale (Art. 6.1.c) : Dimona, DmfA, Belcotax, conservation des fiches de paie (10 ans — Art. 315 CIR 1992, modifié par la loi du 20/11/2022).
• Intérêt légitime (Art. 6.1.f) : sécurité, prévention de la fraude, amélioration du service.
• Consentement (Art. 6.1.a) : communications marketing optionnelles, cookies non strictement nécessaires.

4. Hébergement et sous-traitants techniques

Le traitement IA s'effectue dans l'Union européenne via AWS Bedrock (région Francfort, eu-central-1) lorsque la passerelle d'inférence UE est activée ; aucune donnée n'est alors transférée hors UE. Lorsque cette passerelle n'est pas active, les requêtes transitent par l'API Anthropic (États-Unis) sous régime Zero Data Retention et Standard Contractual Clauses (SCC) de la Commission européenne. Les identifiants directs (numéro de registre national/NISS, IBAN, e-mail, téléphone) contenus dans les questions posées aux assistants IA sont pseudonymisés (masqués) avant l'envoi. Exception : lorsque vous demandez la lecture automatique d'un document (carte d'identité, fiche de paie, document à analyser), ce document est transmis dans son intégralité au modèle, dans les mêmes conditions d'hébergement, car sa lecture exige son contenu complet.

5. Sous-traitants

Conformément à l'article 28 du RGPD, les sous-traitants suivants sont autorisés : Supabase Inc. (base de données et stockage, UE), Vercel Inc. (hébergement, UE), Resend Inc. (e-mails transactionnels), Backblaze Inc. (sauvegardes, UE), Amazon Web Services EMEA SARL (inférence IA Bedrock, UE — Francfort), Anthropic PBC (API IA de secours et flux temps réel, USA — ZDR + SCC), DocuSign Inc. (signature électronique), Functional Software Inc. / Sentry (suivi des erreurs, ingestion UE), GitHub Inc. (fichiers de sauvegarde techniques, USA), Telegram (notifications internes de l'équipe), Google (reCAPTCHA, protection anti-robot), PostHog Ireland Ltd. (mesure d'audience et analytique produit, hébergement UE), Mollie B.V. (paiements, UE) et Digiteal SA (facturation électronique Peppol, Belgique). Les garanties contractuelles de chacun (accord de traitement, clauses contractuelles types en cas de transfert hors UE) sont tenues dans notre registre des sous-traitants, communiqué sur simple demande à l'adresse ci-dessus.

6. Vos droits (Art. 15 à 22 RGPD)

• Droit d'accès (Art. 15) — communication des données traitées dans un délai de 30 jours.
• Droit de rectification (Art. 16) — correction des données inexactes.
• Droit à l'effacement (Art. 17) — suppression des données (sauf obligation légale).
• Droit à la portabilité (Art. 20) — export des données dans un format structuré (JSON/CSV).
• Droit d'opposition (Art. 21) — droit de s'opposer au traitement.
• Droit à la limitation (Art. 18) — restriction du traitement.

Pour exercer vos droits, contactez-nous à info@aureussocial.be. Nous vous répondrons dans un délai d'un mois (Art. 12.3 RGPD).

7. Violation de données

En cas de violation de données à caractère personnel, Aureus IA SRL s'engage à : notifier l'Autorité de Protection des Données (APD) dans les 72 heures conformément à l'article 33 du RGPD ; informer les personnes concernées sans délai si la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (Art. 34 RGPD) ; documenter l'incident et les mesures correctives prises.

8. Cookies

Aureus Social Pro utilise des cookies strictement nécessaires au fonctionnement du Service (session d'authentification, token CSRF, préférences d'interface) : ceux-ci sont exemptés de consentement conformément à l'article 5(3) de la Directive ePrivacy 2002/58/CE. Un cookie de mesure d'audience (PostHog, hébergé dans l'Union européenne) n'est déposé qu'après votre consentement explicite, recueilli via le bandeau affiché lors de votre première visite (Art. 6.1.a RGPD) ; ce consentement est révocable à tout moment via le lien ci-dessous, ce qui efface immédiatement les identifiants déjà déposés.

Indépendamment de ce cookie, Aureus Social Pro mesure aussi l'usage du Service par ses utilisateurs déjà authentifiés (par exemple : création d'une fiche employé, génération d'une fiche de paie), au moyen d'évènements envoyés directement par nos serveurs à PostHog. Ce traitement ne dépose aucun cookie sur votre poste : il repose sur l'intérêt légitime d'amélioration du Service et sur l'exécution du contrat (Art. 6.1.b et 6.1.f RGPD, voir §3), pas sur le consentement du bandeau.

9. Autorité de contrôle

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'APD.

10. Modifications

La présente politique peut être modifiée pour refléter les évolutions légales ou techniques. Toute modification substantielle sera notifiée par email aux Clients au moins 30 jours avant son entrée en vigueur. La version en vigueur est toujours disponible à l'adresse www.aureussocial.be/legal/privacy.