Politique de confidentialité

Version du [A COMPLETER : date d'entrée en vigueur].

Responsable du traitement

XiwiX SRL, Rue Jules Borbouse 42, 5170 Profondeville, Belgique, TVA BE 0698.895.985, qui exploite le service XiwiX.

Contact pour toute question sur vos données : contact@xiwix.be.

Données traitées

• Compte : nom de l'entreprise, adresse e-mail professionnelle et nom de chaque utilisateur, rôle (titulaire ou membre), dates de création et de dernière connexion.
• Profils de veille : description de l'activité, mots-clés inclus et exclus, départements suivis, et l'historique de leurs modifications.
• Alertes et retours : avis envoyés, jugements « pertinent » ou « non pertinent » et commentaires laissés sur les alertes.
• Identification de l'entreprise : numéro d'entreprise (SIREN, SIRET, numéro BCE ou numéro de TVA), demandé à l'inscription pour vérifier que le service est réservé aux entreprises et pour établir les factures, et la réponse facultative à « Comment nous avez-vous connu ? ».
• Mesure de l'usage du service : fiches d'avis ouvertes, clics vers l'avis officiel et vers le dossier de consultation, retours et tris, participations déclarées, modifications des profils, désinscriptions et résiliations (voir « Mesure de l'usage du service »).
• Dossiers de réponse : informations et documents fournis pour rédiger un mémoire technique. Ils peuvent contenir des données sur vos collaborateurs (par exemple des références ou des parcours) : ne transmettez que ce qui est nécessaire au dossier. Les pièces déposées sont stockées chiffrées, hors de la base de données.
• Paiement : identifiant client chez Stripe, état de l'abonnement, commandes et factures. Les numéros de carte sont saisis directement chez Stripe et ne nous parviennent jamais.
• Courriels envoyés : copie complète des messages que le service vous adresse (liens de connexion, alertes, avis de facturation). Une copie de courriel de connexion contient donc le lien tel qu'il a été envoyé ; ce lien ne permet plus de se connecter une fois utilisé, ni après 20 minutes.
• Journaux techniques : adresse IP, date et heure, page demandée. Les liens de connexion envoyés aux clients y apparaissent masqués.
• Cookies : seulement des cookies nécessaires au fonctionnement du site : session (30 jours au plus, supprimé à la déconnexion), protection des formulaires (un an), « langue » (la langue choisie pour le site, un an), étape du code de l'application d'authentification après l'ouverture d'un lien de connexion (15 minutes), lien d'inscription ouvert (7 jours au plus, jusqu'à la création du compte) et page « Ouvrez votre boîte e-mail » après l'inscription (l'adresse saisie, une heure). Détail dans les mentions légales.

Les avis de marchés publics eux-mêmes sont des données publiques issues du BOAMP et de TED.

Finalités et bases légales

• Fournir le service (compte, connexion, alertes, synthèses, dossiers de réponse) : exécution du contrat.
• Facturer et tenir la comptabilité : obligation légale.
• Améliorer la pertinence de vos alertes à partir de vos retours : exécution du contrat.
• Régler les profils de votre entreprise à partir de votre usage du service (mesure de l'usage) : exécution du contrat.
• Assurer la sécurité du service, prévenir les abus et conserver les journaux techniques : intérêt légitime.
• Vérifier, à l'inscription, que l'entreprise ne figure pas sur notre liste de refus (par exemple après un abus) : intérêt légitime.

[A COMPLETER si une lettre d'information gratuite est proposée : base légale (consentement ou intérêt légitime en prospection entre professionnels), désinscription en un clic dans chaque envoi.]

Durées de conservation

• Liens de connexion : valables 20 minutes, à usage unique. Pour vérifier un lien, nous enregistrons une empreinte, qui ne permet pas de le reconstituer ; le nettoyage quotidien l'efface dans les deux jours qui suivent l'expiration du lien. Le lien lui-même reste dans la copie du courriel qui l'a porté (voir « Copies des courriels envoyés »).
• Sessions : 30 jours au plus pour un client.
• Compte, profils, alertes et retours : pendant toute la durée du compte, puis [A VALIDER : 3 ans] après sa clôture pour la gestion d'éventuels litiges.
• Utilisateur retiré d'un compte : ses données d'utilisateur sont supprimées ; ses retours sur les alertes sont conservés sans lien avec sa personne.
• Mesure de l'usage du service : 24 mois, puis totaux anonymes par mois, par type et par profil.
• Compte créé par l'inscription en ligne et jamais confirmé (aucune connexion par le lien reçu) : effacé 7 jours après l'inscription, copies des courriels qui lui ont été envoyés comprises.
• Pièces et informations fournies pour un dossier de réponse, et ce qui en est tiré (extraits, brouillon, contrôles) : 30 jours après la livraison du dossier, son annulation ou, pour un dossier jamais livré, la date limite de remise des offres ; le mémoire livré reste à votre disposition avec votre compte.
• Factures et pièces comptables : 10 ans, durée imposée par la législation comptable.
• Copies des courriels envoyés : [A VALIDER : 12 mois].
• Journaux techniques : [A VALIDER : 6 mois].

Destinataires et sous-traitants

Vos données ne sont ni vendues ni louées. Elles sont accessibles au personnel du prestataire qui en a besoin et aux sous-traitants suivants, dans la limite de leur mission :

• Stripe (paiement en ligne, facturation, portail de gestion de l'abonnement) ;
• l'hébergeur du site et des données : Combell nv (serveur à Amsterdam, Pays-Bas, Union européenne ; DX75 du 20 octobre 2026, remplace Hetzner) *[à valider par l'avocat]* ;
• le prestataire d'envoi des courriels : Scaleway (Union européenne) ;
• le stockage hors serveur des sauvegardes, chiffrées avant l'envoi : Scaleway (Union européenne) ;
• Anthropic, fournisseur du modèle de langage, si le service de rédaction automatique est activé : la description de votre activité pour générer un profil, le texte des avis pour les résumer et, pour un dossier de réponse, les informations que vous avez fournies pour ce dossier.

Les dates limites, montants et critères affichés dans les synthèses ne sont jamais produits par le modèle de langage : ils sont extraits de l'avis, avec leur source.

Transferts hors de l'Union européenne

Certains sous-traitants peuvent traiter des données hors de l'Union européenne, notamment aux États-Unis. [A COMPLETER : garanties applicables à chaque transfert, par exemple clauses contractuelles types de la Commission européenne ou certification au cadre de protection des données UE-États-Unis.]

Mesure de l'usage du service

Pour que vos alertes s'améliorent, le service note votre usage : ouverture des fiches d'avis ; clics vers l'avis officiel et vers le dossier de consultation, par un lien de redirection qui ne dépose ni cookie ni pixel ; vos retours et tris (pertinent ou non, intéressant ou non) et leur historique ; les participations que vous déclarez (intéressé, offre déposée avec son montant, marché gagné, perdu ou abandonné) ; les modifications de vos profils ; les désinscriptions et les résiliations, avec leur motif.

Ces données servent uniquement à régler les profils de votre entreprise (exécution du contrat). Elles ne servent pas à améliorer le service pour l'ensemble des clients tant que cet usage n'a pas fait l'objet d'une information complémentaire. Elles sont conservées 24 mois, puis remplacées par des totaux anonymes par mois, par type et par profil.

Décisions automatisées

Le score indicatif est calculé automatiquement. C'est une aide à la décision : il ne produit aucun effet juridique et la décision de répondre à un marché vous appartient.

Sécurité

Connexion sans mot de passe par lien ou code à usage unique, valable 20 minutes, puis code de l'application d'authentification à chaque connexion ; une connexion reste ouverte 30 jours au plus, jamais prolongée par l'usage. La vérification se fait sur une empreinte du lien ; la copie conservée du courriel de connexion contient le lien, qui ne sert plus une fois utilisé ou expiré. Aucune donnée de carte bancaire sur nos serveurs. [A COMPLETER : chiffrement des échanges (HTTPS) et sauvegardes, une fois l'hébergement choisi.]

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Le titulaire du compte peut exporter toutes les données de l'entreprise et demander leur effacement lui-même, depuis la page « Mes données » de son espace client. Vous pouvez aussi écrire à contact@xiwix.be ; nous répondons dans un délai d'un mois.

Vous pouvez également introduire une réclamation auprès de l'Autorité de protection des données (Belgique, www.autoriteprotectiondonnees.be) ou de l'autorité de contrôle de votre pays, par exemple la CNIL en France (www.cnil.fr).