Politique de confidentialité GoFisc
Version du 01.01.2027. Cette politique décrit comment GoFisc traite les données personnelles de ses utilisateurs, des organisations clientes et des candidats à une évaluation, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.
1. Responsable du traitement
Caring Finance Operating SRL, BCE 1033.701.482, siège Avenue de Levis Mirepoix 117, 1090 Jette, est responsable du traitement pour l'ensemble des traitements décrits ci-dessous, à l'exception du module Évaluation de candidat (section 10), pour lequel elle agit comme sous-traitant de l'organisation cliente.
Contact pour toute question relative aux données : aca@caringfo.com. Ce contact tient lieu de point de contact délégué à la protection des données ; aucun DPO formel n'est désigné car les seuils de l'art. 37 RGPD ne sont pas atteints.
2. Données traitées
| Catégorie | Données | Source |
|---|---|---|
| Compte | adresse email, mot de passe (haché par le prestataire d'authentification), pseudo, langue, date de création, codes d'invitation et de parrainage | vous |
| Profil professionnel | civilité, prénom, nom, type de membre ITAA, numéro ITAA, filière, cabinet ou employeur, numéro de TVA et résultat de vérification VIES, statut professionnel, entité de facturation, téléphone, email de contact, sessions d'examen visées et matières préparées | vous, VIES (nom officiel) |
| Progression et réponses | réponses aux questions (lettre choisie, correcte ou non, type d'erreur, durée), progression par sous-chapitre, meilleurs scores, flammes, vies et journal des transactions de vies, signalements et suggestions | votre activité sur la plateforme |
| Paiement | identifiant client Stripe, plan, statut d'abonnement, dates de période, montants, factures et reçus. Aucune donnée de carte n'est stockée par GoFisc ; elle est traitée exclusivement par Stripe | Stripe, vous |
| Organisation | nom, numéro d'entreprise, adresse, identifiant Peppol, email de facturation, administrateurs, sièges (email du titulaire, rôle, statut), codes d'invitation, crédits d'évaluation | l'administrateur de l'organisation |
| Formation permanente | temps certifié par activité (type, matière, début, fin, durée), attestations générées (période, totaux, numéro, empreinte) | votre activité sur la plateforme |
| Candidats à une évaluation | nom, email, consentement horodaté, réponses, temps par question, résultats et rapport | l'organisation (identité), le candidat (réponses) |
| Technique | adresse IP, agent utilisateur, horodatages de connexion, journaux d'erreurs (Sentry, sans contenu de réponse), abonnement aux notifications push (point de terminaison et clés) | votre navigateur |
Nous ne traitons aucune donnée dite sensible au sens de l'art. 9 RGPD. Le numéro ITAA et le numéro de TVA sont des identifiants professionnels, pas des données sensibles.
3. Finalités et bases légales
| Finalité | Base légale (art. 6 RGPD) |
|---|---|
| Créer et gérer votre compte, fournir le contenu, calculer la progression, les vies et les flammes, déverrouiller les contenus | exécution du contrat (b) |
| Encaisser les paiements, gérer les abonnements, émettre reçus et factures | exécution du contrat (b) et obligation légale (c) : comptabilité et TVA, conservation sept ans |
| Gérer les organisations, les sièges et l'accès des titulaires | exécution du contrat (b) avec l'organisation ; intérêt légitime (f) de l'organisation au suivi de la formation de son personnel |
| Mesurer le temps certifié et générer des attestations de formation permanente | exécution du contrat (b) |
| Sécuriser la plateforme, prévenir la fraude, le partage de compte et l'extraction de contenu | intérêt légitime (f) |
| Produire des statistiques anonymisées sur l'usage et la difficulté des questions, calculer les percentiles de population | intérêt légitime (f), données agrégées |
| Envoyer des notifications push | consentement (a), retirable à tout moment dans le navigateur ou le profil |
| Envoyer des emails transactionnels (bienvenue, reçus, rappels de reconduction, invitations, résultats) | exécution du contrat (b) |
| Envoyer des informations sur les nouveautés du service | intérêt légitime (f) pour les clients existants, avec lien de désinscription dans chaque envoi |
| Faire passer un test à un candidat et produire un rapport pour l'organisation | consentement du candidat (a) recueilli à l'ouverture du test ; l'organisation est responsable du traitement (section 10) |
| Afficher des emplacements sponsorisés et des séminaires partenaires | intérêt légitime (f) ; aucune donnée personnelle n'est transmise au sponsor sans votre inscription explicite |
4. Durées de conservation
| Données | Durée |
|---|---|
| Compte et profil | durée du compte, puis douze mois après suppression ou après trois ans d'inactivité, pour permettre une réactivation et traiter les réclamations |
| Réponses, progression, vies, flammes | durée du compte ; supprimées avec le compte, sauf conversion en statistiques anonymes |
| Attestations de formation permanente et temps certifié sous-jacent | sept ans à compter de la génération, pour permettre le contrôle par l'Institut |
| Factures, reçus et données de paiement | sept ans à compter de la clôture de l'exercice (obligation comptable et fiscale) |
| Données d'organisation et de sièges | durée du contrat, puis trois ans (prescription) ; progression d'un titulaire désactivé : douze mois |
| Candidats à une évaluation | six mois après la clôture ou l'expiration, puis anonymisation automatique (identité effacée, résultats conservés sans lien avec le candidat) |
| Journaux techniques et d'erreurs | douze mois |
| Abonnement push | jusqu'au retrait du consentement ou à l'échec définitif de livraison |
5. Destinataires et sous-traitants
Vos données sont accessibles au personnel autorisé de l'Éditeur, dans la limite de ses missions, et aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase | base de données, authentification, stockage | Francfort, Allemagne (UE) |
| Vercel | hébergement de l'application et fonctions serveur | région Francfort (UE) |
| Stripe | paiement, facturation, portail client | Irlande (UE) avec transferts vers Stripe Inc. (États-Unis) encadrés par les clauses contractuelles types de la Commission européenne et le cadre de protection des données UE-États-Unis |
| Prestataire d'email transactionnel | envoi des emails | UE ou clauses contractuelles types |
| Sentry | suivi des erreurs applicatives, sans contenu de réponse ni donnée de paiement | UE (centre de données européen) |
Pour les organisations clientes : l'administrateur de votre organisation accède à votre progression agrégée (section 7). Pour les sponsors et partenaires : aucune donnée ne leur est transmise, sauf si vous vous inscrivez explicitement à un séminaire partenaire, auquel cas votre nom et votre email sont transmis au partenaire organisateur, qui devient responsable de son propre traitement.
Aucune donnée n'est vendue. Aucune donnée n'est transférée hors de l'Union européenne en dehors des cas mentionnés ci-dessus.
6. Vos droits
Vous disposez des droits suivants, exerçables par email à aca@caringfo.com ou, pour la plupart, directement depuis votre profil :
- accès à vos données et copie ;
- rectification des données inexactes ;
- effacement (suppression du compte depuis le profil), sous réserve des durées légales de conservation ;
- portabilité : export de votre progression et de vos attestations au format structuré ;
- opposition aux traitements fondés sur l'intérêt légitime, notamment aux informations sur les nouveautés ;
- limitation du traitement pendant l'examen d'une contestation ;
- retrait du consentement à tout moment, sans effet sur la licéité du traitement antérieur.
Nous répondons dans le mois, prolongeable de deux mois pour les demandes complexes. Une preuve d'identité peut être demandée. Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, www.autoriteprotectiondonnees.be, contact@apd-gba.be.
7. Utilisateurs rattachés à une organisation
Si vous occupez un siège attribué par un cabinet ou une école, l'administrateur ou l'enseignant de cette organisation voit : vos matières, vos scores par matière et sous-chapitre, votre temps certifié, vos flammes et votre dernière activité. Il ne voit pas vos réponses question par question ni vos achats personnels. Vous en êtes informé lors de l'acceptation de l'invitation. L'organisation traite ces données pour ses propres finalités de suivi de formation et en est responsable ; GoFisc en est responsable pour la fourniture du service. Si votre siège est désactivé, votre compte devient un compte individuel et votre progression reste la vôtre.
8. Cookies et stockage local
GoFisc utilise uniquement des cookies et un stockage local strictement nécessaires : session d'authentification, préférence de langue, état de l'application hors ligne (PWA). Aucun cookie publicitaire ni traceur tiers n'est déposé. Le suivi des erreurs Sentry n'est activé qu'avec votre accord, donné ou refusé lors de la première visite et modifiable dans le profil. Les emplacements sponsorisés sont servis par GoFisc sans script tiers ; seules des impressions et des clics agrégés sont comptés.
9. Sécurité
Chiffrement en transit (TLS) et au repos ; cloisonnement des données au niveau de la base (sécurité au niveau des lignes : chaque utilisateur et chaque organisation n'accède qu'à ses propres lignes) ; opérations sensibles (paiement, attribution de sièges, évaluation) exécutées côté serveur uniquement ; jetons d'évaluation à usage unique stockés sous forme d'empreinte ; sauvegardes quotidiennes ; journalisation des accès administrateur ; revue périodique des droits. En cas de violation présentant un risque pour vos droits, nous vous en informons et notifions l'Autorité de protection des données dans les 72 heures.
10. Candidats à une évaluation
Si vous recevez un lien d'évaluation d'un cabinet ou d'une école :
- le cabinet ou l'école est responsable du traitement ; GoFisc traite vos données en tant que sous-traitant, sur ses instructions et selon la clause de sous-traitance des conditions générales ;
- votre nom et votre email sont fournis par l'organisation ; vos réponses, vos temps de réponse et vos résultats sont collectés pendant le test ;
- le test ne démarre qu'après votre consentement explicite, donné à l'ouverture du lien ; vous pouvez le refuser, auquel cas aucune réponse n'est enregistrée et l'organisation en est informée ;
- vous recevez un résumé (score global, matières, durée). Vous pouvez le consulter à tout moment via le même lien jusqu'à l'anonymisation (six mois) : c'est votre droit d'accès à vos propres résultats ;
- vous ne recevez jamais les bonnes réponses ni le détail par question ; le rapport complet est réservé à l'organisation ;
- vos réponses d'évaluation sont stockées séparément des données d'entraînement et n'alimentent ni statistiques nominatives, ni vies, ni flammes ;
- votre identité (nom, email, adresse IP) est effacée automatiquement six mois après la clôture ou l'expiration de l'évaluation ; les résultats restants ne permettent plus de vous identifier. Le cabinet conserve le rapport qu'il a reçu, sous sa propre responsabilité ;
- pour exercer vos autres droits (accès au rapport complet, rectification, effacement anticipé), adressez-vous à l'organisation qui vous a invité ; GoFisc l'assiste dans sa réponse et peut être contacté à aca@caringfo.com en cas de difficulté.
Le rapport est un élément d'appréciation parmi d'autres ; il ne constitue pas une décision automatisée au sens de l'art. 22 RGPD.
11. Mineurs
GoFisc s'adresse aux professionnels, aux stagiaires et aux étudiants de l'enseignement supérieur. Le service n'est pas destiné aux personnes de moins de dix-huit ans. Un établissement scolaire qui inscrit des étudiants mineurs garantit avoir recueilli l'autorisation requise.
12. Modifications
Cette politique peut évoluer. Toute modification substantielle est notifiée par email et sur la plateforme au moins trente jours avant son entrée en vigueur. La version en vigueur est toujours accessible depuis le pied de page.
Dernière mise à jour : 01.01.2027.