1. Introduction

FIDBEE SRL s'engage à protéger la vie privée de ses utilisateurs et à traiter les données à caractère personnel dans le respect du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) et de la législation belge applicable.

La présente politique de confidentialité décrit comment FIDBEE SRL collecte, utilise et protège les données à caractère personnel dans le cadre de l'utilisation de la plateforme Fidbee, y compris ses applications mobiles.

2. Responsable du traitement

FIDBEE SRL
Rue de Genleau 51
1380 Lasne, Belgique
BCE / TVA : 1014.572.191

Contact : contact@fidbee.be

2.1 Délégué à la protection des données

FIDBEE SRL n'a pas désigné de délégué à la protection des données (DPO) : les conditions de l'article 37 du RGPD ne sont pas réunies, les traitements réalisés ne constituant ni un suivi régulier et systématique de personnes à grande échelle, ni un traitement à grande échelle de catégories particulières de données.

Toute question relative à la protection des données peut être adressée à contact@fidbee.be.

3. Données collectées

3.1 Données des représentants du Client (fiduciaires)

Dans le cadre de la relation commerciale avec les fiduciaires clientes, FIDBEE SRL collecte :

• Données d'identification : nom, prénom, fonction ;
• Données de contact : adresse e-mail professionnelle, numéro de téléphone professionnel ;
• Données de connexion : identifiants de compte, journaux d'accès, adresses IP ;
• Données de facturation : coordonnées de facturation de l'entreprise (dénomination sociale, adresse, numéro de TVA, IBAN).

3.2 Données traitées pour le compte du Client

Dans le cadre de la fourniture des Services, FIDBEE SRL traite, en qualité de sous-traitant, les données suivantes pour le compte de ses Clients (fiduciaires) :

• Données d'entreprises (clients des fiduciaires) : dénomination sociale, numéro d'entreprise (BCE), numéro de TVA, adresse, coordonnées bancaires (IBAN) ;
• Données de facturation : factures (entrantes et sortantes), données financières, montants, références ;
• Données Peppol : données transmises ou reçues via le réseau Peppol ;
• Données bancaires : relevés bancaires obtenus via Codaclean ;
• Noms et prénoms : des représentants des entreprises clientes, dans la mesure où ils apparaissent sur les documents traités.

Note importante : FIDBEE SRL traite ces données exclusivement en tant que sous-traitant au sens de l'article 28 du RGPD. Le Client (fiduciaire) reste l'unique responsable du traitement de ces données vis-à-vis des personnes concernées.

3.3 Origine des données

Les données visées au point 3.1 sont collectées directement auprès des personnes concernées, lors de la création du compte et de l'utilisation de la plateforme.

Les données visées au point 3.2 sont, pour l'essentiel, collectées indirectement : elles proviennent des documents transmis par le Client ou par ses clients entreprises (factures, relevés bancaires, documents adressés à la boîte de réception dédiée de la plateforme ou envoyés depuis l'application mobile), des relevés bancaires obtenus via Codaclean et des flux reçus via le réseau Peppol.

L'information des personnes concernées au titre de l'article 14 du RGPD incombe au Client, qui est le responsable du traitement de ces données.

3.4 Application mobile

Les applications mobiles Fidbee (iOS et Android) donnent accès aux mêmes Services que la plateforme web. Elles ne collectent pas d'autres données que celles décrites aux points 3.1 et 3.2, à l'exception des éléments suivants, propres à l'appareil :

• Jeton de notification : lorsque l'utilisateur autorise les notifications, l'appareil reçoit un identifiant technique attribué par Apple (Apple Push Notification service) ou par Google (Firebase Cloud Messaging, qui s'appuie sur un identifiant d'installation Firebase). FIDBEE SRL l'enregistre, lié à la session de l'utilisateur, pour lui envoyer des notifications. Le texte de la notification transite par le service d'Apple ou de Google ; il contient, selon le cas : le nom de l'auteur, l'objet de la conversation et le début du message (200 caractères au plus) ; le fournisseur et le montant d'une facture reçue via Peppol ; le client et le montant ou le numéro d'une facture récurrente créée ou d'un rappel envoyé ; le mois des fiches de paie reçues. Aucun document ni pièce jointe n'est transmis. Le jeton est effacé à la déconnexion, et dès qu'Apple ou Google le déclare invalide ; l'utilisateur peut à tout moment désactiver les notifications dans les réglages de son appareil.
• Appareil photo et photothèque : utilisés uniquement à l'initiative de l'utilisateur, pour photographier ou choisir un justificatif à envoyer. Seul le document envoyé est transmis à Fidbee.
• Face ID, Touch ID, empreinte ou reconnaissance faciale : le verrouillage biométrique facultatif de l'application est vérifié entièrement par le système de l'appareil. Aucune donnée biométrique n'est transmise à FIDBEE SRL ni conservée par l'application.
• Documents en attente : sans connexion réseau, les documents à envoyer sont conservés temporairement sur l'appareil, dans l'espace propre à l'application, puis supprimés une fois envoyés ou à la déconnexion.

• Scanner de documents sur Android : la numérisation utilise le scanner de documents ML Kit fourni par les services Google Play. Les images sont traitées sur l'appareil et ne sont pas transmises à Google ; seul le document que l'utilisateur choisit d'envoyer part vers Fidbee. Comme pour toute bibliothèque des services Google Play, Google peut recevoir des informations techniques et de diagnostic sur l'utilisation de ce service (version de l'appareil et de l'application, performances, erreurs). Sur iOS, la numérisation utilise le scanner intégré au système d'Apple.

Les applications mobiles ne contiennent aucun outil de mesure d'audience, de publicité, de suivi ni de rapport de plantage fourni par un tiers. Sur Android, les bibliothèques Google utilisées (Firebase Cloud Messaging pour les notifications, ML Kit pour le scanner) transmettent à Google les informations techniques nécessaires à leur fonctionnement.

4. Finalités et bases légales des traitements

5. Durée de conservation des données

Pour les données traitées en qualité de sous-traitant, le Client peut à tout moment demander la suppression ou la restitution des données, conformément à l'article 28, § 3, g) du RGPD et à l'article 3 du DPA. Les durées indiquées ci-dessus correspondent aux obligations légales de conservation qui subsistent après la fin du contrat.

À l'expiration de ces délais, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

6. Destinataires des données

Les données à caractère personnel peuvent être communiquées aux catégories de destinataires suivantes :

• Personnel habilité de FIDBEE SRL : dans le strict cadre de leurs attributions ;
• Sous-traitants techniques (voir article 7) : dans le cadre de la fourniture des Services ;
• Participants au réseau Peppol (voir point 7.2) : dans le cadre de la transmission des factures électroniques ;
• Autorités compétentes : sur demande légale, décision de justice ou obligation réglementaire.

FIDBEE SRL ne vend, ne loue et ne commercialise aucune donnée personnelle à des tiers.

7. Sous-traitants ultérieurs et transmissions

7.1 Liste des sous-traitants ultérieurs

FIDBEE SRL fait appel aux sous-traitants ultérieurs suivants pour la fourniture de ses Services :

Les services Microsoft sont contractés auprès de Microsoft Ireland Operations Limited, entité partie au Microsoft Customer Agreement et au Microsoft Products and Services Data Protection Addendum ; la facturation est assurée par son affilié commercial local, Microsoft NV (BE 0437.910.359), qui n'intervient pas dans le traitement des données.

FIDBEE SRL s'assure que ces sous-traitants présentent des garanties suffisantes en matière de protection des données et qu'ils sont liés par des accords de traitement de données conformes à l'article 28 du RGPD.

La liste à jour des sous-traitants ultérieurs figure également à l'article 8 du DPA. Toute modification de cette liste est portée à la connaissance des Clients conformément à l'article 4.4 du DPA.

7.2 Transmission via le réseau Peppol

Le réseau Peppol n'est pas un sous-traitant de FIDBEE SRL : il s'agit d'un cadre européen d'interopérabilité pour la facturation électronique. FIDBEE SRL y intervient en qualité de Point d'accès (Access Point) et de fournisseur de métadonnées (Service Metadata Publisher, SMP), certifiée à ce double titre (Peppol Certified Service Provider) sous l'autorité de l'Autorité Peppol belge, le SPF Stratégie et Appui (BOSA).

Lorsqu'une entreprise est enregistrée sur le réseau Peppol via Fidbee :

• son identifiant de participant (généralement le numéro d'entreprise ou de TVA), les types de documents qu'elle peut recevoir et l'adresse technique de son point d'accès sont publiés dans le SMP et peuvent être interrogés par les autres participants du réseau ; ces informations sont susceptibles d'apparaître dans le Peppol Directory ;
• les factures émises sont transmises au Point d'accès du destinataire, lequel agit pour le compte de ce dernier.

Cette publication est inhérente au fonctionnement du réseau Peppol et à l'obligation belge de facturation électronique entre entreprises. Elle est limitée aux données d'entreprise et aux informations techniques nécessaires au routage des documents.

8. Localisation des données et transferts hors de l'Union européenne

Les données traitées via Fidbee sont stockées et traitées sur le territoire de l'Union européenne. La seule exception est l'acheminement des notifications push des applications mobiles, décrit ci-dessous.

Concrètement :

• les serveurs applicatifs (Hostinger) et le stockage objet (Scaleway) sont localisés à Paris, France ;
• le service Azure AI Document Intelligence (Microsoft) est déployé dans la région France Central ;
• le service Gemini Enterprise Agent Platform (Google Cloud) traite les données dans la zone multirégionale européenne (« eu ») ;
• les relevés bancaires sont traités par Codaclean SRL en Belgique.

Les entités avec lesquelles FIDBEE SRL contracte pour ces services sont établies dans l'Union européenne : Microsoft Ireland Operations Limited (Irlande) pour l'OCR et Google Cloud EMEA Limited (Irlande) pour l'intelligence artificielle. Elles appartiennent toutefois à des groupes dont la société mère est établie aux États-Unis. Bien que les services soient configurés pour stocker et traiter les données exclusivement dans des régions européennes, un accès à distance résiduel depuis un pays tiers ne peut être totalement exclu dans des hypothèses limitées (support technique, réponse à un incident de sécurité).

Notifications push. Pour atteindre un téléphone ou une tablette, une notification passe obligatoirement par le service du fabricant du système : Apple Push Notification service (Apple Inc., États-Unis) pour iOS, Firebase Cloud Messaging (Google) pour Android. Ces services peuvent traiter le jeton de l'appareil et le texte de la notification en dehors de l'Union européenne, notamment aux États-Unis. FIDBEE SRL limite le contenu des notifications au strict nécessaire (voir point 3.4) ; les documents eux-mêmes ne transitent jamais par ces services. L'utilisateur qui ne souhaite pas ce transfert peut désactiver les notifications sans perdre l'accès aux Services.

Scanner Android. Les informations techniques et de diagnostic que les services Google Play collectent sur l'utilisation du scanner ML Kit (voir point 3.4) peuvent également être traitées par Google hors de l'Union européenne. Elles ne contiennent ni les images numérisées ni les documents.

Ces transferts et accès sont encadrés par :

• la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d'exécution (UE) 2023/1795), pour les entités américaines qui y sont certifiées ;
• les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées aux conditions contractuelles de ces fournisseurs ;
• leurs engagements de résidence et de traitement des données en Europe, lorsqu'ils existent ;
• des mesures techniques et organisationnelles complémentaires : chiffrement des données en transit et au repos, minimisation des données transmises aux services d'IA, d'OCR et de notification, et absence d'utilisation des données du Client pour l'entraînement des modèles d'intelligence artificielle.

Aucun document ni aucune donnée comptable n'est stocké en dehors de l'Union européenne.

9. Droits des personnes concernées

Toute personne physique dont les données sont traitées par FIDBEE SRL en qualité de responsable de traitement dispose des droits suivants :

• Droit d'accès (art. 15 RGPD) : obtenir confirmation que des données vous concernant sont traitées et en obtenir une copie ;
• Droit de rectification (art. 16 RGPD) : faire corriger des données inexactes ou incomplètes ;
• Droit à l'effacement (art. 17 RGPD) : demander la suppression de vos données sous réserve des obligations légales de conservation ;
• Droit à la limitation du traitement (art. 18 RGPD) : demander la suspension temporaire du traitement ;
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré et lisible par machine ;
• Droit d'opposition (art. 21 RGPD) : s'opposer à certains traitements fondés sur l'intérêt légitime ;
• Droit de ne pas faire l'objet d'une décision automatisée (art. 22 RGPD) : ne pas être soumis à une décision produite exclusivement par un traitement automatisé ayant des effets juridiques.

Attention : Pour les données traitées par FIDBEE SRL en qualité de sous-traitant (données des clients des fiduciaires), les demandes d'exercice des droits doivent être adressées directement à la fiduciaire concernée, qui est le responsable de traitement.

Pour exercer vos droits auprès de FIDBEE SRL (en qualité de responsable de traitement) : contact@fidbee.be

9.1 Absence de décision individuelle automatisée

Les fonctionnalités d'intelligence artificielle de Fidbee (lecture, catégorisation des documents et extraction des données de facturation) produisent des propositions qui sont soumises à la validation d'un utilisateur humain avant toute intégration comptable. Elles ne constituent donc pas des décisions fondées exclusivement sur un traitement automatisé produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative, au sens de l'article 22 du RGPD.

Les données traitées via Fidbee ne sont pas utilisées pour entraîner les modèles d'intelligence artificielle des fournisseurs.

10. Réclamation auprès de l'autorité de contrôle

Si vous estimez que le traitement de vos données personnelles n'est pas conforme au RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente :

Autorité de protection des données (APD)
Rue de la Presse 35, 1000 Bruxelles
Tél. : +32 (0)2 274 48 00
Site : www.autoriteprotectiondonnees.be

11. Sécurité des données

FIDBEE SRL met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre toute perte, destruction, altération, accès ou divulgation non autorisés, notamment :

• Chiffrement des données en transit (TLS/HTTPS) et au repos ;
• Contrôle d'accès basé sur les rôles ;
• Double authentification (TOTP) pour l'accès à la plateforme ;
• Hachage des mots de passe (BCrypt) ;
• Journalisation des accès ;
• Hébergement exclusivement en Europe ;
• Sauvegardes régulières et chiffrées ;
• Dans les applications mobiles : jetons de session conservés dans le trousseau iOS ou le Keystore Android, verrouillage facultatif par Face ID, Touch ID ou empreinte, et communications avec Fidbee uniquement en HTTPS.

Pour plus de détails, consultez notre Politique de Sécurité des Données.

12. Cookies

Fidbee n'utilise pas de cookies de tracking, de publicité ou d'analyse comportementale. Seuls des cookies strictement nécessaires au fonctionnement de la plateforme sont utilisés : jetons de session (accessToken, refreshToken) et jetons liés à la double authentification (totp, totp-init). Les applications mobiles n'utilisent pas de cookies.

Le jeton de réinitialisation de mot de passe n'est pas un cookie : il est transmis par e-mail et conservé en base de données pendant 2 jours.

Pour plus d'informations, consultez notre Politique de Cookies.

13. Modifications de la politique de confidentialité

FIDBEE SRL se réserve le droit de modifier la présente politique à tout moment. Les modifications substantielles seront notifiées aux Clients par e-mail. La version en vigueur est toujours accessible sur la plateforme et sur https://fidbee.be/confidentialite/.

14. Contact

Pour toute question relative à la présente politique de confidentialité ou pour exercer vos droits :

FIDBEE SRL
Rue de Genleau 51, 1380 Lasne, Belgique
contact@fidbee.be

Dit is een vertaling. Bij verschil met de Franse versie heeft de Franse tekst voorrang.

1. Inleiding

FIDBEE SRL verbindt zich ertoe de privacy van haar gebruikers te beschermen en persoonsgegevens te verwerken met inachtneming van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (AVG) en van de toepasselijke Belgische wetgeving.

Dit privacybeleid beschrijft hoe FIDBEE SRL persoonsgegevens verzamelt, gebruikt en beschermt bij het gebruik van het Fidbee-platform, met inbegrip van de mobiele apps.

2. Verwerkingsverantwoordelijke

FIDBEE SRL
Rue de Genleau 51
1380 Lasne, België
KBO / btw-nummer: 1014.572.191

Contact: contact@fidbee.be

2.1 Functionaris voor gegevensbescherming

FIDBEE SRL heeft geen functionaris voor gegevensbescherming (DPO) aangewezen: de voorwaarden van artikel 37 van de AVG zijn niet vervuld, aangezien de uitgevoerde verwerkingen noch een regelmatige en stelselmatige observatie op grote schaal van personen, noch een verwerking op grote schaal van bijzondere categorieën van gegevens inhouden.

Elke vraag over gegevensbescherming kan worden gericht aan contact@fidbee.be.

3. Verzamelde gegevens

3.1 Gegevens van de vertegenwoordigers van de Klant (boekhoudkantoren)

In het kader van de handelsrelatie met de klant-boekhoudkantoren verzamelt FIDBEE SRL:

• Identificatiegegevens: naam, voornaam, functie;
• Contactgegevens: professioneel e-mailadres, professioneel telefoonnummer;
• Verbindingsgegevens: accountgegevens, toegangslogboeken, IP-adressen;
• Facturatiegegevens: facturatiegegevens van de onderneming (maatschappelijke benaming, adres, btw-nummer, IBAN).

3.2 Gegevens verwerkt voor rekening van de Klant

In het kader van de levering van de Diensten verwerkt FIDBEE SRL, in de hoedanigheid van verwerker, de volgende gegevens voor rekening van haar Klanten (boekhoudkantoren):

• Ondernemingsgegevens (klanten van de boekhoudkantoren): maatschappelijke benaming, ondernemingsnummer (KBO), btw-nummer, adres, bankgegevens (IBAN);
• Facturatiegegevens: facturen (inkomende en uitgaande), financiële gegevens, bedragen, referenties;
• Peppol-gegevens: gegevens verzonden of ontvangen via het Peppol-netwerk;
• Bankgegevens: bankafschriften verkregen via Codaclean;
• Namen en voornamen: van de vertegenwoordigers van de klant-ondernemingen, voor zover zij op de verwerkte documenten voorkomen.

Belangrijke opmerking: FIDBEE SRL verwerkt deze gegevens uitsluitend als verwerker in de zin van artikel 28 van de AVG. De Klant (boekhoudkantoor) blijft ten aanzien van de betrokkenen de enige verwerkingsverantwoordelijke voor deze gegevens.

3.3 Herkomst van de gegevens

De in punt 3.1 bedoelde gegevens worden rechtstreeks bij de betrokkenen verzameld, bij het aanmaken van de account en bij het gebruik van het platform.

De in punt 3.2 bedoelde gegevens worden hoofdzakelijk onrechtstreeks verzameld: zij zijn afkomstig van de documenten die de Klant of diens klant-ondernemingen bezorgen (facturen, bankafschriften, documenten verzonden naar de daartoe bestemde inbox van het platform of verstuurd vanuit de mobiele app), van de bankafschriften verkregen via Codaclean en van de stromen ontvangen via het Peppol-netwerk.

Het informeren van de betrokkenen op grond van artikel 14 van de AVG is de taak van de Klant, die de verwerkingsverantwoordelijke voor deze gegevens is.

3.4 Mobiele app

De mobiele apps van Fidbee (iOS en Android) geven toegang tot dezelfde Diensten als het webplatform. Zij verzamelen geen andere gegevens dan die beschreven in de punten 3.1 en 3.2, met uitzondering van de volgende elementen, die eigen zijn aan het toestel:

• Notificatietoken: wanneer de gebruiker meldingen toestaat, ontvangt het toestel een technische identificatiecode die wordt toegekend door Apple (Apple Push Notification service) of door Google (Firebase Cloud Messaging, dat steunt op een Firebase-installatie-ID). FIDBEE SRL registreert deze, gekoppeld aan de sessie van de gebruiker, om hem meldingen te sturen. De tekst van de melding loopt via de dienst van Apple of Google; deze bevat, naargelang het geval: de naam van de auteur, het onderwerp van het gesprek en het begin van het bericht (maximaal 200 tekens); de leverancier en het bedrag van een via Peppol ontvangen factuur; de klant en het bedrag of het nummer van een aangemaakte periodieke factuur of van een verstuurde herinnering; de maand van de ontvangen loonfiches. Er worden geen documenten of bijlagen doorgegeven. Het token wordt gewist bij het afmelden, en zodra Apple of Google het ongeldig verklaart; de gebruiker kan meldingen op elk moment uitschakelen in de instellingen van zijn toestel.
• Camera en fotobibliotheek: uitsluitend gebruikt op initiatief van de gebruiker, om een bewijsstuk te fotograferen of te kiezen dat moet worden verzonden. Alleen het verzonden document wordt aan Fidbee doorgegeven.
• Face ID, Touch ID, vingerafdruk of gezichtsherkenning: de optionele biometrische vergrendeling van de app wordt volledig door het systeem van het toestel gecontroleerd. Er worden geen biometrische gegevens aan FIDBEE SRL doorgegeven noch door de app bewaard.
• Documenten in wachtrij: zonder netwerkverbinding worden de te verzenden documenten tijdelijk op het toestel bewaard, in de eigen ruimte van de app, en vervolgens verwijderd zodra ze verzonden zijn of bij het afmelden.

• Documentscanner op Android: het scannen gebeurt met de ML Kit-documentscanner die door de Google Play-services wordt geleverd. De beelden worden op het toestel verwerkt en niet aan Google doorgegeven; alleen het document dat de gebruiker kiest te verzenden, gaat naar Fidbee. Zoals bij elke bibliotheek van de Google Play-services kan Google technische en diagnostische informatie ontvangen over het gebruik van deze dienst (versie van het toestel en van de app, prestaties, fouten). Op iOS gebeurt het scannen met de in het systeem van Apple ingebouwde scanner.

De mobiele apps bevatten geen tools voor publieksmeting, reclame, tracking of crashrapportage van derden. Op Android geven de gebruikte Google-bibliotheken (Firebase Cloud Messaging voor de meldingen, ML Kit voor de scanner) aan Google de technische informatie door die nodig is voor hun werking.

4. Doeleinden en rechtsgronden van de verwerkingen

5. Bewaartermijn van de gegevens

Voor de gegevens die in de hoedanigheid van verwerker worden verwerkt, kan de Klant op elk moment de verwijdering of de teruggave van de gegevens vragen, overeenkomstig artikel 28, lid 3, g) van de AVG en artikel 3 van de DPA. De hierboven vermelde termijnen stemmen overeen met de wettelijke bewaarverplichtingen die na het einde van de overeenkomst blijven bestaan.

Na afloop van deze termijnen worden de gegevens op beveiligde wijze verwijderd of onomkeerbaar geanonimiseerd.

6. Ontvangers van de gegevens

De persoonsgegevens kunnen worden meegedeeld aan de volgende categorieën van ontvangers:

• Gemachtigd personeel van FIDBEE SRL: strikt binnen het kader van hun taken;
• Technische verwerkers (zie artikel 7): in het kader van de levering van de Diensten;
• Deelnemers aan het Peppol-netwerk (zie punt 7.2): in het kader van de verzending van elektronische facturen;
• Bevoegde autoriteiten: op wettelijk verzoek, bij rechterlijke beslissing of op grond van een reglementaire verplichting.

FIDBEE SRL verkoopt, verhuurt of verhandelt geen enkel persoonsgegeven aan derden.

7. Subverwerkers en doorgiften

7.1 Lijst van subverwerkers

FIDBEE SRL doet voor de levering van haar Diensten een beroep op de volgende subverwerkers:

De Microsoft-diensten worden afgenomen bij Microsoft Ireland Operations Limited, de entiteit die partij is bij de Microsoft Customer Agreement en het Microsoft Products and Services Data Protection Addendum; de facturatie gebeurt door haar lokale commerciële dochteronderneming, Microsoft NV (BE 0437.910.359), die niet bij de verwerking van de gegevens betrokken is.

FIDBEE SRL ziet erop toe dat deze verwerkers voldoende garanties bieden op het vlak van gegevensbescherming en dat zij gebonden zijn door verwerkersovereenkomsten die in overeenstemming zijn met artikel 28 van de AVG.

De bijgewerkte lijst van subverwerkers staat ook in artikel 8 van de DPA. Elke wijziging van deze lijst wordt ter kennis gebracht van de Klanten overeenkomstig artikel 4.4 van de DPA.

7.2 Doorgifte via het Peppol-netwerk

Het Peppol-netwerk is geen verwerker van FIDBEE SRL: het is een Europees interoperabiliteitskader voor elektronische facturatie. FIDBEE SRL treedt daarin op als toegangspunt (Access Point) en als aanbieder van metadata (Service Metadata Publisher, SMP), en is in die dubbele hoedanigheid gecertificeerd (Peppol Certified Service Provider) onder het gezag van de Belgische Peppol-autoriteit, de FOD Beleid en Ondersteuning (BOSA).

Wanneer een onderneming via Fidbee op het Peppol-netwerk is geregistreerd:

• worden haar deelnemersidentificatie (doorgaans het ondernemings- of btw-nummer), de documenttypes die zij kan ontvangen en het technische adres van haar toegangspunt gepubliceerd in de SMP en kunnen deze door de andere deelnemers van het netwerk worden opgevraagd; deze informatie kan in de Peppol Directory verschijnen;
• worden de uitgegeven facturen doorgegeven aan het toegangspunt van de ontvanger, dat voor rekening van deze laatste optreedt.

Deze publicatie is inherent aan de werking van het Peppol-netwerk en aan de Belgische verplichting tot elektronische facturatie tussen ondernemingen. Zij is beperkt tot de ondernemingsgegevens en tot de technische informatie die nodig is voor de routering van de documenten.

8. Locatie van de gegevens en doorgiften buiten de Europese Unie

De via Fidbee verwerkte gegevens worden opgeslagen en verwerkt op het grondgebied van de Europese Unie. De enige uitzondering is het doorsturen van de pushmeldingen van de mobiele apps, zoals hieronder beschreven.

Concreet:

• de applicatieservers (Hostinger) en de objectopslag (Scaleway) bevinden zich in Parijs, Frankrijk;
• de dienst Azure AI Document Intelligence (Microsoft) is uitgerold in de regio France Central;
• de dienst Gemini Enterprise Agent Platform (Google Cloud) verwerkt de gegevens in de Europese multiregio ("eu");
• de bankafschriften worden verwerkt door Codaclean SRL in België.

De entiteiten waarmee FIDBEE SRL voor deze diensten contracteert, zijn gevestigd in de Europese Unie: Microsoft Ireland Operations Limited (Ierland) voor de OCR en Google Cloud EMEA Limited (Ierland) voor de artificiële intelligentie. Zij behoren evenwel tot groepen waarvan de moedervennootschap in de Verenigde Staten is gevestigd. Hoewel de diensten zo zijn geconfigureerd dat de gegevens uitsluitend in Europese regio's worden opgeslagen en verwerkt, kan een residuele toegang op afstand vanuit een derde land in beperkte gevallen niet volledig worden uitgesloten (technische ondersteuning, reactie op een beveiligingsincident).

Pushmeldingen. Om een telefoon of tablet te bereiken, moet een melding verplicht via de dienst van de fabrikant van het besturingssysteem: Apple Push Notification service (Apple Inc., Verenigde Staten) voor iOS, Firebase Cloud Messaging (Google) voor Android. Deze diensten kunnen het token van het toestel en de tekst van de melding buiten de Europese Unie verwerken, met name in de Verenigde Staten. FIDBEE SRL beperkt de inhoud van de meldingen tot het strikt noodzakelijke (zie punt 3.4); de documenten zelf gaan nooit via deze diensten. De gebruiker die deze doorgifte niet wenst, kan de meldingen uitschakelen zonder de toegang tot de Diensten te verliezen.

Android-scanner. De technische en diagnostische informatie die de Google Play-services verzamelen over het gebruik van de ML Kit-scanner (zie punt 3.4) kan eveneens door Google buiten de Europese Unie worden verwerkt. Zij bevat noch de gescande beelden, noch de documenten.

Deze doorgiften en toegangen worden omkaderd door:

• het adequaatheidsbesluit van de Europese Commissie betreffende het EU-VS-gegevensprivacykader (Data Privacy Framework, uitvoeringsbesluit (EU) 2023/1795), voor de Amerikaanse entiteiten die daaronder gecertificeerd zijn;
• de modelcontractbepalingen van de Europese Commissie (uitvoeringsbesluit (EU) 2021/914), opgenomen in de contractuele voorwaarden van deze leveranciers;
• hun verbintenissen inzake opslag en verwerking van de gegevens in Europa, voor zover die bestaan;
• aanvullende technische en organisatorische maatregelen: versleuteling van de gegevens tijdens de overdracht en in rust, minimalisering van de gegevens die aan de AI-, OCR- en notificatiediensten worden doorgegeven, en geen gebruik van de gegevens van de Klant voor het trainen van modellen voor artificiële intelligentie.

Geen enkel document en geen enkel boekhoudkundig gegeven wordt buiten de Europese Unie opgeslagen.

9. Rechten van de betrokkenen

Elke natuurlijke persoon wiens gegevens door FIDBEE SRL in de hoedanigheid van verwerkingsverantwoordelijke worden verwerkt, beschikt over de volgende rechten:

• Recht op inzage (art. 15 AVG): bevestiging verkrijgen dat gegevens over u worden verwerkt en daarvan een kopie verkrijgen;
• Recht op rectificatie (art. 16 AVG): onjuiste of onvolledige gegevens laten corrigeren;
• Recht op gegevenswissing (art. 17 AVG): de verwijdering van uw gegevens vragen, onder voorbehoud van de wettelijke bewaarverplichtingen;
• Recht op beperking van de verwerking (art. 18 AVG): de tijdelijke opschorting van de verwerking vragen;
• Recht op overdraagbaarheid (art. 20 AVG): uw gegevens ontvangen in een gestructureerd en machineleesbaar formaat;
• Recht van bezwaar (art. 21 AVG): bezwaar maken tegen bepaalde verwerkingen die op het gerechtvaardigd belang zijn gebaseerd;
• Recht om niet te worden onderworpen aan geautomatiseerde besluitvorming (art. 22 AVG): niet worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen heeft.

Let op: Voor de gegevens die FIDBEE SRL in de hoedanigheid van verwerker verwerkt (gegevens van de klanten van de boekhoudkantoren), moeten verzoeken tot uitoefening van de rechten rechtstreeks worden gericht aan het betrokken boekhoudkantoor, dat de verwerkingsverantwoordelijke is.

Om uw rechten uit te oefenen bij FIDBEE SRL (in de hoedanigheid van verwerkingsverantwoordelijke): contact@fidbee.be

9.1 Geen geautomatiseerde individuele besluitvorming

De functionaliteiten van artificiële intelligentie van Fidbee (lezen en categoriseren van documenten en extractie van facturatiegegevens) leveren voorstellen op die ter validatie aan een menselijke gebruiker worden voorgelegd vóór elke boekhoudkundige verwerking. Het gaat dus niet om besluiten die uitsluitend berusten op geautomatiseerde verwerking die rechtsgevolgen heeft voor een persoon of die hem in aanmerkelijke mate treft, in de zin van artikel 22 van de AVG.

De via Fidbee verwerkte gegevens worden niet gebruikt om de modellen voor artificiële intelligentie van de leveranciers te trainen.

10. Klacht bij de toezichthoudende autoriteit

Als u van oordeel bent dat de verwerking van uw persoonsgegevens niet in overeenstemming is met de AVG, hebt u het recht een klacht in te dienen bij de bevoegde toezichthoudende autoriteit:

Gegevensbeschermingsautoriteit (GBA)
Drukpersstraat 35, 1000 Brussel
Tel.: +32 (0)2 274 48 00
Website: www.gegevensbeschermingsautoriteit.be

11. Beveiliging van de gegevens

FIDBEE SRL neemt passende technische en organisatorische maatregelen om de gegevens te beschermen tegen elk verlies, elke vernietiging, wijziging, ongeoorloofde toegang of openbaarmaking, met name:

• Versleuteling van de gegevens tijdens de overdracht (TLS/HTTPS) en in rust;
• Op rollen gebaseerd toegangsbeheer;
• Tweestapsverificatie (TOTP) voor de toegang tot het platform;
• Hashing van wachtwoorden (BCrypt);
• Logging van de toegang;
• Hosting uitsluitend in Europa;
• Regelmatige en versleutelde back-ups;
• In de mobiele apps: sessietokens bewaard in de iOS-sleutelhanger of de Android Keystore, optionele vergrendeling met Face ID, Touch ID of vingerafdruk, en communicatie met Fidbee uitsluitend via HTTPS.

Raadpleeg voor meer details ons Beleid inzake gegevensbeveiliging.

12. Cookies

Fidbee gebruikt geen trackingcookies, reclamecookies of cookies voor gedragsanalyse. Er worden alleen cookies gebruikt die strikt noodzakelijk zijn voor de werking van het platform: sessietokens (accessToken, refreshToken) en tokens in verband met de tweestapsverificatie (totp, totp-init). De mobiele apps gebruiken geen cookies.

Het token voor het opnieuw instellen van het wachtwoord is geen cookie: het wordt per e-mail verzonden en gedurende 2 dagen in de database bewaard.

Raadpleeg voor meer informatie ons Cookiebeleid.

13. Wijzigingen van het privacybeleid

FIDBEE SRL behoudt zich het recht voor dit beleid op elk moment te wijzigen. Substantiële wijzigingen worden per e-mail aan de Klanten meegedeeld. De geldende versie is altijd beschikbaar op het platform en op https://fidbee.be/confidentialite/?lang=nl.

14. Contact

Voor elke vraag over dit privacybeleid of om uw rechten uit te oefenen:

FIDBEE SRL
Rue de Genleau 51, 1380 Lasne, België
contact@fidbee.be

This is a translation. Where it differs from the French version, the French text prevails.

1. Introduction

FIDBEE SRL is committed to protecting the privacy of its users and to processing personal data in accordance with Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (GDPR) and applicable Belgian legislation.

This privacy policy describes how FIDBEE SRL collects, uses and protects personal data in connection with the use of the Fidbee platform, including its mobile apps.

2. Controller

FIDBEE SRL
Rue de Genleau 51
1380 Lasne, Belgium
BCE / VAT number: 1014.572.191

Contact: contact@fidbee.be

2.1 Data protection officer

FIDBEE SRL has not appointed a data protection officer (DPO): the conditions of Article 37 GDPR are not met, as the processing carried out constitutes neither regular and systematic monitoring of data subjects on a large scale nor large-scale processing of special categories of data.

Any question relating to data protection may be sent to contact@fidbee.be.

3. Data collected

3.1 Data of the Client's representatives (accounting firms)

In the course of its business relationship with client accounting firms, FIDBEE SRL collects:

• Identification data: surname, first name, job title;
• Contact data: business e-mail address, business telephone number;
• Login data: account credentials, access logs, IP addresses;
• Billing data: the company's billing details (company name, address, VAT number, IBAN).

3.2 Data processed on behalf of the Client

In providing the Services, FIDBEE SRL processes the following data, as a processor, on behalf of its Clients (accounting firms):

• Company data (clients of the accounting firms): company name, Crossroads Bank for Enterprises (BCE) number, VAT number, address, bank details (IBAN);
• Invoicing data: invoices (incoming and outgoing), financial data, amounts, references;
• Peppol data: data sent or received via the Peppol network;
• Bank data: bank statements obtained via Codaclean;
• Surnames and first names: of the representatives of client companies, insofar as they appear on the documents processed.

Important note: FIDBEE SRL processes these data exclusively as a processor within the meaning of Article 28 GDPR. The Client (accounting firm) remains the sole controller of these data with respect to the data subjects.

3.3 Source of the data

The data referred to in point 3.1 are collected directly from the data subjects, when the account is created and when the platform is used.

The data referred to in point 3.2 are, for the most part, collected indirectly: they come from the documents provided by the Client or by its client companies (invoices, bank statements, documents sent to the platform's dedicated inbox or sent from the mobile app), from bank statements obtained via Codaclean and from data flows received via the Peppol network.

Informing the data subjects under Article 14 GDPR is the responsibility of the Client, which is the controller of these data.

3.4 Mobile app

The Fidbee mobile apps (iOS and Android) give access to the same Services as the web platform. They do not collect any data other than those described in points 3.1 and 3.2, with the exception of the following items, which are specific to the device:

• Notification token: when the user allows notifications, the device receives a technical identifier assigned by Apple (Apple Push Notification service) or by Google (Firebase Cloud Messaging, which relies on a Firebase installation identifier). FIDBEE SRL stores it, linked to the user's session, in order to send them notifications. The text of the notification passes through Apple's or Google's service; depending on the case, it contains: the name of the author, the subject of the conversation and the beginning of the message (200 characters at most); the supplier and the amount of an invoice received via Peppol; the customer and the amount or number of a recurring invoice created or of a reminder sent; the month of the payslips received. No document or attachment is transmitted. The token is deleted on logout, and as soon as Apple or Google declares it invalid; the user may disable notifications at any time in their device settings.
• Camera and photo library: used only at the user's initiative, to photograph or choose a supporting document to send. Only the document sent is transmitted to Fidbee.
• Face ID, Touch ID, fingerprint or face recognition: the app's optional biometric lock is verified entirely by the device's operating system. No biometric data is transmitted to FIDBEE SRL or stored by the app.
• Pending documents: without a network connection, documents to be sent are stored temporarily on the device, in the app's own storage space, and then deleted once sent or on logout.

• Document scanner on Android: scanning uses the ML Kit document scanner provided by Google Play services. The images are processed on the device and are not transmitted to Google; only the document that the user chooses to send goes to Fidbee. As with any Google Play services library, Google may receive technical and diagnostic information about the use of this service (device and app version, performance, errors). On iOS, scanning uses the scanner built into Apple's operating system.

The mobile apps contain no third-party audience measurement, advertising, tracking or crash reporting tool. On Android, the Google libraries used (Firebase Cloud Messaging for notifications, ML Kit for the scanner) send Google the technical information necessary for them to function.

4. Purposes and legal bases of processing

5. Data retention period

For data processed as a processor, the Client may at any time request the deletion or the return of the data, in accordance with Article 28(3)(g) GDPR and Article 3 of the DPA. The periods indicated above correspond to the legal retention obligations that remain after the end of the contract.

When these periods expire, the data are securely deleted or irreversibly anonymised.

6. Recipients of the data

Personal data may be disclosed to the following categories of recipients:

• Authorised FIDBEE SRL staff: strictly within the scope of their duties;
• Technical sub-processors (see Article 7): in the course of providing the Services;
• Peppol network participants (see point 7.2): in the course of transmitting electronic invoices;
• Competent authorities: upon a lawful request, court order or regulatory obligation.

FIDBEE SRL does not sell, rent or otherwise commercialise any personal data to third parties.

7. Sub-processors and transmissions

7.1 List of sub-processors

FIDBEE SRL uses the following sub-processors to provide its Services:

Microsoft services are contracted with Microsoft Ireland Operations Limited, the entity party to the Microsoft Customer Agreement and to the Microsoft Products and Services Data Protection Addendum; billing is handled by its local commercial affiliate, Microsoft NV (BE 0437.910.359), which plays no part in the processing of data.

FIDBEE SRL ensures that these sub-processors provide sufficient guarantees with regard to data protection and that they are bound by data processing agreements compliant with Article 28 GDPR.

The up-to-date list of sub-processors is also set out in Article 8 of the DPA. Any change to this list is notified to Clients in accordance with Article 4.4 of the DPA.

7.2 Transmission via the Peppol network

The Peppol network is not a sub-processor of FIDBEE SRL: it is a European interoperability framework for electronic invoicing. FIDBEE SRL acts within it as an Access Point and as a Service Metadata Publisher (SMP), certified in both capacities (Peppol Certified Service Provider) under the authority of the Belgian Peppol Authority, the FPS Policy and Support (BOSA).

When a company is registered on the Peppol network via Fidbee:

• its participant identifier (usually its enterprise or VAT number), the document types it can receive and the technical address of its access point are published in the SMP and may be queried by other network participants; this information may appear in the Peppol Directory;
• the invoices issued are transmitted to the recipient's Access Point, which acts on the recipient's behalf.

This publication is inherent to the operation of the Peppol network and to the Belgian obligation of electronic invoicing between businesses. It is limited to company data and to the technical information necessary for routing documents.

8. Data location and transfers outside the European Union

Data processed via Fidbee are stored and processed within the territory of the European Union. The only exception is the delivery of the mobile apps' push notifications, described below.

Specifically:

• the application servers (Hostinger) and object storage (Scaleway) are located in Paris, France;
• the Azure AI Document Intelligence service (Microsoft) is deployed in the France Central region;
• the Gemini Enterprise Agent Platform service (Google Cloud) processes data in the European multi-region ("eu");
• bank statements are processed by Codaclean SRL in Belgium.

The entities with which FIDBEE SRL contracts for these services are established in the European Union: Microsoft Ireland Operations Limited (Ireland) for OCR and Google Cloud EMEA Limited (Ireland) for artificial intelligence. They nevertheless belong to groups whose parent company is established in the United States. Although the services are configured to store and process data exclusively in European regions, residual remote access from a third country cannot be entirely ruled out in limited circumstances (technical support, response to a security incident).

Push notifications. To reach a phone or a tablet, a notification must pass through the service of the operating system's manufacturer: Apple Push Notification service (Apple Inc., United States) for iOS, Firebase Cloud Messaging (Google) for Android. These services may process the device token and the text of the notification outside the European Union, in particular in the United States. FIDBEE SRL limits the content of notifications to what is strictly necessary (see point 3.4); the documents themselves never pass through these services. Users who do not wish this transfer to take place can disable notifications without losing access to the Services.

Android scanner. The technical and diagnostic information that Google Play services collect about the use of the ML Kit scanner (see point 3.4) may also be processed by Google outside the European Union. It contains neither the scanned images nor the documents.

These transfers and access are governed by:

• the European Commission's adequacy decision on the EU–US Data Privacy Framework (Implementing Decision (EU) 2023/1795), for the US entities certified under it;
• the European Commission's standard contractual clauses (Implementing Decision (EU) 2021/914), incorporated into the contractual terms of these providers;
• their commitments to data residency and processing in Europe, where these exist;
• additional technical and organisational measures: encryption of data in transit and at rest, minimisation of the data sent to the AI, OCR and notification services, and no use of the Client's data to train artificial intelligence models.

No document or accounting data is stored outside the European Union.

9. Rights of data subjects

Any natural person whose data are processed by FIDBEE SRL as controller has the following rights:

• Right of access (Art. 15 GDPR): to obtain confirmation as to whether data concerning you are being processed and to obtain a copy of them;
• Right to rectification (Art. 16 GDPR): to have inaccurate or incomplete data corrected;
• Right to erasure (Art. 17 GDPR): to request the deletion of your data, subject to legal retention obligations;
• Right to restriction of processing (Art. 18 GDPR): to request the temporary suspension of processing;
• Right to data portability (Art. 20 GDPR): to receive your data in a structured, machine-readable format;
• Right to object (Art. 21 GDPR): to object to certain processing based on legitimate interest;
• Right not to be subject to automated decision-making (Art. 22 GDPR): not to be subject to a decision based solely on automated processing which produces legal effects.

Please note: For data processed by FIDBEE SRL as a processor (data of the accounting firms' clients), requests to exercise these rights must be sent directly to the accounting firm concerned, which is the controller.

To exercise your rights with FIDBEE SRL (as controller): contact@fidbee.be

9.1 No automated individual decision-making

Fidbee's artificial intelligence features (reading and categorisation of documents and extraction of invoicing data) produce proposals which are submitted to a human user for validation before any accounting entry. They therefore do not constitute decisions based solely on automated processing which produce legal effects concerning a person or similarly significantly affect them, within the meaning of Article 22 GDPR.

Data processed via Fidbee are not used to train the providers' artificial intelligence models.

10. Complaint to the supervisory authority

If you consider that the processing of your personal data does not comply with the GDPR, you have the right to lodge a complaint with the competent supervisory authority:

Data Protection Authority (Autorité de protection des données / Gegevensbeschermingsautoriteit) Rue de la Presse 35, 1000 Brussels Tel.: +32 (0)2 274 48 00 Website: www.dataprotectionauthority.be

11. Data security

FIDBEE SRL implements appropriate technical and organisational measures to protect data against any loss, destruction, alteration, or unauthorised access or disclosure, including:

• Encryption of data in transit (TLS/HTTPS) and at rest;
• Role-based access control;
• Two-factor authentication (TOTP) for access to the platform;
• Password hashing (BCrypt);
• Access logging;
• Hosting exclusively in Europe;
• Regular, encrypted backups;
• In the mobile apps: session tokens stored in the iOS Keychain or the Android Keystore, optional lock by Face ID, Touch ID or fingerprint, and communications with Fidbee over HTTPS only.

For more details, see our Data Security Policy.

12. Cookies

Fidbee does not use tracking, advertising or behavioural analytics cookies. Only cookies that are strictly necessary for the operation of the platform are used: session tokens (accessToken, refreshToken) and two-factor authentication tokens (totp, totp-init). The mobile apps do not use cookies.

The password reset token is not a cookie: it is sent by e-mail and stored in the database for 2 days.

For more information, see our Cookie Policy.

13. Changes to the privacy policy

FIDBEE SRL reserves the right to amend this policy at any time. Substantial changes will be notified to Clients by e-mail. The version in force is always available on the platform and at https://fidbee.be/confidentialite/?lang=en.

14. Contact

For any question relating to this privacy policy or to exercise your rights:

FIDBEE SRL
Rue de Genleau 51, 1380 Lasne, Belgium
contact@fidbee.be