AssurX

Version 1.2 — figée le 2026-10-20. Cette adresse pointe cette version précise : elle ne change pas quand une version suivante est publiée.

ANNEXE — TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

Accord de sous-traitance conclu en application de l'article 28 du règlement (UE) 2016/679

Annexe aux conditions générales d'utilisation et de vente du service AssurX. Version 1.2 — 20 octobre 2026

Cette annexe est indissociable des conditions générales. Elle est affichée et acceptée en même temps qu'elles, dans les formes de leur article 5. Elle n'est pas un document séparé que l'on signerait plus tard.

1. LES PARTIES ET LEURS QUALITÉS

1.1. Le sous-traitant est Innov-IA SComm, Rue Saint-Maur 7 boîte 1, 4000 Liège, numéro d'entreprise et de TVA BE 1021.826.011, éditeur du service AssurX.

1.2. Le responsable du traitement est le souscripteur — le courtier qui a pris l'abonnement, personne physique ou morale désignée dans son compte. AssurX se souscrit à titre individuel : chaque courtier prend le sien, le paie, et dispose de son propre espace.

Appartenir à un réseau ou porter une enseigne ne change rien : un courtier qui exerce sous la marque d'un groupement, avec une adresse de courriel à son nom de domaine, reste responsable du traitement des données de ses clients dès lors qu'il exerce sous son propre numéro d'entreprise et détermine lui-même le sort de ces données. C'est l'article 4 des conditions générales.

1.3. Cette déclaration est comprise dans l'acceptation des conditions générales ; elle est horodatée, versionnée et conservée. Elle est opposable aux deux parties. Si la situation d'un souscripteur cesse d'y correspondre, l'article 4.6 des conditions générales prévoit la conclusion d'un accord distinct avec le cabinet concerné.

1.4. Innov-IA ne détermine ni les finalités ni les moyens essentiels du traitement des données du portefeuille. Elle ne traite ces données que pour fournir le service, sur instruction du responsable du traitement. Elle n'est responsable du traitement que pour les données de gestion du compte du souscripteur, décrites dans la politique de confidentialité publiée en ligne.

1.5. Contact. Pour toute question relative à la présente annexe : yahia@innov-ia.be. Innov-IA n'a pas désigné de délégué à la protection des données ; sa désignation n'est pas obligatoire au regard de l'article 37 du règlement, car aucun des trois cas de l'article 37.1 n'est rencontré : Innov-IA n'est pas une autorité publique, son activité de base n'est ni un suivi régulier et systématique des personnes à grande échelle, ni un traitement de données sensibles à grande échelle au sens retenu par les lignes directrices du Comité européen de la protection des données. Ce point est à réexaminer si le nombre de souscripteurs ou le volume de données de santé traité augmente sensiblement.

2. OBJET, NATURE, FINALITÉS ET DURÉE

2.1. Objet. Innov-IA héberge et traite, pour le compte du responsable du traitement, les données du portefeuille de courtage saisies ou versées dans AssurX, et exécute sur ces données les fonctions du service.

2.2. Nature des opérations. Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission aux sous-traitants ultérieurs listés à la section 6, limitation, effacement, destruction.

2.3. Finalités. Exclusivement les suivantes :

tenir les fiches des clients et prospects du courtier ;
enregistrer et suivre les contrats d'assurance et leurs échéances ;
gérer un pipeline commercial, un agenda, des tâches et des documents ;
transcrire un enregistrement de réunion et en produire un compte rendu structuré ;
permettre une conversation vocale en temps réel avec l'assistante « Donna » ;
extraire par reconnaissance optique les champs d'un document d'assurance ;
répondre aux questions du courtier sur son portefeuille ;
assurer la sécurité, la journalisation des accès et le dépannage du service.

2.4. Innov-IA ne traite ces données pour aucune autre finalité, et en particulier jamais pour entraîner, affiner ou évaluer un modèle d'intelligence artificielle, pour de la prospection, pour de la revente ou pour une cession à un tiers.

2.5. Durée. Le traitement dure le temps du contrat, puis le temps nécessaire à la restitution et à l'effacement, selon le calendrier de la section 9.

3. CATÉGORIES DE PERSONNES CONCERNÉES ET DE DONNÉES

3.1. Personnes concernées

les clients et prospects du courtier, personnes physiques ;
les représentants et personnes de contact des clients personnes morales ;
les assurés, bénéficiaires et ayants droit mentionnés dans un contrat ou un dossier ;
les participants aux réunions enregistrées, dont des tiers (conjoint, enfant, expert, représentant d'un assureur) ;
le courtier lui-même et, le cas échéant, ses collaborateurs.

3.2. Catégories de données

Catégorie	Exemples
Identification	nom, prénom, date de naissance, adresse, numéro national lorsqu'il figure sur une pièce versée
Coordonnées	adresse postale, adresse de courriel, numéro de téléphone fixe, numéro de GSM
Situation personnelle et familiale	situation de famille, composition du ménage, profession
Données économiques et patrimoniales	revenus, patrimoine, biens assurés, primes, sinistres, encours
Données contractuelles	type de contrat, assureur, numéro de police, dates d'effet et d'échéance, garanties
Documents	conditions particulières, avenants, attestations, courriers, pièces de sinistre
Contenu de réunion	enregistrement audio brut, transcription écrite, compte rendu structuré
Contenu vocal temps réel	flux audio de la parole du courtier, transcription immédiate, réponse synthétisée
Données techniques	identifiants de compte, journaux d'accès, horodatages, adresse réseau

3.3. Catégories particulières — article 9 du règlement

Le traitement porte sur des données de santé. Ce n'est pas une hypothèse : les archives traitées lors de la mise en service contenaient des questionnaires médicaux. S'y ajoutent les certificats médicaux, les rapports d'expertise et les pièces de dossiers de sinistre corporel.

Les enregistrements de réunion relèvent aussi de l'article 9 par ce qui s'y dit : un client qui évoque une maladie, un traitement, une grossesse, un handicap ou une interruption de travail produit, par sa seule parole, une donnée de santé. Un propos sur une conviction religieuse ou une appartenance syndicale relève de la même catégorie.

Conséquences, réparties entre les parties :

a) Le responsable du traitement s'assure de disposer d'une exception de l'article 9.2 du règlement — en pratique le consentement explicite de l'article 9.2.a) — et en conserve la preuve. Il satisfait aux mesures supplémentaires de l'article 9 de la loi du 30 juillet 2018 : désigner les catégories de personnes ayant accès à ces données avec une description précise de leur fonction, tenir cette liste à la disposition de l'Autorité de protection des données, et veiller à ce que ces personnes soient tenues au secret par une obligation légale, statutaire ou contractuelle équivalente.

b) Innov-IA satisfait à ces mêmes mesures pour ses propres intervenants (section 5.2), tient la liste correspondante à jour et la communique sur demande.

3.4. Innov-IA ne traite aucune donnée relative à des condamnations ou infractions pénales au sens de l'article 10 du règlement et de l'article 10 de la loi du 30 juillet 2018. Le service ne prévoit aucun champ à cet effet. Si le responsable du traitement en verse malgré tout dans un document libre, il en assume seul la licéité.

3.5. Innov-IA ne met en œuvre aucune décision individuelle automatisée au sens de l'article 22 du règlement. Les fonctions d'intelligence artificielle produisent des propositions soumises à la relecture du courtier ; aucun refus, aucune tarification, aucune segmentation n'est décidée par la machine.

4. INSTRUCTIONS DU RESPONSABLE DU TRAITEMENT

4.1. Innov-IA ne traite les données que sur instruction documentée du responsable du traitement. Constituent ses instructions documentées :

les conditions générales et la présente annexe ;
les paramètres de configuration choisis dans le compte, notamment l'activation ou la désactivation de chaque fonction d'intelligence artificielle ;
les actions effectuées dans le service par le souscripteur ou ses collaborateurs ;
toute instruction écrite adressée à l'adresse de contact de la section 1.5.

4.2. Une instruction écrite qui sort du périmètre du service, ou qui exige une adaptation technique, est exécutée après accord sur ses conditions. Innov-IA peut la facturer sur devis préalable accepté, sauf lorsqu'elle est nécessaire au respect du règlement.

4.3. Innov-IA informe immédiatement le responsable du traitement si, à son avis, une instruction constitue une violation du règlement ou du droit belge, conformément à l'article 28.3, dernier alinéa, du règlement. Elle peut suspendre l'exécution de cette instruction jusqu'à clarification.

4.4. Innov-IA ne transfère aucune donnée vers un pays tiers, et ne fait appel à aucun nouveau sous-traitant ultérieur, en dehors de ce que prévoient les sections 6 et 7.

5. CONFIDENTIALITÉ DES PERSONNES AUTORISÉES

5.1. Innov-IA veille à ce que toute personne autorisée à traiter les données s'engage à la confidentialité, conformément à l'article 28.3, b), du règlement.

5.2. Concrètement :

l'accès est nominatif et limité aux personnes qui en ont besoin pour exploiter ou dépanner le service ;
la liste de ces personnes et de leurs fonctions est tenue à jour, communiquée au responsable du traitement sur demande et tenue à la disposition de l'Autorité de protection des données (article 9 de la loi du 30 juillet 2018) ;
chaque personne est liée par une clause de confidentialité écrite qui survit à la fin de sa mission, sans limitation de durée pour les données couvertes par le devoir de discrétion professionnelle du courtier ;
tout accès au contenu d'un compte est journalisé — identité, date et heure, motif, périmètre — et le journal est communiqué sur demande.

5.3. Innov-IA n'accède au contenu d'un compte qu'avec l'accord du souscripteur ou à sa demande, sauf nécessité technique impérieuse (incident de sécurité, perte ou corruption de données), auquel cas elle l'en informe sans délai.

5.4. Accès support. Dans le service, l'équipe d'Innov-IA ne voit aucune donnée du portefeuille d'un cabinet tant que celui-ci ne lui a pas ouvert un accès support. Cet accès est ouvert depuis le service par l'administrateur du cabinet, qui en indique le motif ; il est limité dans le temps, prend fin de lui-même à l'échéance choisie et peut être refermé à tout moment par cet administrateur. Chaque entrée de l'équipe d'Innov-IA dans les données d'un cabinet est inscrite au journal des accès de ce cabinet. L'accès support ne réduit en rien l'engagement de la section 5.3.

6. SOUS-TRAITANTS ULTÉRIEURS — LISTE NOMINATIVE

6.1. Le responsable du traitement autorise Innov-IA à faire appel aux sous-traitants ultérieurs listés ci-dessous, conformément à l'article 28.2 du règlement. Cette autorisation est donnée en acceptant la présente annexe.

6.2. Liste au 20 octobre 2026.

Sous-traitant ultérieur	Rôle dans AssurX	Données concernées	Lieu de traitement
Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513	Base de données, stockage des fichiers, gestion des comptes et de l'authentification, envoi des courriels de compte (invitation, réinitialisation de mot de passe)	Toutes les données du portefeuille, les documents, les enregistrements audio et les transcriptions	Hébergement à Dublin, Irlande — Union européenne. Entité contractante à Singapour : accès possible depuis ce pays pour le support et l'exploitation — voir section 7
Vercel Inc. (société du Delaware n° 5857312), 440 N Barranca Ave #4133, Covina, Californie 91723, États-Unis	Hébergement et exécution de l'application	Toutes les données transitent par l'application ; aucune conservation durable	Exécution à Paris, France — Union européenne. Entité contractante aux États-Unis : accès possible depuis ce pays pour le support et l'exploitation — voir section 7
Mistral AI SAS, Paris, France	Transcription des réunions et de la parole de « Donna » en temps réel (Voxtral), modèles de langage (comptes rendus, assistant texte, « Donna »), reconnaissance optique des contrats, synthèse vocale	Audio des réunions, flux audio de la parole du courtier et noms prononcés, transcriptions, extraits de fiches et de contrats soumis aux modèles, documents soumis à l'OCR	France — Union européenne. Entité contractante en France
LiveKit Incorporated, 369 Sutter Street, San Francisco, Californie, États-Unis	Transport du flux audio temps réel entre le navigateur et le service	Flux audio en transit ; pas de conservation du contenu	Serveurs à Francfort, Allemagne — Union européenne. Entité contractante aux États-Unis — voir section 7
PostHog, Inc., États-Unis	Mesure d'usage et remontée des erreurs techniques	Identifiant technique de compte, pages visitées, actions, messages d'erreur. Pas de contenu de fiche, de contrat, de réunion ni de document	Hébergement à Francfort, Allemagne — Union européenne (instance européenne, ingestion sur `eu.i.posthog.com`). Entité contractante aux États-Unis — voir section 7
Stripe Payments Europe, Limited, Dublin, Irlande	Encaissement des abonnements, carte bancaire et domiciliation SEPA	Identité et coordonnées de facturation du courtier, moyen de paiement, historique de facturation. Aucune donnée du portefeuille	Irlande, avec des traitements aux États-Unis par le groupe Stripe

6.3. Sous-traitants activés par option ou présents dans le code à la date de la présente annexe. Ces prestataires ne sont sollicités que si la fonction correspondante est activée. Leur statut doit être confirmé avant la mise en service.

Prestataire	Rôle	Lieu	Statut
Speechmatics	Voie alternative de transcription vocale temps réel (Speechmatics Flow, point d'accès région Union européenne)	Union européenne (point d'accès UE) ; siège du groupe au Royaume-Uni — pays bénéficiant d'une décision d'adéquation	Intégré au service comme voie alternative à « Donna ». Lorsqu'il est sollicité, le point d'accès utilisé est celui de la région Union européenne.
Google (Google Calendar)	Synchronisation de l'agenda, sur autorisation expresse du courtier par connexion à son propre compte Google	Union européenne et États-Unis	Destinataire distinct, et non sous-traitant ultérieur d'Innov-IA. Le courtier relie son propre compte Google par une autorisation expresse qu'il peut retirer à tout moment depuis les réglages. Innov-IA n'intervient que comme intermédiaire technique de cette transmission ; la relation entre le courtier et Google relève des conditions de Google. Seuls les rendez-vous AssurX sont synchronisés, jamais le portefeuille, les documents ni les enregistrements.

6.4. Engagements imposés à chaque sous-traitant ultérieur. Innov-IA conclut avec chacun un accord écrit lui imposant les mêmes obligations que celles de la présente annexe, conformément à l'article 28.4 du règlement, et notamment :

ne traiter les données que pour exécuter sa prestation ;
ne pas les utiliser pour entraîner, affiner ou évaluer un modèle ;
la confidentialité du personnel ;
des mesures de sécurité appropriées ;
la notification sans délai de toute violation de données ;
l'effacement ou la restitution en fin de contrat ;
l'interdiction de tout transfert hors de l'Union européenne non prévu à la section 7.

6.5. Responsabilité. Innov-IA demeure pleinement responsable envers le responsable du traitement de l'exécution de ces obligations par ses sous-traitants ultérieurs (article 28.4, dernière phrase, du règlement).

6.6. Changement de sous-traitant ultérieur. Innov-IA informe le responsable du traitement par écrit, trente jours avant tout ajout ou remplacement. Le responsable du traitement peut s'y opposer pour un motif légitime dans ce délai. En cas d'opposition, Innov-IA propose une solution alternative ou, si elle n'en dispose pas, le responsable du traitement peut résilier sans indemnité, avec remboursement au prorata de la période payée et non servie.

6.7. L'ajout d'un sous-traitant ultérieur situé hors de l'Union européenne est une modification substantielle : il requiert une nouvelle acceptation de la présente annexe, dans les formes de l'article 12.4 des conditions générales.

6.8. La liste à jour est publiée sur https://assurx.app et accessible dans le compte du souscripteur.

7. SORTIES DU TERRITOIRE DE L'UNION

Cette section mérite d'être lue en entier. Les données du portefeuille sont hébergées et traitées dans l'Union européenne. Aucun traitement d'intelligence artificielle n'a lieu hors de l'Union (section 7.1). Deux mouvements, de nature différente, peuvent néanmoins faire sortir des données du territoire de l'Union :

un accès possible depuis le pays d'établissement d'un prestataire dont les serveurs sont pourtant en Europe. Au sens du chapitre V du règlement, cet accès est un transfert. Il fait l'objet de la section 7.2 ;
les traitements de paiement du groupe Stripe, qui ne portent sur aucune donnée du portefeuille (section 7.3).

7.1. L'intelligence artificielle reste dans l'Union européenne

Toutes les fonctions d'intelligence artificielle du service sont confiées à Mistral AI, en France : la transcription différée des réunions, la transcription en temps réel de la parole du courtier dans la fonction vocale « Donna », les modèles de langage (comptes rendus, assistant texte, réponses de « Donna »), la reconnaissance optique des contrats et la synthèse vocale.

La voix du courtier et le nom des clients qu'il prononce ne quittent pas l'Union européenne. Le flux audio de « Donna » est transporté par LiveKit, depuis des serveurs situés à Francfort (Allemagne), puis transcrit, compris et vocalisé par Mistral AI, en France.

Jusqu'à la version 1.0 de la présente annexe, la reconnaissance de la parole de « Donna » était confiée à OpenAI, aux États-Unis. Ce traitement a pris fin : OpenAI n'est plus sous-traitant ultérieur d'Innov-IA. Tout recours futur à un prestataire d'intelligence artificielle situé hors de l'Union européenne serait l'ajout d'un sous-traitant ultérieur hors de l'Union, soumis à la section 6.7.

7.2. L'accès par les prestataires d'hébergement établis hors de l'Union

Quatre prestataires hébergent ou exécutent le service sur des serveurs situés dans l'Union européenne, mais sont eux-mêmes établis ailleurs :

Prestataire	Serveurs	Siège de l'entité
Supabase Pte. Ltd	Dublin, Irlande	Singapour
Vercel Inc.	Paris, France	États-Unis
LiveKit Incorporated	Francfort, Allemagne	États-Unis
PostHog, Inc.	Francfort, Allemagne	États-Unis

Ce que cela signifie concrètement. Les données ne quittent pas les serveurs européens dans le cours normal du service. Mais le personnel d'exploitation et de support de ces sociétés peut y accéder depuis son pays, par exemple pour diagnostiquer une panne. Le règlement traite cet accès comme un transfert, et il doit donc être encadré comme tel.

Encadrement. Chacun de ces transferts repose sur les clauses contractuelles types de la décision d'exécution (UE) 2021/914, conclues dans l'accord de traitement de chaque prestataire, et, pour les sociétés américaines qui y sont inscrites, sur le cadre de protection des données UE–États-Unis.

Ce qui n'est pas affirmé ici. Innov-IA ne prétend pas qu'aucun employé de ces sociétés ne verra jamais une donnée. Elle affirme que l'hébergement est européen, que l'accès est contractuellement limité à ce qu'exige l'exploitation, et que le fondement juridique du transfert existe. Un responsable du traitement qui exige une étanchéité totale du territoire de l'Union doit le dire avant la mise en service : ce n'est pas ce que le service offre aujourd'hui.

7.3. Stripe

Stripe traite les paiements depuis l'Irlande, avec des traitements au sein de son groupe aux États-Unis. Ce flux porte l'identité et les coordonnées de facturation du courtier et son moyen de paiement. Il ne porte aucune donnée du portefeuille. Il repose sur les clauses contractuelles types et sur le cadre UE–États-Unis, et relève des conditions de Stripe, qu'Innov-IA ne négocie pas.

8. SÉCURITÉ DU TRAITEMENT

Mesures techniques et organisationnelles au sens de l'article 32 du règlement.

8.1. Contrôle d'accès

Mesure	Mise en œuvre
Authentification des courtiers	Compte nominatif, mot de passe, gestion des sessions par Supabase Auth
Authentification à deux facteurs	Disponible, par code à usage unique généré par une application d'authentification (TOTP). Elle s'active dans les paramètres du compte et est exigée à chaque connexion, sur le web comme sur l'application mobile, pour qui l'a activée. Elle devient obligatoire pour tous les comptes à compter du 30 octobre 2026 : sans second facteur, l'accès aux dossiers est bloqué jusqu'à son activation
Cloisonnement des données entre souscripteurs	Sécurité au niveau des lignes (row level security) activée sur les tables de la base de données : chaque requête est filtrée par l'identité de l'utilisateur authentifié, au niveau du moteur de base de données et non de l'application
Cloisonnement des données entre cabinets	Chaque donnée du portefeuille est rattachée à un cabinet. Le moteur de base de données refuse toute lecture, modification, création ou suppression d'une donnée d'un autre cabinet, en plus des règles précédentes (section 8.3)
Écritures sensibles	Réservées à des fonctions serveur exécutées avec des droits élevés ; un courtier ne peut modifier ni son état d'abonnement, ni ses compteurs, ni ses preuves d'acceptation
Clés d'accès aux services tiers	Conservées côté serveur uniquement ; les accès temps réel passent par des jetons éphémères
Accès de l'équipe d'Innov-IA	Nominatif, limité au besoin, journalisé (section 5.2) ; au contenu d'un cabinet, uniquement par un accès support ouvert par ce cabinet, limité dans le temps et révocable (section 5.4)

8.2. Chiffrement

Mesure	Mise en œuvre
En transit	TLS sur tous les échanges, entre le navigateur et le service comme entre le service et ses sous-traitants
Au repos	Chiffrement assuré par Supabase sur la base de données et sur le stockage de fichiers, selon la configuration standard de la plateforme

8.3. Cloisonnement entre souscripteurs

Chaque courtier dispose de son propre espace, et les règles de sécurité de la base restreignent ce que chacun peut lire.

Le cloisonnement par cabinet est en service depuis le 19 octobre 2026. Chaque compte est rattaché à un cabinet, et chaque donnée du portefeuille — fiches, contrats, documents, réunions, tâches, agenda, journaux — porte ce rattachement. Le moteur de base de données refuse toute opération sur une donnée d'un autre cabinet. Cette règle s'ajoute aux autres règles d'accès sans les remplacer, et elle vaut pour tous les accès des utilisateurs, y compris ceux de l'application mobile, qui interroge la base directement.

Au sein d'un même cabinet, la visibilité suit l'organisation du cabinet : chacun voit ses propres dossiers, un responsable ceux de son équipe, l'administrateur du cabinet l'ensemble ; un dossier peut aussi être partagé avec un collègue. C'est ce qu'attend un cabinet, où un dossier se reprend quand un collègue est absent.

Cabinet suspendu. Lorsqu'un cabinet est suspendu, plus aucun de ses membres n'accède à ses données, et leurs sessions ouvertes sont fermées.

La version 1.1 de la présente annexe indiquait que ce cloisonnement n'existait pas encore et qu'aucun second cabinet ne serait mis en service avant lui. Cette condition est remplie.

8.4. Journalisation

journal d'activité applicatif : qui a créé, modifié ou supprimé quoi, et quand ;
journal des accès de l'équipe d'Innov-IA au contenu d'un compte, y compris chaque entrée dans les données d'un cabinet par un accès support (section 5.4) ;
journal de consommation des fonctions d'intelligence artificielle ;
registre des acceptations des documents contractuels, avec version et horodatage.

8.5. Minimisation et purge

Donnée	Règle
Enregistrement audio brut d'une réunion	Purge automatique à trente jours, par une tâche planifiée. La transcription et le compte rendu sont conservés.
Flux audio temps réel « Donna »	Non conservé par Innov-IA. Transite par LiveKit et Mistral AI sans enregistrement durable de son côté.
Documents soumis à la reconnaissance optique	Conservés tant que le courtier les conserve dans son espace.
Mesure d'usage	Pas de contenu de fiche, de contrat, de réunion ni de document.

8.6. Disponibilité et rétablissement

Sauvegardes automatiques quotidiennes de la base de données assurées par Supabase, restaurables par Innov-IA depuis la console d'administration de la plateforme. Ces sauvegardes servent au rétablissement du service, non d'archive pour le courtier (article 11.6 des conditions générales).

8.7. Limite assumée

Innov-IA est une très petite structure. Elle ne dispose pas d'une certification ISO 27001, d'un centre d'opérations de sécurité ni d'une équipe de sécurité dédiée. Les mesures décrites ici sont celles qu'elle met réellement en œuvre. Elles sont proportionnées au risque au sens de l'article 32 du règlement, et elles ne sont rien d'autre.

9. SORT DES DONNÉES EN FIN DE CONTRAT

9.1. Conformément à l'article 28.3, g), du règlement, Innov-IA restitue puis efface les données à la fin du contrat, selon le calendrier suivant, qui est celui de l'article 20.3 des conditions générales.

Jalon	Ce qui se passe
Jour 0 — fin du contrat	Les fonctions d'intelligence artificielle sont closes. Plus aucune donnée n'est transmise à un sous-traitant de traitement.
Jours 0 à 30	Accès en lecture et export ouverts. Rappels écrits aux jours 0, 15 et 25.
Jour 31	Accès fermé. Données conservées, inaccessibles.
Jour 60	Effacement définitif en base et dans le stockage de fichiers.
Jour 90 au plus tard	Expiration par rotation des sauvegardes techniques contenant encore ces données. Plus aucune copie chez Innov-IA.

9.2. Format de restitution. Formats ouverts et documentés : CSV et JSON pour les données structurées, Markdown pour les comptes rendus, fichiers d'origine pour les documents, le tout dans une archive accompagnée d'un descriptif des champs. Aucun format propriétaire, aucun verrou.

9.3. Effacement anticipé. À la demande écrite du responsable du traitement, Innov-IA efface dans les trente jours, après un avertissement unique rappelant que l'opération est irréversible.

9.4. Attestation. Sur demande, Innov-IA délivre une attestation d'effacement datée, précisant les catégories effacées et les dates.

9.5. Chez les sous-traitants ultérieurs. Innov-IA demande l'effacement à chacun et vérifie qu'il a eu lieu. Les délais propres à chaque prestataire peuvent différer ; Innov-IA les communique sur demande.

9.6. Exception. Innov-IA conserve, au-delà de ces délais et en tant que responsable du traitement, les seules données nécessaires au respect d'une obligation légale ou à la défense de ses droits : factures et pièces comptables, registre des acceptations des documents contractuels, journaux de sécurité. Ces données ne contiennent aucun élément du portefeuille. Leurs durées figurent à la section 10.

9.7. Aucune rétention en garantie. Innov-IA n'oppose jamais un impayé à une demande d'export ou d'effacement.

10. DURÉES DE CONSERVATION

10.1. Données du portefeuille — Innov-IA sous-traitant

Donnée	Durée
Fiches, contrats, tâches, agenda, pipeline, documents	Décidée par le responsable du traitement. Conservées tant qu'il les conserve dans son espace, puis selon la section 9.
Enregistrement audio brut d'une réunion	Trente jours, puis purge automatique.
Transcription et compte rendu d'une réunion	Conservés tant que le responsable du traitement les conserve.
Documents soumis à la reconnaissance optique	Idem.
Flux audio temps réel « Donna »	Non conservé.

Innov-IA ne fixe pas les durées du portefeuille : c'est au responsable du traitement de les définir, au regard de ses obligations professionnelles — notamment en matière de lutte contre le blanchiment et de prescription — et de purger ce qui n'a plus à être conservé. Innov-IA met à disposition les fonctions nécessaires pour le faire.

10.2. Données de compte — Innov-IA responsable du traitement

Donnée	Durée	Motif
Identité et coordonnées du courtier, abonnement	Durée du contrat, puis trois ans	Gestion de la relation et prescription
Factures et pièces comptables	Dix ans	Durée de conservation des livres, factures et pièces justificatives en matière de taxe sur la valeur ajoutée (article 60 du Code de la TVA, délai porté à dix ans), retenue comme durée unique pour ne pas avoir à trier pièce par pièce
Registre des acceptations des conditions générales et de la présente annexe	Dix ans à compter de la fin du contrat	Preuve du consentement contractuel et défense en justice
Journaux d'accès et de sécurité	Douze mois	Sécurité du traitement (article 32 du règlement)
Journal de consommation des fonctions payantes	Trois ans	Justification de la facturation et calibrage des quotas
Mesure d'usage (PostHog)	Douze mois	Amélioration du service

11. ASSISTANCE AU RESPONSABLE DU TRAITEMENT

11.1. Droits des personnes concernées

Les clients du courtier adressent leurs demandes au courtier ou au cabinet, pas à Innov-IA, qui n'est pas en relation avec eux. Si une demande parvient malgré tout à Innov-IA, elle la transmet au responsable du traitement dans les trois jours ouvrables, sans y répondre elle-même.

Innov-IA fournit les moyens techniques permettant de satisfaire ces demandes : consultation, modification, suppression et export d'une fiche et de l'ensemble des éléments qui s'y rattachent, dans un format structuré et lisible par machine (article 20 du règlement). Cette assistance est comprise dans l'abonnement.

11.2. Analyse d'impact et consultation préalable

Innov-IA fournit, sur demande, les informations nécessaires à une analyse d'impact relative à la protection des données (articles 35 et 36 du règlement) : description des traitements, des flux, des sous-traitants, des mesures de sécurité et des durées.

Une analyse d'impact est probablement requise ici, le traitement portant sur des données de l'article 9 à grande échelle. Elle incombe au responsable du traitement. Innov-IA met à disposition un canevas prérempli pour la partie technique.

11.3. Violation de données

Étape	Engagement d'Innov-IA
Notification au responsable du traitement	Sans délai injustifié, et au plus tard vingt-quatre heures après avoir pris connaissance de la violation (article 33.2 du règlement)
Contenu de la notification	Nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures prises ou proposées
Suite	Coopération pleine et entière, y compris pour la notification à l'Autorité de protection des données et, s'il y a lieu, aux personnes concernées
Journal	Tenue d'un journal des violations, communiqué sur demande

La notification à l'Autorité de protection des données, dans les septante-deux heures de l'article 33.1 du règlement, incombe au responsable du traitement. Innov-IA lui fournit tout ce qui est nécessaire pour le faire dans le délai.

11.4. Registre des activités de traitement

Innov-IA tient le registre de l'article 30.2 du règlement, pour les traitements effectués pour le compte de ses clients, et le communique sur demande.

12. AUDIT ET CONTRÔLE

12.1. Le responsable du traitement peut vérifier le respect de la présente annexe, conformément à l'article 28.3, h), du règlement.

12.2. Première voie — la documentation. Innov-IA communique sur demande, et sans frais : la liste à jour des sous-traitants ultérieurs et leurs lieux de traitement ; la description de ses mesures de sécurité ; la liste des catégories de personnes ayant accès aux données et de leurs fonctions ; le journal des accès au contenu du compte demandeur ; son registre des activités de traitement ; l'analyse des transferts décrits à la section 7 ; les attestations et certifications de ses sous-traitants, lorsqu'elles sont publiques.

12.3. Seconde voie — l'audit. Le responsable du traitement peut mener un audit, par lui-même ou par un auditeur indépendant soumis à la confidentialité, une fois par an, après un préavis écrit de trente jours, aux heures ouvrables, sans perturber le service et sans accéder aux données d'autres souscripteurs. Un audit supplémentaire peut être mené à tout moment, sans attendre ce délai, après une violation de données ou à la demande d'une autorité de contrôle.

12.4. Frais. Le premier audit annuel est à la charge du responsable du traitement pour ses propres frais ; Innov-IA y consacre jusqu'à huit heures de travail sans facturation. Au-delà, son temps est facturé sur devis préalable accepté. Un audit consécutif à une violation imputable à Innov-IA, ou demandé par une autorité de contrôle, est entièrement à la charge d'Innov-IA.

12.5. Contrôle FSMA. Si le courtier fait l'objet d'un contrôle de la FSMA portant sur la tenue de son portefeuille ou la sécurité de ses outils, Innov-IA lui fournit, sans frais et dans les dix jours ouvrables, une attestation descriptive du service, de ses flux de données, de ses sous-traitants, de ses mesures de sécurité et de ses durées de conservation, rédigée pour être produite à l'autorité.

12.6. Innov-IA coopère avec l'Autorité de protection des données et avec toute autorité de contrôle compétente, conformément à l'article 31 du règlement.

13. DISPOSITIONS FINALES

13.1. Durée. La présente annexe entre en vigueur avec le contrat et prend fin à l'achèvement des opérations de la section 9. Les sections 5 (confidentialité), 9 (fin de contrat) et 12 (audit) survivent à la fin du contrat, conformément à l'article 5.114 du Code civil.

13.2. Modification. La présente annexe est modifiée dans les conditions de l'article 12 des conditions générales. Toute modification touchant la liste des sous-traitants ultérieurs hors de l'Union européenne, les finalités ou les durées de conservation est substantielle et requiert une nouvelle acceptation.

13.3. Hiérarchie. En cas de contradiction entre la présente annexe et les conditions générales, l'annexe prime pour tout ce qui concerne le traitement des données à caractère personnel.

13.4. Nullité partielle. La nullité d'une clause n'affecte pas les autres (article VI.91/6 du Code de droit économique, article 5.63 du Code civil).

13.5. Droit applicable. Droit belge : règlement (UE) 2016/679 et loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. Autorité de contrôle compétente : l'Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles.

Innov-IA SComm — Rue Saint-Maur 7 boîte 1, 4000 Liège — BE 1021.826.011 Annexe « Traitement des données à caractère personnel » du service AssurX — version 1.2 du 20 octobre 2026 Indissociable des conditions générales d'utilisation et de vente, version 1.1 du 20 octobre 2026