Sécurité & confidentialité

Vos dossiers, et ceux de vos clients

Dernière mise à jour : août 2026

Vous êtes tenu au secret professionnel, et les pièces que vos clients déposent sont sensibles. Cette page décrit, sans jargon, où vivent ces données, qui peut les lire, et ce qu'il advient d'elles.

Hébergement et localisation

L'application est servie par Vercel Inc. (États-Unis). Les données, elles, sont hébergées dans l'Union européenne :

• Base de données Neon (PostgreSQL), région de Francfort.
• Fichiers déposés Vercel Blob, région de Francfort.

Chiffrement

Les échanges avec Loket passent par une connexion chiffrée (HTTPS/TLS) de bout en bout. Les données stockées (base de données et fichiers) sont chiffrées au repos par nos sous-traitants d'hébergement.

Qui peut lire un fichier

• Les fichiers sont stockés dans un espace privé: leur adresse n'est ni devinable ni listable, et n'est jamais exposée publiquement.
• Seul le compte propriétaire du dossier y accède, depuis son espace authentifié. Un dossier qui ne vous appartient pas est introuvable pour vous.
• Le lien de dépôt remis à votre client est un jeton non devinable, à durée de vie limitée si vous le souhaitez. Il ne donne accès qu'au dépôt, jamais aux fichiers déjà reçus.
• La connexion habituelle se fait par clé d'accès (verrouillage de votre appareil, sans mot de passe ni email). Un lien magique à usage unique reste disponible pour récupérer l'accès sur un nouvel appareil.

Fichiers malveillants

Pendant sa bêta contrôlée, Loket n'analyse pas les fichiers avec un antivirus. N'ouvrez que les documents attendus de vos clients et conservez la protection de vos appareils active. Les formats et tailles sont limités, les fichiers restent privés et leur affichage intégré est isolé, mais ces mesures ne garantissent pas qu'un document soit exempt de logiciel malveillant.

Conservation et suppression

• Quand vous supprimez un dossier, ses pièces et les fichiers déposés sont effacés du stockage, pas seulement masqués.
• À la fin de votre abonnement ou de votre essai, votre compte est suspendu, pas vidé : la collecte s'arrête, vos données restent intactes et exportables pendant 90 jours. Nous vous prévenons 30 jours, puis 7 jours avant l'échéance. Au terme des 90 jours, le compte est clôturé et les données supprimées, base et fichiers compris, sauf obligation légale de conservation. Ce sont les mêmes chiffres qu'à l'article 6 du DPA, et vous pouvez clôturer vous-même avant le terme.
• À tout moment, depuis vos paramètres, vous pouvez exporter toutes vos données (un zip complet) ou supprimer définitivement votre compte et tout ce qu'il contient.

Prestataires et sous-traitants

Loket s'appuie sur un petit nombre de prestataires, chacun pour un rôle précis. Vercel, Neon et Resend sont les trois sous-traitants ultérieurs du traitement réalisé pour votre compte ; Mollie et Billit interviennent uniquement pour la facturation de votre abonnement :

• Vercel (États-Unis) : hébergement de l'application et stockage des fichiers (région UE, Francfort).
• Neon (UE, Francfort) : base de données.
• Resend (États-Unis) : envoi des emails transactionnels (connexion, notifications, relances). Traite les adresses email et le contenu des messages, pas les fichiers déposés.
• Mollie (Pays-Bas, UE) : paiement de l'abonnement. Données de paiement et de facturation uniquement.
• Billit (Belgique, UE) : émission des factures structurées (Peppol). Données de facturation uniquement.

Mollie et Billit ne sont pas des sous-traitants ultérieurs de vos dossiers. Ils interviennent pour la facturation de votre propre abonnement, traitement pour lequel Always Late Technologies BV est responsable. Aucun de ces deux prestataires n'a accès aux pièces déposées par vos clients.

Transferts hors Union européenne

Vos données sont stockées en Union européenne. Vercel, Neon et Resend étant des sociétés établies aux États-Unis, les transferts éventuels sont encadrés par le Data Privacy Framework et/ou les clauses contractuelles types de la Commission européenne. Au 28 juillet 2026, les trois sont certifiés actifs : Vercel Inc., Neon via Databricks, Inc., et Resend (recertification en cours à cette date). Nous revérifions ce statut chaque trimestre. Le détail figure dans notre politique de confidentialité.

Contrat de sous-traitance (RGPD)

Pour vos clients, vous êtes responsable de traitement et Loket est votre sous-traitant. Le contrat de sous-traitance (DPA) au sens de l'article 28 du RGPD est accepté à l'inscription et s'applique à tout compte Loket. Téléchargez-le : français · nederlands · english (PDF). La version française fait foi.

Il précise notamment : les rôles de chacun, la liste des sous-traitants ultérieurs, les mesures de sécurité, les durées de conservation, et le sort des données à la fin du contrat.

Qui est derrière Loket

Loket est édité par Always Late Technologies BV, société de droit belge (BCE 1039.721.620), et non par une entité anonyme. Siège à Fonteyneweg 2, 1800 Vilvoorde ; écrivez à contact@alwayslatetechnologies.com.

Les mentions légales complètes figurent ici.