Politique de confidentialité

Dernière mise à jour : 12 novembre 2026

1. Qui traite vos données ?

KD Energie SRL, Fayhai 4, 4920 Aywaille, Belgique, numéro d’entreprise 1003.729.175, TVA BE1003.729.175 (« nous »), édite le site et l’application Combustio. Contact pour vos données : contact@combustio.be.

Nous avons deux rôles différents au sens du RGPD :

Responsable du traitement pour les comptes des entreprises clientes et de leurs utilisateurs (gérants et techniciens), la facturation et ce site.
Sous-traitant pour les données des clients des entreprises de chauffage (leurs clients, installations, contrôles, ramonages et attestations, rendez-vous (demandes en ligne et rendez-vous fixés par l’entreprise) et rappels par e-mail) : l’entreprise de chauffage en est responsable, et nous les traitons pour son compte, sur ses instructions.

2. Ce site

Ce site ne dépose aucun cookie, ne charge aucun script tiers et ne mesure pas l’audience. L’hébergeur peut garder des journaux techniques des requêtes (adresse IP, page demandée, date) pour la sécurité du service.

3. Données des comptes (nous sommes responsables)

Entreprise : nom, numéro d’entreprise et de TVA, adresse, e-mail, téléphone, activités (entretien mazout, entretien gaz, ramonage) et réglages.
Utilisateurs : nom, adresse e-mail, téléphone, rôle, agréments (catégorie, numéro, validité), analyseur (marque, modèle, numéro de série, date d’étalonnage). Sa signature est enregistrée sur chaque document qu’il signe. Quand un collègue encode un contrôle réalisé par un technicien agréé de l’équipe (« Contrôle réalisé par »), l’app garde qui l’a encodé et qui l’a réalisé ; l’attestation porte le nom, l’agrément et la signature de la personne qui l’a réalisé.
Abonnement et facturation : formule, période, nombre d’utilisateurs, dates de l’essai et des périodes payées, rappels de la fin de l’essai envoyés au gérant (date et résultat de l’envoi), état des paiements, remises accordées, factures. Rien n’est transmis à Stripe à l’inscription. Quand le gérant passe au paiement de sa formule, nous transmettons à Stripe le nom, l’adresse et l’e-mail de l’entreprise, son numéro de TVA si elle est assujettie, et des identifiants techniques ; jamais ses clients, ses installations, ses contrôles ni le nom des membres de l’équipe (seulement leur nombre). Le gérant saisit sa carte ou son IBAN directement chez Stripe : nous ne voyons ni le numéro complet de la carte, ni l’IBAN complet.
Prévention des essais gratuits en série : l’essai n’est accordé qu’une fois par numéro d’entreprise et par adresse e-mail du gérant. Pour le vérifier, nous gardons dès l’inscription une empreinte de ces deux valeurs, calculée avec une clé secrète : jamais ces valeurs en clair. Quand le gérant paie, nous gardons de la même façon une empreinte de sa carte ou de son IBAN (à partir de l’empreinte fournie par Stripe), pour repérer un moyen de paiement déjà utilisé pour l’essai d’une autre entreprise.
Notifications sur le téléphone : si un utilisateur les autorise, l’app enregistre un jeton de notification pour chacun de ses téléphones (le jeton, Android ou iPhone, la date). Il sert à le prévenir qu’un collègue lui a envoyé un contrôle à signer. La notification contient le prénom de ce collègue et des identifiants techniques, jamais le nom ni l’adresse d’un client. Pour éviter les envois en double ou en rafale, le serveur garde l’heure de la dernière notification de chaque contrôle et le nombre de notifications du jour.
Journaux techniques de l’app : par exemple, pour une lecture de plaque par l’IA, l’entreprise, l’utilisateur, le modèle d’IA, la durée et le résultat, sans la photo.
Amélioration de la lecture des plaques, pour toutes les entreprises : la photo de chaque plaque signalétique lue dans l’app (sans données de localisation), ce que le téléphone et, le cas échéant, l’IA y ont lu, les valeurs de la plaque avant et après la lecture, la réponse de l’utilisateur à la question de l’accord pour la lecture par l’IA, et l’entreprise et l’utilisateur concernés. Ni le nom ni l’adresse du client. Ces données servent uniquement à mesurer et améliorer la lecture des plaques ; elles sont rangées à part des données des entreprises et ne sont pas visibles dans l’app. Elles ne sont communiquées à personne, sauf à Anthropic (section 5) pour mesurer la lecture par l’IA, et seulement les photos prises après l’accord de l’utilisateur (« D’accord »). Une photo prise après « Non merci », ou sans que la question ait été posée, n’est jamais envoyée à l’IA, ni pour la lecture ni plus tard. Seule exception : les photos prises avant que l’app ne pose cette question, si l’entreprise qui les a prises l’a elle-même demandé pour ses propres photos.

Bases légales : l’exécution du contrat (comptes, service, facturation, notifications), nos obligations légales (comptabilité, factures) et notre intérêt légitime (sécurité du service, prévention des abus et de la fraude, dont les essais gratuits en série, amélioration de la lecture des plaques).

4. Données des clients des entreprises de chauffage (nous sommes sous-traitants)

Clients : nom, adresse, e-mail, téléphone, accord pour recevoir les rappels par e-mail, désinscription des rappels.
Installations : adresse, générateur et brûleur (marque, modèle, numéro de série, puissance, mise en service), historique des contrôles.
Contrôles : constats, mesures, pièces jointes (photo ou PDF du ticket de l’analyseur, autre pièce), signatures, attestations.
Ramonages : lieu, appareils et conduits, constats, avis et recommandations, date du prochain ramonage, signatures, attestations de ramonage.
Rendez-vous (demandes en ligne et rendez-vous fixés par l’entreprise) et rappels envoyés (détail ci-dessous).

Nous traitons ces données uniquement pour fournir l’app à l’entreprise de chauffage : enregistrer les contrôles et les ramonages, produire et envoyer les attestations, calculer les échéances, envoyer les rappels, recevoir les demandes de rendez-vous et tenir le planning des rendez-vous de l’entreprise. Seule exception, acceptée par l’entreprise dans les conditions d’utilisation : les photos des plaques signalétiques et leurs lectures servent aussi à améliorer la lecture des plaques (section 3). La base légale de ces traitements relève de l’entreprise de chauffage, responsable du traitement. Les personnes concernées exercent leurs droits auprès de l’entreprise de chauffage, que nous aidons à y répondre.

Accord de sous-traitance. Pour les données personnelles que l’entreprise cliente encode dans l’app (ses clients, leurs installations, les contrôles, les ramonages, les attestations et les rendez-vous), l’entreprise cliente est responsable du traitement et KD Energie SRL agit comme sous-traitant au sens de l’article 28 du RGPD. KD Energie SRL ne traite ces données que pour fournir le service et selon les instructions de l’entreprise cliente, sous la seule réserve des photos de plaques signalétiques prévue à l’article 3 des conditions d’utilisation ; elle en garantit la confidentialité et la sécurité ; elle ne recourt qu’aux sous-traitants ultérieurs listés dans la politique de confidentialité ; elle aide l’entreprise cliente à répondre aux demandes des personnes concernées et la prévient sans retard injustifié de toute violation de ces données ; à la fin du contrat, elle supprime ou restitue les données comme prévu aux articles 9 et 9 bis des conditions générales de vente. Un accord de sous-traitance détaillé est remis sur demande à contact@combustio.be.

Signatures

Le technicien et le client signent du doigt sur l’écran. L’app enregistre le tracé de la signature, le nom du signataire et l’heure de la signature, et les imprime sur l’attestation. Quand un contrôle et un ramonage ont lieu le même jour chez le même client, l’app propose de reprendre sur l’attestation de ramonage la signature que le client a donnée pour le contrôle du même jour.

Photo du ticket de l’analyseur

Le technicien peut prendre en photo le ticket imprimé par l’analyseur de combustion. Le texte du ticket est lu sur le téléphone, sans être envoyé à un service extérieur, et le technicien vérifie les valeurs avant de les reprendre. La photo est jointe au contrôle (« Photo du ticket ») et annexée à l’attestation. Contrairement aux photos des plaques signalétiques, elle n’est pas gardée pour améliorer la lecture.

Attestations de ramonage

Elles sont traitées comme les attestations de contrôle : à la clôture, le serveur leur donne un numéro et produit le PDF (entreprise, technicien, client et lieu, appareils, constats, avis, signatures). Le PDF est archivé et ne peut plus être modifié ni supprimé depuis l’app ; il est envoyé automatiquement par e-mail au client après la clôture si l’envoi est coché (il l’est d’office quand l’adresse est connue), et peut être renvoyé depuis l’app. Une attestation de contrôle et une attestation de ramonage du même client, du même jour et pour la même adresse e-mail, peuvent partir dans un seul e-mail.

Demandes de rendez-vous en ligne (formule Premium)

Une entreprise en formule Premium peut ouvrir une page de prise de rendez-vous : un lien personnel par installation, dans les e-mails de rappel, et un lien public de l’entreprise (son site, ses réseaux) pour les nouveaux clients. La personne qui demande un rendez-vous indique :

la demi-journée choisie et ce qu’elle souhaite (entretien, ramonage ou les deux) ; si elle le sait, le type, la marque et le modèle de sa chaudière et de son brûleur, les appareils à ramoner et le motif de la visite (avec la description d’un problème) ; un message facultatif ;
ses coordonnées : téléphone et e-mail, pré-remplis depuis sa fiche pour un client ; sur le lien public, nom, prénom, adresse de l’installation, e-mail et téléphone, et une case, jamais cochée d’office, pour accepter les rappels par e-mail.

Ces données servent à l’entreprise à traiter la demande : elle la confirme ou la refuse dans l’app. À la confirmation seulement, la fiche du client est créée ou complétée : seuls les champs vides sont remplis, et ce que le client a indiqué sur son installation est noté « à vérifier sur place ». Le serveur envoie les e-mails : à l’entreprise, chaque nouvelle demande et chaque annulation ; au demandeur, au nom de l’entreprise, l’accusé de réception (lien public), puis la confirmation avec l’invitation d’agenda (fichier .ics) ou le refus. Le demandeur peut annuler sa demande ou son rendez-vous depuis le lien reçu par e-mail.

Sur le lien public, la personne indique d’abord son adresse e-mail. Si elle correspond à un client de l’entreprise, ses liens personnels lui sont envoyés à cette adresse ; la page répond la même chose dans tous les cas, sans révéler si l’adresse est connue.

Pour éviter les abus, les demandes sont plafonnées par jour : par installation, par entreprise, par adresse IP et, pour l’envoi des liens personnels, par adresse e-mail. Pour compter, le serveur garde le nombre du jour et une empreinte de l’adresse IP ou de l’adresse e-mail, calculée avec une clé secrète : jamais l’adresse en clair. Les visites du lien public sont aussi limitées par adresse IP, dans la mémoire du serveur, sans l’enregistrer. Les journaux techniques de l’app ne gardent ni l’adresse IP, ni l’adresse e-mail, ni le contenu des demandes ; l’hébergeur peut garder des journaux techniques des requêtes (adresse IP, page demandée, date).

Planning (formule Premium). Un membre de l’entreprise peut aussi fixer, déplacer ou annuler un rendez-vous dans l’app. Sont alors enregistrés : le client et l’installation, la demi-journée, le type de visite et sa durée, une note interne facultative (jamais envoyée au client ni montrée sur sa page), qui a fixé, déplacé ou annulé le rendez-vous, l’historique des déplacements (ancienne demi-journée, date, auteur) et le motif d’une annulation, qui est communiqué au client. Seulement si la case « Prévenir le client par e-mail » est cochée (elle l’est d’office quand l’adresse est connue), le serveur envoie au client, au nom de l’entreprise, « Rendez-vous fixé », « Rendez-vous déplacé » ou « Rendez-vous annulé » (« Demande de rendez-vous annulée » pour une simple demande), avec l’invitation d’agenda, sa mise à jour ou son annulation (fichier .ics ; aucun fichier pour une simple demande annulée). Aucun e-mail pour un rendez-vous déjà passé.

Rappels par e-mail

Quand l’entreprise active les rappels, le serveur envoie chaque matin, en son nom, un e-mail aux clients dont la fiche porte l’accord pour les recevoir et une adresse e-mail : prochain contrôle, prochain ramonage, ou les deux dans un même e-mail. Au plus trois e-mails par échéance, un par client et par jour, et cent par entreprise et par jour. Chaque rappel contient un lien de désinscription, aussi proposé en un clic par les messageries ; un client désinscrit ne reçoit plus de rappels, et ses attestations lui sont toujours envoyées. Pour chaque rappel, l’app garde la date, le rang, l’adresse e-mail du destinataire, le motif et le résultat de l’envoi ; l’entreprise les voit dans l’app.

Import et export de fichiers (CSV)

Le fichier CSV importé par le gérant est lu dans le navigateur : il n’est ni envoyé ni conservé par Combustio. Seules les fiches cochées sont créées, comme une saisie à la main, et l’accord pour les rappels n’est jamais coché par l’import. L’export CSV est fabriqué dans le navigateur et téléchargé sur l’ordinateur de l’utilisateur ; ce fichier est ensuite sous la responsabilité de l’entreprise.

5. Sous-traitants, autres destinataires et transferts

Nous faisons appel aux sous-traitants suivants :

Google (Firebase) : base de données, fichiers et attestations, traitements du serveur (dont les pages de rendez-vous et de désinscription, et l’envoi des rappels), hébergement de ce site, envoi des notifications (Firebase Cloud Messaging). Lieu : Union européenne (Belgique, région europe-west1) ; hébergement du site sur le réseau mondial de Google ; l’authentification des comptes (Firebase Authentication) est traitée aux États-Unis ; les notifications passent par les serveurs de Google, hors de l’Union européenne possible.
Google (test du réseau) : dans le navigateur, quand la connexion est mauvaise ou coupée, la bibliothèque de Firebase peut tenter de joindre une petite image de Google (www.google.com/images/cleardot.gif) pour tester le réseau. Cette requête ne contient aucune donnée de vos fiches ; si elle aboutit, Google reçoit l’adresse IP de l’appareil, comme pour toute requête.
Resend : envoi des e-mails (attestations, renvois, rappels, rendez-vous, informations sur l’abonnement). Lieu : Irlande (région eu-west-1) pour l’envoi des e-mails ; les données du compte Resend sont aux États-Unis.
Anthropic : lecture des plaques signalétiques par IA, à la demande du technicien, quand du réseau est disponible, et seulement après son accord, demandé avant la première lecture. Seule la photo de la plaque est envoyée : ni le nom ni l’adresse du client. Lieu : hors de l’Union européenne possible. Anthropic indique supprimer les entrées et sorties de son API dans les 30 jours, sauf exceptions (page « Combien de temps conservez-vous les données de mon organisation ? », version du 1er juillet 2026, consultée le 24 octobre 2026).
Stripe : paiement des abonnements, factures, gestion de l’abonnement (page de paiement et espace client de Stripe). Stripe est aussi responsable de ses propres traitements (prévention de la fraude, obligations légales). Lieu : Stripe Payments Europe, Limited (Irlande), avec des transferts vers les États-Unis.

D’autres services reçoivent des données pour faire fonctionner l’app, sans être nos sous-traitants :

Google (Maps Platform) : suggestions d’adresses pendant la saisie dans l’app ; le texte tapé est envoyé à Google depuis notre serveur, qui ne l’enregistre pas. Pour ce service, Google Ireland Limited est un responsable du traitement distinct, selon les conditions de protection des données de Google « entre responsables du traitement » (Google Controller-Controller Data Protection Terms, qui couvrent les « Google Maps APIs ») et sa propre politique de confidentialité.
Apple (Apple Push Notification service) : acheminement des notifications sur iPhone, avec le même contenu que ci-dessus. Lieu : hors de l’Union européenne possible.

Les transferts hors de l’Union européenne sont encadrés par les garanties prévues au chapitre V du RGPD : pour Google (Firebase), Stripe et Resend, les clauses contractuelles types de la Commission européenne et le cadre de protection des données UE–États-Unis (Data Privacy Framework), auquel ces sociétés adhèrent ; pour Anthropic, les clauses contractuelles types incluses dans son avenant sur le traitement des données. Pour les services Google Maps, les clauses types prévues entre responsables du traitement s’appliquent. Apple indique, dans sa politique de confidentialité, encadrer par des clauses contractuelles types ses transferts de données depuis l’Espace économique européen.

6. Durées de conservation

Compte d’un utilisateur : jusqu’à sa suppression, dans l’app (Profil, « Supprimer mon compte ») ou sur demande (voir Supprimer son compte), ou jusqu’à l’effacement des données de son entreprise s’il n’appartient à aucune autre.
Données de l’entreprise (clients, installations, contrôles, ramonages, rendez-vous, photos et pièces, réglages, comptes de l’équipe) : pendant l’essai et l’abonnement ; après la fin de l’abonnement, 12 mois en lecture seule, avec l’export possible ; puis effacement automatique et définitif. L’effacement a lieu 12 mois après la fin de l’abonnement, ou un peu plus tard si l’e-mail de préavis part en retard ; jamais avant. Pour une entreprise qui n’a jamais payé, ces 12 mois partent de la fin de son essai, en simple consultation : ses données restent visibles dans l’app, sans téléchargement, ni export, ni renvoi d’attestation. Avant le premier paiement, pendant l’essai non plus, l’app ne permet ni le téléchargement des documents ni l’export des données. Sur demande à contact@combustio.be, les données de l’entreprise lui sont remises.
Au moins 30 jours avant l’effacement, un e-mail prévient le gérant, à l’adresse de son compte (sauf s’il a supprimé son compte). Il donne la date et, pour une entreprise qui a payé, rappelle l’export depuis un ordinateur (clients et installations en fichier CSV, PDF des attestations) et le double des attestations de contrôle que l’AGW impose de conserver.
Trace de chaque effacement : identifiant de l’entreprise et de son client chez Stripe, dates, nombres d’éléments effacés ; ni nom, ni adresse, ni aucune donnée de ses clients. Gardée 3 ans.
Attestations de contrôle, rapports d’entretien et attestations de ramonage : même règle. Ils ne peuvent pas être supprimés depuis l’app pendant l’abonnement. L’AGW du 29 janvier 2009 impose à la personne qui a fait le contrôle d’en conserver un duplicata (art. 13, § 4) : l’entreprise garde ses propres copies, en exportant ses données et en enregistrant les PDF de ses attestations avant l’effacement, ou en demandant ses données comme indiqué ci-dessus.
Factures : chez Stripe, 10 ans (article 60 du Code de la TVA), même après l’effacement des données de l’entreprise.
Rendez-vous, demandés en ligne ou fixés par l’entreprise, y compris refusés ou annulés, avec l’historique des déplacements : 24 mois.
Historique des rappels envoyés : 24 mois.
Compteurs contre les abus (nombre du jour et empreintes des adresses IP et e-mail) : effacés automatiquement environ 30 jours après leur jour.
Empreintes contre les essais gratuits en série (numéro d’entreprise, adresse e-mail, moyen de paiement) : 3 ans.
Événements de paiement reçus de Stripe (identifiants techniques) : 30 jours.
Jetons de notification : jusqu’à la déconnexion du téléphone, le retrait de l’équipe ou la suppression du compte, ou dès que le service de notification les refuse. Heure de la dernière notification d’un contrôle : environ 90 jours ; nombre de notifications du jour : environ 30 jours.
Photos de plaques et lectures gardées pour améliorer la lecture : 5 ans à partir de la photo, y compris après l’effacement des données de l’entreprise ; effacées plus tôt sur demande de l’entreprise.
Journaux techniques : 30 jours.

7. Sécurité

Les échanges sont chiffrés (HTTPS). Les données de chaque entreprise sont cloisonnées : un compte n’accède qu’aux données de son entreprise, et les attestations ne sont écrites que par le serveur, comme les rendez-vous, les rappels et les désinscriptions. Les liens personnels envoyés par e-mail (rendez-vous, désinscription) portent une clé calculée par le serveur pour chaque installation, demande ou client : on ne peut pas en fabriquer un pour quelqu’un d’autre. Le paiement se fait sur la page de Stripe : aucun numéro de carte ni IBAN ne passe par Combustio.

8. Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation du traitement ou leur portabilité, et vous opposer à un traitement fondé sur notre intérêt légitime. Écrivez à contact@combustio.be. Pour supprimer votre compte : Supprimer son compte.

Vous pouvez aussi introduire une plainte auprès de l’Autorité de protection des données : autoriteprotectiondonnees.be.