Politique de confidentialité

Date de dernière mise à jour : 18 juillet 2026

Entrée en vigueur : 15 septembre 2026, ou toute date ultérieure annoncée au moins quinze (15) jours auparavant sur loyable.be et par courriel aux utilisateurs inscrits

Cas du Règlement Loya'Free : le Règlement du concours Loya'Free, qui fait partie intégrante des présentes, est publié et opposable dès le 7 juillet 2026 ; il ne s'applique qu'aux Éditions du concours ouvertes à compter du lancement du Service.

Périmètre : la présente politique couvre l'ensemble des traitements de données personnelles opérés par Loyable, tant dans le cadre de l'application mobile Loyable (objet principal des sections 1 à 14) que dans le cadre de la liste d'attente publiée sur loyable.be (section 15 dédiée).

---

1. Qui sommes-nous ?

Loyable est une application mobile qui offre chaque mois à ses utilisateurs des Points Loyable à dépenser chez des commerçants partenaires locaux ; en consommant, les utilisateurs gagnent des tentatives pour un concours d'aptitude (« Loya'Free ») dont le rang 1 rembourse la charge de logement du gagnant (loyer ou mensualité de crédit hypothécaire, plafond 1 000 €) et dont les rangs 2 à 5 offrent des lots des commerçants partenaires. Le paiement d'une charge de logement n'est pas une condition d'attribution des Points Loyable.

Le responsable du traitement de vos données personnelles est :

Loyable Exploitant : Emin Ozbek, personne physique indépendante (entreprise individuelle belge) Siège d'activité : Rue Saint Leonard 126, 4000 Liège, Belgique BCE (Banque-Carrefour des Entreprises) : BE 1019.446.640 E-mail de contact général : contact@loyable.be E-mail de contact pour la protection des données : privacy@loyable.be

2. À qui s'adresse cette politique ?

Cette politique s'adresse aux utilisateurs adultes (18 ans et plus) qui utilisent l'application Loyable en Belgique.

Si vous avez moins de 18 ans, vous ne pouvez pas utiliser Loyable.

Vérification de l'âge : à l'inscription, nous vous demandons de confirmer sur l'honneur que vous avez 18 ans ou plus (déclaration sur l'honneur). Nous nous réservons le droit, en cas de doute fondé, de vous demander une pièce d'identité conformément à l'article 8 du RGPD et à la loi belge du 30 juillet 2018. Toute fausse déclaration entraîne la suppression immédiate du compte.

3. Quelles données personnelles nous traitons

Nous traitons uniquement les données strictement nécessaires à la fourniture du service. Voici la liste exhaustive :

3.1 Données que vous nous fournissez directement

Aucune connexion bancaire à l'inscription. Contrairement à des modèles antérieurs, Loyable ne demande aucune connexion bancaire à l'inscription et ne lit jamais vos transactions pour attribuer les Points Loyable ou déterminer votre éligibilité au concours. Votre charge de logement et les informations relatives à votre logement reposent sur une déclaration de bonne foi. La seule connexion Open Banking (Bridge / AIS) intervenant dans le Service est celle, ponctuelle et réservée au seul gagnant du concours Loya'Free, décrite à la §3.6.

3.2 Données générées par votre utilisation

3.3 Données que nous NE collectons PAS

• Vos numéros de carte bancaire
• Vos mots de passe bancaires
• L'historique détaillé de vos achats
• Vos données de santé, opinions politiques, religieuses, ou tout autre donnée dite "sensible" au sens du RGPD

3.4 Données concernant votre propriétaire (bailleur)

L'IBAN de votre bailleur (ou de votre organisme prêteur) n'est PAS collecté à l'inscription. Dans le modèle actuel, Loyable ne demande jamais l'IBAN du créancier de votre charge de logement lors de la création du compte, et n'effectue aucune détection ni comparaison de virements pour l'ensemble des utilisateurs. L'IBAN du créancier — le bailleur si la charge déclarée est un loyer, l'organisme prêteur du crédit hypothécaire si elle est un crédit — n'est demandé qu'au seul gagnant du concours Loya'Free, au moment de la réclamation du Prix, aux seules fins de la vérification Open Banking (AIS) de sa charge de logement déclarée décrite à la §3.6 : cet IBAN sert alors de point de correspondance (matching) pour identifier, parmi les débits du gagnant lus sur une période pouvant aller jusqu'à six mois lorsque la banque les rend disponibles, les paiements de la charge effectivement adressés à ce créancier, la décision portant sur les trois derniers mois. Lorsque le créancier est un organisme prêteur personne morale (cas nominal du crédit hypothécaire), son IBAN ne constitue en principe pas une donnée personnelle ; les garanties du présent paragraphe s'appliquent mutatis mutandis (voir la précision « personne morale » ci-dessous).

Si vous êtes bailleur et que vous apprenez que l'un de vos locataires a communiqué votre IBAN à Loyable (ce qui n'est possible qu'à l'occasion d'un gain au concours), vous pouvez exercer votre droit d'opposition en contactant privacy@loyable.be ou via le formulaire public /opposition-bailleur.

Précision — IBAN d'une personne morale. Lorsque l'IBAN communiqué par le gagnant correspond à celui d'une personne morale (société de gestion, régie immobilière, société patrimoniale détenant le bien), l'information ne constitue en principe pas une donnée à caractère personnel au sens de l'article 4, point 1° du RGPD et ne relève donc pas directement de sa protection. Toutefois, lorsque l'IBAN permet, directement ou indirectement, d'identifier une personne physique — notamment dans le cas d'une entreprise individuelle, d'une société unipersonnelle (SRL-S/SRL à associé unique) ou de toute structure dont le bénéficiaire économique ultime est aisément identifiable —, Loyable applique les mêmes garanties techniques et organisationnelles (conservation temporaire et chiffrée limitée aux seuls débits candidats et récurrents puis effacée à la clôture du dossier, empreinte cryptographique éventuelle, absence de partage avec des tiers, droit d'opposition et d'effacement) mutatis mutandis, par précaution et dans un souci de loyauté du traitement (article 5, §1, a) du RGPD).

3.5 Foyer et cas des colocations

Loyable regroupe en Foyer les utilisateurs dont la charge de logement est payée depuis un même compte bancaire, identifié par l'IBAN de paiement que vous déclarez (voir §3.1 ; cet IBAN est conservé sous forme protégée / chiffrée et sert de clé d'unicité). Un utilisateur sans charge de logement déclarée constitue un Foyer à lui seul, identifié par une clé technique interne. Ce rattachement poursuit une finalité de contrôle anti-fraude (éviter la multiplication artificielle de comptes et de gains au sein d'un même ménage) et d'application des règles du concours Loya'Free.

L'éligibilité au concours ne dépend ni du paiement ni de l'existence d'une charge de logement. Elle repose exclusivement sur votre activité de consommation chez les commerçants partenaires (utilisation d'au moins trois Offres chez au moins trois commerçants distincts dans le mois, et détention d'au moins un Ticket ; voir Règlement Loya'Free art. 5). Aucune vérification de loyer, individuelle ou par colocataire, n'est effectuée pour établir cette éligibilité.

Rôle du Foyer. Les membres d'un même Foyer participent chacun individuellement au concours. Le Foyer peut ouvrir droit à un bonus de Tickets (multiplicateur), plafonné à quatre (4) membres majeurs pris en compte. Une seule attribution de rang par Foyer (par IBAN de foyer), tous rangs confondus, est possible par Édition. La concertation entre colocataires quant à la déclaration d'un IBAN de paiement partagé relève de votre responsabilité.

3.6 Données spécifiques au concours Loya'Free

Si vous participez au concours mensuel Loya'Free (une Édition par mois civil ; voir le Règlement du concours Loya'Free), certaines données supplémentaires sont traitées, pour les seules finalités du Concours.

Durée spécifique de conservation. Les données ci-dessus (hors celles couvertes par une base légale plus longue — obligations comptables et fiscales, prescription contractuelle) sont conservées pendant dix (10) ans à compter de la date du tirage de l'Édition concernée, conformément au délai de prescription de droit commun prévu à l'article 2262bis, §1er du Code civil belge, puis effacées ou anonymisées (voir §7). Ce délai est strictement limité à la constitution du dossier probatoire visé à l'article 9.4 du Règlement Loya'Free.

KYC. Compte tenu du montant unitaire maximal du Prix (plafonné à 1 000 €) et du fait que Loyable n'est pas une entité assujettie aux obligations de vigilance de la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme, aucune procédure KYC formelle n'est exigée du gagnant. La vérification de la charge de logement déclarée est assurée par lecture Open Banking (AIS) unique et en lecture seule des opérations du gagnant (jusqu'à six mois lorsque la banque les rend disponibles, la décision portant sur les trois derniers mois), et la correspondance de l'identité civile et de l'IBAN est vérifiée par contrôle documentaire standard avant le versement.

4. Pour quelles finalités nous utilisons vos données

5. Décisions automatisées encadrées

Le fonctionnement courant de Loyable ne comporte aucune décision produisant des effets juridiques à votre égard, ou vous affectant de manière significative de façon similaire, prise sur le seul fondement d'un traitement automatisé au sens de l'article 22 du RGPD :

• Les Points Loyable sont attribués chaque mois de manière forfaitaire et automatique, sans aucune évaluation individuelle ni profilage : cette allocation identique pour tous ne constitue pas une décision au sens de l'article 22.
• L'éligibilité au concours Loya'Free résulte de l'application de critères objectifs et transparents (consommation chez au moins trois commerçants partenaires distincts, détention d'au moins un Ticket) ; elle ne repose sur aucun profilage.
• La vérification Open Banking du gagnant (§3.6) est une simple mesure anti-fraude préalable au versement du Prix ; son résultat est revu par une personne physique et le gagnant conserve, en cas de non-détection technique, une voie de preuve subsidiaire (Règlement Loya'Free art. 10.3 et 11).

Le concours Loya'Free applique en outre des règles calculées, publiques et déterministes, décrites au Règlement (art. 8.1 et 11.7) :

• le classement d'office aux rangs 2 à 5 d'un participant n'ayant déclaré aucune charge de logement (condition d'éligibilité au rang 1, connue à l'avance — Règlement art. 4.5) ;
• le gel par rang consécutif à un gain, d'une durée calculée (3 à 12 Éditions — Règlement art. 11.7) ;
• l'attribution des rangs par un algorithme public (Règlement art. 8.1).

Ces règles s'appliquent uniformément à tous les participants, sans profilage ni évaluation individuelle. Garantie supplémentaire : lorsque l'application d'un gel modifie l'attribution d'un rang par rapport au classement théorique, le résultat n'est notifié qu'après une revue humaine systématique (Règlement art. 9.1bis).

Toutes les décisions susceptibles de vous affecter (suspension, exclusion, refus ou déchéance du Prix, résolution de litige) font l'objet d'une intervention humaine. Vous pouvez à tout moment demander une intervention humaine, exprimer votre point de vue ou contester une décision en écrivant à privacy@loyable.be ; le Règlement organise en outre un recours interne (art. 12.3).

6. Qui reçoit vos données ?

6.1 Au sein de Loyable

Seules les personnes habilitées ont accès à vos données, avec des permissions limitées à leur rôle. Aujourd'hui, l'équipe Loyable est restreinte à son exploitant (Emin Ozbek) et aux prestataires techniques sous contrat de confidentialité.

6.2 Nos prestataires techniques (sous-traitants au sens RGPD)

Nous recourons aux sous-traitants suivants, organisés par catégorie fonctionnelle. Chaque sous-traitant est lié à Loyable par un Accord de Traitement des Données (DPA) conforme à l'article 28.3 RGPD, n'utilise vos données que sur nos instructions documentées, et applique des mesures techniques et organisationnelles conformes à l'article 32 RGPD (chiffrement en transit TLS 1.2+, chiffrement au repos AES-256, contrôle d'accès RBAC, journalisation des accès, notification de violation sous 72 heures).

Infrastructure et plateforme (hébergement des données)

Services bancaires et financiers

Messagerie et notifications

Déploiement et observabilité

Analytique produit et anti-fraude

La liste consolidée des sous-traitants, à jour, est disponible dans notre registre interne des sous-traitants (article 30 RGPD) et consultable sur simple demande à privacy@loyable.be.

Fournisseurs d'authentification fédérée (responsables autonomes). Lorsque vous choisissez de vous connecter via Sign in with Apple (Apple Distribution International Ltd, Irlande) ou Sign in with Google (Google Ireland Ltd, Irlande), vous ouvrez une session directe chez Apple ou Google, qui nous retourne uniquement votre adresse e-mail et un identifiant technique. Apple et Google agissent ici en qualité de responsables du traitement autonomes au sens des Lignes directrices 07/2020 du Comité européen de la protection des données — et non en qualité de sous-traitants de Loyable. Leur traitement est régi par leurs propres politiques de confidentialité : Apple et Google.

Qualification juridique de Bridge (Perspecteev SAS). Bridge agit en qualité de sous-traitant au sens de l'article 28 du RGPD : Loyable détermine seule la finalité du traitement (vérification de la charge de logement déclarée du seul gagnant du concours Loya'Free, préalable au versement du Prix) et les moyens essentiels du traitement (périmètre de lecture pouvant aller jusqu'à six mois lorsque la banque les rend disponibles, avec décision sur les trois derniers mois ; règle du payeur effectif ; conservation temporaire et chiffrée limitée aux seuls débits candidats et récurrents, puis effacement à la clôture du dossier). Bridge exécute ce traitement sur instruction contractuelle de Loyable, formalisée par un Accord de Traitement des Données (DPA) conforme à l'article 28.3 RGPD. Bridge ne réutilise pas les données bancaires du gagnant à ses propres fins commerciales. Parallèlement, Bridge est AISP (Account Information Service Provider) autonome agréé par l'ACPR au titre de la directive DSP2 (UE 2015/2366) et du règlement délégué EBA RTS : il est soumis à ses propres obligations réglementaires (sécurité, authentification forte du client — SCA, expiration à 180 jours des consentements AIS persistants) dont il répond directement devant son régulateur. Loyable n'utilise pas le format de consentement persistant de 180 jours : elle privilégie un modèle « one-shot » par session, limité au seul gagnant (voir §3.6). Pour en savoir plus sur les traitements opérés par Bridge pour son propre compte, vous pouvez consulter la politique de confidentialité de Bridge : https://www.bridgeapi.io/privacy.

6.3 Transferts hors de l'UE

La majorité de vos données personnelles identifiables est hébergée dans l'Espace Économique Européen (Supabase Francfort, Render Francfort, Bridge France, Stripe Irlande, APNs Irlande, FCM Irlande ; voir §6.2). Certains de nos sous-traitants techniques sont toutefois établis aux États-Unis et reçoivent des données personnelles limitées dans le cadre de leurs services :

Ces transferts sont encadrés par deux couches juridiques cumulatives :

1. La décision d'adéquation UE–États-Unis (Data Privacy Framework, décision d'exécution (UE) 2023/1795 de la Commission européenne du 10 juillet 2023) lorsque le sous-traitant concerné est certifié DPF ;
2. Les Clauses Contractuelles Types (Standard Contractual Clauses, décision d'exécution (UE) 2021/914 du 4 juin 2021), intégrées à nos DPA à titre subsidiaire ou cumulatif, accompagnées d'une analyse d'impact des transferts (Transfer Impact Assessment) conformément à l'arrêt CJUE Schrems II (C-311/18).

En cas d'invalidation future du DPF ou de modification du cadre juridique, les Clauses Contractuelles Types continueront à s'appliquer et nous vous informerons par une mise à jour de la présente politique.

6.4 Autorités publiques

Nous pouvons être tenus de transmettre certaines données à des autorités compétentes (administration fiscale, forces de l'ordre sur réquisition judiciaire, Autorité de Protection des Données). Nous vous en informerons dans la mesure où la loi nous le permet.

7. Combien de temps nous conservons vos données

8. Comment nous sécurisons vos données

Conformément à l'article 32 du RGPD, Loyable met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

• Chiffrement en transit : toutes les communications utilisent TLS 1.2 ou supérieur
• Chiffrement au repos : AES-256 sur la base de données et le stockage
• Contrôle d'accès par rôle (RBAC) : chaque personne accède uniquement aux données nécessaires à sa mission
• Row-Level Security (RLS) : chaque utilisateur ne peut accéder qu'à ses propres données
• Authentification forte : exigence de mots de passe robustes. Des mécanismes d'authentification renforcée pourront être introduits au fil des évolutions du Service, en fonction de l'évaluation continue des risques.
• Journal d'audit : toutes les actions sensibles sont tracées, avec horodatage sécurisé et empreintes cryptographiques SHA-256 pour les traitements probatoires (notamment concours Loya'Free — voir §3.6)
• Sauvegardes chiffrées et testées régulièrement
• Mises à jour de sécurité appliquées en continu
• Notification de violation : en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, Loyable notifie l'Autorité de Protection des Données dans un délai de 72 heures (Art. 33 RGPD) et vous en informe dans les meilleurs délais si le risque est élevé (Art. 34 RGPD)

Registre des activités de traitement. Conformément à l'article 30 du RGPD, Loyable tient un registre interne des activités de traitement documentant, pour chaque traitement : la finalité, les catégories de personnes concernées, les catégories de données, les destinataires, les transferts hors UE, les durées de conservation et les mesures de sécurité. Ce registre, qui couvre notamment le concours Loya'Free, est tenu à la disposition de l'Autorité de Protection des Données sur simple demande.

9. Vos droits

Vous disposez de l'ensemble des droits prévus par le RGPD et la loi belge du 30 juillet 2018 :

10. Comment exercer vos droits

Par e-mail : privacy@loyable.be

Canal principal d'exercice : l'ensemble de ces droits est d'ores et déjà exerçable par courriel à privacy@loyable.be, sans formalisme particulier. Loyable se réserve la possibilité d'introduire, au fil des évolutions du Service, un espace en self-service dans l'Application pour faciliter ces démarches ; cette évolution ne modifiera ni l'étendue de vos droits, ni le canal email qui reste en tout état de cause disponible.

Délai de réponse : un mois maximum à compter de la réception de votre demande (extensible de deux mois supplémentaires en cas de complexité, avec information préalable de votre part).

Vérification d'identité : nous pouvons vous demander de prouver votre identité avant de traiter certaines demandes sensibles (accès, effacement), afin de protéger votre compte.

Gratuité : l'exercice de vos droits est gratuit. Nous ne facturons un montant raisonnable qu'en cas de demandes manifestement infondées ou excessives (ce qui est rare).

11. Autorité de contrôle et réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'Autorité de Protection des Données (APD) de Belgique :

Autorité de Protection des Données Rue de la Presse 35, 1000 Bruxelles Téléphone : +32 (0)2 274 48 00 E-mail : contact@apd-gba.be Site web : www.autoriteprotectiondonnees.be

Nous vous encourageons toutefois à nous contacter en premier lieu à privacy@loyable.be — nous mettrons tout en œuvre pour répondre à vos préoccupations rapidement et amiablement.

12. Cookies et traceurs dans l'application

L'application mobile Loyable utilise uniquement les technologies suivantes :

• Stockage local sécurisé pour mémoriser votre session (jeton d'authentification)
• Identifiants techniques pour les notifications push (Expo Push Notifications, routés ensuite vers Apple APNs ou Google FCM selon votre système d'exploitation) — utilisés uniquement si vous autorisez les notifications
• Mesure d'audience anonymisée et sans cookie sur la liste d'attente et le portail marchand (Vercel Web Analytics / Speed Insights) — aucune identification directe

Nous n'utilisons aucun cookie publicitaire, aucun traceur tiers à but commercial.

13. Modifications de cette politique

Nous pouvons être amenés à modifier cette politique pour refléter des évolutions légales, techniques, ou fonctionnelles. En cas de modification substantielle, nous vous en informerons :

• Par un message dans l'application
• Par e-mail à l'adresse associée à votre compte
• Au moins 30 jours avant l'entrée en vigueur des modifications

La version la plus récente est toujours accessible dans l'application et sur loyable.be/confidentialite.

14. Questions ?

Pour toute question relative à cette politique ou au traitement de vos données personnelles :

• E-mail dédié : privacy@loyable.be
• Courrier postal : Loyable, Rue Saint Leonard 126, 4000 Liège, Belgique

Nous nous engageons à vous répondre dans les plus brefs délais.

15. Liste d'attente (loyable.be)

Avant le lancement public de l'Application mobile, Loyable opère une liste d'attente accessible sur le site loyable.be, permettant aux personnes intéressées de manifester leur intérêt et, le cas échéant, de bénéficier d'un statut prioritaire à l'ouverture du Service. La présente section décrit, conformément aux principes de transparence (Art. 12 RGPD) et de loyauté (Art. 5, §1, a RGPD), les traitements opérés dans ce cadre, qui sont distincts des traitements opérés via l'Application mais relèvent du même responsable de traitement (cf. section 1).

15.1 Données collectées via la liste d'attente

15.2 Finalités du traitement

Les données ci-dessus sont utilisées exclusivement pour :

• gérer l'inscription à la liste d'attente Loyable ;
• informer les inscrits du lancement de l'Application et de l'avancement du projet, ainsi que de leur position relative dans la file le cas échéant ;
• gérer le système de parrainage (suivi des invitations et des conversions) ;
• prioriser le déploiement géographique en fonction de la demande exprimée.

15.3 Base légale

Le traitement repose sur le consentement exprès de l'Utilisateur (Art. 6.1.a RGPD), exprimé lors de l'inscription volontaire à la liste d'attente. Ce consentement est révocable à tout moment, sans rétroactivité sur les traitements antérieurs, par simple demande à privacy@loyable.be ou par l'utilisation du lien de désinscription présent dans chaque e-mail de Loyable.

15.4 Durée de conservation

Les données de la liste d'attente sont conservées jusqu'au lancement de l'Application auquel l'Utilisateur est éligible, ou jusqu'à sa demande de suppression. Après le lancement, les données des inscrits non convertis en Compte Loyable sont supprimées dans un délai de douze (12) mois, sauf demande contraire expresse de l'Utilisateur.

15.5 Sous-traitants spécifiques à la liste d'attente

Dans le cadre de la liste d'attente, les données sont hébergées et traitées exclusivement par les sous-traitants suivants, qui sont également listés à la section 6.2 :

• Supabase Inc. — hébergement de la base de données (région UE, Francfort) ;
• Vercel Inc. — hébergement du site web et mesure d'audience anonymisée ;
• Resend, Inc. — envoi des e-mails transactionnels et de confirmation.

Aucun autre sous-traitant ne reçoit les données de la liste d'attente.

15.6 Cookies et traceurs sur le site loyable.be

Le site loyable.be n'utilise aucun cookie publicitaire ni traceur tiers à but commercial. Les seuls cookies utilisés sont strictement nécessaires au fonctionnement du site, à la sécurité, et à la mesure d'audience anonymisée et sans cookie (Vercel Web Analytics / Speed Insights).

15.7 Droits des inscrits à la liste d'attente

Les inscrits à la liste d'attente disposent de l'ensemble des droits prévus aux sections 9 et 10 de la présente politique. Le canal d'exercice est identique : privacy@loyable.be.

---

Cette politique a été rédigée conformément au Règlement (UE) 2016/679 (RGPD), à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et aux lignes directrices du Comité européen de la protection des données (CEPD / EDPB).

Document rédigé en français. Une version néerlandophone sera publiée lors de l'extension de Loyable à la Flandre.