Politique de confidentialité

Les requêtes protégées sont authentifiées et autorisées. Les opérations métier importantes sont journalisées.

Pour toute question relative à la protection des données, contactez notre Délégué à la protection des données à . Nous répondrons dans un délai de 15 jours calendaires, comme l'exige le PDPL des EAU. privacy@haviqo.com.

Nous collectons les catégories de données personnelles suivantes :

Nous ne collectons pas de données biométriques, de données de santé, ni d'opinions politiques ou religieuses, sauf si vous téléchargez volontairement des documents contenant ces informations.

• Fourniture et exploitation de la plateforme Haviqo (comptabilité, gestion des salaires, fiscalité, RH, modules de secrétariat).
• Génération de livrables de conformité : Déclarations de TVA (VAT201), estimations d'Impôt sur les sociétés (CT), fichiers WPS SIF, états financiers IFRS, rapports d'audit de la FTA.
• Envoi par courriel de rappels de dates limites de conformité (expiration du visa, dépôt de la Déclaration de TVA, dépôt de la Déclaration d'Impôt sur les sociétés (CT), échéances WPS).
• Maintien de journaux d'audit immuables à des fins réglementaires et de gouvernance interne.
• Détection et prévention de la fraude, des accès non autorisés et des incidents de sécurité.
• Amélioration de la plateforme via des analyses agrégées et anonymisées (sans profilage individuel).
• Conformité aux obligations légales des EAU (MOHRE, FTA, Ministère des Finances, Banque centrale).

En vertu de la PDPL des EAU et du RGPD, nous nous fondons sur les bases juridiques suivantes :

Les dossiers des employés sur la plateforme peuvent inclure des numéros de passeport, des cartes d'identité des EAU, des numéros de visa et la nationalité — des catégories bénéficiant d'une protection renforcée en vertu de l'article 4 de la PDPL des EAU et de l'article 9 du RGPD. Nous traitons ces données uniquement dans le cadre de la conformité au droit du travail des EAU (MOHRE, WPS, suivi des visas). L'accès est limité aux utilisateurs ayant le rôle HR_MANAGER ou OWNER au sein de votre organisation.

Les données salariales et financières sont chiffrées au repos et en transit. Nous ne vendons pas, ne concédons pas sous licence et ne partageons pas ces données avec des tiers à des fins commerciales.

Nous partageons des données personnelles uniquement dans les circonstances suivantes :

• Au sein de votre organisation : Les utilisateurs que vous avez invités sur votre locataire Haviqo, conformément à leur rôle attribué et aux autorisations RBAC.
• Fournisseurs d'infrastructure : Infrastructure d’informatique en nuage : Supabase (base de données PostgreSQL, authentification et stockage de fichiers ; Francfort, UE), Render (hébergement du serveur applicatif et des API ; Francfort, UE) et Vercel (hébergement de l’interface utilisateur ; réseau de périphérie mondial). Ces prestataires agissent en tant que sous-traitants de données dans le cadre d'accords écrits.
• Envoi d'e-mails : Resend (e-mails transactionnels) pour les alertes de conformité et les invitations. Aucune donnée marketing n'est partagée.
• Traitement par IA (Groq Inc., États-Unis) : Lorsque vous utilisez l'assistant IA Haviqo ou la fonctionnalité de numérisation OCR des reçus, les données que vous soumettez (synthèses financières, images de documents) sont transmises à Groq Inc. (États-Unis) pour traitement. Groq agit en tant que sous‑traitant de données. Aucune information personnelle identifiable des employés (noms, numéros d'identité, numéros de passeport) n'est volontairement incluse dans les requêtes IA, mais des données financières et commerciales de votre entreprise peuvent être transmises. Conformément à ses conditions de service en vigueur, Groq n'utilise pas vos données pour entraîner ses modèles.
• Obligation légale : Nous communiquerons des données aux autorités réglementaires des EAU (FTA, MOHRE, Bureau des données des EAU) lorsque la loi, une ordonnance judiciaire ou une demande réglementaire l'exigera.
• Transfert d'activité : En cas de fusion ou d'acquisition, des données peuvent être transférées sous réserve de protections équivalentes et d'une notification préalable.

Nous ne vendons pas de données personnelles. Nous ne partageons pas de données avec des réseaux publicitaires.

Le stockage principal des données se situe à Francfort, Allemagne (Supabase eu-central-1 pour la base de données, l'authentification et le stockage de fichiers ; Render Francfort pour le serveur applicatif et les API). L’interface utilisateur est servie via le réseau mondial de périphérie CDN de Vercel. Certains sous‑traitants sont basés aux États‑Unis : Resend (courriels transactionnels), Upstash (limitation de débit) et Groq (traitement IA). Ces transferts sont régis par les conditions de traitement des données de chaque fournisseur. Nous travaillons à établir des accords formels de traitement des données (DPA) avec chaque sous‑traitant basé aux États‑Unis.

Les données ne sont actuellement pas stockées sur le territoire des EAU. Nous évaluons une migration vers une infrastructure régionale des EAU dès qu'elle sera disponible auprès de nos fournisseurs, conformément aux attentes de résidence des données du PDPL.

En vertu de la PDPL des EAU et, le cas échéant, du RGPD, vous disposez des droits suivants. Pour exercer l'un de ces droits, envoyez un courriel à avec une preuve d'identité. Nous répondrons dans un délai de 15 jours (PDPL des EAU) ou de 30 jours (RGPD). privacy@haviqo.com.

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Protection HTTPS en transit selon la configuration active des hébergeurs.
• Protection au repos de la base de données et des fichiers gérée par les fournisseurs.
• Contrôle d'accès basé sur les rôles (RBAC) avec cinq rôles : OWNER, CFO, ACCOUNTANT, AUDITOR, HR_MANAGER.
• Isolation des locataires au niveau des lignes : chaque requête de base de données est limitée à un tenantId ; l'accès inter-locataires est bloqué au niveau de l'application.
• Journaux d'audit immuables : les écritures de journal et les actions des utilisateurs ne peuvent pas être modifiées ou supprimées après écriture.
• Les sessions d'authentification suivent la configuration active de Supabase et les flux d'invalidation pris en charge.
• Aucun stockage des mots de passe en clair ; le hachage des mots de passe est géré par Supabase Auth en utilisant un algorithme de hachage sécurisé. Haviqo ne stocke pas et n'a pas accès aux mots de passe en clair.
• Réponse aux incidents : consultez notre page Sécurité pour le plan de réponse aux incidents en vigueur.

Nous réalisons des contrôles périodiques de sécurité. Nous informerons les clients concernés et le Bureau des données des EAU dans les 72 heures suivant la découverte d'une violation de données à caractère personnel présentant un risque pour les personnes, comme l'exige l'article 14 de la PDPL des EAU.

Nous utilisons des cookies strictement nécessaires pour la gestion des sessions (JWT stocké en tant que cookie HttpOnly et Secure). Nous n'utilisons pas de cookies publicitaires, de pixels de suivi tiers ni de profilage comportemental. Un suivi interne limité du parcours sur la landing page est désactivé par défaut et n'enregistre que des événements non identifiants après consentement.

La plateforme Haviqo est un service d'entreprise B2B destiné à être utilisé par des entités corporatives et leurs représentants autorisés. Nous ne collectons pas sciemment de données personnelles d'individus de moins de 18 ans. Si vous pensez qu'un mineur a fourni des données via notre plateforme, contactez immédiatement privacy@haviqo.com.

Nous vous informerons des modifications importantes de cette politique par e-mail et par un avis bien visible dans la plateforme au moins 30 jours avant l'entrée en vigueur du changement. La poursuite de l'utilisation de la plateforme après cette date constitue une acceptation de la politique révisée. La version en cours est toujours disponible sur haviqo.com/privacy.