Souveraineté & conformité
Clixite Pay est développé et opéré depuis la Belgique. Les données de production sont hébergées dans un datacenter Hostinger à Paris (France), donc dans l’Union européenne. Nous documentons nos sous-traitants et refusons les affirmations que nous ne pouvons pas prouver.
Le cadre
Chaque affirmation est reliée à un texte, un sous-traitant ou une mesure. Pas de badge décoratif.
Clixite agit comme sous-traitant pour les données des acheteurs et visiteurs ; l’organisateur est responsable du traitement. Le DPA est fourni avec le contrat.
Minimisation : pas de date de naissance, pas de données bancaires, pas de profilage publicitaire. Les journaux techniques sont limités et purgés.
Droits : accès, rectification, effacement, portabilité et opposition via l’organisateur ou privacy@clixite.be. Autorité de contrôle : APD (Bruxelles).
Application, base PostgreSQL et sauvegardes de production sont exploitées sur un VPS Hostinger localisé à Paris (France). Aucun cloud américain n’héberge les données de production.
Le code source est hébergé sur GitHub (États-Unis) : il ne contient aucune donnée personnelle de production. Les sauvegardes sont chiffrées et conservées dans l’UE.
Les paiements carte et Bancontact passent par Stripe Payments Europe (Irlande), établissement agréé et soumis à DSP2/SCA. Clixite ne voit ni ne stocke de numéro de carte (périmètre PCI SAQ A).
Stripe est un prestataire américain avec une entité européenne ; les transferts éventuels sont encadrés par le DPA Stripe et les clauses contractuelles types.
Les crédits cashless sont une unité de compte interne, rattachée à un passe nominatif et utilisable uniquement chez l’organisateur. Ils ne sont pas une monnaie électronique générale et ne peuvent pas être cédés.
Le régime exact (exclusion de réseau limité, qualification éventuelle en monnaie électronique, information du consommateur) est analysé avec un juriste belge avant chaque déploiement. La politique de remboursement est affichée au moment de la recharge.
Le Code de droit économique belge s’applique : informations précontractuelles, prix TTC, droit de rétractation lorsque applicable, médiation de la consommation.
Chaque ligne de vente porte son taux : 6 % (culture éligible), 12 % (restauration sur place), 21 % (boissons, merchandise). La ventilation est exportable par taux et par stand.
Les factures sont numérotées séquentiellement et conservées sept ans. Les taux applicables sont confirmés avec le comptable de l’organisateur ; Clixite outille, ne décide pas à sa place.
La plateforme vise WCAG 2.2 niveau AA et les principes de l’European Accessibility Act (applicable depuis le 28 juin 2025) / EN 301 549.
Un audit d’accessibilité externe reste à réaliser avant de revendiquer une conformité complète. Les retours sont pris à accessibilite@clixite.be.
Chiffrement AES-256-GCM des secrets, sessions opaques, MFA TOTP, RBAC par tenant, journal d’audit chaîné, CSP/HSTS, rate limiting et tests de charge.
Nous suivons NIS2 (échéance belge du 18 avril 2026) et les recommandations du CCB. Clixite Pay n’est pas certifié ISO 27001 à ce jour et ne le revendique pas.
Stripe Payments Europe (Irlande) pour les paiements ; Hostinger (UE, datacenter Paris) pour l’hébergement ; Resend (États-Unis, uniquement si l’e-mail est activé) pour les notifications ; GitHub (États-Unis) pour le code sans données personnelles.
La liste à jour et les garanties de transfert figurent dans le DPA et le registre des sous-traitants, disponibles sur demande.
Dernière mise à jour : octobre 2026
Une question conformité, DPA ou sécurité ?