— PHIRA · Confidentialité
Politique de confidentialité
Comment PHIRA traite vos données personnelles, en application du RGPD et de la loi Informatique et Libertés.
Version 2.0 — 7 octobre 2026
PHIRA utilise vos données pour répondre à vos demandes, vous présenter son service (y compris par prospection à partir de sources publiques) et l'exécuter. Vos données ne sont jamais vendues. Les traitements d'intelligence artificielle sont confiés à Mistral AI, société française, par son point d'accès européen. Le site, la base de l'application, les automatisations et la passerelle GUARDIAN sont hébergés dans l'Union européenne ; des journaux techniques, l'envoi des e-mails, les sauvegardes chiffrées et Slack restent chez des prestataires américains, nommés avec leurs garanties. Vous pouvez exercer vos droits à tout moment en écrivant à samuelchirat@phira.fr.
Sommaire
01 — Responsable de traitement
- PHIRA — Samuel Chirat, entrepreneur individuel (micro-entreprise)
- 12 avenue de la Mandallaz, 74000 Annecy, France — SIREN 108 157 314
- Contact : samuelchirat@phira.fr
PHIRA n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour son activité. Samuel Chirat répond directement à toute demande.
Cette politique couvre les traitements dont PHIRA est responsable : le site phira.fr, ses formulaires, la prospection et la gestion de ses clients. Pour les données que PHIRA traite pour le compte de ses clients dans le cadre du service NEXUS, voir l'article 11.
02 — Traitements, finalités et bases légales
| Traitement | Données | Base légale (article 6 du RGPD) |
|---|---|---|
| Répondre à une demande de contact, de démonstration ou de diagnostic | Nom, prénom, e-mail et téléphone professionnels, société, fonction, contenu de la demande | Mesures précontractuelles prises à votre demande (6.1.b) |
| Réserver un rendez-vous de démonstration | Nom, e-mail, créneau, informations saisies dans le formulaire de réservation | Mesures précontractuelles (6.1.b) |
| Afficher l'audit d'entreprise demandé sur le site | Site ou SIREN saisi, informations publiques sur l'entreprise et ses dirigeants (registre national des entreprises) | Intérêt légitime de PHIRA à répondre à la demande du visiteur ; les dirigeants peuvent s'y opposer (6.1.f) |
| Envoyer l'audit par e-mail, puis les messages de suivi, et enregistrer la demande pour un recontact | E-mail, entreprise analysée, résultat, date et preuve du consentement | Consentement, recueilli par case à cocher et retirable à tout moment (6.1.a) |
| Prospection commerciale auprès de professionnels, par des messages rédigés avec l'aide de l'IA à partir des informations publiques de l'entreprise | Nom, prénom, fonction, coordonnées professionnelles, société, informations publiques de son site, historique des échanges | Intérêt légitime de PHIRA à faire connaître son service, avec droit d'opposition à chaque message (6.1.f) |
| Exécuter le contrat d'un client, le facturer, tenir la comptabilité | Identité et coordonnées des interlocuteurs du client, données contractuelles et de facturation | Exécution du contrat (6.1.b) ; obligation légale pour la comptabilité (6.1.c) |
| Mesurer l'audience du site | Pages vues, provenance, type d'appareil, pays — sans cookie ni identifiant persistant | Intérêt légitime à améliorer le site (6.1.f) |
| Sécuriser le site et l'administration | Adresse IP, navigateur, journaux de connexion et d'accès | Intérêt légitime à la sécurité du service (6.1.f) |
Les champs marqués comme obligatoires dans les formulaires sont nécessaires pour traiter votre demande ; sans eux, PHIRA ne peut pas y répondre.
03 — Origine des données
Les données proviennent de vous (formulaires, e-mails, réservation, échanges), et, pour la prospection et les audits, de sources publiques : profils professionnels publics, site de votre entreprise, résultats de recherches sur le web, registre national des entreprises (interrogé par l'annuaire public des entreprises de l'État, avec le nom ou le SIREN de l'entreprise). Le premier message de prospection indique d'où viennent vos coordonnées et comment vous opposer à leur usage.
04 — Destinataires et prestataires
Vos données ne sont ni vendues, ni louées, ni cédées. Elles sont accessibles à Samuel Chirat, le cas échéant à l'expert-comptable de PHIRA pour les pièces comptables, aux autorités sur réquisition légale, et aux prestataires techniques suivants, qui les traitent pour le compte de PHIRA :
| Prestataire | Rôle | Lieu de traitement | Garanties en cas de transfert |
|---|---|---|---|
| Vercel Vercel Inc. (États-Unis) | Hébergement du site phira.fr et de ses formulaires ; journaux techniques (dont adresse IP) | Fonctions à Francfort (fra1) ; réseau de distribution mondial ; journaux susceptibles d'être traités hors de l'Union européenne | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion vérifiée le 7 octobre 2026 sur la liste officielle) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| Plausible Analytics Plausible Insights OÜ (Estonie) | Mesure d'audience du site, sans cookie ; seuls l'adresse de la page (sans paramètres) et des informations techniques sont transmis | Union européenne (Allemagne, Finlande) | Aucun transfert |
| Cal.com Cal.com, Inc. (États-Unis) | Réservation des rendez-vous de démonstration, chargée seulement à votre demande | États-Unis | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion déclarée par le fournisseur) |
| Supabase Supabase Pte. Ltd. (Singapour) | Enregistrement des demandes reçues par les formulaires et des séquences d'e-mails | Région eu-central-1 (Francfort, Allemagne) ; accès de support et journaux techniques possibles hors de l'Union européenne | clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur, complétées par l'évaluation de transfert de PHIRA |
| Mistral AI Mistral AI SA, Paris (France) | Analyse et rédaction (diagnostic, notation d'une demande, audit d'entreprise, e-mails de prospection), via GUARDIAN | Union européenne ou AELE (point d'accès européen) | Aucun transfert ; conservation 30 jours pour la détection d'abus, sauf « zéro rétention » |
| Railway Railway Corporation (États-Unis) | Hébergement de GUARDIAN et des audits d'entreprise | Calcul et stockage à Amsterdam (EU West) ; journaux techniques aux États-Unis | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion vérifiée le 7 octobre 2026 sur la liste officielle) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| Resend Plus Five Five, Inc. « Resend » (États-Unis) | Envoi des e-mails de PHIRA (réponses, séquences de suivi) | Envoi depuis l'Irlande ; données du compte, journaux et contenu des e-mails stockés aux États-Unis | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion vérifiée le 7 octobre 2026 sur la liste officielle) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| n8n n8n GmbH, Berlin (Allemagne) | Automatisation du traitement des demandes reçues et de la prospection de PHIRA | Microsoft Azure, Union européenne | Accès de support depuis le Royaume-Uni (décision d'adéquation) ou les États-Unis : clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| HubSpot HubSpot, Inc. (États-Unis) | Gestion de la relation avec les prospects et clients de PHIRA | Centre de données de l'Union européenne | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion déclarée par le fournisseur) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| Google Google (Google Ireland Ltd / Google LLC) | Copie de sauvegarde du fichier de prospects de PHIRA (Google Drive) et envoi, par le compte Gmail de PHIRA, des alertes techniques de secours vers sa boîte professionnelle, sans contenu de message | Union européenne et États-Unis | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion vérifiée le 7 octobre 2026 sur la liste officielle) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| Slack Salesforce (salesforce.com France SAS) | Espace de travail de PHIRA, où sont invités les utilisateurs des clients | États-Unis | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion vérifiée le 7 octobre 2026 sur la liste officielle) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
| OVHcloud OVH SAS, Roubaix (France) | Messagerie professionnelle et nom de domaine de PHIRA | France | Aucun transfert |
| GitHub GitHub, Inc. (États-Unis) | Exécution des tâches planifiées et des sauvegardes, conservation des sauvegardes chiffrées | États-Unis | cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795 ; adhésion vérifiée le 7 octobre 2026 sur la liste officielle) ; à défaut, clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3, intégrées à l'accord de traitement du fournisseur |
05 — Transferts hors de l'Union européenne
PHIRA choisit, chaque fois que le prestataire le permet, une région d'hébergement dans l'Union européenne. Plusieurs prestataires sont toutefois des sociétés américaines, ou conservent une partie des données aux États-Unis (journaux techniques, métadonnées d'envoi, réservations). Ces transferts reposent sur le cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795) lorsque le destinataire y adhère, et sur les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914). Les sociétés américaines restent soumises au droit des États-Unis, y compris pour les données hébergées en Europe. Vous pouvez obtenir une copie des garanties applicables en écrivant à samuelchirat@phira.fr.
06 — Durées de conservation
| Données | Durée |
|---|---|
| Prospection de PHIRA (séquences d'e-mails, coordonnées professionnelles) | 3 ans après l'envoi de chaque message |
| Demandes reçues d'une entreprise restée sans contrat (formulaire de diagnostic) | 3 ans après la demande |
| Audits d'entreprise (dont noms de dirigeants issus du registre public) | 3 ans après leur réalisation |
| Journaux d'accès aux secrets de l'administration | 12 mois |
| Journal des connexions d'administration | 12 mois |
| Sessions d'administration | 90 jours après leur expiration |
| Demande de contact ou de démonstration restée sans suite, échanges par e-mail | 3 ans après le dernier échange (revue manuelle au moins annuelle) |
| Données contractuelles et de facturation des clients | Durée du contrat, puis 10 ans pour les pièces comptables (article L.123-22 du Code de commerce) |
| Listes d'opposition à la prospection | Au moins 3 ans après l'opposition, et tant que PHIRA prospecte, pour ne pas vous recontacter |
| Réservations de rendez-vous | 3 ans après le rendez-vous (suppression manuelle dans l'outil de réservation) |
| Journaux techniques du site | Durée de conservation de l'offre de l'hébergeur, communiquée sur demande |
Pour les données enregistrées dans l'application de PHIRA, ces durées sont appliquées par une suppression automatique quotidienne ; pour la messagerie et le fichier de prospection de PHIRA, par une revue manuelle au moins annuelle. Les sauvegardes chiffrées sont conservées 90 jours.
07 — Sécurité
Échanges chiffrés (HTTPS), identifiants et coordonnées bancaires conservés chiffrés (AES-256-GCM), accès à l'administration par session révocable et journalisée, sauvegardes chiffrées, accès aux données réservé à Samuel Chirat. Le détail des mesures appliquées au service figure dans la convention de sous-traitance.
08 — Intelligence artificielle
Certaines demandes et certains messages sont traités ou rédigés par un modèle de langage de Mistral AI, appelé par son point d'accès européen : analyse d'une demande de diagnostic, note d'une demande entrante, audit d'entreprise, rédaction des e-mails de prospection de PHIRA à partir des informations publiques de votre site. Les coordonnées sont masquées avant l'analyse lorsque le texte provient d'un formulaire ; les noms ne le sont pas. Mistral AI ne réutilise pas ces données pour entraîner ses modèles (option désactivée sur le compte de PHIRA) et les conserve 30 jours pour la détection d'abus. Les e-mails et documents rédigés par l'IA portent un marquage lisible par machine, décrit sur phira.fr/ia. La note d'une demande sert uniquement à la traiter plus vite : aucune décision produisant des effets juridiques ou vous affectant de manière significative n'est prise de manière automatisée.
09 — Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, du droit de retirer votre consentement à tout moment lorsque le traitement repose sur lui, et du droit de définir des directives sur le sort de vos données après votre décès. Vous pouvez vous opposer à tout moment, sans motif, à la prospection.
Écrivez à samuelchirat@phira.fr en précisant votre demande. Une réponse vous est apportée dans un délai d'un mois, prolongeable de deux mois pour une demande complexe ; PHIRA peut vous demander de justifier de votre identité en cas de doute raisonnable. Chaque e-mail de prospection contient un lien de désinscription ou, à défaut, la possibilité de répondre « STOP ».
10 — Cookies et mesure d'audience
Le site ne dépose aucun cookie publicitaire ni de mesure d'audience. Seuls des cookies strictement nécessaires sont utilisés, ce qui les dispense de consentement (article 82 de la loi Informatique et Libertés) :
| Cookie ou stockage | Finalité | Durée |
|---|---|---|
| phira_setup | Accès sécurisé d'un client à son parcours de mise en place | 30 jours au plus |
| phira_admin | Session d'administration de PHIRA | 12 heures |
| Stockage local du navigateur | Brouillon d'un formulaire en cours de saisie, sans aucun secret | Jusqu'à l'envoi ou à l'effacement par vous |
La mesure d'audience est assurée par Plausible Analytics, qui, selon son éditeur, ne dépose aucun cookie et ne conserve pas l'adresse IP. Seule l'adresse de la page, sans ses paramètres, lui est transmise ; la page d'opposition n'est jamais mesurée. Le calendrier de réservation de Cal.com (États-Unis) ne se charge que lorsque vous le demandez (bouton « Afficher le calendrier » ou « Réserver ») ; Cal.com traite alors les données de réservation et peut déposer ses propres traceurs.
11 — Données traitées pour le compte de nos clients
Lorsqu'une entreprise utilise le service NEXUS, PHIRA traite, pour son compte et sur ses instructions, les données de ses prospects, clients et contacts. Cette entreprise est alors responsable de traitement : c'est à elle de vous informer et de répondre à vos demandes. Si vous écrivez à PHIRA à ce sujet, votre demande lui est transmise sous deux jours ouvrés. Les engagements de PHIRA (sous-traitants, lieux de traitement, durées, sécurité) sont décrits dans la convention de sous-traitance.
12 — Contact et réclamation
- E-mail : samuelchirat@phira.fr
- Courrier : PHIRA — Samuel Chirat, 12 avenue de la Mandallaz, 74000 Annecy, France
Vous pouvez à tout moment, sans avoir à nous contacter au préalable, introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.