Politique de confidentialité

01 — Identité du responsable de traitement

Le responsable du traitement de vos données personnelles est :

• PHIRA (entreprise individuelle Samuel Chirat), représentée par Samuel Chirat
• Adresse postale : 12 avenue de la Mandallaz, 74000 Annecy, France
• Email : samuelchirat@phira.fr
• SIREN : 108 157 314

PHIRA agit en qualité de responsable de traitement pour les données collectées via le site phira.fr (visites, formulaires, démos).

PHIRA agit en qualité de sous-traitant pour les données traitées dans le cadre de l'exécution du service souscrit par un Client. Les obligations correspondantes sont encadrées par un Data Processing Agreement (DPA) signé séparément avec chaque Client, conformément à l'article 28 du RGPD.

02 — Données personnelles collectées

Données collectées via le site phira.fr

Données traitées dans le cadre du service PHIRA

Lorsqu'un Client souscrit au service, PHIRA traite, en qualité de sous-traitant, les données suivantes concernant les prospects et clients du Client :

Les appels aux modèles de langage sont adressés à Mistral AI, fournisseur français dont les traitements ont lieu dans l'Union européenne. Les données transmises via son API ne sont pas utilisées pour l'entraînement de ses modèles.

Le volume transmis est limité à ce qu'exige la tâche demandée, et les données ne sont pas conservées au-delà. Pour la boîte de réception intelligente, le corps du message est transmis pour analyse mais n'est jamais enregistré en base : seuls l'expéditeur, l'objet, la catégorie détectée et un résumé non sensible d'une phrase sont journalisés. Aucune réponse n'est envoyée sans validation humaine préalable.

Sur les traitements qui soumettent un texte libre rempli par un tiers — la qualification des leads et la génération de devis —, ce texte passe d'abord par le module GUARDIAN, qui masque les catégories sensibles de l'article 9 (santé, opinions politiques, convictions religieuses, orientation sexuelle, appartenance syndicale) ainsi que les identifiants réglementés, avant tout envoi au modèle.

Le rapport de pilotage hebdomadaire, lui, ne transmet que des agrégats chiffrés — des comptages et des montants totaux, sans aucune donnée nominative : il n'y a rien à y filtrer.

Par honnêteté, un traitement n'est pas encore couvert : la boîte de réception intelligente, qui soumet le corps des messages entrants pour analyse. La protection y repose sur la minimisation et la validation humaine, pas sur un filtrage automatique. Cette page sera mise à jour lorsque le filtrage y sera étendu.

Données que PHIRA ne collecte jamais

• Données sensibles au sens de l'article 9 du RGPD (origine, opinions, religion, santé, vie sexuelle, biométrie, génétique)
• Numéros de carte bancaire (le paiement est délégué à un prestataire dédié)
• Données concernant des mineurs

03 — Finalités et bases légales

04 — Destinataires des données

Vos données ne sont jamais revendues, louées ou cédées à des tiers à des fins commerciales. Elles peuvent être communiquées aux destinataires suivants, dans la limite de leurs missions :

• Samuel Chirat, en qualité de représentant de PHIRA
• Sous-traitants techniques de PHIRA (hébergeurs, fournisseurs LLM, outils de monitoring), encadrés par des contrats conformes à l'article 28 RGPD
• Prestataires comptables, dans le cadre des obligations comptables
• Autorités administratives et judiciaires, sur réquisition légale

Liste des sous-traitants principaux

Le Client peut substituer ces sous-traitants par d'autres équivalents (Pipedrive, Outlook, etc.) selon sa stack existante. La liste à jour est annexée au DPA signé avec chaque Client.

05 — Durée de conservation

Les durées de conservation sont précisées au tableau de la section 03. À l'expiration de ces durées, les données sont :

• Soit supprimées définitivement de tous les supports actifs et de sauvegarde
• Soit archivées en accès restreint pour la durée de la prescription légale applicable
• Soit anonymisées de manière irréversible à des fins statistiques

Les logs d'audit RGPD (chaque appel LLM, chaque email envoyé, chaque action automate) sont conservés 24 mois conformément à l'obligation de traçabilité (article 5.2 du RGPD) puis purgés automatiquement.

06 — Hébergement et transferts

L'ensemble des données traitées par PHIRA est hébergé exclusivement dans l'Union européenne :

• Workflows n8n : datacenter Frankfurt (Allemagne)
• GUARDIAN gateway et base PostgreSQL : Railway, UE
• Modèles Mistral : France

PHIRA ne procède à aucun transfert de données hors Union européenne dans le cadre de son fonctionnement nominal. Si un Client choisit d'utiliser un CRM ou une messagerie hébergée hors UE (par exemple une instance Salesforce hébergée aux États-Unis), PHIRA en informe explicitement le Client lors de la phase de setup pour qu'il puisse choisir une instance européenne équivalente.

07 — Sécurité des données

PHIRA met en œuvre les mesures techniques et organisationnelles suivantes pour garantir la confidentialité, l'intégrité et la disponibilité de vos données :

• Chiffrement en transit (TLS 1.3) et au repos (AES-256)
• Authentification forte et signatures HMAC sur toutes les API internes
• Filtrage automatique des PII avant tout appel à un modèle de langage
• Tokens d'opt-out signés HMAC, expirant après 90 jours
• Logs d'audit complets et traçabilité de chaque action (24 mois)
• Sauvegardes quotidiennes chiffrées, restauration testée mensuellement
• Accès aux données strictement limité aux personnes habilitées
• Suppression sécurisée des données à l'expiration des durées de conservation

08 — Vos droits

Conformément aux articles 12 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez à tout moment des droits suivants sur vos données personnelles :

• Droit d'accès — obtenir confirmation que vos données sont traitées et en obtenir une copie
• Droit de rectification — corriger toute donnée inexacte ou incomplète
• Droit à l'effacement ("droit à l'oubli") — demander la suppression de vos données
• Droit à la limitation — restreindre temporairement le traitement
• Droit à la portabilité — recevoir vos données dans un format structuré, lisible par machine
• Droit d'opposition — vous opposer au traitement pour motif légitime
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement
• Droit de définir des directives post-mortem concernant vos données

Pour exercer ces droits, écrivez à samuelchirat@phira.fr en précisant l'objet de votre demande. Une réponse vous sera apportée dans un délai d'un mois (prolongeable à trois mois pour les demandes complexes).

Vous pouvez également utiliser le lien d'opt-out 1-clic présent dans chaque email reçu de la part de PHIRA ou via le service PHIRA. Ce lien, signé cryptographiquement (HMAC), désinscrit immédiatement sans inscription nécessaire.

09 — Cookies et traceurs

Le site phira.fr utilise un nombre minimal de cookies, exclusivement pour assurer le bon fonctionnement du site. Aucun cookie publicitaire ou de profilage n'est déposé.

Vous pouvez configurer votre navigateur pour refuser tous les cookies ou être notifié à chaque dépôt. Le refus peut affecter le bon fonctionnement de certaines fonctionnalités.

10 — Contact et réclamations

Pour toute question concernant cette politique de confidentialité ou le traitement de vos données :

• Email : samuelchirat@phira.fr
• Courrier postal : PHIRA — Samuel Chirat, 12 avenue de la Mandallaz, 74000 Annecy, France

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22
• Site web : www.cnil.fr