Politique de confidentialité

1. Identité et rôles RGPD

2. Données collectées, finalités et bases légales

Nous traitons les catégories de données suivantes selon les rôles, finalités et fondements décrits ci-après.

L’organisation, ainsi que les utilisateurs agissant pour son compte, ne doivent saisir dans le Service que des données strictement nécessaires à l’analyse et pour lesquelles l’organisation dispose d’une base légale appropriée. À ce titre, l’organisation agit en qualité de responsable de traitement des données de tiers intégrées dans le Service (voir la section 1 et les règles d’utilisation publiées dans les conditions d’utilisation). L’organisation et les utilisateurs s’engagent en particulier à ne pas téléverser dans le Service de données relevant des catégories particulières au sens de l’article 9 du RGPD (notamment données de santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques) ni de données relatives aux condamnations pénales et aux infractions (art. 10 du RGPD), sauf si strictement nécessaire à l’analyse, autorisé par le droit applicable et encadré par des engagements contractuels appropriés.

Vous pouvez vous opposer au traitement d’amélioration du Service fondé sur l’intérêt légitime dans les conditions prévues à la section 9.

3. Destinataires et sous-traitants

Les données sont accessibles, dans la limite de leurs habilitations respectives, aux personnels autorisés de FortyTwoFlow SAS ainsi qu’aux destinataires et sous-traitants suivants, selon leur rôle respectif (sous-traitant agissant sur instruction, ou destinataire responsable de traitement autonome au titre de ses obligations propres).

Global Expertises reçoit de FortyTwoFlow SAS, pour chaque organisation cliente, le relevé mensuel de ses sièges et l’état de son abonnement, nécessaires à la facturation. Le paiement des abonnements est traité par Global Expertises et ses propres prestataires de paiement, dont Stripe, sous sa responsabilité ; FortyTwoFlow SAS peut y accéder pour le compte de Global Expertises afin d’ouvrir l’accès d’une organisation dont l’abonnement est réglé.

La liste à jour des sous-traitants est disponible sur simple demande à contact@fortytwoflow.ai. Toute évolution significative est communiquée par mise à jour de la présente politique.

4. Authentification via Google et autres fournisseurs d’identité

5. Transferts hors Union européenne

L’hébergement et le traitement applicatif des données du Service sont assurés dans l’Union européenne (région AWS eu-west-3, Paris). Certaines opérations d’inférence par intelligence artificielle peuvent toutefois donner lieu à un transfert de données vers les États-Unis, dans le cadre de notre sous-traitance avec OpenAI. Par ailleurs, des accès distants ponctuels, à des fins de support et d’exploitation, peuvent intervenir depuis des entités situées hors EEE des groupes AWS et Sentry, dont les maisons-mères sont établies aux États-Unis. Ces transferts et accès sont encadrés par des accords de traitement des données (DPA) intégrant les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914), conformément à la jurisprudence Schrems II (CJUE, C-311/18). Les contenus transmis à OpenAI via l’API ne sont pas utilisés par défaut pour l’entraînement de modèles, conformément aux engagements contractuels du sous-traitant.

6. Durées de conservation

• Données de compte : pendant toute la durée de votre accès au Service. À la clôture de votre organisation, votre compte est supprimé s’il n’est rattaché à aucune autre organisation, sous réserve des obligations légales de conservation visées ci-dessous.
• Données projet (documents, rapports, analyses générées) : pendant la durée du contrat de l’organisation, puis selon les instructions de l’organisation responsable de traitement. À défaut d’instruction contraire, les données projet sont supprimées dans un délai de quatre-vingt-dix (90) jours après la clôture de l’organisation, hors sauvegardes temporaires purgées selon leur cycle normal. Une conservation prolongée jusqu’à dix (10) ans à compter de la clôture du projet peut être mise en place à la demande de l’organisation pour couvrir la garantie décennale (art. 1792-4-1 du Code civil).
• Journaux techniques et traces d’audit : douze (12) mois glissants, sauf nécessité de conservation plus longue pour la détection d’incidents.
• Données d’interaction avec les fonctionnalités d’IA : conservées le temps nécessaire aux finalités d’amélioration du Service, puis supprimées ou anonymisées ; elles sont en tout état de cause supprimées lors de la suppression du projet ou du compte concerné. Les enseignements tirés sous forme agrégée ou anonymisée peuvent être conservés au-delà.
• Acceptation des règles d’utilisation : tant que le compte existe. À la clôture d’une organisation, la preuve d’acceptation de ses membres est archivée, avec un accès restreint, pendant cinq (5) ans, durée de la prescription de droit commun (art. 2224 du Code civil).
• Données d’abonnement : pendant la durée du contrat de l’organisation. Après sa clôture, les éléments nécessaires aux dernières factures de Global Expertises (nombre de sièges, références de commande, dates de service) sont conservés, puis supprimés sur instruction de Global Expertises.
• Données de facturation entre FortyTwoFlow SAS et Global Expertises : dix (10) ans à compter de l’exercice comptable concerné (art. L. 123-22 du Code de commerce).
• Données transmises à OpenAI : pour les appels API utilisés par le Service, OpenAI peut conserver les requêtes et les réponses (inputs/outputs) jusqu’à trente (30) jours, sauf exception liée à certains endpoints, fonctionnalités ou options de rétention. Les contenus transmis à OpenAI via l’API ne sont pas utilisés par défaut pour l’entraînement de modèles.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au regard du risque, notamment :

• chiffrement des communications en transit (TLS) ;
• chiffrement au repos des bases de données et du stockage des fichiers ;
• contrôle d’accès basé sur les rôles (RBAC) avec habilitations différenciées et isolation par organisation et par projet ;
• journalisation et conservation des accès à des fins d’audit ;
• politique de gestion des secrets et des clés et sauvegardes régulières ;
• revue régulière des dépendances et des correctifs de sécurité.

8. Cookies et traceurs

Le Service utilise uniquement les cookies strictement nécessaires à son fonctionnement, notamment au maintien de la session authentifiée et à la prévention des attaques (CSRF). Aucun cookie ou traceur publicitaire ou d’analyse statistique tiers n’est déposé sans votre consentement préalable. Le détail de chaque cookie déposé, sa finalité, sa durée de conservation et les modalités de paramétrage figurent dans la politique de gestion des cookies.

Pour la supervision technique du Service, le SDK Sentry collecte côté navigateur des informations limitées aux erreurs applicatives, à des traces de performance échantillonnées et à un enregistrement de session lorsqu’il est activé pour le diagnostic d’une erreur (textes et saisies masqués par défaut). Ces données sont stockées dans la région UE de Sentry (Francfort, Allemagne) et ne sont pas utilisées à des fins d’analyse produit ou de mesure d’audience. Voir la section 3 pour le détail du sous-traitant.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés, vous disposez des droits suivants :

• droit d’accès et droit à une copie de vos données (art. 15) ;
• droit de rectification (art. 16) ;
• droit à l’effacement (art. 17) ;
• droit à la limitation du traitement (art. 18) ;
• droit à la portabilité (art. 20) ;
• droit d’opposition aux traitements fondés sur l’intérêt légitime (art. 21) ;
• droit de définir des directives relatives au sort de vos données après votre décès (art. 85 de la Loi Informatique et Libertés) ;
• droit de retirer votre consentement à tout moment, lorsque le traitement repose sur ce fondement.

Pour exercer ces droits, écrivez-nous à contact@fortytwoflow.ai. Une réponse vous sera apportée dans un délai d’un (1) mois, susceptible d’être prolongé de deux (2) mois en cas de complexité particulière. Nous pourrons être amenés à vérifier votre identité avant de donner suite à votre demande.

Vous disposez également du droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (www.cnil.fr).

Lorsque la demande porte sur des données que FortyTwoFlow SAS traite en qualité de sous-traitant (données projet, données d’abonnement ; voir la section 1), nous la transmettons au responsable de traitement concerné — votre organisation ou Global Expertises — ou l’assistons dans sa réponse. Pour une question sur la commande, la facturation ou la résiliation de l’abonnement d’une organisation cliente, adressez-vous directement à Global Expertises.

10. Décisions automatisées

Le Service utilise l’intelligence artificielle comme outil d’aide à la décision. Les éléments d’analyse produits par les modèles (synthèses, pistes de vérification, estimations à titre indicatif, éléments préparatoires) ne constituent en aucun cas une décision automatisée produisant des effets juridiques au sens de l’article 22 du RGPD : la validation, la correction et l’utilisation finale des analyses relèvent de la responsabilité exclusive de l’organisation et des utilisateurs agissant pour son compte.

11. Modifications

La présente politique peut être modifiée pour tenir compte d’évolutions légales, techniques ou organisationnelles. La date de dernière mise à jour est indiquée en tête de document. En cas de modification substantielle, les utilisateurs en seront informés par tout moyen approprié.

12. Contact

Pour toute question relative à la présente politique ou au traitement de vos données : contact@fortytwoflow.ai.