Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles collectées via l’application et le site web Brifay est :

Le référent protection des données est joignable à l’adresse : [email protected].

2. Données personnelles collectées

Brifay collecte uniquement les données strictement nécessaires au fonctionnement du service de GMAO. Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD.

3. Finalités du traitement et bases légales

Chaque traitement de données repose sur une base légale prévue par le RGPD (article 6) :

Brifay ne procède à aucun profilage ni à aucune décision automatisée produisant des effets juridiques sur les utilisateurs.

4. Destinataires et sous-traitants

Vos données ne sont jamais vendues à des tiers. Elles sont partagées uniquement avec les sous-traitants suivants, contractuellement tenus de ne les traiter que sur instruction de Brifay :

Sous-traitants « produit » (application Brifay)

Sous-traitants « site et acquisition » (site vitrine + emails marketing warm)

Sous-traitants « prospection cold » (uniquement si activé)

Les sous-traitants suivants ne sont mobilisés que pour la prospection B2B sortante (cold email), sur la base juridique de l’intérêt légitime (LIA documentée), avec opt-out 1 clic (List-Unsubscribe) systématique. Aucune donnée « produit » client n’y transite.

Au sein de Brifay, seules les personnes habilitées (support technique, direction) accèdent aux données dans la limite de leurs fonctions.

Isolation multi-tenant

Chaque organisation utilisant Brifay dispose d’un espace isolé. Un utilisateur ne peut accéder qu’aux données de l’organisation à laquelle il appartient.

5. Transferts hors Union européenne

Certains de nos sous-traitants (Firebase/Google, Stripe, Cloudflare, Sentry, RADAAR, Google Workspace, et — si la prospection cold est activée — Smartlead) peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par :

• Le EU-US Data Privacy Framework (décision d’adéquation de la Commission européenne)
• Les Clauses contractuelles types (SCC) de la Commission européenne
• Des mesures techniques supplémentaires (chiffrement de bout en bout, pseudonymisation)

Votre base de données principale (Supabase) est hébergée dans l’Union européenne. Vous pouvez obtenir une copie des garanties de transfert en contactant [email protected].

6. Durées de conservation

Vos données sont conservées conformément aux recommandations de la CNIL (cycle en trois phases : base active, archivage intermédiaire, suppression) :

À l’expiration de ces délais, les données sont supprimées ou anonymisées de manière irréversible. Vous pouvez demander une suppression anticipée, sauf obligations légales contraires.

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

Comment exercer vos droits

• Par email : [email protected]
• Via la page : Supprimer mon compte

Nous répondons dans un délai d’un mois (extensible de deux mois pour les demandes complexes). Une vérification d’identité peut être demandée.

Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez déposer une réclamation auprès de la CNIL :

Commission Nationale de l’Informatique et des Libertés
3 Place de Fontenoy, TSA 80715
75334 Paris Cedex 07
www.cnil.fr

8. Cookies et traceurs

Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du service et ne nécessitent pas votre consentement :

• Supabase Auth — session d’authentification, jetons de sécurité
• Stripe — sécurité des transactions et prévention de la fraude

Cookies soumis à consentement

• Firebase Analytics — mesure d’audience et amélioration du service (durée : 13 mois max.)
• Google Maps — affichage de cartes interactives
• Gleap — support technique et retour utilisateur

Gérer vos préférences

Vous pouvez à tout moment modifier vos préférences en matière de cookies via les paramètres de votre navigateur. Le refus des cookies non essentiels ne bloque pas l’accès au service.

9. Sécurité des données

Brifay met en œuvre des mesures techniques et organisationnelles pour protéger vos données conformément à l’article 32 du RGPD :

Mesures techniques

• Chiffrement des données en transit (TLS/HTTPS)
• Chiffrement des données au repos (AES-256)
• Hashage des mots de passe (bcrypt)
• Authentification par jetons JWT
• Sauvegardes automatiques régulières
• Journalisation des accès (audit logs)
• Hébergement dans des centres certifiés SOC 2 et ISO 27001

Mesures organisationnelles

• Accès limité au personnel strictement nécessaire (principe du moindre privilège)
• Politique de mots de passe robustes
• Procédures de gestion des incidents de sécurité

En cas de violation

En cas de violation de données, Brifay notifie la CNIL dans les 72 heures (art. 33 RGPD) et informe les personnes concernées si le risque est élevé (art. 34 RGPD).

10. Protection des mineurs

Brifay est un service professionnel destiné aux entreprises et collectivités (B2B). Le service n’est pas destiné aux personnes de moins de 16 ans. Aucune donnée de mineur n’est collectée intentionnellement.

11. Modifications de la politique

Brifay peut mettre à jour la présente politique de confidentialité. En cas de modification substantielle, nous vous informons par email ou par notification dans l’application. La date de dernière mise à jour est indiquée en tête de cette page.

La présente politique est régie par le droit français. En cas de litige, les tribunaux français sont compétents.

12. Contact

Pour toute question relative à la protection de vos données :

• Email : [email protected]
• Formulaire : Page contact