Données & RGPD
Vos chiffres vous appartiennent, y compris quand vous partez.
Ce qui est traité
Comptes utilisateurs
Nom, adresse électronique, rôle. Base légale : exécution du contrat. Conservés le temps de l’abonnement, puis douze mois.
Catalogue et flux
Désignations, valeurs, fournisseurs, origines. Données d’entreprise. Conservés trois ans, alignés sur le délai de reprise douanière.
Registre des décisions
Auteur, instant, motif de chaque décision de conformité. Conservé trois ans : c’est sa raison d’être.
Listes de sanctions
Données personnelles publiées par les autorités. Base légale : obligation légale. Rafraîchies quotidiennement.
Vos droits, et comment les exercer
Accès, rectification, effacement, limitation, portabilité, opposition : écrivez à contact@firmat.eu. Réponse sous un mois, conformément à l’article 12 du RGPD.
Une réserve honnête sur l’effacement : le registre est volontairement inaltérable, et cette inaltérabilité est ce qui lui donne sa valeur probante. Une demande d’effacement portant sur une écriture de registre sera traitée par anonymisation des données personnelles, la chaîne d’empreintes restant intacte.
L’export complet est disponible à tout moment depuis le produit, sans nous le demander. C’est délibéré : une portabilité qui exige d’écrire à son fournisseur n’en est pas une.
Les sous-traitants, nommés
Un sous-traitant au sens de l’article 28 du RGPD est un tiers qui traite des données pour notre compte. En voici la liste complète, avec ce qu’il voit et où il le traite. Toute addition à cette liste vous sera notifiée avant sa mise en service, conformément à l’article 28.2.
| Sous-traitant | Rôle | Ce qu’il traite | Région |
|---|---|---|---|
| Google Cloud (Cloud Run, Cloud Storage, Secret Manager) | Hébergement du service et des sauvegardes | L’ensemble des données du locataire, chiffrées en transit | europe-west1 (Belgique) |
| Mistral AI | Modèle de langage — propositions et citations | Les désignations de produits et extraits de documents soumis à l’analyse. Aucun euro n’est calculé par le modèle, et aucune donnée n’est utilisée pour son entraînement. | Union européenne (France) |
| Stripe | Encaissement des abonnements | Adresse de facturation et données de paiement — jamais vues par nos serveurs | Union européenne / États-Unis (clauses contractuelles types) |
| Google Workspace et Microsoft 365 | Envoi de courriers depuis VOTRE boîte, sur votre autorisation explicite | Les messages que vous faites partir vers vos fournisseurs. Le jeton d’accès est chiffré au repos (AES-256-GCM) et révocable à tout instant. | Selon votre propre contrat avec l’éditeur |
Les référentiels publics que le produit consulte — TARIC via le miroir de la douane suédoise, listes de sanctions de l’Union, de l’OFAC, de l’OFSI et de l’ONU, taux de la Banque centrale européenne, Journal officiel de l’Union — ne reçoivent AUCUNE donnée de votre part : le service les télécharge, il ne leur envoie rien. Ce ne sont donc pas des sous-traitants.
Six semaines pour trancher.
Sur votre catalogue réel, pas sur une démonstration. Exposition CBAM chiffrée sous 48 h, puis l’audit des droits récupérables sur trois ans.