Données & RGPD
Vos chiffres vous appartiennent, y compris quand vous partez.
Ce qui est traité
Comptes utilisateurs
Nom, adresse électronique, rôle. Base légale : exécution du contrat. Conservés le temps de l’abonnement, puis douze mois.
Réponses facultatives de mise en route
Choix sur le CBAM, les sources de données et l’autonomie, ainsi que secteur et volume. Transmises uniquement si vous cochez l’accord dans l’onboarding ; un identifiant technique de compte peut être associé. Finalité : améliorer les parcours d’accueil. Conservées 90 jours, puis supprimées automatiquement. Pour retirer votre accord ou exercer vos droits, écrivez à contact@firmat.eu.
Catalogue et flux
Désignations, valeurs, fournisseurs, origines. Données d’entreprise. Conservés trois ans, alignés sur le délai de reprise douanière.
Registre des décisions
Auteur, instant, motif de chaque décision de conformité. Conservé trois ans : c’est sa raison d’être.
Listes de sanctions
Données personnelles publiées par les autorités. Base légale : obligation légale. La date du dernier succès est affichée dans l’état du référentiel.
Vos droits, et comment les exercer
Accès, rectification, effacement, limitation, portabilité, opposition : écrivez à contact@firmat.eu. Réponse sous un mois, conformément à l’article 12 du RGPD.
Une réserve honnête sur l’effacement : le registre est volontairement inaltérable, et cette inaltérabilité est ce qui lui donne sa valeur probante. Une demande d’effacement portant sur une écriture de registre sera traitée par anonymisation des données personnelles, la chaîne d’empreintes restant intacte.
L’export complet est disponible à tout moment depuis le produit, sans nous le demander. C’est délibéré : une portabilité qui exige d’écrire à son fournisseur n’en est pas une.
Les sous-traitants, nommés
Un sous-traitant au sens de l’article 28 du RGPD est un tiers qui traite des données pour notre compte. En voici la liste complète, avec ce qu’il voit et où il le traite. Toute addition à cette liste vous sera notifiée avant sa mise en service, conformément à l’article 28.2.
| Sous-traitant | Rôle | Ce qu’il traite | Région |
|---|---|---|---|
| Google Cloud (Cloud Run, Cloud Storage, Secret Manager) | Hébergement du service et des sauvegardes | L’ensemble des données du locataire, chiffrées en transit | europe-west1 (Belgique) |
| Mistral AI | Modèle de langage — propositions et citations | Les désignations de produits et extraits de documents soumis à l’analyse. Firmat ne les utilise pas pour entraîner ses propres modèles. En mode Free, Mistral indique que les entrées et sorties peuvent servir à améliorer ou entraîner ses modèles ; l’offre et le réglage associés à la clé active doivent être vérifiés. | Union européenne (France) |
| Stripe | Encaissement des abonnements | Adresse de facturation et données de paiement — jamais vues par nos serveurs | Union européenne / États-Unis (clauses contractuelles types) |
| Google Workspace et Microsoft 365 | Envoi de courriers depuis VOTRE boîte, sur votre autorisation explicite | Les messages que vous faites partir vers vos fournisseurs. Le jeton d’accès est chiffré au repos (AES-256-GCM) et révocable à tout instant. | Selon votre propre contrat avec l’éditeur |
Les référentiels publics que le produit consulte — TARIC via le miroir de la douane suédoise, listes de sanctions de l’Union, de l’OFAC, de la UK Sanctions List et de l’ONU, taux de la Banque centrale européenne, Journal officiel de l’Union — ne reçoivent AUCUNE donnée de votre part : le service les télécharge, il ne leur envoie rien. Ce ne sont donc pas des sous-traitants.
Six semaines pour trancher.
Sur votre catalogue réel, pas sur une démonstration. Évaluez l’exposition CBAM et examinez les écarts douaniers sur les dates et mesures disponibles.