Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est Cheick Mohamed TRAORE, entrepreneur individuel exerçant sous la marque Phari®, dont le siège est situé 8 rue Marcel Duchamp, 75013 Paris, France (immatriculation en cours — dossier INPI n° J00282878313).

Délégué à la protection des données : dpo@phari.fr.

2. Finalités des traitements

Les données à caractère personnel collectées via la plateforme Phari sont traitées pour les finalités suivantes :

• réalisation d'audits automatisés d'accessibilité numérique et production de rapports techniques ;
• génération, hébergement et vérification en ligne des certificats de conformité opposables (identifiants uniques et empreintes SHA-256) ;
• envoi transactionnel de certificats et de notifications par courrier électronique ;
• gestion des comptes utilisateurs (création, authentification, rattachement à une organisation) ;
• monitoring périodique de la conformité des sites audités et historisation des scans ;
• respect des obligations légales et réglementaires applicables à l'éditeur.

3. Bases juridiques

• Exécution d'un contrat (art. 6.1.b RGPD) — création de compte, réalisation des audits demandés, envoi des rapports et certificats.
• Intérêt légitime (art. 6.1.f RGPD) — sécurité de la plateforme, prévention des abus, amélioration continue du service, tenue des journaux techniques.
• Consentement (art. 6.1.a RGPD) — partage volontaire d'un certificat par email vers un tiers désigné par l'utilisateur.
• Obligation légale (art. 6.1.c RGPD) — conservation des données requises par la réglementation applicable.

4. Catégories de données collectées

• Données d'identification : adresse email, nom de l'organisation, identifiant de compte.
• Données techniques : URL des sites audités, résultats de scan, empreinte SHA-256 des certificats, identifiants d'immatriculation Phari.
• Données de connexion : adresse IP (conservée sous forme hachée HMAC-SHA256), horodatages, agent utilisateur, journaux applicatifs.
• Données de partage : adresse email du destinataire d'un certificat (conservée sous forme hachée HMAC-SHA256 pour prévenir les abus).

Aucune donnée dite « sensible » au sens de l'article 9 du RGPD n'est collectée.

5. Destinataires et sous-traitants

Les données sont traitées par l'éditeur et par les sous-traitants suivants, chacun encadré par un contrat conforme à l'article 28 du RGPD :

• Vercel Inc. — hébergement applicatif (États-Unis).
• Supabase Inc. — base de données PostgreSQL, authentification, stockage (Singapour, région UE utilisée pour le stockage).
• Resend — acheminement des emails transactionnels (région Union européenne, eu-west-1).
• Cloudflare, Inc. — réseau, protection contre les abus, acheminement email (États-Unis).

Aucune donnée n'est cédée, louée ou vendue à des tiers commerciaux.

6. Transferts hors Union européenne

Certains sous-traitants sont établis hors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914/UE) et, le cas échéant, par des mesures techniques supplémentaires (chiffrement en transit et au repos, minimisation des données).

7. Durées de conservation

• Comptes utilisateurs et organisations : pendant toute la durée de la relation contractuelle, puis 3 ans à des fins probatoires.
• Résultats de scan de test (mode démonstration) : purge automatique à 30 jours.
• Journaux d'envoi d'emails et empreintes hachées : purge automatique à 90 jours.
• Certificats et rapports rattachés à un compte : conservés tant que le compte est actif, dans la limite des obligations légales.
• Journaux applicatifs et de sécurité : 12 mois maximum.

8. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• droit d'accès à vos données ;
• droit de rectification des données inexactes ;
• droit à l'effacement, dans les limites prévues par la réglementation ;
• droit à la limitation du traitement ;
• droit d'opposition, pour motif légitime ;
• droit à la portabilité des données ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Ces droits s'exercent par courrier électronique à dpo@phari.fr. Une réponse est apportée dans un délai maximal d'un mois, susceptible d'être prolongé de deux mois en cas de demande complexe.

9. Droit de réclamation

En cas de désaccord persistant, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

10. Cookies et traceurs

Phari n'utilise que des cookies strictement nécessaires au fonctionnement du service (authentification, préférences de session). Ces cookies sont exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés. Aucun cookie publicitaire ni traceur tiers de mesure d'audience non anonyme n'est déposé.

11. Modification de la politique

La présente politique est susceptible d'évoluer pour tenir compte des évolutions réglementaires ou du service. La date de dernière mise à jour figure ci-dessous. Les utilisateurs sont informés des modifications substantielles par email ou notification au sein du service.