Politique de confidentialité (RGPD)

1. Responsable du traitement

FynixFlow (ci-après « nous »), accessible sur https://fynixflow.com.

Pour toute question ou exercice de vos droits : dpo@fynixflow.com.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

• À l'inscription : nom d'utilisateur, adresse email, mot de passe (haché bcrypt 12 rounds)
• À la connexion : adresse IP, user-agent, horodatage (table login_events, conservée 12 mois pour audit sécurité)
• Pendant l'usage : préférences UI (range %, expiration sélectionnée, etc.) stockées localement dans votre navigateur
• Pour le paiement (tier payant) : traitement délégué à Stripe (PCI-DSS Niveau 1) — nous ne stockons aucune donnée bancaire

Nous ne collectons PAS : votre localisation précise, votre carnet de contacts, votre historique web, vos communications hors plateforme.

3. Bases légales du traitement (art. 6 RGPD)

• Exécution du contrat (art. 6.1.b) — pour fournir le service auquel vous souscrivez
• Intérêt légitime (art. 6.1.f) — pour la sécurité du service (anti-abus, audit logins)
• Obligation légale (art. 6.1.c) — pour la conservation des factures (10 ans Code de commerce)
• Consentement (art. 6.1.a) — pour les cookies non strictement nécessaires (aucun à ce jour)

4. Durée de conservation

• Compte actif : tant que le compte existe
• Compte inactif : 36 mois après la dernière connexion, puis suppression automatique
• Logs d'authentification : 12 mois
• Données de facturation : 10 ans (obligation légale)
• Sauvegardes : rotation 30 jours maximum

5. Destinataires des données

Vos données ne sont accessibles qu'à :

• L'équipe technique FynixFlow (sous accord de confidentialité)
• Nos sous-traitants strictement nécessaires :
  • Hetzner Cloud GmbH (DE) — hébergement infrastructure
  • Cloudflare, Inc. (US, certifié DPF UE-US) — CDN + DNS + WAF
  • Stripe Payments Europe Ltd. (IE) — traitement paiements (uniquement abonnés payants)
  • Resend (US, DPA signé) — envoi d'emails transactionnels

Aucun transfert hors UE pour des finalités marketing. Aucune revente. Aucun courtage de données.

6. Vos droits (art. 15 à 22 RGPD)

Vous disposez à tout moment des droits suivants :

• Accès — obtenir copie de toutes vos données
• Rectification — corriger les informations inexactes
• Suppression / oubli — supprimer votre compte et vos données (délai : 30 jours)
• Portabilité — exporter vos données dans un format structuré (JSON / CSV)
• Limitation — geler le traitement en cas de contestation
• Opposition — vous opposer à un traitement basé sur l'intérêt légitime

Pour exercer un droit : dpo@fynixflow.com — réponse sous 30 jours maximum.

En cas de désaccord, vous pouvez saisir la CNIL (France) ou l'autorité de contrôle de votre pays de résidence.

7. Sécurité

• Connexion exclusivement HTTPS (TLS 1.3, HSTS)
• Mots de passe hashés bcrypt (jamais stockés en clair)
• Sessions JWT en cookie HTTP-only / SameSite=Lax / Secure
• Anti-DDoS via Cloudflare
• Sauvegardes chiffrées
• Mises à jour de sécurité automatiques sur l'OS hôte
• Notification de violation sous 72h conformément à l'art. 33 RGPD

8. Cookies

Voir notre politique cookies détaillée.

9. Modifications

Cette politique peut évoluer. La date en haut de page indique la dernière mise à jour. Toute modification substantielle sera notifiée par email aux utilisateurs concernés.