Politique de confidentialité

Dernière révision : 2026-10-14

1. Introduction

La présente Politique de confidentialité explique comment TO BRIEF Ι.Κ.Ε. (« TO BRIEF », « nous ») collecte, utilise et protège les données personnelles dans le cadre des sites web tobrief.gr et tobrief.eu, des applications mobiles To Brief pour iOS et Android, et des services associés (ensemble, le « Service »). TO BRIEF est le responsable du traitement des données personnelles traitées via le Service, sauf lorsqu'un autre responsable est expressément identifié ci-dessous.

Détails du responsable du traitement

• Dénomination sociale : TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Siège social : Troon 26, 118 51, Athènes, Attique, Grèce
• GEMI : 188116103000
• AFM : 803045387
• E-mail : [email protected]
• Contact pour la protection des données : [email protected]

Nous ne disposons pas actuellement de délégué à la protection des données nommé statutairement ; néanmoins, toutes les demandes relatives à la protection des données sont acheminées via le contact dédié ci-dessus et traitées selon un processus documenté qui répond aux normes attendues d'une fonction de DPO en vertu des articles 37 à 39 du RGPD, le cas échéant.

2. Quelles données nous collectons

Nous collectons uniquement les données minimales nécessaires au fonctionnement du Service et au respect de nos obligations légales.

2.1 Données de compte

Lorsque vous créez un compte, nous stockons : votre adresse e-mail, un mot de passe haché de manière sécurisée, votre nom d'affichage choisi (facultatif), la date de création du compte, l'édition via laquelle vous vous êtes inscrit (GR ou EU), et le statut de l'abonnement. Base juridique : exécution d'un contrat (Art. 6(1)(b) du RGPD).

2.2 Données d'utilisation du site web et d'analyse

Si — et seulement si — vous donnez votre consentement facultatif à la mesure via notre bannière de cookies, nous collectons des signaux d'utilisation agrégés via Google Analytics 4, des signaux d'analyse UX/session via Contentsquare/Hotjar, des signaux de conversion via le pixel X, et des signaux de conversion via le pixel Meta (Facebook/Instagram) : pages vues, classe d'appareil/navigateur, géographie approximative (pays/région à partir de l'adresse IP, jamais l'adresse IP brute), référent, durée de la session, événements d'interaction, signaux de friction de l'expérience utilisateur, inscriptions et conversions d'abonnement. Base juridique : consentement (Art. 6(1)(a) du RGPD et Art. 5(3) de la directive ePrivacy). Avec le même consentement, notre serveur informe également OpenAI lorsque vous créez un compte sur notre site ou lorsque le premier paiement de votre abonnement y est vérifié, afin que nous puissions mesurer et améliorer les publicités de To Brief dans ChatGPT. OpenAI reçoit votre adresse e-mail sous forme hachée, un identifiant client aléatoire haché, la référence du clic sur une publicité dans ChatGPT si vous êtes arrivé par une telle publicité, l'heure et, pour un abonnement, le montant et la devise. OpenAI ne dépose aucun cookie et ne charge aucun script dans votre navigateur. Base juridique : consentement (art. 6, par. 1, point a) du RGPD).

2.3 Données de paiement

Les paiements d'abonnement sont traités par Stripe Payments Europe, Limited (« Stripe »). La saisie de la carte est gérée par Stripe ; les numéros de carte et les codes CVV ne sont pas envoyés à nos serveurs d'application via notre processus de paiement. L'avis de confidentialité de Stripe est disponible sur https://stripe.com/privacy. Nous recevons les enregistrements nécessaires pour gérer les abonnements et vérifier les paiements : identifiants de client, d'abonnement, de facture et de remboursement ; montants et devises des paiements/remboursements ; dates et statut ; détails de facturation et enregistrements de factures. Nous associons ces enregistrements à votre compte To Brief. Base juridique : exécution d'un contrat et obligation légale pour la facturation et la comptabilité. L'utilisation publicitaire facultative d'un paiement vérifié suit les règles distinctes du §2.7.

2.4 Données de plaintes et de signalements

Lorsque vous utilisez /report ou envoyez une plainte par e-mail, nous stockons : votre e-mail, le texte de la plainte, les pièces jointes que vous fournissez, un hachage salé de votre adresse IP (pas l'adresse IP brute), le numéro de ticket que nous attribuons, et le résultat de l'enquête. Base juridique : intérêt légitime (exploitation d'un service d'information responsable et défense des réclamations légales) et obligation légale (Art. 20 de l'EMFA, Art. 16 du DSA).

2.5 Données d'appareil et de navigateur

Nos serveurs reçoivent des métadonnées de requête HTTP standard — user-agent, Accept-Language, référent, IP tronquée — qui sont conservées dans les journaux d'accès. Base juridique : intérêt légitime (sécurité, prévention de la fraude, diagnostics).

2.6 Catégories sensibles

Nous ne collectons pas sciemment de catégories particulières de données personnelles (Art. 9 du RGPD) telles que des données sur la santé, la religion, les opinions politiques ou l'orientation sexuelle. Veuillez ne pas soumettre de telles données via les champs de texte libre.

2.7 Mesure de l'application mobile

Nous utilisons AppsFlyer pour comprendre quelles campagnes génèrent des installations d'applications et des abonnés payants, et pour améliorer la publicité To Brief sur Meta (Facebook/Instagram), X et Reddit. Cette mesure publicitaire est facultative et basée sur le consentement. L'accès au compte, la gestion des abonnements et les enregistrements de sécurité nécessaires pour respecter vos choix restent des fonctions de service distinctes.

Uniquement les nouveaux utilisateurs dans cette version. La mesure facultative via AppsFlyer ne commence qu’après vérification d’un nouveau compte et d’une première installation effectuée après le début du déploiement, et avec votre autorisation. Les comptes existants, mises à jour, réinstallations et installations d’origine incertaine sont exclus. Nous vérifions les conditions avant de demander l’autorisation de suivi ou de charger AppsFlyer. Les choix de mesure des lecteurs existants restent inchangés.

Lorsque la mesure de l'application est activée et autorisée, AppsFlyer reçoit son identifiant d'installation, un identifiant publicitaire disponible, les lancements d'application et les informations techniques sur l'application/l'appareil utilisées pour l'attribution, l'analyse et la prévention de la fraude. Cela peut inclure les versions du système d'exploitation et de l'application, la langue, les diagnostics de lancement et les informations réseau. Ses serveurs reçoivent l'adresse IP de la connexion et peuvent en déduire une géographie approximative. Nous ne demandons pas d'accès à la localisation précise ou au GPS pour cette mesure. Notre backend conserve l'association d'installation, l'état de l'autorisation et les révisions, les informations sur l'application/la plateforme, l'heure d'installation native et une observation de campagne limitée lorsque disponible.

Après une première connexion éligible au compte, nous lions l'installation à ce compte en utilisant un identifiant client aléatoire distinct. Nous enregistrons l'inscription, une première utilisation qualifiée de l'application, l'initiation au paiement et les événements d'abonnement vérifiés. Si vous payez sur notre site web en utilisant le même compte To Brief, nous pouvons associer ce paiement à une installation d'application éligible. Les événements autorisés envoyés via AppsFlyer peuvent inclure l'inscription et les paiements d'abonnement, les renouvellements ou les remboursements, avec un identifiant d'événement, un montant, une devise et une heure. Chaque partenaire reçoit les événements configurés pour son intégration ; tous les événements ne sont pas envoyés à chaque partenaire. Avec la même autorisation dans l'application, notre serveur envoie également directement à OpenAI jusqu'à trois événements, afin que nous puissions mesurer et améliorer les publicités de To Brief dans ChatGPT : l'inscription, le premier paiement d'abonnement vérifié et une nouvelle installation de l'application. Ils ne sont envoyés que pour les nouvelles installations éligibles et uniquement pour des événements postérieurs à votre autorisation, jamais pour des installations existantes, des mises à jour de l'application ou des réinstallations. Chaque événement contient votre adresse e-mail sous forme hachée, un identifiant client aléatoire haché, la référence du clic sur une publicité dans ChatGPT si elle a été enregistrée lors de l'inscription, l'heure et, pour un abonnement, le montant et la devise. Les renouvellements et les remboursements ne sont pas envoyés à OpenAI.

Nous n'incluons pas votre e-mail, nom, numéro de téléphone, texte de commentaire, titres d'articles, sujets de lecture, requêtes de recherche, intérêts politiques, détails de carte ou documents de facture dans ces charges utiles d'événements publicitaires. Le partage avec les partenaires peut inclure de nouveaux utilisateurs éligibles provenant de sources organiques et d'autres sources de campagne, et pas seulement les utilisateurs attribués à ce partenaire. La seule exception concerne les événements destinés à OpenAI décrits au §2.2 et dans la présente section, qui contiennent votre adresse e-mail uniquement sous forme hachée, jamais en clair.

Votre choix. Sur iOS, l'invite standard App Tracking Transparency (ATT) d'Apple est la seule invite d'autorisation de suivi. Vous pouvez modifier ce choix ultérieurement dans les réglages de l'iPhone. Sur Android, utilisez le choix de mesure de l'application et son entrée dans les Paramètres. Vous pouvez utiliser l'application après avoir refusé. Un choix de cookie sur le site web ne peut pas annuler un refus de suivi de l'application. L'application revérifie le choix de la plateforme lorsqu'elle revient au premier plan ; notre serveur vérifie l'autorisation enregistrée actuelle et l'association au compte avant d'envoyer les événements en file d'attente. Le retrait arrête le SDK sur l'appareil et met à jour notre serveur ; si l'appareil est hors ligne, cette mise à jour du serveur est retentée lorsque la connectivité revient.

Le mécanisme d'attribution agrégée distinct d'Apple peut rester actif après un refus ATT. Il rapporte des valeurs de conversion limitées sans nos identifiants de compte ou AppsFlyer. Le retrait arrête la mesure publicitaire personnelle future ; il ne s'agit pas d'une suppression automatique des données déjà reçues par un fournisseur. La suppression du compte lance le processus d'effacement applicable, supprime les observations de campagne locales et rompt les liens publicitaires des enregistrements de facturation conservés. Les enregistrements détenus par les fournisseurs sont traités via le processus d'effacement plutôt que d'être supposés supprimés immédiatement. Vous pouvez également demander l'effacement via [email protected]. Les distinctions de conservation du §4 s'appliquent.

3. Pourquoi nous utilisons vos données

Finalité	Catégories de données	Base juridique
Fournir l'expérience de lecture	Compte, appareil	Contrat, intérêt légitime
Facturation, prévention de la fraude, conformité fiscale	Paiement, compte	Contrat, obligation légale
Mesurer l'engagement et améliorer le produit	Mesure	Consentement
Analyse UX via Contentsquare/Hotjar	Mesure	Consentement
Mesure de conversion via le pixel X	Mesure	Consentement
Mesure de conversion via le pixel Meta	Mesure	Consentement
Mesure des conversions des publicités OpenAI (côté serveur)	Mesure	Consentement
Mesure facultative d'acquisition d'application et d'abonnement	Installation, autorisation, événements de compte et de paiement	Consentement
Traitement des plaintes et corrections	Plaintes, compte	Intérêt légitime, obligation légale
Sécurité, détection des abus, réponse aux incidents	Appareil, compte	Intérêt légitime
Conformité aux demandes légales	Toutes catégories, selon le cas	Obligation légale

Nous n'utilisons pas de données personnelles pour une prise de décision automatisée produisant des effets juridiques ou significatifs similaires à votre égard (Art. 22 du RGPD).

4. Combien de temps nous conservons vos données

• Observations de campagne locales de l'application : expirent 89 jours après la première des deux dates suivantes : enregistrement de l'installation sur le backend ou réception de l'observation de campagne, et sont effacées plus tôt en cas de retrait ou de suppression de compte. Les rappels de campagne répétés ne prolongent pas la période.
• Liens directs événement-vers-installation : exclus des rapports de mesure après 89 jours à compter de l'événement et supprimés par un nettoyage programmé. Les anciennes réclamations de conversion par navigateur sont également supprimées après 89 jours. Les identités financières, les montants et les enregistrements d'événements minimaux nécessaires pour éviter les enregistrements de paiement/conversion en double sont distincts de ces liens publicitaires.
• Enregistrements d'autorisation et d'effacement : les enregistrements d'installation nécessaires pour appliquer les choix, empêcher la réaffectation de compte et remplir les demandes d'effacement sont conservés séparément des observations de campagne. Un identifiant de fournisseur requis pour une demande d'effacement en attente reste jusqu'à ce que la confirmation soit obtenue. Un enregistrement de suppression restreint est conservé pour empêcher que cette identité retirée ne soit réutilisée pour la publicité. Ces enregistrements ne sont pas anonymes et ne sont pas utilisés comme données d'audience de campagne. La conservation côté fournisseur et une demande d'effacement individuelle sont distinctes de notre expiration de campagne locale.
• Données de compte : aussi longtemps que le compte est actif et jusqu'à deux (2) ans après la fermeture, pour gérer les litiges et les rétrofacturations post-fermeture.
• Données d'analyse : quatorze (14) mois pour GA4 ; les cookies de mesure Contentsquare/Hotjar sont conservés selon leur finalité et généralement jusqu'à treize (13) mois pour les cookies d'analyse UX au niveau du visiteur.
• Données de paiement / facturation : sept (7) ans, pour répondre aux obligations d'archivage fiscal grec (Κ.Φ.Α.Σ. / Loi 4174/2013).
• Données de plaintes : trois (3) ans à compter de la réponse finale, aligné sur le délai de prescription de cinq ans pour les réclamations contractuelles mais réduit dans la mesure du possible.
• Journaux d'accès : quatre-vingt-dix (90) jours.
• Sauvegardes : les sauvegardes chiffrées sont supprimées dans un délai de 35 jours.

Après ces périodes, nous supprimons ou anonymisons irréversiblement les données.

5. Avec qui nous partageons les données

Nous partageons les données personnelles uniquement avec les destinataires et aux fins énumérées ici. Nous ne vendons pas de données personnelles à des tiers.

• Stripe (paiements, en tant que responsable indépendant).
• Google Ireland Limited (GA4) — uniquement si vous consentez à l'analyse.
• Contentsquare/Hotjar — uniquement si vous consentez à la mesure d'analyse UX facultative.
• X — mesure de conversion facultative sur le site web et partage d'événements d'application autorisés via AppsFlyer.
• Meta (Facebook/Instagram) — mesure de conversion facultative sur le site web et partage d'événements d'application autorisés via AppsFlyer.
• AppsFlyer — notre fournisseur de services d'attribution et de mesure mobile, incluant le lien compte-vers-abonnement autorisé et le traitement de l'effacement décrit au §2.7.
• Reddit — partage d'événements d'application autorisés via AppsFlyer pour mesurer et améliorer les campagnes To Brief.
• OpenAI (OpenAI Ireland Limited) : mesure facultative des conversions des publicités de To Brief dans ChatGPT, envoyée par notre serveur comme décrit aux §2.2 et §2.7.
• Fournisseurs d'hébergement et d'infrastructure (par exemple Vercel, AWS, Cloudflare) agissant strictement en tant que sous-traitants en vertu de contrats conformes à l'Art. 28.
• Conseillers professionnels (avocats, comptables, auditeurs) lorsque cela est légalement nécessaire et sous confidentialité.
• Autorités compétentes, lorsque nous y sommes contraints par une demande légale, spécifique et proportionnée (ordonnance judiciaire, APD, autorité fiscale).

Une liste actuelle et vérifiable des sous-traitants est maintenue en interne et peut être fournie sur demande.

6. Transferts internationaux de données

Certains de nos sous-traitants sont établis aux États-Unis ou opèrent à l'échelle mondiale. Lorsque des données personnelles sont transférées en dehors de l'EEE, nous nous appuyons sur :

• les Clauses Contractuelles Types de la Commission européenne (Décision 2021/914), ou
• une décision d'adéquation (par exemple, le Cadre de protection des données UE-États-Unis, pour Stripe, Google et d'autres importateurs certifiés), ou
• votre consentement explicite pour des transferts limités et ciblés.

Des mesures supplémentaires telles que le chiffrement en transit (TLS 1.2+), le chiffrement au repos et les contrôles d'accès sont appliqués en plus du mécanisme de transfert légal.

7. Vos droits RGPD

Vous disposez des droits suivants en vertu des articles 15 à 22 du RGPD :

• Accès — confirmation que nous traitons vos données et copie de celles-ci.
• Rectification — correction des données inexactes ou incomplètes.
• Effacement (« droit à l'oubli ») — suppression lorsque des motifs existent.
• Restriction — limitation de la manière dont nous traitons vos données en attendant vérification.
• Portabilité — copie lisible par machine des données que vous avez fournies dans le cadre d'un contrat ou d'un consentement.
• Opposition — au traitement basé sur des intérêts légitimes, y compris le profilage.
• Retrait du consentement — à tout moment, sans affecter le traitement effectué avant le retrait.
• Plainte auprès d'une autorité de contrôle — en particulier l'Autorité hellénique de protection des données (voir §12).

Pour exercer tout droit, envoyez un e-mail à [email protected] depuis l'adresse enregistrée ou fournissez un autre moyen raisonnable de vérification d'identité. Nous répondons dans un délai d'un (1) mois, prolongeable une fois de deux (2) mois supplémentaires pour les demandes complexes ; nous expliquerons toute prolongation.

8. Cookies

Nous utilisons des cookies et des technologies similaires. Les catégories, finalités et durée de chaque cookie sont décrites dans la Politique relative aux cookies. Vous pouvez configurer vos préférences et retirer votre consentement à tout moment via /cookie-preferences.

9. Enfants

Le Service n'est pas destiné aux enfants de moins de quinze (15) ans, l'âge du consentement numérique en Grèce en vertu de la loi 4624/2019 Art. 21. Nous ne collectons pas sciemment de données auprès d'enfants plus jeunes. Si vous pensez qu'un enfant s'est inscrit, veuillez contacter [email protected] et nous supprimerons le compte.

10. Sécurité

Nous appliquons des mesures techniques et organisationnelles commercialement raisonnables — incluant TLS, mots de passe hachés (famille Argon2), environnements isolés, principe du moindre privilège, journalisation, sauvegardes et procédures de réponse aux incidents — mais aucun système n'est parfaitement sécurisé. En cas de violation de données personnelles susceptible d'entraîner un risque pour vos droits, nous informerons l'APD hellénique dans les 72 heures comme requis par l'Art. 33 du RGPD et, lorsque le risque est élevé, nous vous informerons également directement.

11. Modifications de cette politique

Nous publierons une version révisée à cette URL et, pour les modifications importantes, nous donnerons un préavis d'au moins trente (30) jours via le Service ou par e-mail. La date de « Dernière révision » en haut reflète toujours la mise à jour la plus récente. Les versions historiques de ce document sont conservées dans le journal des modifications des pages légales.

12. Contact et autorité de contrôle

• Demandes relatives à la protection des données : [email protected]
• Adresse postale : Troon 26, 118 51, Athènes, Attique, Grèce

Vous avez le droit de déposer une plainte auprès de l'Autorité hellénique de protection des données (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) :

• Site web : https://www.dpa.gr
• Adresse postale : Kifissias 1-3, 115 23 Athènes, Grèce

Les résidents de l'UE en dehors de la Grèce peuvent également contacter l'autorité de contrôle de leur État membre de résidence habituelle.