Version du 6 novembre 2026

Politique de confidentialité

La présente politique décrit les modalités de collecte, traitement, conservation et protection des données à caractère personnel mises en œuvre par Forhia dans le cadre de sa plateforme SaaS et de ses sites publics. Elle est révisée à chaque modification matérielle.

Responsable de traitement

Le responsable de traitement est Forhia, société par actions simplifiée unipersonnelle au capital de 10 000 €, dont le siège social est situé 20 rue Pasteur, 95880 Enghien-les-Bains, immatriculée au RCS de Pontoise sous le n° 106 864 705, représentée par Saqab Hassnain Shah, Président. Joignable à dpo@forhia.fr.

Aucun délégué à la protection des données (DPO) externe n'est désigné à ce stade : le responsable assure directement les missions correspondantes. Une désignation formelle interviendra dès franchissement des seuils CNIL applicables.

Périmètre

La présente politique s'applique à l'ensemble des traitements de données mis en œuvre par Forhia dans le cadre de :

• la plateforme SaaS accessible sur les domaines opérés par Forhia (incluant forhia.fr, app.forhia.fr et sous-domaines tenants) ;
• les sites publics afférents (forhia.fr) et leurs formulaires de contact ;
• la relation contractuelle avec les Clients (entreprises et agences partenaires).

Catégories de données traitées

• Données de compte : email professionnel, nom et prénom, fonction, langue préférée, identifiant interne, date de création, rôle dans l'organisation.
• Données opérationnelles : organisations rattachées, identifiants techniques (org, tenant, scan), historique des actions déclenchées par l'utilisateur (audit log).
• Données techniques : adresse IP au moment de l'authentification, user-agent, événements d'erreur (Sentry, après scrubbing PII automatique).
• Données de prospection : informations renseignées dans les formulaires de contact du site (nom, email pro, téléphone, entreprise, secteur, message).
• Prise de rendez-vous : si vous réservez un échange depuis un bouton « Parler à un expert », les informations que vous saisissez sur la page de réservation Calendly (nom, email, et le cas échéant téléphone et message).
• Données de paiement : non stockées par Forhia. Paiement par virement bancaire après signature du devis ou validation d'un devis. Aucun prestataire de paiement en ligne intégré.
• Sorties de modèles d'IA : réponses brutes des LLM interrogés à propos de l'organisation cliente. Stockées sous forme agrégée (scores, citations). Les textes bruts sont conservés au plus 12 mois puis anonymisés.

Aucune donnée sensible au sens de l'article 9 RGPD n'est sciemment traitée. Forhia ne s'adresse pas aux mineurs et ne traite pas de données de santé, biométriques, génétiques, de vie sexuelle, d'opinions politiques, philosophiques ou religieuses.

Finalités et bases légales

Finalité	Base légale (RGPD)
Création et gestion du compte utilisateur	Exécution du contrat (art. 6.1.b)
Exécution des scans GEO et restitution des résultats	Exécution du contrat (art. 6.1.b)
Sécurité du SI, prévention de la fraude, audit log	Intérêt légitime (art. 6.1.f)
Facturation, recouvrement, comptabilité	Obligation légale (art. 6.1.c)
Amélioration produit (analytics agrégés, sans cookies tiers)	Intérêt légitime, équilibre garanti
Communication commerciale (clients existants uniquement)	Intérêt légitime, opt-out à tout moment
Réponse aux formulaires de contact	Mesure pré-contractuelle (art. 6.1.b)
Organisation d'un rendez-vous que vous demandez	Mesure pré-contractuelle (art. 6.1.b)
Statistiques de fréquentation du site, mesure anonyme de la vidéo de présentation, origine des demandes de rendez-vous et de contact	Intérêt légitime (art. 6.1.f), opposition à tout moment
Envoi des prochains numéros de l'Observatoire Forhia aux personnes qui l'ont demandé	Consentement (art. 6.1.a), retirable à tout moment
Prospection commerciale B2B auprès de professionnels non clients	Intérêt légitime (art. 6.1.f), opposition à tout moment
Prospection professionnelle sur les réseaux sociaux	Intérêt légitime (art. 6.1.f), opposition à tout moment
Retours et signalements des utilisateurs	Intérêt légitime (art. 6.1.f)

Prospection commerciale B2B

Nous adressons des messages professionnels à des personnes exerçant, au sein d'une entreprise, une fonction en lien direct avec notre activité : direction des ressources humaines, recrutement, marque employeur, communication interne. Le message porte exclusivement sur cette fonction professionnelle.

Base légale. Intérêt légitime (article 6.1.f) : faire connaître une solution d'analyse de la marque employeur aux professionnels dont c'est le métier. Aucune donnée sensible n'est traitée et aucun message n'est adressé à une adresse personnelle.

Données traitées. Nom, prénom, fonction, adresse email professionnelle, employeur, et le cas échéant l'adresse d'un profil professionnel public. Pour la prospection sur les réseaux sociaux : le message envoyé et, s'il y a lieu, votre réponse.

Origine des données. Ces coordonnées ne sont pas collectées directement auprès de vous. Elles proviennent de :

• sites partenaires sur lesquels vous avez utilisé un outil réalisé par Forhia : votre adresse email professionnelle nous est alors transmise, après que vous en avez été informé sur ce site, et vous pouvez vous y opposer dès cet instant ;
• annuaires professionnels et bases B2B accessibles publiquement ;
• sources publiques d'entreprises, notamment les répertoires de certification employeur et le registre national des entreprises ;
• sites web et pages carrière des employeurs concernés ;
• prestataires d'enrichissement de données professionnelles conformes au RGPD, dont Dropcontact (société française, hébergement en France, aucune conservation des données transmises).

Vous pouvez à tout moment nous demander la source exacte des données vous concernant.

Démonstration lors d'un événement. Si vous avez vu sur notre téléphone ce que les assistants d'IA répondent sur votre entreprise et nous avez laissé vos coordonnées, celles-ci sont recueillies directement auprès de vous : prénom, nom, adresse email professionnelle et téléphone si vous l'avez donné. L'entreprise et son secteur sont déduits de notre recherche. Ces données servent à vous envoyer le détail et à vous recontacter à ce sujet, sans aucun envoi automatique. Seul le nom de l'entreprise est transmis aux fournisseurs de ces assistants, pour produire leurs réponses ; vos coordonnées ne le sont jamais. Une opposition efface votre téléphone et arrête tout contact. Les réponses affichées sont conservées douze mois.

Durée de conservation. Trois ans à compter du dernier contact, conformément à la recommandation de la CNIL. Au-delà, les données sont supprimées.

Vos droits. Accès, rectification, effacement, limitation, portabilité et opposition. L'opposition à la prospection est immédiate et définitive : chaque message indique comment vous y opposer, par un lien de désabonnement ou, pour un message envoyé individuellement depuis notre messagerie, par une simple réponse « STOP ». Vous pouvez également écrire à l'adresse indiquée plus haut. Si vous demandez la suppression de vos données, nous ne conservons que votre adresse et les circonstances de votre opposition (origine, texte affiché, dates), strictement pour ne plus jamais vous contacter. Vous disposez du droit d'introduire une réclamation auprès de la CNIL.

Mesure d'audience des messages. Les emails envoyés par notre outil d'envoi peuvent contenir un indicateur d'ouverture et de clic ; aucune adresse IP ni aucun identifiant de navigateur n'est enregistré à cette occasion. Les messages envoyés individuellement depuis notre messagerie n'en contiennent pas.

Destinataires

Vos données sont accessibles aux personnes de Forhia strictement habilitées, à nos sous-traitants techniques détaillés ci-dessous, et aux autorités compétentes en cas de réquisition légale. Aucune donnée n'est cédée ou louée à des tiers à des fins commerciales.

Transferts hors Union européenne

Certains de nos sous-traitants techniques sont établis aux États-Unis (notamment OpenAI, Anthropic, Google, Perplexity pour les modèles d'IA, SerpApi pour l'interrogation des surfaces de recherche IA de Google, Resend pour l'email transactionnel, Upstash pour le cache, Calendly pour la prise de rendez-vous, Make pour le suivi de la prospection, Cloudflare pour l'hébergement du site et ses statistiques de fréquentation). Ces transferts sont encadrés par :

• les Clauses Contractuelles Types de la Commission européenne (décision 2021/914) ;
• ou le Data Privacy Framework (DPF) lorsque le sous-traitant y est certifié.

Les infrastructures principales (Supabase, Railway, Sentry) opèrent leurs régions européennes pour les données Forhia. La liste exhaustive des sous-traitants est tenue à jour et communiquée sur demande à dpo@forhia.fr. Les textes des clauses sont disponibles sur demande.

Durées de conservation

• Compte actif : durée de la relation contractuelle.
• Compte clôturé : 3 ans à compter du dernier accès, en mode anonymisé pour preuve du traitement de la demande Art 17 RGPD, puis purge complète.
• Réponses brutes des modèles d'IA : anonymisation après 12 mois. Les scores agrégés et métriques restent.
• Journal d'audit (audit log) : 36 mois (obligation cybersécurité et conservation des preuves).
• Données de prospection (leads) : 3 ans à compter du dernier contact, conformément à la recommandation CNIL.
• Données de facturation : 10 ans (article L123-22 du Code de commerce).

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès aux données vous concernant (art. 15) ;
• Rectification de données inexactes (art. 16) ;
• Effacement (« droit à l'oubli », art. 17) ;
• Limitation du traitement (art. 18) ;
• Portabilité de vos données dans un format structuré (art. 20) ;
• Opposition au traitement (art. 21) ;
• Définir des directives relatives au sort de vos données après votre décès (loi I&L).

Vous pouvez exercer ces droits en écrivant à dpo@forhia.fr ou directement depuis l'espace /account de la plateforme. Forhia s'engage à répondre dans un délai maximal d'un mois, extensible à deux mois en cas de demande complexe.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.

Sécurité

Forhia met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

• chiffrement TLS 1.2+ pour tout transport ;
• chiffrement au repos via les fournisseurs gérés (Supabase/Postgres, S3) ;
• contrôle d'accès basé sur les rôles (RLS Postgres) ;
• journal d'audit immuable ;
• revues de code obligatoires avant déploiement ;
• scrubbing automatique des données personnelles dans la télémétrie d'erreurs (Sentry) ;
• rate-limiting des points d'accès sensibles ;
• authentification via fournisseur OAuth/email magique.

Modèles d'intelligence artificielle

Forhia utilise des modèles d'IA générative tiers (OpenAI, Anthropic, Google, Perplexity) pour produire des résultats d'analyse (scans GEO) et des contenus assistés. Forhia interroge également les surfaces de recherche IA de Google, les AI Overviews et l'AI Mode, via le prestataire SerpApi : seules des requêtes de recherche publiques (nom d'entreprise, secteur, métier) sont transmises, à l'exclusion de toute donnée personnelle. Ces traitements relèvent du Règlement européen sur l'IA (UE 2024/1689).

Conformément à l'article 50, les contenus de GEO Content, les plans d'action rédigés par IA et les rapports exportés le signalent, et requièrent une relecture humaine avant usage. La classification AI Act et la documentation de risque associée sont disponibles sur demande à dpo@forhia.fr.

Cookies

Voir notre charte cookies. Forhia n'utilise que des cookies strictement nécessaires (authentification, préférences de tenant). Aucun cookie publicitaire ni de mesure d'audience tiers n'est déposé.

Mesure anonyme du site. Sur forhia.fr, nous comptons, sans cookie ni stockage sur votre appareil, l'ouverture de la page de la vidéo de présentation, la lecture de ce film (lancement, part regardée, fin) et les clics vers la prise de rendez-vous. Le compteur ne garde que le jour, la page, les étiquettes de campagne présentes dans l'adresse visitée (paramètres « utm ») et le site d'où vous venez, réduit à une liste de moteurs de recherche, d'assistants d'IA et de réseaux sociaux (tout autre site est noté « autre ») : ni adresse IP, ni identifiant, ni description de votre navigateur. Ces compteurs sont conservés 25 mois. Les liens de prise de rendez-vous transmettent à Calendly la page ou la campagne d'où vous venez, et le formulaire de contact nous transmet la même indication, pour que nous sachions comment vous nous avez trouvés ; elle est rattachée à votre réservation ou à votre demande. Si votre navigateur exprime un refus de suivi (Global Privacy Control ou Do Not Track), rien n'est compté et aucune de ces indications n'est transmise. Comme pour toute adresse publique de notre service, votre adresse IP sert à limiter le nombre de requêtes, pour protéger le service contre les abus : elle est gardée environ deux heures, huit jours au plus si le compteur principal est en panne, et n'est jamais rattachée à ces mesures.

Statistiques de fréquentation. Nous utilisons Cloudflare Web Analytics, l'outil de mesure de notre hébergeur, pour connaître le nombre de visites par page, les sites d'où viennent les visiteurs, leur pays et leur type d'appareil. Il ne dépose aucun cookie, n'écrit rien sur votre appareil, ne calcule pas d'empreinte et ne garde pas les paramètres des adresses visitées. Les statistiques sont agrégées et conservées six mois.

Modifications

En cas de modification matérielle de cette politique, les utilisateurs actifs seront notifiés par email au moins 30 jours avant son entrée en vigueur. La version courante est toujours accessible à cette URL.

Politique susceptible d'évoluer. Toute modification matérielle sera notifiée et la date de version mise à jour en tête de page.