Version de travail : certaines informations sur l’éditeur restent à compléter et le texte doit être relu par un juriste.
Politique de confidentialité
Version du 2026-11-02
Ce document est celui de BeBrief, service édité par Hive Horizon. Si une agence vous a invité dans BeBrief, il ne remplace pas ses propres conditions ni sa politique de confidentialité : pour savoir comment elle utilise vos données, adressez-vous à elle.
BeBrief est un service édité par Hive Horizon. Il permet à des agences de création de recueillir les demandes de leurs clients, de les transformer en briefs avec l’aide d’un assistant et de suivre la production. Cette page explique quelles données personnelles nous traitons, pourquoi, et comment exercer vos droits.
Qui est responsable de vos données
Pour le contenu d’un espace de travail (clients, projets, briefs, messages, fichiers, maquettes, personnes invitées), l’agence qui utilise BeBrief est responsable du traitement. Hive Horizon agit pour son compte en tant que sous-traitant, selon l’accord de traitement des données. Si vous êtes le client d’une agence, adressez d’abord vos demandes à cette agence.
Pour les comptes des agences (inscription, connexion, facturation, sécurité du service), Hive Horizon est responsable du traitement.
Hive Horizon, qui exerce aussi une activité de studio de création, n’utilise jamais le contenu des espaces de travail ni l’identité des clients des agences pour son propre compte. Ses engagements figurent dans les conditions d’utilisation, à la section « Confidentialité et absence de conflit d’intérêts ».
Contact : [privacy@votre-domaine], Hive Horizon, 61 rue de Lyon, 75012 Paris, France.
Données traitées
- Identité et contact : nom, adresse email, rôle dans l’agence.
- Contenu des projets : textes et fichiers déposés, messages, briefs, maquettes, commentaires et validations. Ce contenu peut contenir des données personnelles si vous en y mettez.
- Données techniques : journaux de connexion et de sécurité, dont l’adresse IP, date et heure.
- Préférences : réglages de notifications et d’affichage.
Nous n’utilisons ni publicité, ni outil de mesure d’audience, ni traceur.
Finalités et bases légales
- Fournir le service (comptes, espaces de travail, briefs, notifications) : exécution du contrat.
- Analyser les demandes avec l’assistant d’IA : exécution du contrat conclu avec l’agence.
- Sécuriser le service et prévenir les abus (journaux, limitation des requêtes) : intérêt légitime.
- Conserver la preuve de l’acceptation des conditions : obligation légale et intérêt légitime.
Assistant d’intelligence artificielle
Les textes, messages, extraits de fichiers et images soumis à l’assistant sont envoyés à OpenAI ou à Anthropic (modèles Claude) pour produire le brief et les réponses. Des extraits de texte, jamais d’image, sont envoyés à TypeSafe pour des vérifications rapides : la langue d’un message, la nature d’une demande, une décision prise dans la conversation, la cohérence du brief avec les fichiers. Nous demandons à OpenAI qu’ils ne soient pas stockés au-delà de la requête ; OpenAI peut les garder jusqu’à 30 jours pour détecter les abus. Aucun de ces prestataires n’entraîne ses modèles sur les données reçues par son API.
L’assistant propose ; une personne valide. Aucune décision produisant des effets juridiques n’est prise automatiquement.
Destinataires et sous-traitants
Vos données sont accessibles aux membres de l’agence selon les droits que celle-ci leur donne, et à nos sous-traitants dans la limite de leur rôle :
| Sous-traitant | Rôle | Données | Lieu | Garanties |
|---|---|---|---|---|
| Hetzner Online GmbH | Hébergement du serveur et de la base de données | Toutes les données du service, hors fichiers | Allemagne | Hébergement dans l’Union européenne |
| [fournisseur du stockage des fichiers] | Stockage des fichiers déposés et des maquettes | Fichiers déposés, maquettes, logos | [pays du centre de données, dans l’UE] | Hébergement dans l’Union européenne |
| OpenAI, L.L.C. | Analyse des briefs et rédaction des réponses de l’assistant | Textes, messages, extraits de fichiers et images envoyés à l’assistant | États-Unis | Data Privacy Framework UE–US et clauses contractuelles types ; pas d’entraînement sur les données transmises par l’API |
| Anthropic, PBC | Analyse des briefs et réponses de l’assistant lorsqu’un modèle Claude est utilisé | Textes, messages, extraits de fichiers et images envoyés à l’assistant | États-Unis | [base du transfert vers Anthropic : DPF et/ou clauses contractuelles types] ; pas d’entraînement sur les données transmises par l’API |
| TypeSafe | Vérifications rapides : langue d’un message, nature d’une demande à l’assistant, décision prise dans la conversation, cohérence du brief avec les fichiers | Textes des messages, champs du brief, lignes de texte des fichiers ; jamais d’image | [pays d’hébergement de TypeSafe] | Clauses contractuelles types de la Commission européenne ; pas d’entraînement sur les données des clients |
| [fournisseur d’envoi d’emails] | Envoi des liens de connexion et des notifications | Adresse email, nom, titre du projet | [pays] | Contrat de sous-traitance (art. 28) |
| Stripe Payments Europe, Ltd. | Paiement et factures de l’abonnement de l’agence | Nom de l’agence, email du propriétaire, moyen de paiement (saisi chez Stripe, jamais chez nous) | Irlande (UE), avec transferts possibles aux États-Unis | Data Privacy Framework UE–US et clauses contractuelles types |
Le transfert vers OpenAI (États-Unis) est encadré par le Data Privacy Framework UE–US et par les clauses contractuelles types de la Commission européenne ; celui vers Anthropic (États-Unis) par [base du transfert vers Anthropic : DPF et/ou clauses contractuelles types] ; celui vers TypeSafe par les clauses contractuelles types.
Durées de conservation
| Donnée | Durée de conservation |
|---|---|
| Compte, briefs, messages, fichiers et maquettes | Tant que l’agence utilise le service ; supprimés à la fermeture de l’espace de travail |
| Projets mis à la corbeille | 30 jours, puis suppression définitive |
| Adresse IP dans le journal de sécurité | 6 mois |
| Journal de sécurité et d’activité | 12 mois (la preuve d’acceptation des conditions et l’historique des accès du support : durée du contrat) |
| Notifications | 90 jours après lecture, 12 mois au plus |
| Invitations et inscriptions non abouties | 30 jours après leur clôture |
| Consommation d’IA (sans contenu) | 13 mois |
| Espace de travail dont la suppression est demandée | 30 jours de délai, puis suppression définitive |
| Sauvegardes | 30 jours glissants |
Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès.
- Télécharger vos données : Compte → Télécharger mes données.
- Supprimer votre compte : Compte → Supprimer mon compte. Votre nom est retiré de ce que vous avez écrit, qui reste dans les projets de l’agence sous la mention « Former member » ou « Former client ».
- Pour le reste, écrivez à l’agence concernée ou à [privacy@votre-domaine]. Nous répondons sous un mois.
Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
Cookies
Nous déposons un seul cookie, strictement nécessaire : celui de votre session de connexion (bebrief.session_token), valable au plus quelques jours. Le navigateur garde aussi quelques préférences d’affichage (barre latérale repliée, dernier message lu). Ces éléments sont exemptés de consentement ; aucun bandeau n’est donc affiché.
Sécurité
- Isolation de chaque agence au niveau de la base de données (sécurité au niveau des lignes, imposée même au compte applicatif).
- Compte applicatif sans privilège d’administration ; il ne peut ni contourner l’isolation ni modifier le schéma.
- Chiffrement des échanges (HTTPS, HSTS) et en-têtes de sécurité stricts (CSP, protection contre l’intégration dans des cadres).
- Connexion sans mot de passe par lien à usage unique valable 30 minutes ; sessions révocables à tout moment.
- Les clés d’accès Figma sont chiffrées en AES-256-GCM.
- L’équipe de BeBrief ne voit que des métadonnées (nombre de projets, volume de stockage) ; les clients d’une agence y apparaissent seulement comme « Client », sans nom, email ni domaine. L’accès au contenu d’une agence exige une autorisation limitée dans le temps, accordée par un propriétaire de l’agence et visible dans son journal.
- Journal d’audit des connexions, des actions d’administration et des accès du support.
- Limitation du nombre de requêtes, conteneurs en lecture seule et sans privilège.
- Sauvegardes chiffrées hors du serveur, avec test de restauration.
Modifications
Nous vous informons de toute modification importante par email ou dans l’application avant son entrée en vigueur.