Politique de confidentialité

3. Données sensibles — Article 9 RGPD

Position définitive de Bewil : Les passations WDI (Workstyle Dynamics Inventory), PPPI (Professional Personality and Performance Inventory) et BBI (Behavioral Beliefs Inventory) sont qualifiées de données sensibles au sens de l’article 9 du RGPD, en ce qu’elles révèlent des traits de personnalité, des croyances comportementales et des styles de travail susceptibles d’influencer des décisions professionnelles. Bewil traite ces données sur la base du consentement explicite de l’Utilisateur (Art. 9.2.a).

Consentement opt-in et scopes de partage

Avant toute passation, l’Utilisateur donne un consentement libre, éclairé, spécifique et non-ambigu (opt-in). Ce consentement est dissociable par instrument (WDI, PPPI, BBI) et par scope de partage :

Scope FULL : Les résultats complets sont partagés avec les personnes désignées dans l’Organisation (manager, RH, DG selon configuration).
Scope SYNTHETIC : Seuls des résumés non-détaillés sont accessibles aux tiers. L’Utilisateur protège ainsi ses données brutes tout en participant aux analyses collectives anonymisées.

Révocation du consentement

L’Utilisateur peut révoquer son consentement à tout moment, sans justification, depuis son espace personnel. La révocation est immédiate et déclenche la suppression du scope de partage actif. Elle ne remet pas en cause la licéité des traitements antérieurs.

Interdiction d’usage discriminatoire : Bewil interdit contractuellement à toute Organisation d’utiliser les résultats psychométriques comme seule base de décisions d’embauche, de licenciement, de promotion ou de toute décision défavorable à l’Utilisateur.

Durées de conservation différenciées

WDI (Workstyle Dynamics) : 24 mois — Cycle de réévaluation annuelle
PPPI (Personality & Performance) : 24 mois — Cycle de réévaluation annuelle
BBI (Behavioral Beliefs) : 12 mois — Croyances comportementales plus volatiles
Logs de consentement : 36 mois — Preuve de consentement (Art. 5.2 RGPD accountability)

Pour plus de détails sur notre doctrine psychométrique, consulter la page Doctrine données psychométriques (/legal/doctrine-donnees).

4. Bases légales des traitements

Gestion du compte — Exécution du contrat — Art. 6.1.b
Passations WDI & PPPI — Consentement explicite — Art. 6.1.a + Art. 9.2.a
Passation BBI — Consentement explicite — Art. 6.1.a + Art. 9.2.a
Sondages Pulse — Intérêt légitime — Art. 6.1.f
Facturation — Obligation légale + contrat — Art. 6.1.b + Art. 6.1.c
Support — Intérêt légitime — Art. 6.1.f
Sécurité de la Plateforme — Intérêt légitime — Art. 6.1.f
Communication marketing — Consentement — Art. 6.1.a

5. Durées de conservation

Bewil ne conserve les données que le temps strictement nécessaire aux finalités pour lesquelles elles ont été collectées, ou pour respecter ses obligations légales. Voir le tableau des durées géré dans le dashboard Payload (section Traitements + Tableau durées).

À l’expiration de ces délais, les données sont supprimées de manière irréversible ou anonymisées de façon à ne plus permettre l’identification des personnes concernées.

6. Partage des données et sous-traitants

Bewil ne vend, ne loue et ne commercialise jamais les données personnelles de ses Utilisateurs. Les données peuvent être partagées avec les sous-traitants listés sur la page /legal/sous-traitants, strictement dans le cadre de la fourniture du Service.

Bewil peut également partager vos données avec les autorités compétentes lorsque cela est requis par la loi, ou dans le cadre de procédures judiciaires.

7. Transferts hors Union Européenne

Certains sous-traitants de Bewil sont établis aux États-Unis. Ces transferts sont encadrés par des garanties appropriées conformément au Chapitre V du RGPD.

Data Privacy Framework (DPF) EU–US : Les sous-traitants américains de Bewil (Resend, Anthropic, OpenAI, Google) sont certifiés au titre du EU–US Data Privacy Framework, mécanisme adopté par décision d’adéquation de la Commission européenne le 10 juillet 2023. Vérifier les certifications sur https://www.dataprivacyframework.gov/list.

Les données d’infrastructure (hébergement principal) restent dans l’Union Européenne chez Contabo GmbH (Allemagne). Aucune donnée brute de passation psychométrique n’est transmise aux sous-traitants américains sans anonymisation préalable.

8. Sécurité des données

Bewil met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, altération, divulgation ou destruction :

Chiffrement en transit : TLS 1.3 pour toutes les communications.
Chiffrement au repos : AES-256 pour les données stockées en base de données.
Mots de passe hachés : Bcrypt avec sel — aucun mot de passe n’est lisible, même par nos équipes.
Contrôle d’accès : Accès au système de production strictement limité, avec authentification forte (MFA).
Anonymisation Pulse : Résultats de sondages jamais affichés individuellement sous le seuil de 5 répondants.
Audit logs : Tous les accès aux données sensibles sont tracés et conservés 36 mois.

En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, Bewil s’engage à notifier la CNIL dans les 72 heures (Art. 33 RGPD) et à vous en informer sans délai injustifié si la violation est susceptible d’engendrer un risque élevé (Art. 34 RGPD).

9. Cookies et traceurs

La Plateforme utilise uniquement des cookies strictement nécessaires au fonctionnement du service. Aucun cookie de traçage publicitaire ou d’analyse tiers n’est déposé sans votre consentement.

better-auth.session_token — Session — Maintien de la session authentifiée
better-auth.csrf_token — Session — Protection contre les attaques CSRF
__theme — 1 an — Mémorisation du thème clair/sombre choisi

Pour en savoir plus sur notre utilisation des cookies : /legal/cookies

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

Accès (Art. 15) : Obtenir une copie de vos données et les informations sur leur traitement.
Rectification (Art. 16) : Faire corriger vos données inexactes ou incomplètes.
Effacement (Art. 17) : Demander la suppression de vos données lorsque la finalité est atteinte.
Opposition (Art. 21) : Vous opposer au traitement fondé sur l’intérêt légitime.
Portabilité (Art. 20) : Recevoir vos données dans un format structuré et lisible.
Limitation (Art. 18) : Geler le traitement de vos données dans certaines circonstances.

Adressez votre demande à dpo@bewil.app en précisant votre droit et votre identité. Délai de réponse garanti : 30 jours calendaires. Voir la procédure détaillée : /legal/droits

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL via https://www.cnil.fr/fr/plaintes.

11. Données des mineurs

La Plateforme Bewil est destinée à un usage professionnel et s’adresse exclusivement aux personnes majeures (18 ans et plus). Bewil ne collecte pas sciemment des données personnelles relatives à des mineurs. Si vous êtes parent ou tuteur légal d’un mineur et estimez que ce dernier nous a fourni des données personnelles, contactez-nous à dpo@bewil.app afin que nous procédions à leur suppression.

12. Modifications de la politique

Bewil se réserve le droit de mettre à jour la présente politique de confidentialité pour refléter les évolutions légales, techniques ou organisationnelles. Toute modification substantielle sera notifiée aux Utilisateurs par email et/ou via une notification dans la Plateforme, avec un préavis d’au moins 30 jours.

La version en vigueur est toujours accessible sur cette page. La date de dernière mise à jour figure en haut du document.

13. Contact — Délégué à la Protection des Données

Pour toute question relative au traitement de vos données personnelles ou à l’exercice de vos droits :

Délégué à la Protection des Données (DPO)

Jean Frantz Bruny
Email DPO : dpo@bewil.app
Email contact : contact@bewil.app
Adresse postale : Bewil SAS — 61 rue de Lyon, 75012 Paris