Politique de confidentialité
1. Qui est le responsable de traitement ?
La société Brain Security SAS, immatriculée au RCS de Paris sous le numéro 918 391 905, dont le siège social est situé au 229 rue Saint-Honoré, 75001 Paris, France (ci-après « Brain »), est responsable des traitements de données personnelles réalisés via le site startbrain.io.
Ce site est la vitrine des solutions de sensibilisation Brain. Les produits eux-mêmes (Cyber Cup, Brain Arcade, Super Challenge…) sont des services distincts, accessibles sur leurs propres plateformes.
Deux rôles à distinguer. Pour ce site vitrine, ainsi que pour la prospection et la relation client, Brain est responsable de traitement : c'est l'objet de la présente politique. Pour les données des utilisateurs et des participants traitées sur les plateformes produits et les bornes, Brain agit en qualité de sous-traitant de l'entreprise cliente, qui en reste responsable, dans les conditions de l'article 13 de nos Conditions Générales de Services. Ces données sont strictement cloisonnées : elles ne font l'objet d'aucune prospection et ne sont jamais rapprochées des données traitées au titre du présent site.
Pour toute question : [email protected]
2. Quelles données sont traitées ?
| Donnée | Source | Finalité |
|---|---|---|
| Email professionnel, entreprise, taille de l'entreprise, description du besoin, langue du site | Formulaire « Être recontacté » (page Prendre RDV) | Vous recontacter au sujet de votre demande |
| Email professionnel, produit concerné | Mini-formulaire « Être prévenu à l'ouverture » (cartes coming soon) | Vous prévenir de la disponibilité du produit |
| Identifiant visiteur anonyme, pages et produits consultés, provenance (site référent, campagne), type d'appareil, langue, durée de visite | Navigation sur le site, uniquement si vous avez accepté les cookies de mesure | Comprendre l'usage du site, améliorer le site, qualifier l'intérêt commercial |
| Association de votre email à votre navigation | Si vous avez envoyé un formulaire ET accepté la mesure | Suivi commercial de votre demande |
La prise de rendez-vous s'effectue sur la page de notre prestataire HubSpot, qui collecte les données que vous y saisissez selon sa propre politique.
3. Bases légales
| Traitement | Base légale |
|---|---|
| Réponse à votre demande de recontact | Mesures précontractuelles prises à votre demande |
| Alerte de disponibilité d'un produit | Consentement (vous laissez votre email à cet effet) |
| Mesure d'audience et parcours de navigation | Consentement (porte cookies, refusable sans aucune conséquence) |
| Association email ↔ navigation | Intérêt légitime (suivi des demandes commerciales B2B), sous réserve de votre consentement à la mesure |
4. Qui accède à vos données ?
Les collaborateurs habilités de Brain, et nos sous-traitants techniques :
| Sous-traitant | Service | Localisation |
|---|---|---|
| Cloudflare, Inc. | Hébergement du site (Cloudflare Pages) | UE / États-Unis* |
| Slack (Salesforce) | Notifications internes (demandes reçues, activité du site) | États-Unis* |
| Google (Sheets / Apps Script) | Journal interne d'activité du site | UE / États-Unis* |
| HubSpot Inc. | Prise de rendez-vous (sur sa propre page) | États-Unis* |
| Google LLC (Google Ads) | Mesure de conversion de nos propres campagnes publicitaires, uniquement si vous acceptez la mesure (détail : Politique de cookies) | États-Unis* |
* Transferts encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le EU-US Data Privacy Framework.
Brain ne vend pas vos données. Seule exception, et uniquement si vous acceptez la mesure : une donnée de mesure de conversion (liée au clic sur l'une de nos propres annonces Google Ads) est transmise à Google, dans le seul but de savoir si cette annonce a abouti à une prise de contact. Aucun remarketing, aucune publicité personnalisée, aucun profilage, et aucun partage à d'autres tiers à des fins publicitaires.
5. Sécurité
- Chiffrement des échanges (TLS/HTTPS)
- Validation des entrées côté serveur et protection anti-spam (honeypot)
- Accès restreint aux espaces internes (Slack, Google Drive) des seuls collaborateurs habilités
- Aucune adresse IP conservée dans nos journaux d'activité
6. Durées de conservation
| Données | Durée |
|---|---|
| Demandes de contact et alertes produit | 3 ans après le dernier échange |
| Journal d'activité du site (mesure) | 24 mois maximum |
| Choix de consentement (dans votre navigateur) | 13 mois, puis le choix est redemandé |
| Préférences locales (langue, son) | Dans votre navigateur, jusqu'à suppression par vous |
7. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition, et du droit de retirer votre consentement à tout moment (page Infos › Cookies pour la mesure d'audience).
Pour les exercer : [email protected]. Réponse sous 1 mois. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
8. Cookies et stockage local
Le détail complet est dans notre Politique de cookies. En résumé : tout repose sur le stockage local de votre navigateur, la mesure d'audience n'existe que si vous l'acceptez, et les seuls dépôts tiers sont ceux de Google Analytics, de la mesure de conversion Google Ads et du suivi HubSpot, uniquement après votre accord (détail dans la Politique de cookies).
9. Modifications
Brain peut mettre à jour cette politique ; la date en haut de page fait foi. En cas d'évolution substantielle (par exemple l'ajout d'un outil de mesure tiers), votre consentement sera de nouveau sollicité.
10. Données des participants en borne d'arcade
Les bornes Brain Arcade (abonnement annuel ou événementiel) ne demandent aucun compte ni identification : pour figurer au classement, le participant saisit un pseudonyme de son libre choix. En pratique, certains participants saisissent leurs véritables nom, prénom ou initiales ; le classement, affiché publiquement à l'écran, peut donc contenir des données personnelles.
Sur ces traitements, Brain intervient comme sous-traitant de l'entreprise cliente qui organise l'animation. Il revient à cette dernière, responsable de traitement, d'informer les participants (finalité de classement, caractère public, participation facultative, durée de conservation, exercice des droits) ; Brain lui fournit un modèle d'affiche et de mention d'information. Seuls le pseudonyme, le score et l'horodatage sont collectés, à l'exclusion de toute autre donnée.
Conservation. Les pseudonymes et classements sont supprimés ou anonymisés au plus tard 30 jours après un événement (borne événementielle), à l'issue de chaque période annuelle, ou sur demande du client à tout moment ; seules des statistiques agrégées et anonymes sont conservées au-delà. Une entrée du classement peut être retirée sous 5 jours ouvrés sur demande.
11. Contact
Brain Security SAS · 229 rue Saint-Honoré, 75001 Paris, France
Email : [email protected] · SIREN : 918 391 905
Privacy policy
1. Data controller
Brain Security SAS, registered with the Paris Trade Register under number 918 391 905, headquartered at 229 rue Saint-Honoré, 75001 Paris, France ("Brain"), is the controller for personal data processed through startbrain.io.
This site is the showcase of Brain's security awareness solutions. The products themselves (Cyber Cup, Brain Arcade, Super Challenge…) are separate services accessed on their own platforms.
Two distinct roles. For this showcase site, as well as for prospecting and client relations, Brain is the data controller: that is the subject of this policy. For the data of users and participants processed on the product platforms and arcade cabinets, Brain acts as a processor on behalf of the client company, which remains the controller, under Article 13 of our Terms of Service. This data is strictly siloed: it is never used for prospecting and never combined with the data processed for this site.
Questions: [email protected]
2. What data is processed?
| Data | Source | Purpose |
|---|---|---|
| Work email, company, company size, description of your need, site language | "Contact me" form (Book a call page) | Getting back to you about your request |
| Work email, product | "Get notified at launch" mini-form (coming soon cards) | Letting you know when the product opens |
| Anonymous visitor id, pages and products viewed, source (referrer, campaign), device type, language, visit duration | Browsing, only if you accepted measurement cookies | Understanding usage, improving the site, qualifying commercial interest |
| Linking your email to your browsing | If you submitted a form AND accepted measurement | Commercial follow-up of your request |
Meeting scheduling happens on our provider HubSpot's page, which collects the data you enter there under its own policy.
3. Legal bases
Pre-contractual measures at your request (contact form), consent (product alerts, audience measurement, both freely refusable with no consequence), and legitimate interest (B2B follow-up of your own requests, subject to your measurement consent).
4. Who can access your data?
Authorized Brain staff, and our technical processors: Cloudflare (site hosting), Slack/Salesforce (internal notifications), Google Sheets/Apps Script (internal activity log), HubSpot (meeting scheduling on its own page), Google LLC (Google Ads — conversion measurement for our own campaigns, only if you accept measurement, see the Cookie policy). Transfers outside the EU are covered by the European Commission's Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework. Brain never sells your data. The only exception, and only if you accept measurement: a conversion measurement value (tied to a click on one of our own Google Ads) is sent to Google, solely to know whether that ad led to a contact. No remarketing, no personalized advertising, no profiling, and no sharing with any other third party for advertising purposes.
5. Security
TLS/HTTPS encryption, server-side input validation, anti-spam honeypot, access to internal tools restricted to authorized staff, no IP addresses kept in our activity logs.
6. Retention
Contact requests and product alerts: 3 years after the last exchange. Site activity log: up to 24 months. Consent choice (in your browser): 13 months, then asked again. Local preferences (language, sound): in your browser until you delete them.
7. Your rights
Under GDPR you have the rights of access, rectification, erasure, restriction, portability, objection, and consent withdrawal at any time (Info › Cookies page for measurement). Exercise them at [email protected] (answer within 1 month). You may lodge a complaint with the French authority, CNIL (cnil.fr).
8. Cookies and local storage
Full details in the Cookie policy. In short: everything relies on your browser's local storage, measurement only exists if you accept it, and the only third-party deposits are Google Analytics, Google Ads conversion measurement and HubSpot tracking, set only after you accept (detailed in the Cookie policy).
9. Changes
Brain may update this policy; the date at the top prevails. For substantial changes (such as adding a third-party analytics tool), your consent will be requested again.
10. Participant data on arcade cabinets
Brain Arcade cabinets (annual or event) require no account and no identification: to appear on the leaderboard, a participant enters a nickname of their choosing. In practice some participants enter their real name or initials; the leaderboard, shown publicly on screen, may therefore contain personal data.
For this processing Brain acts as a processor on behalf of the client company running the activity. That company, as controller, is responsible for informing participants (leaderboard purpose, public nature, optional participation, retention, exercise of rights); Brain provides a poster and notice template. Only the nickname, score and timestamp are collected, nothing else.
Retention. Nicknames and leaderboards are deleted or anonymized within 30 days after an event, at the end of each annual period, or at the client's request at any time; only aggregated, anonymous statistics are kept beyond that. A leaderboard entry can be removed within 5 business days on request.
11. Contact
Brain Security SAS · 229 rue Saint-Honoré, 75001 Paris, France
Email: [email protected] · SIREN: 918 391 905