Flex MFA – Politique de confidentialité
Dernière mise à jour : 27 octobre 2026
1. Qui sommes-nous
Flex MFA est une application d’authentification multifacteur éditée par Flex S.A. (Luxembourg). Elle permet à un utilisateur de valider une connexion à un service de son entreprise (par exemple un serveur de bureau à distance) depuis son téléphone.
Contact pour toute question relative à la vie privée : tech@flag2000.com.
Flex S.A. exploite le serveur d’authentification pour le compte des entreprises clientes. Chaque entreprise cliente décide qui utilise l’application ; elle est responsable du traitement des données de ses utilisateurs, et Flex S.A. agit comme sous-traitant.
2. Ce que l’application fait et ne fait pas
- L’application ne contient aucune publicité, aucun outil d’analyse d’audience et aucun traceur.
- Elle ne vend ni ne partage vos données à des fins commerciales.
- Elle ne fonctionne qu’avec le serveur d’authentification de Flex S.A. : sans enrôlement par un code QR fourni par votre entreprise, elle ne fait rien.
3. Données traitées
| Donnée | Où | Pourquoi |
|---|---|---|
| Clé privée de l’appareil et secrets des jetons | Uniquement sur votre téléphone, dans le stockage sécurisé (trousseau iOS / Android Keystore). Elles ne quittent jamais l’appareil. | Signer les réponses de validation. |
| Clé publique, numéro de série du jeton, jeton de notification (Firebase) | Serveur d’authentification de Flex S.A. | Associer votre téléphone à votre compte et vous envoyer les demandes de validation. |
| Nom d’utilisateur, service demandé, date, résultat de la demande | Serveur d’authentification (journal d’audit) | Valider la connexion et assurer la sécurité (traçabilité). |
| Adresse IP technique de la requête | Serveur d’authentification et reverse proxy | Sécurité et dépannage. |
L’application n’accède à aucun contact, photo, localisation ni autre donnée personnelle de votre téléphone.
4. Autorisations demandées
- Notifications : afficher les demandes de connexion à valider.
- Appareil photo : scanner le code QR d’enrôlement. Aucune image n’est enregistrée ni envoyée.
- Face ID / Touch ID (facultatif) : verrouiller l’accès à l’application. La biométrie est traitée par le système et n’est jamais transmise à l’application ni à nos serveurs.
- Réseau local : joindre le serveur d’authentification lorsqu’il se trouve sur un réseau privé.
5. Services tiers
- Firebase Cloud Messaging (Google) et Apple Push Notification service acheminent les notifications. Ils traitent un identifiant technique de l’appareil (jeton de notification) et le contenu de la notification. Voir la politique de Google et la politique d’Apple.
- Aucun autre service tiers ne reçoit de données de l’application.
6. Rapports d’erreur
Si vous choisissez d’envoyer un rapport d’erreur, l’application prépare un e-mail que vous envoyez vous-même depuis votre messagerie. Rien n’est envoyé automatiquement.
7. Durée de conservation
- Les données du jeton (clé publique, jeton de notification) sont supprimées du serveur lorsque le jeton est supprimé (par l’administrateur ou à la demande de l’entreprise cliente).
- Les données de l’application sur le téléphone sont supprimées à la désinstallation ou à la suppression du jeton dans l’application.
- Les journaux d’audit sont conservés au plus 12 mois, sauf obligation légale contraire.
8. Sécurité
Les échanges avec le serveur sont chiffrés (HTTPS/TLS). Les réponses de validation sont signées avec une clé privée qui ne quitte jamais votre téléphone.
9. Vos droits
Conformément au RGPD, vous pouvez demander l’accès, la rectification ou la suppression de vos données, ou vous opposer à leur traitement. Adressez votre demande à votre entreprise ou à tech@flag2000.com. Vous pouvez aussi déposer une réclamation auprès de la Commission nationale pour la protection des données (CNPD) (Luxembourg).
10. Enfants
L’application est destinée aux salariés d’entreprises clientes et ne s’adresse pas aux enfants.
11. Modifications
Cette politique peut évoluer. La date de dernière mise à jour figure en haut de la page.
12. Licence
Flex MFA est basée sur « privacyIDEA Authenticator », logiciel libre de NetKnights GmbH publié sous licence Apache 2.0. Flex S.A. n’est pas affiliée à NetKnights GmbH.
Flex MFA – Privacy Policy
Last updated: 27 October 2026
1. Who we are
Flex MFA is a multi-factor authentication app published by Flex S.A. (Luxembourg). It lets a user approve a sign-in to a service of their employer (for example a remote desktop server) from their phone.
Privacy contact: tech@flag2000.com.
Flex S.A. runs the authentication server on behalf of its business customers. Each customer decides who uses the app and is the data controller for its users; Flex S.A. acts as processor.
2. What the app does and does not do
- The app contains no advertising, no analytics and no trackers.
- We do not sell or share your data for commercial purposes.
- The app only works with Flex S.A.’s authentication server: without a QR code enrolment provided by your employer, it does nothing.
3. Data processed
| Data | Where | Why |
|---|---|---|
| Device private key and token secrets | Only on your phone, in secure storage (iOS Keychain / Android Keystore). They never leave the device. | Sign approval responses. |
| Public key, token serial number, push notification token (Firebase) | Flex S.A. authentication server | Link your phone to your account and deliver approval requests. |
| User name, requested service, date, outcome of the request | Authentication server (audit log) | Approve the sign-in and ensure security (traceability). |
| Technical IP address of the request | Authentication server and reverse proxy | Security and troubleshooting. |
The app does not access your contacts, photos, location or any other personal data on your phone.
4. Permissions
- Notifications: show sign-in requests to approve.
- Camera: scan the enrolment QR code. No image is stored or sent.
- Face ID / Touch ID (optional): lock access to the app. Biometrics are handled by the operating system and never reach the app or our servers.
- Local network: reach the authentication server when it is on a private network.
5. Third-party services
- Firebase Cloud Messaging (Google) and the Apple Push Notification service deliver notifications. They process a technical device identifier (notification token) and the notification content. See Google’s policy and Apple’s policy.
- No other third party receives data from the app.
6. Error reports
If you choose to send an error report, the app prepares an e-mail that you send yourself from your mail client. Nothing is sent automatically.
7. Retention
- Token data (public key, notification token) is deleted from the server when the token is deleted (by the administrator, or at the customer’s request).
- App data on the phone is removed when you uninstall the app or delete the token in the app.
- Audit logs are kept for at most 12 months unless the law requires otherwise.
8. Security
Communication with the server is encrypted (HTTPS/TLS). Approval responses are signed with a private key that never leaves your phone.
9. Your rights
Under the GDPR you may request access to, correction or deletion of your data, or object to its processing. Contact your employer or tech@flag2000.com. You may also lodge a complaint with the Luxembourg Commission nationale pour la protection des données (CNPD).
10. Children
The app is intended for employees of business customers and is not directed at children.
11. Changes
This policy may change. The last-updated date is shown at the top of the page.
12. Licence
Flex MFA is based on “privacyIDEA Authenticator”, free software by NetKnights GmbH released under the Apache 2.0 licence. Flex S.A. is not affiliated with NetKnights GmbH.