Politique de confidentialité

Nom : Luc Arotcarena

Statut juridique : Auto-entrepreneur

SIRET : 924 485 097 00076

Adresse : 7 rue Poyer, 92110 Clichy, France

Email : gmb@devellup.com

Téléphone : 06 69 25 89 58

DPO : Luc Arotcarena — gmb@devellup.com

3.1 Données d'identification et de contact

• Nom, adresse email, mot de passe (hashé et sécurisé)
• Connexion via Google OAuth : identifiant Google, nom, email, photo de profil
• Formulaire de contact : nom, email, sujet, message

3.2 Données d'utilisation du service

• Établissements Google Business Profile : nom, Place ID Google, adresse, URL de page d'avis
• Plaques NFC Avis Google : code de plaque, nom d'établissement, URL de redirection
• Analyses de position Google Maps : mots-clés recherchés, nom et adresse de l'établissement, coordonnées géographiques
• Historique de positions : positions moyennes sur 2 ans maximum
• Type d'abonnement : plan souscrit, date de dernière analyse

3.2 bis Connexion Facebook et Instagram (facultative)

Si vous choisissez de relier une Page Facebook ou un compte Instagram professionnel pour y publier depuis Devellup, nous conservons uniquement ce qui est nécessaire à cette publication :

• Page Facebook : identifiant de la Page, nom de la Page, jeton d'accès de la Page (chiffré), identifiant du compte Instagram qui lui est éventuellement rattaché
• Compte Instagram professionnel connecté en direct : identifiant du compte, nom d'utilisateur, jeton d'accès (chiffré) et sa date d'expiration
• Votre identifiant utilisateur Facebook ou Instagram : conservé dans le seul but de retrouver ces données le jour où vous en demandez la suppression depuis Facebook ou Instagram

Nous ne collectons ni votre profil personnel, ni votre liste d'amis ou d'abonnés, ni vos messages privés, ni les commentaires de vos publications. Cette connexion est facultative : le service fonctionne sans elle, et vous pouvez la retirer à tout moment (voir Suppression de vos données Facebook / Instagram).

3.3 Données techniques et de connexion

• Sessions : identifiant de session, adresse IP, user agent (navigateur), données de session chiffrées
• Cookies : cookies de session, cookies d'authentification, cookies Google Analytics, et, avec votre accord, cookies publicitaires Google et Meta (voir la politique de cookies)
• Logs de connexion : dates et heures de connexion/déconnexion

Quand vous nous confiez un recours, on traite les données suivantes :

• votre identité et vos coordonnées : nom, e-mail, téléphone ;
• votre entreprise : raison sociale, numéro SIREN, adresse ;
• la fiche Google concernée et vos réponses au questionnaire ;
• les pièces que vous nous transmettez et les captures prises pendant le dossier ;
• nos échanges sur le dossier, par e-mail, SMS ou WhatsApp ;
• la preuve de votre accord : version des conditions acceptée, date et heure ;
• vos données de paiement : votre carte est enregistrée et débitée par Stripe, on n'en voit jamais le numéro complet ;
• vos factures.

Ces données servent à préparer et déposer le recours auprès de Google, à vous tenir informé, à vous facturer en cas de succès et à prouver votre accord. Bases légales : l'exécution de notre contrat ; nos obligations comptables et fiscales pour les factures ; notre intérêt légitime à conserver la preuve des engagements pris.

Pour déposer le recours, vous ajoutez le compte recours@devellup.com comme gestionnaire de votre fiche. On retire cet accès à la fin du dossier.

Destinataires : Google (dépôt du recours), Stripe (enregistrement de la carte et paiement), Pennylane (facturation), Brevo (envoi des e-mails) et WhatsApp, quand on vous prévient par ce moyen. Certains de ces prestataires peuvent traiter des données hors de l'Union européenne, dans le cadre des garanties prévues par le RGPD. L'hébergement des données et l'acheminement du site par Cloudflare sont décrits en 6.1, la mesure d'audience avec votre accord (PostHog) en 6.2.

Durées de conservation :

• pièces transmises : 3 mois après la fin du dossier et le paiement ;
• preuves d'accord, captures et données du dossier : 5 ans ;
• factures : 10 ans ;
• questionnaires sans commande et commandes sans carte enregistrée : 6 mois ;
• sauvegardes : 30 jours au plus.

Vos droits sur ces données sont décrits en 8. Les conditions du recours sont dans les conditions générales du recours.

6.0 Accès par notre équipe (assistance)

Pour vous dépanner, une personne habilitée de Devellup peut ouvrir votre tableau de bord et le consulter tel que vous le voyez. Cet accès est strictement en lecture : aucune action n'est possible pendant la consultation — ni publication sur votre fiche Google, ni paiement, ni envoi de message, ni suppression. Chaque consultation est enregistrée (qui, quel compte, quand) et prend fin automatiquement au bout de 30 minutes. Base légale : notre intérêt légitime à assurer l'assistance et le bon fonctionnement du service. Vous pouvez nous demander à tout moment la liste des accès à votre compte.

6.1 Services tiers essentiels

• Hostinger (Pays-Bas/UE) : hébergement du site web et base de données PostgreSQL
• Cloudflare (USA — Clauses Contractuelles Types) : CDN, protection DDoS
• Cloudinary (USA — Clauses Contractuelles Types) : stockage et optimisation des images
• Google APIs (USA — Clauses Contractuelles Types) : authentification OAuth, récupération des données Google Business Profile
• Brevo (France/UE) : envoi des emails transactionnels, des notifications et des SMS de demande d'avis
• Resend (USA — Clauses Contractuelles Types) : acheminement des e-mails du formulaire de contact
• Stripe (Stripe Payments Europe, Irlande/UE) : traitement des paiements par abonnement (e-mail, nom, données de facturation). Les données de carte bancaire sont saisies et conservées par Stripe seul ; Devellup n'y a jamais accès.
• Meta Platforms Ireland (Irlande/UE) : uniquement si vous reliez une Page Facebook ou un compte Instagram. Nous transmettons alors à Meta le contenu que vous publiez (texte, image, lien) et le jeton d'accès que vous nous avez accordé, pour le publier sur votre Page ou votre compte. Aucune donnée de vos clients n'est transmise à Meta.

Suppression des données Facebook / Instagram. Vous pouvez retirer cette connexion à tout moment depuis Paramètres → Comptes, ou depuis Facebook et Instagram (Paramètres → Applications et sites web → Devellup → Supprimer). Dans ce dernier cas, Meta nous transmet automatiquement votre demande et les données liées à ce compte sont supprimées, avec un code de confirmation consultable sur cette page.

SMS de demande d'avis. Lorsqu'un commerçant utilisateur envoie un SMS invitant l'un de ses clients à laisser un avis, il reste seul responsable de traitement du numéro concerné : il doit l'avoir recueilli légitimement et informé la personne. Chaque message identifie l'expéditeur et comporte un moyen d'opposition (mention STOP). Un numéro qui se désinscrit n'est plus jamais recontacté.

6.2 Services d'analyse

• PostHog (Union Européenne) : mesure d'audience et analyse produit, sur le site comme dans le tableau de bord. Données hébergées dans l'UE, aucun transfert hors UE. L'identifiant utilisé est un identifiant interne de compte ; ni votre adresse e-mail ni votre nom ne lui sont transmis. Deux bases légales selon le cas : la mesure d'audience qui dépose des cookies sur votre navigateur n'a lieu qu'après votre consentement ; l'analyse de vos actions dans le tableau de bord une fois connecté, réalisée côté serveur et sans cookie, repose sur notre intérêt légitime à améliorer le service (vous pouvez vous y opposer, voir vos droits ci-dessous).
• Enregistrement de session (PostHog, Union Européenne) : pour comprendre les difficultés rencontrées à l'écran et corriger les dysfonctionnements, nous enregistrons le déroulé de votre navigation dans le tableau de bord — pages consultées, clics, défilement, erreurs techniques. Cet enregistrement n'a lieu qu'après votre consentement et s'interrompt dès que vous le retirez dans « Gérer mes cookies ». Aucune saisie n'est enregistrée : ce que vous tapez au clavier — mots de passe compris — n'est jamais capturé. Les données affichées à l'écran sont masquées avant enregistrement : coordonnées bancaires et de facturation, adresses e-mail, contacts et numéros de téléphone de vos clients apparaissent remplacés par des caractères illisibles. Nous ne conservons que la mise en page et le parcours.
• Remontée d'erreurs (PostHog, Union Européenne) : lorsqu'un dysfonctionnement technique survient dans votre navigateur, le message d'erreur et la page concernée nous sont transmis afin que nous puissions le corriger. Base légale : intérêt légitime à assurer le bon fonctionnement du service.
• Google Analytics / GTM (USA — Clauses Contractuelles Types) : analyse du trafic
• Publicité : Google Ads et Meta (Google Ireland et Meta Platforms Ireland, avec des transferts vers les États-Unis) : uniquement si vous acceptez « Publicité » dans le bandeau cookies, et jusqu'au retrait de cet accord. Pour mesurer les visites et les achats qui viennent de nos annonces, et montrer nos annonces aux personnes qu'elles peuvent intéresser, Google et Meta reçoivent des informations sur votre visite (pages vues, adresse IP, navigateur, clic sur une annonce) et, en cas d'achat, votre adresse e-mail sous forme d'empreinte : l'adresse est transformée en une suite de caractères, qu'ils rapprochent des comptes de leurs utilisateurs. Base légale : consentement.

6.3 Intelligence artificielle

Pour générer et améliorer du contenu (réponses aux avis, publications, descriptions, suggestions, assistant, transcription audio), nous transmettons à des prestataires d'IA les éléments à traiter : informations de l'établissement, avis, textes que vous saisissez. Ces éléments peuvent contenir des données personnelles (par exemple le nom de l'auteur d'un avis). Ces prestataires agissent comme sous-traitants et, selon les conditions d'utilisation de leur API, n'emploient pas ces données pour entraîner leurs modèles.

• Mistral AI (France/UE) : génération de contenu, analyse sémantique, vectorisation
• Anthropic (Claude) (USA — Clauses Contractuelles Types) : génération de réponses aux avis et de publications
• OpenAI (USA — Clauses Contractuelles Types) : génération de contenu et transcription audio
• Google (Gemini) (USA — Clauses Contractuelles Types) : génération de contenu
• Jina AI (hors UE — Clauses Contractuelles Types) : classement (reranking) des passages pertinents
• DataForSEO (hors UE — Clauses Contractuelles Types) : relevés de positionnement et données concurrentielles à partir de mots-clés et d'identifiants d'établissement

Les transferts de données hors UE sont encadrés par les Clauses Contractuelles Types de la Commission Européenne.

• Droit d'accès (Article 15) : obtenir une copie de vos données personnelles
• Droit de rectification (Article 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement (Article 17) : demander la suppression de vos données
• Droit à la limitation (Article 18) : limiter l'utilisation de vos données
• Droit à la portabilité (Article 20) : recevoir vos données dans un format structuré (JSON/CSV)
• Droit d'opposition (Article 21) : vous opposer au traitement de vos données
• Retrait du consentement : pour cookies et Google Analytics à tout moment
• Directives post-mortem : définir des directives relatives au sort de vos données après votre décès

Exercer vos droits : envoyez un email à gmb@devellup.com ou un courrier à 7 rue Poyer, 92110 Clichy, France. Nous nous engageons à répondre dans un délai maximum de 30 jours.

Droit de réclamation : vous pouvez déposer une réclamation auprès de la CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr

Email : gmb@devellup.com

Téléphone : 06 69 25 89 58

Adresse : 7 rue Poyer, 92110 Clichy, France