Politique de confidentialité

1. À qui s'applique cette politique

ConvoScore a deux types d'utilisateurs, et cette politique couvre les deux. En tant que titulaire de compte, vous nous communiquez vos propres coordonnées pour faire fonctionner votre tableau de bord, et pour ces données ConvoScore est le responsable du traitement. En tant que visiteur d'un site web ayant intégré un chatbot ConvoScore, les informations que vous partagez vont au propriétaire du site : pour ces données, le propriétaire du site est le responsable du traitement et ConvoScore agit uniquement en tant que son sous-traitant, les traitant selon ses instructions.

2. Données que nous collectons

Nous collectons les catégories de données suivantes :

• Données de compte : votre nom, un nom d'entreprise facultatif, votre adresse e-mail et soit un mot de passe haché de manière sécurisée, soit, si vous vous connectez avec Google, votre identifiant de compte Google.
• Données de site et de configuration : les sites et chatbots que vous créez, leur formulation et leurs réglages, et votre propre clé d'API Gemini si vous choisissez de la fournir (stockée chiffrée).
• Données de visiteurs et de conversations : tout ce qu'un visiteur saisit dans un chatbot, généralement son nom, son entreprise, ses coordonnées et son besoin exprimé, ainsi que la transcription complète et la priorité et les champs structurés qui en découlent.
• Données techniques : adresse IP, agent utilisateur du navigateur et horodatages dans les journaux du serveur, conservés à des fins de sécurité et de dépannage.
• Données de facturation : votre forfait, l'état de votre abonnement et les identifiants client et d'abonnement de Paddle. Les données de carte sont entièrement gérées par Paddle ; nous ne les voyons ni ne les stockons jamais.

3. Comment nous utilisons les données et bases juridiques

Nous utilisons les données de compte et de site pour fournir le tableau de bord et faire fonctionner vos chatbots (exécution de notre contrat avec vous). Nous utilisons les données de conversation des visiteurs pour générer des demandes structurées pour le propriétaire du site et pour mener la conversation elle-même, ce qui implique d'envoyer le contenu des messages à l'API Gemini de Google pour la compréhension du langage (sur instruction du propriétaire du site, en tant que son sous-traitant). Nous utilisons les données techniques pour maintenir la sécurité du Service et diagnostiquer les problèmes (notre intérêt légitime à un service sûr et fonctionnel). Nous utilisons votre e-mail pour envoyer des avis de service et de facturation (contrat) et, uniquement avec votre consentement, des nouveautés occasionnelles sur le produit. Nous ne vendons pas de données personnelles et n'utilisons pas les conversations des visiteurs pour entraîner nos propres modèles.

4. Sous-traitants et lieu de stockage de vos données

Nous faisons appel à un petit nombre de fournisseurs d'infrastructure pour faire fonctionner ConvoScore. Chacun ne traite les données que dans la mesure nécessaire pour fournir sa partie du Service.

• Neon (Neon Inc.) — la base de données PostgreSQL qui stocke toutes les données de comptes, de sites, de conversations et de contacts. Hébergée dans l'Union européenne, région eu-central-1 (Francfort, Allemagne). Fournit les sauvegardes continues utilisées pour la restauration.
• Vercel (Vercel Inc.) — hébergement de l'application, fonctions sans serveur et CDN. Exécute le code qui traite les requêtes ; le calcul s'effectue principalement aux États-Unis. Vercel ne reçoit pas de copie distincte de la base de données.
• Google (Google LLC) — l'API Gemini traite le contenu des messages de conversation pour comprendre les messages des visiteurs et extraire des champs structurés, sur l'infrastructure de Google, principalement aux États-Unis. Si un propriétaire de site fournit sa propre clé d'API Gemini, les conversations de ce site sont traitées sous cette clé et selon les conditions de Google avec ce client. Google Analytics (également Google LLC) est utilisé sur le site marketing, mais uniquement après que vous avez consenti aux cookies analytiques via la bannière de préférences de cookies.
• Envoi d'e-mails — les e-mails transactionnels (notifications de contacts, réinitialisations de mot de passe, avis de facturation et d'incident) sont envoyés via un prestataire SMTP tiers, actuellement Google (Gmail / Google Workspace), aux États-Unis.
• Paddle (Paddle.com Market Limited) — vendeur officiel des abonnements payants. Traite vos données de facturation et de paiement en tant que responsable indépendant selon sa propre politique de confidentialité ; établi au Royaume-Uni.

5. Transferts internationaux de données

Vos données stockées résident dans l'UE, mais une partie du traitement a lieu aux États-Unis (calcul Vercel, API Gemini de Google, envoi d'e-mails). Lorsque des données personnelles sont transférées hors de l'UE/EEE, du Royaume-Uni ou de la Türkiye, nous nous appuyons sur les mécanismes de transfert proposés par ces fournisseurs, principalement les clauses contractuelles types de la Commission européenne et, le cas échéant, le cadre de protection des données UE-États-Unis. Vous pouvez nous demander plus de détails sur un transfert précis.

6. Conservation des données

Nous ne conservons les données que le temps nécessaire :

• Données de compte : conservées tant que votre compte est ouvert et supprimées dans les 30 jours suivant la fermeture du compte, sauf lorsqu'une obligation légale ou fiscale nous impose de conserver un élément plus longtemps.
• Données de visiteurs et de conversations : conservées jusqu'à ce que vous les supprimiez ou fermiez le site ; vous contrôlez cela depuis votre tableau de bord. Nous n'imposons pas d'expiration de notre côté, vous devez donc supprimer les données de contacts dont vous n'avez plus besoin.
• Journaux du serveur : conservés jusqu'à 30 jours, puis supprimés ou anonymisés.
• Sauvegardes de la base de données : une fenêtre glissante de restauration à un instant précis d'au moins 7 jours ; les enregistrements supprimés sortent des sauvegardes au fur et à mesure que cette fenêtre avance.
• Registres de facturation : les registres de factures et de transactions sont conservés par nous et par Paddle aussi longtemps que la législation fiscale l'exige, généralement plusieurs années.

7. Isolation des données entre locataires

La configuration du chatbot, les conversations et les contacts de chaque site sont limités à ce site et à son propriétaire. L'accès est vérifié à chaque requête par rapport au compte connecté, et les données ne passent jamais d'un locataire à un autre.

8. Cookies et stockage local

Le tableau de bord utilise un cookie de session pour vous maintenir connecté ; il est strictement nécessaire et n'est défini qu'après votre connexion. Le widget intégrable utilise le stockage local sur l'appareil du visiteur pour reprendre une conversation en cours, et le site marketing mémorise votre choix de langue et votre préférence en matière de cookies, le tout strictement nécessaire. Avec votre consentement, donné via la bannière de préférences de cookies (que vous pouvez rouvrir à tout moment depuis le lien « Préférences de cookies » du pied de page), nous déposons également des cookies Google Analytics pour comprendre le trafic global du site marketing ; aucun cookie autre que strictement nécessaire n'est déposé avant votre consentement, que vous pouvez retirer à tout moment. Nous ne déposons aucun cookie publicitaire ni de suivi intersites.

9. Vos droits

Selon votre lieu de résidence, y compris au titre du RGPD de l'UE/du Royaume-Uni et de la loi KVKK de Türkiye, vous pouvez avoir le droit d'accéder aux données personnelles que nous détenons à votre sujet, de les rectifier, de les exporter (portabilité), de les supprimer ou d'en restreindre le traitement, et de vous opposer à un traitement fondé sur l'intérêt légitime. Pour exercer un droit sur vos propres données de compte, contactez-nous depuis l'e-mail de votre compte ; nous répondons dans les 30 jours. Si votre demande concerne un visiteur dont les données ont été collectées via votre site, nous vous assisterons en tant que sous-traitant, mais la demande doit normalement vous être adressée en tant que responsable du traitement. Vous avez également le droit d'introduire une réclamation auprès de votre autorité locale de protection des données.

10. Comment nous protégeons les données

Les mesures de sécurité comprennent :

• Les mots de passe ne sont stockés que sous forme de hachages salés, jamais en clair.
• La clé d'API Gemini de chaque site est chiffrée au repos avec AES-256-GCM et n'est jamais renvoyée en clair via le tableau de bord ni aucune API.
• Tout le trafic est servi via HTTPS/TLS.
• L'accès aux données du tableau de bord est autorisé par compte et appliqué à chaque requête.
• La base de données est hébergée dans l'UE avec un accès restreint à l'application, et les sauvegardes continues sont activées.

11. Notification des violations de données

Si nous prenons connaissance d'une violation de sécurité affectant vos données personnelles, nous enquêterons rapidement, agirons pour la contenir et vous en informerons par e-mail sans retard injustifié, et dans les 72 heures lorsque la loi l'exige, en précisant ce qui s'est passé, quelles données sont concernées et ce que nous et vous pouvons faire. Lorsque nous agissons en tant que votre sous-traitant pour les données des visiteurs, nous vous en informerons afin que vous puissiez respecter vos propres obligations de notification en tant que responsable du traitement.

12. Données des enfants

ConvoScore est un outil professionnel et n'est pas destiné aux enfants. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 16 ans. Si vous pensez qu'un enfant a fourni des données via un chatbot, contactez-nous et nous les supprimerons.

13. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Les modifications importantes seront signalées par une date de « Dernière mise à jour » actualisée sur cette page et, pour les modifications significatives, nous informerons les titulaires de compte par e-mail ou par un avis dans le tableau de bord avant leur entrée en vigueur.

14. Contact

Les questions relatives à cette Politique de confidentialité, ou l'exercice d'un droit en matière de confidentialité, peuvent être envoyées via notre page Contact ou par e-mail à l'adresse qui y figure. Si vous êtes dans l'UE/EEE ou au Royaume-Uni et souhaitez un point de contact unique pour la protection des données, utilisez la même adresse en la signalant à l'attention du contact confidentialité.