Politique de confidentialité

Éditeur — aucune société n'est constituée

Les mentions ci-dessous sont vides volontairement. Elles doivent être remplies avant toute mise en ligne commerciale.

Forme (personne physique immatriculée, ou société) : [À COMPLÉTER]

Nom ou dénomination : [À COMPLÉTER]

Adresse : [À COMPLÉTER]

SIREN / SIRET : [À COMPLÉTER]

Numéro de TVA intracommunautaire : [À COMPLÉTER]

RCS, ville d'immatriculation et capital (si société) : [À COMPLÉTER]

Directeur de la publication : [À COMPLÉTER]

Téléphone : [À COMPLÉTER]

Email de contact : [À COMPLÉTER]

Email des demandes relatives aux données : bonjour@prospai.fr

Hébergement de l'application : Vercel Inc., États-Unis. Adresse postale et région réelle du déploiement : [À COMPLÉTER].

Base de données : Supabase, projet de production en Suisse (région eu-central-2, Zurich), vérifié le 30 octobre 2026.

1. Deux rôles

Pour le compte de l'utilisateur (identité, facturation, réglages), l'éditeur de ProspAI est responsable de traitement. Pour les personnes prospectées par une agence cliente, l'agence est responsable de traitement et ProspAI est sous-traitant. Ce second rôle est décrit dans le modèle de DPA.

2. Données du compte

Le code enregistre notamment :

— l'adresse email et les identifiants d'authentification ;

— le profil, les lignes d'activité, les réglages, le téléphone s'il est saisi ;

— les échantillons d'écriture fournis pour caler le style ;

— l'abonnement Stripe, le solde et le journal de crédits ;

— une clé d'API d'extension, stockée sous forme d'empreinte ;

— le cas échéant, un cookie de session LinkedIn, chiffré avant stockage ;

— l'adresse email d'un membre invité dans l'espace.

3. Données des personnes prospectées

Lorsque l'utilisateur ajoute une personne, ou qu'un enrichissement en trouve une, le code peut conserver : nom, prénom, rôle, employeur, email professionnel, URL LinkedIn, instantané de profil, historique de rôle et d'employeur, contenu d'activité publique, signaux rattachés, et les messages du copilote qui citent cette personne.

L'extension lit ces éléments sur la page que l'utilisateur a ouverte. Elle ne les transmet qu'à son geste (ajout ou recherche).

4. Finalités

— tenir le compte, la session et la facturation ;

— détecter et qualifier des signaux sur les comptes surveillés ;

— rédiger des briefs et des angles ;

— enrichir des contacts à la demande ;

— envoyer à l'utilisateur les emails de service (Resend) ;

— mesurer l'usage des modèles (journal d'appels, sans revente).

Bases légales proposées, à valider par un juriste : exécution du contrat pour le compte ; intérêt légitime de l'agence pour la prospection de personnes morales, sous sa responsabilité ; obligation légale pour les pièces que Stripe conserve.

5. Sous-traitants

Aucune donnée n'est vendue. Les services suivants reçoivent des données parce que le code les appelle. Le pays indiqué est le siège public ; l'entité signataire du contrat peut différer.

Les sources publiques lues en plus (fils RSS, actualités, registres, offres d'emploi, pages d'entreprises) ne sont pas des sous-traitants. Elles reçoivent des noms d'entreprises et des adresses de sites, pas le fichier clients. Une exception : une fois par mois, et à chaque relance manuelle d'un compte, le prénom, le nom et l'entreprise de chaque contact, avec les mots-clés presse du compte, partent comme requête vers Google Actualités, pour trouver les articles qui le citent.

6. Transferts hors Union européenne

Supabase est en Suisse, pays bénéficiant d'une décision d'adéquation. Anthropic, Vercel, Resend, Stripe, People Data Labs, Inngest et Upstash sont établis aux États-Unis, comme Google, qui reçoit les requêtes Google Actualités décrites au point 5. People Data Labs est certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework), certification active vérifiée le 30 octobre 2026 sur dataprivacyframework.gov. Pour les autres, le mécanisme de transfert (clauses types, cadre de protection des données, ou autre) est [À COMPLÉTER — aucun contrat de transfert n'est versé au repo].

7. Durées

Une purge tourne le 1er de chaque mois. Chaque durée ci-dessous est un seuil : la donnée part au premier passage de la purge qui le suit, au plus un mois plus tard ; un passage en échec est repris le mois suivant. La purge efface : un prospect sans action, message, réponse ni ajout depuis 3 ans ; une donnée achetée sur une personne, 3 ans après sa collecte (un contact créé à partir d'elle suit la règle du prospect sans activité) ; une donnée d'entreprise issue d'un registre public après 5 ans ; les briefs, les messages du copilote et les analyses de site de la page publique après 12 mois. Après 12 mois, un signal reste, mais le nom des personnes connues du compte (contacts, décideurs trouvés) et toute URL de profil LinkedIn en sont retirés. La mémoire des articles déjà vus est de 180 jours après leur dernier examen. Le journal de sécurité, adresse IP comprise, est effacé après 12 mois. Les compteurs qui limitent par adresse IP l'analyse de site et l'exemple de la page publique, le formulaire d'opposition et son lien de confirmation, et la vérification publique du schéma gardent une empreinte de l'adresse, conservée 7 jours après son dernier usage. Les oppositions et le journal de crédits ne sont pas purgés. Ces durées sont provisoires, à valider par un juriste.

La suppression du compte, dans les paramètres, annule d'abord Stripe puis supprime l'utilisateur. Les données rattachées par la base partent avec lui, y compris le journal de crédits tenu dans l'application. Stripe conserve de son côté les pièces de paiement. Des traces techniques (journaux, mesures d'usage) peuvent rester sans le contenu des contacts. Il n'y a pas, dans le code, de conservation de dix ans du journal de crédits, ni d'effacement garanti à 30 jours.

8. Droits

Accès, rectification, effacement, limitation, opposition, portabilité, et directive après la mort selon le droit français. Pour le compte ProspAI, la demande s'adresse à bonjour@prospai.fr. Pour une personne prospectée, la demande s'adresse d'abord à l'agence qui l'a ajoutée ; ProspAI aide cette agence au titre du DPA.

Une personne prospectée peut aussi demander, sur la page /opposition, à ne plus être contactée par aucune agence qui utilise ProspAI.

Réclamation : CNIL, www.cnil.fr.

9. Sécurité et cookies

Accès par session, chiffrement de la liaison, politiques d'accès par utilisateur sur les tables, clé d'extension stockée par empreinte, cookie LinkedIn chiffré. Le chemin qui transmettait ce cookie à un tiers pour lire un fil est désactivé dans le code.

Cookies utilisés par l'application : session d'authentification et préférences techniques (lentille active). Aucun traceur publicitaire n'est branché dans le code de l'application.