Comment on collecte, utilise et protège tes données. Sans jargon, mais juridiquement complet — comme on aimerait qu'on nous l'écrive.
Le responsable du traitement au sens du RGPD est Aurélien Roche EI (Entrepreneur individuel), dont le siège est situé au 174 Rue du Temple, 75003 Paris, immatriculée sous le SIRET 908 185 564 00014.
Pour toute question relative à la protection de tes données, tu peux nous contacter à privacy@smartanalyst.io.
Quand tu connectes un outil (GA4, Meta Ads, Shopify, etc.), on récupère et stocke :
On ne récupère jamais les données personnelles de tes clients finaux (emails, adresses, numéros de carte, etc.). Uniquement des agrégats.
Si tu installes notre script sa.js sur ton propre site, on collecte par visiteur :
sessionStorage (effacé à la fermeture de l'onglet — pas un cookie)185.42.x.x) pour géolocalisation pays uniquementLes emails et numéros de téléphone trouvés dans les propriétés custom d'événements sont automatiquement supprimés côté serveur en filet de sécurité.
On ne vend jamais tes données. On ne les utilise pas pour de la publicité tierce, du profiling commercial, ou de l'entraînement de modèles d'IA tiers.
| Traitement | Base légale |
|---|---|
| Création de compte, fourniture du service | Exécution du contrat (art. 6.1.b) |
| Connexion d'un outil OAuth | Consentement explicite (art. 6.1.a) |
| Tracking SmartTag sur ton site | Intérêt légitime, sans cookie (art. 6.1.f) — voir §9 |
| Logs de sécurité, fraude | Intérêt légitime (art. 6.1.f) + obligation légale (art. 6.1.c) |
| Emails marketing produit | Consentement opt-in explicite (art. 6.1.a) |
On utilise les sous-traitants suivants, tous engagés contractuellement à respecter le RGPD :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase Inc. | Hébergement base de données et stockage | Irlande (eu-west-1) |
| Hostinger | Hébergement applicatif (API, app, site marketing) | Lituanie / France |
| Anthropic, PBC | Génération d'insights IA (Claude) | États-Unis — encadré par les Clauses Contractuelles Types de la Commission Européenne |
| Resend | Envoi d'emails transactionnels | États-Unis — CCT |
| Stripe | Paiements & abonnements | Irlande / États-Unis — CCT |
Aucune donnée n'est partagée avec des annonceurs, courtiers en données, ou plateformes publicitaires.
La majorité des données est hébergée en Europe (Supabase Irlande, Hostinger UE). Certains sous-traitants situés aux États-Unis (Anthropic, Resend, Stripe) traitent des données pour notre compte. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission Européenne le 4 juin 2021.
| Donnée | Durée |
|---|---|
| Compte utilisateur actif | Tant que le compte existe |
| Compte supprimé | Anonymisation sous 30 jours, purge complète sous 90 jours |
| Métriques agrégées des connecteurs | Durée de l'abonnement + 12 mois |
| Événements bruts du SmartTag | Plan gratuit : non stockés (temps réel seulement). Plans payants : 30 à 365 jours selon le plan |
| Logs de sécurité, factures | 5 à 10 ans (obligations comptables / fiscales) |
| Tokens OAuth révoqués | Supprimés immédiatement |
Au titre du RGPD, tu as les droits suivants :
Pour exercer ces droits, écris à privacy@smartanalyst.io. On te répond dans le mois (allongeable de 2 mois si la demande est complexe, avec notification).
Site marketing (smartanalyst.io) : aucun cookie de tracking, aucun outil d'analyse tiers. On utilise uniquement des cookies techniques de session pour le formulaire de contact.
Application (app.smartanalyst.io) : cookies de session strictement nécessaires à l'authentification (HttpOnly, Secure, SameSite=Strict). Ces cookies sont exemptés de consentement préalable conformément à la position CNIL.
Notre SmartTag (script sa.js installé chez nos clients) : aucun cookie. Les événements sont rattachés à un identifiant de session stocké en sessionStorage, qui n'est pas un cookie et qui est effacé à la fermeture de l'onglet. Conformément aux lignes directrices CNIL, ce mécanisme est exempté de consentement pour les besoins d'analyse statistique, à condition qu'il ne soit pas utilisé pour le suivi cross-site ni pour de la publicité ciblée — ce qui est notre cas.
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS 1.2+ pour tous les transferts, chiffrement au repos via Supabase Vault pour les tokens OAuth, Row-Level Security au niveau Postgres pour l'isolation entre workspaces, hashage bcrypt des mots de passe, audit logs des accès sensibles, sauvegardes journalières chiffrées.
En cas de violation de données susceptible d'engendrer un risque pour tes droits, nous notifions la CNIL dans les 72 heures et te prévenons directement si le risque est élevé, conformément aux articles 33 et 34 du RGPD.
Cette politique peut évoluer. En cas de changement substantiel, on te prévient par email au moins 30 jours avant l'entrée en vigueur. La date de dernière mise à jour est affichée en haut de cette page.
Pour toute question, exercice de droit, ou réclamation : privacy@smartanalyst.io
Tu peux aussi introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris — cnil.fr.