Protection des données

Traduction fournie à titre indicatif ; seule la version allemande fait foi.

Version 2026-10-19

Champ d’application de la présente politique de confidentialité

La présente politique de confidentialité s’applique exclusivement au site web officiel de Customermates et au service cloud géré exploité par Benjamin Wagner, y compris lorsque ce service est fourni sous un autre domaine ou une autre marque qu’il exploite. Elle ne décrit aucun traitement effectué par un exploitant indépendant en auto-hébergement.

Un exploitant indépendant en auto-hébergement détermine ses propres finalités, son infrastructure, ses prestataires de services, ses destinataires, ses règles de conservation et ses bases juridiques, et doit fournir ses propres informations sur la protection des données. Benjamin Wagner ne reçoit pas de contenus du CRM du seul fait qu’un exploitant indépendant installe ou met à jour le logiciel. Lorsque la présente politique de confidentialité est affichée dans une version auto-hébergée (build), elle constitue uniquement une référence au fournisseur en amont et ne remplace pas l’information propre de l’exploitant.

1. Aperçu de la protection des données

Informations générales

Les informations suivantes donnent un aperçu simple de ce qu’il advient de vos données à caractère personnel lorsque vous visitez ce site web. Les données à caractère personnel sont toutes les données permettant de vous identifier personnellement. Pour des informations détaillées sur la protection des données, veuillez consulter notre politique de confidentialité figurant sous ce texte.

Collecte de données sur ce site web

Qui est responsable de la collecte des données sur ce site web ?

Le traitement des données sur ce site web est effectué par l’exploitant du site web. Vous trouverez ses coordonnées dans la section « Information sur le responsable du traitement » de la présente politique de confidentialité.

Comment collectons-nous vos données ?

D’une part, vos données sont collectées lorsque vous nous les communiquez. Il peut s’agir, par exemple, de données que vous saisissez dans un formulaire de contact. D’autres données sont collectées automatiquement ou après votre consentement par nos systèmes informatiques lors de la visite du site web. Il s’agit surtout de données techniques (par exemple le navigateur Internet, le système d’exploitation ou l’heure de la consultation de la page). Ces données sont collectées automatiquement dès que vous accédez à ce site web.

À quoi utilisons-nous vos données ?

Une partie des données est collectée afin de garantir une mise à disposition du site web sans erreur. D’autres données sont collectées sous forme agrégée afin de mesurer l’utilisation du site web. Lorsque des contrats peuvent être conclus ou préparés par l’intermédiaire du site web, les données transmises sont également traitées pour des offres contractuelles, des commandes ou d’autres demandes de prestations.

Quels droits avez-vous concernant vos données ?

Vous avez à tout moment le droit d’obtenir gratuitement des informations sur l’origine, les destinataires et la finalité de vos données à caractère personnel stockées. Vous avez également le droit d’exiger la rectification ou la suppression de ces données. Si vous avez donné votre consentement au traitement des données, vous pouvez le retirer à tout moment avec effet pour l’avenir. Vous avez en outre le droit, dans certaines circonstances, d’exiger la limitation du traitement de vos données à caractère personnel. Vous disposez par ailleurs d’un droit d’introduire une réclamation auprès de l’autorité de contrôle compétente. Pour cela, comme pour toute autre question relative à la protection des données, vous pouvez vous adresser à nous à tout moment. Outils d’analyse et de fournisseurs tiers : l’utilisation du site web public géré est mesurée sous forme agrégée. Sur les pages de contenu cloud publiques gérées, les recommandations d’affiliation sont attribuées au moyen du script standard de Lemon Squeezy. Les balises publicitaires et d’analyse de Google restent désactivées ; après un consentement, Customermates peut stocker, pour chaque plateforme publicitaire, un seul identifiant de clic pour l’attribution first-party et remonter des résultats à cette plateforme. Un tel retour contiendrait cet identifiant de clic, qui est lui-même une donnée à caractère personnel, et, au-delà, aucune donnée directement identifiante : ni nom, ni adresse e-mail, ni identifiant d’appareil. Vous trouverez les détails ci-dessous.

2. Hébergement et prestataires d’infrastructure

Nous hébergeons et exploitons notre site web et notre application auprès des fournisseurs suivants :

Vercel

Le fournisseur est Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis (ci-après « Vercel »). Lors de la visite de notre site web, Vercel traite des données de requête et de journal, y compris les adresses IP, afin d’héberger et de sécuriser le site web et l’application web. Dans le service géré, Vercel stocke en outre les fichiers que les utilisateurs téléversent dans les champs de fichiers des enregistrements, dans un stockage privé Vercel Blob, comme décrit à la section 8. Vercel Web Analytics est décrit séparément à la section 4 et, selon Vercel, n’utilise pas de cookies. Les cookies nécessaires à la connexion au compte et aux fonctions de l’application sont déposés par Customermates ; ils ne sont pas rattachés à Vercel Web Analytics. Pour plus de détails, veuillez consulter la politique de confidentialité de Vercel : https://vercel.com/legal/privacy-notice.

Pour les données à caractère personnel que Customermates traite en tant que responsable du traitement, l’hébergement par Vercel repose sur l’art. 6, par. 1, point f), du RGPD, car nous avons un intérêt légitime à une mise à disposition fiable et sécurisée de notre site web, et, dans la mesure où cela est nécessaire à l’exécution de notre prestation contractuelle, sur l’art. 6, par. 1, point b), du RGPD. Pour les contenus relevant de la responsabilité du client, le client détermine la base juridique ; Customermates traite ces données sur instruction documentée dans le cadre de l’accord de traitement des données. Le stockage d’informations sur l’équipement terminal d’un utilisateur ou l’accès à celles-ci est traité séparément ci-dessous sous « Cookies ».

Le transfert de données à caractère personnel vers les États-Unis repose sur les clauses contractuelles types de la Commission européenne de 2021 (décision d’exécution (UE) 2021/914) conformément à l’art. 46 du RGPD, qui constituent l’annexe 3 de l’addendum de traitement des données de Vercel. Cet addendum est consultable à l’adresse https://vercel.com/legal/dpa.

Sous-traitance du traitement

Nous avons conclu un contrat de sous-traitance (accord de traitement des données, DPA) pour l’utilisation du service mentionné ci-dessus, sous la forme de l’addendum de traitement des données de Vercel, qui s’applique à notre formule Pro. Il s’agit d’un contrat exigé par le droit de la protection des données, qui prévoit que Vercel traite les données à caractère personnel des visiteurs de notre site web selon nos instructions et dans le respect du RGPD. Conformément à l’article 4 de cet addendum, Vercel est, pour les données générées par le service et les données de contact, un responsable du traitement à part entière et les traite sous sa propre responsabilité conformément à sa propre politique de confidentialité.

Neon

Pour la mise à disposition et la gestion de notre base de données, nous utilisons le service PostgreSQL géré Neon, sur la base d’un contrat avec Databricks, Inc., société mère de Neon, LLC (ci-après « Neon »). Neon met à disposition la base de données PostgreSQL gérée dans laquelle sont stockées les données de notre application.

Customermates a configuré sa base de données de production principale dans la région AWS de Francfort (eu-central-1). Il s’agit d’un paramètre de produit choisi et non d’une résidence des données garantie contractuellement. Databricks, ses sociétés affiliées et les sous-traitants ultérieurs employés peuvent traiter des données depuis d’autres pays ou y accéder, selon les indications ci-dessous.

Pour les données à caractère personnel que Customermates traite en tant que responsable du traitement, le traitement par Neon repose sur l’art. 6, par. 1, point b), du RGPD, dans la mesure où il est nécessaire à l’exécution de nos prestations contractuelles, ainsi que sur l’art. 6, par. 1, point f), du RGPD en raison de notre intérêt légitime à un fonctionnement fiable et sécurisé de l’application. Pour les contenus relevant de la responsabilité du client, le client détermine la base juridique ; Customermates traite ces données sur instruction documentée. Neon traite les deux catégories pour notre compte dans le cadre d’un accord de traitement des données au sens de l’art. 28 du RGPD. Notre cocontractant est Databricks, Inc., États-Unis. Le contrat se compose du Neon Platform Services Product Specific Schedule (https://neon.com/platform-terms), qui intègre le Databricks Master Cloud Services Agreement (https://www.databricks.com/legal/mcsa) et le Databricks Data Processing Addendum (https://www.databricks.com/sites/default/files/legal/dpa-20230721.pdf), et qui est accepté par l’utilisation du service.

Databricks, Inc. et sa société affiliée Neon, LLC ont leur siège aux États-Unis ; un accès depuis les États-Unis à des fins d’administration, de maintenance et d’assistance n’est donc pas exclu. Le Neon Platform Services Product Specific Schedule, en date du 5 août 2026, mentionne Grafana Labs aux États-Unis en plus des sous-traitants ultérieurs de la liste actuelle de Databricks disponible à l’adresse https://www.databricks.com/legal/databricks-subprocessors. Cette liste recense l’infrastructure cloud, l’assistance, la communication ainsi que des sociétés affiliées techniques ou opérationnelles dans les pays qui y sont mentionnés et désigne certains fournisseurs de cloud et d’IA comme choisis par le client. Customermates utilise Neon exclusivement comme base de données PostgreSQL gérée dans la région AWS de Francfort sélectionnée et n’a sélectionné, pour ce traitement, aucun service de Databricks reposant sur l’IA. Pour les transferts restreints vers Databricks, le Databricks Data Processing Addendum intègre les clauses contractuelles types de la Commission européenne de 2021 (décision d’exécution (UE) 2021/914) conformément à l’art. 46 du RGPD.

Sous-traitance du traitement

Nous avons conclu un contrat de sous-traitance (accord de traitement des données, DPA) pour l’utilisation du service mentionné ci-dessus. Il s’agit d’un contrat exigé par le droit de la protection des données, qui garantit que Neon traite, uniquement selon nos instructions et dans le respect du RGPD, tant les données à caractère personnel dont nous sommes responsables du traitement que les contenus de comptes connectés que nous traitons, conformément à la section 6, pour le compte de nos clients et pour lesquels Neon est sous-traitant ultérieur.

Forward Email (hébergement des e-mails d’exploitation)

Pour les e-mails entrants adressés à nos propres adresses d’exploitation sous @customermates.com, nous utilisons Forward Email, LLC, 16192 Coastal Hwy, Lewes, DE 19958, États-Unis (https://forwardemail.net/en) comme boîte aux lettres d’exploitation hébergée finale. Les messages sont reçus et stockés chez Forward Email ; aucun fournisseur de boîte aux lettres en aval distinct n’est employé. Le service n’est pas employé pour connecter des boîtes aux lettres de clients, des comptes de messagerie ou des agendas et ne reçoit habituellement aucun enregistrement du CRM.

Forward Email peut traiter les adresses d’expéditeur et de destinataire, le contenu des messages, les pièces jointes, les en-têtes, les métadonnées de remise et de sécurité ainsi que les données de compte, de domaine et d’alias correspondantes. Il s’agit habituellement de correspondance d’exploitation au niveau du responsable du traitement. Lorsqu’un client intègre dans une demande de support ou de retour d’information des données à caractère personnel couvertes par notre accord de traitement des données, Forward Email traite en outre cet extrait limité en qualité de sous-traitant ultérieur. Pour la correspondance au niveau du responsable du traitement, nos bases juridiques sont l’art. 6, par. 1, point f), du RGPD (notre intérêt légitime à une infrastructure de messagerie d’exploitation sûre et fiable) ainsi que, dans la mesure où cela est nécessaire à une relation contractuelle, l’art. 6, par. 1, point b), du RGPD. Pour un extrait couvert par notre accord de traitement des données, le client détermine la base juridique ; nous le traitons selon les instructions documentées du client.

L’accord de traitement des données standard de Forward Email est accepté par voie électronique par l’intermédiaire de ses conditions d’utilisation et intègre, pour les transferts concernés, les clauses contractuelles types de l’UE. Forward Email a son siège aux États-Unis, de sorte que des données à caractère personnel peuvent être traitées dans un pays tiers. Vous trouverez de plus amples informations dans les conditions d’utilisation, dans l’accord de traitement des données et dans la politique de confidentialité de Forward Email.

Resend

Pour l’envoi d’e-mails transactionnels et de compte, nous utilisons le service Resend, proposé par Plus Five Five, Inc. (exerçant sous le nom de Resend), 2261 Market Street #5039, San Francisco, CA 94114, États-Unis (ci-après « Resend »).

Nous employons Resend exclusivement pour des e-mails de service nécessaires au fonctionnement de votre compte et à l’exécution de notre contrat avec vous. Il s’agit notamment de la confirmation de votre adresse e-mail, des e-mails de réinitialisation du mot de passe, des invitations à un compte d’entreprise, des informations sur la période d’essai et sur l’état de votre compte et de vos comptes connectés, des notifications relatives aux conditions générales, au DPA, à la politique de confidentialité ou aux sous-traitants ultérieurs mis à jour, ainsi que des notifications internes à notre intention, par exemple en cas de nouvelle inscription, de demande reçue par le formulaire de contact, de retour d’information ou de demande de support. Sont traités à cet effet l’adresse e-mail du destinataire, les données de nom et de compte contenues dans le message concerné, le contenu du message ainsi que les métadonnées techniques d’envoi et de remise.

La base juridique est l’art. 6, par. 1, point b), du RGPD, dans la mesure où l’e-mail est nécessaire à l’exécution de notre contrat avec vous ou à la mise en œuvre de mesures précontractuelles, ainsi que l’art. 6, par. 1, point f), du RGPD pour les notifications envoyées en interne à notre intention et pour notre intérêt légitime à une infrastructure de messagerie fiable et sûre. Lorsqu’un e-mail répond à une demande que vous nous avez adressée, notre intérêt légitime à traiter efficacement cette demande s’applique (art. 6, par. 1, point f), du RGPD). Ces e-mails sont des messages de service et non de la publicité. Ils ne reposent donc pas sur un consentement au sens de l’art. 6, par. 1, point a), du RGPD et ne peuvent pas faire l’objet d’un désabonnement distinct tant que votre compte existe. Nous n’utilisons pas Resend pour des envois publicitaires ou de marketing.

Resend traite les contenus et les données des destinataires des messages que nous envoyons pour notre compte et selon nos instructions, dans le cadre d’un accord de traitement des données au sens de l’art. 28 du RGPD. Pour les données de compte, de facturation et d’utilisation de notre propre compte Resend, Resend agit en tant que responsable du traitement à part entière selon ses propres conditions. Resend traitant des données sur des serveurs aux États-Unis, un transfert de données à caractère personnel vers un pays tiers a lieu. Le transfert repose sur les clauses contractuelles types de la Commission européenne au titre de l’art. 46 du RGPD, qui font partie du Data Processing Addendum de Resend, ainsi que sur la certification de Resend au titre du « EU-US Data Privacy Framework » (DPF).

Vous trouverez de plus amples informations sur la protection des données chez Resend à l’adresse : https://resend.com/legal/privacy-policy

Sous-traitance du traitement

Nous avons conclu un contrat de sous-traitance (accord de traitement des données, DPA) pour l’utilisation du service mentionné ci-dessus. Ce contrat couvre les données des destinataires, les contenus des messages et les métadonnées de remise que Resend traite pour notre compte, selon nos instructions et dans le respect du RGPD.

Sentry

Pour la supervision des erreurs et des performances dans tous les domaines de notre application (navigateur, serveur et workers d’arrière-plan), nous utilisons le service Sentry, proposé par Functional Software, Inc. (exerçant sous le nom de Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, États-Unis. Au sein de l’Union européenne, Sentry est représenté par Sentry Software Netherlands B.V., Schiphol Boulevard 359, 1118 BJ, Amsterdam Schiphol, Pays-Bas. Sentry traite pour notre compte des adresses IP, des identifiants d’utilisateur (le cas échéant), des identifiants de session, des stack traces, des breadcrumbs, des URL de requêtes ainsi que d’autres métadonnées d’évènements issues des erreurs détectées dans nos environnements d’exécution de navigateur, de serveur et de worker, aux fins de la supervision des erreurs et du diagnostic.

Nous exploitons Sentry dans la région européenne (Francfort-sur-le-Main). Les données relatives aux évènements d’erreur détectés sont stockées au sein de l’Union européenne. Les données de compte, d’authentification, d’intégration, de journal d’audit et de support sont toutefois stockées par Sentry sur une infrastructure aux États-Unis, quelle que soit la région choisie. Le traitement repose sur l’art. 6, par. 1, point f), du RGPD (intérêt légitime à un fonctionnement fiable et à la réaction aux incidents de sécurité) ainsi que, dans la mesure où cela est nécessaire à l’exécution de nos prestations contractuelles, sur l’art. 6, par. 1, point b), du RGPD. Sentry traite les données d’évènements d’erreur et autres données de service pour notre compte dans le cadre d’un contrat au sens de l’art. 28 du RGPD ; pour ses propres données de compte, de profil, d’appareil, d’utilisation et de support, Sentry agit, selon sa politique de confidentialité, en tant que responsable du traitement à part entière.

Pour le transfert de données à caractère personnel vers les États-Unis, Sentry est certifié au titre du EU-US Data Privacy Framework (DPF). Les détails et l’entrée du participant sont disponibles à l’adresse : https://www.dataprivacyframework.gov/list. À titre complémentaire, la Schedule 3 de l’accord de traitement des données de Sentry prévoit les clauses contractuelles types de l’UE au titre de l’art. 46 du RGPD comme mécanisme de repli : elles s’appliquent si le Data Privacy Framework est déclaré invalide ou n’est pas applicable au transfert. Vous trouverez de plus amples informations sur la protection des données chez Sentry à l’adresse : https://sentry.io/privacy/. La liste des sous-traitants ultérieurs employés par Sentry est disponible à l’adresse : https://sentry.io/legal/subprocessors/. L’accord de traitement des données est consultable à l’adresse : https://sentry.io/legal/dpa/.

Sous-traitance du traitement

Nous avons conclu un contrat de sous-traitance (accord de traitement des données, DPA) pour l’utilisation du service mentionné ci-dessus. Ce contrat couvre les données d’évènements d’erreur et autres données de service que Sentry traite pour notre compte, selon nos instructions et dans le respect du RGPD.

3. Informations générales et informations obligatoires

Protection des données

Les exploitants de ces pages prennent très au sérieux la protection de vos données personnelles. Nous traitons vos données à caractère personnel de manière confidentielle et conformément aux dispositions légales en matière de protection des données ainsi qu’à la présente politique de confidentialité. Lorsque vous utilisez ce site web, différentes données à caractère personnel sont collectées. Les données à caractère personnel sont des données permettant de vous identifier personnellement. La présente politique de confidentialité explique quelles données nous collectons et à quoi nous les utilisons. Elle explique également comment et à quelle fin cela se fait. Nous attirons votre attention sur le fait que la transmission de données sur Internet (par exemple lors de la communication par e-mail) peut présenter des failles de sécurité. Une protection sans faille des données contre l’accès par des tiers n’est pas possible.

Information sur le responsable du traitement

Le responsable du traitement des données sur ce site web est :

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
Allemagne
E-mail : mail@customermates.com

Le responsable du traitement est la personne physique ou morale qui, seule ou conjointement avec d’autres, décide des finalités et des moyens du traitement de données à caractère personnel (par exemple des noms ou des adresses e-mail).

Durée de conservation

Sauf indication d’une durée de conservation plus spécifique dans la présente politique de confidentialité, vos données à caractère personnel restent chez nous jusqu’à ce que la finalité du traitement des données disparaisse. Si vous faites valoir une demande de suppression légitime ou retirez un consentement au traitement des données, vos données sont supprimées, à moins que nous n’ayons d’autres motifs juridiquement admissibles de conserver vos données à caractère personnel (par exemple des durées de conservation prévues par le droit fiscal ou commercial) ; dans ce dernier cas, la suppression intervient après la disparition de ces motifs.

Remarques générales sur les bases juridiques du traitement des données sur ce site web

Si vous avez consenti au traitement des données, nous traitons vos données à caractère personnel sur la base de l’art. 6, par. 1, point a), du RGPD ou de l’art. 9, par. 2, point a), du RGPD, lorsque des catégories particulières de données au sens de l’art. 9, par. 1, du RGPD sont traitées. En cas de consentement exprès au transfert de données à caractère personnel vers des pays tiers, le traitement des données repose en outre sur l’art. 49, par. 1, point a), du RGPD. Si vous avez consenti au stockage de cookies ou à l’accès à des informations sur votre équipement terminal (par exemple au moyen d’une empreinte numérique de l’appareil, ou device fingerprinting), le traitement des données repose en outre sur le § 25 al. 1 TDDDG (loi allemande sur la protection des données et de la vie privée dans les télécommunications et les services numériques). Le consentement peut être retiré à tout moment. Si vos données sont nécessaires à l’exécution d’un contrat ou à la mise en œuvre de mesures précontractuelles, nous traitons vos données sur la base de l’art. 6, par. 1, point b), du RGPD. Par ailleurs, nous traitons vos données, lorsque cela est nécessaire au respect d’une obligation légale, sur la base de l’art. 6, par. 1, point c), du RGPD. Le traitement des données peut en outre reposer sur notre intérêt légitime au titre de l’art. 6, par. 1, point f), du RGPD. Les bases juridiques applicables dans chaque cas particulier sont indiquées dans les paragraphes suivants de la présente politique de confidentialité.

Destinataires de données à caractère personnel

Dans le cadre de notre activité, nous collaborons avec différents organismes externes. Cela rend parfois nécessaire une transmission de données à caractère personnel. Nous ne transmettons des données à caractère personnel que lorsque cela est nécessaire à l’exécution du contrat, lorsque nous y sommes légalement tenus (par exemple à l’égard des autorités fiscales), lorsque nous avons un intérêt légitime à la transmission au titre de l’art. 6, par. 1, point f), du RGPD ou lorsqu’une autre base juridique l’autorise. Lorsqu’un organisme externe agit en tant que notre sous-traitant, l’art. 28 du RGPD exige un accord de traitement des données ; le statut contractuel, y compris les lacunes non résolues, est décrit dans la section du fournisseur concerné et dans nos informations sur les sous-traitants ultérieurs. En cas de responsabilité conjointe, nous concluons un accord au titre de l’art. 26 du RGPD, dans la mesure où l’autre organisme en propose un.

Retrait de votre consentement au traitement des données

De nombreux traitements de données ne sont possibles qu’avec votre consentement exprès. Vous pouvez retirer à tout moment un consentement déjà donné. La licéité du traitement des données effectué jusqu’au retrait n’est pas affectée par le retrait.

Droit d’opposition à la collecte de données dans des cas particuliers ainsi qu’à la prospection directe (art. 21 du RGPD)

SI LE TRAITEMENT DES DONNÉES REPOSE SUR L’ART. 6, PAR. 1, POINT E) OU F), DU RGPD, VOUS AVEZ À TOUT MOMENT LE DROIT, POUR DES RAISONS TENANT À VOTRE SITUATION PARTICULIÈRE, DE VOUS OPPOSER AU TRAITEMENT DE VOS DONNÉES À CARACTÈRE PERSONNEL ; CELA S’APPLIQUE ÉGALEMENT À UN PROFILAGE FONDÉ SUR CES DISPOSITIONS. VOUS TROUVEREZ DANS LA PRÉSENTE POLITIQUE DE CONFIDENTIALITÉ LA BASE JURIDIQUE SUR LAQUELLE REPOSE UN TRAITEMENT. SI VOUS VOUS OPPOSEZ, NOUS NE TRAITERONS PLUS VOS DONNÉES À CARACTÈRE PERSONNEL CONCERNÉES, À MOINS QUE NOUS NE PUISSIONS DÉMONTRER QUE LE TRAITEMENT REPOSE SUR DES MOTIFS LÉGITIMES ET IMPÉRIEUX QUI PRÉVALENT SUR VOS INTÉRÊTS, VOS DROITS ET VOS LIBERTÉS, OU QUE LE TRAITEMENT SERT À LA CONSTATATION, À L’EXERCICE OU À LA DÉFENSE DE DROITS EN JUSTICE (OPPOSITION AU TITRE DE L’ART. 21, PAR. 1, DU RGPD). SI VOS DONNÉES À CARACTÈRE PERSONNEL SONT TRAITÉES À DES FINS DE PROSPECTION DIRECTE, VOUS AVEZ LE DROIT DE VOUS OPPOSER À TOUT MOMENT AU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL VOUS CONCERNANT À DE TELLES FINS DE PROSPECTION ; CELA S’APPLIQUE ÉGALEMENT AU PROFILAGE DANS LA MESURE OÙ IL EST LIÉ À UNE TELLE PROSPECTION DIRECTE. SI VOUS VOUS OPPOSEZ, VOS DONNÉES À CARACTÈRE PERSONNEL NE SERONT ENSUITE PLUS UTILISÉES À DES FINS DE PROSPECTION DIRECTE (OPPOSITION AU TITRE DE L’ART. 21, PAR. 2, DU RGPD).

Droit d’introduire une réclamation auprès de l’autorité de contrôle compétente

En cas de violations du RGPD, les personnes concernées disposent d’un droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de leur résidence habituelle, de leur lieu de travail ou du lieu de la violation présumée. Le droit d’introduire une réclamation existe sans préjudice de tout autre recours administratif ou juridictionnel.

Prise de décision automatisée et profilage

Nous n’employons aucune prise de décision automatisée, y compris le profilage, qui produise à votre égard des effets juridiques ou vous affecte de manière significative de façon similaire au sens de l’art. 22, par. 1 et 4, du RGPD. Les processus automatisés qui se bornent à mettre en œuvre les conditions contractuelles convenues, par exemple l’expiration d’une période d’essai ou la désactivation automatique de comptes connectés après une longue inactivité, ne constituent pas une telle décision.

Droit à la portabilité des données

Vous avez le droit de faire remettre, à vous-même ou à un tiers, dans un format couramment utilisé et lisible par machine, les données que nous traitons de manière automatisée sur la base de votre consentement ou en exécution d’un contrat. Si vous demandez le transfert direct des données à un autre responsable du traitement, il n’est effectué que dans la mesure où cela est techniquement réalisable.

Accès, rectification et suppression

Dans le cadre des dispositions légales applicables, vous avez à tout moment le droit d’obtenir gratuitement des informations sur vos données à caractère personnel stockées, leur origine et leurs destinataires ainsi que la finalité du traitement des données et, le cas échéant, un droit de rectification ou de suppression de ces données. Pour cela, comme pour toute autre question relative aux données à caractère personnel, vous pouvez vous adresser à nous à tout moment.

Droit à la limitation du traitement

Vous avez le droit d’exiger la limitation du traitement de vos données à caractère personnel. Pour cela, vous pouvez vous adresser à nous à tout moment.

Le droit à la limitation du traitement existe dans les cas suivants

Si vous contestez l’exactitude de vos données à caractère personnel stockées chez nous, nous avons en règle générale besoin de temps pour le vérifier. Pendant la durée de cette vérification, vous avez le droit d’exiger la limitation du traitement de vos données à caractère personnel. Si le traitement de vos données à caractère personnel est illicite, vous pouvez exiger la limitation du traitement des données au lieu de leur suppression. Si nous n’avons plus besoin de vos données à caractère personnel, mais que vous en avez besoin pour la constatation, l’exercice ou la défense de droits en justice, vous avez le droit d’exiger la limitation du traitement de vos données à caractère personnel au lieu de leur suppression.

Si vous vous êtes opposé au traitement au titre de l’art. 21, par. 1, du RGPD, une mise en balance de vos intérêts et des nôtres doit être effectuée. Tant qu’il n’est pas établi quels intérêts prévalent, vous avez le droit d’exiger la limitation du traitement de vos données à caractère personnel. Si vous avez limité le traitement de vos données à caractère personnel, ces données ne peuvent, hormis leur stockage, être traitées qu’avec votre consentement, ou pour la constatation, l’exercice ou la défense de droits en justice, ou pour la protection des droits d’une autre personne physique ou morale, ou pour des motifs d’intérêt public important de l’Union européenne ou d’un État membre.

Chiffrement SSL ou TLS

Pour des raisons de sécurité et pour protéger la transmission de contenus confidentiels, par exemple des commandes ou des demandes que vous nous adressez en tant qu’exploitant du site, cette page utilise un chiffrement SSL ou TLS. Vous reconnaissez une connexion chiffrée au fait que la barre d’adresse du navigateur passe de « http:// » à « https:// » et affiche un symbole de cadenas. Lorsque le chiffrement SSL ou TLS est activé, les données que vous nous transmettez ne peuvent pas être lues par des tiers.

Traitement des paiements et transmission chiffrée

Les paiements pour les abonnements en libre-service sont traités par Sold through Link, LLC (anciennement Lemon Squeezy LLC) ; voir la section 5. Les abonnements Enterprise et les clients mis en relation par un partenaire de distribution sont facturés par facture de Customermates ou du partenaire concerné. Lors d’un achat en libre-service, vous saisissez les données de carte ou de compte sur les propres pages du prestataire de paiement ; nous ne collectons pas ces données sur ce site web et n’avons pas accès aux données de paiement complètes. La transmission est chiffrée au moyen de SSL ou TLS.

Opposition aux e-mails publicitaires

Il est fait opposition à l’utilisation des coordonnées publiées dans le cadre de l’obligation de mentions légales (Impressumspflicht) pour l’envoi de publicité et de documents d’information non expressément demandés. Les exploitants des pages se réservent expressément la possibilité d’entreprendre des démarches juridiques en cas d’envoi non sollicité d’informations publicitaires, par exemple par des e-mails de spam.

4. Collecte de données sur ce site web

Cookies

Nos pages Internet utilisent des « cookies ». Les cookies sont de petits paquets de données et ne causent aucun dommage à votre équipement terminal. Ils sont stockés sur votre équipement terminal soit temporairement pour la durée d’une session (cookies de session), soit durablement (cookies permanents). Les cookies de session sont automatiquement supprimés à la fin de votre visite. Les cookies permanents restent stockés sur votre équipement terminal jusqu’à ce que vous les supprimiez vous-même ou qu’une suppression automatique soit effectuée par votre navigateur web. Les cookies peuvent provenir de nous (cookies first-party) ou d’entreprises tierces (cookies dits third-party). Les cookies third-party permettent l’intégration de certains services d’entreprises tierces dans des pages web (par exemple des cookies pour le traitement de services de paiement). Les cookies ont différentes fonctions. De nombreux cookies sont techniquement nécessaires, car certaines fonctions des pages web ne fonctionneraient pas sans eux (par exemple la fonction de panier ou l’affichage de vidéos). D’autres cookies peuvent être utilisés pour analyser le comportement des utilisateurs ou à des fins publicitaires.

Les cookies ou technologies comparables qui sont strictement nécessaires pour transmettre un message ou fournir un service numérique que vous avez expressément demandé sont stockés ou lus en application du § 25 al. 2 TDDDG. Un traitement ultérieur de données à caractère personnel repose sur l’art. 6, par. 1, point b), du RGPD, dans la mesure où il est nécessaire à la fonction contractuelle demandée, et pour le surplus sur l’art. 6, par. 1, point f), du RGPD, pour autant que les intérêts ou les libertés et droits fondamentaux des personnes concernées ne prévalent pas sur notre intérêt légitime à un fonctionnement sûr. Un stockage ou une lecture non nécessaire requiert un consentement au titre du § 25 al. 1 TDDDG ; le traitement de données à caractère personnel qui y est lié repose sur l’art. 6, par. 1, point a), du RGPD. Le consentement peut être retiré à tout moment. Vercel Web Analytics est décrit ci-dessous et, selon Vercel, n’utilise pas de cookies ; les données d’analyse stockées sont anonymisées. Le cookie first-party de mesure de l’efficacité publicitaire reste désactivé tant qu’un consentement n’a pas été donné ; le choix peut être modifié via « Choix de confidentialité » dans le pied de page. Le script d’affiliation standard de Lemon Squeezy décrit ci-dessous utilise, pour les visiteurs qui arrivent par un lien d’affiliation ou reviennent avec un cookie de parrainage existant, le cookie de parrainage ls_aff_ref. Le choix Customermates n’active ni ne désactive Vercel Web Analytics ni ce script Lemon Squeezy non modifié. Les balises publicitaires et d’analyse de Google sont désactivées.

Vous pouvez configurer votre navigateur de manière à être informé du dépôt de cookies et à n’autoriser les cookies qu’au cas par cas, à exclure l’acceptation des cookies pour certains cas ou de manière générale, ainsi qu’à activer la suppression automatique des cookies à la fermeture du navigateur. Si les cookies sont désactivés, la fonctionnalité de ce site web peut être limitée. Vous trouverez dans la présente politique de confidentialité les cookies et services utilisés sur ce site web.

Fichiers journaux du serveur

Le fournisseur des pages collecte et stocke automatiquement des informations dans des fichiers journaux du serveur (server log files) que votre navigateur nous transmet automatiquement. Il s’agit de :

• type et version du navigateur
• système d’exploitation utilisé
• URL de provenance (referrer)
• URL consultée, y compris d’éventuels paramètres de requête
• nom d’hôte de l’ordinateur accédant
• heure de la requête au serveur
• adresse IP

Ces données ne sont pas fusionnées avec d’autres sources de données. La collecte de ces données repose sur l’art. 6, par. 1, point f), du RGPD. L’exploitant du site web a un intérêt légitime à la présentation techniquement sans erreur et à l’optimisation de son site web ; à cette fin, les fichiers journaux du serveur doivent être collectés.

Drapeaux et badges d’annuaires hébergés en externe

Le sélecteur de langue et les champs de pays peuvent charger des images de drapeaux directement depuis flagcdn.com. Le pied de page peut charger des badges d’annuaires directement depuis uneed.best, b.sf-syn.com (SourceForge), twelve.tools, wired.business, startupfa.me et open-launch.com. Lorsqu’une telle image est affichée, votre navigateur établit une connexion directe avec le domaine concerné. Son exploitant peut recevoir l’adresse IP, l’URL de l’image consultée, l’heure de la consultation, des en-têtes de navigateur et d’appareil ainsi que, selon la politique de référent (referrer) du navigateur, la page de provenance. Nous ne transmettons pas sciemment, avec ces consultations d’images, de contenus du CRM ni d’identifiants de compte, et nous ne recevons des hébergeurs d’images aucune donnée de réponse relative aux visiteurs.

Nous initions ces consultations sur la base de l’art. 6, par. 1, point f), du RGPD, en raison de notre intérêt légitime à rendre reconnaissables les sélections de langue et de pays et à afficher des renvois factuels vers des annuaires dans lesquels Customermates est référencé. Les hébergeurs d’images traitent les données de requête selon leurs propres conditions ; ils sont mentionnés comme autres destinataires et non comme sous-traitants ultérieurs pour des contenus du CRM relevant de la responsabilité des clients. Leur infrastructure peut impliquer un traitement en dehors de l’EEE ; la localisation et les garanties de transfert dépendent de l’exploitant concerné. Les domaines actuels et leurs rôles sont en outre indiqués sous sous-traitants ultérieurs et autres destinataires.

Vercel Web Analytics

Nous utilisons Vercel Web Analytics, un service de mesure de l’utilisation de Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis (ci-après « Vercel »). Le composant d’analyse ne fonctionne que sur les pages de contenu publiques du service cloud géré. Il ne fonctionne pas dans l’application avec session ouverte, sur les routes de connexion ou d’invitation, ni dans l’application auto-hébergée en amont.

Vercel Web Analytics collecte les pages vues et les données de mesure d’utilisation correspondantes, en particulier la page consultée, le référent ainsi que des informations techniques déduites de la requête, telles que le type de navigateur et d’appareil et une origine géographique approximative, et nous les met à disposition sous forme agrégée. Nous utilisons ces données pour comprendre l’utilisation de notre offre et l’améliorer.

Le recours à Vercel Web Analytics repose sur notre intérêt légitime à comprendre et à améliorer notre offre publique (art. 6, par. 1, point f), du RGPD). Selon Vercel, ce service d’analyse n’utilise pas de cookies ; les données d’analyse stockées sont anonymisées.

Le transfert de données à caractère personnel vers les États-Unis repose sur les clauses contractuelles types de la Commission européenne de 2021 au titre de l’art. 46 du RGPD, telles qu’elles sont fixées dans l’addendum de traitement des données de Vercel. Pour plus de détails, veuillez consulter la politique de confidentialité de Vercel : https://vercel.com/legal/privacy-notice.

Mesure de l’efficacité publicitaire (mesure des conversions first-party)

En bref. Si vous arrivez sur notre site web via une annonce de Customermates, vous pouvez décider si vous souhaitez nous aider à déterminer ce qui fonctionne. Avec « Autoriser », nous conservons l’identifiant de clic de la plateforme publicitaire pendant 90 jours au maximum et l’attribuons à un espace de travail cloud géré que vous venez de créer. Nous pouvons ainsi signaler une inscription ou un abonnement payant chez Customermates à la plateforme qui a émis l’identifiant. Au-delà de cet identifiant, nous ne transmettons ni votre nom, ni votre adresse e-mail, ni votre numéro de téléphone, ni votre adresse IP, ni l’indication de l’agent utilisateur (user agent), ni le montant de l’achat ; nous n’utilisons pas non plus ces données pour établir des profils ou pour de la publicité personnalisée. Vous pouvez refuser ou retirer votre consentement à tout moment.

Customermates peut faire de la publicité via Google Ads, ChatGPT Ads, Reddit Ads et LinkedIn Ads. Chacune de ces plateformes peut ajouter son propre identifiant de clic à l’adresse de la page consultée : gclid, gbraid ou wbraid chez Google, oppref chez ChatGPT, rdt_cid chez Reddit et li_fat_id chez LinkedIn. Customermates ne charge ni pixel, ni balise, ni SDK d’une plateforme publicitaire, et aucune de ces plateformes ne dépose de cookie ni n’accède d’une autre manière à votre équipement terminal sur ce site web ; seule Customermates le fait.

Lorsqu’une page de contenu publique du service cloud géré ou la page de contact est ouverte avec exactement un identifiant valide et qu’aucune décision d’attribution n’est encore enregistrée, Customermates propose un avis de consentement facultatif pour la mesure de l’efficacité publicitaire. Une page comportant plus d’un identifiant reconnu est entièrement ignorée. Si vous consentez, un cookie first-party signé, nommé cm_ad_attribution, qui ne peut pas être lu par JavaScript (HttpOnly) et n’est transmis que par une connexion chiffrée (Secure), stocke au maximum un identifiant par plateforme publicitaire, avec à chaque fois le type d’identifiant, l’heure du clic, l’heure de la collecte et l’heure d’expiration, ainsi que votre décision, l’heure de la décision et la version de cet avis. Il ne stocke ni paramètres UTM, ni référents, ni chemins de pages de destination, ni contenus de formulaires, ni enregistrements du CRM. Les identifiants de clic eux-mêmes expirent 89 jours après le clic chez Google et LinkedIn, 30 jours après le clic chez ChatGPT et Reddit, et au plus tard 90 jours après votre décision. Le cookie lui-même a une durée de 90 jours à compter de votre décision. Aucune plateforme publicitaire ne peut le lire.

Tant que le choix est en suspens, l’identifiant et un marqueur technique de l’état de choix encore ouvert sont conservés dans l’adresse des pages Customermates que vous consultez, afin que le choix survive à la navigation et au rechargement. L’application reconnaît cet état d’attente marqué pendant 24 heures, avec une tolérance de cinq minutes au maximum pour l’horloge de l’appareil. Ainsi, aucun cookie d’attribution de Customermates ni aucun enregistrement d’utilisateur n’est créé avant votre choix « Autoriser ». L’avis ne bloque pas la page : vous pouvez lire et utiliser le site web tant que le choix est en suspens, et il n’est créé ni cookie, ni entrée dans le stockage du navigateur, ni entrée en base de données, sauf si vous choisissez « Autoriser ». Tant que le choix est en suspens, l’identifiant fait partie de l’adresse web et figure donc dans les fichiers journaux du serveur décrits ci-dessus. L’historique du navigateur peut conserver une adresse marquée antérieure jusqu’à ce qu’elle soit rouverte ; après une décision, une expiration ou un marqueur invalide, l’application supprime les deux valeurs de l’adresse actuelle et, à la réouverture, également d’une telle entrée antérieure de l’historique.

Un choix « Autoriser » non encore expiré reste valable jusqu’à ce que vous le retiriez ou jusqu’à ce que nous modifiions ce pour quoi cet avis demande votre autorisation ; une visite ultérieure admissible est enregistrée sans nouvel affichage du choix. Si nous modifions l’étendue de votre consentement, votre décision antérieure est réputée non donnée : les identifiants stockés ne sont plus utilisés et la question vous est posée à nouveau. Une correction rédactionnelle ou factuelle qui ne modifie ni les données, ni la finalité, ni la durée de conservation, ni les destinataires possibles, ni la base juridique, ni vos droits, ni l’étendue de votre consentement laisse votre décision en vigueur. Comme chaque plateforme publicitaire n’attribue une conversion qu’à l’identifiant qu’elle a elle-même émis, un clic ultérieur de la même plateforme remplace le clic antérieur de cette plateforme ; les identifiants d’autres plateformes ne sont pas affectés.

Si vous créez un nouvel espace de travail cloud avant l’expiration, les identifiants stockés et ces horodatages sont attribués une seule fois, dans la même opération que votre inscription, à cet espace de travail et à vous en tant que premier propriétaire. Ils ne sont pas transférés à des personnes invitées ni à des personnes qui rejoignent un espace de travail existant, et ne sont pas écrasés lors de connexions ultérieures. Customermates consigne en outre que l’espace de travail a été créé et est devenu plus tard un abonnement payant. La finalité de l’ensemble est la mesure de l’efficacité publicitaire (mesure des conversions) : nous souhaitons déterminer lesquelles de nos annonces conduisent à une inscription, puis à un abonnement payant, afin de décider où investir notre budget publicitaire. Aucun profil d’utilisation n’est établi, aucune donnée n’est fusionnée avec d’autres sites web et aucune publicité personnalisée n’est diffusée.

Le retour d’information n’est pas automatique. Une personne habilitée chez Customermates décide si un signalement de conversion est transmis avant l’expiration de l’identifiant ; il ne doit être adressé qu’à la plateforme publicitaire qui a émis l’identifiant. Votre choix « Autoriser » couvre le signalement décrit ici aux quatre plateformes mentionnées ci-dessous. Si nous souhaitons signaler à une autre plateforme publicitaire ou transmettre plus que le signalement décrit ici, nous vous demandons au préalable à nouveau votre décision.

Un signalement peut contenir l’identifiant émis par la plateforme elle-même, la désignation du résultat (« Customermates signup » ou « Customermates paid »), son horodatage, une référence à usage unique contre le double comptage et, si nécessaire, des indications sur l’état du consentement. La référence à usage unique permet à la plateforme d’ignorer un signalement répété sans révéler votre espace de travail ni relier l’inscription et l’abonnement payant. L’identifiant de clic est lui-même une donnée à caractère personnel, car la plateforme peut l’attribuer à l’annonce qu’elle vous a diffusée. Au-delà de cet identifiant, aucune donnée directement identifiante n’est transmise : ni nom, ni adresse e-mail, ni adresse e-mail hachée, ni numéro de téléphone, ni adresse IP, ni indication de l’agent utilisateur (user agent), ni montant. La publicité personnalisée reste refusée.

Les destinataires possibles d’un tel signalement sont Google LLC pour Google Ads, OpenAI pour ChatGPT Ads, Reddit, Inc. pour Reddit Ads et LinkedIn Corporation pour LinkedIn Ads. Chaque entreprise est, pour ses propres services publicitaires, responsable du traitement à part entière et non sous-traitant de Customermates ; chacune décide elle-même de la manière dont elle traite une conversion reçue. Les transferts en dehors de l’EEE reposent sur le EU-US Data Privacy Framework, dans la mesure où le destinataire y est certifié, ce qui est le cas de Google, Reddit et LinkedIn, et sur des clauses contractuelles types accompagnées d’une analyse d’impact du transfert pour OpenAI, qui n’y est pas certifié. Pour les destinataires certifiés, nous prévoyons en outre des clauses contractuelles types comme mécanisme de repli.

Avec le choix « Autoriser », vous donnez en une seule étape deux consentements distincts : l’un au titre du § 25 al. 1 TDDDG pour le stockage du cookie décrit ci-dessus sur votre équipement terminal, et l’autre au titre de l’art. 6, par. 1, point a), du RGPD pour le traitement qui en découle : la conservation de l’identifiant, son attribution à un espace de travail que vous avez créé, la mesure de celles de nos annonces qui ont amené des personnes vers Customermates, et la transmission du signalement décrit ci-dessus à la plateforme publicitaire qui a émis le clic. Si vous refusez, le même cookie est stocké pendant 90 jours ; il ne contient alors que le choix, l’heure de la décision, la version de l’avis et l’heure d’expiration, et aucun identifiant. Vous pouvez retirer votre consentement à tout moment via « Choix de confidentialité » dans le pied de page, c’est-à-dire par le même moyen d’action, au même endroit que celui où le choix vous a été proposé à l’origine. Le retrait supprime immédiatement les identifiants du cookie. Si une copie a déjà été attribuée à un espace de travail, connectez-vous au préalable : le même moyen d’action supprime alors aussi la copie dans l’espace de travail, ce que nous sommes tenus de faire au titre de l’art. 17, par. 1, point b), du RGPD. Le retrait n’affecte pas la licéité du traitement effectué jusque-là (art. 7, par. 3, phrase 3, du RGPD) ; un signalement déjà transmis à une plateforme ne peut pas être rappelé. Une suppression automatique quotidienne supprime les identifiants expirés. L’enregistrement indiquant qu’un espace de travail a été créé et est devenu plus tard un abonnement payant ne contient aucun identifiant publicitaire ; il est conservé pendant toute la durée d’existence de l’espace de travail et supprimé avec lui. Nous n’employons ni pixels publicitaires, ni balises, ni SDK de mesure. Customer Match, la transmission de conversions améliorées (Enhanced Conversions) et la mise en correspondance avancée (Advanced Matching) n’ont pas lieu.

Formulaire de contact

Si vous nous adressez des demandes par le formulaire de contact, les informations que vous indiquez dans le formulaire de demande, y compris les coordonnées qui y figurent, sont stockées chez nous afin de traiter la demande et pour d’éventuelles questions complémentaires. Lors du traitement, ces données sont transmises aux fournisseurs d’infrastructure et de messagerie décrits à la section 2 ; pour le surplus, nous ne les transmettons que si une base juridique l’autorise.

Le traitement de ces données repose sur l’art. 6, par. 1, point b), du RGPD, dans la mesure où votre demande est liée à l’exécution d’un contrat ou nécessaire à la mise en œuvre de mesures précontractuelles. Dans tous les autres cas, le traitement repose sur notre intérêt légitime au traitement efficace des demandes qui nous sont adressées (art. 6, par. 1, point f), du RGPD) ou, lorsqu’il est demandé, sur votre consentement (art. 6, par. 1, point a), du RGPD) ; le consentement peut être retiré à tout moment.

Les données que vous saisissez dans le formulaire de contact restent chez nous jusqu’à ce que vous nous demandiez de les supprimer, que vous retiriez votre consentement au stockage ou que la finalité du stockage des données disparaisse (par exemple après le traitement complet de votre demande). Les dispositions légales impératives, en particulier les durées de conservation, demeurent inchangées.

Demande par e-mail

Si vous nous contactez par e-mail, votre demande, y compris toutes les données à caractère personnel qui en résultent (nom et contenu de la demande), est stockée et traitée chez nous aux fins de son traitement. Ces données transitent par les fournisseurs de messagerie décrits à la section 2 ; pour le surplus, nous ne les transmettons que si une base juridique l’autorise. Le traitement a lieu au titre de l’art. 6, par. 1, point b), du RGPD, dans la mesure où votre demande concerne un contrat ou des mesures précontractuelles. Dans tous les autres cas, il repose sur notre intérêt légitime à un traitement efficace (art. 6, par. 1, point f), du RGPD) ou, lorsqu’il est demandé, sur votre consentement, révocable à tout moment (art. 6, par. 1, point a), du RGPD).

Les données que vous nous transmettez par e-mail restent chez nous jusqu’à ce que vous nous demandiez de les supprimer, que vous retiriez votre consentement au stockage ou que la finalité du stockage des données disparaisse (par exemple après le traitement complet de votre demande). Les dispositions légales impératives, en particulier les durées légales de conservation, demeurent inchangées.

Sous-traitance du traitement

Les e-mails entrants adressés à nos propres adresses d’exploitation sous @customermates.com sont reçus et stockés dans notre boîte aux lettres d’exploitation hébergée chez Forward Email. Resend envoie les e-mails transactionnels et de compte automatisés générés par l’application ; les réponses personnelles ordinaires sont envoyées depuis la boîte aux lettres Forward Email. Aucun fournisseur de boîte aux lettres en aval distinct n’est employé. Le traitement par Resend est régi par un accord de traitement des données au sens de l’art. 28 du RGPD. L’accord de traitement des données standard de Forward Email est accepté par voie électronique par l’intermédiaire de ses conditions d’utilisation et intègre, pour les transferts concernés, les clauses contractuelles types de l’UE.

Inscription sur ce site web

Vous pouvez vous inscrire sur ce site web afin d’utiliser des fonctions supplémentaires sur la page. Nous n’utilisons les données saisies à cette fin que pour l’utilisation de l’offre ou du service pour lequel vous vous êtes inscrit. Les informations obligatoires demandées lors de l’inscription doivent être indiquées intégralement. Dans le cas contraire, nous refuserons l’inscription. La fourniture de ces données n’est pas prescrite par la loi ; elle est nécessaire à la conclusion et à l’exécution du contrat avec nous. Sans les informations signalées comme obligatoires, nous ne pouvons pas créer de compte pour vous ni fournir le service. Pour le surplus, vous n’êtes pas tenu de nous fournir des données à caractère personnel ; hormis l’impossibilité d’utiliser la fonction concernée, vous ne subissez aucun préjudice si vous ne le faites pas.

Pour les modifications importantes, par exemple de l’étendue de l’offre, ou pour les modifications techniquement nécessaires, nous utilisons l’adresse e-mail indiquée lors de l’inscription afin de vous en informer par ce moyen. Le traitement des données saisies lors de l’inscription a lieu aux fins de l’exécution de la relation d’utilisation établie par l’inscription et, le cas échéant, de la préparation d’autres contrats (art. 6, par. 1, point b), du RGPD). Les données collectées lors de l’inscription sont stockées par nous aussi longtemps que vous êtes inscrit sur ce site web, puis sont supprimées. Les durées légales de conservation demeurent inchangées.

Notifications relatives aux documents juridiques et preuves d’acceptation

Pour le service cloud géré, nous consignons les notifications relatives aux documents juridiques et les acceptations électroniques dans le journal d’audit de l’entreprise existant. Chaque entrée contient les identifiants d’entreprise et d’utilisateur, le type d’évènement et l’horodatage de création de l’entrée d’audit. Une entrée de notification contient en outre les versions actuelles des documents, les documents exactement mentionnés dans l’e-mail, un instantané de l’adresse e-mail du destinataire et, le cas échéant, une date d’effet ou d’opposition applicable. Une entrée d’acceptation contient en outre les versions actuelles des documents, un instantané de l’adresse e-mail de l’utilisateur qui accepte et l’indication de savoir si l’acceptation est intervenue lors de l’onboarding initial ou après une mise à jour ultérieure. L’horodatage de création de l’entrée d’audit correspond au moment de la notification ou de l’acceptation.

Nous utilisons ces entrées pour éviter les notifications en double, identifier les notifications encore en attente, calculer un délai uniforme pour l’entreprise, afficher ou imposer le parcours des documents juridiques dans l’interface utilisateur du service géré et prouver quels documents désignés ont été notifiés ou acceptés. La base juridique est l’art. 6, par. 1, point b), du RGPD, dans la mesure où le traitement est nécessaire à la conclusion, à la gestion ou à la modification du contrat avec le client professionnel, ainsi que l’art. 6, par. 1, point f), du RGPD pour nos intérêts légitimes à une remise fiable, à un contrôle d’accès et à une administration de la preuve juridique. Les entrées suivent actuellement les relations de conservation existantes du journal d’audit : elles subsistent aussi longtemps que subsistent les enregistrements d’entreprise et d’utilisateur correspondants, et sont automatiquement supprimées lorsque l’un de ces enregistrements correspondants est supprimé. Cela correspond au comportement de suppression en cascade existant du système d’audit : lorsque nous supprimons un compte d’entreprise dans le service cloud géré, les entrées de notification et d’acceptation correspondantes sont également supprimées. Aucune archive distincte et inaltérable de documents juridiques n’est tenue dans l’application.

Inscription avec Google

Au lieu d’une inscription directe sur ce site web, vous pouvez vous inscrire avec Google. Le fournisseur de ce service est Google Ireland Limited (« Google »), Gordon House, Barrow Street, Dublin 4, Irlande. Votre navigateur vous redirige vers la page de connexion de Google, sur laquelle vous saisissez vos identifiants Google ; Customermates ne reçoit ni ne stocke votre mot de passe. Google vous authentifie et transmet les informations de compte couvertes par la fenêtre d’autorisation, afin que nous puissions créer ou compléter votre profil. Vous pouvez vérifier les accès associés dans vos paramètres Google aux adresses https://myaccount.google.com/security et https://myaccount.google.com/permissions. Le traitement lié à l’inscription avec Google repose sur notre intérêt légitime à une procédure d’inscription simple (art. 6, par. 1, point f), du RGPD). Cette fonction est facultative.

Pour les transferts vers les États-Unis, Google LLC est un participant actif du EU-US Data Privacy Framework (DPF). L’entrée du participant est consultable à l’adresse : https://www.dataprivacyframework.gov/participant/5780.

Inscription avec Microsoft

Au lieu d’une inscription directe sur ce site web, vous pouvez vous inscrire avec Microsoft. Le fournisseur de ce service est Microsoft Ireland Operations Limited (« Microsoft »), One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlande. Votre navigateur vous redirige vers la page de connexion de Microsoft, sur laquelle vous saisissez vos identifiants Microsoft ; Customermates ne reçoit ni ne stocke votre mot de passe. Microsoft vous authentifie et transmet les informations de compte couvertes par la fenêtre d’autorisation, afin que nous puissions créer ou compléter votre profil. Vous pouvez vérifier vos paramètres de sécurité et de confidentialité aux adresses https://account.microsoft.com/security et https://account.microsoft.com/privacy.

Le traitement des données lié à l’inscription avec Microsoft repose sur notre intérêt légitime à offrir à nos utilisateurs un processus d’inscription aussi simple que possible (art. 6, par. 1, point f), du RGPD). Comme l’utilisation de la fonction d’inscription est facultative et que les utilisateurs peuvent décider eux-mêmes des possibilités d’accès concernées, aucun droit prépondérant contraire des personnes concernées n’apparaît.

Pour les transferts vers les États-Unis, Microsoft Corporation est un participant actif du EU-US Data Privacy Framework (DPF). L’entrée du participant est consultable à l’adresse : https://www.dataprivacyframework.gov/participant/6474.

5. Plateforme numérique et prestataires de paiement

Traitement des données clients et contractuelles

Nous collectons, traitons et utilisons des données clients et contractuelles à caractère personnel pour l’établissement, la définition du contenu, l’exécution et la modification de nos relations contractuelles. Nous ne collectons, ne traitons et n’utilisons les données à caractère personnel relatives à l’utilisation de ce site web (données d’utilisation) que dans la mesure où cela est nécessaire pour permettre l’utilisation du service ou la facturer.

La base juridique de ce traitement de données est l’art. 6, par. 1, point b), du RGPD (exécution du contrat ou mesures précontractuelles).

Les données clients collectées sont supprimées après la fin de la relation d’affaires et l’expiration des éventuelles durées légales de conservation. Les durées légales de conservation demeurent inchangées.

Nous transmettons des données à caractère personnel aux destinataires mentionnés dans la présente politique de confidentialité lorsque cela est nécessaire à l’exécution du contrat ou au respect d’une obligation légale, lorsqu’un intérêt légitime existe à l’issue d’une mise en balance des intérêts ou lorsqu’une autre base juridique autorise la transmission. Nous ne vendons pas de données à caractère personnel. La seule communication à un tiers à ses propres fins publicitaires est le signalement de conversion décrit ci-dessus sous « Mesure de l’efficacité publicitaire first-party » ; elle n’a lieu qu’avec votre consentement, que vous pouvez retirer à tout moment.

Services de paiement (Lemon Squeezy)

Pour le traitement des paiements lors des achats en libre-service, nous utilisons le prestataire de paiement externe Sold through Link, LLC (anciennement Lemon Squeezy LLC), 222 South Main Street, Suite 500, Salt Lake City, UT 84101, États-Unis (ci-après « Lemon Squeezy »).

Lorsque vous effectuez un achat en libre-service, vos données de paiement (par exemple nom, adresse de facturation, adresse e-mail, montant du paiement ainsi que, le cas échéant, informations de paiement telles que les données de carte de crédit ou de compte) sont traitées directement par Lemon Squeezy. Nous n’avons nous-mêmes aucun accès aux données de paiement complètes.

Lors d’un achat en libre-service, Lemon Squeezy agit en qualité de Merchant of Record et est responsable du traitement du paiement ainsi que, le cas échéant, du calcul, de la perception et du reversement des taxes légales sur le chiffre d’affaires. Lemon Squeezy n’agit pas pour cet achat pour notre compte, mais selon ses propres conditions, en tant que responsable du traitement à part entière ; il n’existe à cet égard aucun accord de traitement des données au sens de l’art. 28 du RGPD.

Le traitement des données repose sur :

• l’art. 6, par. 1, point b), du RGPD (exécution du contrat),
• l’art. 6, par. 1, point f), du RGPD (intérêt légitime à un traitement des paiements sûr et efficace).

Lemon Squeezy ayant son siège aux États-Unis, un transfert de données à caractère personnel vers un pays tiers peut avoir lieu. Pour un achat en libre-service, Lemon Squeezy agit selon ses propres conditions en tant que Merchant of Record et responsable du traitement à part entière, de sorte que sa propre politique de confidentialité s’applique à cet égard. L’accord de traitement des données publié par Lemon Squeezy prévoit que les parties s’appuient sur les clauses contractuelles types de l’UE ; nous avons archivé ce texte, mais n’avons pas conclu de contrat distinct avec le fournisseur.

Suivi d’affiliation (Lemon Squeezy)

Notre prestataire de paiement Sold through Link, LLC (anciennement Lemon Squeezy LLC) propose en outre un système de suivi d’affiliation,
222 South Main Street, Suite 500, Salt Lake City, UT 84101, États-Unis.

Customermates ne charge le script d’affiliation standard de Lemon Squeezy que sur les pages de contenu cloud publiques gérées. Lors de la consultation d’une telle page, le navigateur demande le script à lmsqueezy.com immédiatement si l’URL contient un code d’affiliation, et sinon dès que la page est chargée et que le navigateur est inactif ou que la personne qui visite la page fait défiler, tape, clique ou appuie sur une touche pour la première fois ; celui qui quitte la page auparavant ne le demande pas. Cette requête peut révéler à Lemon Squeezy l’adresse IP, l’heure de la consultation, les en-têtes du navigateur et HTTP ainsi que, selon la politique du navigateur, la page de provenance, même si l’URL ne contient pas de code d’affiliation. Lorsque quelqu’un consulte l’une de ces pages par un lien d’affiliation, le script lit le paramètre d’URL aff. Lors de cette visite ou lors d’une visite ultérieure d’une page de contenu publique avec un cookie de parrainage existant, il transmet à Lemon Squeezy la page de destination, le référent, la référence de parrainage (referral) et un identifiant de visiteur dérivé de caractéristiques du navigateur. Il stocke le cookie de parrainage first-party ls_aff_ref pour la période de suivi configurée chez Lemon Squeezy et peut ajouter la référence de parrainage aux liens de paiement (checkout) de Lemon Squeezy sur ces pages.

La finalité est d’attribuer les visites et achats recommandés, d’affecter les commissions, de gérer le programme d’affiliation et d’empêcher les attributions erronées. Pour le traitement de données à caractère personnel qui suit l’accès à l’équipement terminal, nous nous appuyons, conformément à l’art. 6, par. 1, point f), du RGPD, sur nos intérêts légitimes et sur ceux des affiliés participants à une attribution et à une rémunération correctes. Cette base juridique ne remplace pas un consentement dans la mesure où le § 25 al. 1 TDDDG l’exige pour le stockage d’informations sur l’équipement terminal d’un visiteur ou l’accès à celles-ci. Le script standard actuel n’est pas piloté par un mécanisme de consentement distinct de Customermates. Les paramètres du navigateur peuvent bloquer ou supprimer le cookie ; l’attribution de la recommandation peut alors ne pas avoir lieu.

Les routes authentifiées, les routes d’authentification, d’invitation et de démonstration ainsi que les routes auto-hébergées en amont ne chargent pas le script. Les liens d’inscription des partenaires ouvrent le site web hébergé par Lemon Squeezy ; la politique de confidentialité de Lemon Squeezy s’y applique. Un exploitant indépendant en auto-hébergement contrôle son propre déploiement et est lui-même responsable de chaque intégration qu’il ajoute.

Vous trouverez de plus amples informations sur le traitement des données par Lemon Squeezy dans sa politique de confidentialité :

https://www.lemonsqueezy.com/privacy

ainsi que dans ses conditions d’utilisation :

https://www.lemonsqueezy.com/terms

6. Comptes connectés (e-mail, messagerie et agenda)

Notre système CRM propose une fonction optionnelle de comptes connectés, qui vous permet de connecter vos propres boîtes aux lettres e-mail (Gmail/Google, Microsoft/Outlook et IMAP), comptes de messagerie (LinkedIn, y compris les variantes Sales Navigator et Recruiter, ainsi que WhatsApp, Instagram et Telegram) et agendas. Selon le fournisseur connecté, la fonction peut envoyer, recevoir et gérer des communications professionnelles et des rendez-vous ; consulter et afficher des publications sur les réseaux sociaux, des commentaires, des réactions ainsi que des profils de personnes et d’entreprises ; lister, envoyer, accepter, retirer ou refuser des demandes de connexion ; effectuer des recherches Sales Navigator de leads et d’entreprises ; ainsi qu’afficher des listes de leads ou de comptes existantes et y ajouter des entrées. L’utilisation de cette fonction est facultative et ne prend effet que si vous décidez activement de connecter un compte.

Le transport technique des données des comptes connectés est assuré par notre prestataire de services UNIPILE SAS, RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, France (ci-après « Unipile »).

L’authentification a lieu dans un parcours hébergé par Unipile, dans lequel vous saisissez vos identifiants de connexion auprès du fournisseur concerné ou effectuez sa connexion OAuth. Ces identifiants d’accès ou cette autorisation OAuth sont traités dans ce parcours ; Customermates ne reçoit ni mots de passe de fournisseurs ni jetons OAuth et ne stocke qu’un identifiant de compte opaque ainsi que des métadonnées de compte non secrètes.

Données traitées

Lors de l’utilisation de la fonction de comptes connectés, les données à caractère personnel suivantes peuvent être traitées, selon les comptes que vous avez connectés :

• métadonnées du compte connecté (par exemple l’adresse connectée ou le handle connecté, le nom d’affichage et l’état de la connexion) ;
• contenus d’e-mails, y compris l’objet, le corps du message, les adresses d’expéditeur et de destinataire ainsi que les pièces jointes ;
• contenus de conversations et de messages directs via les canaux de messagerie connectés ;
• données de profil des contacts et des participants (nom, avatar, intitulé ou profession LinkedIn, URL du profil ainsi que l’adresse e-mail, le numéro de téléphone ou le handle correspondant) ;
• publications sur les réseaux sociaux et données d’interaction (texte des publications ou des commentaires, auteurs, personnes ayant réagi, horodatages, types de réactions et compteurs) ;
• profils de personnes et d’entreprises ainsi que données de relation (identifiants des fournisseurs, noms, URL et images de profil, descriptions, emploi, localisation, secteur, distance dans le réseau, état de la connexion et textes de demandes) ;
• saisies, résultats et données de listes issus de Sales Navigator (URL et filtres de recherche, profils de leads et d’entreprises, noms et appartenance de listes ainsi qu’état de stockage) ;
• entrées d’agenda, y compris les adresses e-mail des participants et l’état d’acceptation ou de refus (RSVP) ;
• métadonnées de messages et de comptes.

Les pièces jointes des messages sont transmises en cas de besoin et ne sont pas stockées par Customermates ; seules les métadonnées des pièces jointes sont stockées. En plus du traitement chez Unipile, Customermates stocke une copie des contenus synchronisés des comptes connectés dans sa propre base de données (voir la section 2, « Neon »), en particulier les textes des messages (texte et HTML), les lignes d’objet, les identifiants d’expéditeur et de destinataire, les profils des participants aux fils de discussion, les entrées d’agenda avec les adresses e-mail des participants ainsi que les données brutes entrantes reçues des fournisseurs. Les publications et interactions, les consultations de profils, les demandes de connexion ainsi que les données de recherche, de résultats et de listes issues de Sales Navigator sont consultées ou transmises par Unipile lorsqu’un client initie l’action correspondante, et renvoyées à l’utilisateur demandeur ou à un client API ou MCP autorisé par le client. Customermates ne stocke pas ces données d’opération en tant que contenus de comptes connectés, à moins que le client ne stocke séparément des informations en tant qu’enregistrement du CRM. Les actions relatives aux demandes de connexion et aux listes modifient la plateforme sous-jacente sur instruction du client.

Les données traitées par la fonction de comptes connectés comprennent tant des données à caractère personnel de vos propres utilisateurs que de tiers, notamment des correspondants, des auteurs de publications et de commentaires, des personnes ayant réagi, des personnes dont les profils ont été consultés, des parties à des demandes de connexion, des leads Sales Navigator et des représentants d’entreprises.

Veuillez noter : en connectant un compte, les contenus des conversations avec des personnes qui ne sont pas utilisatrices de notre service sont également repris. Ces contenus sont déterminés par vous et vos correspondants et peuvent contenir des catégories particulières de données à caractère personnel au sens de l’art. 9 du RGPD. En tant que responsable du traitement de ces contenus, vous êtes responsable de l’existence d’une base juridique pour leur traitement et du respect de vos obligations d’information envers les personnes concernées.

Rôles et sous-traitance du traitement

Pour les contenus et opérations de comptes connectés (y compris les boîtes aux lettres, messages, contacts, agendas, contenus et données d’interaction des réseaux sociaux, profils, demandes de connexion ainsi que les données de recherche et de listes issues de Sales Navigator), vous êtes responsable du traitement au sens de l’art. 4, point 7), du RGPD. Customermates traite ces données exclusivement pour votre compte et selon vos instructions, en qualité de sous-traitant au sens de l’art. 28 du RGPD. Customermates fait appel à cet effet à Unipile en tant que sous-traitant ultérieur. Les plateformes de communication sous-jacentes (Google, Microsoft, LinkedIn, Meta/WhatsApp/Instagram et Telegram) agissent en tant que responsables du traitement distincts pour leurs propres services respectifs.

Une liste des sous-traitants ultérieurs que nous employons est disponible sous sous-traitants ultérieurs ; vous trouverez de plus amples informations sur l’accord de traitement des données sous accord de traitement des données.

Base juridique

Pour les métadonnées de compte et de fonction que Customermates traite en tant que responsable du traitement, le traitement est nécessaire à l’exécution de notre contrat avec vous (art. 6, par. 1, point b), du RGPD). Pour les contenus de comptes connectés que nous traitons pour votre compte, vous déterminez la base juridique applicable et nous donnez instruction dans le cadre de l’accord de traitement des données au sens de l’art. 28 du RGPD ; ces instructions ne constituent pas une base juridique autonome au titre de l’art. 6 du RGPD. Le traitement par Customermates ne repose pas sur un consentement au titre de l’art. 6, par. 1, point a), du RGPD.

Stockage et transfert vers des pays tiers

Les données des comptes connectés sont traitées chez Unipile et, en outre, stockées dans la propre base de données de Customermates (voir la section 2). Unipile indique que les données des comptes connectés sont stockées dans l’UE (France). L’accord de traitement des données d’Unipile autorise néanmoins des transferts en dehors de l’Union européenne, pour autant que des garanties au titre du chapitre V du RGPD existent, et la liste des sous-traitants ultérieurs mentionne un prestataire de services de paiement aux États-Unis ainsi que cinq fournisseurs de proxy sans indication de localisation. Nous ne garantissons donc pas que les données des comptes connectés ne quittent jamais l’Union européenne.

Vous trouverez de plus amples informations dans la politique de confidentialité d’Unipile à l’adresse https://www.unipile.com/privacy-policy/, dans ses conditions d’utilisation à l’adresse https://www.unipile.com/terms-of-use/ ainsi que dans les informations sur la sécurité et la conformité à l’adresse https://www.unipile.com/security-compliance/.

Conservation et suppression

Un compte connecté peut être supprimé de deux manières ; ces deux voies ont actuellement des conséquences différentes sur les contenus déjà stockés.

Lorsque vous déconnectez vous-même un compte connecté, nous supprimons de notre base de données les fils de discussion, messages, profils de participants, entrées d’agenda et enregistrements d’activité stockés pour ce compte, et demandons à Unipile de supprimer le compte.

Un compte connecté est en outre supprimé automatiquement, notamment lorsqu’un paiement échoue, lorsqu’une période d’essai expire, lorsque le titulaire du compte est resté inactif pendant une longue période ou lorsque, après un changement de formule, plus de comptes sont connectés que la formule n’en comprend. Dans ces cas, nous demandons également à Unipile de supprimer le compte ; dans notre propre base de données, il est toutefois actuellement seulement désactivé et marqué comme supprimé. Les contenus déjà stockés pour ce compte, c’est-à-dire les fils de discussion, messages, profils de participants, entrées d’agenda et enregistrements d’activité, restent stockés.

Les contenus ainsi restants sont supprimés lorsque le compte connecté est déconnecté, lorsque votre compte utilisateur ou votre compte d’entreprise est supprimé ou lorsque la procédure de restitution et de suppression après la fin du contrat décrite ci-dessous s’applique. Vous pouvez demander la suppression à tout moment ; nous supprimons alors les contenus.

Les enregistrements du CRM créés ou complétés à partir de données de comptes connectés, en particulier les contacts et les identifiants de communication qui leur sont associés, font partie de vos données CRM. Ils ne sont pas supprimés lors de la suppression d’un compte connecté et subsistent jusqu’à ce que vous les supprimiez vous-même, que votre compte d’entreprise soit supprimé ou que la procédure de restitution et de suppression après la fin du contrat s’applique.

Nous stockons en outre des enregistrements techniques des données entrantes reçues des fournisseurs. Les enregistrements rattachés à un compte connecté sont supprimés avec ce compte. Les enregistrements qui n’ont pu être rattachés à aucun compte connecté sont conservés sans délai fixe pour l’analyse d’erreurs et ne peuvent actuellement être attribués à aucun compte client pour l’export ou la suppression.

La suppression prend effet immédiatement dans nos systèmes de production. Les copies contenues dans les sauvegardes sont supprimées dès l’expiration de la sauvegarde concernée.

Pour les contenus stockés de comptes connectés, aucune durée de conservation fixe ne s’applique pendant la durée du contrat. Après la fin du contrat, les données disponibles dans nos systèmes et attribuables à votre entreprise sont conservées pendant le délai de choix de 30 jours prévu à l’article 11 de l’accord de traitement des données. Elles sont ensuite supprimées conformément à cet article, ou restituées puis supprimées. Les obligations légales de conservation et les limitations décrites ci-dessus pour les données brutes entrantes non attribuées demeurent inchangées.

Informations destinées aux personnes dont les données nous parviennent par l’intermédiaire d’un client (art. 14 du RGPD)

Si vous n’êtes pas notre client, mais que vos données à caractère personnel parviennent dans nos systèmes parce que l’un de nos clients communique avec vous ou stocke vos données dans son CRM, c’est ce client, et non Customermates, qui est le responsable du traitement de ces données. Nous les traitons exclusivement sur son instruction documentée, en qualité de sous-traitant au sens de l’art. 28 du RGPD.

Sont concernées les catégories de données mentionnées à la section 6, en particulier les données de contact et de profil, les contenus de messages et d’agenda, les publications et données d’interaction des réseaux sociaux, les données relatives aux demandes de connexion ainsi que les données de recherche, de résultats et de listes issues de Sales Navigator. Elles nous parviennent directement du client ou, pour les comptes connectés, des fournisseurs d’e-mail, de messagerie, de réseaux sociaux et d’agenda connectés par le client.

Comme nous agissons en qualité de sous-traitant, nous ne pouvons pas décider nous-mêmes de vos droits. Veuillez adresser vos demandes d’accès, de rectification, de suppression, de limitation ou d’opposition au client, qui est le responsable du traitement. Si vous vous adressez à nous et que nous pouvons identifier le client concerné, nous lui transmettons votre demande sans délai et vous en informons. Vous trouverez nos propres coordonnées à la section 3.

Demandes des personnes concernées

Nous vous transmettons, en tant que responsable du traitement, les demandes de personnes concernées relatives à des contenus de comptes connectés qui sont adressées à Customermates ; dans le cadre de son rôle de sous-traitant, Customermates vous aide à y répondre. Dans la mesure où vous traitez dans le CRM des données à caractère personnel de tiers, vous restez responsable à cet égard au regard du droit de la protection des données.

7. Assistant IA Mate (Vercel AI Gateway, Google Cloud Vertex AI, Exa et TypeSafe AI)

Mate est un assistant IA destiné aux utilisateurs connectés du service cloud géré par Customermates. Mate est actif dans ce service depuis le 29 août 2026. Mate ne fait pas partie d’une installation auto-hébergée exploitée de manière indépendante. La disponibilité dépend d’une formule appropriée, des crédits IA disponibles et des commandes d’exploitation globales du service géré. Le traitement commence lorsqu’un utilisateur envoie un message à Mate ou confirme une action. Lorsque le service géré propose des routines ou d’autres exécutions de Mate enregistrées ou automatisées, un utilisateur autorisé peut en outre configurer et activer une instruction enregistrée en vue d’une exécution manuelle ou d’une exécution selon un calendrier ou à la suite d’un évènement interne au produit configuré ; une exécution qui en résulte peut démarrer sans interaction simultanée d’un utilisateur. La seule existence d’un compte ne transmet aucun contenu du CRM à un modèle. La recherche dans la base de connaissances et dans l’application décrite ci-dessous est la seule exception automatique : tant qu’un espace de travail dispose de crédits IA utilisables, elle traite les pages de sa base de connaissances et les noms de ses listes, champs et vues enregistrées sans demande distincte.

Information sur l’utilisation d’un système d’IA

Lorsque vous utilisez Mate, vous interagissez avec un système d’intelligence artificielle et non avec un être humain. Le produit identifie cette fonction comme de l’IA. Cette information est fournie conformément à l’art. 50, par. 1, du règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle). En cas d’utilisation interactive, les résultats de Mate sont produits de manière automatisée, peuvent être inexacts ou incomplets et doivent être vérifiés avant de vous y fier. Mate et les résultats concernant une personne ne sont pas proposés ni autorisés à une fin susceptible d’avoir des effets juridiques ou significatifs sur cette personne, en particulier pas pour des décisions relatives au crédit, à l’éducation, à l’emploi, au logement, à l’assurance, aux affaires juridiques ou aux questions médicales. Les autorisations existantes s’appliquent aux outils de Mate. Une action interactive ayant des effets secondaires importants peut exiger une confirmation distincte dans le produit. Lorsqu’une routine est proposée et activée, le client doit à la place, avant l’activation ou une modification substantielle, examiner l’instruction, l’utilisateur affecté, le déclencheur, l’étendue des données, les autorisations, les limites, les effets secondaires possibles et les mesures de protection, et surveiller le fonctionnement et les résultats. Une action admise au regard des autorisations et des commandes de confirmation applicables peut être exécutée, en vertu de l’instruction permanente du client, sans confirmation distincte dans le cas particulier.

Données traitées et destinataires

Selon la requête et les outils employés, le traitement peut comprendre ce qui suit :

• le nom, le paramètre de langue et la route actuelle de l’application de l’utilisateur, ainsi que sa saisie ou son instruction enregistrée et la conversation Mate récente ;
• lors de la configuration de l’espace de travail guidée par l’IA ou d’un import de site web dans la base de connaissances, les réponses relatives à la configuration, le nom de l’entreprise et l’adresse du site web, les textes consultés sur ce site web, le contenu d’un tableur téléversé ainsi que le plan ou les pages rédigés ;
• les textes de pages de la base de connaissances et les requêtes de recherche pour la recherche dans la base de connaissances, les noms de listes, de champs et de vues enregistrées ainsi que les termes de recherche de la palette de commandes pour la recherche dans l’application, et les requêtes de recherche que Mate formule pour la recherche web ;
• les contenus du CRM ou de comptes connectés que l’utilisateur fournit ou qu’un outil autorisé consulte pour la tâche demandée, par exemple des contacts, organisations, affaires, tâches, services, messages et champs d’enregistrement correspondants ;
• les fichiers que l’utilisateur joint à un message adressé à Mate : leur nom, leur type et leur taille, le texte qui en est extrait ainsi que, pour les images et les PDF comptant jusqu’à trois pages, le fichier lui-même ;
• les descriptions d’outils, les entrées et résultats d’outils, les états d’approbation et de confirmation, les résultats de commandes d’interface et les résultats produits ;
• lorsque des routines sont proposées, l’utilisateur affecté, la configuration du déclencheur, le calendrier, le nom de l’évènement et l’identifiant de l’enregistrement correspondant, l’état d’exécution, les limites et l’état de protection de la routine ainsi que les constatations relatives aux risques de boucle ; ainsi que
• les identifiants d’entreprise et d’utilisateur, les identifiants de modèles et de fournisseurs, les horodatages, les données d’état et de diagnostic, l’utilisation de jetons (tokens) et les métadonnées de coûts, de crédits et de facturation.

Mate ne téléverse pas automatiquement l’ensemble de l’espace de travail. Une requête de modèle contient la saisie ou l’instruction enregistrée et la conversation récente, ainsi que le contexte et les résultats d’outils nécessaires à la tâche demandée. Une routine déclenchée par un évènement interne au produit configuré peut contenir en outre le nom de l’évènement et l’identifiant de l’enregistrement correspondant ; des outils autorisés peuvent ensuite consulter le contexte d’enregistrement ou de comptes connectés nécessaire à l’instruction. Les requêtes sont acheminées, par Vercel AI Gateway de Vercel Inc., vers le fournisseur en aval sélectionné pour la finalité concernée : Google Cloud (Vertex AI) met à disposition les modèles Claude développés par Anthropic que Mate utilise, fixés sur la zone d’inférence UE proposée à cet effet par Vercel, ainsi que le modèle d’embedding de texte de Google pour la recherche ; Exa fournit la recherche web ; et TypeSafe AI fournit le classificateur Jev, qui contrôle les pages rédigées de la base de connaissances et classe les résultats des recherches de Mate. Vercel et le fournisseur concerné reçoivent donc les parties d’une requête nécessaires à la production de la réponse. Customermates n’envoie pas ces requêtes directement à Anthropic. La documentation Vertex AI de Google sur la gouvernance des données indique que Google n’utilise pas les données des clients pour entraîner ou affiner des modèles d’IA sans l’autorisation ou l’instruction préalable du client, et que cela vaut pour tous les modèles gérés de sa plateforme. Vous trouverez la chaîne actuelle de fournisseurs et les informations sur les transferts sous sous-traitants ultérieurs.

Configuration de l’espace de travail guidée par l’IA et import de site web

Lorsqu’un utilisateur autorisé configure un nouvel espace de travail dans le service cloud géré, Mate l’interroge sur l’entreprise et rédige un plan pour le modèle de données, des enregistrements d’exemple, le tableau de bord et la base de connaissances. Mate ne crée le modèle de données, les enregistrements, le tableau de bord et les pages rédigées de la base de connaissances qu’une fois que l’utilisateur a confirmé le plan. Si l’utilisateur indique un site web, les propres serveurs de Customermates consultent ses pages publiques en respectant les règles robots.txt du site web et envoient leur texte au modèle ; ses pages d’aide, de politiques et de tarifs peuvent être reprises dans la base de connaissances dès la phase de planification. Si l’utilisateur téléverse un tableur, les en-têtes de colonnes, les dix premières lignes et un aperçu des valeurs par colonne sont envoyés au modèle pour planifier l’import ; après la confirmation, les lignes sont importées comme enregistrements. Un import de site web dans la base de connaissances lancé ultérieurement fonctionne de la même manière. Avant que les pages rédigées de la base de connaissances ne soient enregistrées, le classificateur Jev de TypeSafe AI peut les comparer au texte consulté.

Recherche dans la base de connaissances

Tant qu’un espace de travail du service cloud géré dispose de crédits IA utilisables, Customermates prépare sa base de connaissances pour la recherche par sens. Pour cela, il envoie le texte des pages nouvelles et modifiées, par Vercel AI Gateway, à Google Cloud Vertex AI ; un modèle Claude y rédige un court résumé de chaque page, et le modèle d’embedding de texte de Google convertit des sections de page en vecteurs de recherche. Les recherches d’utilisateurs, de Mate ou de clients IA connectés convertissent de la même manière la requête de recherche en vecteur. Lors des recherches de Mate, le classificateur Jev peut classer les meilleurs résultats d’après le dernier message de l’utilisateur, la requête de recherche et des extraits des sections correspondantes. Les résumés et vecteurs sont stockés avec la page et supprimés lors de la suppression définitive de la page. La recherche dans l’application fonctionne de la même manière pour les noms de listes, de champs et de vues enregistrées et pour les saisies dans la palette de commandes. Vercel ne propose actuellement le modèle d’embedding que dans une région des États-Unis ; cette partie du traitement a donc lieu aux États-Unis.

Recherche web

Lorsqu’une requête nécessite des informations publiques actuelles, Mate peut effectuer une recherche sur le web. Mate envoie alors une requête de recherche formulée à partir de la demande, par Vercel AI Gateway, à Exa (Exa Labs, Inc., États-Unis), qui renvoie des résultats web publics. Une requête de recherche peut contenir des noms ou d’autres indications provenant de la demande ou d’enregistrements. Les routines utilisent la recherche web de la même manière.

Lorsque des routines pilotées par évènements sont proposées, Customermates peut transmettre l’instruction enregistrée complète, par la chaîne de fournisseurs de modèles, lors de l’enregistrement ou d’une modification substantielle de la routine ainsi que dans le cadre de contrôles de sécurité récurrents, afin de détecter d’éventuelles boucles de déclenchement ; cela peut déjà avoir lieu avant qu’une exécution de routine ne démarre. Cette analyse de sécurité est distincte de l’exécution de l’instruction enregistrée.

Base juridique et rôles

Pour les contenus du CRM et de comptes connectés, y compris les données à caractère personnel des contacts et correspondants du client, le client est le responsable du traitement ; Customermates traite ces contenus selon les instructions documentées du client, en qualité de sous-traitant au sens de l’art. 28 du RGPD. L’envoi d’une requête Mate, la confirmation d’une action ou le lancement de la configuration guidée de l’espace de travail ou d’un import de site web constitue une telle instruction ; la recherche dans la base de connaissances fait partie de la prestation contractuelle décrite dans l’accord de traitement des données. Lorsque des routines sont proposées, la configuration et l’activation de l’instruction enregistrée, y compris de l’utilisateur affecté, du déclencheur, des limites et des autorisations associées, valent instruction permanente documentée pour chaque exécution qui en résulte, jusqu’à ce que la routine soit désactivée ou modifiée de manière substantielle. Ces instructions ne constituent pas un consentement au sens de l’art. 6, par. 1, point a), du RGPD. Le client reste responsable de l’existence d’une base juridique pour les contenus et de la possibilité de les inclure dans une requête Mate ou une routine.

Pour les données de compte utilisateur, d’autorisation, d’utilisation, de facturation, de sécurité et de diagnostic que Customermates traite en tant que responsable du traitement, le traitement repose sur l’art. 6, par. 1, point b), du RGPD, dans la mesure où il est nécessaire à la mise à disposition et à la facturation de la fonction contractuelle, ainsi que sur l’art. 6, par. 1, point f), du RGPD pour nos intérêts légitimes à un fonctionnement sûr et fiable, à la prévention des abus, au diagnostic et à des enregistrements d’utilisation exacts.

Stockage et suppression

Customermates stocke les conversations et messages Mate, les demandes d’exécutions individuelles, les enregistrements des tours de modèle, les approbations, les justificatifs et résultats d’outils, les résultats de commandes d’interface ainsi que les métadonnées correspondantes de modèle, de fournisseur, d’utilisation, de coûts, d’horodatage, d’entreprise et d’utilisateur. Lorsque des routines sont proposées, Customermates stocke en outre l’instruction enregistrée, la configuration du déclencheur, le calendrier, l’utilisateur affecté, les limites et l’état de protection, les enregistrements d’exécution, les constatations relatives aux risques de boucle ainsi que les références d’évènements et d’enregistrements correspondantes. Chaque exécution de routine produit une conversation Mate ordinaire. L’archivage d’une conversation la masque, mais ne la supprime pas. Lorsqu’un utilisateur autorisé supprime définitivement une conversation archivée, Customermates supprime cette conversation avec ses messages, exécutions, tours de modèle, approbations, justificatifs d’outils et résultats de commandes d’interface. La suppression d’une routine enregistrée ne supprime pas automatiquement les conversations Mate qui en résultent ; celles-ci subsistent jusqu’à ce qu’elles soient supprimées séparément au moyen des commandes de suppression ordinaires de Mate. Les enregistrements d’utilisation et de facturation ainsi que les enregistrements du CRM créés ou modifiés par Mate sont soumis à leurs propres règles de conservation et de suppression. Pour une conversation Mate active, il n’existe, pendant la durée d’un contrat en cours, aucune suppression automatique liée à l’ancienneté. Après la fin du contrat, les données relevant de la responsabilité du client sont supprimées ou restituées conformément à l’accord de traitement des données ; les obligations légales de conservation et les limites de suppression au niveau des fournisseurs demeurent inchangées.

Pour la configuration guidée de l’espace de travail, Customermates stocke avec l’espace de travail les réponses, l’entretien, l’adresse du site web, le plan, la progression et les résultats de la construction. Le tableur téléversé et les textes de site web consultés restent stockés jusqu’à ce que l’espace de travail soit supprimé, que la configuration soit relancée avant la confirmation ou que le texte soit remplacé par un import ultérieur du même site web. Les résumés et vecteurs de recherche de la base de connaissances sont stockés avec leur page.

Lorsqu’un utilisateur escalade expressément une conversation Mate vers le support, la demande de support peut contenir des textes de conversation récents et est alors traitée comme les communications de support décrites dans la présente politique.

Traitement par les fournisseurs et transferts internationaux

Customermates a activé pour son équipe la commande Zero Data Retention (ZDR) de Vercel à l’échelle de l’équipe. Vercel indique que cette commande, tant qu’elle reste activée, s’applique à chaque requête AI Gateway de l’équipe, n’achemine les requêtes que vers des fournisseurs avec lesquels Vercel a un accord ZDR, à l’exception d’outils de la passerelle tels que la recherche web via Exa, et inclut la désactivation de l’utilisation des saisies à des fins d’entraînement. Mate fixe en outre chaque modèle sur un seul fournisseur : Google Cloud Vertex AI pour les modèles Claude (zone UE) et le modèle d’embedding (région des États-Unis), ainsi que TypeSafe AI pour le classificateur Jev. Vercel indique actuellement pour ces points de terminaison ZDR et l’absence d’utilisation des saisies à des fins d’entraînement. La recherche web via Exa est un outil de la passerelle qui ne figure pas sur la liste de fournisseurs ZDR de Vercel ; la durée pendant laquelle Exa conserve les requêtes de recherche dépend donc des propres conditions d’Exa. Selon Vercel, les saisies et sorties sont supprimées au niveau de la passerelle après l’inférence sous ZDR. Ces commandes au niveau de la passerelle et du fournisseur en aval ne suppriment, ne raccourcissent ni ne modifient le stockage au niveau de l’application chez Customermates décrit ci-dessus ; les métadonnées de routage et d’utilisation ainsi que les enregistrements d’utilisation et de facturation de Customermates peuvent toujours être stockés. Le client ne peut rendre accessibles à Mate des données à caractère personnel qu’il est autorisé à traiter que dans la mesure où cela est nécessaire à la tâche demandée, et reste responsable d’une base juridique applicable, de la limitation des finalités, de la transparence, de la minimisation des données, des restrictions d’accès et de mesures de protection adaptées au risque. Avant de rendre accessibles à Mate des catégories particulières de données à caractère personnel au sens de l’art. 9 du RGPD, des données relatives aux condamnations pénales et aux infractions au sens de l’art. 10 du RGPD, des informations sur des comptes financiers ou des éléments d’identification délivrés par des autorités, le client doit remplir les conditions légales supplémentaires applicables à ces données et limiter les données et les accès à ce qui est nécessaire.

L’utilisation de Mate peut impliquer des traitements aux États-Unis et dans d’autres pays utilisés par Vercel, Google Cloud, Exa, TypeSafe AI et leurs sous-traitants ultérieurs. L’addendum de traitement des données de Vercel intègre, pour les transferts restreints couverts par cet addendum, les clauses contractuelles types de l’UE de 2021. Les conditions désignées par Vercel pour Google Cloud, Exa et TypeSafe AI, les rôles des destinataires, l’étendue de ZDR, les informations sur les transferts et les limitations contractuelles et régionales connues sont décrits sous sous-traitants ultérieurs. Informations complémentaires :

• Vercel AI Product Terms : https://vercel.com/legal/ai-product-terms
• Notices relatives à Vercel AI Gateway : https://vercel.com/legal/notices-and-license-information
• Vercel Zero Data Retention : https://vercel.com/docs/ai-gateway/security-and-compliance/zdr
• Vercel Data Processing Addendum : https://vercel.com/legal/dpa
• Informations de Google sur la gouvernance des données pour les modèles génératifs dans Vertex AI : https://docs.cloud.google.com/gemini-enterprise-agent-platform/resources/zero-data-retention
• Politique de confidentialité d’Exa : https://exa.ai/privacy-policy

Responsabilité

Dans la mesure où Customermates agit en qualité de responsable du traitement, Customermates est responsable du traitement dans le cadre de la mise à disposition et de l’exploitation technique de Mate. Lorsqu’un client utilise Mate avec des données à caractère personnel dont il est le responsable du traitement, Customermates agit en qualité de sous-traitant, comme décrit ci-dessus et dans l’accord de traitement des données.

8. Fichiers et adresses dans les enregistrements

La présente section décrit le service cloud géré de Customermates. Un exploitant indépendant en auto-hébergement décide lui-même où les fichiers sont stockés, d’où les données de codes postaux sont chargées et s’il emploie son propre service de recherche d’adresses.

Fichiers dans les enregistrements (Vercel Blob)

Les utilisateurs peuvent téléverser des fichiers dans les champs de fichiers des enregistrements, par exemple des contrats, des offres, des photos ou des certificats, jusqu’à la limite de taille configurée (1 Go par défaut). Dans le service géré, le contenu du fichier est stocké dans un stockage privé Vercel Blob de Vercel Inc. (voir la section 2). Un fichier n’est pas accessible publiquement : Customermates ne le met à disposition que des utilisateurs autorisés à lire l’enregistrement et le champ, par l’application ou par un lien de téléchargement qui expire au bout de 15 minutes. Le nom du fichier, le type de fichier, la taille, l’heure du téléversement, l’utilisateur qui a téléversé et le texte extrait du fichier sont stockés dans notre base de données (voir la section 2, « Neon »).

Un fichier retiré d’un enregistrement est supprimé 30 jours après son retrait, et un fichier téléversé mais jamais enregistré dans un enregistrement est supprimé au bout de 24 heures. Les fichiers qu’un utilisateur joint à un message adressé à Mate sont stockés de la même manière et ne sont disponibles que pour cet utilisateur jusqu’à ce qu’ils soient déposés sur un enregistrement ; les règles de l’enregistrement s’appliquent ensuite. Un tel fichier qui n’est pas déposé sur un enregistrement est supprimé 30 jours après le téléversement, lors de la suppression définitive de sa conversation Mate, ou 24 heures après le téléversement s’il n’a jamais été envoyé. Un enregistrement placé dans la corbeille conserve ses fichiers ; la suppression définitive de l’enregistrement, du champ ou de la liste supprime leurs fichiers. Après la fin du contrat, les fichiers sont supprimés ou restitués avec les autres données relevant de la responsabilité du client, comme décrit dans l’accord de traitement des données.

Texte dans les fichiers et recherche (Google Cloud Vertex AI)

Après qu’un fichier a été enregistré dans un enregistrement ou joint à un message adressé à Mate, Customermates en extrait le texte, par exemple à partir de PDF avec couche de texte ainsi que de fichiers Word, Excel, CSV, texte, Markdown, JSON et HTML, au sein de sa propre application et sans service externe. Customermates stocke le texte et un index de recherche dans sa base de données, afin que la recherche, l’interface MCP et Mate puissent trouver et lire le fichier pour les utilisateurs autorisés à lire l’enregistrement et le champ. Les documents numérisés et les images ne sont pas lus ; aucune reconnaissance de texte n’a lieu.

Lorsque l’espace de travail dispose de crédits IA, Customermates envoie en outre des extraits de texte de fichiers et de pages de la base de connaissances ainsi que les requêtes de recherche utilisées pour les rechercher, par Vercel AI Gateway, à Google Cloud Vertex AI. Vertex AI renvoie des embeddings, c’est-à-dire des vecteurs numériques pour une recherche fondée sur le sens, que Customermates stocke dans sa base de données. La commande Zero Data Retention à l’échelle de l’équipe décrite à la section 7 s’applique également à ces requêtes, et elles sont envoyées avec l’utilisation des saisies à des fins d’entraînement désactivée ; contrairement au modèle par défaut de Mate, elles ne sont toutefois pas fixées sur une zone d’inférence UE. Sans crédits IA, les fichiers et pages de la base de connaissances ne sont trouvés que par leurs mots, et aucun texte n’est transmis pour les embeddings.

Vérification d’adresses et codes postaux

Les utilisateurs peuvent stocker des adresses postales dans les champs d’adresse des enregistrements. Lorsqu’une adresse est enregistrée ou vérifiée, que ce soit dans l’application, par l’interface API ou MCP, lors d’un import ou par Mate, Customermates la vérifie sur ses propres serveurs : à l’aide des formats d’adresse de chaque pays qui font partie de l’application, et à l’aide d’un répertoire des codes postaux avec leurs localités, régions et coordonnées approximatives, qui se trouve dans notre base de données (voir la section 2, « Neon »). Pour ces vérifications, Customermates ne transmet aucune donnée d’adresse à des tiers, et le service géré ne propose pas de recherche d’adresses par un service externe. Lorsque le répertoire connaît le code postal, Customermates enregistre l’adresse avec les coordonnées approximatives de sa zone de code postal.

Le répertoire est constitué à partir des fichiers publics de codes postaux de GeoNames (https://www.geonames.org). Lorsqu’une adresse est vérifiée pour la première fois dans un pays, Customermates télécharge le fichier de ce pays depuis le serveur de téléchargement de GeoNames, puis à nouveau dès qu’il date de plus de 90 jours. Un tel téléchargement part de nos serveurs et non de l’appareil d’un utilisateur, et ne demande que le fichier public ; il ne contient ni adresses, ni contenus d’enregistrements, ni textes de recherche, ni adresses IP, ni autres données à caractère personnel d’utilisateurs ou de clients.

Un clic sur une adresse dans un champ réglé sur Ouvrir dans une carte (le réglage par défaut) ouvre l’adresse dans un nouvel onglet du navigateur sur openstreetmap.org. Le navigateur de l’utilisateur transmet alors l’adresse à ce site web, qui est exploité par la OpenStreetMap Foundation et auquel s’applique sa propre politique de confidentialité.

Base juridique et rôles

Les fichiers, le texte qui en est extrait, les embeddings et les adresses dans les enregistrements sont des contenus relevant de la responsabilité du client. Le client est le responsable du traitement et détermine la base juridique ; Customermates traite ces contenus sur instruction documentée du client, en qualité de sous-traitant au sens de l’art. 28 du RGPD et de l’accord de traitement des données. Le téléversement d’un fichier, une recherche ou l’enregistrement ou la vérification d’une adresse constitue une telle instruction. Le client reste responsable de déterminer quels fichiers et quelles adresses peuvent être stockés dans le CRM. Les fournisseurs mentionnés ci-dessus et leurs bases de transfert sont indiqués sous sous-traitants ultérieurs.