Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via la plateforme est :

• Société : [À compléter : raison sociale et forme juridique]
• Siège social : [À compléter : adresse complète]
• Email DPO / contact RGPD : dpo@prospect-pro.fr (à personnaliser)

2. Données que nous collectons

2.1 Données que vous nous fournissez directement

• Création de compte : nom complet, email professionnel, mot de passe (stocké hashé via Supabase Auth), nom de votre entreprise.
• Utilisation de la plateforme : leads que vous importez ou scrapez, templates de messages que vous rédigez, campagnes que vous créez, paramètres d'automatisation (quotas LinkedIn, horaires, etc.).
• Comptes tiers connectés : tokens OAuth Gmail (pour envoi d'emails) et tokens de pairing de l'extension Chrome LinkedIn. Ces tokens sont chiffrés et utilisés uniquement pour les actions que vous déclenchez.

2.2 Données collectées automatiquement

• Logs techniques : adresse IP, navigateur, système d'exploitation, pages visitées, timestamps. Conservés 12 mois maximum pour des raisons de sécurité et de débogage.
• Cookies : voir la Politique des cookies.

2.3 Données collectées via les outils de prospection

Lorsque vous utilisez ProspectPro pour prospecter, vous pouvez collecter et traiter des données personnelles de tiers (vos prospects). Ces données proviennent de :

• Sources publiques : Google Maps, Pappers, LinkedIn, annuaires, sites web.
• APIs tierces : Apollo, enrichissement d'emails.
• Vos imports manuels : CSV, saisie directe.

Dans ce cas, vous êtes responsable du traitement de ces données et ProspectPro agit en tant que sous-traitant. Vous êtes tenu de respecter le RGPD, notamment d'informer les prospects, de disposer d'une base légale valable (intérêt légitime en B2B), et de respecter leurs droits (désinscription, accès, suppression).

3. Finalités et bases légales

Vos données sont traitées pour les finalités suivantes :

• Fournir le service (exécution du contrat, article 6.1.b RGPD) : création du compte, authentification, exécution des fonctionnalités de scraping, scoring IA, campagnes, inbox, analytics.
• Sécurité et prévention des fraudes (intérêt légitime, article 6.1.f) : logs techniques, détection d'activité anormale.
• Amélioration du service (intérêt légitime / consentement pour les analytics) : mesure d'audience agrégée, retours utilisateurs.
• Respect de nos obligations légales (article 6.1.c) : facturation, comptabilité.
• Marketing direct (consentement ou intérêt légitime B2B) : emails d'actualités produit, enquêtes. Vous pouvez vous désinscrire à tout moment.

4. Destinataires et sous-traitants

Vos données ne sont pas vendues. Elles peuvent être partagées avec les sous-traitants techniques suivants, liés par des accords contractuels (DPA) :

• Vercel (hébergement applicatif), États-Unis, clauses contractuelles types UE.
• Neon (base de données PostgreSQL), UE (eu-central-1).
• Supabase (authentification et stockage), UE (eu-west).
• OpenAI / Anthropic (scoring IA, personnalisation des messages), États-Unis, clauses contractuelles types UE. Les données envoyées sont limitées au strict nécessaire (poste, entreprise, template) et ne sont pas utilisées pour l'entraînement.
• Google Cloud / Gmail API (envoi des emails), uniquement si vous connectez votre compte Gmail.

5. Transferts hors UE

Certains sous-traitants sont établis aux États-Unis. Les transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'adéquation du 10 juillet 2023 pour les organisations certifiées Data Privacy Framework) et par des mesures techniques complémentaires (chiffrement en transit TLS 1.3, chiffrement au repos).

6. Durée de conservation

• Compte utilisateur actif : tant que le compte est actif, puis 3 ans après la dernière connexion.
• Compte supprimé : suppression complète des données dans un délai de 30 jours.
• Logs techniques : 12 mois maximum.
• Factures et documents comptables : 10 ans (obligation légale).
• Données de prospection : sous votre responsabilité. Nous recommandons une durée maximum de 3 ans après le dernier contact actif en B2B.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants, que vous pouvez exercer à tout moment en écrivant à dpo@prospect-pro.fr :

• Droit d'accès à vos données (article 15).
• Droit de rectification (article 16) : la plupart des données sont éditables directement depuis les paramètres de votre compte.
• Droit à l'effacement (article 17) : suppression définitive du compte.
• Droit à la limitation du traitement (article 18).
• Droit à la portabilité (article 20) : export de vos données en format CSV / JSON.
• Droit d'opposition (article 21) : notamment au marketing direct.
• Droit de retirer votre consentement à tout moment, sans que cela n'affecte la licéité du traitement antérieur.
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Nous nous engageons à répondre dans un délai d'un mois maximum (article 12.3 RGPD), sauf prolongation justifiée.

8. Sécurité

Nous mettons en œuvre les mesures suivantes :

• Chiffrement des données en transit (TLS 1.3) et au repos.
• Hachage des mots de passe via Supabase Auth (bcrypt). Nous ne stockons jamais de mot de passe en clair.
• Authentification à deux facteurs disponible sur les comptes sensibles (Google, Gmail API).
• Segmentation des accès, principe du moindre privilège.
• Sauvegardes automatiques chiffrées, tests de restauration réguliers.
• Audits de sécurité réguliers et mise à jour des dépendances.

9. Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans un délai de 72 heures (article 33 RGPD) et vous en informerons directement si la violation est susceptible d'engendrer un risque élevé (article 34).

10. Modifications

Cette politique peut être modifiée pour refléter des évolutions légales ou fonctionnelles. Les changements substantiels vous seront notifiés par email et via une bannière d'information. La date en haut de cette page reflète la dernière mise à jour.

11. Contact

Toute question relative à cette politique peut être adressée à dpo@prospect-pro.fr ou par courrier à l'adresse du siège social indiquée dans les Mentions légales.