La présente politique décrit la manière dont WeAreFlow (ci-après « nous », « le Service ») collecte, utilise, conserve et protège vos données personnelles, conformément au Règlement Général sur la Protection des Données (Règlement (UE) 2016/679, « RGPD ») et à la loi Informatique et Libertés.
1. Responsable de traitement
Le responsable du traitement de vos données personnelles est :
- Entité : [À COMPLÉTER : raison sociale]
- Forme juridique : [À COMPLÉTER : SAS, SASU, SARL…]
- Siège social : [À COMPLÉTER : adresse postale complète]
- Immatriculation : [À COMPLÉTER : SIREN / RCS]
Délégué à la protection des données (DPO) : pour toute question relative à vos données ou à la présente politique, vous pouvez contacter notre référent à l'adresse [À COMPLÉTER : dpo@votre-domaine.fr].
2. Données que nous collectons
Nous collectons uniquement les données strictement nécessaires au fonctionnement du Service :
2.1 Données de compte
- Adresse e-mail (identifiant de connexion, communications transactionnelles).
- Nom et, le cas échéant, fonction / rôle.
- Entreprise et site web associés à votre compte.
- Données techniques liées à l'authentification (jeton de session, préférences).
2.2 Données d'usage et de mesure d'audience
Ces mesures reposent sur deux dispositifs distincts, soumis à des règles différentes. Le refus de l'un n'emporte pas le refus de l'autre.
a) Mesure d'audience dans votre navigateur — via PostHog (instance européenne, eu.i.posthog.com). Elle se décompose en deux niveaux :
Niveau 1 — mesure d'audience anonyme, sans consentement. Nous mesurons les pages vues, la provenance du trafic et les temps de chargement, sous forme de statistiques agrégées. Cette mesure bénéficie de l'exemption de consentement prévue pour la mesure d'audience : elle sert exclusivement à notre propre statistique, votre adresse IP est anonymisée, aucun identifiant ne survit à la fermeture de votre onglet, il n'y a aucun suivi d'un site à l'autre, aucune publicité, et aucune donnée n'est recoupée avec un autre traitement ni transmise à un tiers à ses propres fins.
Niveau 2 — analyse détaillée, après votre consentement. Si vous l'acceptez via le bandeau, nous mesurons en plus :
- le rattachement de votre parcours à votre compte, entre plusieurs visites ;
- les événements d'interaction (clics, fonctionnalités utilisées) ;
- la durée et la fréquence des sessions.
Si vous refusez, le niveau 2 n'est pas activé : aucun identifiant persistant n'est déposé et votre navigation n'est jamais rattachée à votre compte. La mesure d'audience anonyme du niveau 1, qui ne relève pas du consentement, se poursuit. Vous pouvez modifier votre choix à tout moment depuis Paramètres › Confidentialité.
Nous conservons la trace de votre choix (décision, date, version du texte présenté) afin de pouvoir en justifier, conformément à l'article 7.1 du RGPD. Cette trace ne contient ni votre adresse IP ni votre navigateur.
b) Mesure d'usage du service, côté serveur — lorsque vous êtes connecté à votre compte, nos serveurs enregistrent des événements techniques d'utilisation (connexion, lancement d'une analyse, génération d'un contenu, changement de formule) associés à votre identifiant interne. Ces mesures n'utilisent aucun cookie et n'accèdent pas à votre terminal : elles ne relèvent donc pas du consentement aux traceurs, mais de notre intérêt légitime à faire fonctionner, sécuriser et améliorer le service (article 6.1.f du RGPD).
Nous n'y transmettons ni votre nom, ni votre adresse e-mail, ni le nom de votre entreprise : seul un identifiant technique est utilisé. Vous pouvez vous opposer à cette mesure à tout moment, sans justification et sans conséquence sur le service, depuis Paramètres › Mesure d'usage dans votre espace, ou en nous écrivant (section 10). L'opposition prend effet immédiatement.
2.3 Données techniques et de sécurité
- Adresse IP, utilisée pour la limitation de débit (rate limiting) et la prévention des abus.
- Journaux techniques (logs serveur, rapports d'erreurs) nécessaires à la sécurité et au bon fonctionnement du Service.
- Cookies et traceurs (voir la section dédiée ci-dessous).
3. Finalités et bases légales
Chaque traitement repose sur une base légale identifiée au sens de l'article 6 du RGPD :
| Finalité | Base légale |
|---|---|
| Fourniture du Service (compte, audit, génération) | Exécution du contrat (art. 6.1.b) |
| Mesure d'audience anonyme (statistiques agrégées) | Intérêt légitime (art. 6.1.f), exemptée de consentement au titre de la mesure d'audience |
| Analyse détaillée de navigation rattachée au compte | Consentement (art. 6.1.a) |
| Mesure d'usage côté serveur | Intérêt légitime (art. 6.1.f) |
| Sécurité, prévention des abus, rate limiting | Intérêt légitime (art. 6.1.f) |
| Communications transactionnelles (e-mails de service) | Exécution du contrat (art. 6.1.b) |
| Facturation et paiement | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c) |
4. Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles peuvent être traitées par des sous-traitants soigneusement sélectionnés, agissant sur nos instructions et liés par un accord de traitement des données (DPA) conforme à l'article 28 du RGPD :
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| PostHog | Mesure d'audience / analytics | Union européenne (eu.i.posthog.com) |
| Scaleway SAS | Hébergement, base de données, cache | France (Paris, région fr-par) |
| Mistral AI SAS | Génération et analyse de contenu par IA | Union européenne |
| Stripe Payments Europe Ltd | Traitement des paiements et facturation | Union européenne (groupe américain) |
| Resend / Mailjet | Envoi des e-mails de service | UE / international (voir transferts) |
| Sentry (Functional Software, Inc.) | Surveillance des erreurs techniques | UE / international (voir transferts) |
| Crisp IM SAS | Chat d'assistance | Union européenne |
| Langfuse GmbH | Observabilité des traitements d'IA | Union européenne |
| DataForSEO LLC | Données de référencement (noms de domaine, mots-clés) | États-Unis |
| Exa Labs, Inc. | Recherche documentaire | États-Unis |
Destinataires agissant comme responsables de traitement autonomes
Les tiers suivants ne traitent pas vos données sur nos instructions mais déterminent leurs propres finalités. Ils vous informent de leurs traitements par leurs politiques respectives.
- LinkedIn Ireland Unlimited Company — si vous choisissez ce mode de connexion, ou si vous publiez un contenu vers votre compte.
- Hunter Web Services, Inc. — voir ci-dessous.
Données obtenues auprès de tiers — information au titre de l'article 14 du RGPD
Afin de vous éviter une saisie manuelle lors de la création de votre compte, nous interrogeons le service Hunter (Hunter Web Services, Inc.) en lui transmettant votre adresse e-mail professionnelle. Ce service, qui constitue et exploite sa propre base de données de contacts professionnels, peut nous retourner votre fonction, le nom de votre employeur et le domaine de son site web.
- Source : la base de Hunter, alimentée par ce service à partir de sources publiques, indépendamment de nous.
- Finalité : strictement le pré-remplissage du formulaire de configuration. Ces informations vous sont présentées à l'écran suivant et vous pouvez les modifier ou les effacer avant toute validation.
- Usages exclus : ces informations ne sont jamais utilisées à des fins de prospection, de segmentation commerciale ou de notation.
- Base légale : notre intérêt légitime (art. 6.1.f) à réduire la friction d'inscription, mis en balance avec vos droits. Vous pouvez vous y opposer à tout moment ; cet enrichissement est alors désactivé pour votre compte.
- Vos droits auprès de Hunter : pour connaître ou faire corriger les informations que Hunter détient sur vous dans sa propre base, ces droits s'exercent directement auprès de Hunter, qui en est le responsable de traitement.
5. Durées de conservation
- Données de compte : conservées tant que votre compte est actif, puis supprimées sur demande ou à la clôture du compte.
- Données analytics (PostHog) : 24 mois maximum, puis anonymisation ou suppression.
- Journaux d'audit et de sécurité : conservés pour une durée limitée nécessaire à la sécurité du Service, puis supprimés.
- Données de facturation : conservées pour la durée légale applicable en matière comptable et fiscale.
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès - obtenir une copie des données vous concernant.
- Droit de rectification - corriger des données inexactes.
- Droit à l'effacement - demander la suppression de vos données.
- Droit à la portabilité - recevoir vos données dans un format structuré et réutilisable.
- Droit d'opposition - vous opposer à un traitement fondé sur l'intérêt légitime.
- Droit de retrait du consentement - à tout moment, sans affecter la licéité du traitement antérieur.
Vous pouvez exercer la plupart de ces droits directement depuis vos paramètres de compte (export et suppression de vos données), ou en écrivant à notre DPO à [À COMPLÉTER : dpo@votre-domaine.fr]. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).
7. Transferts hors Union européenne
Certains de nos sous-traitants peuvent être amenés à traiter des données en dehors de l'Union européenne. C'est notamment le cas de PostHog Inc. (entité de droit américain). Ces transferts sont encadrés par des clauses contractuelles types (CCT / SCC) approuvées par la Commission européenne, ainsi que par les garanties appropriées prévues au chapitre V du RGPD. Un accord de traitement des données (DPA) est conclu avec chacun de nos sous-traitants.
8. Cookies
Nous utilisons deux catégories de cookies et traceurs :
- Cookies fonctionnels (nécessaires) : indispensables au fonctionnement du Service (session, authentification, préférences). Ils ne requièrent pas votre consentement.
- Cookies de mesure d'audience (analytics) : utilisés par PostHog, déposés uniquement après recueil de votre consentement. Vous pouvez retirer ce consentement à tout moment.
La mesure d'usage effectuée côté serveur (section 2.2.b) n'emploie aucun cookie et ne relève pas de cette section : elle est fondée sur l'intérêt légitime et fait l'objet d'un droit d'opposition distinct, décrit en section 2.2.b.
9. Modifications
La présente politique peut évoluer afin de refléter des changements réglementaires ou techniques. Toute modification substantielle vous sera notifiée et la date de dernière mise à jour figurant en tête de page sera actualisée.
10. Contact
Pour toute question relative à cette politique ou à vos données personnelles, écrivez-nous à [À COMPLÉTER : dpo@votre-domaine.fr].