Politique de confidentialité

Le responsable du traitement est Wedey OÜ, société immatriculée en Estonie sous le numéro 17153535, dont le siège social est situé Sepapaja tn 6, 15551 Tallinn, Estonie. Pour toute question relative à vos données, écrivez à [email protected].

Pour les données des personnes qui visitent le portfolio d'un client (messages, rendez-vous, abonnés, conversations avec l'assistant), le responsable du traitement est ce client, et nous agissons comme sous-traitant selon l'accord de sous-traitance.

• Compte : adresse e-mail et empreinte du mot de passe (jamais le mot de passe en clair). Optionnellement votre nom et un avatar.
• Connexion avec Google : si vous choisissez ce mode, Google nous transmet votre adresse e-mail, votre nom et votre photo de profil. Nous ne recevons aucun accès à votre compte Google.
• Données de portfolio : tout contenu que vous publiez — texte, images, vidéos, liens sociaux, témoignages, prix, créneaux de réservation.
• Import de CV ou de profil LinkedIn : lorsque vous le demandez, nous lisons le document que vous déposez ou la page publique du profil dont vous donnez l'adresse, et nous en extrayons des champs qui vous sont proposés. Le document et la page ne sont pas conservés ; le texte d'un CV est transmis à notre prestataire d'intelligence artificielle pour l'extraction.
• Agenda Google : si vous connectez votre agenda, nous lisons vos plages occupées pour masquer les créneaux indisponibles et nous créons un événement lorsque vous confirmez un rendez-vous. Le jeton d'accès est chiffré ; vous pouvez déconnecter l'agenda à tout moment.
• Mesure d'audience du site oReel : nos serveurs enregistrent la page demandée, le site référent, les paramètres de campagne, le pays, le type d'appareil et de navigateur. Aucune adresse IP n'est enregistrée : une visite est rattachée à une empreinte recalculée chaque jour, qui ne permet pas de vous reconnaître d'un jour à l'autre. Cette mesure ne dépose aucun cookie.
• Événements analytiques du produit : après votre acceptation des cookies analytiques, pages vues, clics, mesures de performance et erreurs rencontrées dans votre navigateur, avec votre adresse IP (dont nous déduisons un pays et une ville). Une fois connecté, ces événements sont rattachés à votre compte afin que nous puissions traiter une demande d'assistance. Aucune donnée n'est revendue ni croisée avec un annonceur.
• Enregistrement de session : après votre acceptation des cookies analytiques, le déroulé de votre visite (navigation, clics, saisies) pour reproduire un dysfonctionnement. Les champs de mot de passe sont masqués ; aucune donnée de carte ne transite par nos pages. Vous pouvez retirer votre accord via « Gérer les cookies ».
• Statistiques d'un portfolio : le propriétaire d'un portfolio voit le PAYS d'où vient chaque vue — jamais la ville ni l'adresse IP, qui ne sont pas conservées pour cet usage.
• Données des visiteurs d'un portfolio : nom, e-mail et message des personnes qui écrivent ou réservent un créneau ; e-mail des abonnés à une lettre d'information ; questions posées à l'assistant (sans adresse IP).
• Paiements : Stripe traite la totalité du paiement. Nous recevons le pays et, le cas échéant, le numéro de TVA nécessaires au calcul de la taxe, mais aucune donnée de carte.

• Fournir le service oReel (création, édition, hébergement et diffusion de votre portfolio).
• Facturer, calculer les taxes dues et tenir la comptabilité.
• Communications essentielles (sécurité, facturation, rendez-vous, messages reçus).
• Support client lorsque vous nous contactez.
• Mesure d'audience et amélioration du produit.
• Prévention de la fraude et des abus, limitation du nombre de requêtes.

• Exécution du contrat — compte, hébergement de vos contenus, imports que vous demandez, connexion de votre agenda, paiement.
• Consentement — cookies analytiques et enregistrement de session, inscription à une lettre d'information (retirable à tout moment).
• Intérêt légitime — sécurité, prévention de la fraude, journaux d'erreurs, mesure d'audience sans cookie ni adresse IP.
• Obligation légale — conservation des pièces comptables et fiscales.

• Données de compte et de portfolio : tant que votre compte est actif.
• Après suppression de votre compte (via Paramètres > Zone sensible) : effacement de toutes vos données et de vos fichiers, immédiatement — ou au terme des 30 jours de suspension si vous avez choisi de suspendre d'abord. Les copies de sauvegarde suivent dans les délais ci-dessous.
• Sauvegardes : une copie quotidienne, conservée 14 jours ; un fichier supprimé du service est retiré de la copie sous 30 jours.
• Journaux d'erreurs : 90 jours.
• Mesure d'audience et événements analytiques : 13 mois maximum.
• Pièces comptables : durée imposée par la loi applicable (jusqu'à 10 ans).

Nous travaillons avec des sous-traitants sélectionnés, liés par un accord de traitement des données conforme au RGPD :

• Supabase — authentification, base de données et stockage des fichiers. Lieu de traitement : Union européenne (eu-central-1).
• Stripe — traitement des paiements, des abonnements et du calcul des taxes. Lieu de traitement : Irlande et États-Unis (clauses contractuelles types).
• Brevo — envoi des e-mails transactionnels. Lieu de traitement : France — société française, données dans l'Union européenne.
• DeepSeek — fonctionnalités d'intelligence artificielle (rédaction de bio, chatbot visiteur, extraction de CV) ; les requêtes ne servent pas à entraîner les modèles. Lieu de traitement : hors Union européenne (clauses contractuelles types).
• Contabo GmbH — hébergement de l'application sur un serveur dédié. Lieu de traitement : Lauterbourg, France.
• Cloudflare — réseau de diffusion, protection contre les attaques et vérification anti-robot (Turnstile) ; voit l'adresse IP de chaque requête. Lieu de traitement : réseau mondial, société américaine (clauses contractuelles types).
• Upstash — limitation du nombre de requêtes contre les abus ; conserve l'adresse IP ou l'identifiant de compte quelques minutes. Lieu de traitement : Francfort, Allemagne (région UE).
• Sentry — collecte des erreurs techniques pour diagnostic. Lieu de traitement : Union européenne (région UE).
• PostHog — mesure d'audience du produit, enregistrement de session et suivi d'erreurs côté navigateur. Lieu de traitement : Union européenne (région UE).

Google agit comme responsable de traitement distinct lorsque vous vous connectez avec votre compte Google ou connectez votre agenda ; sa propre politique de confidentialité s'applique.

Vous disposez des droits suivants sur vos données. La plupart s'exercent directement depuis votre tableau de bord.

• Accès et portabilité — exportez toutes vos données au format JSON via Paramètres > Zone sensible.
• Rectification — modifiez votre profil dans Paramètres > Profil.
• Effacement — supprimez définitivement votre compte via Paramètres > Zone sensible.
• Opposition et retrait du consentement — refusez les cookies analytiques via « Gérer les cookies » en pied de page.
• Limitation du traitement — écrivez-nous.
• Droit d'introduire une réclamation auprès de l'autorité de contrôle de votre pays, ou de l'autorité estonienne (Andmekaitse Inspektsioon).

Si vous êtes le visiteur d'un portfolio, adressez d'abord votre demande à son propriétaire ; nous l'aiderons à y répondre.

oReel utilise un nombre minimal de cookies :

• Cookies techniques — session de connexion, langue choisie, mémoire de votre choix de cookies, et lien de parrainage (30 jours). Ils sont nécessaires au service et ne demandent pas de consentement.
• Cookies analytiques — uniquement après votre consentement explicite. Aucun cookie publicitaire, jamais.

L'application est hébergée sur un serveur dédié Contabo GmbH situé à Lauterbourg (France), et la base de données dans l'Union européenne. Certains sous-traitants listés à l'article 5 traitent des données hors de l'Union européenne, notamment aux États-Unis.

Ces transferts sont encadrés par une décision d'adéquation de la Commission européenne (dont le cadre de protection des données UE–États-Unis lorsque le destinataire y adhère) ou par les clauses contractuelles types. Vous pouvez désactiver les fonctions d'intelligence artificielle en ne les utilisant pas.

• Chiffrement TLS de toutes les communications.
• Cloisonnement des données au niveau de la base (Row Level Security) : chaque client n'accède qu'à ses propres données.
• Mots de passe hachés par notre fournisseur d'authentification.
• Limitation du nombre de requêtes et vérification anti-robot sur les formulaires publics.
• Journal d'audit des actions d'administration.
• Sauvegarde quotidienne des données et des fichiers, avec test de restauration automatique.

Pour toute question ou pour exercer vos droits, écrivez à [email protected]. Nous répondons dans un délai d'un mois au plus.

Cette politique peut évoluer avec le service ou la réglementation. La date en tête de page indique la dernière mise à jour. En cas de changement important, nous vous prévenons par e-mail avant son entrée en vigueur.