Politique de confidentialité

Responsable de traitement

Le responsable du traitement des données collectées via stalkbook.app est :

• CodeHouse [À COMPLÉTER : forme juridique]
• Siège social : [À COMPLÉTER : adresse]
• Email : contact@codehouse.fr

Nous n'avons pas désigné de Délégué à la Protection des Données (DPO) car notre activité ne nécessite pas, à ce jour, une désignation obligatoire au sens de l'article 37 du RGPD. Pour toute question relative à vos données, contactez-nous à l'adresse ci-dessus.

Données personnelles collectées

Nous collectons les catégories de données suivantes :

Données de compte

• Adresse email (identifiant de connexion)
• Mot de passe (stocké chiffré, jamais en clair)
• Nom, prénom (optionnels)
• Préférences utilisateur (formule, paramètres de notification)

Données de facturation

• Adresse de facturation
• Raison sociale et numéro de TVA intracommunautaire (clients professionnels)
• Historique des transactions (montants, dates, factures)
• Aucune donnée bancaire (numéro de carte, CVV) n'est stockée sur nos serveurs : tout passe directement par notre prestataire de paiement Stripe.

Données d'usage

• Mots-clés configurés, listes de groupes Facebook surveillés, tâches planifiées
• Leads détectés et stockés dans le dashboard
• Logs techniques (adresse IP, user-agent, timestamps de connexion)
• Métriques d'utilisation (nombre de leads consultés, exports effectués)

Données issues de Facebook

Lors de la surveillance des groupes que vous configurez, nos comptes de scraping lisent les publications publiques au sein de ces groupes et en extraient :

• Le contenu textuel de la publication ou du commentaire correspondant à un mot-clé
• Le nom public et l'URL de profil de l'auteur
• L'URL de la publication et l'horodatage
• Le nom du groupe d'origine

Ces données sont accessibles dans votre dashboard. Vous êtes responsable de leur traitement ultérieur (cf. section 06).

Finalités du traitement

Vos données sont traitées pour les finalités suivantes :

• Fourniture du service : création et gestion de votre compte, exécution du monitoring, restitution des leads dans le dashboard.
• Facturation et recouvrement : prélèvement des abonnements, émission des factures, gestion des impayés.
• Communication contractuelle : notifications de leads, alertes système, emails transactionnels (confirmation de souscription, reset password, fin d'abonnement).
• Support utilisateur : traitement des demandes envoyées à contact@codehouse.fr.
• Amélioration du service : analyse statistique anonymisée des usages pour améliorer les algorithmes de matching et l'ergonomie.
• Sécurité : détection des fraudes, prévention des abus, conservation de logs en cas d'incident.
• Obligations légales : conservation des factures pendant 10 ans (Code de commerce), réponse aux réquisitions judiciaires.

Bases légales du traitement

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale identifiée :

• Exécution du contrat (art. 6.1.b) : gestion du compte, fourniture du service, facturation.
• Obligation légale (art. 6.1.c) : conservation comptable, lutte contre la fraude.
• Intérêt légitime (art. 6.1.f) : amélioration du service, sécurité, analyse statistique anonymisée. Vous disposez d'un droit d'opposition (cf. section 07).
• Consentement (art. 6.1.a) : emails marketing optionnels, cookies non essentiels (cf. section 09). Le consentement est libre, éclairé et révocable à tout moment.

Destinataires et sous-traitants

Pour fournir le Service, nous faisons appel à des sous-traitants qui peuvent traiter vos données pour notre compte, dans le cadre de contrats conformes à l'article 28 du RGPD. La liste à jour de nos sous-traitants est la suivante :

• Stripe Payments Europe Ltd. (Irlande) — paiements et facturation. Politique Stripe
• Resend Inc. (États-Unis, clauses contractuelles types) — envoi d'emails transactionnels. Politique Resend
• Vercel Inc. ou [À COMPLÉTER : hébergeur réel] — hébergement de l'application web et de l'API.
• OpenAI Ireland Ltd. et/ou Anthropic PBC — analyse sémantique des publications pour qualification des leads (envoi de texte sans données nominatives identifiantes lorsque possible).
• Meta Platforms Ireland Ltd. — fournisseur tiers de la plateforme Facebook ; nos comptes de scraping interagissent avec leurs services pour collecter les leads.

Vos données ne sont jamais cédées, louées ou vendues à des tiers à des fins commerciales.

Statut RGPD des leads détectés

Les leads collectés (auteurs de publications dans des groupes Facebook surveillés) constituent des données personnelles au sens du RGPD. La répartition des responsabilités est la suivante :

• CodeHouse agit comme sous-traitant au sens de l'article 28 RGPD lors de la collecte automatisée des leads pour le compte du Client.
• Le Client agit comme responsable de traitement dès lors qu'il consulte, exporte ou utilise ces leads à des fins de prospection.

À ce titre, le Client s'engage à :

• respecter les principes du RGPD (minimisation, finalité, durée de conservation) ;
• fournir l'information requise par l'article 14 RGPD lors de la première prise de contact avec une personne issue d'un lead ;
• respecter le droit d'opposition à la prospection commerciale (article 21.2 RGPD et article L.34-5 du Code des postes et des communications électroniques) ;
• respecter les conditions du démarchage B2B et B2C en vigueur (notamment la doctrine CNIL).

Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que vos données sont traitées, et en recevoir une copie.
• Droit de rectification : corriger toute donnée inexacte ou incomplète.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation : suspendre temporairement le traitement de vos données.
• Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime ou la prospection.
• Droit à la portabilité : récupérer vos données dans un format structuré, lisible par machine (CSV, JSON).
• Droit de définir des directives post-mortem : organiser le sort de vos données après votre décès.
• Droit de retirer votre consentement à tout moment, sans incidence sur la licéité des traitements antérieurs.

Comment exercer vos droits

Adressez votre demande par email à contact@codehouse.fr, en précisant l'objet de votre demande et en joignant une copie d'une pièce d'identité en cas de doute raisonnable sur votre identité. Une réponse vous sera apportée dans un délai maximum d'un mois (extensible à 3 mois pour les demandes complexes, conformément à l'article 12 RGPD).

Durées de conservation

• Données de compte : pendant toute la durée de l'abonnement, puis 30 jours après résiliation pour permettre une réactivation, puis suppression définitive.
• Données de facturation : 10 ans à compter de la clôture de l'exercice (obligation comptable, article L.123-22 du Code de commerce).
• Leads détectés : pendant toute la durée de l'abonnement, puis 30 jours après résiliation, puis suppression définitive.
• Logs techniques : 12 mois maximum (recommandation CNIL pour les logs de connexion).
• Données de prospection (clients potentiels nous ayant contactés) : 3 ans à compter du dernier contact si pas de souscription.
• Cookies : 13 mois maximum (recommandation CNIL).

Cookies et traceurs

StalkBook utilise un nombre limité de cookies, regroupés en deux catégories :

Cookies strictement nécessaires

Indispensables au fonctionnement du Service (session d'authentification, protection CSRF, préférences de l'interface). Ces cookies ne nécessitent pas de consentement au sens de l'article 82 de la loi Informatique et Libertés.

Cookies de mesure d'audience

[À COMPLÉTER si applicable : ex. « Nous utilisons Plausible Analytics, solution de mesure d'audience respectueuse de la vie privée, sans cookie persistant ni donnée nominative. Aucun consentement n'est requis. » — ou détailler une autre solution avec consentement préalable si Google Analytics, Hotjar, etc.]

Vous pouvez à tout moment paramétrer votre navigateur pour bloquer ou supprimer les cookies. Cela peut toutefois dégrader le fonctionnement du Service.

Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• chiffrement TLS 1.2+ pour toutes les communications (HTTPS forcé) ;
• chiffrement des mots de passe par algorithme de hachage robuste (bcrypt/argon2) ;
• chiffrement au repos des bases de données ;
• contrôle d'accès strict aux serveurs (authentification forte, journalisation) ;
• sauvegardes chiffrées et redondées en Europe ;
• cloisonnement des comptes Facebook de scraping (jamais d'accès aux comptes du Client) ;
• mises à jour de sécurité régulières des dépendances logicielles.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à la notifier à la CNIL dans un délai de 72 heures, et à vous en informer si le risque est élevé, conformément aux articles 33 et 34 du RGPD.

Transferts hors Union Européenne

Certains de nos sous-traitants sont établis hors de l'Union Européenne (notamment Resend, OpenAI, Anthropic). Ces transferts sont encadrés par :

• les Clauses Contractuelles Types (CCT) de la Commission européenne (décision 2021/914) ;
• le cadre Data Privacy Framework (DPF) lorsque le sous-traitant y est certifié.

Nous évaluons régulièrement la pertinence de ces transferts et privilégions, lorsque c'est techniquement possible, des alternatives européennes.

Droit de réclamation

Si vous estimez que le traitement de vos données ne respecte pas la réglementation applicable, vous avez le droit de saisir la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• en ligne : cnil.fr/fr/plaintes
• par courrier : CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Nous vous invitons toutefois à nous contacter en premier lieu à contact@codehouse.fr afin de tenter de résoudre amiablement toute difficulté.

Modification de la politique

La présente politique peut être mise à jour pour refléter l'évolution du Service, de nos sous-traitants ou de la réglementation. Toute modification substantielle vous sera notifiée par email au moins 15 jours avant son entrée en vigueur. La version en vigueur est toujours accessible à l'adresse stalkbook.app/confidentialite.

Dernière mise à jour : [À COMPLÉTER : date].