Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement pour Veesie est :

Manon BV (agissant sous le nom ClickForest)
Zwarte Leeuwstraat 78A, 2820 Bonheiden, Belgique
Numéro d'entreprise / TVA : BE 0549.803.522
E-mail : hello@veesie.com
Site web : veesie.com

2. Quelles données à caractère personnel traitons-nous ?

Nous ne traitons aucune catégorie particulière de données à caractère personnel (comme des données de santé, des opinions politiques ou des données biométriques).

3. Finalités et bases légales

4. Durées de conservation

5. Historique d'essai : hachage anti-abus SHA-256

Pourquoi ?

Veesie propose une période d'essai gratuite à l'inscription. Sans mesure, un utilisateur pourrait supprimer son compte et se réinscrire avec la même adresse e-mail pour obtenir un nouvel essai gratuit. L'enregistrement du hash empêche cet abus : lors d'une nouvelle inscription, nous vérifions si le hash existe déjà. Si c'est le cas, le nouvel essai démarre immédiatement comme expiré.

Base légale

Art. 6(1)(f) RGPD : intérêt légitime. Notre intérêt réside dans l'intégrité commerciale du modèle d'essai et la prévention des abus systématiques. Nous mettons cela en balance avec votre intérêt en matière de vie privée : le hash est pseudonyme (non directement identifiable), l'adresse e-mail elle-même n'est pas conservée, et la seule fonction est une détection binaire (cette adresse a-t-elle déjà bénéficié d'un essai : oui/non).

Vous opposer (Art. 21 RGPD)

Vous pouvez à tout moment vous opposer au traitement de votre hash d'essai via hello@veesie.com. Nous évaluons votre demande dans les 30 jours. En cas d'opposition fondée, nous supprimons le hash de trial_history.

6. Destinataires et sous-traitants

Remarque sur les fournisseurs LLM : les prompts que vous configurez dans Veesie sont transmis aux fournisseurs IA concernés pour traitement. Ils ne contiennent généralement pas de données à caractère personnel (ce sont des questions sur votre marque, pas sur des personnes). Vérifiez toutefois que vos prompts eux-mêmes ne contiennent pas de données à caractère personnel.

Nous ne partageons jamais de données à caractère personnel avec des tiers à des fins de marketing ou de profilage.

Rôle pour les données clients : vous êtes vous-même responsable de la licéité des données que vous saisissez dans Veesie. Pour les données à caractère personnel que vous fournissez en tant que client et que nous traitons pour votre compte, nous pouvons agir comme sous-traitant au sens du RGPD. Un contrat de sous-traitance est disponible sur demande via hello@veesie.com.

7. Transfert international

Les données centrales (compte, clients, résultats) sont conservées dans l'UE (Supabase Francfort). Les appels LLM partent vers des fournisseurs en dehors de l'UE (notamment OpenAI et Anthropic aux États-Unis). Google Analytics 4 et Microsoft Clarity traitent également des données aux États-Unis. Les deux tournent uniquement sur le site public, sans cookies tant que vous ne consentez pas. Ces transferts se font sur la base des Clauses Contractuelles Types (CCT) proposées par les fournisseurs concernés. Par ailleurs, Inngest pilote les mesures sur des serveurs AWS aux États-Unis : pendant une mesure, vos questions, le nom et le site de votre marque, les noms de vos concurrents et les recommandations générées y transitent aussi.

8. Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• Accès (Art. 15) : vous pouvez demander quelles données nous conservons à votre sujet.
• Rectification (Art. 16) : faire corriger des données inexactes.
• Effacement (Art. 17) : supprimer votre compte et toutes les données associées. Vous le faites vous-même via Tableau de bord, Paramètres, Supprimer le compte, ou par e-mail.
• Limitation (Art. 18) : faire limiter temporairement le traitement.
• Portabilité (Art. 20) : demander une copie de vos données dans un format lisible par machine. Vous pouvez le faire vous-même via Tableau de bord, Paramètres, Confidentialité (export JSON).
• Opposition (Art. 21) : vous opposer au traitement fondé sur l'intérêt légitime (notamment le hash d'essai).

Envoyez votre demande à hello@veesie.com. Nous répondons dans les 30 jours calendrier.

Vous avez également le droit d'introduire une réclamation auprès de l’Autorité de protection des données (APD).

9. Cookies et tracking

Cookies strictement nécessaires (aucun consentement requis) : un cookie de session pour l'authentification (Supabase Auth) et des cookies de sécurité de Cloudflare et de Cloudflare Turnstile (protection anti-bot sur les pages d'inscription, de connexion et de réinitialisation du mot de passe). Nous plaçons également un cookie contenant uniquement la langue dans laquelle vous êtes arrivé (nl, en ou fr), afin qu'un compte que vous créez démarre dans cette langue. Il ne contient aucun identifiant et n'est partagé avec personne. Pendant l'onboarding, un cookie retient pendant un an pour quel site le premier scan a déjà démarré automatiquement (le numéro de ce site dans Veesie et son adresse) ; le même indicateur reste aussi dans le stockage de votre navigateur jusqu'à ce que vous l'effaciez. Ainsi, aucun deuxième scan ne démarre et n'utilise vos scans. Si vous refusez les cookies ou retirez votre consentement, un cookie retient uniquement ce choix, pendant un an. Si vous êtes connecté, nous supprimons aussi à ce moment un identifiant publicitaire déjà lié à votre organisation, et ce qui n'était pas encore envoyé à Google ou à Microsoft ne l'est plus.

Cookies analytiques : pour les statistiques du site public, nous utilisons Google Analytics 4 et Microsoft Clarity. Aucun des deux ne fonctionne dans le tableau de bord. Sans votre consentement, les deux mesurent sans cookies : Google Analytics ne fournit alors que des chiffres agrégés et estimés, et Clarity utilise un identifiant distinct par page vue, de sorte que nous ne pouvons pas savoir que plusieurs visites proviennent de la même personne. Clarity enregistre de manière anonyme les mouvements de souris, les clics et le défilement, afin de voir où les visiteurs rencontrent des difficultés. Si vous consentez, les deux peuvent placer des cookies et suivre une visite sur plusieurs pages. Si vous retirez votre choix, cela s'arrête et Clarity supprime ses cookies. Nous ne faisons pas de remarketing et ne constituons pas de profils publicitaires.

Mesure publicitaire : si vous arrivez sur notre site via une annonce, l'URL contient un identifiant de clic (chez Google : gclid, gbraid ou wbraid ; chez Microsoft : msclkid). Si vous y consentez, nous le conservons au maximum 90 jours dans un cookie qui nous est propre et le relions à votre organisation dès votre inscription. Cela nous indique quelle annonce a mené à un client, sans vous suivre sur d'autres sites. Si vous démarrez ensuite un essai ou devenez client, nous renvoyons cet identifiant à Google ou à Microsoft, selon la plateforme qui a affiché l'annonce, pour que l'annonce soit comptée comme réussie. Votre nom et votre adresse e-mail ne sont pas transmis. Si vous refusez, nous ne conservons pas cet identifiant. Dès que nous ferons effectivement de la publicité, Google pourra, avec votre consentement, placer ses propres cookies publicitaires pour cette même mesure ; tant qu'aucune campagne n'est active, cela n'a pas lieu. Avec ce même consentement, nous retenons aussi comment vous êtes arrivé sur le site la première fois : le nom de la campagne dans le lien (valeurs utm) ou le nom du site qui vous a renvoyé vers nous, jamais l'adresse complète de cette page, ainsi que la première page que vous avez consultée sur notre site et la date. Nous le conservons aussi au maximum 90 jours dans un cookie qui nous est propre et le relions à votre organisation, pour savoir quels canaux amènent des clients. Si vous retirez votre consentement via Préférences cookies, nous supprimons ces deux cookies. Si vous utilisez la vérification llms.txt gratuite, sans consentement nous ne conservons qu'une catégorie approximative de votre arrivée (publicité, moteur de recherche, autre site ou accès direct), et avec consentement la source issue du cookie d'origine décrit plus haut. Nous pouvons relier une vérification à un essai ultérieur pour le même domaine.

10. Données utilisateur Google (connexion Analytics)

Si vous connectez votre compte Google Analytics à Veesie, nous lisons uniquement les données de la propriété que vous sélectionnez, via l'API Google Analytics. Nous demandons un accès en lecture seule (analytics.readonly), plus les scopes de base openid et email pour connaître l'adresse e-mail de votre compte Google. Nous utilisons ces données dans un seul but : montrer combien de visiteurs votre site web reçoit depuis des outils d'IA comme ChatGPT, Perplexity et Claude.

Ce que nous conservons : l'adresse e-mail du compte Google utilisé pour la connexion, l'identifiant de la propriété choisie et les jetons d'accès de Google. Ces jetons sont conservés chiffrés (AES-256-GCM). Nous réutilisons par ailleurs un rapport récupéré pendant quinze minutes au maximum, afin que votre tableau de bord n'ait pas à interroger Google à chaque affichage. Le dernier rapport récupéré (uniquement des chiffres agrégés) reste conservé jusqu'à ce qu'il soit écrasé, que vous vous déconnectiez ou que vous supprimiez votre compte. Nous ne récupérons ni ne stockons de données relatives aux visiteurs individuels.

Ce que nous ne faisons pas : nous ne vendons pas ces données, ne les utilisons pas à des fins publicitaires, ne les transmettons pas à des tiers et ne les utilisons pas pour entraîner des modèles d'IA. Personne chez Veesie ne les consulte, sauf si vous demandez une assistance ou si la loi nous y oblige. L'utilisation par Veesie des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences Limited Use.

Révoquer l'accès : le bouton Déconnecter sur la page Traffic de votre tableau de bord met fin à la connexion, après quoi nous supprimons immédiatement les jetons conservés et le rapport mis en cache. Vous pouvez également révoquer l'accès directement auprès de Google, dans les paramètres de sécurité de votre compte Google.

11. Sécurité de vos données

Nous prenons des mesures techniques et organisationnelles appropriées pour protéger vos données, comme l'exige l'art. 32 du RGPD. Pour les données sensibles, telles que votre mot de passe et les jetons d'accès de votre compte Google, s'appliquent en particulier :

• Chiffrement en transit : tout le trafic vers veesie.com passe par HTTPS (TLS). Nous envoyons un en-tête Strict-Transport-Security d'une durée de deux ans, afin que les navigateurs ne se connectent plus jamais sans chiffrement après la première visite.
• Chiffrement au repos : les champs sensibles de notre base de données, dont les jetons d'accès et de rafraîchissement de votre connexion Google Analytics, sont chiffrés avec AES-256-GCM (chiffrement authentifié). Si ces données sont altérées, le déchiffrement échoue. La clé est conservée en dehors de la base de données, comme secret chez notre hébergeur.
• Mots de passe : votre mot de passe est stocké sous forme hachée par Supabase Auth et ne nous est jamais lisible. Un changement de mot de passe se confirme avec un code à usage unique envoyé à votre adresse e-mail, de sorte qu'une session volée ne suffit pas à prendre le contrôle de votre compte.
• Séparation entre clients : chaque organisation ne voit que ses propres données. Row Level Security est activé sur toutes les tables et limite l'accès direct via l'API de la base de données aux données propres au client. L'application elle-même travaille avec un rôle d'administration qui contourne RLS, et des contrôles de propriété dans chaque action serveur y assurent la séparation.
• Accès interne limité : nos pages d'administration internes sont protégées par une couche d'accès supplémentaire et limitées à une liste fixe d'adresses. L'accès aux données de production est réservé aux personnes qui en ont besoin pour la maintenance ou l'assistance.
• Conserver le strict minimum : de votre Google Analytics, nous ne récupérons que des chiffres de rapport agrégés, jamais de données sur des visiteurs individuels. Nous réutilisons un rapport récupéré quinze minutes au maximum ; le dernier rapport récupéré reste conservé jusqu'à ce qu'il soit écrasé. Lorsque vous vous déconnectez, nous supprimons immédiatement et intégralement les jetons d'accès et le rapport conservé.
• La connexion elle-même : le flux OAuth utilise un state signé (HMAC-SHA256) lié à votre session et expirant après dix minutes, afin que personne ne puisse établir une connexion en votre nom. Nous ne demandons qu'un accès en lecture, jamais de droits d'écriture.
• Infrastructure : les données principales sont hébergées chez Supabase à Francfort (UE) et l'application fonctionne sur Cloudflare. Les deux prestataires sont certifiés SOC 2 et ISO 27001 pour leur infrastructure. Les formulaires d'inscription, de connexion et de réinitialisation du mot de passe sont protégés contre les bots par Cloudflare Turnstile, le formulaire de contact par un champ caché (honeypot) et une limite par adresse IP.

Si nous constatons une violation de données présentant un risque pour vos droits et libertés, nous la notifions à l'Autorité de protection des données dans les 72 heures et vous en informons lorsque le RGPD l'exige. Une description plus complète de nos mesures figure sur notre page sécurité.

12. Modifications

En cas de modifications substantielles de cette politique, nous envoyons une notification par e-mail à tous les utilisateurs actifs et adaptons la date en haut de page. Les modifications rédactionnelles mineures sont apportées sans notification distincte.

13. Contact

Pour toute question, demande ou réclamation en matière de confidentialité : hello@veesie.com.

Retour vers veesie.com