Politique de Confidentialité (RGPD)

ESTELLAR.AI, EURL au capital de 500 €, RCS 843 070 574 R.C.S. Saint-Pierre de la Réunion, siège : 8 rue du Béarn, 97427 Étang-Salé, La Réunion, France. Contact : contact@estellar.ai

La présente politique décrit le traitement des données personnelles des visiteurs du site, des prospects et des clients d'ESTELLAR.AI (pour lesquels nous agissons comme responsable de traitement). Lorsque nous traitons, pour le compte de nos clients, les données issues de leurs propres fiches et canaux (avis, fiches d'établissement, etc.), nous agissons comme sous-traitant : ce rôle est encadré par notre Accord de traitement des données (DPA), accessible à /legal/dpa.

- Données de navigation : pages consultées, données techniques, cookies (voir /legal/cookies). - Données de contact et de prospection : nom, e-mail, société, message, fournis via nos formulaires (dont l'audit Cold Brief PHD). - Données de compte client : identifiants, données de facturation, établissements gérés. - Données traitées pour le compte du client : informations de ses fiches, avis et réponses, publications, indicateurs de performance.

- Fournir et administrer le service : exécution du contrat. - Répondre aux demandes et à la prospection sollicitée : consentement ou intérêt légitime. - Mesure d'audience et amélioration du site : consentement (cookies) ou intérêt légitime. - Respect de nos obligations légales et comptables : obligation légale.

La présente section décrit, conformément à la Google API Services User Data Policy, la manière dont ESTELLAR.AI accède aux données Google, les utilise, les stocke et les protège. a) Notre rôle : gestionnaire délégué autorisé : ESTELLAR.AI accède aux fiches Google Business Profile des établissements clients exclusivement en tant que gestionnaire délégué expressément autorisé par le client. L'accès est établi soit par l'ajout d'ESTELLAR.AI comme gestionnaire de la fiche par son propriétaire, soit par la connexion du compte Google du client via OAuth avec son consentement explicite (portée « business.manage »). Nous n'accédons jamais, via les API Google, à des fiches que le client ne possède pas ou n'est pas autorisé à gérer : ni aux fiches de tiers ou de concurrents. Toute analyse concurrentielle repose exclusivement sur des informations publiques collectées en dehors des API Google. b) Données lues : les avis clients de la fiche (contenu, note, auteur, date) et les réponses existantes ; les informations de la fiche d'établissement (nom, adresse, horaires, attributs, publications) ; les statistiques de performance de la fiche. c) Utilisation : générer des réponses aux avis : chaque réponse est validée par un humain avant publication ,, publier ces réponses au nom de l'établissement, mettre à jour les informations de la fiche à la demande du client, et restituer les indicateurs de performance dans le tableau de bord du client. Aucun autre usage n'est fait de ces données. d) Stockage et durée : les données Google sont stockées sur MongoDB Atlas (États-Unis), au sein de notre infrastructure d'hébergement opérée par Emergent Labs Inc. (États-Unis : voir section 6). Les transferts hors Union européenne sont encadrés par les Clauses Contractuelles Types (SCC) de la Commission européenne et, le cas échéant, par le EU-US Data Privacy Framework (voir section 7). Les données sont conservées pendant la durée de l'abonnement, puis supprimées sous 30 jours après la fin du contrat ou la révocation de l'accès : l'effacement dans nos bases primaires est immédiat ; le délai de 30 jours couvre l'expiration des sauvegardes techniques. e) Non-partage : les données Google ne sont jamais vendues, louées ni transférées à des tiers non autorisés. Elles ne sont communiquées qu'aux sous-traitants techniques strictement nécessaires à la fourniture du service (section 6), agissant sur instruction documentée, ou lorsque la loi l'exige. f) Limited Use : l'utilisation et le transfert par ESTELLAR.AI des informations reçues des API Google sont conformes à la Google API Services User Data Policy, y compris à ses exigences de Limited Use (usage limité). Les données Google servent exclusivement à fournir et améliorer les fonctionnalités du service visibles par l'utilisateur. Nous ne les vendons pas, ne les utilisons pas à des fins publicitaires, et ne les utilisons pas pour entraîner des modèles d'intelligence artificielle généralisés ou personnalisés. Suppression et révocation : l'utilisateur peut révoquer l'accès à tout moment : depuis son compte Google (myaccount.google.com/permissions) ou depuis son espace ESTELLAR.AI via « Déconnecter Google » : et demander la suppression de ses données à contact@estellar.ai. Les données Google concernées sont alors supprimées sous 30 jours.

Nous recourons aux sous-traitants suivants, agissant sur instruction documentée et liés par des engagements contractuels de confidentialité et de sécurité conformes au RGPD : • Hébergement applicatif et base de données : Emergent Labs Inc. (États-Unis). Infrastructure sous-jacente : Google Cloud Platform (GKE), MongoDB Atlas (base de données) et Cloudflare (CDN/sécurité). Localisation des données : États-Unis. Le traitement est régi par les CGU et la politique de confidentialité d'Emergent (un DPA dédié est prévu lors d'un passage au plan Enterprise). • Email transactionnel (notifications de leads et accusés de réception) : Resend, Inc. (États-Unis). • Paiement : Stripe, Inc. (États-Unis ; clients européens hébergés Stripe Payments Europe Ltd, Irlande). • Authentification utilisateur et API Google Business Profile : Google LLC (États-Unis). • Cartographie et avis publics (Google Places API) : Google LLC (États-Unis). • Fournisseurs d'IA générative pour la production des audits Cold Brief PHD et des contenus : Anthropic PBC (États-Unis), OpenAI, LLC (États-Unis), Google LLC : Gemini (États-Unis). Ces accès passent par le proxy technique de notre plateforme de développement (Emergent.sh). Les modèles d'IA appelés sont configurés en mode « no-training » : aucune donnée transmise n'est réutilisée pour entraîner leurs modèles. Outils techniques annexes ne traitant pas de données personnelles de visiteurs ou clients : la synthèse vocale (ElevenLabs, Inc.) et la génération d'images/vidéos marketing (fal.ai, Inc.) sont utilisées uniquement par l'équipe ESTELLAR.AI pour produire des assets internes (voix de l'assistant produit, visuels de communication). Ces outils ne reçoivent aucune donnée personnelle de visiteur, prospect ou client final.

Certains sous-traitants listés en section 6 : dont Emergent Labs Inc., notre hébergeur applicatif : sont établis aux États-Unis. Ces transferts sont encadrés par les garanties appropriées suivantes : • EU-US Data Privacy Framework (DPF) : les principaux sous-traitants américains que nous utilisons sont certifiés au cadre EU-US DPF (entré en vigueur en juillet 2023) : notamment Google LLC, Stripe Inc., Resend Inc., OpenAI LLC, Anthropic PBC. • Clauses Contractuelles Types (CCT) de la Commission européenne (décision d'exécution UE 2021/914 du 4 juin 2021), en complément ou en substitution lorsque la certification DPF n'est pas applicable. • Évaluations de transfert (Transfer Impact Assessment, TIA) tenues à jour pour chaque sous-traitant traitant des données personnelles depuis ou vers les États-Unis. La liste des certifications DPF est consultable sur https://www.dataprivacyframework.gov/.

• Données de prospection (formulaires Cold Brief, audit, contact) : 36 mois après le dernier contact, conformément à la recommandation de la CNIL pour la prospection B2B. • Données de compte et de facturation : durée du contrat puis conservation légale comptable (jusqu'à 10 ans, articles L. 123-22 du Code de commerce et 102 du LPF). • Données Google : voir section 5 (suppression sous 30 jours après révocation ou fin de contrat). • Cookies : voir Politique de cookies (/legal/cookies).

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (chiffrement en transit, contrôle d'accès, journalisation). Détail : voir /legal/security.

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives post-mortem. Pour les exercer : contact@estellar.ai. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

La gestion des cookies est décrite dans notre Politique de cookies (/legal/cookies).

Nous pouvons modifier la présente politique. En cas de changement substantiel dans l'utilisation des données Google, les utilisateurs concernés sont informés et invités à consentir avant toute nouvelle utilisation.