Politique de confidentialité

Isaac SIKORSKI EI, entrepreneur individuel, nom commercial LYSIBLE
SIRET : 838 224 442 00049
58 rue de Monceau, 75008 Paris, France
Contact pour toute question relative aux données personnelles : contact@lysible.com

L’éditeur ne relève d’aucun des cas de désignation obligatoire d’un délégué à la protection des données prévus à l’article 37 du RGPD. Aucun délégué n’a donc été désigné : le responsable du traitement est lui-même le point de contact pour l’exercice des droits.

Lorsque l’utilisateur connecte ses comptes Google et son site à la plateforme, les données de mesure d’audience qui en sont issues concernent les visiteurs de son propre site. À l’égard de ces données, l’utilisateur agit en qualité de responsable de traitement et Lysible en qualité de sous-traitant au sens de l’article 28 du RGPD, dans la limite des instructions données par l’utilisateur au travers du service.

Compte et identification
Nom, prénom, adresse e-mail professionnelle, nom de l’entreprise (facultatif), mot de passe conservé sous forme hachée et salée, jamais en clair.

Facturation
Adresse de facturation, numéro de TVA le cas échéant, historique des abonnements et des factures. Les données de carte bancaire sont collectées et traitées exclusivement par Stripe, Inc. Lysible n’y a jamais accès et ne les conserve pas.

Connexion et données techniques
Adresse IP, type et version du navigateur, système d’exploitation, dates et heures de connexion, pages consultées dans l’application, durée des sessions, identifiants de session.

Utilisation de la plateforme
Fonctionnalités utilisées, rapports consultés, échanges avec l’assistant Lysa, consommation de crédits, préférences de configuration, sites web connectés.

Données issues des comptes Google connectés
Après autorisation par l’utilisateur via le protocole OAuth 2.0, la plateforme accède en lecture seule à Google Analytics 4 (sessions, utilisateurs, pages vues, sources de trafic, données d’appareil et données géographiques agrégées), Google Search Console (impressions, clics, positions, requêtes, pages indexées, erreurs d’exploration) et Google Ads (impressions, clics, coûts, conversions). Les habilitations demandées sont limitées aux périmètres analytics.readonly, webmasters.readonly et adwords.readonly. Lysible n’accède à aucun autre service du compte Google de l’utilisateur, notamment ni Gmail, ni Drive, ni Contacts. L’autorisation est révocable à tout moment depuis les paramètres du compte Google ou depuis la plateforme.

Données issues des analyses du site
Analyse du code des pages, des balises, de la structure, des temps de chargement, des redirections et des liens ; captures d’écran des pages ; audit Lighthouse. Ces opérations ne sont réalisées que sur les sites dont l’utilisateur déclare être propriétaire ou administrateur. Les pages analysées peuvent, selon le site, contenir des données personnelles publiées par l’utilisateur lui-même ; Lysible ne les exploite qu’aux fins de l’analyse technique et visuelle demandée.

Données transmises aux services d’intelligence artificielle
L’assistant Lysa et l’analyse visuelle reposent sur des modèles d’intelligence artificielle fournis par des prestataires tiers. Leur sont transmis les indicateurs agrégés du site analysé, les captures d’écran des pages analysées et les questions saisies par l’utilisateur. Le moniteur de visibilité, inclus dans certains forfaits, adresse à des assistants d’intelligence artificielle tiers, notamment ChatGPT, Claude, Gemini et Perplexity, des requêtes définies par l’utilisateur, afin de relever si sa marque y est citée ; ces requêtes ne contiennent pas de données personnelles autres que celles que l’utilisateur y insère lui-même.

Navigation sur le site vitrine
Pages consultées, durée de visite, source de trafic, type d’appareil, localisation approximative, interactions avec les pages, dans les conditions décrites à l’article consacré aux cookies.

Exécution du contrat (article 6.1.b du RGPD)
Création et gestion du compte, fourniture du service, importation et traitement des données analytiques, fonctionnement de l’assistant Lysa et du moniteur de visibilité, production des rapports et des alertes, facturation, gestion des abonnements, support.

Intérêt légitime de l’éditeur (article 6.1.f du RGPD)
Amélioration du service à partir de statistiques d’usage agrégées, prévention de la fraude et des atteintes à la sécurité, information des utilisateurs sur les évolutions du service. L’utilisateur peut s’opposer à ces traitements dans les conditions prévues à l’article consacré aux droits.

Consentement (article 6.1.a du RGPD)
Dépôt des traceurs non strictement nécessaires sur le site vitrine, envoi de communications commerciales et de la lettre d’information, avec possibilité de retrait à tout moment.

Obligation légale (article 6.1.c du RGPD)
Conservation des factures et pièces comptables pendant dix (10) ans, en application des articles L.123-22 du Code de commerce et 286-I du Code général des impôts, et conservation des données de connexion dans les conditions et les durées fixées par l’article 6-II de la LCEN et ses textes d’application.

L’utilisation et le transfert par Lysible des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée. Ces données ne sont utilisées que pour fournir et améliorer les fonctionnalités visibles par l’utilisateur, ne sont ni vendues, ni cédées, ni utilisées à des fins publicitaires, et ne servent pas à entraîner des modèles d’intelligence artificielle généralisés. Aucun être humain ne les consulte, sauf accord exprès de l’utilisateur, nécessité liée à la sécurité, obligation légale, ou traitement sous forme agrégée et anonymisée.

Les données sont accessibles au seul responsable du traitement. Elles ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales ou publicitaires, et les données d’un utilisateur ne sont jamais accessibles à un autre utilisateur.

Les prestataires suivants traitent des données pour le compte de Lysible, dans le cadre d’instructions documentées :

• Supabase, Inc. : hébergement de la base de données, sur des serveurs Amazon Web Services situés dans l’Union européenne (région eu-west).
• Netlify, Inc. : hébergement de l’application app.lysible.com.
• Webflow, Inc. : hébergement du site vitrine lysible.com.
• OVH SAS (Roubaix, France) : nom de domaine et DNS.
• Stripe, Inc. : traitement des paiements par carte bancaire, prestataire certifié PCI-DSS niveau 1.
• Google LLC : fourniture des API Google Analytics 4, Search Console et Ads, des services de mesure d’audience du site vitrine et de modèles d’intelligence artificielle.
• Microsoft Corporation : mesure du comportement de navigation sur le site vitrine (Microsoft Clarity), soumise au consentement.
• Fournisseurs de modèles d’intelligence artificielle interrogés par le moniteur de visibilité, pour les seules requêtes définies par l’utilisateur.

La liste des sous-traitants est susceptible d’évoluer ; les utilisateurs sont informés de tout changement affectant leurs droits dans les conditions prévues à l’article « Modifications ».

Certains prestataires sont établis aux États-Unis. Conformément aux articles 44 à 49 du RGPD, ces transferts sont encadrés par la décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données entre l’Union européenne et les États-Unis, pour les entreprises qui y sont certifiées, et à défaut par les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 du 4 juin 2021, complétées le cas échéant de mesures supplémentaires.

Les données de la base Supabase sont hébergées sur des serveurs situés dans l’Union européenne. L’éditeur vérifie périodiquement que chaque prestataire maintient un niveau de protection adéquat et tire les conséquences de l’invalidation éventuelle d’un mécanisme de transfert.

• Compte utilisateur : pendant toute la durée de la relation contractuelle, puis trois (3) ans à compter de la dernière connexion, sauf demande de suppression antérieure.
• Données analytiques importées et résultats d’analyse : pendant toute la durée du compte, quel que soit le forfait ; en cas de suppression du compte, effacement dans un délai maximum de trente (30) jours.
• Échanges avec l’assistant Lysa : pendant toute la durée du compte, puis trente (30) jours après sa suppression.
• Factures et pièces comptables : dix (10) ans à compter de la clôture de l’exercice concerné.
• Données de connexion : dans les conditions et pour la durée prévues par l’article 6-II de la LCEN et ses textes d’application.
• Traceurs et consentement associé : treize (13) mois au maximum, conformément aux recommandations de la CNIL ; le consentement est de nouveau sollicité à l’expiration de ce délai.
• Prospection et lettre d’information : jusqu’au retrait du consentement, puis trois (3) ans à compter du dernier contact.

Traceurs strictement nécessaires, exemptés de consentement
Cookies de session et d’authentification, cookies de sécurité, cookies de préférences techniques (langue, affichage) et cookie mémorisant le choix exprimé en matière de traceurs. Ils ne peuvent pas être désactivés sans empêcher le fonctionnement du service.

Traceurs de mesure d’audience et d’analyse du comportement, soumis au consentement
Le site vitrine lysible.com met en œuvre Google Tag Manager, qui déclenche Google Analytics 4, ainsi que Microsoft Clarity, qui mesure les interactions avec les pages, produit des cartes de chaleur et peut enregistrer un rejeu anonymisé des sessions de navigation. Ces traceurs ne sont déclenchés qu’après consentement. Le mode de consentement Google est configuré pour refuser par défaut le stockage à des fins de mesure et de publicité tant que le consentement n’a pas été donné, et le chargement de Microsoft Clarity est bloqué techniquement en l’absence de consentement.

Aucun traceur publicitaire, de reciblage ou de partage à des fins commerciales n’est déposé sur le site.

Gestion des préférences
Le bandeau de gestion des traceurs permet de refuser aussi simplement que d’accepter et d’exercer un choix traceur par traceur. Ce choix est modifiable à tout moment depuis le lien de gestion des cookies présent en pied de page, ou par le paramétrage du navigateur. Le refus des traceurs non nécessaires n’empêche ni la consultation du site, ni l’utilisation de l’application.

Conformément à l’article 32 du RGPD, l’éditeur met en œuvre notamment : le chiffrement de toutes les communications en HTTPS/TLS ; le hachage et le salage des mots de passe ; l’authentification OAuth 2.0 pour les services Google, sans conservation des identifiants Google et avec chiffrement des jetons ; l’isolement logique des données entre utilisateurs ; le traitement intégral des paiements par Stripe, sans transit de données bancaires par les serveurs de Lysible ; des sauvegardes régulières chiffrées ; une restriction de l’accès à l’infrastructure au seul responsable du traitement.

En cas de violation de données à caractère personnel, la CNIL est notifiée dans les 72 heures conformément à l’article 33 du RGPD et les personnes concernées sont informées lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés (article 34 du RGPD).

Conformément aux articles 15 à 22 du RGPD et aux articles 48 à 56 de la loi Informatique et Libertés, toute personne concernée dispose des droits d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition, ainsi que du droit de retirer son consentement à tout moment sans que cela remette en cause la licéité du traitement effectué auparavant, et du droit de définir des directives relatives au sort de ses données après son décès.

Ces droits s’exercent à l’adresse contact@lysible.com, ou par courrier à LYSIBLE, 58 rue de Monceau, 75008 Paris. Une pièce d’identité n’est demandée qu’en cas de doute raisonnable sur l’identité du demandeur, conformément à l’article 12.6 du RGPD.

Une réponse est apportée dans un délai d’un (1) mois à compter de la réception de la demande, prolongeable de deux (2) mois en cas de complexité ou de nombre élevé de demandes, la personne concernée en étant informée dans le mois.

Toute personne peut également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. https://www.cnil.fr

La présente politique peut être modifiée. Toute modification substantielle affectant les droits des utilisateurs leur est notifiée par courrier électronique et par notification dans l’application au moins quinze (15) jours avant son entrée en vigueur. Les modifications mineures (corrections, clarifications, ajout d’un sous-traitant présentant des garanties équivalentes) prennent effet dès leur publication. La date de dernière mise à jour figure en tête du document.

Les conditions d’accès au service figurent dans les conditions générales d’utilisation et les conditions générales de vente, et l’identité de l’éditeur dans les mentions légales.