Politique de confidentialité

1. Qui est responsable de vos données

Sevya est édité par Cyril Vescan, entrepreneur individuel (EI), immatriculé au registre national des entreprises sous le numéro SIREN 901 960 534 (SIRET 901 960 534 00013), dont le siège est situé 35 rue de l'Ancienne Église, 67760 Gambsheim, France.

Le rôle de Sevya dépend de la donnée concernée, et cette distinction est importante :

• Pour les données de nos clients (le compte, ses utilisateurs, la facturation), Sevya est responsable de traitement.
• Pour les données des prospects collectées via les formulaires de nos clients, Sevya est sous-traitant. Le client est responsable de traitement : c'est lui qui détermine les finalités, la base légale et la durée de conservation, et c'est auprès de lui que ces personnes exercent leurs droits en premier lieu.

Contact pour toute question relative aux données personnelles : [email protected].

2. Données traitées et bases légales

2.1 Données de compte

Nom, adresse email, mot de passe (stocké sous forme de condensat bcrypt, jamais en clair), rôle, nom de la structure, coordonnées de contact. Base légale : exécution du contrat.

2.2 Données de facturation

Identifiants d'abonnement et de client Stripe, statut et plan d'abonnement. Les données de carte bancaire ne transitent jamais par nos serveurs et sont traitées directement par Stripe. Bases légales : exécution du contrat et obligation légale de conservation comptable.

2.3 Données de prospects

Nom, prénom, adresse email, numéro de téléphone, société, code postal, message libre, ainsi que les données d'attribution associées (paramètres UTM, identifiants publicitaires gclid et fbclid, page d'arrivée, page de conversion, référent). Ces données sont transmises par le formulaire du site de notre client, et traitées pour son compte et sur ses instructions.

Sevya ne stocke pas l'adresse IP des visiteurs des sites de ses clients. L'adresse IP est utilisée transitoirement, en mémoire, aux seules fins de limitation de débit et de protection contre les abus, et n'est pas conservée.

2.4 Mesure d'audience de l'application

Pages consultées au sein de l'application Sevya par nos utilisateurs, à des fins d'amélioration du produit. Les paramètres d'URL sensibles sont filtrés avant transmission, et aucun enregistrement de session n'est effectué. Base légale : intérêt légitime.

3. Durées de conservation

• Données de prospects : conservées pendant la durée définie par le client responsable de traitement, par défaut 36 mois à compter du dernier contact, conformément à la recommandation de la CNIL en matière de prospection commerciale. Cette durée est paramétrable par le client entre 6 et 60 mois. À son terme, les données identifiantes (nom, email, téléphone, message, code postal, société) sont automatiquement anonymisées, les données statistiques agrégées étant conservées.
• Données de compte : conservées pendant toute la durée de la relation contractuelle, puis supprimées 30 jours après la demande de suppression du compte.
• Fichiers d'import : le contenu brut des fichiers importés est purgé dès la fin du traitement.
• Journaux techniques de conversion : les réponses brutes des régies publicitaires sont purgées au-delà de 90 jours.
• Données de facturation : conservées 10 ans, conformément aux obligations comptables.

4. Destinataires et sous-traitants

Vos données ne sont jamais vendues ni cédées. Elles sont accessibles aux personnels habilités de Sevya, et aux sous-traitants suivants, strictement pour les finalités indiquées :

Certains de ces sous-traitants sont établis hors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Les intégrations publicitaires (Google Ads, Meta), l'agent Telegram et les fonctionnalités d'assistance par modèle de langage ne sont activées que sur décision explicite du client concerné.

5. Sécurité

Les communications sont chiffrées en transit (TLS). Les mots de passe sont stockés sous forme de condensats bcrypt. Les secrets des intégrations tierces (jetons OAuth publicitaires, clés de webhook) sont chiffrés au repos en AES-256-GCM. Les clés d'API sont stockées hachées et ne sont jamais affichées une seconde fois après leur création. L'accès aux données de chaque compte est cloisonné applicativement.

6. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

Si vous êtes un prospect dont les coordonnées ont été collectées via le formulaire d'un de nos clients, adressez votre demande à ce client, qui est responsable de ce traitement. Si vous ne parvenez pas à l'identifier, écrivez-nous et nous transmettrons votre demande.

Pour exercer vos droits : [email protected]. Nous répondons sous un mois. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL.

7. Cookies et traceurs

L'application Sevya utilise un cookie strictement nécessaire au maintien de votre session authentifiée. Il est déposé pour la durée de la session et ne requiert pas de consentement.

Le script de suivi installé sur les sites de nos clients dépose un identifiant propriétaire permettant de rattacher une soumission de formulaire à son parcours d'acquisition. Cet identifiant est conservé 13 mois au maximum. Le recueil du consentement pour ce traceur relève du client qui l'installe sur son site : le script respecte le signal de consentement transmis par ce dernier et, en son absence, n'enregistre aucune donnée d'attribution.

8. Modifications

Toute modification substantielle de la présente politique est notifiée aux titulaires de compte par email au moins 30 jours avant son entrée en vigueur.