Politique de confidentialité
Version 1.0 — 4 novembre 2026.
Cette page explique quelles données Capavis traite, pourquoi, combien de temps, avec qui, et comment exercer vos droits. Elle distingue vos données (vous, utilisateur professionnel du service) et les données de vos clients (les personnes à qui vous envoyez des demandes d'avis), pour lesquelles vous êtes responsable de traitement et nous sommes sous-traitant.
1. Responsable du traitement
CVNG DISTRIBUTION, SARL, RCS Fréjus 892 763 509, 247 route des Châtaigniers, 83520 Roquebrune-sur-Argens. Contact données personnelles : contact@capavis.com (Vladimir Marinkovic, gérant). Pas de délégué à la protection des données désigné à ce jour.
2. Vos données (utilisateur du service)
| Traitement | Données | Base légale | Durée |
|---|---|---|---|
| Création et gestion du compte | nom, e-mail, entreprise, code de connexion à usage unique, préférences (apparence, notifications), date d'acceptation des CGU | exécution du contrat | durée du compte + 30 jours |
| Ligne éditoriale et rédaction (module Com) | réponses au questionnaire, posts de référence que vous collez, consignes, photos, textes rédigés et publiés | exécution du contrat | durée du compte ; brouillons écartés supprimés sous 90 jours |
| Connexion à vos réseaux (LinkedIn, Google, Facebook, Instagram) | identifiant du profil ou de la page, nom affiché, jeton d'autorisation chiffré, date d'expiration | exécution du contrat (vous déclenchez la connexion) | jusqu'au retrait de l'autorisation ou la fin du compte |
| Abonnement et paiement | identifiant client Stripe, statut, dates d'essai et de période, factures ; les données de carte sont traitées par Stripe uniquement, nous ne les voyons jamais | exécution du contrat, obligation légale (comptabilité) | durée du compte ; factures 10 ans |
| E-mails de service | adresse, type d'e-mail, date d'envoi (journal anti-doublon) | exécution du contrat, intérêt légitime (vous informer de l'état de vos publications) ; chaque type est désactivable dans Réglages → Notifications | 12 mois |
| Journaux techniques | horodatage, route appelée, identifiant de compte, cause d'erreur ; adresse IP dans les journaux de l'hébergeur | intérêt légitime (sécurité, diagnostic) | 30 jours |
| Support | échanges par e-mail avec contact@capavis.com (boîte hébergée par Google Workspace, UE) | intérêt légitime | 3 ans |
| Formules de service (gestion de fiche, pack visibilité) | accès de gestionnaire à votre fiche Google que vous nous accordez, contenus préparés par notre équipe et vos validations, rattachement d'un collaborateur Capavis à votre compte | exécution du contrat | durée de la formule |
| Mesure d'audience du site | aucune à ce jour. Si une mesure exemptée de consentement est ajoutée (CNIL), elle sera indiquée ici | — | — |
Nous n'envoyons pas d'e-mails commerciaux sans votre accord ; les e-mails de service strictement nécessaires (code de connexion, facture, alerte de paiement) ne peuvent pas être désactivés.
3. Les données de vos clients (module Avis)
Vous choisissez à qui vous envoyez une demande d'avis et ce que vous y joignez. Pour ces données, vous êtes responsable de traitement et devez disposer d'une base légale (relation client existante, intérêt légitime) et respecter les oppositions. Nous agissons sur vos instructions, selon l'accord de sous-traitance annexé aux CGU.
| Données | Pourquoi | Durée chez nous |
|---|---|---|
| prénom, numéro de mobile (chiffré) ou e-mail | envoyer la demande d'avis et le lien vers la page de remerciement | 12 mois après le dernier envoi, puis suppression ; numéro conservé sous forme hachée uniquement pour respecter un STOP |
| date et nature de la prestation, nom du collaborateur qui a demandé | personnaliser le message et vos statistiques | 12 mois |
| photo(s) offerte(s) | page de remerciement ; lien signé valable 30 jours | 12 mois |
| documents (PDF, photos de dossier) | mise à disposition protégée par un code ; journal des consultations | 12 mois, puis purge |
| réponse de votre client (clic, avis laissé si vous le collez) ; dans les formules de service, texte des avis publics et nom de leur auteur | vos statistiques ; préparer les réponses que vous validez | 12 mois |
Votre client peut à tout moment demander la suppression de ses données en répondant STOP (SMS) ou via le lien en pied de page de remerciement : la demande est exécutée immédiatement et vous en êtes informé. Nous n'utilisons jamais les données de vos clients pour notre propre compte et nous ne les contactons jamais nous-mêmes.
4. Intelligence artificielle
La rédaction des posts, la génération d'accroches et les propositions de réponse aux avis utilisent l'API Claude d'Anthropic. Nous lui transmettons uniquement ce qui est nécessaire : votre ligne éditoriale, la consigne, le texte de l'avis à traiter. Aucune donnée de vos clients finaux (mobile, e-mail) n'est envoyée à l'IA. Conformément au contrat d'Anthropic pour les usages par API, ces données ne servent pas à entraîner ses modèles. Un professionnel relit toujours ce que l'IA propose avant publication.
5. Destinataires et sous-traitants
| Sous-traitant | Rôle | Localisation des données | Encadrement |
|---|---|---|---|
| Supabase Inc. | base de données, fichiers, authentification | Paris (eu-west-3), UE | DPA Supabase, clauses contractuelles types pour le support |
| Vercel Inc. | hébergement de l'application, exécution des fonctions | région Paris (cdg1), UE ; journaux et tableau de bord aux États-Unis | DPA Vercel, clauses contractuelles types |
| Stripe Payments Europe Ltd | paiement, factures | Irlande, UE (transferts intra-groupe encadrés) | DPA Stripe |
| Brevo (Sendinblue SAS) | envoi des e-mails de service et des demandes d'avis par e-mail | France, UE | DPA Brevo |
| SMSFactor | envoi des SMS de demande d'avis | France, UE | DPA SMSFactor |
| Anthropic PBC | rédaction assistée (API Claude) | États-Unis | DPA Anthropic, clauses contractuelles types, pas d'entraînement sur vos données |
| LinkedIn Ireland | publication de vos posts sur votre profil, à votre demande | Irlande, UE | conditions LinkedIn ; vous êtes aussi lié à LinkedIn par votre propre compte |
| Meta Platforms Ireland Ltd | publication de vos posts sur votre page Facebook et votre compte Instagram professionnel, à votre demande (fonction en cours de déploiement) | Irlande, UE ; transferts au sein du groupe Meta vers les États-Unis | conditions de la plateforme Meta pour les développeurs ; vous êtes aussi lié à Meta par votre propre compte |
| Google Ireland | lecture de votre fiche Google (Places) ; à terme, publication via l'API Business Profile ; hébergement de notre messagerie de support (Google Workspace) | Irlande, UE | avenant de traitement des données Google Cloud / Workspace ; conditions Google |
| OVH SAS | nom de domaine, DNS | France, UE | — |
Nous ne vendons ni ne louons aucune donnée. Les autorités publiques n'y accèdent que sur réquisition légale.
6. Transferts hors Union européenne
Les données sont hébergées dans l'UE. Des accès depuis les États-Unis existent pour Vercel (journaux, administration), Anthropic (traitement des textes envoyés à l'IA), Stripe (groupe) et Meta (groupe, pour les publications que vous envoyez sur Facebook et Instagram). Ils sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les entreprises certifiées, par le Data Privacy Framework UE–États-Unis.
7. Sécurité
Chiffrement en transit (TLS) et au repos ; chiffrement applicatif des numéros de mobile et des jetons d'accès ; cloisonnement par compte au niveau de la base de données (règles d'accès par ligne) ; connexion sans mot de passe par code à usage unique ; accès administrateur limité au gérant ; collaborateur Capavis rattaché aux seuls comptes des formules de service, de façon visible dans l'application ; sauvegardes quotidiennes ; journalisation des accès aux documents. En cas de violation de données présentant un risque pour vous ou vos clients, nous vous informons sous 48 h et la CNIL sous 72 h.
8. Cookies
L'application utilise uniquement des cookies strictement nécessaires : session de connexion (365 jours, renouvelée à chaque visite), compte actif, préférence d'apparence, état d'une connexion LinkedIn ou Facebook en cours (10 minutes). Aucun cookie publicitaire, aucun traceur tiers, aucun pixel de réseau social : c'est pourquoi aucun bandeau de consentement ne vous est présenté. Si cela change, un bandeau conforme (refus aussi simple que l'acceptation) sera ajouté et cette page mise à jour.
9. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, et du droit de définir des directives post-mortem. Pour les exercer : contact@capavis.com, ou directement dans l'application pour la plupart (Réglages : profil, notifications, suppression du compte). Nous répondons sous un mois. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr, 3 place de Fontenoy, 75007 Paris).
Si vous êtes client d'un professionnel qui utilise Capavis et que vous souhaitez exercer vos droits sur les données qu'il nous a confiées, adressez-vous à lui en priorité (il est responsable de traitement) ; vous pouvez aussi nous écrire, nous transmettrons et exécuterons ses instructions sous 10 jours.
10. Mise à jour
Cette politique peut évoluer avec le service. La date de version figure en haut de page ; les changements substantiels sont annoncés par e-mail. Voir aussi la page Suppression des données et les CGU-CGV.