Politique de confidentialité

01Responsable de traitement

Le responsable des traitements décrits dans la présente politique est SBCQ SAS, dont le siège social est situé 48 Quai Clémenceau, 69300 Caluire-et-Cuire (SIREN 104 445 093 00016, RCS Lyon 104 445 093).

Pour toute question relative à vos données, vous pouvez nous contacter à [email protected].

02Qui est concerné par cette politique

Cette politique s'applique à quatre catégories de personnes :

• Les visiteurs du site : personnes qui consultent les pages publiques sans créer de compte (marketing, pricing, blog, formulaire de contact).
• Les clients professionnels et leurs utilisateurs : personnes titulaires d'un compte sur le Service, agissant dans le cadre d'un abonnement souscrit par un professionnel.
• Les professionnels contactés par email : exploitants et responsables d'établissements, notamment de restauration, à qui nous écrivons à des fins de prospection B2B sur une adresse professionnelle publiée, sans qu'ils aient rempli de formulaire. Chaque message indique l'origine de l'adresse et permet de s'opposer à tout nouveau contact.
• Les auteurs d'avis clients : personnes dont les avis publics sont agrégés depuis les plateformes tierces connectées par nos clients (notamment Google Business Profile). Dans ce dernier cas, notre client professionnel est responsable du traitement et nous agissons en qualité de sous-traitant au sens du RGPD (cf. DPA).

03Données collectées

04Finalités et bases légales

05Durées de conservation

Données de compte actif

Pendant toute la durée de l'abonnement, puis 30 jours après résiliation pour permettre l'export des données.

Données de compte inactif / essai non concrétisé

90 jours après la fin d'activité, puis suppression automatique.

Factures et pièces comptables

10 ans à compter de la clôture de l'exercice (art. L. 123-22 du Code de commerce).

Logs techniques et journaux d'audit

12 mois, sauf obligation de conservation plus longue pour les logs de sécurité.

Données des auteurs d'avis

Durée de conservation définie par notre client professionnel (responsable de traitement). Par défaut, nous les conservons tant qu'elles restent disponibles sur la plateforme source et que l'abonnement est actif. La suppression d'un avis sur la plateforme source entraîne sa suppression côté Service au prochain cycle de synchronisation.

Jetons d'authentification Google

Pendant toute la durée de la connexion. Supprimés immédiatement lors d'une déconnexion par le client, d'une révocation depuis le compte Google, ou à la résiliation de l'abonnement.

Prospects ayant rempli un formulaire sans souscription

3 ans à compter du dernier contact.

Professionnels contactés par email (prospection B2B)

3 ans à compter de la collecte ou du dernier message que vous nous avez adressé, contenu de vos réponses compris. Un message reçu que nous ne parvenons pas à rattacher à un contact est supprimé après 90 jours. En cas d'opposition, seule une empreinte de votre adresse est conservée, pour ne plus vous écrire.

06Destinataires et sous-traitants

Vos données peuvent être communiquées aux destinataires suivants, strictement dans la mesure nécessaire aux finalités ci-dessus :

• les membres habilités de l'équipe Ma Belle Note (ingénierie, support, comptabilité) ;
• nos sous-traitants techniques, listés dans le DPA (hébergement, envoi d'emails, paiement, fournisseurs de modèles d'IA, supervision et sécurité) ;
• les autorités administratives et judiciaires compétentes, sur réquisition et dans les limites fixées par la loi ;
• un éventuel repreneur ou acquéreur dans le cadre d'une opération de cession, fusion ou restructuration, sous réserve d'engagements équivalents de confidentialité et de protection.

Nous ne vendons ni ne louons vos données à des tiers à des fins commerciales. La liste à jour de nos sous-traitants ultérieurs est maintenue dans l'annexe du DPA.

07Plateformes tierces connectées

Le Service permet à nos clients professionnels de connecter les plateformes d'avis publics qu'ils utilisent afin que Ma Belle Note y récupère leurs avis et les centralise. Les connexions sont initiées uniquement à la demande explicite du client (clic sur un bouton dédié dans l'application). Pour chaque plateforme, nous nous limitons strictement aux permissions et aux données nécessaires à la centralisation, à l'analyse et, lorsque la plateforme l'autorise, à la publication des réponses du client.

Google Business Profile - Connexion par OAuth (Google Identity).

Permissions demandées

`https://www.googleapis.com/auth/business.manage` (lister les fiches gérées par le client, lire les avis publiés, publier les réponses validées par le client) et les scopes d'identité standards `openid`, `email`, `profile` (afficher le compte Google connecté). Le détail et la justification de chaque scope figurent sur la page Google API Disclosure accessible depuis le pied de page.

Données récupérées

Profil de la fiche (nom, adresse, horaires, catégorie), avis publics (texte, note, auteur tel que publié, date, photos publiques), réponses publiques.

Conservation

Pendant la durée de la connexion. Cache produit limité à 30 jours puis re-fetch depuis Google.

Révocation

(a) bouton « Déconnecter » dans Réglages → Connexion Google ; (b) `https://myaccount.google.com/permissions` côté compte Google. La révocation arrête immédiatement la synchronisation et entraîne la suppression des jetons stockés.

Le client professionnel reste à tout moment maître des connexions actives depuis les Réglages d'établissement. Aucune connexion n'est jamais établie sans une action explicite du client, et chaque connexion peut être révoquée par lui à tout moment, soit depuis le Service, soit depuis la plateforme tierce concernée.

08Transferts hors Union européenne

Certains de nos sous-traitants (notamment les fournisseurs de modèles d'intelligence artificielle) sont établis hors de l'Union européenne, y compris aux États-Unis. Dans ces cas, les transferts sont encadrés par :

• une décision d'adéquation de la Commission européenne lorsqu'elle existe (p. ex. EU-US Data Privacy Framework pour les organisations certifiées) ;
• à défaut, les clauses contractuelles types (CCT) de la Commission européenne, complétées par des mesures supplémentaires techniques et organisationnelles (chiffrement, pseudonymisation, minimisation) ;
• une analyse d'impact des transferts (TIA) pour chaque sous-traitant non couvert par une décision d'adéquation.

Le détail des transferts figure dans le DPA.

09Cookies et traceurs

Le site marketing utilise un nombre restreint de cookies, strictement nécessaires au fonctionnement (préférences de langue, thème clair/sombre, session) ou soumis à votre consentement (mesure d'audience anonymisée, outils de support).

Aucun cookie publicitaire tiers n'est déposé à l'entrée sur le site. Vous pouvez à tout moment modifier vos choix via le module de consentement accessible en bas de page.

10Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles conformes à l'état de l'art pour protéger vos données : chiffrement des flux (TLS 1.2+), chiffrement au repos, hachage des mots de passe (bcrypt/Argon2), contrôle d'accès par rôles, journalisation des actions sensibles, supervision continue, gestion des vulnérabilités, plan de reprise d'activité et sauvegardes chiffrées.

Malgré nos efforts, aucun système ne peut garantir une sécurité absolue. En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, nous en informons la CNIL dans un délai de 72 heures et, le cas échéant, les personnes concernées dans les meilleurs délais.

11Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir confirmation que vos données sont traitées et en recevoir copie.
• Droit de rectification : faire corriger les données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données dans les cas prévus par la loi.
• Droit à la limitation : faire geler temporairement le traitement de vos données.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime ou à la prospection commerciale.
• Droit de définir des directives post mortem sur le sort de vos données.

Vous exercez ces droits en écrivant à [email protected]. Nous répondons dans un délai maximal d'un mois, éventuellement prolongé de deux mois en cas de demande complexe.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris - www.cnil.fr.

12Mineurs

Le Service est destiné à un usage professionnel et n'est pas conçu pour être utilisé par des mineurs. Aucune collecte de données n'est volontairement dirigée vers des personnes de moins de 15 ans. Si vous estimez qu'un mineur a créé un compte, contactez notre DPO pour obtenir la suppression immédiate des données associées.

13Modifications de la politique

Cette politique peut évoluer pour refléter des changements du Service, de nos sous-traitants ou de la réglementation. Toute modification substantielle est notifiée par courriel et dans le Service au moins 30 jours avant sa prise d'effet. La version en vigueur reste accessible en permanence depuis le footer du site.