Politique de confidentialité

Le responsable du traitement est : Carriou Benjamin (Entrepreneur individuel), SIRET 10197395600010, 5 rue Paul Doumer, 22950 Trégueux, France.

Pour toute question relative à tes données personnelles ou pour exercer tes droits : support@offlink.io.

Nous collectons les catégories suivantes :

• Données de compte : email, nom commercial, SIRET, adresse, régime TVA, médiateur conso, plan tarifaire.
• Données métier saisies par toi : catalogue produits/services, contacts clients, devis, factures, parcours conversationnels, événements calendrier.
• Données de paiement : traitées par Stripe Payments Europe Ltd, Offlink ne stocke aucun numéro de carte.
• Données techniques : adresse IP, type de navigateur, pages consultées, événements d'utilisation (logs).
• Demandes à l'assistant : lorsque tu poses une question à l'assistant interne (« Demande à Offlink ») et que nous ne savons pas y répondre, le texte de ta demande est journalisé sous forme normalisée et tronquée (sans accents ni ponctuation, 200 caractères maximum) afin de repérer les besoins récurrents.

• Fournir et maintenir le service (exécution du contrat).
• Support et résolution d'incidents.
• Facturation et obligations comptables (intérêt légitime + obligation légale).
• Prévention de la fraude et sécurité (intérêt légitime).
• Statistiques agrégées d'utilisation (intérêt légitime).
• Amélioration du produit : analyse des demandes non résolues de l'assistant interne, sous forme anonymisée, pour décider des fonctionnalités à ajouter (intérêt légitime).
• Envoi d'emails transactionnels et de communications sur le service (exécution du contrat).

Les traitements sont fondés sur (i) l'exécution du contrat de service, (ii) le respect d'obligations légales (Code de commerce, fiscalité), (iii) notre intérêt légitime à exploiter et améliorer le service, et (iv) ton consentement pour les cookies non-essentiels (cf. Politique cookies).

Hébergement principal en Union européenne : toutes les données métier des utilisateurs restent hébergées sur le territoire de l'UE chez les prestataires suivants :

• Vercel Inc. : Frontend Next.js + nom de domaine offlink.io · Région : cdg1 (Paris, France)
• Supabase Inc. : Base de données PostgreSQL + Auth + Storage · Région : eu-west-3 (Paris, France)
• Medusa.js Cloud : Commerce backend (catalogue, panier, taxes) · Région : eu-central-1 (Frankfurt, Allemagne)
• Resend, Inc. : Envoi des emails transactionnels · Région : eu-west-1 (Dublin, Irlande)
• Stripe Payments Europe Ltd : Paiements en ligne (Stripe Connect) · Région : Dublin (Irlande)
• Scaleway SAS : Sauvegardes chiffrées des bases de données et des fichiers, conservées un mois · Région : fr-par (Paris, France)

Sous-traitants spécifiques : pour des fonctionnalités précises, nous faisons appel à des prestataires tiers. Les transferts hors UE sont encadrés par les Clauses Contractuelles Types (SCC, décision 2021/914 de la Commission européenne).

• Anthropic PBC (États-Unis) : LLM Claude (Haiku / Sonnet) — génération de textes et rapports d'aide à la décision dans l'app (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Higgsfield AI (États-Unis) : Génération de contenu marketing par IA (visuels et vidéos publicitaires) à partir des produits du tenant — activée uniquement si le professionnel connecte volontairement son propre compte Higgsfield ; les images de produit sont envoyées pour produire les médias (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Google LLC (Gemini) (États-Unis) : Amélioration par IA des photos produit (« Sublimer ma photo » — Gemini 2.5 Flash Image) : la photo est envoyée pour produire une version optimisée (lumière, fond, qualité), uniquement quand le professionnel clique sur « Améliorer » (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Photoroom SAS (France) : Amélioration par IA des photos produit (« Fond studio » — détourage et remplacement du fond en préservant le produit) : la photo est envoyée pour produire une version sur fond neutre, uniquement quand le professionnel lance une retouche
• JINA AI GmbH (Allemagne) : Crawling de sites web pour l'onboarding magique (extraction du contenu public du site du tenant)
• Cloudflare, Inc. (États-Unis) : Protection anti-robots des formulaires du site Offlink lui-même (création de compte, connexion) via Cloudflare Turnstile : traite l'adresse IP et des caractéristiques techniques du navigateur du visiteur. Les vitrines des professionnels (sous-domaines Offlink et domaines personnalisés) ne font pas appel à ce service : leurs formulaires sont protégés par un dispositif interne à Offlink, sans transmission à un tiers (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Twilio Inc. (États-Unis) : Envoi automatique de SMS aux clients du tenant (regulatory bundle FR n° BUa773730052a6fb7c8c974583772f1143) (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Sendcloud B.V. (Pays-Bas) : Édition des étiquettes d'expédition et suivi des colis des commandes du professionnel : le nom, l'adresse postale, et le cas échéant l'e-mail et le téléphone du destinataire sont transmis pour permettre la livraison par le transporteur choisi
• Direction interministérielle du numérique (Base Adresse Nationale) (France) : Reconnaissance d'une adresse saisie dans Offlink, pour la situer sur une carte et calculer des frais de déplacement : l'adresse est envoyée au service public d'adressage. Concerne les adresses du professionnel (fiche entreprise, points de présence de sa vitrine) et celles saisies dans un devis. Depuis l'atelier de devis, l'appel part du navigateur du professionnel, qui transmet donc aussi son adresse IP
• Institut national de l'information géographique et forestière (Géoplateforme) (France) : Calcul de l'itinéraire routier entre le professionnel et son client, quand celui-ci facture des frais de déplacement : seules les coordonnées géographiques des deux points sont transmises, jamais l'adresse en clair
• Featurebase (Royaume-Uni) : Support intégré dans l'app + roadmap publique
• PostHog Inc. (Union européenne (PostHog Cloud EU, Francfort)) : Mesure d'audience du site public (pages vues, parcours) — activée uniquement après consentement, sans enregistrement de session ni profilage publicitaire (Cadre de transfert : Données hébergées dans l'UE ; mesure activée après consentement)
• Google Ireland Ltd (YouTube) (Irlande (Union européenne) ; transferts possibles hors UE) : Lecture des vidéos YouTube qu'un professionnel intègre sur sa page publique — le lecteur tiers (et ses éventuels cookies) n'est chargé qu'au clic du visiteur sur « Lire » (mode youtube-nocookie) (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Vimeo.com, Inc. (États-Unis) : Lecture des vidéos Vimeo qu'un professionnel intègre sur sa page publique — le lecteur tiers n'est chargé qu'au clic du visiteur (mode « Do Not Track » activé) (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Meta Platforms Ireland Limited (Instagram) (Irlande (Union européenne) ; transferts possibles hors UE) : Connexion du compte Instagram professionnel d'un tenant et publication de ses contenus (photos, légendes) sur ce compte depuis Offlink, à sa demande — transfert du média et du texte à publier, et lecture des statistiques de ces seules publications (Cadre de transfert : Clauses Contractuelles Types (SCC))

Les données personnelles de tes propres clients (contacts, commandes, soumissions de parcours, rendez-vous) que tu collectes via Offlink sont traitées sous ta responsabilité : tu en es le responsable de traitement, et Offlink agit comme sous-traitant au sens de l'article 28 du RGPD.

À ce titre, Offlink s'engage à :

• Ne traiter ces données que sur tes instructions documentées, pour la seule fourniture du service.
• Garantir la confidentialité des personnes habilitées à y accéder.
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées.
• T'assister dans la réponse aux demandes d'exercice de droits de tes clients et te notifier toute violation de données dans les meilleurs délais.
• Ne recourir qu'aux sous-traitants ultérieurs listés dans la section précédente, encadrés par les garanties appropriées.
• Restituer puis supprimer ces données en fin de contrat, dans les conditions décrites dans nos CGU.

Quand une boutique invite un partenaire à lui confier ses produits, Offlink envoie l'invitation pour elle, à l'adresse qu'elle a saisie. Nous conservons cette adresse, le nom indiqué et la réponse donnée, pour permettre d'accepter ou de refuser l'invitation et pour garder la trace de l'accord. La personne invitée peut refuser sans créer de compte, et demander à ne plus recevoir d'invitation de cette boutique : nous gardons alors son adresse dans une liste d'exclusion propre à cette boutique, à cette seule fin.

Quand un client achète le produit d'un partenaire sur la vitrine d'une boutique, la boutique reste le responsable de traitement de ses clients. Le partenaire reçoit uniquement ce qu'il faut pour expédier la commande (nom du destinataire, adresse de livraison, contenu du colis), et s'est engagé dans nos CGU à ne les utiliser qu'à cette fin.

Si tu connectes ton compte Instagram professionnel à Offlink, nous recevons de Meta Platforms Ireland Limited, et conservons :

• l'identifiant, le nom et le type de ton compte Instagram, ainsi que les autorisations que tu as accordées ;
• un jeton d'accès, chiffré, renouvelé automatiquement tant que ton compte reste connecté ;
• pour chaque publication faite depuis Offlink : les photos, la légende, le lien du post et ses statistiques (vues, portée, interactions).

Ces données servent uniquement à publier sur ton compte, à ta demande, et à t'afficher les résultats de ces publications. Offlink ne lit ni tes messages privés, ni les publications faites en dehors d'Offlink, ni les comptes de tes abonnés. Elles ne sont ni vendues, ni utilisées à des fins publicitaires.

Tant que Meta n'a pas terminé la validation d'Offlink, tu peux nous donner ton nom Instagram pour qu'on t'invite à utiliser l'application. Nous l'effaçons dès que ton compte Instagram est connecté (à défaut, à la suppression de ton compte Offlink, ou plus tôt sur simple demande). Il figure aussi dans l'e-mail interne qui nous signale ta demande.

Retirer l'accès : « Déconnecter » dans Offlink supprime immédiatement la connexion et son jeton ; le jeton, que nous ne renouvelons plus, expire alors de lui-même chez Meta sous 60 jours. Tu peux aussi retirer Offlink à tout moment depuis Instagram (Paramètres, Applications et sites web). L'historique de tes publications reste dans ton espace jusqu'à la suppression de ton compte. Le détail est sur la page Suppression des données.

• Compte actif : pendant toute la durée de l'abonnement.
• Après résiliation : les données métier sont supprimées 6 mois après la résiliation. Tu peux télécharger tes exports pendant cette période.
• Factures et données comptables : conservées 10 ans conformément à l'article L123-22 du Code de commerce.
• Sauvegardes : copies chiffrées hébergées en France, conservées un mois puis effacées automatiquement. Une donnée supprimée de ton espace disparaît des sauvegardes au plus tard un mois plus tard.
• Logs techniques : conservés 12 mois pour la sécurité et la prévention de la fraude.

Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants sur tes données :

• Droit d'accès (article 15)
• Droit de rectification (article 16)
• Droit à l'effacement (article 17)
• Droit à la limitation du traitement (article 18)
• Droit à la portabilité (article 20)
• Droit d'opposition (article 21)

Pour exercer ces droits, contacte-nous à support@offlink.io. Nous te répondrons dans un délai d'un mois (article 12 RGPD).

Pour le détail des cookies déposés et leur utilisation, consulte notre Politique cookies.

Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL).