Politique de confidentialité

Le responsable du traitement est : Carriou Benjamin (Entrepreneur individuel), SIRET 10197395600010, 5 rue Paul Doumer, 22950 Trégueux, France.

Pour toute question relative à tes données personnelles ou pour exercer tes droits : support@offlink.io.

Nous collectons les catégories suivantes :

• Données de compte : email, nom commercial, SIRET, adresse, régime TVA, médiateur conso, plan tarifaire.
• Données métiersaisies par toi : catalogue produits/services, contacts clients, devis, factures, parcours conversationnels, événements calendrier.
• Données de paiement : traitées par Stripe Payments Europe Ltd, Offlink ne stocke aucun numéro de carte.
• Données techniques : adresse IP, type de navigateur, pages consultées, événements d'utilisation (logs).
• Demandes à l'assistant : lorsque tu poses une question à l'assistant interne (« Demande à Offlink ») et que nous ne savons pas y répondre, le texte de ta demande est journalisé sous forme normalisée et tronquée(sans accents ni ponctuation, 200 caractères maximum) afin de repérer les besoins récurrents.

• Fournir et maintenir le service (exécution du contrat).
• Support et résolution d'incidents.
• Facturation et obligations comptables (intérêt légitime + obligation légale).
• Prévention de la fraude et sécurité (intérêt légitime).
• Statistiques agrégées d'utilisation (intérêt légitime).
• Amélioration du produit : analyse des demandes non résolues de l'assistant interne, sous forme anonymisée, pour décider des fonctionnalités à ajouter (intérêt légitime).
• Envoi d'emails transactionnels et de communications sur le service (exécution du contrat).

Les traitements sont fondés sur (i) l'exécution du contrat de service, (ii) le respect d'obligations légales (Code de commerce, fiscalité), (iii) notre intérêt légitime à exploiter et améliorer le service, et (iv) ton consentement pour les cookies non-essentiels (cf. Politique cookies).

Hébergement principal en Union européenne : toutes les données métier des utilisateurs restent hébergées sur le territoire de l'UE chez les prestataires suivants :

• Vercel Inc. : Frontend Next.js + nom de domaine offlink.io · Région : cdg1 (Paris, France)
• Supabase Inc. : Base de données PostgreSQL + Auth + Storage · Région : eu-west-3 (Paris, France)
• Medusa.js Cloud : Commerce backend (catalogue, panier, taxes) · Région : eu-central-1 (Frankfurt, Allemagne)
• Resend, Inc. : Envoi des emails transactionnels · Région : eu-west-1 (Dublin, Irlande)
• Stripe Payments Europe Ltd : Paiements en ligne (Stripe Connect) · Région : Dublin (Irlande)

Sous-traitants spécifiques : pour des fonctionnalités précises, nous faisons appel à des prestataires tiers. Les transferts hors UE sont encadrés par les Clauses Contractuelles Types (SCC, décision 2021/914 de la Commission européenne).

• Anthropic PBC (États-Unis) : LLM Claude (Haiku / Sonnet) — génération de textes et rapports d'aide à la décision dans l'app (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Higgsfield AI (États-Unis) : Génération de contenu marketing par IA (visuels et vidéos publicitaires) à partir des produits du tenant — activée uniquement si le professionnel connecte volontairement son propre compte Higgsfield ; les images de produit sont envoyées pour produire les médias (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Google LLC (Gemini) (États-Unis) : Amélioration par IA des photos produit (« Sublimer ma photo » — Gemini 2.5 Flash Image) : la photo est envoyée pour produire une version optimisée (lumière, fond, qualité), uniquement quand le professionnel clique sur « Améliorer » (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Photoroom SAS (France) : Amélioration par IA des photos produit (« Fond studio » — détourage et remplacement du fond en préservant le produit) : la photo est envoyée pour produire une version sur fond neutre, uniquement quand le professionnel lance une retouche
• JINA AI GmbH (Allemagne) : Crawling de sites web pour l'onboarding magique (extraction du contenu public du site du tenant)
• Cloudflare, Inc. (États-Unis) : Protection anti-robots des formulaires du site Offlink lui-même (création de compte, connexion) via Cloudflare Turnstile : traite l'adresse IP et des caractéristiques techniques du navigateur du visiteur. Les vitrines des professionnels (sous-domaines Offlink et domaines personnalisés) ne font pas appel à ce service : leurs formulaires sont protégés par un dispositif interne à Offlink, sans transmission à un tiers (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Twilio Inc. (États-Unis) : Envoi automatique de SMS aux clients du tenant (regulatory bundle FR n° BUa773730052a6fb7c8c974583772f1143) (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Featurebase (Royaume-Uni) : Support intégré dans l'app + roadmap publique
• PostHog Inc. (Union européenne (PostHog Cloud EU, Francfort)) : Mesure d'audience du site public (pages vues, parcours) — activée uniquement après consentement, sans enregistrement de session ni profilage publicitaire (Cadre de transfert : Données hébergées dans l'UE ; mesure activée après consentement)
• Google Ireland Ltd (YouTube) (Irlande (Union européenne) ; transferts possibles hors UE) : Lecture des vidéos YouTube qu'un professionnel intègre sur sa page publique — le lecteur tiers (et ses éventuels cookies) n'est chargé qu'au clic du visiteur sur « Lire » (mode youtube-nocookie) (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Vimeo.com, Inc. (États-Unis) : Lecture des vidéos Vimeo qu'un professionnel intègre sur sa page publique — le lecteur tiers n'est chargé qu'au clic du visiteur (mode « Do Not Track » activé) (Cadre de transfert : Clauses Contractuelles Types (SCC))
• Meta Platforms Ireland Limited (Instagram) (Irlande (Union européenne) ; transferts possibles hors UE) : Connexion du compte Instagram professionnel d'un tenant et publication de ses contenus (photos, légendes) sur ce compte depuis Offlink, à sa demande — transfert du média et du texte à publier (Cadre de transfert : Clauses Contractuelles Types (SCC))

Les données personnelles de tes propres clients (contacts, commandes, soumissions de parcours, rendez-vous) que tu collectes via Offlink sont traitées sous ta responsabilité : tu en es le responsable de traitement, et Offlink agit comme sous-traitant au sens de l'article 28 du RGPD.

À ce titre, Offlink s'engage à :

• Ne traiter ces données que sur tes instructions documentées, pour la seule fourniture du service.
• Garantir la confidentialité des personnes habilitées à y accéder.
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées.
• T'assister dans la réponse aux demandes d'exercice de droits de tes clients et te notifier toute violation de données dans les meilleurs délais.
• Ne recourir qu'aux sous-traitants ultérieurs listés dans la section précédente, encadrés par les garanties appropriées.
• Restituer puis supprimer ces données en fin de contrat, dans les conditions décrites dans nos CGU.

• Compte actif : pendant toute la durée de l'abonnement.
• Après résiliation : les données métier sont supprimées 6 mois après la résiliation. Tu peux télécharger tes exports pendant cette période.
• Factures et données comptables : conservées 10 ans conformément à l'article L123-22 du Code de commerce.
• Logs techniques : conservés 12 mois pour la sécurité et la prévention de la fraude.

Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants sur tes données :

• Droit d'accès (article 15)
• Droit de rectification (article 16)
• Droit à l'effacement (article 17)
• Droit à la limitation du traitement (article 18)
• Droit à la portabilité (article 20)
• Droit d'opposition (article 21)

Pour exercer ces droits, contacte-nous à support@offlink.io. Nous te répondrons dans un délai d'un mois (article 12 RGPD).

Pour le détail des cookies déposés et leur utilisation, consulte notre Politique cookies.

Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL).