Politique de confidentialité
Comment Cassiopée traite les données personnelles : ce qui est collecté, pourquoi, pour combien de temps, qui y a accès et quels droits vous pouvez exercer.
Dernière mise à jour : 07/10/2026
1. Qui est responsable des traitements
Le service est édité par Sidy Doucoure EI, dont les coordonnées complètes figurent dans les mentions légales. Toute question relative à cette politique peut être adressée à sidydcr.pro@gmail.com.
Compte tenu de sa taille et de la nature de ses traitements, l'éditeur n'a pas désigné de délégué à la protection des données. Les demandes sont traitées directement à l'adresse ci-dessus.
Le rôle de l'éditeur n'est pas le même selon la donnée concernée, et cette distinction commande la suite :
- Responsable de traitement pour les données liées au compte, aux utilisateurs, à la facturation et au fonctionnement technique du service. C'est l'éditeur qui décide de ces traitements.
- Sous-traitant pour les avis collectés sur les plateformes connectées et les réponses publiées. C'est le client — l'entreprise abonnée — qui décide de les collecter et qui en est responsable ; l'éditeur n'agit que sur ses instructions, dans les conditions prévues à l'article 13 des conditions générales.
2. Données traitées, finalités et bases légales
| Données | Finalité | Base légale |
|---|---|---|
| Nom de l'entreprise ; prénom, nom, adresse électronique et rôle de chaque utilisateur ; mot de passe conservé sous forme de condensat | Créer le compte, authentifier les utilisateurs, attribuer à chacun ses droits d'accès, sécuriser l'accès | Exécution du contrat |
| Prénom, nom et adresse électronique d'une personne invitée par un administrateur du client | Lui envoyer l'invitation et préparer son compte, qu'elle active elle-même en choisissant son mot de passe | Intérêt légitime du client à donner accès au service à ses équipes |
| Formule souscrite, statut de l'abonnement, identifiant client chez le prestataire de paiement, factures | Gérer l'abonnement, encaisser les paiements, tenir la comptabilité | Exécution du contrat et obligation légale |
| Autorisations d'accès aux plateformes connectées, conservées chiffrées | Récupérer les avis et publier les réponses au nom du client | Exécution du contrat |
| Avis récupérés : nom d'auteur tel que publié sur la plateforme, note, titre, texte, date, lien | Afficher, filtrer, analyser et exporter les avis du client, et en tirer des indicateurs : évolution, objectif de note, tendance | Traitement effectué pour le compte du client, qui en est responsable |
| Réponses aux avis rédigées par le client | Les publier sur la plateforme d'origine et en conserver la trace | Traitement effectué pour le compte du client |
| Fréquence d'alerte choisie par chaque utilisateur, et son adresse électronique | Lui envoyer les alertes en cas d'avis négatif ou, selon la formule, de baisse marquée de la note | Exécution du contrat |
| Journal technique de synchronisation : horodatage, statut, message d'erreur | Diagnostiquer une panne et vérifier qu'une connexion n'est pas restée en échec | Intérêt légitime à la fiabilité du service |
| Échanges avec le support | Répondre aux demandes et en conserver le suivi | Exécution du contrat |
| Données de connexion techniques conservées par l'hébergeur : adresse IP, horodatage | Sécurité du service et prévention des abus | Intérêt légitime à la sécurité |
Aucune donnée n'est vendue, louée ni cédée à des fins publicitaires. Aucun profilage ni décision automatisée produisant des effets juridiques n'est mis en œuvre. Les données ne servent pas à entraîner de modèles.
Les indicateurs calculés à partir des avis — évolution, objectif de note, tendance — portent sur l'établissement. Ils ne visent jamais l'auteur d'un avis, ni un membre de l'équipe du client.
La fourniture des données signalées comme nécessaires conditionne l'ouverture du compte : sans adresse électronique, le service ne peut ni authentifier un utilisateur ni lui envoyer les messages indispensables à son fonctionnement.
3. Le cas particulier des avis
Les avis affichés dans le service contiennent des données personnelles de leurs auteurs — au minimum le nom sous lequel ils ont publié. Ces personnes n'ont aucune relation directe avec Cassiopée : leurs avis ont été publiés sur une plateforme tierce, où ils sont déjà accessibles publiquement, et le service les recopie pour les présenter à l'entreprise concernée.
Dans cette chaîne, l'entreprise abonnée est responsable du traitement : c'est elle qui connecte sa fiche, qui décide d'exploiter ses avis et qui répond aux demandes de ses propres clients. L'éditeur intervient comme sous-traitant et n'exploite ces avis pour aucune finalité qui lui serait propre.
4. Durées de conservation
| Données | Durée | Pourquoi cette durée |
|---|---|---|
| Compte, utilisateurs et paramètres de l'entreprise | Durée de l'abonnement, puis 12 mois après sa fin, avant suppression automatique | Permettre une reprise d'abonnement sans tout reconfigurer, et répondre à une réclamation postérieure |
| Compte d'un membre de l'équipe, invitation comprise | Jusqu'à son retrait par un administrateur, qui le supprime immédiatement ; au plus tard avec le compte de l'entreprise | Une personne qui n'a plus accès au service ne doit y laisser ni compte ni données |
| Avis collectés sur les plateformes connectées | Durée de l'abonnement, puis supprimés avec le compte | Ils n'ont d'utilité que pour le tableau de bord du client |
| Jetons d'accès aux plateformes connectées | Jusqu'à la déconnexion de la plateforme, supprimés immédiatement | Un jeton sans usage est un risque sans contrepartie |
| Journal technique de synchronisation | 12 mois | Diagnostiquer une panne et prouver qu'une connexion n'est pas restée en échec |
| Factures et pièces comptables | 10 ans | Obligation légale de conservation des documents comptables |
| Emails échangés avec le support | 3 ans après le dernier échange | Suivi de la relation client |
| Journal des actions du support | 3 ans | Savoir qui a fait quoi sur un compte, et pourquoi |
| Notes internes du support sur un compte | Durée du compte, supprimées avec lui | Garder le contexte d'une demande d'un échange à l'autre |
À l'échéance, les données sont supprimées automatiquement, comptes de connexion des utilisateurs compris. Les factures restent conservées par le prestataire de paiement pendant la durée légale. Le client peut demander à tout moment la suppression immédiate de son compte et des avis associés, sans attendre ces délais.
5. Qui a accès aux données
Les données ne sont accessibles qu'à l'éditeur, pour l'exploitation et le support du service, et aux prestataires suivants, qui agissent sur ses instructions et sont tenus par contrat à la confidentialité :
| Prestataire | Rôle | Zone | Informations |
|---|---|---|---|
| Vercel Inc. | Hébergement de l'application et exécution des traitements planifiés | États-Unis | vercel.com |
| Supabase Pte. Ltd. | Base de données, authentification des comptes et stockage | Union européenne — France (Paris, région eu-west-3) | supabase.com |
| Stripe Payments Europe, Limited | Encaissement des abonnements et émission des factures | Irlande, avec recours à des entités du groupe Stripe aux États-Unis | stripe.com |
| Resend | Acheminement des emails du service : confirmation d'inscription, réinitialisation de mot de passe, invitation des membres d'une équipe, alertes sur avis négatif et sur baisse de la note | États-Unis | resend.com |
Les plateformes connectées — Google Business Profile notamment — ne sont pas des sous-traitants de l'éditeur : elles traitent les données sous leur propre responsabilité et selon leurs propres conditions, auxquelles le client a souscrit directement. Le service ne fait qu'exercer, pour son compte, l'accès qu'il a autorisé.
Les accès du personnel de l'éditeur passent par un outil interne protégé par une double authentification ; chaque action qui y modifie un compte est journalisée, avec son auteur et son motif.
Les données peuvent en outre être communiquées à une autorité administrative ou judiciaire lorsque la loi l'impose.
6. Transferts hors de l'Union européenne
La base de données, qui contient les comptes, les avis et les paramètres, est hébergée dans l'Union européenne : Union européenne — France (Paris, région eu-west-3).
Certains prestataires sont toutefois établis hors de l'Union : aux États-Unis, ou à Singapour pour l'exploitant de la base de données, dont les équipes peuvent y accéder à distance pour en assurer le fonctionnement. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données entre l'Union européenne et les États-Unis.
7. Sécurité
Les mesures suivantes protègent les données :
- cloisonnement des données par entreprise appliqué au niveau de la base de données, de sorte qu'une erreur applicative ne puisse pas exposer les données d'un autre client ;
- restriction des droits jusqu'au niveau des colonnes sensibles : les autorisations d'accès aux plateformes ne sont lisibles par aucun compte utilisateur ;
- chiffrement de ces autorisations en base et des échanges en transit ;
- mots de passe conservés sous forme de condensat par le prestataire d'authentification, jamais en clair ;
- absence de données de carte bancaire dans le service : elles sont saisies chez le prestataire de paiement et ne transitent pas par l'éditeur.
8. Vos droits
Vous disposez, dans les conditions prévues par le règlement général sur la protection des données, des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de vos données.
Pour les exercer, écrivez à sidydcr.pro@gmail.com. Une réponse vous sera apportée dans un délai d'un mois à compter de la réception de la demande, porté à trois mois si sa complexité le justifie, auquel cas vous en serez informé. Un justificatif d'identité pourra être demandé en cas de doute raisonnable sur l'identité du demandeur.
Les clients disposent par ailleurs, dans leur espace, d'un accès direct à leurs données et d'une fonction d'export au format CSV qui satisfait le droit à la portabilité.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
9. Cookies
Le service ne dépose que les traceurs strictement nécessaires à son fonctionnement. Ils sont détaillés dans la politique relative aux cookies.
10. Modification de la présente politique
Cette politique peut être modifiée pour tenir compte d'une évolution du service ou de la réglementation. Toute modification substantielle est portée à la connaissance des clients par courrier électronique. La date de dernière mise à jour figure en tête de page.