POLITIQUE DE CONFIDENTIALITÉ

1. RESPONSABLE DU TRAITEMENT

Le responsable du traitement de vos données personnelles est :

Pas de Délégué à la protection des données (DPO) désigné. L'activité principale de Vervox ne remplit pas les critères rendant obligatoire la désignation d'un DPO au sens de l'article 37(1) du RGPD (absence de mission d'intérêt public, de suivi régulier et systématique à grande échelle, de traitement à grande échelle de catégories particulières de données). Pour toute question relative à la protection des données, merci d'écrire à l'adresse email ci-dessus.

2. DONNÉES COLLECTÉES

2.1 Données que vous nous fournissez

2.2 Données collectées automatiquement

2.3 Données de paiement et d'abonnement

Les données bancaires (numéro de carte, CVV, date d'expiration) sont collectées et traitées exclusivement par Stripe. Nous n'avons jamais accès à vos données bancaires complètes. Les pièces comptables (factures, identifiants clients Stripe, historique des transactions) sont conservées pendant dix (10) ans conformément à la réglementation fiscale et comptable française (article L123-22 du Code de commerce et article L102 B du Livre des procédures fiscales).

Dans le cadre du modèle d'abonnement Vervox, nous traitons également les données suivantes :

• Plan souscrit (Creator, Pro ou Business) et périodicité (mensuel ou annuel) ;
• Date de souscription, date de renouvellement, statut d'abonnement (actif, suspendu, résilié) et bénéfice éventuel de l'Offre fondateur (article 7.1bis des CGV) ;
• Nombre et identifiants des Profils créés au sein de votre Espace ;
• Crédits IA consommés par Profil (allocation mensuelle du Plan + Recharges éventuelles), avec horodatage par fonctionnalité utilisée ;
• Recharges achetées (montant, date, Profil bénéficiaire) ;
• Avoirs comptables Stripe générés en cas de suppression de Profil au prorata.

Ces données sont traitées sur la base de l'exécution du contrat (art. 6.1.b RGPD) pour la facturation et la fourniture du Service, et de l'intérêt légitime (art. 6.1.f RGPD) pour la détection des usages abusifs ou frauduleux (consommation anormale de Crédits, multi-comptes non autorisés, partage d'identifiants). Les traces de consommation de Crédits servent également de preuve en cas de contestation de paiement, conformément à l'article 7.13 des CGV/CGU. La durée de conservation suit celle des données de facturation (10 ans).

2.4 Données YouTube / Google API Services

Si vous choisissez de connecter votre chaîne YouTube à Vervox, nous accédons aux données suivantes via les YouTube API Services :

Partage et transfert : vos données YouTube ne sont partagées avec aucun tiers. Elles sont utilisées exclusivement pour le fonctionnement du Service (affichage dans l'interface, publication de vidéos sur votre propre chaîne). Elles ne sont ni vendues, ni louées, ni transférées à des tiers à des fins publicitaires, de profilage ou toute autre finalité non décrite ci-dessus.

Stockage : les tokens d'accès et de rafraîchissement YouTube sont chiffrés (AES-256-GCM) avant stockage dans notre base de données. Seul le Service accède à ces tokens pour exécuter les actions que vous demandez (publication, lecture de statistiques).

Révocation : vous pouvez déconnecter votre chaîne YouTube à tout moment depuis vos paramètres de compte. La déconnexion supprime immédiatement les tokens stockés. Vous pouvez également révoquer l'accès de Vervox depuis votre page de gestion des autorisations Google.

Conformité : l'utilisation par Vervox des données reçues via les Google API est conforme à la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use Requirements).

2.5 Données TikTok

Si vous choisissez de connecter votre compte TikTok à Vervox, nous accédons aux données suivantes via l'API TikTok :

Partage et transfert : vos données TikTok ne sont partagées avec aucun tiers. Elles sont utilisées exclusivement pour le fonctionnement du Service. Elles ne sont ni vendues, ni louées, ni transférées à des tiers à des fins publicitaires ou toute autre finalité non décrite ci-dessus.

Stockage : les tokens d'accès et de rafraîchissement TikTok sont chiffrés (AES-256-GCM) avant stockage. Les statistiques de vos vidéos sont stockées dans notre base de données pour permettre le suivi de progression dans le temps.

Révocation : vous pouvez déconnecter votre compte TikTok à tout moment depuis vos paramètres de compte. La déconnexion révoque les tokens et supprime l'accès de Vervox à vos données TikTok.

Changement de compte TikTok : lorsque vous remplacez le compte TikTok lié à votre profil Vervox par un autre compte, vos données précédentes (vidéos, statistiques, snapshots de progression) sont conservées sous forme archivée — elles ne sont plus affichées dans votre dashboard, mais restent stockées dans notre base de données à deux fins : (i) leur restauration automatique si vous reconnectez ce même compte TikTok plus tard ; (ii) l'analyse agrégée et anonymisée pour l'amélioration de nos modèles de recommandation et de prédiction de viralité. Cette conservation s'appuie sur la base légale de l'intérêt légitime (article 6.1.f RGPD). Vous pouvez demander la suppression définitive de ces données archivées à tout moment via le bouton « Effacer mes données » dans vos paramètres de compte (section Confidentialité) ou en nous écrivant à contact@vervox.app.

2.6 Correspondance par email avec le support

Lorsque vous nous écrivez à contact@vervox.app (avant ou après inscription), nous collectons et stockons :

• votre adresse email d'envoi et votre nom d'affichage (s'il est présent dans l'en-tête From)
• l'objet du message, son corps texte et HTML, ses pièces jointes éventuelles
• les en-têtes techniques nécessaires au threading (Message-ID, In-Reply-To, References)
• la date de réception

Traitement par IA — Alice : chaque email reçu est analysé par notre outil interne de support (« Alice »). L'objet et le corps du message sont transmis à Anthropic (Claude Haiku) pour effectuer (1) un classement automatique (catégorie, sentiment, urgence, langue, sujets, résumé court), puis (2) à la demande de l'équipe support, la génération d'une suggestion de réponse rédigée dans votre langue. Si vous écrivez dans une langue autre que le français, le contenu peut également être transmis à Claude Sonnet uniquement pour traduire entre votre langue et le français, afin que l'équipe support (francophone) puisse relire la suggestion avant envoi. Anthropic est lié par un DPA (article 28(3) RGPD) et n'utilise pas vos données pour entraîner ses modèles.

Agent conversationnel Telegram (interne au fondateur) : pour gérer le support en mobilité, le fondateur interagit avec Alice via un bot Telegram privé. Lors de ces conversations, le contenu de votre email peut être transmis à Anthropic (Claude Haiku) pour permettre à Alice de raisonner et générer des brouillons de réponses. Alice dispose de tools de curation manuelle (recherche d'emails par mot-clé, mise à jour de la catégorisation / urgence / kind d'un thread, archivage) qui restent dans le périmètre interne support — toutes ces opérations sont auditées dans inbound_email_events. Si le fondateur enregistre ses instructions en vocal, l'audio est transmis à OpenAI (Whisper) pour transcription en texte avant traitement par Anthropic. La transcription contient les instructions du fondateur (jamais le contenu de votre email). Aucune donnée vous concernant n'est partagée publiquement ; Telegram FZ-LLC reçoit uniquement des notifications opérationnelles déjà pseudonymisées (hash expéditeur, sujet tronqué, résumé IA) — voir section 5. La conversation Telegram n'est jamais lue ou utilisée à des fins de marketing.

Base légale : exécution du contrat (article 6.1.b) lorsque vous êtes Utilisateur, intérêt légitime à fournir un service de support de qualité (article 6.1.f) sinon. Vous pouvez vous opposer à tout moment au traitement par Alice en nous écrivant à la même adresse — votre demande sera alors traitée manuellement.

Pas de décision automatisée au sens de l'article 22 : le classement par Alice oriente votre message dans nos files de support, il ne produit aucune décision juridique ni effet significatif similaire. La réponse vous est toujours envoyée par un humain (en l'occurrence le fondateur).

Conservation : 24 mois à compter de la réception, puis effacement complet 6 mois plus tard (soit 30 mois maximum). Voir section 6.

Pseudonymisation à la suppression de compte : si vous supprimez votre compte Vervox, vos emails de support sont pseudonymisés (votre adresse email + nom remplacés par un identifiant haché, le contenu remplacé par un marqueur d'effacement) plutôt que supprimés en dur. Cette mesure préserve la cohérence des fils de discussion auxquels vous avez pu participer avec d'autres utilisateurs sans conserver aucune information vous concernant.

2.7 Caractère obligatoire ou facultatif

Les données marquées comme obligatoires lors de l'inscription (email, mot de passe ou connexion Google) sont nécessaires à l'exécution du contrat. Sans elles, vous ne pouvez pas créer de compte ni accéder au Service.

Les données de profilage (niche, pseudo TikTok, préférences) sont facultatives mais améliorent la pertinence des contenus générés. Les cookies analytiques sont facultatifs et soumis à votre consentement.

3. COOKIES ET TRACEURS

3.1 Cookies strictement nécessaires

Le Service utilise un cookie de session d'authentification (authjs.session-token) indispensable à son fonctionnement, ainsi qu'un cookie d'attribution (__vx_utm, durée : 1 heure) permettant de rattacher votre inscription à sa source d'acquisition. Ces cookies ne nécessitent pas votre consentement.

3.2 Cookies analytiques

Avec votre consentement, nous utilisons PostHog pour analyser l'utilisation du Service (pages visitées, clics, parcours utilisateur). PostHog peut également enregistrer des sessions de navigation (saisies masquées) afin d'améliorer l'expérience utilisateur. Lorsque vous êtes connecté(e), vos données analytiques peuvent être associées à votre compte (email, nom, plan) pour personnaliser notre suivi produit.

3.3 Mesure d'audience (Vercel Analytics)

Nous utilisons Vercel Analytics pour mesurer les performances et la fréquentation du Site. Ce service collecte des données agrégées et anonymisées (pages visitées, durée des visites, pays d'origine) sans utiliser de cookies et sans collecter de données personnelles identifiantes. Conformément aux recommandations de la CNIL, ce traceur ne nécessite pas de consentement préalable.

3.4 Cookies de monitoring

Sentry collecte des informations techniques en cas d'erreur (stack traces, contexte de navigation) afin de maintenir la stabilité du Service. En cas d'erreur, un enregistrement de la session peut être capturé pour faciliter le diagnostic.

3.5 Suivi serveur des événements produit

Certains événements liés au fonctionnement du Service (inscription, vérification d'email, onboarding, paiement, résiliation) sont enregistrés côté serveur via PostHog sous la base légale de l'intérêt légitime (art. 6.1.f du RGPD). Ces événements ne dépendent pas des cookies et servent exclusivement à améliorer le parcours utilisateur et à assurer le bon fonctionnement du Service.

3.6 Gestion de vos préférences

Vous pouvez accepter ou refuser les cookies non essentiels via le bandeau de consentement affiché lors de votre première visite. Vous pouvez modifier vos préférences à tout moment depuis la section Confidentialité de vos paramètres de compte. Votre choix est conservé pendant six (6) mois, après quoi le bandeau vous sera présenté à nouveau.

4. FINALITÉS ET BASES LÉGALES

5. SOUS-TRAITANTS ET TRANSFERTS INTERNATIONAUX

Vos données peuvent être transmises aux sous-traitants suivants. Un contrat de sous-traitance (DPA) conforme à l'article 28(3) du RGPD est signé avec chacun d'entre eux.

Vos données peuvent être transmises aux sous-traitants suivants :

Les transferts de données vers les États-Unis sont encadrés par le EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023) pour les sous-traitants certifiés, ou par des clauses contractuelles types (CCT) de la Commission européenne (décision d'exécution 2021/914) pour les autres.

Vous pouvez obtenir une copie des garanties applicables (CCT, DPA) en nous écrivant à contact@vervox.app.

6. DURÉES DE CONSERVATION

À la suppression de votre compte, l'ensemble de vos données personnelles et contenus générés sont supprimés de notre base de données, à l'exception des pièces comptables que nous sommes tenus de conserver 10 ans en vertu du droit fiscal et comptable français. Les données détenues par nos sous-traitants sont supprimées selon leurs propres politiques de conservation.

Cas particulier des emails de support : les emails que vous nous avez envoyés à contact@vervox.app sont pseudonymisés à la suppression de votre compte (votre adresse + nom remplacés par un identifiant haché, le contenu remplacé par un marqueur d'effacement) plutôt que supprimés en dur, afin de préserver la cohérence des fils de discussion auxquels vous avez pu participer avec d'autres utilisateurs. Aucune information vous identifiant directement ne subsiste après pseudonymisation. La suppression définitive intervient au plus tard à la fin de la période de conservation indiquée ci-dessus (30 mois à compter de la réception du message).

7. VOS DROITS

Conformément au RGPD, vous disposez des droits suivants :

• Accès (art. 15) : obtenir une copie de vos données
• Rectification (art. 16) : corriger des données inexactes
• Effacement (art. 17) : demander la suppression de vos données
• Limitation (art. 18) : restreindre temporairement le traitement
• Portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine
• Opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime
• Retrait du consentement (art. 7(3)) : retirer votre consentement à tout moment pour les traitements fondés sur celui-ci, sans que cela ne compromette la licéité du traitement effectué avant le retrait
• Ne pas faire l'objet d'une décision automatisée (art. 22) : voir section 9 — aucune décision automatisée produisant des effets juridiques n'est prise

7.1 Comment exercer vos droits — en libre-service

Si vous disposez d'un compte Vervox, la plupart des droits sont directement accessibles depuis la section Confidentialité de vos paramètres de compte :

• Accès & Portabilité — bouton « Exporter mes données » (format JSON structuré)
• Effacement — bouton « Supprimer mon compte » dans la Zone dangereuse (suppression en cascade de toutes vos données, client Stripe et tokens tiers)
• Rectification — modification directe des champs de votre profil
• Retrait du consentement — toggles « Profilage IA » et « Cookies analytiques »
• Révocation d'accès tiers — boutons Déconnecter TikTok / YouTube

7.2 Comment exercer vos droits — par email

Si vous ne disposez pas d'un compte Vervox mais que nous traitons vos données (par exemple, votre contenu public a été analysé par un Utilisateur Vervox), ou pour des demandes non réalisables en libre-service (limitation du traitement, données dans un format non-JSON spécifique), écrivez à contact@vervox.app. Nous répondons dans un délai d'un (1) mois conformément à l'article 12.3 du RGPD, prorogeable de deux mois en cas de demande complexe. Nous pouvons vérifier votre identité avant de répondre.

7.3 Droit de réclamation

Vous avez le droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr, 3 Place de Fontenoy, 75334 Paris.

7.4 Preuve d'acceptation des Conditions Générales

L'acceptation des Conditions Générales de Vente, des Conditions Générales d'Utilisation et de la présente Politique de Confidentialité est matérialisée par la création de votre compte Vervox. La date et l'heure exactes de votre inscription sont enregistrées automatiquement dans nos systèmes au moment de la création du compte et constituent la preuve formelle de votre acceptation conformément à l'article 6, paragraphe 1, point b) du RGPD (base légale : exécution d'un contrat).

Cette information peut être obtenue sur simple demande à contact@vervox.app, dans le cadre du droit d'accès prévu à l'article 15 du RGPD.

8. SÉCURITÉ ET NOTIFICATION DE VIOLATION

8.1 Mesures de sécurité

• Chiffrement des données en transit (HTTPS/TLS)
• Hashage des mots de passe (bcrypt)
• Chiffrement des tokens OAuth au repos (AES-256-GCM)
• Principe du moindre privilège pour l'accès des sous-traitants
• Mises à jour régulières des dépendances logicielles et scan de vulnérabilités
• Surveillance des erreurs (Sentry) pour détection d'anomalies
• Accès administratif restreint

8.2 Notification de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, Vervox notifiera la CNIL dans un délai de 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.

Si la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informerons également directement dans les meilleurs délais, conformément à l'article 34 du RGPD.

9. DÉCISIONS AUTOMATISÉES ET PROFILAGE

Le Service utilise l'intelligence artificielle pour générer des suggestions de contenus (scripts, idées, textes de carrousels) en s'appuyant sur vos données de profilage. Ces suggestions générées par IA ne constituent pas des décisions automatisées produisant des effets juridiques ou vous affectant de manière significative de façon similaire au sens de l'article 22 du RGPD. Il s'agit de suggestions que vous êtes libre d'accepter, modifier ou rejeter.

Vous pouvez désactiver le profilage IA à tout moment via le toggle « Profilage IA » dans la section Confidentialité de vos paramètres de compte.

10. MODIFICATION DE LA POLITIQUE DE CONFIDENTIALITÉ

Nous pouvons mettre à jour la présente Politique de Confidentialité pour refléter les évolutions de nos traitements, de nos sous-traitants, du cadre légal applicable, ou pour clarifier des dispositions.

10.1 Modifications substantielles

Sont considérées comme substantielles les modifications ayant pour effet direct et significatif :

• d'ajouter une nouvelle catégorie de données personnelles collectées ;
• d'ajouter un nouveau sous-traitant ;
• d'étendre les durées de conservation existantes ;
• de modifier les bases légales au titre de l'article 6 du RGPD ;
• d'introduire un transfert international vers un pays sans décision d'adéquation ;
• de réduire les droits dont vous disposez en application du RGPD.

Ces modifications vous seront notifiées par email préalablement à leur entrée en vigueur, dans un délai raisonnable adapté à la nature de la modification, et en tout état de cause au moins quinze (15) jours. Vous pouvez vous y opposer en exerçant les droits prévus à la section 7.

10.2 Autres modifications

Les modifications ne relevant pas de l'article 10.1 (notamment corrections rédactionnelles, clarifications, mises à jour descriptives liées à l'évolution du Service, ajustements opérationnels ou techniques sans impact sur le traitement de vos données) peuvent entrer en vigueur immédiatement et seront publiées sur cette page avec une mise à jour de la date de « Dernière mise à jour ».

10.3 Acceptation

L'utilisation continue du Service au-delà de la date d'entrée en vigueur d'une modification vaut acceptation. À défaut d'opposition manifestée par email à contact@vervox.app avant cette date, vous êtes réputé avoir accepté les nouvelles conditions.

11. CONTACT

Pour toute question :

Email : contact@vervox.app