Politique de confidentialité

1. Introduction

La présente politique de confidentialité décrit la manière dont Irva, édité par Guillaume Girod, collecte, utilise et protège les données personnelles des utilisateurs de la plateforme. Nous nous engageons à respecter la réglementation en vigueur, notamment le Règlement Général sur la Protection des Données (RGPD) et la loi Informatique et Libertés.

2. Responsable du traitement

3. Données collectées

Dans le cadre de l'utilisation d'Irva, nous pouvons collecter les données suivantes :

• Données d'identification : adresse email, nom (si renseigné) lors de la création de compte
• Données de projet : noms de projets, URLs analysées, mots-clés, contenus rédigés, backlinks, budgets et notes que vous saisissez dans la plateforme
• Données sur vos clients et prospects : coordonnées de vos contacts et prospects, rendez-vous importés de Calendly, destinataires de vos rapports (voir la section 7)
• Données de connexion : tokens d'accès Google Search Console, Google Calendar et Calendly si vous connectez ces services
• Données d'usage : journaux d'appels API (fonction appelée, horodatage) et essais offerts consommés, à des fins de suivi de consommation
• Clés API tierces : clés API IA (OpenAI, Anthropic, etc.) que vous choisissez de stocker de manière chiffrée dans votre compte
• Remontées de bug : message, captures d'écran, adresse de la page et navigateur, quand vous signalez un problème
• Acceptation des conditions : date et version des conditions générales et de la présente politique que vous avez acceptées
• Résultats de recherche relevés (SERP) : classements, adresses, titres et extraits affichés par les moteurs de recherche, et contenu public des pages les mieux classées (balise title, meta description, titres, données structurées). Ce sont des données publiques, qui ne vous concernent pas personnellement

4. Finalités du traitement

Vos données sont traitées pour :

• Fournir et maintenir les fonctionnalités de la plateforme (gestion de projets SEO, rédaction, audit, suivi de positions, etc.)
• Authentifier votre accès et sécuriser votre compte
• Permettre la collaboration entre utilisateurs sur les projets partagés
• Générer des analyses et contenus via des services d'intelligence artificielle tiers
• Suivre la consommation d'API pour la gestion du service
• Vous envoyer des alertes et notifications liées à vos projets (si activées)
• Traiter les problèmes que vous nous signalez et vous répondre

5. Base légale du traitement

• Exécution du contrat : le traitement est nécessaire à la fourniture du service Irva
• Consentement : pour la connexion de services tiers (Google Search Console, Google Calendar, Calendly)
• Intérêt légitime : pour l'amélioration du service, le suivi de consommation et la sécurité

6. Partage des données et sous-traitants

Vos données ne sont jamais vendues ni partagées à des fins commerciales. Elles peuvent être transmises aux sous-traitants et services suivants, strictement dans le cadre du fonctionnement du service et dans la limite de ce que chaque fonction utilise :

Quand vous utilisez vos propres clés d'API, les requêtes partent chez le fournisseur sous votre compte, selon ses conditions. En cas de collaboration sur un projet, les données de ce projet sont accessibles aux collaborateurs que vous avez invités, selon les permissions que vous leur accordez. Une roadmap que vous partagez par lien est visible par toute personne qui dispose de ce lien (et du mot de passe, si vous en avez défini un).

Résultats de recherche relevés (SERP). Les SERP relevées pour votre compte sont une propriété partagée entre vous et Irva (article 3 des conditions générales d'utilisation). Irva peut les réutiliser sous une forme anonymisée, sans lien avec votre compte, vos clients ou vos projets, pour constituer une base de données de SERP commune à l'ensemble des utilisateurs.

Données reçues des API Google. Les données de Google Search Console et de Google Agenda servent uniquement aux fonctions que vous utilisez dans Irva (rapports, suivi, temps passé). Elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour développer ou entraîner des modèles d'intelligence artificielle généralistes. L'utilisation et le transfert vers toute autre application des informations reçues des API Google respectent le Règlement sur les données utilisateur des services d'API Google, y compris les exigences relatives à l'utilisation limitée.

Irva's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

7. Données que vous nous confiez sur vos clients

Pour votre activité, vous enregistrez dans Irva des informations sur d'autres personnes : vos clients et leurs contacts (noms, adresses e-mail, téléphones), vos prospects, dont ceux importés depuis Calendly, les destinataires de vos rapports et les personnes que vous invitez sur un projet.

Pour ces données, vous êtes responsable du traitement et Irva agit en sous-traitant au sens de l'article 28 du RGPD : nous les traitons uniquement pour vous fournir le service, selon vos instructions, et ne les utilisons à aucune autre fin. Il vous revient d'informer les personnes concernées et de disposer d'une base légale pour ces traitements. Ces données sont supprimées avec votre compte.

Les engagements d'Irva sur ces données sont détaillés dans l'accord de sous-traitance, qui fait partie des conditions générales d'utilisation.

8. Sécurité des données

Nous mettons en œuvre des mesures de sécurité appropriées pour protéger vos données :

• Chiffrement des clés API stockées (AES-GCM)
• Authentification sécurisée via Supabase Auth
• Politiques de sécurité au niveau des lignes (Row Level Security) pour isoler les données entre utilisateurs
• Communications chiffrées via HTTPS
• Tokens OAuth rafraîchis et stockés de manière sécurisée
• Sauvegardes quotidiennes chiffrées, conservées 30 jours

9. Durée de conservation

Vos données sont conservées tant que votre compte est actif. Après la fermeture de votre compte, vous disposez de 3 jours pour changer d'avis en vous reconnectant. Passé ce délai, votre compte, vos données personnelles et vos données de projet (clients, prospects, notes, contenus, fichiers, captures d'écran, crawls, connexions et clés d'API) sont supprimés définitivement. Les copies présentes dans nos sauvegardes chiffrées sont effacées au plus tard 30 jours après cette suppression. Le contenu des pages explorées par un crawl, stocké chez Cloudflare, est effacé automatiquement, en général dans l'heure, après la suppression du crawl, du client ou du compte ; les copies de restauration de Cloudflare expirent au plus tard 30 jours après.

Les SERP relevées ne sont pas supprimées avec votre compte : elles sont conservées sans limite de durée et anonymisées (sans lien avec votre compte, vos clients ni vos projets), conformément à l'article 3 des conditions générales d'utilisation. Vous pouvez les télécharger à tout moment depuis les paramètres de l'application. Ce que vous avez créé en tant qu'invité dans l'espace d'un autre utilisateur reste dans cet espace, sans votre nom. Les autres données de cache (volumes de mots-clés, par exemple) sont purgées après expiration. Les remontées de bug sont conservées le temps de leur traitement.

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger vos données inexactes ou incomplètes
• Droit à l'effacement : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré (export des SERP depuis les paramètres de l'application, export complet sur demande)
• Droit d'opposition : vous opposer au traitement de vos données
• Droit à la limitation : restreindre le traitement de vos données

Pour exercer ces droits, contactez-nous à : [email protected]

11. Cookies et traceurs

Irva n'utilise ni cookie publicitaire, ni outil de mesure d'audience. L'application enregistre dans votre navigateur (stockage local) votre session de connexion et quelques préférences d'affichage, comme le thème ou les bandeaux que vous avez masqués : ces traceurs sont strictement nécessaires au service et ne demandent pas votre consentement.

Sur les pages de connexion et d'inscription, Cloudflare Turnstile vérifie que vous n'êtes pas un robot. Les polices de caractères du site sont chargées depuis Google Fonts, qui reçoit à cette occasion votre adresse IP.

12. Transferts internationaux

Les données de l'application sont hébergées dans l'Union européenne (Irlande). Certains sous-traitants listés à la section 6 sont situés hors de l'Union européenne (États-Unis, Royaume-Uni, Singapour). Ces transferts sont encadrés par des garanties appropriées : décisions d'adéquation de la Commission européenne (dont le Data Privacy Framework pour les entreprises américaines certifiées) ou clauses contractuelles types.

13. Modifications

Nous nous réservons le droit de modifier cette politique de confidentialité à tout moment. Toute modification substantielle vous sera signalée et soumise à votre acceptation lors de votre prochaine connexion. La date de dernière mise à jour est indiquée ci-dessus.

14. Contact et réclamation

Pour toute question relative à cette politique, contactez-nous à : [email protected]

Vous avez également le droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr