Responsable du traitement

AudiScale est responsable du traitement des données collectées via le site et l’application.

Pour toute question relative à vos données ou pour exercer vos droits, écrivez à contact@audiscale.com.

Données collectées

Nous collectons les données que vous nous fournissez, celles que produisent les fonctionnalités que vous utilisez, et des données techniques nécessaires au fonctionnement et à la sécurité du service.

Données de compte : Nom, e-mail, paramètres et informations de facturation.
Données de site : URL, résultats d’audit, captures d’écran de vos pages et de celles des concurrents que vous suivez.
Contenus : Publications, images, idées, rapports et conversations avec les agents.
Boîte de réception connectée : Expéditeur, objet, date et classement des messages. Le corps des e-mails est lu à la volée et n’est jamais stocké.
Données de sécurité : Adresse IP et type d’appareil (User-Agent), enregistrés lors de la création de compte et des connexions.
Données d’usage : Journaux techniques nécessaires au fonctionnement du service.

Finalités et bases légales

Chaque traitement repose sur une base légale précise.

Fourniture du service : Création de compte, audits, contenus et exécution des actions. Base légale : exécution du contrat.
Sécurité et prévention de la fraude : Nous journalisons l’adresse IP et l’appareil lors de la création de compte et des connexions afin de détecter les abus (comptes multiples, intrusions) et protéger les comptes. Base légale : notre intérêt légitime (art. 6-1-f du RGPD).
Prospection : Réponses à vos demandes de contact et e-mails sur nos offres, auxquels vous pouvez vous opposer à tout moment. Base légale : notre intérêt légitime.
Obligations légales : Comptabilité et facturation. Base légale : respect d’une obligation légale.

Durée de conservation et suppression

Lorsque vous supprimez votre compte, vos données sont effacées ou anonymisées sans délai, à l’exception des factures que la loi nous impose de conserver (art. 17-3-b du RGPD). Elles disparaissent ensuite de nos sauvegardes au terme de leur rotation de 30 jours.

Données	Durée de conservation	Justification
Compte (identité, e-mail, paramètres, sites et connexions)	Durée de l’abonnement ou de l’utilisation. Un compte sans connexion depuis 3 ans et sans abonnement actif est supprimé, après un préavis de 30 jours par e-mail. Un compte désactivé par nos équipes (abus, fraude) n’est pas concerné : il est conservé comme élément de preuve.	Exécution du contrat ; référentiel CNIL « gestion commerciale ».
Factures et pièces comptables	10 ans à compter de la clôture de l’exercice, y compris après la suppression du compte.	Obligation légale (art. L123-22 du Code de commerce).
Journaux de sécurité (adresse IP, appareil)	12 mois, puis anonymisés ; sans délai si vous supprimez votre compte. Le type d’action et sa date sont conservés sans donnée personnelle.	Intérêt légitime : sécurité des comptes.
Audits, historique, plan d’action, indicateurs Google et Stripe agrégés	Durée du compte. Les données Google sont supprimées dès que vous révoquez la connexion.	Exécution du contrat.
Captures d’écran (vos sites, concurrents, bannières de consentement, expériences)	12 mois après la capture.	Exécution du contrat ; minimisation.
Boîte de réception connectée (métadonnées)	12 mois après la réception du message, et sans délai si vous déconnectez la boîte.	Exécution du contrat.
Rapports PDF	12 mois. Les liens de partage expirent après 30 jours.	Exécution du contrat.
Publications, images et idées	Durée du compte ; vous pouvez les supprimer à tout moment.	Exécution du contrat.
Conversations avec les agents	24 mois après le dernier message. Les traces de raisonnement affichées sont effacées après 7 jours.	Exécution du contrat.
Contenu brut lu par les agents Service client et Finances (tickets, e-mails, factures, transactions)	7 jours dans la conversation ; seule la trace de l’appel est conservée au-delà.	Minimisation ; exécution du contrat.
Brouillons de relance d’impayés et notes internes de tickets proposées par les agents	90 jours après la dernière modification, puis le texte est effacé ; la référence de facture est conservée pour ne pas relancer deux fois.	Exécution du contrat ; minimisation.
Journal de tri des messages entrants (extrait masqué, source, type de tentative)	12 mois, puis supprimé.	Intérêt légitime : sécurité.
Journal des requêtes envoyées à l’IA	30 jours pour le contenu des requêtes ; seuls les volumes et coûts sont conservés au-delà.	Intérêt légitime : diagnostic et maîtrise des coûts.
Archive d’export de vos données	48 heures, puis supprimée.	Droit à la portabilité (art. 20 du RGPD).
Prospects (demandes de contact, e-mails commerciaux)	3 ans après le dernier contact de votre part.	Intérêt légitime ; référentiel CNIL « gestion commerciale ».
Prospects de l’audit gratuit (adresse e-mail, domaine analysé, résultat)	12 mois après la saisie de l’adresse, puis suppression. Si vous vous désinscrivez, nous ne gardons au-delà qu’une empreinte irréversible de l’adresse (pas l’adresse elle-même), uniquement pour ne plus jamais vous écrire.	Intérêt légitime ; respect de votre opposition.
Mesure de conversion du site	13 mois.	Intérêt légitime : amélioration du parcours.
Choix relatif aux cookies	6 mois, puis nous vous le redemandons.	Recommandations de la CNIL sur les cookies.
Sauvegardes	Base de données : sauvegarde quotidienne chiffrée, conservée 30 jours. Serveur : sauvegarde hebdomadaire par l’hébergeur, conservée aux Pays-Bas et remplacée par rotation.	Intérêt légitime : continuité et sécurité du service.

Sous-traitants et transferts

Nous faisons appel aux prestataires ci-dessous, encadrés contractuellement, qui n’accèdent à vos données que pour exécuter leur service. Toute modification de cette liste est reportée ici, avec la date de mise à jour.

Lorsqu’un prestataire traite des données hors de l’Union européenne, le transfert repose sur une décision d’adéquation (dont le Data Privacy Framework UE–États-Unis pour les sociétés certifiées) ou sur les clauses contractuelles types de la Commission européenne.

Prestataire	Service	Données concernées	Localisation et garanties
Hostinger International Limited (Chypre)	Hébergement des serveurs et de la base de données, sauvegardes du serveur, envoi des e-mails	Toutes les données du service	France (Paris) ; sauvegardes aux Pays-Bas
Backblaze, Inc. (États-Unis)	Stockage des fichiers et des sauvegardes chiffrées de la base	Captures, images, rapports, sauvegardes	Région EU-Central (Amsterdam, Pays-Bas) ; accord de traitement (DPA) intégré à ses conditions, avec clauses contractuelles types de la Commission européenne ; certifiée Data Privacy Framework
Stripe Payments Europe Ltd (Irlande)	Paiement, abonnements et factures	Identité de facturation ; les données de carte sont détenues par Stripe seul	Union européenne ; transferts vers Stripe, Inc. encadrés par le Data Privacy Framework
OpenRouter, Inc. (États-Unis), avec les modèles d’OpenAI, Google et Perplexity	Fonctions d’intelligence artificielle : analyse, rédaction, recherche web, agents	Contenus transmis à l’IA : pages de vos sites, données d’audit, messages de conversation	États-Unis ; clauses contractuelles types
Moteurs d’IA interrogés pour la mesure de visibilité, via OpenRouter : ChatGPT (OpenAI), Perplexity, Gemini (Google), Claude (Anthropic), Grok (xAI), Mistral (Mistral AI), Llama (Meta) et DeepSeek, selon les moteurs inclus dans votre offre	Mesure de la présence de votre marque dans les réponses des IA	Uniquement des questions publiques sur votre marque et votre secteur ; aucune donnée personnelle	Hors Union européenne selon le moteur
DataForSEO OÜ (Estonie)	Positions, mots-clés, backlinks et avis en ligne	Domaines, mots-clés, nom et localisation de l’établissement	Union européenne
Google Ireland Ltd	reCAPTCHA (protection anti-robot), PageSpeed Insights ; Google Analytics avec votre consentement	Adresse IP et signaux du navigateur ; URL publiques	Union européenne et États-Unis ; Data Privacy Framework
Microsoft Ireland Operations Ltd	Clarity (mesure d’audience du site vitrine, y compris l’enregistrement anonymisé des sessions : clics, défilement et mouvements de souris rejoués, champs de saisie masqués), avec votre consentement	Navigation sur le site vitrine	Union européenne et États-Unis ; Data Privacy Framework
OpenStreetMap Foundation (Royaume-Uni)	Fonds de carte et recherche d’adresse (SEO local)	Adresse saisie, adresse IP	Royaume-Uni ; décision d’adéquation

Services que vous connectez

Lorsque vous connectez un service tiers (Google Search Console, Analytics ou Ads, Gmail ou une boîte IMAP, LinkedIn, WordPress, Stripe), AudiScale échange des données avec lui uniquement à votre demande. Ce service reste responsable des données qu’il détient, selon sa propre politique de confidentialité.

Certains services ne reçoivent aucune donnée personnelle : les banques d’images Pixabay et Pexels (seuls des mots-clés de recherche leur sont transmis) et Wordfence Intelligence (nous recevons son flux de vulnérabilités sans rien lui envoyer). Les notifications push transitent, chiffrées, par le service de votre navigateur.

Utilisateurs de votre site WordPress (gestion des utilisateurs)

La gestion des utilisateurs est une permission facultative, désactivée par défaut, que vous activez site par site par un choix explicite. Une fois activée, AudiScale récupère à la demande, via le plugin AudiScale Connector, les comptes utilisateurs de votre site WordPress connecté. Pour ces données, vous (le propriétaire du site) êtes responsable du traitement et AudiScale agit en qualité de sous-traitant au sens de l’article 28 du RGPD.

AudiScale traite ces données uniquement sur vos instructions documentées : l’activation de la permission, puis chaque action que vous approuvez dans AudiScale. Aucune modification n’est appliquée sans cette approbation.

Il vous appartient d’informer les utilisateurs de votre site de ce traitement et de vous assurer qu’il repose sur une base légale.

Personnes et données concernées : Les utilisateurs de votre site WordPress. Pour chacun : identifiant, nom de connexion, nom affiché, adresse e-mail, rôles, date d’inscription, date de dernière connexion, statut de l’authentification à deux facteurs et nombre de mots de passe d’application.
Finalité : La sécurité des comptes et l’administration de votre site : changement de rôle, déconnexion, révocation des mots de passe d’application, envoi par WordPress de son propre e-mail de réinitialisation, nouveau mot de passe exigé à la prochaine connexion, désactivation ou réactivation de la connexion, suppression avec réattribution des contenus.
Aucun stockage de la liste : La liste des utilisateurs n’est pas enregistrée dans la base de données d’AudiScale ; elle n’est conservée qu’en mémoire pendant une minute environ. AudiScale ne voit, ne définit et ne transporte aucun mot de passe.
Aucun transfert aux fournisseurs d’IA : Les adresses e-mail sont masquées par défaut dans l’interface et ne sont jamais transmises aux modèles d’IA. Les agents reçoivent uniquement des comptages, des rôles, des indicateurs d’inactivité et des identifiants numériques.
Journal des actions : Chaque modification est consignée dans l’historique des actions d’AudiScale (identifiant et nom affiché de l’utilisateur ciblé, nature de la modification, personne ayant approuvé, date) et dans le journal d’audit du plugin sur votre site. Les entrées de l’historique d’AudiScale suivent la durée de conservation de l’historique des actions (voir « Durée de conservation et suppression »).
Engagements du sous-traitant : Confidentialité des personnes autorisées, mesures de sécurité décrites dans la section « Sécurité et protection de vos données », assistance pour l’exercice des droits des personnes concernées, et suppression ou restitution des données à votre demande ou à la fin du service. Les prestataires qui interviennent sont listés dans la section « Sous-traitants et transferts ».

Sécurité et protection de vos données

Les données que vous nous confiez, y compris les données sensibles obtenues via les API Google, sont protégées par des mesures techniques et organisationnelles décrites ici sans ambiguïté.

Toute donnée en transit est chiffrée par TLS 1.2 ou supérieur ; aucun accès en clair n’est possible sur le réseau. Les jetons d’accès et de rafraîchissement OAuth sont chiffrés au repos avec AES-256-GCM, au moyen d’une clé conservée hors de la base de données ; ils ne sont jamais écrits dans nos journaux, ni exposés au navigateur, ni transmis à un tiers.

Nos serveurs sont hébergés en France (Paris). L’accès administrateur est restreint aux personnes qui en ont besoin et journalisé : l’accès aux serveurs se fait uniquement par clés SSH, l’authentification par mot de passe et la connexion directe en root étant désactivées ; l’accès au back-office d’administration exige une authentification à double facteur (TOTP). Chaque requête est filtrée par compte : un client n’accède qu’à ses propres données. Les mots de passe sont stockés sous forme de condensats salés, jamais en clair. La base de données est sauvegardée chaque jour de manière chiffrée et le serveur chaque semaine, toutes les sauvegardes étant conservées dans l’Union européenne ; nous appliquons les correctifs de sécurité de nos dépendances en continu.

En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous notifions l’autorité de contrôle dans les 72 heures et vous informons sans délai lorsque la réglementation l’exige.

Chiffrement en transit : TLS 1.2 ou supérieur sur toutes les communications, sans exception.
Chiffrement au repos : Jetons OAuth chiffrés en AES-256-GCM, clé détenue hors de la base ; sauvegardes de la base chiffrées ; secrets applicatifs isolés du code.
Accès restreint : Serveurs accessibles par clés SSH uniquement (mot de passe et root désactivés) ; back-office d’administration protégé par double facteur.
Cloisonnement et hébergement UE : Données isolées par compte client ; serveurs en France, sauvegardes dans l’Union européenne.

Données Google (Search Console, Analytics & Ads) et usage limité

Lorsque vous connectez vos propriétés Google Search Console et Google Analytics 4, AudiScale accède en lecture à vos données de performance de recherche et d’audience et — sur votre action explicite — soumet votre sitemap et demande la réindexation de vos URL. Lorsque vous connectez votre compte Google Ads, AudiScale lit uniquement vos indicateurs de performance publicitaire (coût, clics, impressions, conversions, valeur de conversion, par campagne) : aucune campagne, annonce, enchère ou budget n’est créé, modifié ni supprimé. Ces accès servent uniquement à produire vos audits, votre plan d’action, vos tableaux de bord et les correctifs que vous validez.

Les données obtenues via les API Google sont protégées par les mesures décrites à la section « Sécurité et protection de vos données » : chiffrement en transit et au repos, accès administrateur restreint et journalisé, cloisonnement par compte. Nous n’en conservons que des agrégats nécessaires à vos tableaux de bord ; ils sont supprimés lorsque vous révoquez la connexion ou supprimez votre compte. Vous pouvez révoquer l’accès à tout moment depuis AudiScale ou depuis les paramètres de sécurité de votre compte Google.

L’utilisation et le transfert par AudiScale des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences d’usage limité (Limited Use). Nous n’utilisons pas les données utilisateur Google — brutes, agrégées ou dérivées — pour développer, entraîner ou améliorer des modèles d’IA généralisés ou de fondation. Nos fonctionnalités d’IA se limitent à analyser vos propres données afin de vous conseiller ; ces données ne sont ni partagées ni vendues à des tiers.

Vos droits

Conformément au RGPD, vous disposez de droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité. Pour les exercer, écrivez à contact@audiscale.com ou, si vous n’êtes pas client, utilisez le formulaire de la page « Exercer mes droits » (audiscale.com/fr/exercer-mes-droits).

Vous pouvez également introduire une réclamation auprès de la CNIL.

Cookies

Le site utilise des cookies strictement nécessaires (dont la mémorisation de votre langue et de votre session) et, uniquement avec votre consentement, les outils de mesure d’audience Google Analytics et Microsoft Clarity. Votre choix est conservé 6 mois et modifiable à tout moment via le lien « Gérer mes cookies » en pied de page.