Politique de Confidentialité

Dernière mise à jour : 25 mars 2026
Version : 1.2

1. INTRODUCTION ET IDENTITÉ DU RESPONSABLE DE TRAITEMENT

La présente Politique de Confidentialité a pour objet d'informer les utilisateurs du service AgencyFlow (ci-après "le Service") de la manière dont leurs données personnelles sont collectées, traitées et protégées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment ses articles 13 et 14, et à la loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés).

Responsable de traitement :

• Dénomination : Tom Gremy
• Forme juridique : Entrepreneur individuel
• SIRET : 999 906 688 00018
• Siège social : 10 rue Hortense, 33100 Bordeaux, France
• Email de contact : contact@agency-flow.fr

Délégué à la Protection des Données (DPO) :

• Nom : Tom Gremy
• Email : contact@agency-flow.fr

2. DONNÉES PERSONNELLES COLLECTÉES

2.1 Données fournies directement par l'Utilisateur

2.2 Données collectées automatiquement

2.3 Données provenant des services tiers (Sources OAuth)

Lorsque l'Utilisateur connecte un service tiers, les données suivantes sont collectées :

• HubSpot : ID hub, domaine, email utilisateur, deals, contacts
• Pipedrive : ID utilisateur, nom, email, deals, contacts, organisations
• Google Ads : ID utilisateur, nom, email, métriques publicitaires
• Meta Ads : ID utilisateur, nom, métriques publicitaires
• TikTok Ads, LinkedIn Ads : ID utilisateur, nom, métriques publicitaires
• Google Sheets, Google Drive : ID utilisateur, nom, email
• Google Analytics : ID utilisateur, email, métriques de trafic web
• Google Search Console : ID utilisateur, email, métriques SEO
• Google Business Profile : ID utilisateur, email, statistiques locales, avis
• YouTube : ID et nom de la chaîne, métriques vidéo
• Slack : ID team, nom workspace
• Discord : ID utilisateur, nom
• Airtable, Notion : ID utilisateur, email

Important :Les tokens d'accès OAuth sont chiffrés par l'algorithme PGP (extension pgcrypto) avant stockage en base de données. Les tokens ne sont jamais stockés en clair.

3. FINALITÉS ET BASES LÉGALES DES TRAITEMENTS

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale spécifique :

3.1 Traitements nécessaires à l'exécution du contrat (Art. 6.1.b RGPD)

• Gestion du compte utilisateur: Permettre l'accès au Service (email, nom, avatar)
• Gestion du profil agence : Personnaliser le Service
• Connexion OAuth aux Sources: Permettre l'automatisation des workflows
• Exécution des workflows : Automatiser les tâches marketing
• Facturation et paiement: Gérer l'abonnement

3.2 Traitements fondés sur l'intérêt légitime (Art. 6.1.f RGPD)

• Journalisation d'audit : Sécurité et traçabilité (conservation 365 jours)
• Monitoring des erreurs (Sentry) : Amélioration du Service (conservation 90 jours)
• Rate limiting : Protection contre les abus
• Statistiques agrégées anonymes : Optimisation du produit

3.3 Traitements fondés sur le consentement (Art. 6.1.a RGPD)

• Historique détaillé des exécutions: Conserver l'historique complet des workflows
• Statistiques anonymisées : Partager des métriques anonymes
• Communications marketing : Recevoir des emails sur les nouvelles fonctionnalités

Gestion des consentements :L'Utilisateur peut modifier ses consentements à tout moment depuis les paramètres de son compte. Les consentements sont enregistrés avec horodatage pour preuve. Par défaut, tous les consentements optionnels sont désactivés (privacy by default).

3.4 Traitements fondés sur une obligation légale (Art. 6.1.c RGPD)

• Conservation des factures : Obligations comptables (Code de commerce art. L.123-22) - 10 ans
• Réponse aux réquisitions judiciaires : Coopération avec les autorités - 1 an

4. DESTINATAIRES DES DONNÉES

4.1 Sous-traitants techniques

Conformément à l'article 28 du RGPD, les sous-traitants suivants traitent des données personnelles :

4.2 Sources OAuth

Les Sources auxquels l'Utilisateur connecte son compte (HubSpot, Google, Meta, etc.) sont des responsables de traitement indépendants. AgencyFlow accède à ces données en tant que tiers autorisé dans la limite des permissions accordées par l'Utilisateur.

4.3 Autres destinataires

• Autorités compétentes: en cas d'obligation légale (réquisition judiciaire, demande CNIL)
• Aucune vente de données: l'Éditeur ne vend, ne loue et ne cède jamais les données personnelles

5. TRANSFERTS DE DONNÉES HORS UNION EUROPÉENNE

Certains sous-traitants (Vercel, Stripe) sont établis aux États-Unis. Ces transferts sont encadrés par :

• Clauses Contractuelles Types (CCT)adoptées par la Commission européenne (Décision d'exécution 2021/914 du 4 juin 2021)
• Mesures supplémentairesconformément à l'arrêt Schrems II : chiffrement en transit (TLS 1.2+), minimisation des données transférées
• EU-US Data Privacy Framework le cas échéant

L'Éditeur s'engage à privilégier les hébergements en Union européenne. La base de données principale (Supabase) est hébergée en région EU (Paris).

6. DURÉES DE CONSERVATION

7. SÉCURITÉ DES DONNÉES

Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes :

7.1 Mesures techniques

• Chiffrement des tokens OAuth : algorithme PGP (pgcrypto)
• Chiffrement en transit : TLS 1.2+ pour toutes les communications
• Chiffrement au repos : base de données Supabase chiffrée (AES-256)
• Row Level Security (RLS) : isolation des données entre utilisateurs
• Rate limiting : protection contre les attaques par force brute
• Fonctions SECURITY DEFINER : protection des fonctions sensibles
• Prévention d'escalade de privilèges : trigger de sécurité
• Hachage SHA-256 : des identifiants utilisateurs avant journalisation
• Authentification sécurisée : via Supabase Auth avec support OAuth 2.0
• Monitoring: Sentry (EU) pour la détection d'anomalies

7.2 Mesures organisationnelles

• Principe du moindre privilège : permissions selon nécessité
• Privacy by design et by default (art. 25 RGPD)
• Journalisation d'audit : traçabilité des actions sensibles
• Gestion des incidents : notification en cas de violation (art. 33-34 RGPD)

8. DROITS DES PERSONNES CONCERNÉES

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

8.1 Droit d'accès (Art. 15 RGPD)

Vous avez le droit d'obtenir la confirmation que des données personnelles vous concernant sont ou ne sont pas traitées, et d'en obtenir une copie. Cette fonctionnalité est accessible via les paramètres du compte (export des données en format JSON).

8.2 Droit de rectification (Art. 16 RGPD)

Vous pouvez rectifier vos données directement depuis les paramètres de votre compte (nom, email, informations d'agence).

8.3 Droit à l'effacement (Art. 17 RGPD)

Vous pouvez demander la suppression de votre compte et de vos données :

• Depuis les paramètres du compte : suppression planifiée avec délai de grâce de 7 jours
• Par email au DPO : pour une suppression immédiate

La suppression entraîne :

• La révocation de tous les tokens OAuth auprès des Sources
• La suppression de toutes les données personnelles
• L'anonymisation des journaux d'audit
• La suppression du compte d'authentification

8.4 Droit à la limitation du traitement (Art. 18 RGPD)

Vous pouvez demander la limitation du traitement de vos données dans les cas prévus par le RGPD. Contactez le DPO à contact@agency-flow.fr.

8.5 Droit à la portabilité (Art. 20 RGPD)

Vous pouvez obtenir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON). La fonctionnalité d'export est disponible dans les paramètres du compte.

L'export inclut :

• Informations du compte utilisateur
• Informations de l'agence
• Liste des connexions (sources, dates, statut)
• Configuration des workflows
• Historique des exécutions
• Consentements

8.6 Droit d'opposition (Art. 21 RGPD)

Vous pouvez vous opposer aux traitements fondés sur l'intérêt légitime en contactant le DPO. Pour les communications marketing, le retrait du consentement suffit (paramètres du compte).

8.7 Droit de retirer votre consentement (Art. 7.3 RGPD)

Vous pouvez retirer votre consentement à tout moment depuis les paramètres de votre compte, sans que cela n'affecte la licéité du traitement effectué avant le retrait.

8.8 Droit de définir des directives post-mortem

Conformément à l'article 85 de la loi Informatique et Libertés, vous pouvez définir des directives relatives au sort de vos données après votre décès en contactant le DPO.

8.9 Droit d'introduire une réclamation

Vous avez le droit d'introduire une réclamation auprès de la CNIL :

• En ligne : https://www.cnil.fr/fr/plaintes
• Par courrier : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

9. EXERCICE DES DROITS

Pour exercer vos droits, vous pouvez :

1. Utiliser les fonctionnalités du compte : export de données, gestion des consentements, suppression du compte
2. Contacter le DPO par email : contact@agency-flow.fr
3. Contacter le DPO par courrier : 10 rue Hortense, 33100 Bordeaux, France

Nous nous engageons à répondre à toute demande dans un délai d'un (1) mois, conformément à l'article 12.3 du RGPD. Ce délai peut être prolongé de deux (2) mois supplémentaires en cas de complexité, avec information préalable.

Une vérification d'identité pourra être demandée avant le traitement de toute demande.

10. COOKIES ET TRACEURS

Le Service utilise des cookies et traceurs décrits dans la Politique Cookies, accessible à l'adresse https://www.agency-flow.fr/cookies.

11. MODIFICATIONS DE LA POLITIQUE

La présente Politique peut être modifiée à tout moment. Les modifications substantielles seront notifiées aux utilisateurs par email au moins trente (30) jours avant leur entrée en vigueur.

La date de dernière mise à jour est indiquée en haut du présent document.

12. CONTACT

Pour toute question relative à la protection de vos données personnelles :

• DPO : Tom Gremy — contact@agency-flow.fr
• Email général : contact@agency-flow.fr
• Adresse postale : 10 rue Hortense, 33100 Bordeaux, France

13. GOOGLE API SERVICES — USER DATA POLICY

AgencyFlow utilise plusieurs API Google pour permettre aux agences marketing de générer des rapports automatisés multi-canaux pour leurs clients. Toutes les données Google sont accédées en lecture seule (read-only). AgencyFlow ne modifie, ne supprime et ne crée jamais de contenu sur les comptes Google de l'Utilisateur, à l'exception des fichiers de rapport que l'application crée elle-même (Google Sheets, PDF, HTML).

13.1 API Google utilisées et données accédées

13.2 Stockage, partage et conservation

• Stockage : les métriques collectées sont stockées chiffrées (AES-256) en base de données hébergée en Union Européenne (Supabase, Paris, France). Les tokens OAuth sont chiffrés via PGP (pgcrypto) avant stockage. Les tokens ne sont jamais stockés en clair.
• Partage: les données reçues des API Google ne sont jamais vendues, louées ou partagées avec des tiers. Elles sont exclusivement utilisées pour générer les rapports destinés aux clients de l'agence utilisatrice. Aucune donnée Google n'est utilisée à des fins publicitaires, de profilage, ou de revente.
• Conservation : les tokens OAuth sont révoqués auprès de Google et supprimés immédiatement à la déconnexion du Source. Les métriques de performance sont conservées 90 jours maximum, puis supprimées définitivement.
• Aucun usage secondaire: les données Google ne sont utilisées que pour les fonctionnalités décrites ci-dessus. Elles ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle, établir des profils utilisateurs, ou à toute autre fin non directement liée au service de reporting.

13.3 Révocation et suppression

L'Utilisateur peut révoquer l'accès d'AgencyFlow à ses données Google à tout moment :

• Depuis AgencyFlow : en déconnectant la Source dans les paramètres du compte. Le token est immédiatement révoqué auprès de Google et supprimé de notre base de données.
• Depuis Google: en révoquant l'accès directement depuis les paramètres de sécurité Google.

En cas de suppression du compte AgencyFlow, tous les tokens Google sont révoqués et toutes les données associées sont supprimées définitivement sous 30 jours.

13.4 Google API Services User Data Policy — Limited Use Disclosure

14. DONNÉES DES PLATEFORMES META (Facebook, Instagram, WhatsApp)

AgencyFlow utilise les API de la plateforme Meta pour permettre aux agences de collecter les métriques publicitaires et d'engagement de leurs clients. Toutes les données Meta sont accédées en lecture seule. AgencyFlow ne publie, ne modifie et ne supprime jamais de contenu sur les comptes Meta de l'Utilisateur.

14.1 API Meta utilisées et données accédées

14.2 Utilisation limitée des données Meta

• Lecture seule: AgencyFlow n'accède aux données Meta qu'en lecture. Aucune campagne n'est créée, modifiée ou supprimée.
• Pas de partage: les données reçues des API Meta ne sont jamais vendues, louées ou partagées avec des tiers. Elles sont utilisées exclusivement pour générer des rapports marketing destinés aux clients de l'agence utilisatrice.
• Stockage sécurisé : les tokens OAuth sont chiffrés en base de données (pgcrypto). Les tokens ne sont jamais stockés en clair.
• Aucun usage secondaire: les données Meta ne sont jamais utilisées pour de la publicité, du profilage, de l'intelligence artificielle, ou toute autre fin non directement liée au service de reporting.

14.3 Révocation et suppression

L'Utilisateur peut révoquer l'accès d'AgencyFlow à ses données Meta à tout moment :

• Depuis AgencyFlow : en déconnectant la Source dans les paramètres du compte. Le token est immédiatement révoqué auprès de Meta et supprimé de notre base de données.
• Depuis Facebook : en supprimant AgencyFlow depuis Paramètres → Applications et sites web. Meta notifie AgencyFlow qui supprime automatiquement les données associées.

En cas de suppression du compte AgencyFlow, tous les tokens Meta sont révoqués et toutes les données associées sont supprimées définitivement sous 30 jours.

Pour vérifier le statut d'une demande de suppression, consultez notre page de suivi des suppressions.

La présente Politique de Confidentialité a été rédigée en conformité avec le Règlement (UE) 2016/679 (RGPD), la loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés), et les recommandations de la CNIL.