Accord de traitement des données

Pour les données que vous collectez sur vos propres sites, vous êtes le responsable du traitement et GO TO AGENCY (sigle GTA), société par actions simplifiée au capital de 1 000 €, RCS Dijon 944 980 762, 9 rue Jean-Jacques Rousseau, 21000 Dijon, France, qui édite Datalenk, est votre sous-traitant.

Objet : mesurer la fréquentation de vos sites, relier les visites à vos ventes, et faire fonctionner ce que vous activez (couche Persistante, identify, replay, tests A/B, partage public, liaisons entre outils). Durée : celle de votre compte, plus les délais d'effacement de la section 4. Personnes concernées : les visiteurs de vos sites, vos clients qui paient, et les personnes que vous identifiez.

Pour les données de votre propre compte (votre e-mail, votre facturation), c'est nous le responsable : la politique de confidentialité s'en occupe.

Nous ne traitons ces données que sur vos instructions écrites : les conditions d'utilisation, cet accord, et vos réglages dans Datalenk (le snippet que vous posez, les fonctions que vous activez). Nous ne les utilisons jamais pour nous-mêmes : ni vente, ni publicité, ni profil construit d'un site à l'autre, ni usage des données d'un client au profit d'un autre.

Si une instruction nous paraît contraire au RGPD, nous vous en informons immédiatement.

Par défaut, rien n'est écrit sur l'appareil du visiteur ; le script lit des informations standard du navigateur (langue, taille d'écran, page d'origine) et les envoie avec chaque événement. Avant l'accord de vos visiteurs, le script tourne en Mesure simple (avec data-consent="simple", et aussi sans cet attribut), ou n'envoie rien (data-consent="wait"). La Mesure simple, c'est : la page, le domaine d'origine, l'appareil, le navigateur, le système, la langue, le pays, la région et la ville déduits de l'adresse IP, et une clé de session du jour (empreinte de la date, d'un secret, du site, de l'IP et du navigateur). L'adresse IP sert en mémoire, puis elle est jetée : elle n'est jamais écrite.

Avec l'accord de vos visiteurs : la page d'origine complète, les paramètres de campagne (UTM) et les identifiants de clic (gclid, fbclid, le marqueur Lenkli), le marquage des liens vers Stripe et Calenkli, et le retour d'un paiement Stripe vers la visite. Vos visiteurs acceptent ensemble ou une par une ces trois finalités : l'origine et les ventes (avec la couche Persistante si vous l'activez), les tests A/B, le replay. Un refus, ou un retrait, les coupe dans tous les modes : l'identifiant est effacé et les liens marqués retrouvent leur adresse.

• Couche Persistante (si vous l'activez) : un identifiant aléatoire et pseudonyme sur l'appareil du visiteur (localStorage et cookie first-party), qui vit 90 jours depuis son premier dépôt sans jamais être prolongé. Il ne contient ni nom ni adresse, mais c'est une donnée personnelle, car il permet de reconnaître un visiteur qui revient.
• identify() (si votre code l'appelle) : l'adresse e-mail est hachée côté serveur (HMAC, avec un secret), puis jetée ; elle n'est jamais gardée en clair.
• Replay (si vous l'activez) : les positions du pointeur, du défilement et des clics, en pourcentage de la page, avec leur moment ; jamais le contenu de la page, une saisie ou une frappe.
• Tests A/B (si vous en lancez) : chaque exposition (le test, la version montrée, la session du jour, la référence de la page) et les conversions qui suivent. La version est tirée sur la session du jour, ou sur l'identifiant que votre serveur envoie (tirage « compte »).
• Paiements et registre d'attribution : montants, devise, identifiants de paiement et de client Stripe, une empreinte hachée de la carte (pour reconnaître un même payeur), une empreinte de l'e-mail, et les traits que vous envoyez (identifiant interne, offre, société, revenu mensuel).
• Sans identifiant de visiteur : les clics agrégés par page (cartes de clics), la vitesse des pages, les erreurs JavaScript (message tronqué), et, avec l'accord, la liste des outils tiers chargés (leurs domaines, jamais les adresses).
• Bannière de Datalenk (si vous l'activez) : le choix du visiteur, gardé 6 mois sur son appareil dans un cookie qui ne contient que lui (datalenk_consent). Opposition : s'il s'oppose à la mesure, un cookie datalenk_optout (« 1 »), gardé 13 mois.

Ces options demandent l'accord préalable de vos visiteurs. Le script les attend, dans tous les modes : sans l'accord, rien n'est stocké, aucun lien n'est marqué, identify() n'envoie rien et les tests A/B montrent la version normale sans compter le visiteur.

Serveurs et bases de données dans l'Union européenne (Hetzner). Nous administrons nous-mêmes nos bases de données. Seules l'analyse IA (quand vous cliquez dessus) et le rapprochement des événements mondiaux, quand ces fonctions sont actives, envoient des chiffres agrégés à Anthropic, aux États-Unis, sans adresse e-mail ni identifiant de visiteur (voir la liste des sous-traitants).

• Événements : 3 ans au plus avec l'offre Pro (et l'ancienne offre Starter) ou sans offre payante (essai, compte offert), 5 ans au plus avec Business et le pack LenKore (et les anciennes offres Growth et Scale). Prospects : la même durée, comptée depuis l'événement dont chacun vient. Registre d'attribution (le lien entre un client qui paie et le canal qui l'a amené) : la même durée, comptée depuis son dernier paiement. Au-delà, ils sont effacés.
• Événements reçus sans l'accord du visiteur (Mesure simple) : 25 mois au plus, quelle que soit l'offre. Ils ne servent qu'à vos statistiques : ni parcours, ni fiche visiteur, ni prospect, ni vue en direct individuelle, ni rapprochement avec un paiement. Un prospect qui en aurait été tiré avant cette règle est caché, et gardé 25 mois au plus lui aussi.
• Identifiant persistant : 90 jours depuis son premier dépôt, sur l'appareil du visiteur.
• Replay : 30 jours. Erreurs JavaScript : 90 jours. Outils tiers : 120 jours. Cartes de clics et vitesse des pages : 180 jours.
• Un site ou un compte que vous supprimez part dans une corbeille de 30 jours (une erreur reste réparable), puis tout est effacé : événements, agrégats, registre, journaux d'e-mails. Seules les pièces comptables sont gardées 10 ans, comme la loi l'exige.

La liste nommée est sur la page sous-traitants, avec le rôle, les données, le pays et la garantie de chacun. Vous autorisez ceux qui y figurent. Nous imposons par contrat à chaque sous-traitant ultérieur les mêmes obligations que celles de cet accord.

Nous vous prévenons par e-mail 30 jours avant d'ajouter ou de remplacer un sous-traitant. Vous pouvez vous y opposer : vous pouvez alors résilier sans pénalité et exporter toutes vos données.

Les personnes autorisées à traiter vos données se sont engagées à la confidentialité.

Chiffrement en transit (TLS). L'accès à la production est réservé aux personnes qui l'exploitent, par clés. Les accès que vous nous confiez (une clé Stripe restreinte, un jeton Search Console…) sont chiffrés en AES-256-GCM avec une clé dédiée, jamais en clair. Les mots de passe sont hachés avec scrypt. Notre console d'administration exige un lien secret, un mot de passe et un code TOTP, et chaque action y est inscrite dans un journal d'audit.

Nous vous aidons, avec les informations dont nous disposons, pour la sécurité, les violations de données, les analyses d'impact et la consultation préalable de la CNIL. Une analyse d'impact modèle de Datalenk (description, nécessité, risques, mesures déjà prises) vous est remise sur demande.

Droits des personnes : vous exportez vos événements bruts (CSV ou JSON) depuis le tableau de bord ou l'API, sans nous demander. Si l'un de vos visiteurs exerce ses droits auprès de vous, envoyez-nous l'identifiant concerné : nous retirons ses données de nos bases.

Violation de données : si une violation touche vos données, nous vous prévenons dans les meilleurs délais après l'avoir constatée, avec ce que nous savons (nature, données et personnes concernées, mesures prises), pour que vous puissiez la déclarer à la CNIL dans les 72 heures si elle présente un risque. Chaque incident est inscrit dans notre registre.

Audits. Nous vous donnons les informations nécessaires pour démontrer le respect de cet accord. Nous permettons des audits, y compris des inspections sur place, par vous ou un auditeur que vous mandatez, une fois par an au plus (sauf violation de données), avec un préavis de 30 jours, à vos frais et sous engagement de confidentialité. Nous répondons d'abord par questionnaire et documents.

Liaisons entre outils. Quand vous utilisez plusieurs outils LenKore avec le même compte, vous nous demandez de faire passer d'un outil à l'autre, pour votre seul compte, les données nécessaires à ces fonctions : rendez-vous et paiements de Calenkli, clics et e-mails collectés par Lenkli (adresses remplacées par une empreinte), vers vos ventes Datalenk ; achats constatés par Datalenk, vers vos invités Calenkli. Ces données ne quittent pas votre compte et ne servent qu'à vous. Vous pouvez couper chaque liaison dans les réglages de l'outil.

Le branchement d'un assistant tiers est une instruction de votre part ; vous en choisissez l'éditeur. Ce que l'assistant lit dans Datalenk est envoyé à son éditeur (Anthropic pour Claude, OpenAI pour ChatGPT…), qui le traite selon ses propres conditions, parfois hors de l'Union européenne. Vous pouvez lui retirer l'accès à tout moment.

1. Pour la mesure de votre site, c'est vous le responsable du traitement ; Datalenk est votre sous-traitant, selon cet accord.
2. La Mesure simple n'écrit rien sur l'appareil de vos visiteurs : décrivez-la quand même dans votre politique de confidentialité et mettez-y notre lien « Ne plus être mesuré ».
3. Tout le reste demande l'accord de vos visiteurs avant de s'activer : revenu par canal et par campagne, paramètres UTM et identifiants de clic (Lenkli, Google, Meta), lien avec Calenkli et Stripe, identify(), couche Persistante, tests A/B, replay. Dans votre bannière, « Refuser » doit être aussi simple qu'« Accepter », et vos visiteurs doivent pouvoir changer d'avis à tout moment.
4. Gardez une trace datée de vos réglages et de votre bannière : c'est à vous de pouvoir montrer que vous respectez ces règles.
5. Datalenk n'est ni « validé » ni « certifié » par la CNIL : ne l'écrivez pas.

À la fin du contrat, vous exportez vos données (événements bruts, en CSV ou par l'API), puis nous les effaçons selon les délais de la section 4. Cet accord dure aussi longtemps que nous traitons vos données.

Un accord de traitement n'est pas un certificat de conformité, et aucun outil ne peut vous rendre conforme à lui seul. Ce document vous donne une description écrite et claire de ce que nous faisons de vos données. Si le produit fait un jour autre chose que ce qui est écrit ici, c'est un défaut, et nous voulons le savoir : hello@datalenk.com.