Confidentialité et protection de vos données

Qui est responsable de vos données ?

Dailyfy est édité par SASU Click&Digital, 2 rue de la Croix Beaugeard, 35400 Saint-Malo, France, immatriculée au RCS de Saint-Malo sous le numéro 880 139 498. Cette politique concerne le site Dailyfy, ses formulaires et outils gratuits, ainsi que les traitements de gestion des comptes et de la relation commerciale.

Pour toute question sur vos données ou pour exercer vos droits, écrivez à rgpd@dailyfy.co ou adressez un courrier à Click&Digital, à l’adresse ci-dessus, avec la mention « Protection des données ».

Les traitements sont encadrés par le règlement (UE) 2016/679 (RGPD), la loi française Informatique et Libertés modifiée et, pour les traceurs, son article 82. Consulter une page ou accepter les CGV ne vaut pas consentement à la prospection ou aux cookies facultatifs.

Dailyfy et votre organisation : des rôles distincts

Click&Digital agit comme responsable du traitement pour la gestion de ses prospects et clients, la facturation, la sécurité de son site, les demandes de contact et les outils gratuits publics.

Lorsque votre organisation utilise Dailyfy pour gérer les contenus, messages, commentaires ou profils de sa communauté, elle détermine les finalités de ces traitements. Dailyfy intervient alors comme sous-traitant, sur ses instructions, dans le cadre de l’accord de traitement des données applicable. Cette politique ne remplace pas cet accord ni l’information que votre organisation doit fournir à sa communauté.

Si votre demande porte sur les données traitées pour une marque ou une collectivité utilisatrice de Dailyfy, contactez cette organisation en priorité. Vous pouvez aussi nous écrire pour que nous orientions votre demande vers le responsable concerné.

Quelles données, pour quels usages ?

Selon les fonctions utilisées, les données viennent de vous, des membres de votre organisation, des réseaux et intégrations que vous autorisez, ou de sources publiques pour le benchmark. Les champs obligatoires sont signalés ; sans ces informations, nous ne pouvons pas traiter la demande ou fournir la fonction concernée. Les champs facultatifs servent à préciser votre demande.

Pour les fonctions sociales utilisées par votre organisation, les données peuvent comprendre les contenus et médias, identifiants de profils, jetons d’autorisation, commentaires, messages, notes de travail, validations et statistiques accessibles via les API autorisées. Leur traitement suit les instructions de l’organisation et les permissions accordées.

N’envoyez pas de numéro de carte, de mot de passe de réseau social ni de données sensibles inutiles dans un formulaire ou une demande d’assistance.

Créer un compte ou se connecter avec Google

Si vous choisissez Google pour créer votre compte Dailyfy ou vous connecter, Dailyfy reçoit votre identifiant de compte Google, votre adresse email, votre nom et, lorsqu’il est disponible, votre avatar. Ces informations servent à identifier votre compte, à le créer ou à le retrouver et à sécuriser votre connexion, sur la base de l’exécution du service demandé. Dailyfy ne reçoit pas votre mot de passe Google.

Cette connexion n’autorise pas à elle seule l’accès à vos fichiers Google Drive, à votre chaîne YouTube ou à vos fiches Google Business Profile. Ces intégrations font l’objet d’autorisations séparées, avec les permissions nécessaires aux fonctions que vous activez. Vous pouvez consulter et retirer les accès depuis les paramètres de votre compte Google ; préparez un autre moyen d’accès à Dailyfy avant de retirer celui que vous utilisez pour vous connecter. Consultez aussi la politique de confidentialité Google.

Outils gratuits, profils publics et benchmark

Le comparateur Instagram ou Facebook transmet à l’API Dailyfy votre email, le profil principal et, si vous en ajoutez, jusqu’à deux concurrents. Cloudflare Turnstile vérifie la demande pour protéger les quotas. Votre email ne vous inscrit pas automatiquement à une newsletter.

Les analyses reposent sur les données publiques disponibles des profils : identité publique du compte, abonnés, publications, cadence, formats et engagement. Le secteur peut être déduit de la catégorie et des informations accessibles du profil. Une référence sectorielle et un score ne sont affichés que lorsque les données le permettent. Le fait qu’une donnée soit publique ne supprime pas les droits de la personne concernée.

La période de 28 jours affichée dans le rapport décrit la période analysée, pas une durée générale de conservation. Le score est un indicateur comparatif ; il ne sert pas à prendre une décision produisant des effets juridiques ou des effets significatifs similaires sur une personne. Pour demander l’accès, la rectification ou l’examen d’une opposition concernant un profil public analysé, contacte rgpd@dailyfy.co avec l’URL du profil concerné.

Paiements Stripe et Paddle

Pour les clients situés en France ou en Europe qui paient en euros, le paiement est traité par Stripe. Pour les autres pays ou devises, le paiement est traité par Paddle. Le parcours de commande identifie le prestataire utilisé.

Le prestataire reçoit les informations nécessaires au règlement et à la prévention de la fraude, notamment les coordonnées de facturation, les informations du moyen de paiement, le montant et les données techniques de la transaction. Dailyfy reçoit les références et informations nécessaires à la gestion de l’abonnement et de la facture, pas le cryptogramme de la carte.

Selon l’opération, Stripe ou Paddle peut traiter des données pour ses propres obligations, notamment réglementaires ou de lutte contre la fraude, et non uniquement sur instruction de Dailyfy. Consultez leurs informations : confidentialité Stripe et confidentialité Paddle.

Qui peut accéder aux données ?

L’accès est limité aux personnes habilitées de Click&Digital et aux prestataires nécessaires à la finalité concernée : hébergement et stockage, sécurité et diffusion web, messagerie et assistance, prise de rendez-vous, paiement et facturation. Les membres de votre organisation accèdent aux données de leur espace selon les droits attribués.

• OVHcloud : hébergement des serveurs et des bases de données Dailyfy en France.
• Cloudflare : stockage des médias des DailySpaces sur R2 en juridiction Union européenne, diffusion des médias, protection du service et vérification anti-abus Turnstile.
• Google : identification lors de la création de compte ou de la connexion Google, et intégrations autorisées séparément.
• Stripe et Paddle : paiement selon le pays et la devise ; Pennylane : comptabilité, avec les données de facturation et justificatifs nécessaires.
• TidyCal : réservation de démonstrations.
• Mailjet : envoi des emails transactionnels et des newsletters, avec les coordonnées des destinataires et les éléments nécessaires à l’envoi. L’utilisation de Mailjet ne vaut pas inscription automatique à une newsletter. Consultez la politique de confidentialité Mailjet.
• Mistral : fourniture des fonctions IA concernées, avec une localisation des traitements en Europe, sans engagement de traitement exclusivement en France.
• OpenAI : fourniture des fonctions IA concernées, selon les données nécessaires à la demande ; la localisation applicable dépend de la configuration et des garanties contractuelles du service utilisé.
• Chat interne Dailyfy : assistance gérée dans notre outil, avec OpenAI pour les réponses du chatbot IA. Un outil de chat interne n’exclut donc pas la transmission des éléments nécessaires à un prestataire IA.

Les réseaux sociaux et services de création ou de stockage que vous connectez reçoivent les données nécessaires aux actions que vous demandez. Les prestataires de messagerie et d’assistance interviennent uniquement pour les échanges et demandes qui les concernent. Les régions et garanties applicables à un service ne se déduisent pas de la nationalité de son fournisseur.

Les prestataires intervenant comme sous-traitants sont tenus de traiter les données selon les instructions et garanties contractuelles applicables. Les réseaux sociaux et certains prestataires agissent également pour leurs finalités propres, décrites dans leurs politiques. Des données peuvent être communiquées aux autorités compétentes lorsqu’une obligation légale ou une procédure l’impose. Pour obtenir des précisions sur les destinataires de vos données et les garanties associées, contactez notre adresse RGPD.

Hébergement et transferts internationaux

Les serveurs et bases de données Dailyfy sont hébergés chez OVHcloud en France. Les médias des DailySpaces sont stockés chez Cloudflare R2, dans des buckets configurés en juridiction Union européenne. Le stockage des médias n’est donc pas présenté comme exclusivement français.

La juridiction R2 concerne le stockage des objets. Elle ne constitue pas, à elle seule, une garantie de localisation de tous les traitements de Cloudflare, notamment ceux liés à la sécurité, aux journaux techniques et à la diffusion CDN. Les modalités de diffusion doivent être distinguées du stockage, y compris lorsqu’une configuration européenne est utilisée.

Les réseaux sociaux, les services de paiement, de sécurité, de connexion Google, de comptabilité, d’IA ou les intégrations peuvent traiter certaines données hors de l’Espace économique européen. L’hébergement des serveurs et bases en France et le stockage R2 dans l’Union européenne ne s’étendent pas automatiquement à ces traitements.

Lorsqu’un transfert soumis au RGPD est nécessaire, il doit être encadré par une décision d’adéquation applicable au destinataire ou par des garanties appropriées, notamment les clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures supplémentaires. L’existence d’un prestataire européen ne garantit pas, à elle seule, l’absence de transfert.

Vous pouvez demander à rgpd@dailyfy.co des informations sur les pays concernés et une copie ou une description des garanties applicables à vos données, sous réserve de protéger les informations confidentielles et les droits des tiers.

Combien de temps les données sont-elles conservées ?

La durée dépend de la finalité, de la relation contractuelle, des instructions de votre organisation et des obligations légales. Les données actives, les justificatifs légaux et les éléments nécessaires à un litige ne répondent pas aux mêmes besoins.

• Contact et assistance : pendant le traitement de la demande, puis selon la nécessité de documenter son suivi, la relation commerciale ou un litige, avec un accès limité aux éléments encore utiles.
• Compte et contenus de votre organisation : pendant la fourniture du service et selon l’accord applicable, les paramètres de suppression et les instructions du responsable du traitement. La clôture d’un compte ne supprime pas les justificatifs dont la loi impose la conservation.
• Factures et pièces comptables : dix ans à compter de la clôture de l’exercice concerné, conformément aux obligations comptables françaises.
• Benchmark public : selon le temps nécessaire à la collecte, à la production et à la consultation du résultat, ainsi qu’à la prévention des demandes abusives. La validité technique du ticket d’accès au rapport est de 24 heures ; cette expiration n’est pas une promesse d’effacement immédiat de tous les éléments de la demande.
• Journaux de sécurité et preuves de consentement : selon le besoin de diagnostiquer un incident, de démontrer un choix ou de traiter une contestation, dans la limite des délais de prescription applicables. Un besoin d’archivage ne justifie pas une réutilisation publicitaire.
• Cookies fonctionnels de ce site : 183 jours pour le choix de consentement, 180 jours pour le thème du module cookies et une heure pour la session de l’outil benchmark.

Les critères sont la nécessité de poursuivre la finalité, l’existence d’une obligation de conservation et les délais de prescription applicables. Une conservation supplémentaire ne concerne que les données nécessaires au motif identifié. Vous pouvez demander la durée applicable à votre situation à notre contact RGPD.

Cookies et préférences

Le module de consentement permet d’accepter, de refuser ou de choisir séparément la mesure d’audience et le marketing. Les traceurs facultatifs nécessitant un accord ne doivent pas être activés avant ce choix. Le refus ne bloque pas l’accès aux pages ; certains services tiers peuvent toutefois nécessiter une interaction ou un choix spécifique.

Vous pouvez rouvrir les réglages à tout moment avec le bouton « Gérer mes cookies » du site, y compris après un refus. Retirer votre accord ne remet pas en cause les traitements licitement réalisés auparavant. Les cookies nécessaires à la sécurité, à la session et à la mémorisation des préférences ne sont pas soumis au même régime que les traceurs publicitaires.

Les interactions avec le module de consentement sont journalisées avec le type d’action, le thème, le type d’appareil, la page et un identifiant de session haché. L’endpoint de journalisation ne conserve pas l’adresse IP brute en base ; cela n’exclut pas les journaux techniques des services d’hébergement ou de sécurité. Une donnée hachée n’est pas nécessairement anonyme.

Le chargement d’un calendrier, d’un média ou d’un outil tiers peut transmettre des données techniques au fournisseur concerné. Ses informations sur les traceurs et la confidentialité complètent cette page. Pour en savoir plus sur les règles françaises, consultez les explications de la CNIL sur les cookies.

Réseaux sociaux, intégrations et IA

La connexion d’un réseau repose sur les autorisations proposées par ce réseau. Les données accessibles et les actions possibles dépendent de ces permissions. Retirer une autorisation arrête les accès futurs correspondants, mais n’efface pas automatiquement les contenus déjà publiés sur la plateforme.

Pour les informations reçues via les API Google, l’utilisation et le transfert respectent la politique de données utilisateur des services API Google, y compris les exigences d’utilisation limitée. Vous pouvez revoir les accès accordés à Dailyfy dans les paramètres de sécurité de votre compte Google.

Si vous utilisez une fonction IA, le contenu nécessaire à votre demande peut être traité par Mistral ou OpenAI, selon le moteur sélectionné pour votre espace : par exemple le texte à reformuler, les éléments de contexte d’une réponse ou les indicateurs à synthétiser. Pour Mistral, la localisation des traitements retenue par Dailyfy est l’Europe, et non exclusivement la France. Cette localisation ne s’étend pas automatiquement aux traitements OpenAI, notamment ceux du chatbot d’assistance. Le choix d’un mode souverain et son éligibilité sont distincts de l’hébergement du site. Le nom d’un fournisseur ne garantit pas, à lui seul, un traitement en France ou dans l’Union européenne. Évitez d’y transmettre des données sensibles ou des données de tiers inutiles à la tâche. Demande à notre contact RGPD les précisions sur le moteur, sa région de traitement, ses destinataires et les garanties applicables à votre espace.

Le chat d’assistance est développé en interne et utilise OpenAI pour son chatbot IA. Les messages et les éléments de contexte nécessaires à la réponse peuvent être transmis à OpenAI. Ne partage pas de mot de passe, d’information de paiement ni de donnée sensible inutile dans le chat. Ce chatbot d’assistance est distinct du choix de moteur IA de votre DailySpace : activer un mode souverain dans un espace ne signifie pas que le chat utilise ce même moteur.

Sécurité et confidentialité

Cloudflare contribue à la protection des accès web, au filtrage des requêtes malveillantes et à la prévention des abus, notamment via Turnstile pour les outils concernés. Ces contrôles peuvent traiter des informations techniques de requête, comme l’adresse IP et les caractéristiques du navigateur ; ils sont distincts du stockage des médias sur R2.

Les mesures reposent notamment sur la gestion des habilitations, la sécurisation des communications, la protection des accès, les contrôles anti-abus et le suivi des incidents. Aucun dispositif ne peut garantir une sécurité absolue. Préservez vos identifiants et signale toute activité suspecte.

Lorsqu’une violation de données le nécessite, Click&Digital effectue les notifications réglementaires et informe les personnes concernées selon les conditions prévues par le RGPD. Pour les données traitées pour votre organisation, Dailyfy l’assiste dans le cadre de ses obligations de sous-traitant.

Vos droits et comment les exercer

Selon les conditions applicables, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données, vous opposer aux traitements fondés sur l’intérêt légitime et retirer un consentement. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès dans le cadre du droit français. L’opposition à la prospection commerciale peut être exercée à tout moment.

Écrivez à rgpd@dailyfy.co en précisant la demande et les éléments permettant de retrouver les données. Une pièce d’identité n’est pas demandée systématiquement : des informations complémentaires peuvent être nécessaires en cas de doute raisonnable sur l’identité.

La réponse intervient en principe dans un délai d’un mois. Ce délai peut être prolongé de deux mois pour une demande complexe ou de nombreuses demandes ; le motif et la prolongation sont alors communiqués dans le premier mois. Une obligation légale ou les droits des tiers peuvent limiter certaines demandes.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou de l’autorité de contrôle compétente dans l’Union européenne. Nous contacter d’abord peut aider à résoudre la demande, mais ce n’est pas une condition à une réclamation.

Mises à jour et documents liés

Cette politique peut évoluer avec les fonctionnalités, les prestataires et les règles applicables. La date de mise à jour permet d’identifier la version affichée. Une nouvelle finalité nécessitant un consentement ne sera pas couverte par la simple publication d’une nouvelle version.

Consultez aussi les mentions légales, les CGV et les CGU. Pour les données de vos communautés, l’accord de traitement des données de votre organisation reste le document contractuel de référence.