Politique de confidentialité
Dernière mise à jour : 18 octobre 2026
1. Responsable de traitement
Le responsable du traitement des données personnelles collectées via le site vitrinedirect.com et le service VitrineDirect est :
- AM AGENCY, SARL au capital de 1 000 €
- SIRET : 930 426 044 00010
- Siège social : 23 rue Geoffray, 69100 Villeurbanne, France
- Représentée par Morel Anton et Seguy Antoine, co-gérants
Pour toute question relative à la protection de vos données personnelles, vous pouvez nous contacter à : contact@vitrinedirect.com
2. Données personnelles collectées
Nous collectons les catégories de données suivantes, selon les interactions de l'Utilisateur avec le Service :
2.1. Données d'inscription
- Nom et prénom
- Adresse email
- Mot de passe (stocké sous forme chiffrée/hashée)
2.2. Données de l'onboarding et du profil professionnel
- Nom de l'entreprise
- Secteur d'activité
- Description de l'activité
- Zone géographique
- Adresse professionnelle (facultatif)
- Numéro de téléphone professionnel (facultatif)
- Numéro SIRET (facultatif)
- Logo et photographies professionnelles (facultatif)
- Contenu de l'échange avec l'assistant Ava pendant la création du site, enregistré quand la création est lancée, pour comprendre les difficultés rencontrées et améliorer le Service
2.2 bis. Création d'un site sans compte
Le site peut être créé avant toute inscription. L'assistant Ava demande alors l'email et/ou le numéro de téléphone où recevoir les demandes des futurs clients. Ces coordonnées apparaissent sur le Site Vitrine et nous servent à écrire à la personne au sujet de son site. Elles sont enregistrées dès qu'elles sont données, avec la version de la mention d'information affichée à ce moment-là. Chaque email peut être refusé par un lien de désinscription.
Pour que la personne retrouve son site sur un autre appareil, nous pouvons lui envoyer un lien personnel, par email ou par SMS, valable 7 jours. Ouvert sur un autre appareil, ce lien y déplace le site : l'appareil d'origine n'y a plus accès.
2.3. Données de facturation
- Données de paiement (traitées exclusivement par Stripe, nous ne stockons jamais vos numéros de carte)
- Historique des transactions et factures
- Identifiant client Stripe
2.4. Données d'utilisation du Service
- Historique des conversations avec l'assistant IA (chat de modification)
- Historique des versions du Site Vitrine (contenus HTML/CSS)
- Solde et historique de consommation de modifications
- Configuration du domaine
2.4 bis. Assistance Ava et demandes au support
Les échanges avec Ava, l'assistante de l'espace client, sont conservés 12 mois après le dernier message (ils sont effacés par un nettoyage hebdomadaire, donc au plus tard une semaine après cette échéance). Ils servent à répondre à l'Utilisateur, à retrouver le contexte si une demande est transmise à l'équipe, et à repérer chaque mois les questions les plus fréquentes pour améliorer le Service. Pour ce repérage, les messages sont transmis à Anthropic sans les emails ni les numéros de téléphone ; la synthèse obtenue (thèmes et exemples reformulés) est conservée 12 mois. Un email ou un numéro de téléphone donné à Ava est rattaché au compte pour permettre à l'équipe de recontacter l'Utilisateur. Les demandes au support (messages et captures d'écran jointes) sont conservées aussi longtemps que le compte ; une conversation avec Ava qui a donné lieu à une demande est gardée avec elle. Les captures sont stockées dans un espace privé, accessibles au seul Utilisateur et à l'équipe.
2.5. Données des visiteurs des Sites Vitrines
- Statistiques anonymes de fréquentation via Cloudflare Web Analytics (aucun cookie déposé, aucune donnée personnelle collectée, conforme RGPD)
- Statistiques de visite mesurées par VitrineDirect (page vue, provenance, type d'appareil, pays, empreinte journalière non réversible, sans cookie), conservées 13 mois
- Messages soumis via les formulaires de contact intégrés aux Sites Vitrines (nom, email, message du visiteur). L'adresse IP d'un visiteur qui envoie un formulaire est gardée jusqu'à une heure, uniquement pour limiter les envois abusifs, puis supprimée
- Contenu des échanges avec l'assistant conversationnel (chatbot IA), lorsque cette extension payante est activée sur un Site Vitrine (conservé 90 jours, voir section 6). Ces échanges d'une même visite sont regroupés grâce à une empreinte technique irréversible, calculée à partir de l'adresse IP et du navigateur du visiteur : c'est cette empreinte, et non l'adresse IP elle-même, qui est conservée dans l'historique des conversations. L'adresse IP est par ailleurs gardée jusqu'à une heure, uniquement pour limiter le nombre de messages envoyés, puis supprimée automatiquement
- Nom et coordonnées (téléphone ou email) qu'un visiteur choisit de laisser à l'assistant conversationnel pour être recontacté : ces informations suivent le même traitement et la même durée de conservation que les messages de formulaires de contact ci-dessus
2.6. Données de consentement
- Date et heure d'acceptation des CGU et de la Politique de confidentialité
- Consentement marketing (opt-in)
- Historique des consentements (piste d'audit RGPD)
2.7. Programme ambassadeur : vérification du SIRET
Si vous vous inscrivez au programme ambassadeur, nous vérifions le numéro SIRET que vous saisissez auprès de l'API publique Recherche d'entreprises de l'État (recherche-entreprises.api.gouv.fr). Nous lui envoyons ce seul numéro SIRET. Elle nous répond par les informations publiques du répertoire des entreprises : l'état de l'entreprise (active ou fermée), sa dénomination, l'adresse de son siège et sa nature juridique. Ces informations servent à vérifier que votre entreprise existe et est active, à préremplir votre inscription et votre numéro de TVA, puis à établir vos factures. Pour ne pas interroger l'annuaire à chaque saisie, sa réponse est gardée 24 heures dans notre mémoire technique rapide (voir section 4). Les informations retenues dans votre fiche d'ambassadeur suivent ensuite les durées de la section 6.
3. Finalités et bases légales du traitement
| Finalité | Base légale (Art. 6 RGPD) |
|---|---|
| Création et gestion du compte utilisateur | Exécution du contrat (Art. 6.1.b) |
| Fourniture du Service (génération de site, chat IA, hébergement) | Exécution du contrat (Art. 6.1.b) |
| Gestion des abonnements et paiements | Exécution du contrat (Art. 6.1.b) |
| Envoi d'emails transactionnels (confirmation, factures, alertes) | Exécution du contrat (Art. 6.1.b) |
| Envoi de communications marketing et promotionnelles | Consentement (Art. 6.1.a) |
| Réception et transmission des messages de formulaires de contact | Intérêt légitime (Art. 6.1.f), permettre à l'Utilisateur de recevoir les demandes de ses visiteurs |
| Fourniture de l'assistant conversationnel (chatbot IA) sur les Sites Vitrines : réponse aux questions des visiteurs et transmission à l'Utilisateur des coordonnées laissées par ces derniers | Intérêt légitime (Art. 6.1.f), permettre à l'Utilisateur de recevoir les demandes de ses visiteurs |
| Vérification du SIRET d'un ambassadeur auprès de l'annuaire public des entreprises (inscription au programme, factures) | Exécution du contrat (Art. 6.1.b) |
| Suivi statistique anonyme des Sites Vitrines | Intérêt légitime (Art. 6.1.f), amélioration du service |
| Conservation des preuves de consentement | Obligation légale (Art. 6.1.c) |
| Facturation et obligations comptables | Obligation légale (Art. 6.1.c) |
| Prévention des fraudes et sécurité du Service | Intérêt légitime (Art. 6.1.f) |
| Mesure d'ergonomie de l'application et identification des points de blocage, dans la création de site et l'espace client (Microsoft Clarity) | Consentement (Art. 6.1.a), retirable à tout moment |
| Mesure de l'efficacité de nos annonces et reciblage publicitaire (Google Ads) | Consentement (Art. 6.1.a), retirable à tout moment |
4. Destinataires et sous-traitants
Vos données personnelles peuvent être transmises aux sous-traitants suivants, dans le cadre strict de la fourniture du Service :
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Supabase Inc. | Authentification, base de données, stockage fichiers | États-Unis | DPA signé, clauses contractuelles types (CCT) |
| Stripe Inc. | Paiement, facturation, gestion des abonnements | États-Unis | Certifié PCI-DSS niveau 1, CCT |
| Cloudflare Inc. | Hébergement des Sites Vitrines (R2, Workers, KV), CDN, analytics anonymes | États-Unis / Global | DPA, CCT |
| Vercel Inc. | Hébergement de la plateforme VitrineDirect | États-Unis | DPA, CCT |
| Resend Inc. | Envoi d'emails transactionnels | États-Unis | DPA, CCT |
| Gandi SAS | Enregistrement de noms de domaine | France | Droit français, RGPD |
| Anthropic PBC | Intelligence artificielle (génération et modification de sites ; réponses d'Ava, l'assistante de l'espace client, et repérage mensuel des questions fréquentes ; rédaction des réponses de l'assistant conversationnel/chatbot sur les Sites Vitrines qui activent cette extension) | États-Unis | DPA, CCT |
| Google LLC | Génération d'images IA (via API Gemini) | États-Unis | DPA, CCT |
| Microsoft Corporation | Mesure d'ergonomie et enregistrement de session de la création de site et de l'espace client (Microsoft Clarity), avec votre accord | États-Unis / Global | DPA, CCT |
| Upstash Inc. | Mémoire technique rapide (Redis) : limitation des abus (nombre de demandes par compte et par adresse IP) ; code de parrainage d'un invité, 30 jours au plus, jusqu'à la création de son compte ; réponse de l'annuaire public des entreprises à une vérification de SIRET, 24 heures | États-Unis / Global | DPA, CCT |
Nous ne vendons jamais vos données personnelles à des tiers. Vos données ne sont partagées qu'avec les sous-traitants listés ci-dessus, dans la limite strictement nécessaire à la fourniture du Service.
Partenaire publicitaire : uniquement si vous acceptez les cookies « Publicité », des données de navigation sont transmises à Google Ireland Limited (Google Ads), qui les traite en tant que responsable de traitement indépendant pour la mesure et le reciblage publicitaires, selon ses conditions relatives aux responsables du traitement. Transfert possible vers les États-Unis, encadré par le Data Privacy Framework UE-États-Unis et des clauses contractuelles types. Voir la section 9.2.
5. Transferts de données hors de l'Union européenne
Certains de nos sous-traitants sont établis aux États-Unis. Ces transferts sont encadrés par :
- Les clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914)
- Le cas échéant, le EU-US Data Privacy Framework pour les sous-traitants certifiés
- Des mesures techniques supplémentaires (chiffrement en transit et au repos, pseudonymisation)
Vous pouvez obtenir une copie des garanties appropriées en nous contactant à contact@vitrinedirect.com.
6. Durées de conservation
| Données | Durée de conservation |
|---|---|
| Données du compte et du profil | Tant que le compte existe ; suppression sur simple demande à contact@vitrinedirect.com. Le site, lui, est supprimé 12 mois après la fin de l'abonnement (voir ci-dessous) |
| Échanges avec Ava (assistance de l'espace client) | 12 mois après le dernier message (effacement hebdomadaire) ; tant que le compte existe si l'échange a donné lieu à une demande au support |
| Demandes au support et captures d'écran jointes | Durée du compte |
| Synthèse mensuelle des questions posées à Ava | 12 mois |
| Site créé sans compte, jamais rattaché à un compte | 30 jours après sa création ou sa dernière reprise par lien personnel (section 2.2 bis) |
| Échange avec Ava pendant la création du site | 30 jours après la création ou la dernière reprise par lien si aucun compte n'est créé, sinon jusqu'à l'effacement du site ou du compte |
| Coordonnées données à l'assistant sans créer de compte | 3 ans après leur enregistrement |
| Empreinte de l'adresse email d'une personne désinscrite (hachage, sans l'adresse en clair), gardée quand ses coordonnées sont effacées | Tant que nécessaire pour ne plus la relancer (respect de votre opposition) |
| Site Vitrine et versions | Pendant l'abonnement : versions de plus de 12 mois effacées, la version en ligne toujours gardée. Après la fin : 12 mois, puis le site, ses pages, photos et logo sont supprimés définitivement. |
| Historique des conversations IA | Durée de l'abonnement, puis supprimé avec le site (12 mois après la fin) |
| Conversations avec l'assistant conversationnel (chatbot IA) des Sites Vitrines | 90 jours, indépendamment de la durée de l'abonnement |
| Données de facturation et factures | 10 ans (obligation légale comptable, Art. L.123-22 du Code de commerce) |
| Preuves de consentement | 5 ans à compter du retrait du consentement ou de la suppression du compte |
| Messages de formulaires de contact (y compris le nom et les coordonnées laissés à l'assistant conversationnel, le contenu de la conversation lui-même suit la ligne dédiée ci-dessus) | 3 ans après réception, pendant l'abonnement du destinataire ; supprimés avec le site, 12 mois après la fin de l'abonnement |
| Journal des actions de l'équipe | 12 mois (LCEN, art. 6, V, et décret n° 2021-1362) |
| Statistiques de visite des Sites Vitrines | 13 mois |
| Journal technique des coûts d'IA | 13 mois |
| Clics sur les liens ambassadeurs | 13 mois |
| Ambassadeurs : coordonnées bancaires, SIRET et adresse ; commissions, versements, factures et relevés | 13 mois après la fin du partenariat ; commissions, versements, factures et relevés : 10 ans après la clôture de l'exercice (obligation comptable) |
| Traces de l'essai gratuit (empreintes, par hachage, de l'email et de la carte) | 3 ans |
| Historique des emails envoyés | 1 an ; 5 ans, avec leur texte, pour ceux liés au contrat |
À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible, sauf l'empreinte de l'adresse d'une personne désinscrite, gardée pour ne plus la relancer (ligne ci-dessus).
7. Vos droits
Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (Art. 15 RGPD) : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie
- Droit de rectification (Art. 16 RGPD) : demander la correction de données inexactes ou incomplètes
- Droit à l'effacement (Art. 17 RGPD) : demander la suppression de vos données, sous réserve des obligations légales de conservation
- Droit à la limitation (Art. 18 RGPD) : demander la limitation du traitement dans certains cas (contestation de l'exactitude, traitement illicite, etc.)
- Droit à la portabilité (Art. 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
- Droit d'opposition (Art. 21 RGPD) : vous opposer au traitement de vos données fondé sur l'intérêt légitime, y compris le profilage
- Retrait du consentement (Art. 7 RGPD) : retirer votre consentement à tout moment pour les traitements fondés sur celui-ci (emails marketing), sans affecter la licéité du traitement antérieur
- Directives post-mortem (Art. 85 loi Informatique et Libertés) : définir des directives relatives à la conservation, l'effacement et la communication de vos données après votre décès
Comment exercer vos droits
Vous pouvez exercer vos droits en nous contactant :
- Par email : contact@vitrinedirect.com
- Par courrier : AM AGENCY, 23 rue Geoffray, 69100 Villeurbanne, France
Nous répondrons à votre demande dans un délai maximum d'un (1) mois à compter de sa réception. Ce délai peut être prolongé de deux (2) mois en cas de demande complexe, auquel cas nous vous en informerons.
Une pièce d'identité pourra être demandée en cas de doute raisonnable sur votre identité.
8. Réclamation auprès de la CNIL
Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- En ligne : www.cnil.fr/fr/plaintes
- Par courrier : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
10. Sécurité des données
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation ou l'accès non autorisé, notamment :
- Chiffrement des données en transit (HTTPS/TLS) et au repos
- Mots de passe hashés avec des algorithmes cryptographiques modernes (bcrypt via Supabase Auth)
- Politiques de sécurité au niveau de la base de données (Row Level Security, RLS)
- Rate limiting et protection anti-abus
- Protection CSRF, sanitisation des entrées, en-têtes de sécurité (CSP, HSTS, X-Frame-Options)
- Accès aux données restreint aux seuls personnels et sous-traitants autorisés
11. Mineurs
Le Service s'adresse aux professionnels et aux personnes majeures. Nous ne collectons pas sciemment de données personnelles de mineurs de moins de 16 ans. Si nous découvrons qu'un mineur de moins de 16 ans a fourni des données personnelles, nous supprimerons ces données dans les meilleurs délais. Si vous êtes parent ou tuteur et que vous pensez que votre enfant nous a fourni des données, contactez-nous à contact@vitrinedirect.com.
12. Traitement des données par l'intelligence artificielle
Dans le cadre du Service, les données suivantes sont transmises à des modèles d'intelligence artificielle (Anthropic Claude, Google Gemini) pour la génération et la modification des Sites Vitrines, pour les réponses d'Ava dans l'espace client, ainsi que pour le fonctionnement de l'assistant conversationnel (chatbot IA) sur les Sites Vitrines qui activent cette extension :
- Informations professionnelles fournies lors de l'onboarding (nom de l'entreprise, secteur, description, coordonnées)
- Instructions de modification saisies dans le chat
- Contenu HTML existant du Site Vitrine
- Les messages échangés avec Ava dans l'espace client (transmis à Anthropic Claude pour rédiger ses réponses), puis, une fois par mois et sans les emails ni les numéros de téléphone, pour repérer les questions les plus fréquentes
- Sur les Sites Vitrines où l'extension assistant conversationnel (chatbot IA) est activée : le message du visiteur (transmis à Anthropic Claude pour rédiger la réponse), ainsi que le nom et les coordonnées (téléphone ou email) que ce visiteur a choisi de laisser
Ces données sont transmises via des API sécurisées (HTTPS) et ne sont pas utilisées par les fournisseurs d'IA pour l'entraînement de leurs modèles (conformément aux conditions d'utilisation des API d'Anthropic et de Google).
Aucune décision automatisée au sens de l'article 22 du RGPD n'est prise sur la base de ces traitements. L'IA génère des suggestions que l'Utilisateur peut librement accepter, modifier ou refuser.
13. Modification de la politique de confidentialité
Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. En cas de modification substantielle, nous informerons les Utilisateurs par email ou par notification dans le Service au moins trente (30) jours avant l'entrée en vigueur des modifications. La date de dernière mise à jour est indiquée en haut de cette page.
14. Contact
Pour toute question relative à la présente politique ou pour exercer vos droits :
- Email : contact@vitrinedirect.com
- Téléphone : 09 83 06 34 06
- Courrier : AM AGENCY, 23 rue Geoffray, 69100 Villeurbanne, France