ONNE.MARKETING — Legal
Politique de confidentialité
ONNE.MARKETING s'engage à protéger la vie privée de ses utilisateurs. Cette politique décrit quelles données nous collectons, pourquoi, comment nous les utilisons, avec qui nous les partageons, combien de temps nous les conservons et quels droits vous avez sur ces données.
Dernière mise à jour : 28 juillet 2026
1. Responsable du traitement
ONNE.MARKETING est le responsable du traitement des données personnelles collectées via la plateforme www.onne.marketing.
Contact : contact@onne.marketing
Pour exercer vos droits ou poser toute question relative à vos données personnelles, contactez-nous à cette adresse.
2. Données collectées
Nous collectons uniquement les données nécessaires au fonctionnement du service :
— Données d'identification : adresse e-mail, prénom, nom (facultatif), hash du mot de passe (chiffré et non réversible). En cas d'inscription via Google OAuth : e-mail et nom fournis par Google.
— Données de projet : informations saisies par l'utilisateur pour décrire son activité (nom du projet, secteur, mission, valeurs, offres, concurrents déclarés, personas/avatars clients, budget, structure d'équipe). Ces données constituent le contenu stratégique de l'utilisateur.
— Contenu des stratégies marketing générées (Magic Brief) : brief stratégique complet, plan d'action, analyse de marché, résultats exportés.
— Données du Reality Check (Validation d'idée) : réponses au questionnaire de validation, résultats d'analyse de viabilité, score de potentiel.
— Historique de chat VECTOR : messages envoyés et reçus dans le cadre du copilote IA. Ces messages sont transmis à OpenAI pour générer les réponses.
— Données de scans concurrentiels (X-Ray) : URLs soumises à analyse, données extraites de pages web publiques (titres, textes, structures), résultats d'analyse IA.
— Résultats de recherche de mots-clés : requêtes effectuées, résultats renvoyés par SerpAPI.
— Données de session et d'activité : date et heure de connexion, actions effectuées sur la plateforme (sans traçage comportemental publicitaire).
— Niveau d'expertise déclaré, persona sélectionné, préférences d'interface.
— Données de paiement : ONNE ne stocke aucune donnée bancaire. Le paiement et la facturation sont intégralement gérés par Stripe. Nous conservons uniquement l'identifiant client Stripe et le statut de l'abonnement.
3. Finalités et bases légales
Chaque traitement repose sur une base légale au sens du RGPD (Art. 6) :
— Exécution du contrat (Art. 6.1.b) : création et gestion de compte, accès aux fonctionnalités de la plateforme, génération de stratégies, copilote VECTOR, scans concurrentiels, exports, facturation.
— Intérêt légitime (Art. 6.1.f) : amélioration du service, détection d'abus, sécurité de la plateforme, journaux d'activité anti-fraude.
— Obligation légale (Art. 6.1.c) : conservation des données de facturation (durée légale comptable : 10 ans).
— Consentement (Art. 6.1.a) : envoi d'e-mails de communication marketing (si vous y avez consenti). Vous pouvez retirer ce consentement à tout moment.
Nous n'utilisons jamais les données des utilisateurs à des fins de profilage publicitaire, de revente à des tiers ou d'entraînement de modèles d'IA sans consentement explicite.
4. Sous-traitants et transferts hors UE
Nous faisons appel à des prestataires tiers (sous-traitants au sens du RGPD) pour opérer le service. Chacun traite uniquement les données strictement nécessaires à sa mission :
— OpenAI LLC (San Francisco, USA) : traitement IA des messages VECTOR, génération de briefs stratégiques, analyse concurrentielle, vision. Les données transmises incluent les messages de chat et les données de projet fournies par l'utilisateur. Politique de confidentialité : openai.com/privacy
— Stripe Inc. (San Francisco, USA) : traitement des paiements, gestion des abonnements. Les données financières (numéro de carte, coordonnées de facturation) ne transitent que par Stripe. Politique : stripe.com/privacy
— Resend Inc. (San Francisco, USA) : envoi d'e-mails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, notifications de sécurité). Les e-mails envoyés contiennent votre adresse e-mail et les informations pertinentes à la notification. Politique : resend.com/privacy
— SerpAPI LLC (San Francisco, USA) : recherche web utilisée pour les fonctions Recherche de mots-clés et X-Ray concurrentiel. Les requêtes de recherche sont transmises à SerpAPI qui les achemine vers les moteurs de recherche. Politique : serpapi.com/privacy
— Neon Inc. (USA — infrastructure AWS) : hébergement de la base de données PostgreSQL contenant l'ensemble des données de la plateforme. Politique : neon.tech/privacy
— Replit Inc. (San Francisco, USA) : hébergement de l'application web et du code source. Politique : replit.com/privacy
— Cloudflare Inc. (San Francisco, USA / présence UE) : protection anti-bot via Turnstile sur les formulaires d'inscription, de connexion et de contact. Les adresses IP et les interactions avec les formulaires sont traitées. Politique : cloudflare.com/privacypolicy
Tous ces prestataires sont soumis à des contrats de traitement de données conformes au RGPD. Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne ou par le Privacy Shield/DPF (Data Privacy Framework) pour les entités certifiées.
5. Durée de conservation
Nous conservons vos données aussi longtemps que nécessaire aux finalités pour lesquelles elles ont été collectées :
— Données de compte actif : pendant toute la durée de la relation contractuelle et 3 ans après la clôture du compte (prescription de droit commun).
— Contenu stratégique (briefs, études, scans) : disponible pendant la durée du compte actif ; supprimé dans les 30 jours suivant la clôture du compte sur demande.
— Historique de chat VECTOR : conservé pendant la durée du compte. Les sessions archivées peuvent être supprimées par l'utilisateur depuis l'interface.
— Données de facturation et journaux de paiement : 10 ans (obligation légale comptable française).
— Journaux de sécurité (connexions, actions sensibles) : 12 mois.
— Données de candidature (liste d'attente, formulaire de contact) : 3 ans à compter de la collecte en l'absence de suite commerciale.
6. Sécurité des données
ONNE.MARKETING met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données :
— Chiffrement des mots de passe : les mots de passe ne sont jamais stockés en clair ; ils sont hachés via bcrypt avec un sel aléatoire.
— HTTPS obligatoire : toutes les communications entre votre navigateur et nos serveurs sont chiffrées (TLS).
— Content Security Policy (CSP) stricte avec nonce par requête pour prévenir les injections de scripts.
— Protection anti-CSRF sur toutes les mutations de données.
— Protection anti-bot Cloudflare Turnstile sur les formulaires publics.
— Limitation du taux de requêtes (rate limiting) sur les endpoints sensibles (connexion, inscription, IA).
— Isolation tenant : chaque utilisateur accède uniquement à ses propres données (vérification d'identité systématique en base de données sur toutes les actions serveur).
— Tokens de réinitialisation de mot de passe : SHA-256, usage unique, durée de validité limitée à 1 heure.
— Accès à la base de données restreint aux serveurs d'application (pas d'accès public).
En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous vous notifierons dans les délais prévus par le RGPD (72 heures auprès de la CNIL, dans les meilleurs délais pour les personnes concernées).
8. Vos droits
Conformément au RGPD (Articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :
— Droit d'accès (Art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
— Droit de rectification (Art. 16) : corriger des données inexactes ou incomplètes.
— Droit à l'effacement / droit à l'oubli (Art. 17) : demander la suppression de vos données dans les cas prévus par la loi.
— Droit à la limitation du traitement (Art. 18) : restreindre le traitement de vos données dans certaines situations.
— Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
— Droit d'opposition (Art. 21) : vous opposer au traitement fondé sur l'intérêt légitime.
— Droit de retrait du consentement : retirer à tout moment un consentement préalablement accordé (e-mails marketing).
Pour exercer ces droits, envoyez un e-mail à contact@onne.marketing en précisant votre demande. Nous répondrons dans un délai d'un mois (délai pouvant être prolongé de deux mois supplémentaires pour les demandes complexes).
Si vous estimez que le traitement de vos données n'est pas conforme au RGPD, vous avez le droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
9. Modifications
ONNE.MARKETING se réserve le droit de modifier la présente politique à tout moment pour l'adapter à des évolutions légales, réglementaires ou techniques. Toute modification substantielle fera l'objet d'une notification par e-mail aux utilisateurs actifs et d'une mise à jour de la date ci-dessus.
La version en vigueur est toujours accessible à l'adresse www.onne.marketing/legal/confidentialite.