Politique de confidentialité

1. Objet de ce document

Cette politique décrit l'ensemble des traitements de données à caractère personnel mis en œuvre par SpotTracker : ceux du site spottracker.fr, ceux du service d'identification des entreprises visitant les sites de nos clients, et ceux liés à l'usage de l'application.

Elle s'adresse à trois publics qui n'ont pas les mêmes questions : les visiteurs d'un site équipé de SpotTracker, les professionnels dont les coordonnées figurent dans le service, et les clients qui doivent documenter l'outil auprès de leur délégué à la protection des données.

2. Responsable du traitement

L'identité complète de l'éditeur figure dans les mentions légales.

3. À quel titre nous intervenons

La qualification change selon le traitement, et elle détermine à qui adresser une demande. Ne pas la poser explicitement est l'imprécision la plus courante des politiques de confidentialité d'outils B2B.

Pour le traitement où nous sommes sous-traitant, un accord de sous-traitance conforme à l'article 28 du RGPD est mis à disposition sur simple demande à contact@spottracker.fr. Il précise les instructions documentées, les mesures de sécurité, la liste des sous-traitants ultérieurs et les modalités de restitution ou de suppression en fin de contrat.

4. Données traitées sur ce site

Aucun champ n'est obligatoire au-delà de ce qui est nécessaire pour vous répondre. À ce jour, le seul traceur déposé par ce site est celui qui mémorise votre choix de consentement : le détail figure dans la politique de cookies.

5. Données traitées par le service d'identification

Lorsqu'un de nos clients installe le script SpotTracker sur son site, nous traitons pour son compte les données suivantes, à chaque visite :

Ne sont jamais collectés : le nom ou l'e-mail du visiteur, le contenu saisi dans les formulaires, les données des espaces authentifiés, les frappes clavier, les mouvements de souris ou les enregistrements de session.

Deux précisions qui comptent

L'adresse IP est une donnée à caractère personnel au sens du RGPD, y compris lorsqu'elle ne désigne en pratique qu'une organisation (CJUE, 19 octobre 2016, Breyer, C-582/14). Nous la traitons comme telle : elle sert à la résolution puis n'est pas conservée en clair. Le résultat conservé — le nom d'une personne morale — n'est en revanche pas une donnée personnelle, sauf lorsque l'organisation est une entreprise individuelle et que sa dénomination comporte le nom de son exploitant.

Le script n'écrit ni ne lit rien sur le terminal du visiteur : ni cookie, ni stockage local, ni empreinte de navigateur. Les obligations de consentement de l'article 82 de la loi Informatique et Libertés ne trouvent donc pas à s'appliquer à ce traitement. Reste l'obligation d'information, qui incombe au client sur son propre site.

Ce traitement repose sur l'intérêt légitime du client à connaître les organisations qui s'intéressent à son offre (article 6.1.f du RGPD). Toute personne peut s'y opposer à tout moment, auprès du site concerné ou auprès de nous à contact@spottracker.fr.

6. Coordonnées professionnelles des décideurs

Le service rattache aux organisations identifiées des coordonnées professionnelles de décideurs : nom, prénom, fonction, e-mail professionnel, téléphone professionnel, profil professionnel public. Ce sont des données personnelles, et elles ne sont pas collectées auprès des personnes concernées.

Conformément à l'article 14 du RGPD, toute personne dont les coordonnées figurent dans le service peut nous demander lesquelles nous détenons, d'où elles viennent, en obtenir la rectification ou la suppression, et s'opposer sans motif à leur usage à des fins de prospection. Une demande adressée à contact@spottracker.fr entraîne le retrait du contact de nos bases et sa mise en liste d'opposition, afin qu'un ré-import ultérieur ne le réintroduise pas.

7. Le registre d'entreprises partagé

SpotTracker maintient un référentiel d'organisations commun à l'ensemble de la plateforme : une même entreprise y possède une fiche unique, enrichie une fois pour toutes plutôt que dupliquée dans chaque espace client. Sur ce référentiel, nous agissons en responsable de traitement autonome, et non pour le compte d'un client.

Autrement dit : deux clients peuvent voir la même fiche d'entreprise, jamais l'activité l'un de l'autre. Le cloisonnement des données de visite entre espaces est une propriété du produit, pas un réglage.

8. Comptes utilisateurs, facturation et support

L'accès à l'application se fait exclusivement sur invitation ; nous ne traitons donc aucune donnée d'inscription spontanée.

9. Durées de conservation

À l'issue du contrat, les données traitées pour le compte d'un client sont supprimées ou restituées selon l'option qu'il retient, dans les conditions prévues par les conditions générales.

10. Destinataires et sous-traitants

Les données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont accessibles aux personnels habilités de SpotTracker, dans la limite de leurs attributions, et aux sous-traitants suivants :

Ce qui n'est pas de la sous-traitance

Lorsqu'un client active une intégration — HubSpot, Pipedrive, Salesforce, Slack, Microsoft Teams, Notion — les données identifiées sont transmises vers l'outil qu'il a lui-même choisi. Cette transmission relève de sa décision et de sa responsabilité : nous ne sommes pas sous-traitants de l'outil de destination, et les conditions de ce dernier s'appliquent alors.

Les données peuvent enfin être communiquées aux autorités judiciaires ou administratives lorsqu'une disposition légale l'impose.

11. Transferts hors de l'Union européenne

Les données des clients sont hébergées dans l'Union européenne. Certains sous-traitants appartiennent toutefois à des groupes établis aux États-Unis et peuvent y accéder pour l'exploitation ou le support. Ces accès sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par la certification au titre du Data Privacy Framework, ainsi que par des mesures techniques complémentaires. Le détail par sous-traitant figure dans le tableau ci-dessus et, pour nos clients, dans l'annexe de l'accord de sous-traitance.

12. Sécurité

Les mesures suivantes sont en place, et leur description complète figure dans l'annexe sécurité de l'accord de sous-traitance :

• Chiffrement des échanges en transit et des données au repos.
• Cloisonnement strict des données entre espaces clients, appliqué au niveau de l'accès aux données et non de l'interface.
• Contrôle d'accès par rôle, principe du moindre privilège, et journalisation des accès aux données clients.
• Second facteur d'authentification et code à usage unique exigé pour les actions sensibles (mot de passe, adresse e-mail, verrouillage de compte).
• Sauvegardes régulières et procédure de restauration éprouvée.

En cas de violation de données susceptible d'engendrer un risque pour les personnes concernées, nous notifions la CNIL dans les 72 heures et informons sans délai les clients concernés, afin qu'ils puissent assumer leurs propres obligations d'information.

13. Score d'intention et décision automatisée

Le score d'intention est calculé automatiquement, à partir des pages consultées et de leur fraîcheur. Il porte sur une organisation, pas sur une personne physique, et sert à classer des comptes par priorité commerciale. Il ne produit aucun effet juridique à l'égard d'une personne ni ne l'affecte de manière significative au sens de l'article 22 du RGPD.

14. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Adressez votre demande à contact@spottracker.fr. Nous y répondons dans un délai d'un mois, prorogeable de deux mois en cas de complexité, et nous vous en informons alors. Une pièce d'identité ne vous sera demandée qu'en cas de doute raisonnable sur votre identité.

Si votre demande porte sur des données traitées pour le compte d'un de nos clients — typiquement une visite observée sur son site — nous ne pouvons y donner suite directement : nous la lui transmettons et vous indiquons à qui vous adresser. C'est la conséquence de notre rôle de sous-traitant sur ce traitement.

Vous pouvez enfin introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

15. Mineurs

Le service s'adresse exclusivement à des professionnels dans un cadre B2B. Il n'est ni destiné ni proposé à des mineurs, et nous ne collectons pas sciemment leurs données.

16. Cookies et traceurs

Le service d'identification ne dépose aucun traceur sur le terminal des visiteurs. Notre propre site vitrine, lui, peut déposer des traceurs de mesure d'audience et de mesure de campagne, uniquement après votre accord. Les catégories, les durées et le moyen de retirer votre consentement à tout moment sont détaillés dans la politique de cookies.

17. Modifications

Cette politique peut évoluer avec le produit et la réglementation. La date de dernière mise à jour figure en tête de page. Toute modification substantielle — nouvelle finalité, nouveau sous-traitant, allongement d'une durée de conservation — est portée à la connaissance des clients par e-mail avant son entrée en vigueur.