Politique de confidentialité
Dernière mise à jour : 14 septembre 2026
SpotTracker identifie les organisations qui visitent le site de ses clients. Ce document dit exactement ce que cela traite, à quel titre nous intervenons, avec qui les données sont partagées, combien de temps elles sont conservées et comment s'y opposer.
1. Objet de ce document
Cette politique décrit l'ensemble des traitements de données à caractère personnel mis en œuvre par SpotTracker : ceux du site spottracker.fr, ceux du service d'identification des entreprises visitant les sites de nos clients, et ceux liés à l'usage de l'application.
Elle s'adresse à trois publics qui n'ont pas les mêmes questions : les visiteurs d'un site équipé de SpotTracker, les professionnels dont les coordonnées figurent dans le service, et les clients qui doivent documenter l'outil auprès de leur délégué à la protection des données.
2. Responsable du traitement
| Mention | Valeur |
|---|---|
| Responsable | SpotTracker |
| Adresse | Siège en cours d'immatriculation, joignable par courriel |
| Délégué à la protection des données | Aucun délégué désigné |
| Contact | contact@spottracker.fr |
L'identité complète de l'éditeur figure dans les mentions légales.
3. À quel titre nous intervenons
La qualification change selon le traitement, et elle détermine à qui adresser une demande. Ne pas la poser explicitement est l'imprécision la plus courante des politiques de confidentialité d'outils B2B.
| Traitement | Notre rôle | Qui décide de la finalité |
|---|---|---|
| Site vitrine, contact, prospection, facturation | Responsable de traitement | SpotTracker |
| Visites analysées sur le site d'un client | Sous-traitant | Le client, dans son propre registre |
| Registre d'entreprises partagé entre espaces | Responsable de traitement | SpotTracker |
| Comptes utilisateurs de l'application | Responsable de traitement | SpotTracker |
Pour le traitement où nous sommes sous-traitant, l' accord de sous-traitance conforme à l'article 28 du RGPD est accessible avant souscription et accepté électroniquement par le titulaire de l'espace. Il précise les instructions documentées, les mesures de sécurité, la liste des sous-traitants ultérieurs et les modalités de restitution ou de suppression en fin de contrat.
4. Données traitées sur ce site
| Donnée | Origine | Finalité | Base légale et durée |
|---|---|---|---|
| Nom, e-mail professionnel, téléphone, société, message | Formulaire de contact ou de demande de démonstration | Répondre à la demande et organiser l'échange | Mesures précontractuelles ; 3 ans après le dernier échange |
| Choix de consentement aux traceurs | Bannière de consentement | Mémoriser le choix et en conserver la preuve | Obligation légale et intérêt légitime à prouver le choix ; 6 mois |
| Données de fréquentation (pages vues, source, appareil) | Radar (Snitcher) et Google Analytics 4, chargés uniquement après votre accord à la catégorie audience | Comprendre l'usage du site et l'améliorer | Consentement ; durée de l'offre Radar, choix redemandé après 6 mois |
| Empreinte éphémère de l'adresse IP lors de l'envoi du formulaire | Connexion au formulaire de contact | Limiter les envois abusifs à cinq tentatives par minute | Intérêt légitime à la sécurité ; mémoire du serveur pendant une minute |
Aucun champ n'est obligatoire au-delà de ce qui est nécessaire pour vous répondre. Radar et Google Analytics ne sont pas chargés avant votre accord ; sans accord, seul le cookie nécessaire à la mémorisation de votre choix peut être écrit. Le détail figure dans la politique de cookies.
5. Données traitées par le service d'identification
Le service combine deux traitements qui ne doivent pas être confondus. Le client demeure responsable du traitement des visiteurs de son site ; SpotTracker agit en principe comme sous-traitant et Snitcher B.V. comme sous-traitant ultérieur, sous réserve des contrats et des décisions réellement prises par chaque acteur.
| Donnée | Usage | Conservée ? |
|---|---|---|
| Adresse IP publique de connexion | Résolution de l'organisation d'origine | Non conservée en clair après résolution |
| Pages, événements, horodatages | Radar : parcours et score d'intention, après consentement lorsque requis | Selon la durée configurée par le client |
| Source d'arrivée et paramètres UTM | Radar : analyse d'acquisition, après consentement lorsque requis | Selon la durée configurée par le client |
| Device ID, sessionStorage, localStorage ou cookies | Radar : continuité de session et reconnaissance du navigateur | Selon le choix de consentement et la configuration Radar |
| Appareil, navigateur, système, pays | Radar : contexte technique, filtrage et analyse | Selon la durée configurée par le client |
Identification de l’organisation — sans suivi comportemental persistant
L'adresse IP est une donnée à caractère personnel au sens du RGPD, y compris lorsqu'elle ne désigne en pratique qu'une organisation (CJUE, 19 octobre 2016, Breyer, C-582/14). Elle sert temporairement à la résolution et ne doit pas être conservée en clair au-delà de ce qui est nécessaire. Le résultat — le nom d'une personne morale — n'est en revanche pas une donnée personnelle, sauf lorsque l'organisation est une entreprise individuelle et que sa dénomination comporte le nom de son exploitant.
Dans le mode recommandé, cette résolution s'effectue sans cookie, stockage navigateur ni identifiant persistant. Elle ne dispense pas le client de documenter son intérêt légitime, sa mise en balance, la minimisation, la durée et le droit d'opposition.
Radar — parcours, sessions et signaux d'intention
Radar collecte les pages vues et peut recourir au stockage du navigateur (sessionStorage, localStorage ou cookies), notamment pour un identifiant d'appareil. L'article 82 de la loi Informatique et Libertés s'appliquant à tout accès au terminal, et pas seulement aux cookies, Radar n'est chargé qu'après le consentement du visiteur aux traceurs concernés.
La seule identification de l’organisation à partir de l’adresse IP peut reposer sur l'intérêt légitime du client à connaître les organisations qui s'intéressent à son offre (article 6.1.f du RGPD), sous réserve d'une mise en balance documentée. Toute personne peut s'y opposer à tout moment, auprès du site concerné ou auprès de nous à contact@spottracker.fr.
Une personne qui ne souhaite plus que son organisation soit reconnue peut sélectionner « Exercice de mes droits / opposition » dans le formulaire de contact. Après vérification de la demande et transmission au client responsable, le domaine est ajouté à une liste d'exclusion pseudonymisée : les résolutions futures sont écartées avant la création d'une visite, d'un lead ou d'une alerte. Une demande d'effacement des données historiques est instruite séparément.
6. Coordonnées professionnelles des décideurs
Le service rattache aux organisations identifiées des coordonnées professionnelles de décideurs : nom, prénom, fonction, e-mail professionnel, numéro présenté par le fournisseur comme professionnel, profil professionnel public. Cette qualification ne garantit pas qu'un mobile ne soit jamais également utilisé à titre personnel. Ce sont des données personnelles, et elles ne sont pas collectées auprès des personnes concernées.
| Élément | Détail |
|---|---|
| Source | Hunter pour la découverte, Dropcontact pour le calcul d'e-mail à partir d'un nom professionnel, FullEnrich pour une recherche unitaire de ligne professionnelle, ainsi que les registres INSEE/INPI et le site public de l'organisation |
| Catégories | Identité professionnelle, fonction, coordonnées professionnelles |
| Base légale | Intérêt légitime à la prospection B2B (article 6.1.f du RGPD) |
| Lien avec la visite | Aucun : la personne proposée n'est pas le visiteur, mais un décideur pertinent de l'organisation détectée |
Pour les données obtenues indirectement, le responsable du traitement informe la personne au plus tard dans un délai d'un mois, lors de la première communication ou lors de la première transmission si elle intervient avant. Lorsqu'un client prospecte un contact, il fournit cette information dans son premier message et indique la source exacte. SpotTracker assume cette obligation pour ses propres finalités autonomes. Toute personne peut demander l'origine de ses données, leur rectification ou leur suppression, et s'opposer sans motif à la prospection. Une demande adressée à contact@spottracker.fr entraîne le retrait du contact de nos bases et sa mise en liste d'opposition, afin qu'un ré-import ultérieur ne le réintroduise pas.
7. Le registre d'entreprises partagé
SpotTracker maintient un référentiel d'organisations commun à l'ensemble de la plateforme : une même entreprise y possède une fiche unique, enrichie une fois pour toutes plutôt que dupliquée dans chaque espace client. Sur ce référentiel, nous agissons en responsable de traitement autonome, et non pour le compte d'un client.
| Partagé entre espaces clients | Jamais partagé |
|---|---|
| Identité de l'organisation, secteur, taille, coordonnées d'entreprise | Les visites observées sur le site d'un client |
| Clés d'identité fortes de l'organisation : domaine, SIREN/SIRET et URL LinkedIn d'entreprise | Les scores d'intention, parcours et notes propres à un espace |
| Fait qu'un compte est réservé par un partenaire commercial | Toute donnée permettant de savoir quel client s'intéresse à qui |
Autrement dit : deux clients peuvent voir la même fiche d'entreprise, jamais l'activité l'un de l'autre. Le cloisonnement des données de visite entre espaces est une propriété du produit, pas un réglage.
8. Comptes utilisateurs, facturation et support
| Donnée | Finalité | Base légale |
|---|---|---|
| Identité, date de naissance, téléphone, e-mail professionnel, rôle, espace de rattachement | Création et gestion du compte, vérification de l'identité et contrôle des droits | Exécution du contrat |
| Journaux de connexion, adresse IP, codes à usage unique, second facteur | Sécurité des comptes et des actions sensibles | Intérêt légitime à la sécurité, obligation légale |
| Coordonnées de facturation, historique des paiements | Facturation, comptabilité, recouvrement | Exécution du contrat, obligation légale |
| Échanges avec le support | Traitement des demandes et suivi de la qualité | Exécution du contrat |
| Identité et coordonnées bancaires des partenaires commerciaux | Calcul et versement des commissions | Exécution du contrat, obligation légale |
L'accès à l'application se fait exclusivement sur invitation ; nous ne traitons donc aucune donnée d'inscription spontanée.
9. Durées de conservation
| Donnée | Durée |
|---|---|
| Adresse IP d'un visiteur | Le temps de la résolution, en mémoire |
| Visites, parcours et scores d'intention Radar | Durée en jours prévue par l'offre et affichée dans l'espace client ; suppression à l'échéance, sauf gel temporaire documenté pendant une suspension ou un litige de paiement |
| Fiches d'organisations du registre partagé | 3 ans après la dernière vérification ou interaction utile, puis révision ou suppression |
| Coordonnées de décideurs | Durée du workspace ou suppression antérieure sur demande/opposition ; le client applique sa propre durée de prospection |
| Demandes de contact et de démonstration | 3 ans à compter du dernier échange |
| Comptes utilisateurs | Durée du contrat, puis 30 jours pour la réversibilité |
| Journaux de connexion et de sécurité | 12 mois |
| Pièces comptables et factures | 10 ans (article L.123-22 du code de commerce) |
| Choix de consentement aux traceurs et sa preuve | 6 mois |
| Traceurs de mesure d'audience, le cas échéant | Durée documentée par le fournisseur ; choix redemandé après 6 mois |
À l'issue du contrat, les données traitées pour le compte d'un client sont supprimées ou restituées selon l'option qu'il retient, dans les conditions prévues par les conditions générales.
10. Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont accessibles aux personnels habilités de SpotTracker, dans la limite de leurs attributions, et aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation | Encadrement |
|---|---|---|---|
| Vercel Inc. | Hébergement et diffusion du site vitrine | Union européenne, avec accès depuis les États-Unis | Clauses contractuelles types + Data Privacy Framework |
| OVH SAS | Hébergement du serveur applicatif et de l'API | France | Hébergement contractuellement localisé en France |
| Supabase, Inc. | Base de données PostgreSQL gérée | Région de projet européenne sélectionnée par SpotTracker | DPA Supabase et clauses contractuelles types pour les accès hors EEE |
| Amazon Web Services EMEA SARL | Réception d'e-mails et stockage de fichiers dans la région eu-west-3 | France (eu-west-3) | Clauses contractuelles types (groupe établi aux États-Unis) |
| Plus Five Five, Inc. (Resend) | Envoi des e-mails transactionnels | États-Unis | DPA, clauses contractuelles types et Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Paiement des abonnements et facturation | Irlande | Clauses contractuelles types pour les transferts du groupe |
| Cal.com, Inc. (chargé à la demande) | Affichage de l'agenda et réservation d'une démonstration | Serveurs principaux en Belgique ; entité et certains sous-traitants aux États-Unis | DPA et clauses contractuelles types pour les sous-traitants hors EEE |
| Snitcher B.V. | Radar et résolution de l’adresse IP vers une organisation, en marque blanche ; sous-traitant ultérieur pour les données de visite | Pays-Bas ; infrastructure principale AWS à Francfort | DPA Snitcher et clauses contractuelles types pour les accès hors EEE |
| Google Ireland Limited | Mesure d'audience du site vitrine avec Google Analytics 4, uniquement après consentement | Union européenne et États-Unis | DPA Google, clauses contractuelles types et Data Privacy Framework |
| Hunter Web Services, Inc. (si activé) | Recherche et vérification d'e-mails professionnels | États-Unis | DPA et clauses contractuelles types |
| Dropcontact SAS (si activé) | Calcul et vérification d'e-mails professionnels | Union européenne | DPA ; traitement européen |
| FullEnrich (si activé) | Recherche unitaire de coordonnées téléphoniques professionnelles | Union européenne et États-Unis selon les sources de la cascade | DPA et clauses contractuelles types lorsque nécessaires |
| Mapbox, Inc. (application authentifiée) | Affichage de la carte agrégée des pays de visite | États-Unis | DPA et clauses contractuelles types |
Ce qui n'est pas de la sous-traitance
Lorsqu'un client active une intégration — HubSpot, Pipedrive, Salesforce, Slack, Notion — les données identifiées sont transmises vers l'outil qu'il a lui-même choisi. Cette transmission relève de sa décision et de sa responsabilité : nous ne sommes pas sous-traitants de l'outil de destination, et les conditions de ce dernier s'appliquent alors.
Pour Slack, l'application SpotTracker ne demande que l'autorisation de publier dans le canal choisi par le client (incoming-webhook). Elle n'accède ni aux messages, ni aux canaux, ni à la liste des membres de l'espace Slack. Nous conservons uniquement l'adresse de publication fournie par Slack, le nom du canal et le nom de l'espace Slack, tant que la destination reste connectée. Ces données sont supprimées dès que le client clique sur « Déconnecter » dans SpotTracker ; retirer l'application depuis l'administration de Slack coupe par ailleurs immédiatement la publication.
Les données peuvent enfin être communiquées aux autorités judiciaires ou administratives lorsqu'une disposition légale l'impose.
11. Transferts hors de l'Union européenne
Les données des clients sont hébergées dans l'Union européenne. Certains sous-traitants appartiennent toutefois à des groupes établis aux États-Unis et peuvent y accéder pour l'exploitation ou le support. Ces accès sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par la certification au titre du Data Privacy Framework, ainsi que par des mesures techniques complémentaires. Le détail par sous-traitant figure dans le tableau ci-dessus et, pour nos clients, dans l'annexe de l'accord de sous-traitance.
12. Sécurité
SpotTracker met en œuvre les mesures techniques et organisationnelles suivantes, revues lors de chaque évolution sensible :
- TLS sur les accès externes et chiffrement au repos fourni par les hébergeurs retenus.
- Cloisonnement des requêtes par espace client au niveau de l'API et contraintes relationnelles en base de données.
- Contrôle d'accès par rôle, moindre privilège et journalisation des accès administratifs.
- Second facteur d'authentification et code à usage unique exigé pour les actions sensibles (mot de passe, adresse e-mail, verrouillage de compte).
- Sauvegardes chiffrées, rotation documentée et procédure de restauration.
Lorsque SpotTracker agit comme sous-traitant, il avertit le client responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation. Lorsque SpotTracker agit comme responsable du traitement, il documente l'incident et notifie la CNIL, si la violation est susceptible d'engendrer un risque, dans les meilleurs délais et si possible sous 72 heures. Les personnes sont informées lorsque le risque est élevé, sauf exception légale.
13. Score d'intention et décision automatisée
Le score d'intention est calculé automatiquement, à partir des pages consultées et de leur fraîcheur. Il porte sur une organisation, pas sur une personne physique, et sert à classer des comptes par priorité commerciale. Il ne produit aucun effet juridique à l'égard d'une personne ni ne l'affecte de manière significative au sens de l'article 22 du RGPD.
14. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.
Adressez votre demande à contact@spottracker.fr. Nous y répondons dans un délai d'un mois, prorogeable de deux mois en cas de complexité, et nous vous en informons alors. Une pièce d'identité ne vous sera demandée qu'en cas de doute raisonnable sur votre identité.
Si votre demande porte sur des données traitées pour le compte d'un de nos clients — typiquement une visite observée sur son site — nous ne pouvons y donner suite directement : nous la lui transmettons et vous indiquons à qui vous adresser. C'est la conséquence de notre rôle de sous-traitant sur ce traitement.
Vous pouvez enfin introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
15. Mineurs
Le service s'adresse exclusivement à des professionnels dans un cadre B2B. Il n'est ni destiné ni proposé à des mineurs, et nous ne collectons pas sciemment leurs données.
17. Modifications
Cette politique peut évoluer avec le produit et la réglementation. La date de dernière mise à jour figure en tête de page. Toute modification substantielle — nouvelle finalité, nouveau sous-traitant, allongement d'une durée de conservation — est portée à la connaissance des clients par e-mail avant son entrée en vigueur.