Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via la plateforme Rayonne est :

Sponge Theory 27 Rue Maximilien de Robespierre 78711 Mantes-la-Ville, France E-mail : contact@sponge-theory.ai Site web : https://rayonne.sponge-theory.dev

2. Données collectées

Dans le cadre de l’utilisation de la plateforme Rayonne, nous collectons et traitons les catégories de données suivantes :

2.1 Données d’identification et de compte

• Nom, prénom, adresse e-mail (collectés lors de l’inscription ou via les fournisseurs d’identité Google, Apple, Microsoft par l’intermédiaire de notre prestataire d’authentification Clerk).
• Identifiant unique de compte.

2.2 Données relatives aux produits SaaS de l’Utilisateur

• URL des sites web soumis au crawl et au brief produit.
• Contenu des pages explorées (texte, métadonnées, structure HTML).
• ICP, persona, ton de marque inférés.
• Stratégies générées (Bullseye, plan quatre-vingt-dix jours, scoring AARRR).
• Contenus générés (annuaires, threads, posts, articles).

2.3 Données de soumission

• Identifiants OAuth aux plateformes tierces (G2, LinkedIn, X, Bluesky, etc.) lorsque l’Utilisateur les fournit volontairement.
• Statut, horodatage, URL externe et identifiant externe des soumissions effectuées.
• Captures d’écran de preuve (Mode B / extension), conservées sur notre stockage de fichiers à accès restreint.
• Extension navigateur : les captures d’écran et courts extraits vidéo de son produit que l’Utilisateur prend en cliquant sur l’icône de l’extension, envoyés avec leur légende à la galerie de son espace ; l’adresse de la fiche publiée par une soumission Mode B ; l’inventaire des champs d’un formulaire d’annuaire lorsque l’Utilisateur lance le test des sélecteurs. Ces données ne partent que vers Rayonne, avec la clé d’API de l’Utilisateur. L’extension ne lit ni l’historique de navigation ni les onglets autres que celui où l’Utilisateur agit.

2.4 Données de mesure

• Clics sur les liens tracés /r/{token}, agrégés par canal.
• Métriques AARRR par fenêtre temporelle.

2.5 Données de paiement

• Les informations de paiement (numéro de carte bancaire, date d’expiration) sont collectées et traitées exclusivement par notre prestataire de paiement Stripe. Nous ne stockons jamais vos données bancaires sur nos serveurs.
• Nous conservons uniquement l’identifiant client Stripe, le type d’abonnement et l’historique de facturation.

2.6 Données d’utilisation et d’analyse

• Adresse IP, type de navigateur, système d’exploitation, pages visitées, durée des sessions.
• Logs techniques d’erreur (Sentry — anonymisés au niveau de l’email).

3. Finalités et bases légales du traitement

4. Destinataires des données

Vos données personnelles peuvent être communiquées aux catégories de destinataires suivantes, dans le strict respect des finalités décrites ci-dessus. La liste exhaustive et à jour est publiée sur la page Sous-processeurs.

• Clerk (Clerk, Inc., États-Unis) — authentification et gestion des comptes utilisateurs.
• Stripe (Stripe Payments Europe, Ltd., Irlande) — traitement des paiements et gestion des abonnements.
• Resend (Resend, Inc., États-Unis) — envoi des e-mails transactionnels.
• SPT Models (Sponge Theory, France) — inférence souveraine, exécutée en France sur une infrastructure auto-hébergée. La rédaction, l’analyse et la relecture n’envoient aucune donnée à OpenAI, Anthropic, Mistral, Google (Gemini), Groq ou tout autre fournisseur d’IA externe. Cette souveraineté est une décision arrêtée et non un argument marketing.
• Audigeo (Sponge Theory, France) — audit GEO lancé à chaque analyse du produit (brief), y compris quand l’Utilisateur relance l’analyse ; pour les plans Pro et supérieurs, un audit GEO complet chaque mois et un relevé hebdomadaire des réponses des assistants IA aux questions suivies. Rayonne lui transmet l’URL publique du produit et, pour le suivi, son nom, sa catégorie, les concurrents qu’il nomme et les questions suivies. Seule exception : la mesure GEO (Audigeo, un service Sponge Theory) pose à des assistants IA publics — ChatGPT, Gemini et Perplexity, opérés aux États-Unis — les questions du marché de l’Utilisateur, pour mesurer s’ils le mentionnent ; ces questions portent le nom du produit, sa catégorie, ses concurrents et les problèmes de son audience tels que son brief les décrit, ainsi que les questions que l’Utilisateur ajoute lui-même — jamais de donnée privée.
• NeoRAG (Sponge Theory, France) — base de connaissances par workspace, intégrée pour la rétention de contexte produit.
• Hébergeur — nos serveurs sont hébergés en Europe sur le cluster Docker Swarm Sponge Theory. La base de données PostgreSQL est hébergée en Europe.

4.1 Plateformes de publication et Services API YouTube

Lorsque l’Utilisateur connecte une plateforme de publication à son workspace (YouTube, TikTok, LinkedIn, X), Rayonne transmet à cette plateforme, uniquement sur instruction de l’Utilisateur, le contenu qu’il a décidé d’y publier (vidéo, titre, description, mots-clés, visibilité). Chaque plateforme traite ensuite ces contenus selon ses propres conditions et sa propre politique de confidentialité.

Rayonne utilise les Services API YouTube. En connectant une chaîne YouTube, l’Utilisateur accepte d’être lié par les Conditions d’utilisation de YouTube et reconnaît que les données transmises à YouTube sont traitées conformément aux Règles de confidentialité de Google.

Dans ce cadre, Rayonne accède aux données suivantes et les conserve :

• Jeton d’autorisation OAuth (refresh token) délivré par Google, via le flux « Se connecter avec Google », sous l’unique projet Google Cloud de Rayonne, avec la seule habilitation « importer des vidéos » (youtube.upload). Il est chiffré au repos et n’est utilisé que pour obtenir, à chaque envoi, un jeton d’accès de courte durée. Il est conservé jusqu’à la déconnexion de la plateforme par l’Utilisateur, ou jusqu’à sa révocation par Google.
• Métadonnées d’envoi (titre, description, mots-clés, statut de visibilité, mention de contenu synthétique), conservées dans l’historique des soumissions du workspace à des fins de preuve et de mesure. L’identifiant de la vidéo publiée, son URL YouTube et la preuve d’envoi (réponse de l’API conservée comme justificatif) sont supprimés automatiquement 30 jours après la publication (YouTube API Services Developer Policies) ; la ligne d’historique correspondante est conservée, marquée « Données YouTube supprimées après 30 jours ». Ces données ne sont partagées avec aucun tiers autre que Google.

Rayonne ne lit ni ne stocke aucune autre donnée de la chaîne YouTube de l’Utilisateur (abonnés, commentaires, statistiques, autres vidéos). Aucune donnée YouTube n’est utilisée pour de la publicité ni transmise à un fournisseur d’IA externe.

Révocation. L’Utilisateur peut à tout moment retirer l’accès de Rayonne à sa chaîne YouTube depuis la page Applications tierces ayant accès à votre compte Google, ou en déconnectant la chaîne depuis le Guide de connexion de son workspace ; la déconnexion supprime immédiatement le jeton et les données associées (identifiant de vidéo, URL, preuve d’envoi). Il peut également demander la suppression de ces données en écrivant à contact@sponge-theory.io ; la demande est honorée sous 7 jours.

Nous ne vendons ni ne louons vos données personnelles à des tiers à des fins commerciales.

5. Transferts internationaux de données

Certains de nos sous-traitants (Clerk, Resend) sont situés aux États-Unis. Ces transferts sont encadrés par :

• Le cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) pour les prestataires certifiés.
• Des clauses contractuelles types (CCT) adoptées par la Commission européenne, le cas échéant.

L’ensemble de l’inférence IA de Rayonne est exécuté en France, sur l’infrastructure de Sponge Theory. Aucun prompt ni contenu de l’Utilisateur n’est envoyé à un fournisseur d’IA externe pour traitement par un grand modèle de langage ; seules les questions de la mesure GEO (nom du produit, catégorie, concurrents et problèmes de son audience tels que son brief les décrit, questions ajoutées par l’Utilisateur) parviennent à des assistants IA publics — ChatGPT, Gemini et Perplexity —, tous opérés aux États-Unis. La base de données principale et les rapports générés sont hébergés en Europe.

6. Durée de conservation

• Données de compte : conservées tant que le compte existe. À sa suppression, l’adresse e-mail, le nom et la photo sont effacés immédiatement ; seul un identifiant interne, vide de toute donnée personnelle, demeure pour l’intégrité de l’historique.
• Données de brief, stratégie, contenus, soumissions : conservées tant que l’espace de travail existe, y compris après la résiliation de l’abonnement. Elles sont supprimées — base de données, fichiers stockés et base de connaissances — lorsque l’Utilisateur supprime l’espace ou l’organisation, ou sur simple demande.
• Photos importées comme avatars : une photo réelle n’est importée qu’avec le consentement de la personne représentée, que l’Utilisateur atteste. Elle est conservée jusqu’à ce que l’Utilisateur la supprime depuis la page Avatars — à faire dès que la personne retire son consentement — ou avec l’espace de travail ; la photo et son détourage sont alors effacés. Les vidéos déjà rendues qui la montrent restent jusqu’à leur propre suppression.
• Données de facturation : conservées pendant 10 ans conformément aux obligations comptables et fiscales françaises (Code de commerce, art. L123-22).
• Données de mesure (clics, métriques AARRR) : conservées tant que l’espace de travail existe ; supprimées avec lui, ou sur simple demande.
• Audit GEO : le site audité et ses audits sont conservés par Audigeo, un service Sponge Theory distinct de Rayonne. Quand l’espace ou l’organisation est supprimé, Rayonne supprime chez Audigeo les questions suivies et leurs relevés — si Audigeo est injoignable à ce moment, au premier relevé hebdomadaire où Audigeo répond ; le site audité et ses audits y restent, et leur suppression se demande séparément à contact@sponge-theory.ai.
• Sauvegardes : une copie des données ci-dessus subsiste dans les sauvegardes locales jusqu’à quatorze jours après leur suppression ; la copie hors site de la base de données, lorsqu’elle est activée, n’est pas purgée automatiquement à ce jour.
• Logs techniques (Sentry) : 90 jours maximum.

7. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée (Loi Informatique et Libertés), vous disposez des droits suivants :

• Droit d’accès (art. 15 RGPD) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16 RGPD) : corriger des données inexactes ou incomplètes.
• Droit à l’effacement (art. 17 RGPD) : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18 RGPD) : restreindre le traitement de vos données dans certains cas.
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d’opposition (art. 21 RGPD) : vous opposer au traitement de vos données fondé sur l’intérêt légitime.
• Droit de retrait du consentement : retirer à tout moment votre consentement pour les traitements qui y sont fondés, sans remettre en cause la licéité du traitement effectué avant ce retrait.

Pour exercer vos droits, vous pouvez nous contacter à l’adresse : contact@sponge-theory.ai

Nous nous engageons à répondre à votre demande dans un délai maximum d’un (1) mois à compter de sa réception.

8. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) :

CNIL 3 Place de Fontenoy, TSA 80715 75334 Paris Cedex 07 Site web : www.cnil.fr

9. Cookies et traceurs

La plateforme Rayonne utilise des cookies et technologies similaires aux fins suivantes :

9.1 Cookies strictement nécessaires

Cookies de session, d’authentification (Clerk) et de sécurité. Ces cookies sont indispensables au fonctionnement de la plateforme et ne nécessitent pas votre consentement.

9.2 Cookies de mesure d’audience

Nous pouvons utiliser des outils d’analyse pour comprendre l’utilisation de la plateforme et en améliorer les performances. Ces cookies sont déposés uniquement après l’obtention de votre consentement.

Vous pouvez à tout moment gérer vos préférences en matière de cookies via les paramètres de votre navigateur ou via notre bandeau de consentement.

10. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre l’accès non autorisé, la perte, la destruction ou l’altération, notamment :

• Chiffrement en transit : les connexions à la Plateforme et les appels que nous faisons aux services tiers passent par HTTPS (TLS).
• Chiffrement au repos des secrets : les jetons d’accès et clés d’API des plateformes tierces sont chiffrés en base de données (Fernet), avec une clé conservée hors de la base. Les autres données — base de données, fichiers stockés (images, vidéos, captures de preuve) et leurs sauvegardes — ne font pas l’objet d’un chiffrement au repos à ce jour : leur protection repose sur l’hébergement auto-géré par Sponge Theory et la restriction des accès.
• Authentification déléguée à Clerk (OAuth 2.0).
• Accès restreint aux données selon le principe du moindre privilège, et cloisonnement par organisation et par espace de travail.
• Sauvegardes quotidiennes de la base de données et des fichiers stockés, conservées quatorze jours sur l’infrastructure de Sponge Theory ; la copie hors site de la base de données, lorsqu’elle est activée, n’est pas purgée automatiquement à ce jour.
• Veille mensuelle automatisée des règles publiées par les plateformes tierces, relue par un humain avant toute modification de nos règles de publication.

11. Modification de la politique de confidentialité

Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. En cas de modification substantielle, nous vous en informerons par e-mail ou par notification dans la plateforme. La date de dernière mise à jour est indiquée en haut de ce document.

12. Contact

Pour toute question relative à la présente politique ou à la protection de vos données personnelles, vous pouvez nous contacter :

Sponge Theory 27 Rue Maximilien de Robespierre 78711 Mantes-la-Ville, France E-mail : contact@sponge-theory.ai Site web : https://rayonne.sponge-theory.dev

© Sponge Theory. Tous droits réservés.