Politique de confidentialité

Gaating est un service en ligne qui permet à des créateurs de contenu et infopreneurs de transformer n'importe quel lien en page de capture d'emails (« le Service »). La présente politique explique quelles données nous collectons sur toi et sur les visiteurs de tes pages, pourquoi, avec qui elles sont partagées et combien de temps elles sont conservées.

Cette politique est conforme au Règlement Général sur la Protection des Données (RGPD), à la loi Informatique et Libertés, ainsi qu'aux exigences spécifiques de la Google API Services User Data Policy.

Le responsable du traitement des données collectées via le Service est :

• Gaating — éditeur du Service
• Email : hello@gaating.com
• Coordonnées complètes : voir Mentions légales

Tes données sont utilisées uniquement pour :

• Te fournir le Service (création de liens, page de capture, dashboard, exports — base légale : exécution du contrat)
• Acheminer tes leads vers tes outils connectés (Brevo, Sheets, etc. — base légale : exécution du contrat)
• Te contacter pour des informations essentielles au Service ou support (base légale : intérêt légitime)
• Améliorer le produit en analysant des statistiques anonymisées (base légale : intérêt légitime)

Nous ne vendons jamais tes données. Nous ne partageons pas tes données à des annonceurs ou des courtiers en données.

Quand tu connectes ton compte Google à Gaating pour utiliser le connecteur Google Sheets, nous accédons aux données suivantes via les API Google, avec ton autorisation explicite via le flow OAuth 2.0 :

• Les données Google sont utilisées uniquement pour fournir les fonctionnalités du Service explicitement demandées par toi (lister tes Sheets, écrire des leads dedans)
• Nous ne transférons pasles données Google à des tiers, sauf si nécessaire pour fournir le Service ou si la loi l'exige
• Nous n'utilisons pas les données Google pour des publicités personnalisées
• Nous ne permettons pas à des humainsde lire tes données Google sauf si tu donnes ton consentement explicite, si c'est nécessaire pour la sécurité, pour se conformer à la loi, ou pour des opérations internes sous forme anonymisée et agrégée

Pour faire fonctionner le Service, nous utilisons les sous-traitants suivants. Chacun traite tes données uniquement pour fournir un service technique à Gaating, dans le cadre d'un contrat de sous-traitance conforme à l'article 28 RGPD.

Les transferts vers des sous-traitants hors UE sont encadrés par les Clauses Contractuelles Types(CCT) de la Commission européenne ou par une décision d'adéquation.

• Compte utilisateur : tant que ton compte est actif. Suppression sur demande dans un délai de 30 jours.
• Liens et leads : conservés tant que ton compte est actif. À la suppression du compte, tes liens sont supprimés (cascade DB) et tes leads avec eux.
• Refresh tokens et clés API connecteurs : tant que le connecteur est actif. Supprimés immédiatement à la déconnexion.
• Logs de dispatch : 90 jours, puis purgés automatiquement.
• Logs serveur (Vercel) : 7 jours, géré par Vercel.

Conformément au RGPD, tu disposes des droits suivants :

• Droit d'accès : obtenir une copie des données te concernant
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de ton compte et de tes données
• Droit à la portabilité: récupérer tes données dans un format lisible (export CSV des leads disponible à tout moment dans l'app)
• Droit d'opposition: t'opposer à certains traitements
• Droit de limitation : geler temporairement le traitement
• Droit de retirer ton consentement à tout moment
• Droit de réclamation auprès de la CNIL : cnil.fr/fr/plaintes

Pour exercer ces droits, contacte-nous à hello@gaating.com avec la mention « Droits RGPD ». Nous répondrons dans un délai d'un mois.

• Toutes les communications avec Gaating sont chiffrées en HTTPS (TLS 1.2+)
• Les clés API tierces (Brevo) et refresh tokens OAuth (Google) sont chiffrés en base avec AES-256-GCM, clé maître stockée hors-base dans nos variables d'environnement
• Row Level Security Postgresactivée sur toutes les tables pour garantir qu'un user n'accède qu'à ses propres données
• Authentification par magic link (passwordless) — pas de mot de passe à hacker
• Audit régulier des dépendances pour les CVE connues

En cas de violation de données affectant tes informations personnelles, nous te notifierons et la CNIL conformément à l'article 33 RGPD dans un délai de 72 heures.

Gaating utilise un nombre minimal de cookies strictement nécessaires au fonctionnement du Service :

• Cookies de session Supabase : pour te garder connecté entre les pages. Durée : session ou 30 jours selon le « remember me ».
• Cookie state OAuth : posé temporairement pendant le flow OAuth Google pour protéger contre le CSRF. Durée : 10 minutes max.

Aucun cookie publicitaireou de tracking tiers. Pas de Google Analytics, pas de pixel Meta. Le consentement n'est donc pas requis (cookies strictement nécessaires au sens de la directive ePrivacy).

Certains de nos sous-traitants (Vercel, Google) sont basés aux États-Unis. Les transferts vers ces sous-traitants sont encadrés par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne en juin 2021, ainsi que par le Data Privacy Framework pour ceux qui y sont adhérents.

Aucune donnée n'est transférée vers un pays sans mécanisme de protection adéquat.

Cette politique peut être mise à jour pour refléter l'évolution du Service, de la loi ou de nos pratiques. La date de dernière modification est indiquée en haut de cette page. Pour les modifications substantielles, nous te notifierons par email avant entrée en vigueur.

Pour toute question relative à cette politique ou à tes données personnelles :

• Email : hello@gaating.com
• Voir aussi nos Mentions légales et CGU