Le responsable du traitement des données est :
Mathieu Bouscaillou — BOUS'TACOM
22 Avenue Général Leclerc Maréchal de France, 19100 Brive-la-Gaillarde, France
Email : contact@boustacom.fr

Dans le cadre de l'utilisation de Neura, je collecte les données suivantes :

Données d'identification : nom, adresse email, mot de passe (haché)
Données professionnelles : informations des fiches Google Business Profile (nom, adresse, téléphone, catégorie, coordonnées GPS, site web, réseaux sociaux déclarés)
Données de suivi SEO : mots-clés suivis, positions, scans de grille, établissements concurrents relevés autour de la fiche
Avis clients : texte des avis Google, prénom et nom de l'auteur tels que Google les publie, réponses rédigées ou générées
Contacts clients : emails et noms des destinataires de rapports, réponses aux questionnaires d'onboarding et de satisfaction, documents déposés
Prospection : entreprises visibles publiquement sur Google (nom, adresse, téléphone, email et site web tels que publiés), réponses à un questionnaire de qualification
Mesure d'audience : ouverture des emails et téléchargement des rapports (compteur, date), consultation des rapports et des mini-sites (empreinte technique hachée, jamais l'adresse IP en clair)
Données de connexion : adresse IP pour la sécurité, cookies décrits à la section 8

• Gestion du compte utilisateur et authentification
• Suivi de la fiche Google Business Profile : positions, visibilité, avis, publications, photos
• Rédaction assistée par intelligence artificielle des réponses aux avis et des publications. Selon le réglage de la fiche, une réponse peut être publiée automatiquement sans relecture
• Génération et envoi des rapports de performance, et mesure de leur ouverture et de leur consultation
• Mini-sites publics présentant l'établissement (coordonnées, horaires, carte, prestations, sélection d'avis Google) et mesure anonymisée de leur audience
• Suivi de la visibilité de l'établissement dans les moteurs de réponse par IA (ChatGPT, Gemini, Perplexity, résumés Google)
• Diffusion des publications sur les réseaux sociaux connectés par le client
• Prospection commerciale auprès d'entreprises, voir la section 11
• Assistant de conversation sur les pages publiques d'audit et de rapport
• Archivage d'une copie de chaque email envoyé au nom de Boustacom, pour le suivi de la relation
• Facturation et prélèvement des abonnements
• Sécurité de la plateforme et journal technique

• L'exécution du contrat pour tout ce qui sert la prestation souscrite, suivi de fiche, rapports, mini-site, publications
• L'intérêt légitime pour la prospection auprès d'entreprises, la mesure d'ouverture des emails, la sécurité et l'amélioration du service
• L'obligation légale pour la facturation et la conservation comptable
• Le consentement pour la connexion d'un compte de réseau social, révocable à tout moment

Pour assurer le fonctionnement du service, certaines données sont transmises aux sous-traitants suivants :

Google (Irlande, USA) : API Business Profile, Places et Gemini. Synchronisation des fiches, avis, statistiques, photos ; recherche d'établissements ; suivi de visibilité IA
Anthropic (USA) : rédaction assistée. Pour une réponse à un avis, le prénom de l'auteur, la note et le texte de l'avis sont transmis, jamais le nom complet. Pour les diagnostics, le nom et la ville de l'établissement
OpenAI et Perplexity (USA) : suivi de visibilité IA. Seules des requêtes du type « meilleur métier à ville » leur sont posées, aucune donnée de client
DataForSEO (USA) : positions Google Maps et recherche d'annuaires. Mots-clés, coordonnées GPS des grilles, nom et ville de l'établissement
Mapbox (USA) : affichage cartographique dans l'application et sur les pages d'audit, le navigateur du visiteur charge la carte directement
GoCardless (Royaume-Uni) : prélèvement SEPA des abonnements. Les coordonnées bancaires sont saisies chez GoCardless, Boustacom n'en conserve qu'une référence
Meta et LinkedIn : diffusion des publications, uniquement pour les comptes connectés par le client
Infomaniak (Suisse) : hébergement, base de données, sauvegardes et envoi des emails

Les transferts vers les États-Unis reposent sur le Data Privacy Framework pour les prestataires qui y sont certifiés (Google, Anthropic, OpenAI, Mapbox) et sur les clauses contractuelles types de la Commission européenne pour les autres. La Suisse et le Royaume-Uni bénéficient d'une décision d'adéquation.

Ces durées sont appliquées automatiquement chaque nuit par l'application.

• Compte et fiches : tant que le compte est actif. Suppression immédiate depuis l'application, ou sous 30 jours sur demande par email
• Positions et concurrents de grille : 24 mois
• Avis et réponses : tant que la fiche est suivie
• Documents déposés lors de l'onboarding : le fichier est effacé 30 jours après son dépôt, seule la trace du dépôt est conservée
• Prospects : 12 mois sans suite. Après une désinscription, la fiche prospect est effacée sous 30 jours et seule l'adresse email reste en liste de blocage, pour ne plus jamais être contactée
• Résultats bruts des recherches d'établissements : 6 mois
• Suivi d'ouverture des emails : 180 jours
• Clients finaux confiés pour une demande d'avis : prénom et numéro chiffré effacés 6 mois après la dernière demande. Les statistiques d'envoi, sans nom ni numéro, sont gardées 13 mois. Une opposition (STOP) est conservée 3 ans sous forme d'empreinte du numéro, jamais le numéro lui-même
• Consultation des rapports : 12 mois. Audience des mini-sites : 13 mois
• Conversations avec l'assistant sur les pages publiques : l'adresse IP est effacée après 30 jours, la conversation après 12 mois
• Journal d'erreurs : 30 jours. Tentatives de connexion : 7 jours. Jetons de réinitialisation : 24 heures
• Sauvegardes de la base : 30 jours. Une donnée supprimée peut donc subsister jusqu'à 30 jours dans une sauvegarde, inaccessible depuis l'application

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de vos données
• Droit à la portabilité : recevoir vos données dans un format structuré
• Droit d'opposition : vous opposer au traitement de vos données
• Droit à la limitation : restreindre le traitement de vos données

Pour exercer ces droits : contact@boustacom.fr
Délai de réponse : 30 jours maximum.

Neura dépose deux cookies techniques, tous deux protégés par les attributs HttpOnly, Secure et SameSite :

• le cookie de session d'authentification, 30 jours d'inactivité au maximum
• un cookie qui mémorise le compte propriétaire pour ne pas compter ses propres consultations dans les statistiques de ses rapports, 90 jours

Les préférences d'affichage (thème, filtres) sont conservées dans le navigateur, sans cookie. Aucun cookie publicitaire ni d'analyse tierce n'est utilisé, ni dans l'application, ni sur les mini-sites.

Les emails envoyés contiennent un pixel de mesure d'ouverture, et les rapports un compteur de consultation. Ces mesures servent au suivi de la relation client et ne sont jamais partagées. Les mini-sites mesurent leur audience par une empreinte technique hachée et renouvelée chaque jour, qui ne permet pas de retrouver un visiteur.

Nous mettons en oeuvre les mesures de sécurité suivantes :

• Chiffrement HTTPS (TLS) pour toutes les communications
• Hachage des mots de passe (bcrypt)
• Protection CSRF sur toutes les requêtes
• Rate limiting sur les tentatives de connexion
• Sessions sécurisées (HttpOnly, Secure, SameSite)
• Headers de sécurité (HSTS, CSP, X-Frame-Options)

Boustacom prospecte des entreprises, jamais des particuliers. Les coordonnées utilisées (nom de l'établissement, adresse, téléphone, email, site web) proviennent de la fiche Google de l'entreprise et de son site web, tels qu'elle les publie elle-même. Elles ne sont ni achetées ni cédées.

Chaque email de prospection indique cette provenance et contient un lien de désinscription en un clic. La désinscription est immédiate et définitive : l'adresse est placée en liste de blocage, aucun autre email ne partira, et la fiche prospect est effacée sous 30 jours. Un prospect qui n'a pas donné suite est effacé après 12 mois.

Ce traitement repose sur l'intérêt légitime de Boustacom à présenter ses services à des professionnels dont l'activité correspond à son offre. Les droits décrits à la section 7 s'exercent à la même adresse.

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) :

CNIL — 3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
www.cnil.fr