Politique de confidentialité

1. Qui est responsable de vos données ?

DJIDJELLI, entreprise individuelle (EI), établie à 04000 Digne-les-Bains, édite Apportly. Référente pour la protection des données : Clarisse Djidjelli, joignable à clarisse@apportly.app.

Apportly intervient dans deux rôles distincts :

• Sous-traitant pour les données que chaque organisation cliente gère dans son espace : son réseau d’apporteurs, les prospects recommandés, les messages, les contrats et les commissions. L’organisation est responsable de ces traitements et Apportly les réalise selon ses instructions, dans le cadre de l’accord de sous-traitance des données.
• Responsable de traitement pour ses propres relations : comptes utilisateurs et sécurité, facturation, demandes de démonstration et de contact, relances d’inscription et informations sur le produit, ainsi que le compte client de l’application Carte décrit plus bas.

Si une organisation vous a invité, a enregistré votre recommandation ou vous a contacté par son application, adressez-vous d’abord à elle : son nom figure dans l’application, sur son site et dans ses e-mails, et sa propre politique de confidentialité est publiée sur son site.

2. Données traitées pour les organisations clientes

Pour fournir le service, Apportly héberge et traite pour chaque organisation :

• Membres du réseau : identité, coordonnées, société, contrat individuel et son acceptation, commissions et récompenses, messages et publications.
• Prospects recommandés : identité, coordonnées, besoin, étapes, montants, commentaires et déclaration de l’apporteur qui confirme avoir informé la personne.
• Utilisateurs de l’organisation : compte, rôle, apporteurs suivis et historique des actions.

L’organisation détermine la base légale de ces traitements et en informe les personnes dans sa propre politique de confidentialité, qu’elle publie sur son site avant toute inscription ou invitation d’apporteur.

Lorsqu’un prospect est recommandé et que son adresse e-mail est connue, un e-mail d’information peut lui être adressé au nom de l’organisation : il indique qui a transmis ses coordonnées, pourquoi et pour combien de temps, et comporte un lien d’opposition. Une opposition anonymise le dossier et inscrit la personne dans la liste d’opposition de l’organisation, qui empêche toute nouvelle recommandation la concernant.

3. Traitements réalisés par Apportly pour lui-même

Lorsque vous réservez une démonstration et que notre agenda est connecté, un événement Google Agenda, avec son lien Google Meet, est créé avec votre nom, votre e-mail, votre société et vos notes. Il est supprimé avec votre demande.

Le formulaire de contact nous parvient par e-mail : il n’est pas enregistré dans la base de données de la plateforme.

Lorsque vous commencez l’inscription, votre e-mail et vos réponses sont enregistrés dans un brouillon pour que vous puissiez reprendre plus tard. Si l’inscription reste inachevée, vous recevez au plus deux relances ; chacune comporte un lien de désinscription qui les arrête. Si votre espace est créé sans que l’abonnement soit activé, un rappel vous est envoyé trente minutes plus tard, puis un dernier rappel un jour ouvré.

Pendant l’inscription, le nom ou le numéro SIREN que vous saisissez est envoyé à l’annuaire public Recherche d’entreprises (recherche-entreprises.api.gouv.fr), qui reçoit aussi l’adresse IP de votre navigateur. Les informations publiques retournées, comme la dénomination, l’adresse et les dirigeants, pré-remplissent le profil de la société.

4. Application Carte

Carte est l’application de carte de fidélité numérique qu’Apportly propose aux commerçants et à leurs clients.

• Apportly est responsable du compte client Carte et de l’application commune : création du compte, cartes détenues, préférences, notifications et sécurité.
• Chaque commerçant est responsable des données de son programme de fidélité : carte chez lui, points, passages, avantages et parrainages. Apportly les traite pour son compte. Le commerçant voit le nom des clients qui détiennent sa carte.

Données traitées : nom, e-mail, cartes, points, passages, avantages utilisés, parrainages, jeton de notification et accord pour recevoir les offres des commerçants, désactivé par défaut. Bases légales : exécution des conditions d’utilisation de Carte, et consentement pour les offres. Ces données sont conservées tant que le compte est ouvert ; sa fermeture supprime le profil Carte et les cartes associées.

5. Connecteur IA

Une organisation peut permettre à ses utilisateurs habilités de connecter à son espace un assistant IA externe compatible avec le protocole MCP. Seul un propriétaire ou un administrateur de l’organisation peut autoriser un assistant ; chaque utilisateur habilité y connecte ensuite son propre compte. L’assistant reçoit les données demandées : noms, sociétés, étapes et montants des prospects et annuaire du réseau, sans e-mail, téléphone ni message.

Cette transmission est une instruction de l’organisation. Le fournisseur de l’assistant, souvent établi hors de l’Union européenne, traite ensuite ces données selon ses propres conditions ; l’autorisation peut être retirée à tout moment.

6. Webhooks et API publique

Sur instruction de l’organisation, confirmée à la création de chaque webhook, Apportly transmet des événements, avec le nom du prospect et du contact, le programme et les montants, aux adresses webhook qu’elle a configurées. Ces envois sont signés, limités au HTTPS et refusent les destinations privées.

L’API publique donne accès aux prospects complets, e-mail et téléphone compris, aux seuls systèmes qui détiennent une clé d’API de l’organisation. L’organisation choisit ces destinataires et répond de leur usage et de leur localisation.

7. Qui peut accéder aux données ?

Les données sont accessibles aux personnes habilitées chez Apportly dans la limite de leurs fonctions, aux utilisateurs autorisés par l’organisation et aux prestataires suivants, selon la fonctionnalité utilisée. Apportly ne vend ni ne loue les données personnelles.

Sous-traitants d’Apportly pour les données des organisations :

Prestataires des traitements propres à Apportly :

Destinataires qui agissent pour leur propre compte, sous leurs propres conditions :

Destinations choisies et configurées par chaque organisation :

Les autorités, conseils ou assureurs peuvent aussi recevoir des données lorsque la loi l’exige ou qu’une défense en justice le justifie.

8. Transferts en dehors de l’Union européenne

Les données applicatives et les fichiers sont hébergés dans l’Union européenne, chez Convex, dans la région eu-west-1 (Irlande). Les prestataires indiqués ci-dessus peuvent traiter des données aux États-Unis ou dans un autre pays tiers. Chaque transfert repose sur le Data Privacy Framework UE-États-Unis lorsque le prestataire y est certifié, ou sur les clauses contractuelles types de la Commission européenne ; la mention « à confirmer » signale une vérification en cours auprès du prestataire.

Vous pouvez obtenir une copie des garanties applicables en écrivant à clarisse@apportly.app.

9. Combien de temps les données sont-elles conservées ?

Une donnée peut être conservée plus longtemps en archivage intermédiaire lorsqu’une obligation légale, un contentieux ou la défense d’un droit le nécessite. À l’issue de la durée applicable, elle est supprimée ou anonymisée.

10. Comment les données sont-elles protégées ?

Les principales mesures sont l’hébergement des données dans l’Union européenne, le cloisonnement de chaque espace vérifié côté serveur à chaque requête, le chiffrement des échanges, la conservation des mots de passe, codes et clés d’API sous forme d’empreinte, le chiffrement des secrets sensibles, la double authentification exigée des administrateurs de la plateforme et des responsables des espaces, un journal d’audit des opérations sensibles et la limitation des tentatives sur les points d’entrée publics. Le détail figure dans l’accord de sous-traitance des données.

Dans les espaces de messagerie, un utilisateur peut signaler un message ou son auteur, bloquer cet auteur puis le débloquer. Un blocage empêche les nouveaux échanges directs entre les deux comptes et masque les contenus de l’auteur bloqué pour l’utilisateur concerné. Les administrateurs habilités de l’organisation disposent d’une file de traitement des signalements.

Aucun dispositif n’élimine tout risque. En cas de violation de données, Apportly prévient l’organisation concernée au plus tard 48 heures après en avoir pris connaissance et, pour ses propres traitements, notifie la CNIL et informe les personnes lorsque la loi l’exige.

11. Quels sont vos droits ?

Selon le traitement et sa base légale, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité ou vous opposer à certains usages. Vous pouvez retirer un consentement à tout moment, sans remettre en cause les opérations déjà réalisées licitement.

Pour les données gérées par une organisation, contactez-la en priorité ; si vous vous adressez à Apportly, votre demande lui est transmise sans délai. Pour les traitements propres à Apportly, écrivez à clarisse@apportly.app en précisant votre demande et les éléments permettant de vous identifier. Une preuve d’identité n’est demandée qu’en cas de doute raisonnable.

Si vous avez été recommandé à une organisation, vous pouvez vous opposer à tout nouveau contact grâce au lien de l’e-mail d’information ou en écrivant à cette organisation.

Vous pouvez fermer votre compte depuis l’application ou la page Compte du portail. Si vous ne pouvez plus vous connecter, utilisez la page dédiée à la suppression du compte, accessible sans session.

Vous pouvez également introduire une réclamation auprès de la CNIL via son service de plainte en ligne.

12. Utilisation par des mineurs

Le back-office et les applications des organisations sont destinés à des usages professionnels et ne ciblent pas les mineurs. Les organisations ne doivent pas créer de programme destiné à collecter les données de mineurs sans analyse spécifique, information adaptée et mécanisme d’autorisation conforme à la réglementation applicable.

13. Évolution de cette politique

La politique peut évoluer avec le produit, les prestataires ou la réglementation. La date en tête de page permet d’identifier la version courante. Toute évolution substantielle concernant un compte actif fait l’objet d’une information adaptée.