Retour
RGPD

Politique de confidentialité

Dernière mise à jour : 4 octobre 2026

1. Responsable du traitement

  • Alione Finore — entrepreneur individuel (Topora)
  • SIREN : 839 540 960
  • Adresse : 2 rue Émile Bernard, 35700 Rennes, France
  • Email : contact@topora.fr

2. Données collectées

Topora collecte les données suivantes selon le contexte :

  • À l'inscription : adresse email, mot de passe (haché par Supabase, jamais stocké en clair) et, si vous le choisissez, la façon dont vous avez connu Topora
  • À l'audit : adresse IP (limitation des abus), nom de l'établissement recherché
  • Dans votre espace : audits, fiches suivies, mots-clés, concurrents, et les contenus que vous faites rédiger (réponses aux avis, posts, images)
  • Questionnaire Concierge : email, prénom, téléphone (facultatif), établissement, métier, vos réponses et la façon dont vous avez connu Topora ; pour un rendez-vous, le créneau choisi et l'adresse email qui reçoit l'invitation
  • Commande Concierge ou Coup de boost : nom de l'établissement, date et version des CGV acceptées
  • Paiement : traité par Stripe — nous ne recevons jamais le numéro de carte. Nous conservons l'identifiant client Stripe et les informations d'abonnement (offre, statut, dates)
  • Fiches Google analysées : données publiques Google (nom, adresse, avis, photos, classement) — aucune donnée privée de votre compte Google
  • Liens courts des vidéos (topora.fr/v1/…) : chaque clic ajoute 1 à un compteur par lien et par jour. Ni cookie ni adresse IP enregistrés : l'adresse IP n'est utilisée que dans la mémoire du serveur, sous une forme impossible à retrouver, pour ne pas compter plusieurs fois le même appareil dans l'heure. Ce comptage sans donnée personnelle ne demande pas votre accord
  • Seulement avec votre accord : pages vues et actions sur le site (PostHog) ; enregistrement de vos visites (déplacements, clics, défilement) et zones cliquées, pour comprendre ce qui gêne sur le site : toutes les saisies sont masquées, ainsi que le texte et les images de votre espace client ; l'administration et les pages ouvertes depuis un lien personnel reçu par e-mail ne sont jamais enregistrées (PostHog) ; réponses facultatives aux questions d'une ligne posées sur le site (PostHog) ; provenance de la visite (source, campagne, page d'arrivée) conservée dans deux cookies puis rattachée à votre compte à l'inscription ; parrainage d'un partenaire (cookie Rewardful) ; enregistrement de certaines sessions, texte et images masqués, pour corriger les bugs (Sentry)
  • Événements de compte et d'usage (inscription, connexion, audits, contenus rédigés, limites de votre offre atteintes, abonnement, paiement, remise de nos emails) : enregistrés par nos serveurs sous votre identifiant de compte, jamais avec votre adresse email ni le nom de votre établissement, pour vérifier le bon fonctionnement du service et établir nos statistiques. Un aperçu d'audit fait sans compte est compté sans profil

3. Finalités du traitement

  • Fourniture du service d'audit et de suivi de fiche Google Business Profile
  • Authentification et sécurité des comptes
  • Communication par email (confirmation, alertes, suivi de l'essai, support, factures)
  • Facturation, gestion des abonnements et obligations comptables
  • Suivi des demandes Concierge, des rendez-vous et des commandes
  • Mesure d'audience et de la provenance des visiteurs (avec votre accord)
  • Statistiques de fonctionnement et d'usage du service (événements de compte)
  • Prévention des abus (limitation des requêtes, anti-robot Turnstile)

4. Bases légales

  • Exécution du contrat (art. 6.1.b RGPD) : compte, audits, contenus générés, paiements, prestations Concierge et Coup de boost
  • Obligation légale (art. 6.1.c) : conservation des factures (10 ans)
  • Consentement (art. 6.1.a), donné catégorie par catégorie : mesure d'audience et enregistrement des visites (PostHog), enregistrement de sessions pour corriger les bugs (Sentry), cookies de provenance et de parrainage (Rewardful)
  • Intérêt légitime (art. 6.1.f) : sécurité, prévention de la fraude, statistiques de compte, réponses au questionnaire Concierge, emails de suivi et d'information sur nos offres adressés à des professionnels (désabonnement en un clic dans chaque email)

5. Sous-traitants et transferts

  • Supabase Inc. — base de données et comptes (Francfort, Union européenne)
  • Vercel Inc. — hébergement (fonctions exécutées à Paris, réseau de diffusion mondial) et mesure de fréquentation et de vitesse sans cookie (États-Unis)
  • Stripe — paiements (certifié PCI-DSS ; États-Unis)
  • Resend Inc. — emails transactionnels et suivi de leur remise : remis, rejeté, signalé comme indésirable (États-Unis)
  • PostHog Inc. — mesure d'audience, enregistrement des visites et questions d'une ligne, seulement avec votre accord, et statistiques de compte rattachées à votre identifiant (serveurs dans l'Union européenne)
  • Functional Software Inc. (Sentry) — suivi des erreurs techniques et, avec votre accord, enregistrement de certaines sessions, texte masqué (Union européenne ou États-Unis)
  • Rewardful — suivi des parrainages du programme partenaires, avec votre accord (États-Unis)
  • Anthropic PBC — rédaction assistée par IA (réponses aux avis, textes) (États-Unis)
  • fal.ai — génération d'images de posts (États-Unis)
  • Google LLC — analyse des fiches publiques (Places API), génération d'images, agenda des rendez-vous Concierge, lecteur des vidéos YouTube des pages de contenu (États-Unis)
  • Cloudflare — protection anti-robot Turnstile (réseau mondial)
  • Upstash Inc. — limitation du nombre de requêtes contre les abus : compteurs associant une adresse IP ou un identifiant de compte à une action, effacés automatiquement en 48 heures au plus ; compteur anonyme des clics sur les liens courts des vidéos (Francfort, Union européenne)
  • GitHub Inc. — conservation des sauvegardes hebdomadaires de la base, chiffrées avant leur envoi, pendant 90 jours (États-Unis)
  • Mapbox — affichage des cartes de visibilité (États-Unis)
  • Hostinger — messagerie @topora.fr (Union européenne)

Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne (2021) ou par le cadre de protection des données UE–États-Unis pour les sociétés certifiées.

6. Durées de conservation

  • Données de compte : durée de l'abonnement + 3 ans (puis suppression)
  • Audits réalisés : durée de l'abonnement + 3 ans
  • Questionnaire Concierge et suivi des demandes : 3 ans après le dernier contact
  • Données de paiement (factures) : 10 ans (obligation comptable, art. L. 123-22 Code de commerce)
  • Logs techniques (IP, limitation des requêtes) : 12 mois maximum
  • Sauvegardes de la base, chiffrées : 90 jours (une donnée effacée disparaît des sauvegardes au plus tard 90 jours après)
  • Cookies de provenance : 90 jours ; cookie de parrainage : 60 jours ; cookies de mesure d'audience : 13 mois maximum
  • Enregistrements des visites : 30 jours
  • Votre choix sur les cookies : 13 mois, puis la question vous est reposée

7. Cookies et traceurs

Les cookies essentiels (session de connexion, sécurité, mémorisation de votre choix) ne demandent pas d'accord, pas plus que la mesure de fréquentation de Vercel, qui ne dépose aucun cookie. Les autres traceurs sont rangés en trois catégories, que vous acceptez ou refusez toutes d'un clic (« Tout accepter », « Tout refuser ») ou une par une (« Personnaliser », aucune case cochée d'avance). Rien n'est activé avant votre choix :

  • Mesure d'audience et amélioration du site : pages vues et actions, enregistrement des visites et zones cliquées, questions d'une ligne (PostHog)
  • Correction des bugs : enregistrement de certaines sessions, texte et images masqués (Sentry)
  • Provenance et parrainage : cookies de provenance (90 jours) et de parrainage (Rewardful, 60 jours)

Refuser une catégorie, d'emblée ou plus tard, efface ce qu'elle avait déposé. La carte Google de la page d'audit ne se charge que si vous cliquez sur « Afficher la carte Google » : Google dépose alors ses propres cookies. De même, les vidéos YouTube des pages de contenu ne se chargent que si vous cliquez sur « Regarder » : YouTube (Google) dépose alors ses propres cookies. Vous pouvez changer d'avis à tout moment : .

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

  • Accès : obtenir une copie de vos données
  • Rectification : corriger une donnée inexacte
  • Effacement (« droit à l'oubli ») : supprimer votre compte et vos données depuis votre espace, section « Mon compte »
  • Limitation : suspendre l'utilisation de vos données
  • Portabilité : récupérer vos audits dans un format réutilisable
  • Opposition : refuser un traitement, notamment les emails d'information (lien de désabonnement dans chaque email)
  • Réclamation auprès de la CNIL (autorité française de protection des données)

Pour exercer ces droits : contact@topora.fr. Réponse sous 30 jours maximum (art. 12.3 RGPD).

9. Sécurité

Topora utilise HTTPS sur tout le site, le hachage des mots de passe (bcrypt via Supabase), des règles d'accès par ligne dans la base de données, la signature des notifications Stripe, la vérification anti-robot Cloudflare Turnstile, la limitation du nombre de requêtes, la vérification que le mot de passe choisi n'apparaît pas dans des fuites connues (service Have I Been Pwned : seuls 5 caractères de son empreinte sont transmis, jamais le mot de passe) et une sauvegarde chiffrée de la base chaque semaine.

10. Mineurs

Topora s'adresse aux professionnels et n'est pas destiné aux mineurs. Si vous pensez qu'un mineur a créé un compte, écrivez-nous à contact@topora.fr pour suppression immédiate.