Politique de confidentialité

1. Préambule

La présente Politique de confidentialité (ci-après « Politique ») a pour objet de vous informer sur la manière dont vos données personnelles sont collectées, traitées et protégées dans le cadre de votre utilisation du service NEXCO (ci-après « le Service »), accessible via l'application web.

Cette Politique respecte le Règlement Général sur la Protection des Données (RGPD) du 27 avril 2016 ainsi que la Loi Informatique et Libertés du 6 janvier 1978 modifiée.

2. Responsable du traitement

Le responsable du traitement des données est :

Maxime BLOND, entrepreneur individuel : SIRET 823 771 571 00028
14 chemin de la Butte des trois moulins, 13100 Aix-en-Provence, France
SIRET : 823 771 571 00028
Email : contact@nexgenagency.fr
Téléphone : +33 6 50 47 57 74

3. Données collectées

Dans le cadre de votre utilisation du Service, nous collectons les catégories de données suivantes :

3.1 Données d'identification

Nom, prénom, adresse email professionnelle
Mot de passe (stocké de manière sécurisée et chiffrée via bcrypt)
Nom de votre entreprise et fonction

3.2 Données professionnelles

Informations sur votre entreprise et celles de vos clients (raison sociale, adresse, secteur, charte graphique)
Contenus que vous créez via le Service (textes, images, vidéos générées par IA)
Données de vos campagnes marketing (emails, SMS, posts sociaux)
Statistiques d'utilisation et performances de vos contenus publiés

3.3 Données techniques

Adresse IP, navigateur, système d'exploitation
Logs de connexion et d'utilisation du Service
Cookies techniques nécessaires au fonctionnement du Service

3.4 Données de tiers (réseaux sociaux et plateformes connectées)

Lorsque vous connectez vos comptes Meta (Facebook, Instagram), Google (Google Business Profile, Google Analytics, Google Search Console), ou tout autre partenaire via OAuth, NEXCO accède UNIQUEMENT aux données que vous avez explicitement autorisées (publication de posts, lecture de commentaires, gestion de votre fiche établissement, lecture de vos statistiques de fréquentation, etc.).

Concernant Google Analytics en particulier : NEXCO lit les statistiques d'audience de votre propriété GA4 (visiteurs, pages vues, sources de trafic, appareils) afin de les afficher dans votre tableau de bord « Mon site web », et peut créer pour vous, à votre demande lors de la configuration, une propriété Google Analytics 4 et un flux de données web, puis installer l'identifiant de mesure correspondant sur votre site. NEXCO n'accède qu'aux propriétés Analytics de votre propre compte, jamais à celles de tiers.

Les jetons d'accès (access tokens) sont stockés de manière sécurisée et protégés par Row Level Security (RLS) ainsi que par des restrictions d'accès au niveau des colonnes : ils ne sont accessibles qu'aux traitements serveur autorisés (service interne), ne sont jamais exposés côté client, ni partagés avec des tiers.

4. Finalités du traitement

Vos données sont collectées et traitées pour les finalités suivantes :

Fourniture du Service : génération de contenu IA, publication sur les réseaux sociaux, gestion de votre CRM, envoi d'emails marketing, etc.
Authentification et sécurité : gestion de votre compte, prévention des fraudes
Amélioration du Service : analyse anonymisée de l'utilisation pour améliorer les fonctionnalités IA
Communications : envoi de notifications opérationnelles, support client
Facturation : gestion de votre abonnement et paiements via Stripe
Obligations légales : conservation de certaines données conformément à la loi (notamment fiscales)

5. Bases légales

Conformément au RGPD, nous traitons vos données sur les bases légales suivantes :

Exécution du contrat : pour fournir le Service que vous avez souscrit
Consentement : pour les traitements nécessitant votre accord explicite (cookies non essentiels, communications marketing)
Intérêt légitime : amélioration du Service, sécurité, prévention des fraudes
Obligation légale : conservation des données comptables, lutte anti-blanchiment

6. Sous-traitants et destinataires

Pour fournir le Service, NEXCO fait appel à des sous-traitants techniques rigoureusement sélectionnés :

Supabase (hébergement base de données et authentification) : UE/USA, certifié SOC 2
Lovable (hébergement de l'application) : UE
Anthropic et OpenAI (IA générative pour les contenus) : USA, conforme RGPD via DPA
Resend (envoi d'emails transactionnels) : USA, conforme RGPD
Stripe (paiements) : UE/USA, certifié PCI-DSS niveau 1
Google (Gemini AI, Google Business Profile) : USA, conforme RGPD via DPA
Meta (Facebook, Instagram via API officielle) : USA
Runway (génération vidéo IA) : USA

Tous nos sous-traitants sont soumis à des accords de traitement des données (DPA) garantissant un niveau de protection conforme au RGPD.

7. Transferts hors UE

Certains de nos sous-traitants sont situés aux États-Unis. Les transferts de données vers les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne et, le cas échéant, par le Data Privacy Framework (DPF).

8. Durée de conservation

Données de compte : conservées pendant toute la durée de votre abonnement, puis 3 ans après votre dernière activité
Contenus générés : conservés tant que votre compte est actif, puis supprimés sous 90 jours après suppression du compte
Logs de connexion : 12 mois
Données de facturation : 10 ans (obligation légale comptable)
Tokens OAuth tiers : durée de validité fournie par le partenaire, supprimés à la déconnexion ou suppression du compte

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie
Droit de rectification : corriger des données inexactes ou incomplètes
Droit à l'effacement (droit à l'oubli) : demander la suppression de vos données
Droit à la limitation du traitement
Droit à la portabilité : recevoir vos données dans un format structuré
Droit d'opposition : vous opposer au traitement pour des motifs légitimes
Droit de retirer votre consentement à tout moment
Droit de définir des directives post-mortem sur le sort de vos données

Pour exercer vos droits, contactez-nous à : dpo@nexgenagency.fr. Nous vous répondrons dans un délai maximum de 30 jours.

Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : www.cnil.fr.

10. Sécurité des données

NEXCO met en œuvre des mesures techniques et organisationnelles appropriées :

Chiffrement des données en transit (HTTPS/TLS) et au repos
Authentification sécurisée avec hash bcrypt des mots de passe
Row Level Security (RLS) sur la base de données : chaque utilisateur ne peut accéder qu'à ses propres données
Sauvegardes régulières et chiffrées
Logs d'audit des accès et modifications sensibles
Accès aux données limité aux strictes nécessités opérationnelles

11. Cookies

NEXCO utilise des cookies et traceurs de trois catégories :

Essentiels (toujours actifs) : authentification, sécurité, préférences, nécessaires au fonctionnement, exemptés de consentement.
Analytiques (soumis à consentement) : mesure d'audience anonyme pour améliorer le Service.
Marketing (soumis à consentement) : personnalisation et remarketing.

Les cookies analytiques et marketing ne sont déposés qu'après votre consentement via notre bandeau, et vous pouvez le refuser ou le retirer à tout moment. Voir notre page Cookies pour le détail.

12. Mineurs

Le Service NEXCO n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données de mineurs. Si vous êtes parent ou tuteur et constatez que votre enfant nous a fourni des données personnelles, contactez-nous pour suppression immédiate.

13. Modifications

La présente Politique peut être modifiée. Toute modification substantielle vous sera notifiée par email ou via une notification dans le Service. La date de dernière mise à jour figure en haut de cette page.

14. Contact

Pour toute question relative à cette Politique ou à vos données personnelles :
Email : dpo@nexgenagency.fr
Adresse postale : Maxime BLOND, entrepreneur individuel, SIRET 823 771 571 00028 ; 14 chemin de la Butte des trois moulins, 13100 Aix-en-Provence

15. Conformité à la Google API Services User Data Policy (Limited Use)

L'utilisation et le transfert par NEXCO des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use).

Concrètement :

Nous utilisons les données issues des API Google exclusivement pour fournir et améliorer les fonctionnalités visibles par l'utilisateur au sein de NEXCO (tableau de bord d'audience, gestion de la fiche établissement, suivi du référencement, création de la propriété Analytics).
Nous ne transférons ces données à des tiers que si cela est strictement nécessaire au fonctionnement du Service, pour des raisons de sécurité, ou pour nous conformer à une obligation légale.
Nous n'utilisons jamais les données issues des API Google à des fins publicitaires, de ciblage, de revente ou de courtage de données.
Nous n'autorisons aucune lecture humaine de ces données, sauf accord explicite et préalable de votre part, pour des raisons de sécurité, pour nous conformer à la loi, ou lorsque les données sont agrégées et anonymisées.
Vous pouvez révoquer à tout moment l'accès de NEXCO à votre compte Google depuis la page Paramètres > Comptes de l'application, ou depuis https://myaccount.google.com/permissions. Les jetons correspondants sont alors immédiatement supprimés de nos serveurs.

Pour consulter la politique complète : https://developers.google.com/terms/api-services-user-data-policy