Politique de confidentialité

Politique de confidentialité

Politique de confidentialité de Go Top SEO

Introduction

GO TOP DIGITAL MARKETING AND ADVERTISING LTD (numéro de société 517274346) (« nous », « notre » ou « la société ») exploite le service Go Top SEO sur https://www.gotopseo.com (le « Service »). La présente politique de confidentialité décrit nos pratiques en matière de collecte, d'utilisation et de divulgation des informations personnelles lorsque vous utilisez notre Service.

Informations que nous collectons

Nous collectons différents types d'informations, notamment :

• Informations d'authentification : nom, adresse de courriel, mot de passe (chiffré)
• Informations de profil : détails de l'offre et informations de l'abonnement
• Informations d'entreprise : nom de l'entreprise, domaine, mots-clés, données de positionnement
• Informations techniques : adresse IP, type de navigateur, page de provenance
• Données du compte Google : uniquement si vous décidez de vous connecter avec Google ou de connecter Google Search Console ou Google Business Profile ; voir « Données que nous recevons de Google » plus bas
• Informations sur votre site : pages publiques, robots.txt, le sitemap et llms.txt lus lors de la vérification gratuite du site et de l'analyse d'intégration, et les constats qui en découlent ; voir « Analyse du site » plus bas
• Connexion WordPress : l'adresse du site, la clé de signature de l'extension et, dans une connexion faite avec un nom d'utilisateur et un mot de passe d'application, ces deux éléments aussi (tout étant stocké chiffré), ainsi que le journal des corrections sur le site ; voir « Connexion WordPress » plus bas
• Connexion Shopify : l'adresse de la boutique, l'identifiant de la boutique, les autorisations que vous avez approuvées à l'installation et le jeton d'accès émis par la boutique (stocké chiffré) ; voir « Connexion d'un site sur une autre plateforme » plus bas
• Connexion Wix ou webhook : l'adresse du site ou le point de terminaison que vous avez configuré, et la clé d'API Wix ou le secret de signature (stockés chiffrés et plus jamais affichés après l'enregistrement) ; voir « Connexion d'un site sur une autre plateforme » plus bas
• Une adresse pour le suivi du positionnement local : si vous avez saisi une adresse exacte, elle est stockée avec les coordonnées obtenues ; voir « Conversion d'une adresse en coordonnées » plus bas
• Réseau de liens : votre consentement d'adhésion (qui l'a accepté, quand, le texte et le type de lien) et le journal des placements ; voir « Réseau de liens » plus bas
• Résultats et contenu : résultats des vérifications de visibilité dans l'IA et contenu produit pour vous : sujets, questions et articles
• Photo de l'auteur : une photo que vous envoyez pour un encadré d'auteur, si vous avez choisi de l'afficher ; voir « Une photo d'auteur que vous envoyez » plus bas
• Préférences de courrier électronique : quels messages vous recevez et les désabonnements aux rappels
• Informations de paiement : nous ne stockons pas votre moyen de paiement. Pour les comptes dont l'autorité de facturation est Shopify, y compris les marchands qui ont installé l'application via Shopify, le paiement est traité par Shopify selon Shopify App Pricing, et nous ne les dirigeons jamais vers PayPal. Pour les clients qui se sont inscrits directement sur notre site Web, dont l'autorité de facturation n'est pas Shopify, le paiement est traité par PayPal

Comment nous utilisons vos données

Nous utilisons vos informations pour :

• Fournir le service de suivi du positionnement
• Exécuter des analyses et des vérifications de visibilité dans l'IA, produire du contenu et appliquer les corrections du site que vous approuvez
• Envoyer des rappels et des rapports de progression, et répondre à vos questions
• Authentifier les utilisateurs et administrer les comptes
• Traiter les paiements
• Envoyer des nouveautés et des mises à jour du service
• Améliorer notre service
• Respecter les obligations légales

Partage des informations

Nous ne partageons pas vos informations personnelles avec des tiers, sauf avec :

• Shopify : pour le traitement des paiements des comptes facturés via Shopify App Pricing, et pour publier du contenu dans une boutique connectée
• PayPal : pour le traitement des paiements, uniquement des clients facturés via le site Web
• Creem : pour le traitement des paiements, lorsque le paiement d'un compte passe par lui. À l'ouverture d'un paiement, nous lui envoyons l'adresse de courriel du compte, l'identifiant de l'offre choisie et notre propre référence de cette demande, et nous recevons un identifiant de client dans son système, un identifiant d'offre, l'état de l'abonnement et les dates de la période de facturation. Les données de la carte, et tout autre moyen de paiement, ne parviennent jamais jusqu'à nous, à aucun moment
• Supabase : pour le stockage sécurisé des données
• Serper : pour les requêtes de recherche Google et les vérifications de positionnement
• Resend : pour l'envoi de courrier électronique ; voir « Messages de courrier électronique » plus bas
• Vercel : pour l'hébergement du site et du Service
• Google (API Gemini, Search Console, Business Profile, API Google Ads) : notre fournisseur d'IA pour produire du texte et des images, les connexions que vous décidez d'établir, et l'API Google Ads, à laquelle nous envoyons des mots-clés pour obtenir des volumes de recherche et d'autres idées de mots-clés. Cette interface est un compte de la Société et non un compte publicitaire qui serait le vôtre ; nous n'exécutons pas de campagnes en votre nom ; voir « Fournisseurs d'IA » et « Données que nous recevons de Google » plus bas
• Wix : uniquement si vous avez connecté un site Wix, pour lire le contenu du site et publier des articles sur son blog
• Le point de terminaison que vous avez configuré (webhook) : uniquement si vous avez connecté un site d'une autre plateforme ; l'article est envoyé à l'adresse que vous avez indiquée, dans une requête signée
• PDFShift : pour convertir un rapport en PDF, et seulement lorsque vous avez demandé à le télécharger. Nous envoyons le contenu du rapport tel qu'il est affiché pour recevoir en retour le fichier PDF
• OpenStreetMap (Nominatim) : pour convertir une adresse en coordonnées, et seulement lorsque vous avez saisi une adresse exacte pour le suivi du positionnement local. Sont envoyés l'adresse que vous avez saisie et le nom du pays, jamais de données du compte
• ScrapeLLM : pour le suivi de la visibilité dans l'IA ; voir « Fournisseurs d'IA » plus bas
• D'autres sites du réseau de liens : uniquement si vous avez rejoint le réseau ; voir « Réseau de liens » plus bas
• Meta (Facebook / Instagram) : pour la publicité ciblée et pour un rapport d'inscription terminée envoyé depuis notre serveur ; voir la section Publicité sur Meta plus bas. À l'égard de ces événements de conversion, Meta ne traite pas les données pour notre compte : elle est responsable conjointe du traitement avec nous, comme expliqué dans cette section. Les données que nous recevons des API de Google ne sont jamais partagées avec Meta ni utilisées pour de la publicité
• Lorsque la loi l'exige

Données que nous recevons de Google

Go Top SEO peut se connecter à votre compte Google de trois manières facultatives. Chacune demande sa propre autorisation sur l'écran de consentement de Google, et nous ne demandons que les accès décrits ici.

Connexion avec Google

Si vous choisissez « Continuer avec Google », Google nous communique votre nom, votre adresse de courriel et votre photo de profil par l'intermédiaire de Supabase Auth. Nous ne les utilisons que pour créer votre compte et pour ouvrir votre session.

Google Search Console

Autorisation : accès en lecture seule à Search Console (webmasters.readonly). Nous ne demandons jamais l'autorisation de modifier quoi que ce soit dans votre compte Search Console.

• Ce que nous lisons : la liste des propriétés Search Console auxquelles votre compte Google peut accéder, pour que vous puissiez en choisir une par projet ; et, pour la propriété que vous choisissez, ses données de performance de recherche : requêtes de recherche et pages avec leurs clics, impressions, taux de clics et position moyenne, ainsi que les totaux de la propriété.
• Ce que nous stockons : la propriété affectée à chaque projet et votre niveau d'autorisation sur elle, et les données de performance de chaque synchronisation (les 28 et 90 derniers jours). Les données sont synchronisées lorsque vous cliquez sur synchroniser et automatiquement environ une fois par semaine.
• Comment nous les utilisons : pour vous montrer la performance de recherche de votre site, pour trouver des occasions de contenu, pour inclure des chiffres de recherche dans vos rapports et pour suggérer des sujets d'articles. Pour les suggestions de sujets, les requêtes de recherche issues de ces données peuvent être envoyées au modèle Gemini de Google (voir « Fournisseurs d'IA » plus bas).

Google Business Profile (posts sur Google Maps)

Autorisation : business.manage, demandée dans un consentement distinct uniquement lorsque vous connectez cette fonction. Google ne propose pas d'autorisation plus limitée permettant de créer des posts.

• Ce que nous lisons : les comptes Business Profile que vous administrez et leurs établissements : nom de l'entreprise, adresse, site Web et lien Google Maps.
• Ce que nous stockons : l'établissement que vous choisissez pour un projet (ses identifiants Google, nom, adresse, site Web et lien Maps), et chaque post que vous créez : son texte, son bouton, sa photo, son heure programmée, ainsi que l'identifiant, le lien et l'état de vérification du post chez Google.
• Ce que nous en faisons : nous créons un post lorsque vous cliquez sur publier, à l'heure que vous avez programmée, ou — si vous avez activé la publication automatique — à chaque fois que le système publie un article sur votre site, puis nous relisons ce post depuis Google pour vous montrer s'il est actif. Nous ne modifions pas les informations de votre entreprise.
• Publication automatique : désactivée par défaut. Si vous l'avez activée, chaque article que le système publie sur votre site est également publié comme post sur la fiche de votre entreprise, sans que vous le lisiez avant. Ce qui est envoyé au modèle, c'est le nom de l'entreprise, le titre de l'article et son résumé, sans aucun nom de personne. Une publication automatique est rédigée dans la langue du projet. Vous pouvez la désactiver à tout moment, et elle se désactive d'elle-même si vous changez l'entreprise à laquelle le projet est connecté.
• Avis : lorsque vous ouvrez l'écran des avis, nous lisons depuis Google les avis de votre entreprise : le nom affiché de l'auteur (ou « anonyme »), la note, le texte, les dates et la réponse existante s'il y en a une. Nous ne stockons aucun contenu d'avis : ni le texte, ni le nom de l'auteur, ni la note, ni la réponse. Nous ne conservons que deux horodatages, pour pouvoir signaler un avis que vous n'avez pas encore vu. La photo de profil de l'auteur n'est pas lue.
• Répondre à un avis : une réponse est publiée en votre nom uniquement après que vous l'avez écrite ou approuvée et que vous avez cliqué sur envoyer, et elle est publique : elle apparaît sur la fiche de votre entreprise chez Google et n'importe qui peut la voir. Vous pouvez la modifier ou la supprimer depuis le même écran. Google peut retirer une réponse conformément à ses propres politiques de contenu, et cela n'est pas sous notre contrôle.
• Brouillons d'IA : si vous demandez un brouillon, le nom de l'entreprise et l'article ou le sujet que vous avez choisi sont envoyés au modèle Gemini de Google. Si vous demandez un brouillon de réponse à un avis, le texte de l'avis et sa note sont envoyés aussi, sans le nom de l'auteur. Un brouillon que vous avez demandé n'est pas publié avant que vous ne le relisiez et ne cliquiez sur publier. La seule chose qui est publiée sans être lue est un post créé par la publication automatique, si vous l'avez activée.
• Une photo créée par IA pour un post : si vous demandez une photo pour un post écrit à partir d'un sujet, seul le sujet que vous avez saisi est envoyé au modèle Gemini de Google, sans le nom de l'entreprise et sans le nom d'aucune personne. La photo revient sur votre écran, et nous ne la conservons pas avant que vous ne la choisissiez et ne publiiez le post.

Usage limité

L'usage et le transfert par Go Top SEO vers toute autre application des informations reçues des API de Google respecteront la Google API Services User Data Policy, y compris ses exigences d'usage limité. En particulier :

• Nous utilisons les données utilisateur de Google uniquement pour fournir les fonctions décrites ci-dessus, que vous voyez et utilisez dans l'application.
• Nous ne vendons pas les données utilisateur de Google, et nous ne les utilisons ni ne les transférons pour de la publicité, y compris le reciblage et les annonces personnalisées ou basées sur les centres d'intérêt.
• Nous n'utilisons pas les données utilisateur de Google pour développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique à caractère général. Nous en envoyons des parties à un fournisseur d'IA uniquement pour produire le résultat que vous avez demandé, comme décrit dans « Fournisseurs d'IA » plus bas.
• Nous ne permettons pas à des personnes de lire ces données, sauf si vous nous en donnez l'autorisation (par exemple lorsque vous demandez de l'assistance), si cela est nécessaire pour des raisons de sécurité, comme l'enquête sur un abus, si cela est nécessaire pour respecter la loi applicable, ou si les données sont agrégées et anonymisées pour des opérations internes.

Comment nous protégeons les données de Google

• Les jetons d'actualisation Google OAuth qui nous permettent d'accéder à Search Console et à Business Profile sont chiffrés en AES-256-GCM avant stockage, et déchiffrés uniquement sur nos serveurs au moment de leur usage. Nous ne stockons pas de jetons d'accès.
• Les données de Google sont stockées dans notre base de données Supabase, et l'application ne les montre qu'à votre propre compte.

Déconnexion, conservation et suppression

• Search Console : « Déconnecter la propriété du projet » retire la propriété de ce projet et arrête sa synchronisation. « Révoquer l'accès de Google pour tout le compte » est disponible lorsqu'aucun projet n'utilise la connexion : cela demande à Google de révoquer notre accès et supprime le jeton stocké. Dans les deux cas, les données déjà synchronisées sont conservées.
• Business Profile : « Déconnecter » demande à Google de révoquer notre accès et supprime le jeton stocké ainsi que l'établissement enregistré. Votre historique de posts reste dans l'application, et les posts déjà publiés restent chez Google jusqu'à ce que vous les y supprimiez.
• Conservation : les données synchronisées de Search Console et votre historique de posts sont conservés tant que votre compte existe, sauf si vous nous demandez de les supprimer.
• Suppression : pour supprimer votre compte ou les données de Google stockées avec lui, écrivez-nous à oren@gotop.co.il.
• Révocation de l'accès chez Google : vous pouvez aussi retirer notre accès à tout moment sur myaccount.google.com/permissions. Après cela, nous ne pourrons plus lire ni publier dans votre compte Google. Les données que nous avons déjà stockées restent jusqu'à ce que vous vous déconnectiez dans l'application ou que vous nous demandiez de les supprimer.

Analyse du site (vérification gratuite et analyse d'intégration)

Lors de la vérification gratuite du site, que vous pouvez lancer avant de vous inscrire, et lors de l'analyse d'intégration qui suit la création d'un projet, nous accédons à l'adresse du site que vous avez saisie et nous lisons ses pages publiques, ainsi que ses fichiers robots.txt, sitemap et llms.txt. La lecture se fait sans connexion, sans cookies et sans accès à des zones protégées, et l'analyse d'intégration ne lit une page que si robots.txt l'autorise.

• Ce que nous stockons : l'adresse du site, les constats tirés des pages (comme les titres, les descriptions, la structure du site et les signaux SEO), et un résumé de l'entreprise produit à partir d'eux. Le résultat d'une vérification gratuite est également stocké pour pouvoir être affiché de nouveau et pour limiter l'usage abusif de la vérification.
• Comment nous les utilisons : pour vous montrer les constats, pour adapter le Service à votre site et pour suggérer des sujets et des corrections. Une partie du texte peut être envoyée au modèle Gemini de Google pour produire le résumé (voir « Fournisseurs d'IA »).
• Suppression : vous pouvez nous écrire pour demander la suppression des résultats stockés.

Connexion WordPress et l'extension GO TOP SEO Bridge

Il y a deux façons de connecter un site WordPress, et ce que nous stockons dépend de celle que vous utilisez. Si vous connectez avec un nom d'utilisateur et un mot de passe d'application, nous stockons l'adresse du site, ces deux éléments et la clé de signature qui authentifie les requêtes entre nous et l'extension. Si vous connectez avec un code d'appairage de l'extension elle-même, l'adresse du site et cette clé de signature sont tout ce que nous stockons, et il ne reste aucun mot de passe de votre part dans nos enregistrements. Tout ce qui est stocké est chiffré et n'est déchiffré que sur nos serveurs au moment de son usage.

Ce que l'extension GO TOP SEO Bridge fait sur le site, avec votre consentement, est ceci et rien d'autre :

• Les corrections que vous approuvez, une par une, issues d'une liste fermée : titre SEO, méta-description, adresse canonique, expression clé principale, texte alternatif d'images, un bloc de questions fréquentes, schéma JSON-LD, liens internes, réparation de liens cassés, rétrogradation d'un titre H1 en double et création de llms.txt. Si vous avez activé l'approbation automatique pour les trois types de correction décrits dans les Conditions d'utilisation, les corrections de ces types sont appliquées sans vous demander chaque fois.
• Les articles que vous publiez. Un article que vous approuvez dans GO TOP est créé comme un post sur votre site, avec l'auteur que vous y choisissez, ou avec un autre auteur que vous choisissez pour cet article parmi les personnes autorisées à publier sur le site. La publication peut être programmée à une date future, et un second post, distinct, peut être créé pour le même article. Si GO TOP a enregistré un post précis de votre site pour un article, l'extension peut mettre à jour ce post même lorsque ce n'est pas elle qui l'a créé, par exemple un post que GO TOP a publié auparavant avec le mot de passe d'application. Ce post est toujours un post que GO TOP a publié lui-même, et cela ne s'applique qu'à l'unique post enregistré pour cet article, jamais à un autre post, à une page, à un post à la corbeille ni à un post qui appartient à un autre article. La publication elle-même écrit en outre le titre SEO, la méta-description, l'expression clé principale et le schéma JSON-LD de cet article, par la même route signée et sans approbation séparée pour chacun, parce qu'ils font partie de la publication que vous avez approuvée. Si un article que nous avons publié pour vous reste sans titre SEO ou sans méta-description, nous pouvons compléter plus tard le champ manquant sur ce même article, par la même route signée et sans approbation supplémentaire, comme achèvement de cette publication. Cet achèvement ne remplace jamais une valeur existante et ne s'applique qu'aux articles que le Service lui-même a publiés, et nous ne touchons pas à d'autres pages ni à d'autres champs.
• Les images de ces articles. Votre site les télécharge depuis notre stockage de fichiers vers sa propre bibliothèque de médias et, à partir de ce moment, ce sont des fichiers de votre site. Votre site ne les accepte que depuis notre adresse de stockage et refuse toute autre.
• La lecture de ce qui se trouve sur le site, pour pouvoir vous montrer une page et ce qu'une correction changerait, construire l'index des contenus, suivre les liens internes et composer le plan du site. L'extension nous renvoie : le contenu d'un post ou d'une page précis, c'est-à-dire son titre, son adresse, son contenu tel que WordPress l'affiche, ses titres et ses champs SEO ; la liste des posts et des pages publiés du site, chacun avec son identifiant, son type, son adresse, son slug, son titre, sa date de publication, sa date de dernière modification et l'expression clé principale enregistrée pour lui dans l'extension SEO, sans inclure aucun post ou page non publié ou protégé par mot de passe et sans jamais inclure les produits ; les catégories, les étiquettes et les catégories de produits, avec leur nom, leur slug, leur adresse et leur nombre d'éléments ; et les résultats d'un mot cherché dans les posts et les pages publiés, avec l'adresse et le titre de chacun, ce qui est la façon dont nous trouvons la page vers laquelle un lien interne doit pointer.
• Qui est autorisé à publier sur le site, pour que vous puissiez choisir sous quel nom un article est publié : l'extension nous renvoie l'identifiant et le nom affiché de chaque utilisateur autorisé à publier des posts, ainsi que l'identifiant de l'auteur par défaut. Nous ne recevons pas leur adresse de courriel, leur nom d'utilisateur, leurs rôles ni aucune autre donnée à leur sujet, et la liste ne sert qu'à choisir un auteur.
• La bibliothèque de médias. Nous pouvons demander à votre site de chercher une image par un mot de son nom de fichier, de son titre ou de son slug, et il répond, pour chaque image trouvée, avec son identifiant, l'adresse du fichier et de ses copies redimensionnées, son texte alternatif et son titre. Lorsque vous approuvez une correction de texte alternatif pour une telle image, l'extension l'écrit sur l'image elle-même dans la bibliothèque de médias, et annuler la correction efface ce qui a été écrit. Nous ne touchons pas au fichier de l'image, à son nom ni à sa légende.
• Ce qui nécessite un mot de passe d'application. Depuis la version 3.1.0 de l'extension, rien ne le nécessite : tout ce qui est décrit ici passe par l'extension. Il existe un cas dans lequel un mot de passe d'application que nous conservons d'une connexion antérieure continue d'être utilisé bien que l'extension soit installée : lorsque l'extension refuse de mettre à jour le post enregistré pour un article parce que ce n'est pas un post qu'elle peut adopter, nous mettons ce post à jour avec le mot de passe d'application, et si nous n'avons pas ce mot de passe la mise à jour n'a pas lieu. Sur un site avec une version antérieure de l'extension, forcer un nouveau post, la publication programmée, ainsi que le parcours des posts existants du site et la mise à jour de son index continuent de se faire avec le mot de passe d'application, et si nous n'avons pas ce mot de passe ces actions n'ont pas lieu et vous en êtes informé, plutôt que nous n'essayions une autre voie.

Sur un site sans l'extension, les corrections que l'interface REST de WordPress permet sont écrites avec le mot de passe d'application que nous avons stocké, avec les mêmes approbations et dans le même journal. Le texte alternatif d'une image que la page affiche hors de son propre texte est écrit sur l'image elle-même dans la bibliothèque de médias, par l'extension lorsqu'elle est installée ou avec le mot de passe d'application sur un site sans elle, de sorte qu'il s'applique à toutes les pages qui l'affichent ; nous ne touchons pas au fichier de l'image, à son nom ni à sa légende.

• Journal des corrections : chaque correction est enregistrée dans notre journal avec qui l'a approuvée, l'heure à laquelle elle a été appliquée, l'adresse IP depuis laquelle l'approbation a été donnée et la valeur précédente et la nouvelle, afin qu'elle puisse être montrée et annulée et que nous ayons la preuve que l'écriture sur le site a été faite avec votre approbation. Le journal est conservé tant que le projet existe.
• Approbation automatique des corrections : si vous avez activé l'approbation automatique dans un projet, pour les trois types de correction décrits dans les Conditions d'utilisation, nous conservons un enregistrement distinct de cette activation : qui l'a activée, quand, l'adresse IP depuis laquelle elle a été activée et, après la désactivation, qui l'a désactivée et quand. Une correction appliquée sous approbation automatique est enregistrée dans l'historique des corrections avec le moment où elle a été appliquée, la personne qui a activé l'approbation et l'adresse IP enregistrée au moment de l'activation, et elle est marquée comme correction automatique. Au moment d'appliquer la correction, nous ne lisons ni ne stockons aucune nouvelle adresse IP, parce qu'aucune personne n'a agi alors et que nous n'en avons pas besoin. Un résumé des corrections automatiques est affiché sur l'écran de santé du site et nous n'envoyons aucun courrier électronique à ce sujet. Les enregistrements sont conservés tant que le projet existe.
• Déconnexion et suppression : « Déconnecter » supprime les données de connexion stockées et la clé de signature, après quoi nous ne pouvons plus accéder au site. Vous pouvez aussi supprimer l'extension depuis l'administration de WordPress à tout moment. Les corrections déjà appliquées restent sur le site, sauf si vous les avez annulées.
• Ce que nous ne faisons pas : nous ne supprimons pas de contenu, et nous ne touchons pas aux prix, aux produits, au thème, aux autres extensions, aux réglages ni aux utilisateurs de votre site.

Connexion d'un site sur une autre plateforme

Outre WordPress, vous pouvez connecter une boutique Shopify, un site Wix ou un site de toute autre plateforme au moyen d'un point de terminaison que vous configurez. Chaque connexion est facultative et c'est vous qui la faites.

• Shopify : en installant l'application sur votre boutique, vous nous permettez de lire le contenu, les produits et les pages de la boutique, et de publier des articles sur le blog de la boutique, dans les limites des autorisations que vous avez approuvées à l'installation. Avec votre approbation de chaque correction, nous écrivons des corrections du site dans les articles et les pages de la boutique. L'approbation elle-même est enregistrée dans un historique : qui l'a approuvée, quand, l'adresse IP depuis laquelle l'approbation a été donnée et la valeur précédente et la nouvelle, afin que nous puissions vous montrer ce qui a été fait, qu'une correction puisse être annulée et que nous ayons la preuve que l'écriture dans votre boutique a été faite avec votre approbation. L'historique est conservé tant que le projet existe. Le jeton d'accès de la boutique est stocké chiffré. Retirer l'application de la boutique révoque l'accès.
• Wix : la connexion utilise une clé d'API que vous émettez dans votre propre compte, et elle sert à lire le contenu du site et à publier des articles sur son blog. Nous envoyons à Wix le contenu de l'article et ses détails de publication, et aucune autre donnée du compte. La clé est stockée chiffrée, elle n'est plus affichée après l'enregistrement et elle est supprimée lorsque vous vous déconnectez. Vous pouvez la révoquer chez Wix à tout moment.
• Webhook : le Service envoie l'article au point de terminaison que vous avez configuré, dans une requête signée. Le point de terminaison est le vôtre, de sorte que ce qu'il advient de l'article une fois arrivé reste sous votre contrôle. Le secret de signature est stocké chiffré, il n'est plus affiché après l'enregistrement et il est supprimé lorsque vous vous déconnectez.
• Erreurs : si la publication échoue, nous ne stockons qu'un code d'erreur interne. Nous ne stockons ni n'affichons le texte d'erreur du fournisseur lui-même ni celui de votre serveur.

Conversion d'une adresse en coordonnées

Pour suivre le positionnement depuis un point exact, vous pouvez saisir une adresse au lieu de coordonnées. Lorsque vous le faites, nous envoyons l'adresse que vous avez saisie et le nom du pays du projet au service Nominatim d'OpenStreetMap pour obtenir les coordonnées. Nous n'envoyons pas votre nom, votre adresse de courriel ni aucune autre donnée du compte. L'adresse et les coordonnées obtenues sont stockées chez nous comme définition de la cible de suivi, et vous pouvez les modifier ou les supprimer dans les réglages de la cible. OpenStreetMap est exploité par la OpenStreetMap Foundation, et le service Nominatim a sa propre politique d'usage et de confidentialité.

Conversion d'un rapport en PDF

Lorsque vous demandez à télécharger un rapport en PDF, nous envoyons le contenu du rapport tel qu'il est affiché au service PDFShift, qui nous renvoie le fichier. Cela ne se produit que lorsque vous avez cliqué pour télécharger un rapport, jamais de façon habituelle ni programmée, et le contenu n'est envoyé que pour la conversion.

Avec PDFShift, nous avons un accord de traitement des données au titre de l'article 28 du RGPD. Selon son annexe, le contenu que nous envoyons est traité en mémoire pendant la durée de la conversion seulement et il n'est pas conservé ensuite. PDFShift propose un stockage facultatif du fichier produit, et nous ne le demandons pas. Ses serveurs et son stockage sont en France, et son service de supervision des erreurs est aux États-Unis, sous le couvert du cadre de protection des données UE–États-Unis et des clauses contractuelles types.

Réseau de liens

Rejoindre le réseau de liens est facultatif, se fait pour chaque projet séparément et est désactivé par défaut. Qui adhère accepte les deux sens : qu'un lien de ses articles puisse pointer vers le site d'un autre membre du réseau, et que des liens vers son site puissent être placés dans les articles d'autres membres. Une boutique Shopify connectée peut aussi la rejoindre, et les liens sont placés uniquement à l'intérieur des articles que le Service rédige et publie sur le blog de la boutique. Dans une telle boutique, la propriété du domaine est tirée de la connexion elle-même : l'adresse myshopify de la boutique et son domaine principal, tels que Shopify les a communiqués à l'installation.

• Ce que nous stockons : qui a accepté l'adhésion, quand, le texte des conditions acceptées et le type de lien, et chaque placement effectué, des deux côtés.
• Ce qu'un autre membre voit : la Société ne publie pas de liste de membres. La partie réceptrice voit l'adresse du site qui la lie et, une fois publié, la page où le lien est apparu. Un lien publié est un lien public sur le site.
• Sortie : vous pouvez quitter le réseau à tout moment. À la sortie, les nouveaux placements s'arrêtent ; les liens déjà publiés restent sauf si vous les retirez de votre site, et les placements restent dans le journal.

Programme de Partenaires

Le programme de partenaires s'adresse à qui recommande le Service et reçoit une commission pour les clients qui arrivent par lui. La participation est volontaire, chaque demande est examinée par une personne, et rien de ce qui est décrit ici ne vous concerne sauf si vous déposez une demande.

• Lorsque vous déposez une demande : la demande nous parvient depuis ce site, par courriel ou par le formulaire de candidature, et ce que nous recevons est ce que vous y avez rempli : votre nom, votre adresse de courriel, une description du public auprès duquel vous comptez promouvoir et, facultativement, un téléphone, un site Web et un pays. À ce stade, nous ne demandons aucune information de paiement, parce que nous ne voulons pas conserver les coordonnées bancaires de quelqu'un que nous refuserons peut-être. Lorsque la demande arrive par le formulaire, nous enregistrons en outre l'adresse IP depuis laquelle elle a été envoyée, avec deux finalités et aucune autre : distinguer une vague de demandes falsifiées d'une véritable agence, et limiter à trois demandes par heure depuis une même adresse. Elle ne peut pas être modifiée une fois enregistrée. Une demande refusée est supprimée en totalité au bout de 12 mois et, dans tout autre cas, l'adresse IP est supprimée au bout de 12 mois et l'enregistrement lui-même est conservé.
• Pendant que vous êtes partenaire : nous stockons vos coordonnées, votre code de recommandation, les informations de paiement que vous nous fournissez, le nombre de clics sur votre lien sous la forme d'un unique total quotidien, les comptes ouverts par lui, les paiements qui ouvrent droit à commission et la commission calculée sur eux, les paiements que nous vous faisons, ainsi que les factures et les attestations fiscales que la loi nous oblige à conserver. Une recommandation peut porter une marque de vérification humaine : lorsque l'adresse de courriel de votre demande est la même que celle qui a ouvert le compte, ou lorsque le nouveau compte est sur le domaine de votre propre site Web. Cette marque demande qu'une personne vérifie avant d'approuver une commission ; à elle seule, elle ne bloque rien.
• Ce qu'un partenaire voit sur les personnes qu'il a recommandées : rien de personnel. Un partenaire voit des quantités et des montants. Un partenaire ne reçoit pas l'adresse de courriel, le site Web, l'offre ni l'identité d'un client qu'il a recommandé.
• Paiement de la commission : le prestataire que le partenaire choisit (PayPal, Wise ou virement bancaire) reçoit les données qui lui sont nécessaires pour payer. Les factures et les attestations de retenue sont conservées sept ans, comme l'exigent les règles comptables israéliennes.
• Attribution d'une recommandation : le code du partenaire voyage dans le lien lui-même. Nous ne déposons aucun cookie pour le programme et nous n'enregistrons rien sur votre appareil, de sorte que ce que vous choisissez au sujet des cookies n'a d'influence ni dans un sens ni dans l'autre. Si nous créditions un jour une visite qui revient plus tard, ce qui impliquerait d'enregistrer quelque chose, la présente politique le dira et votre consentement vous sera demandé avant. Ce qui est enregistré lorsqu'un visiteur suit le lien d'un partenaire est un comptage : un de plus dans le total quotidien de ce partenaire, et c'est là tout l'enregistrement : sans adresse IP, sans navigateur, sans le site d'où vous êtes venu et sans aucun identifiant. L'attribution elle-même se fait avec le code qui voyage dans l'adresse de la page, lu une seule fois au moment où le compte est créé.

À la date de la présente politique, le programme fonctionne ainsi : la demande est envoyée depuis ce site, par courriel ou dans le formulaire, et elle est approuvée par une personne ; un partenaire approuvé a un code et un lien ; les clics sont comptés comme un total quotidien par partenaire ; un nouveau compte qui s'inscrit avec un code est attribué à ce partenaire une fois et pour toujours ; la commission est enregistrée sur chaque paiement effectivement reçu, retenue 30 jours, ce qui est la fenêtre de remboursement, et approuvée par une personne ; et le paiement lui-même est effectué à la main contre un justificatif. Un client facturé via Shopify ne génère pas de commission automatique, parce que Shopify nous indique qu'une offre est active et non qu'un prélèvement a eu lieu ; cette commission est enregistrée à la main, au même pourcentage. Les conditions figurent dans le Contrat du Programme de Partenaires, qui oblige en outre le partenaire à déclarer ouvertement qu'il est rémunéré.

Une photo d'auteur que vous envoyez

Si vous envoyez une photo pour un encadré d'auteur, le fichier est conservé dans un stockage dédié qui nous est propre tant que la photo est configurée sur le projet. Son chemin est composé de l'identifiant du projet et d'un identifiant aléatoire, et jamais du nom d'une personne. Nous ne publions pas notre copie et l'article ne pointe pas vers elle.

À la publication de l'article, la photo est copiée dans la bibliothèque de médias de votre site et l'article pointe vers cette copie. À partir de ce moment, la photo est visible par quiconque visite votre site, comme toute autre image d'un article. L'envoi n'est proposé que dans un projet où cette copie peut être faite.

La photo n'est envoyée à aucun fournisseur d'IA, elle n'est pas utilisée pour entraîner des modèles et nous n'exécutons sur elle ni reconnaissance faciale ni aucun autre traitement biométrique.

En supprimant la photo, ou en passant à aucune photo ou à l'icône du site, on efface le fichier de notre stockage. Désactiver tout l'encadré d'auteur n'efface pas la photo : elle est conservée jusqu'à ce que vous la supprimiez ou que vous choisissiez une autre option. Une copie déjà placée sur votre site n'est pas sous notre contrôle, et seul celui qui administre ce site peut l'y supprimer.

À l'égard de la personne qui apparaît sur la photo, c'est le client qui l'a envoyée qui décide de l'usage qui en est fait, et nous traitons le fichier pour son compte. Si vous êtes la personne de la photo et non le client qui l'a envoyée, écrivez-nous à l'adresse qui figure à la fin de la présente politique : nous effacerons le fichier de notre stockage et nous nous adresserons au client pour qu'il retire la copie du site, mais nous ne pouvons pas supprimer nous-mêmes du contenu sur le site d'un client.

Fournisseurs d'IA

Certaines fonctions envoient des données aux services d'IA suivants pour produire le résultat que vous avez demandé :

• Google Gemini (API Gemini) : produit des idées de sujets d'articles, des questions, des articles, des images et des brouillons de posts Google Business Profile. Nous envoyons les données dont une requête a besoin, comme le nom de votre entreprise, votre site Web, vos mots-clés et sujets et, comme décrit plus haut, les requêtes de recherche de Search Console et le nom de votre Business Profile.
• ScrapeLLM : pour le suivi de la visibilité dans l'IA, il envoie des questions construites à partir du nom de votre entreprise, de son emplacement et des mots-clés suivis à des assistants d'IA (ChatGPT, Perplexity, Gemini, Microsoft Copilot, Grok et Google AI Mode) et nous renvoie leurs réponses. Il ne reçoit pas de données de votre compte Google. Outre les vérifications que vous lancez, une vérification automatique une fois par mois est exécutée pour le projet ; elle est imputée à la limite de vérifications de votre offre et peut être désactivée sur l'écran « Visibilité dans l'IA », dans la carte « Vérification automatique mensuelle ».

Messages de courrier électronique

Nous envoyons du courrier électronique par l'intermédiaire du prestataire d'envoi Resend, qui reçoit votre adresse de courriel et le contenu du message pour pouvoir le remettre.

• Messages de compte et de service : inscription, vérification, facturation et nouveautés sur l'usage du Service.
• Rappels : lorsque du contenu attend votre approbation, un rappel peut être envoyé. Chaque rappel comporte un lien de désabonnement en un clic, sans connexion nécessaire, et le désabonnement arrête ces rappels. Votre préférence est stockée chez nous.
• Courriels de mise en route : si vous avez ouvert un projet et que vous ne lui avez pas connecté de site, ou que vous l'avez connecté et que rien n'y a été publié, nous pouvons envoyer jusqu'à deux courriels qui expliquent comment terminer l'étape et qui pointent vers l'écran correspondant de l'application. Ils ne comportent ni offre, ni prix, ni remise, ni montée en offre : ils comportent un lien vers le guide dans l'application, le numéro WhatsApp et un lien de désabonnement. Un troisième n'est pas envoyé, et nous n'envoyons pas plus d'un courriel au sujet du même projet en 72 heures.
• Résumé hebdomadaire : un résumé du projet, pour les projets où vous l'avez activé dans les réglages. Le résumé est envoyé le dimanche matin, et uniquement lorsqu'il y a quelque chose à raconter ; une semaine où rien ne s'est passé ne donne pas lieu à un courriel. Une section que nous n'avons pas pu lire est omise du courriel au lieu d'être rapportée comme un zéro, de sorte que le courriel n'indique jamais un chiffre que nous n'avons pas mesuré.

Se désabonner, avec la portée que vous avez demandée. Le lien de désabonnement d'un courriel de mise en route n'arrête que ces courriels, et la page vers laquelle il mène vous dit clairement que les rappels et le résumé hebdomadaire continuent d'arriver, et offre un seul clic pour les arrêter aussi. Le lien de désabonnement d'un rappel ou du résumé hebdomadaire arrête tous les courriels au sujet de ce projet. Réactiver l'interrupteur de courriel du projet dans les réglages annule l'un ou l'autre de ces désabonnements, de sorte que l'interrupteur que vous voyez dans les réglages est le tableau complet.

Nous ne mesurons pas ce que vous avez fait du courriel. Nos messages ne comportent aucun pixel qui signale une ouverture, nous ne suivons pas les clics et nous ne réécrivons pas les liens qu'ils contiennent pour vous faire passer par nous.

Comment nous pouvons vous contacter à la suite d'une vérification gratuite

Si vous avez lancé une vérification gratuite d'un site Web, nous pouvons vous contacter à la suite de celle-ci. Par courriel, seulement à l'adresse que vous nous avez donnée et seulement dans la mesure où les cases que vous avez cochées le permettent : le rapport que vous avez demandé, et des nouveautés ou du contenu commercial uniquement si vous les avez acceptés dans leur propre case séparée.

Nous pouvons aussi contacter l'entreprise dont le site Web a été vérifié, avec les coordonnées que cette entreprise publie sur son propre site : un numéro de téléphone ou une adresse générale. Nous le faisons au titre de notre intérêt légitime à proposer un service à une entreprise qui semble correspondre (article 6.1.f du RGPD), et non au titre de votre consentement, et ces données proviennent du site lui-même et non de quoi que ce soit que vous nous auriez donné. Quand nous appelons, nous disons qui nous sommes et d'où nous tenons le numéro.

Vous pouvez nous demander d'arrêter à tout moment et par n'importe quel canal, et nous arrêtons : par courriel, par téléphone, dans n'importe quelle langue. Pour la prospection directe, c'est un droit absolu (article 21.2 du RGPD), cela ne vous coûte rien, et nous l'enregistrons pour qu'une liste ultérieure ne le défasse pas.

Sécurité des données

Nous utilisons le chiffrement SSL/TLS pour toutes les communications. Vos mots de passe sont stockés chiffrés au moyen de Supabase Auth. Nous maintenons des standards élevés de sécurité des données, mais nous ne pouvons pas garantir une sécurité de 100 %.

Vos droits

Conformément à la législation applicable en matière de vie privée, vous avez le droit de :

• Accéder à vos données personnelles
• Corriger les données inexactes
• Supprimer votre compte
• Vous opposer à certains traitements
• Demander la portabilité des données

Pour exercer ces droits, contactez-nous à :

Courriel : oren@gotop.co.il

Téléphone : 054-9489377

Cookies

Nous classons les cookies en trois catégories, et nous vous consultons sur deux d'entre elles avant leur chargement :

• Strictement nécessaires : connexion, mémorisation de la langue de votre interface, sécurité et prévention des abus. Le service ne peut pas fonctionner sans eux, ils ne nécessitent donc pas de consentement.
• Mesure : combien de personnes ont visité le site, quelles pages elles ont lues et ce qui n'a pas fonctionné. Ils ne sont chargés que si vous l'autorisez.
• Marketing : mesurer la performance de nos annonces et montrer des annonces pertinentes sur les réseaux de Google et de Meta. Ils ne sont chargés que si vous l'autorisez. Autoriser cette catégorie vaut aussi pour un rapport de conversion que nous envoyons à Meta depuis notre serveur, sans aucun cookie ; voir la section Publicité sur Meta.

Avant que vous ne choisissiez, aucun cookie de mesure ni de marketing n'est déposé et aucune requête n'est faite vers les serveurs de Google. Accepter et refuser sont deux boutons identiques dans le bandeau, et chaque catégorie peut être autorisée séparément.

Changer ou retirer votre consentement : à tout moment, par le lien « Réglages des cookies » au pied de chaque page. Retirer le consentement est exactement aussi facile que de le donner, et cela ne vous coûte rien dans le service.

Le programme de partenaires : il ne dépose aucun cookie. Si vous arrivez sur le site par le lien d'un partenaire, le code de ce partenaire voyage dans le lien lui-même et rien n'est écrit sur votre appareil. C'est pourquoi le programme ne figure pas parmi les catégories ci-dessus, et c'est pourquoi ce que vous choisissez dans ce bandeau ne l'aide ni ne le gêne. Un cookie qui conserverait le code d'un partenaire n'est pas strictement nécessaire au fonctionnement du site, nous aurions donc eu besoin de votre consentement pour le déposer : nous avons choisi de ne pas en avoir besoin. Ce qui est enregistré avec le clic est un comptage : un de plus dans le total quotidien de ce partenaire, sans aucune donnée sur vous.

Si votre navigateur envoie un signal Global Privacy Control, nous le traitons comme un refus : aucun cookie de mesure ni de marketing n'est chargé, et nous ne vous montrons pas le bandeau.

Pour pouvoir prouver ce que vous avez choisi, nous enregistrons chaque décision : ce qui vous a été montré, ce que vous avez choisi, quand, dans quelle langue, sur quelle page, et une empreinte unidirectionnelle de votre adresse IP. L'adresse IP elle-même n'est pas stockée dans cet enregistrement. L'enregistrement est en ajout seul et ne peut être ni modifié ni supprimé depuis le système.

Services de mesure et de marketing

Nos outils de mesure et de marketing sont gérés par Google Tag Manager, qui n'est chargé qu'après que vous avez autorisé la mesure ou le marketing. Les outils qui peuvent s'exécuter par son intermédiaire :

• Google Analytics : analyse du trafic et de l'acquisition (soumis au consentement de mesure)
• Google Ads : mesure des conversions et publicité personnalisée (soumis au consentement de marketing)
• Meta Pixel : mesure des conversions et publicité sur Facebook et Instagram (soumis au consentement de marketing)

Les outils actifs changent de temps à autre. Ce qui ne change pas : aucun n'est chargé avant que vous n'ayez autorisé sa catégorie, et retirer votre consentement arrête la collecte. Outre ces outils, qui fonctionnent dans le navigateur, nous envoyons à Meta un rapport de conversion depuis notre serveur ; il est également soumis au consentement de marketing et il s'arrête lorsque vous le retirez.

Nous déclarons votre état de consentement à Google au moyen du protocole Consent Mode v2, de sorte que les outils restent soumis à votre choix même si nous ajoutons une nouvelle balise à l'avenir.

Publicité sur Meta (Facebook / Instagram)

Nous utilisons le Meta Pixel (Facebook Pixel) pour mener des campagnes publicitaires sur Facebook et Instagram. Le Pixel nous permet de mesurer des événements de conversion (comme une inscription terminée), de créer des audiences personnalisées et de montrer des annonces pertinentes aux personnes qui ont visité notre site.

Les informations qui peuvent être collectées et envoyées à Meta comprennent :

• Données de navigation et pages visitées sur notre site
• Événements de conversion (comme s'inscrire au service)
• Adresse IP et informations techniques du navigateur
• Informations collectées au moyen des cookies de Meta

Cet usage est soumis à la politique de confidentialité de Meta Platforms, Inc., disponible sur facebook.com/privacy/policy. Vous pouvez refuser la publicité personnalisée au moyen des réglages de confidentialité de votre compte Facebook.

Un rapport de conversion depuis notre serveur (Conversions API)

Outre le Pixel qui fonctionne dans le navigateur, nous signalons à Meta une inscription terminée depuis notre serveur, au moyen d'une interface appelée Conversions API. Le rapport est envoyé uniquement si vous avez autorisé la catégorie de marketing dans le bandeau cookies. Si vous l'avez refusée, ou si vous n'avez pas encore choisi, rien n'est envoyé.

Ce que ce rapport contient :

• le nom de l'événement (une inscription terminée) et l'heure à laquelle il a eu lieu
• un identifiant unique de l'événement, pour que Meta ne compte pas deux fois la même inscription
• un condensé unidirectionnel (hachage SHA-256) de l'adresse de courriel avec laquelle vous vous êtes inscrit
• un condensé unidirectionnel, par la même méthode, de l'identifiant de votre compte chez nous
• l'adresse de la page depuis laquelle vous vous êtes inscrit, sans rien de ce qui suit le point d'interrogation

Nous n'envoyons pas l'adresse de courriel elle-même, mais le hachage ne rend pas l'information anonyme : si cette même adresse est aussi dans votre compte Meta, Meta peut les rapprocher et vous identifier, de sorte que nous traitons ce rapport comme des données personnelles à tous égards. Dans ce rapport, nous n'envoyons pas votre adresse IP, ni les données de votre navigateur, ni aucun cookie de Meta, ni votre nom ni votre numéro de téléphone, et il n'est envoyé que pour une inscription terminée, jamais pour la consultation d'une page.

Retirer le consentement de marketing arrête immédiatement les rapports futurs. Un rapport déjà envoyé, nous ne pouvons pas le récupérer, et vous pouvez en exiger la suppression directement auprès de Meta, par son propre canal de droits.

Qui répond de ces données : à l'égard de la collecte et de la transmission de ces événements de conversion, nous et Meta sommes responsables conjoints du traitement (joint controllers) : Meta Platforms Ireland Limited pour les visiteurs de l'Espace économique européen et du Royaume-Uni, et Meta Platforms, Inc. pour les autres. À partir du moment où les données parviennent à Meta, Meta est responsable de traitement indépendant pour l'usage qu'elle en fait à ses propres fins. Vous pouvez exercer vos droits sur ces données directement auprès de Meta, et si vous vous adressez à nous, nous transmettrons votre demande à Meta.

Contact par WhatsApp

Notre site et nos services peuvent offrir la possibilité de nous contacter par WhatsApp. Lorsqu'un utilisateur décide de nous contacter par WhatsApp, nous pouvons recevoir et traiter les informations fournies dans le cadre de ce contact, y compris le nom, le numéro de téléphone, le contenu des messages, les fichiers ou les images qui nous sont envoyés à l'initiative de l'utilisateur, et toute coordonnée supplémentaire partagée pendant la conversation.

Les informations qui nous sont fournies par WhatsApp sont utilisées pour répondre à la demande, fournir le service et l'assistance, traiter les demandes, documenter les échanges, améliorer le service, maintenir la sécurité de l'information et protéger nos droits, ainsi que pour respecter les obligations légales lorsque c'est nécessaire.

L'usage de WhatsApp est également soumis aux conditions d'utilisation et à la politique de confidentialité de WhatsApp et/ou de Meta, et nous recommandons de les consulter avant d'utiliser ce canal. Nous vous demandons de ne pas nous envoyer par WhatsApp d'informations sensibles qui ne seraient pas nécessaires au traitement de votre demande, y compris des mots de passe, des données de paiement complètes, des informations médicales, des documents d'identité ou d'autres informations personnelles sensibles, sauf si cela vous a été expressément demandé dans un but déterminé.

Nous pouvons conserver les enregistrements de la correspondance pendant la durée nécessaire aux fins de fournir le service, de traiter les demandes, de documenter, de contrôler, d'exercer la défense juridique et de respecter la loi. Les utilisateurs peuvent nous contacter pour demander l'accès, la correction ou la suppression des informations personnelles qu'ils ont fournies, sous réserve de la législation applicable et de la présente politique de confidentialité.

Base légale du traitement

Nous traitons des données personnelles uniquement lorsque nous disposons d'une base légale pour le faire. Chaque finalité a sa propre base, raison pour laquelle vos choix diffèrent d'une finalité à l'autre :

• Exécution d'un contrat (RGPD art. 6(1)(b)) : ouvrir un compte, gérer l'abonnement, exécuter des analyses et des vérifications, produire du contenu et le publier sur le site que vous avez connecté. Sans cela, il n'y a pas de service.
• Consentement (art. 6(1)(a) et les règles ePrivacy) : cookies de mesure et de marketing, courriels de prospection et adhésion au réseau de liens. Chacun est indépendant, et chacun peut être retiré à tout moment.
• Intérêts légitimes (art. 6(1)(f)) : protéger le système, prévenir les abus, rappels opérationnels sur votre propre compte et amélioration du service à partir de données agrégées. Vous pouvez vous opposer au traitement fondé sur cette base.
• Obligation légale (art. 6(1)(c)) : conserver les registres de facturation et déclarer aux autorités fiscales.

En Israël, nous sommes soumis à la loi sur la protection de la vie privée, 5741-1981, y compris l'amendement 13, entré en vigueur le 14 août 2025. Nous ne sommes pas tenus de désigner un délégué à la protection des données au titre de cet amendement, et nous ne sommes pas un courtier en données (data broker) : nous ne vendons de données personnelles à personne, contre aucune contrepartie.

Combien de temps nous conservons les données

Nous conservons les données uniquement pendant la durée nécessaire à la finalité pour laquelle elles ont été collectées :

• Compte et contenu produit pour vous : pendant la vie du compte, et jusqu'à 90 jours après sa suppression, pour qu'une suppression accidentelle puisse être annulée. Ensuite, elles sont effacées.
• Registres de facturation et factures : sept ans, comme l'exige la législation fiscale israélienne. Nous n'avons aucune marge d'appréciation à ce sujet, même si vous demandez l'effacement.
• Identifiants de connexion (WordPress, Shopify, Search Console) : jusqu'à ce que vous vous déconnectiez ou que vous supprimiez le compte, et ils sont ensuite effacés immédiatement.
• Vérification gratuite du site : mise en cache jusqu'à 24 heures, puis effacée si aucun compte n'a été ouvert à partir d'elle.
• Journal des décisions sur les cookies : jusqu'à trois ans à compter de la décision, pour que nous puissions prouver ce que vous avez choisi. C'est la base légale de sa conservation, raison pour laquelle il n'est pas effacé avec le compte.
• Photo d'auteur : tant que la photo est configurée sur le projet. En la supprimant, ou en passant à aucune photo ou à l'icône du site, le fichier est effacé immédiatement. Une copie déjà placée sur votre site y reste jusqu'à ce que vous la supprimiez.
• Journaux de sécurité et du serveur : jusqu'à 90 jours.

Transferts internationaux

Le service fonctionne sur des fournisseurs internationaux de cloud et d'infrastructure, de sorte que les données peuvent être stockées ou traitées hors de votre pays de résidence. Les principaux fournisseurs : Vercel (hébergement de l'application), Supabase (la base de données, dans la région de Mumbai, en Inde) et tous les autres fournisseurs énumérés dans « Partage des informations » plus haut, parmi lesquels les fournisseurs d'IA et de recherche, le fournisseur de conversion en PDF et le service de recherche d'adresses.

Pour les données concernant des résidents de l'Espace économique européen, de la Suisse ou du Royaume-Uni : la Commission européenne a reconnu qu'Israël offre un niveau adéquat de protection, par la décision 2011/61/UE, maintenue à l'issue du réexamen des décisions d'adéquation publié le 15 janvier 2024 ; Israël figure toujours sur la liste des pays reconnus adéquats publiée par la Commission à la date de la présente politique. Un transfert vers nous n'exige donc pas d'instrument supplémentaire. Si cette décision était un jour suspendue ou annulée, nous aurions besoin d'un autre instrument et nous le dirions ici.

Pour les transferts vers des fournisseurs établis hors de l'Union dans des pays sans décision d'adéquation, nous nous appuyons sur les clauses contractuelles types de la Commission européenne, dans les propres conditions de traitement de données de ces fournisseurs. Nous ne prétendons pas ici avoir signé des clauses contractuelles types avec chacun de nos sous-traitants. Ce que nous pouvons dire précisément à la date de la présente politique : nous avons un accord de traitement des données au titre de l'article 28 avec PDFShift, décrit dans la section « Conversion d'un rapport en PDF » ; pour Vercel, Supabase, Google, Resend, Meta et Shopify, nous nous appuyons sur les addenda de traitement de données et les clauses types que ces fournisseurs intègrent à leurs propres conditions, que nous avons acceptées ; et avec Serper, ScrapeLLM, PDFShift mis à part, et le service Nominatim d'OpenStreetMap, nous n'avons pas signé de clauses contractuelles types négociées — l'usage y repose sur les conditions publiques du fournisseur, et le travail contractuel est en cours. Nous préférons le dire plutôt que de laisser croire que cette question est réglée.

Vous pouvez nous demander sur quel instrument nous nous appuyons pour un transfert donné, et nous vous répondrons par écrit en nommant le fournisseur et la base.

Droits des résidents de l'EEE, de la Suisse et du Royaume-Uni

Si vous vous trouvez dans l'Espace économique européen, en Suisse ou au Royaume-Uni, vous disposez également des droits suivants au titre du RGPD et du RGPD du Royaume-Uni (UK GDPR) :

• Accès (art. 15) : une copie des données que nous détenons sur vous.
• Rectification (art. 16) et effacement (art. 17).
• Limitation du traitement (art. 18).
• Portabilité (art. 20) : vos données dans un format structuré et lisible par machine.
• Opposition (art. 21), y compris un droit absolu de vous opposer à la prospection.
• Retrait du consentement (art. 7(3)) à tout moment, sans affecter la licéité du traitement effectué avant ce retrait.

Nous répondons dans un délai d'un mois, qui est le délai de l'article 12, paragraphe 3, du RGPD. Nous ne vous facturons rien et nous ne dégradons pas votre service parce que vous avez exercé un droit.

Droit d'introduire une réclamation : si vous n'êtes pas satisfait de notre réponse, vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre pays de résidence, ou auprès de l'Autorité de protection de la vie privée d'Israël (Privacy Protection Authority). Nous écrire d'abord n'est pas une condition pour réclamer, même si nous apprécierions l'occasion de corriger le problème.

Droits des résidents en France et dans l'Union européenne (RGPD)

Cette section est celle qui s'applique à vous si vous lisez ce texte depuis la France ou depuis la Belgique : dans les deux pays, c'est le RGPD qui gouverne, et le présent document est le même pour les deux. Si vous le lisez depuis le Québec, ce n'est pas le RGPD qui vous gouverne mais la Loi 25, et c'est la section suivante qui est la vôtre.

Si vous vous trouvez en France ou en Belgique, le règlement (UE) 2016/679 du 27 avril 2016 (le RGPD), ainsi que, en France, la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et, en Belgique, la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, s'appliquent au traitement de vos données, parce que nous offrons notre service à des personnes qui se trouvent dans l'Union (RGPD art. 3, paragraphe 2), bien que notre société soit en Israël. Les droits énumérés dans la section précédente sont les vôtres : accès (art. 15), rectification (art. 16), effacement (art. 17), limitation (art. 18), portabilité (art. 20), opposition (art. 21), y compris un droit absolu de vous opposer à la prospection, et retrait du consentement (art. 7, paragraphe 3). Trois précisions valent d'être dites ici plutôt que supposées :

• Le délai. Nous répondons à une demande dans un délai d'un mois à compter de sa réception, comme l'exige l'article 12, paragraphe 3, du RGPD. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou lorsque les demandes sont nombreuses, et dans ce cas nous vous informons de la prolongation et de ses motifs dans le mois. Nous ne nous donnons ni trente jours ni quinze jours : c'est un mois.
• Le délégué à la protection des données, et ce que nous n'avons pas. L'article 37 du RGPD n'impose la désignation d'un délégué à la protection des données qu'à une autorité publique, à qui effectue un suivi systématique à grande échelle ou à qui traite à grande échelle des données sensibles ou relatives à des condamnations pénales. Nous sommes une petite société israélienne, sans établissement dans l'Union, et nous ne faisons aucune de ces trois choses : nous n'avons pas désigné de délégué à la protection des données et nous ne prétendons pas en avoir un. Ce qui tient sa place est un canal de communication : le courriel oren@gotop.co.il et le téléphone de la section « Contact en matière de vie privée et représentants ». Toute demande relative à des données personnelles peut passer par là, en français, et elle est traitée par la même personne qui exploite le service. De la même façon, nous n'avons pas désigné de représentant dans l'Union au sens de l'article 27 du RGPD ; si cette désignation nous est due, c'est un point ouvert que nous traitons, et nous le dirons ici lorsqu'il sera réglé, plutôt que d'annoncer un représentant qui n'existe pas.
• L'autorité de contrôle. Si notre réponse ne règle pas le problème, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), l'autorité de contrôle française, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr, ou auprès de l'autorité de contrôle de l'État membre de votre résidence ou de votre lieu de travail (RGPD art. 77) — pour un lecteur en Belgique, l'Autorité de protection des données. Vous disposez aussi d'un recours juridictionnel (art. 79). Nous écrire d'abord n'est une condition pour rien de tout cela.

Les transferts de vos données hors de l'Union sont décrits dans la section « Transferts internationaux », qui dit à la fois sur quoi nous nous appuyons et avec quels sous-traitants nous n'avons pas signé de clauses contractuelles types.

Droits des résidents du Québec (Loi 25)

Quelle loi s'applique à qui. La section précédente est écrite pour la France et la Belgique, où le RGPD gouverne. Si vous vous trouvez au Québec, ce n'est pas le RGPD qui vous gouverne : c'est la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, chapitre P-39.1), telle que modifiée par la loi appelée « Loi 25 » (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, LQ 2021, chapitre 25). Cette loi encadre les renseignements personnels recueillis, détenus, utilisés ou communiqués à l'occasion de l'exploitation d'une entreprise (article 1). Nous sommes une société israélienne, sans établissement au Québec, et nous ne tranchons pas à votre place la question de savoir dans quels cas cette loi nous lie : nous appliquons ce qui suit aux personnes qui se trouvent au Québec, plutôt que de laisser la question ouverte. Le français que nous publions est un seul français, sans variante régionale ; la région ne change pas le texte, elle change la loi, et c'est ce que cette section dit.

Cinq points de la Loi 25 ne sont pas couverts par la section RGPD, et ils sont dits ici dans les termes de la loi québécoise :

• Le responsable de la protection des renseignements personnels (article 3.1). La loi québécoise exige que l'entreprise ait un responsable de la protection des renseignements personnels, que cette fonction soit exercée de plein droit par la personne ayant la plus haute autorité dans l'entreprise — elle peut la déléguer par écrit, en tout ou en partie — et que le titre et les coordonnées de ce responsable soient publiés. Les voici. Titre : le dirigeant de la Société, qui exerce lui-même cette fonction et ne l'a déléguée à personne. Courriel : oren@gotop.co.il. Téléphone : +972-54-948-9377. Ce rôle n'est pas le « délégué à la protection des données » du RGPD, et nous ne les confondons pas : nous n'avons pas désigné de délégué au sens de l'article 37 du RGPD, comme la section précédente le dit, parce que ce texte ne nous l'impose pas ; le responsable de l'article 3.1, lui, existe de plein droit et c'est le dirigeant. Toute demande relative à la Loi 25 peut lui être adressée en français.
• La communication de renseignements personnels à l'extérieur du Québec (article 17). Avant de communiquer un renseignement personnel hors du Québec, l'entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée, en tenant compte notamment de la sensibilité du renseignement, de la finalité de son utilisation, des mesures de protection dont il bénéficierait, y compris contractuelles, et du régime juridique applicable dans l'État de destination ; la communication peut avoir lieu si l'évaluation démontre une protection adéquate, et elle doit faire l'objet d'une entente écrite. Ce que cela veut dire chez nous : tout notre service est hors du Québec. Nos serveurs, notre base de données et nos sous-traitants sont ceux que la section « Partage des informations » nomme un par un, et la section « Transferts internationaux » dit où ils se trouvent. Avant d'ajouter un sous-traitant, nous pesons ces quatre éléments, et nous n'envoyons à chacun que ce que sa fonction exige, comme cette politique le décrit service par service. Ce que nous ne prétendons pas : nous n'avons pas produit, pour chaque fournisseur, une évaluation écrite des facteurs relatifs à la vie privée au sens de l'article 17, et avec plusieurs d'entre eux nous n'avons pas d'entente négociée mais les seules conditions publiques du fournisseur — ce sont les mêmes fournisseurs que ceux nommés dans « Transferts internationaux ». Ce travail est en cours, et nous préférons l'écrire ainsi plutôt que d'annoncer une évaluation que nous n'avons pas faite.
• Une décision fondée exclusivement sur un traitement automatisé (article 12.1). Au Québec, l'entreprise qui rend une telle décision doit en informer la personne au plus tard au moment où elle l'informe de la décision, lui dire sur demande quels renseignements ont été utilisés, les raisons ainsi que les principaux facteurs et paramètres, et son droit de les faire rectifier, et lui donner l'occasion de présenter ses observations à un membre du personnel en mesure de réviser la décision. Notre réponse, dans ces termes : nous ne rendons aucune décision fondée exclusivement sur un traitement automatisé à votre sujet. Le Service produit des recommandations et des textes avec des modèles d'IA, et vous décidez ce qui est publié ; il n'y a chez nous ni décision d'éligibilité, ni notation, ni sélection prise sans intervention humaine. Si cela changeait un jour, nous vous en informerions au moment même où nous vous informerions de la décision, nous vous dirions sur demande les trois choses ci-dessus, et vous pourriez présenter vos observations à une personne en mesure de réviser la décision — aujourd'hui, cette personne est le dirigeant.
• La portabilité (article 27, en vigueur depuis le 22 septembre 2024). Sur votre demande, un renseignement personnel informatisé recueilli auprès de vous, et non créé ou inféré à partir de vos renseignements, vous est communiqué dans un format technologique structuré et couramment utilisé, à moins que cela ne soulève des difficultés pratiques sérieuses ; il est aussi communiqué, à votre demande, à une personne ou à un organisme autorisé par la loi à le recueillir. Écrivez au responsable ci-dessus et nous vous envoyons ces données dans un fichier JSON ou CSV. Ce que le Service a produit à partir de vos données — un rapport, un article, un résultat de vérification — est créé ou inféré et n'entre pas dans ce droit ; vous pouvez tout de même en demander une copie au titre du droit d'accès du même article 27, et nous la donnons. Le délai québécois n'est pas le délai européen : le responsable répond par écrit avec diligence et au plus tard dans les 30 jours de la réception de la demande (article 32), là où le RGPD parle d'un mois. Nous tenons le plus court des deux délais qui vous est applicable.
• Un incident de confidentialité (articles 3.5 à 3.8). Un accès, une utilisation ou une communication non autorisés par la loi, ou la perte d'un renseignement personnel, sont un « incident de confidentialité ». S'il présente un risque qu'un préjudice sérieux soit causé, nous devons, avec diligence, en aviser la Commission d'accès à l'information du Québec et les personnes concernées : au Québec, l'avis va à cette commission, et pas seulement à une autorité européenne. Nous prenons aussi les mesures raisonnables pour réduire le risque et éviter qu'un incident de même nature se reproduise, et le registre des incidents de confidentialité que l'article 3.8 exige, communicable à la Commission sur demande, est tenu par le dirigeant, qui est aussi le responsable de l'article 3.1.

Porter plainte. Si notre réponse ne règle pas le problème, vous pouvez vous adresser à la Commission d'accès à l'information du Québec, 525, boulevard René-Lévesque Est, bureau 2.36, Québec (Québec) G1R 5S9, cai.gouv.qc.ca, renseignements@cai.gouv.qc.ca. Nous écrire d'abord n'est une condition pour rien.

Contact commercial par courrier électronique

La présente section traite de quelqu'un qui a reçu un courriel de notre part et qui n'est pas notre client. Si c'est votre cas, vous ne nous avez rien fourni et vous ne vous êtes inscrit à rien : nous avons obtenu l'adresse de votre entreprise de sources publiques, et nous disons ici exactement lesquelles, ce que nous conservons et comment se désabonner en un seul clic.

Ce que nous collectons et d'où. Le nom de l'entreprise, l'adresse de son site Web, une adresse de courriel de contact qui figure sur le site de l'entreprise lui-même ou dans un registre public des sociétés, le nom de la personne de contact lorsque le site le publie à côté de cette adresse, l'adresse postale que l'entreprise publie (une entreprise qui ne publie pas d'adresse n'entre jamais dans la liste), le pays dans lequel l'entreprise opère, et un seul constat issu d'une vérification automatique des pages publiques du site, avec la date de cette vérification. Nous n'achetons pas de listes d'adresses et nous n'utilisons pas de courtiers en données. Nous ne collectons pas de numéros de téléphone, nous ne collectons rien sur une personne au-delà de la fonction professionnelle sous laquelle elle est publiée et nous n'entrons dans aucune partie d'un site qui ne soit pas ouverte à tout visiteur.

Dans quel but. Nous adresser une fois à l'entreprise, avec une offre de notre service, et expliquer ce que nous avons trouvé sur son site. C'est un contact commercial et nous le disons dans le message lui-même.

Pour quels pays. Nous conservons des adresses à cette fin uniquement d'entreprises dont nous avons vérifié, à partir de deux sources indépendantes, qu'elles opèrent aux États-Unis. Nous ne conservons pas d'adresses à cette fin d'entreprises en Israël, dans l'Espace économique européen ni au Royaume-Uni, et une entreprise dont nous n'avons pas pu vérifier le pays n'entre jamais dans la liste.

Combien de messages. Deux au maximum : un message et, en l'absence de réponse, un suivi une semaine plus tard. Après cela, l'entreprise sort de la liste même si elle ne l'a pas demandé.

Ce que nous conservons et pendant combien de temps. Chaque entreprise est un enregistrement : le nom de l'entreprise, son site, la plateforme sur laquelle le site fonctionne, le pays, l'adresse de courriel et le nom de la personne de contact si nous les avons trouvés, l'adresse postale, les deux sources publiques dont nous avons tiré les données, le constat unique avec sa date, lequel des deux messages a été envoyé et quand, si une réponse ou une demande de désabonnement est arrivée et quand, les dates de création et de dernière modification de l'enregistrement, une empreinte unidirectionnelle de l'adresse de courriel, un identifiant aléatoire qui fait fonctionner le lien de désabonnement du message et une courte note interne sur l'entreprise. D'un enregistrement auquel nous avons écrit, l'adresse de courriel, le nom de la personne de contact et l'adresse postale sont effacés 30 jours après le dernier message que nous lui avons envoyé, ou 30 jours après une réponse ou une demande de désabonnement si cela est postérieur, et la date de l'effacement est notée. 30 jours n'est pas un chiffre rond : le lien de désabonnement de notre message doit continuer de fonctionner au moins ce temps-là, et il se résout contre cet enregistrement. Ce qui reste ensuite est tout le reste de l'enregistrement précédent, dont l'empreinte unidirectionnelle et l'identifiant de désabonnement, pour que le lien continue de fonctionner. L'empreinte est ce qui nous permet de savoir que nous avons déjà écrit deux fois à cette entreprise et elle évite qu'elle soit ajoutée de nouveau. Un enregistrement auquel nous n'avons jamais écrit est supprimé en totalité 90 jours après avoir été ajouté. La liste d'exclusion est indépendante de cet enregistrement et elle est conservée tant que nous envoyons du courrier, parce que c'est la seule manière pour qu'un désabonnement tienne.

Comment l'arrêter. Chaque message comporte un lien de désabonnement qui fonctionne en un seul clic, sans connexion et sans explication à donner. Il est honoré immédiatement et définitivement. Pour que le désabonnement tienne, l'adresse est conservée sur une liste d'exclusion à la seule fin de nous assurer de ne plus vous contacter, elle ne sert à rien d'autre, et elle vaut pour tous nos canaux, pas seulement pour celui dans lequel vous l'avez demandé. Une réponse qui demande de ne plus écrire est traitée de la même manière.

Si vous êtes en Californie. L'adresse d'un contact d'entreprise est une information personnelle au sens de la loi californienne sur la vie privée, de sorte que vous avez le droit de savoir ce que nous conservons sur vous, d'en recevoir une copie, de demander l'effacement, de corriger une information inexacte et de ne pas être discriminé pour avoir exercé un droit. Nous ne vendons pas cette information et nous ne la partageons pas pour de la publicité comportementale entre contextes. Comme nous n'avons pas collecté l'information auprès de vous directement, la présente section est l'avis de collecte, y compris la durée de conservation de chaque donnée, et un lien vers elle figure dans chaque message que nous envoyons. Les demandes sont adressées à l'adresse indiquée dans « Contact en matière de vie privée et représentants », et nous répondons par écrit.

Les mêmes demandes — accès, effacement et rectification — sont traitées aussi pour les personnes qui ne sont pas en Californie, à la même adresse et de la même manière. Le responsable est GO TOP DIGITAL MARKETING AND ADVERTISING LTD, numéro de société 517274346, en Israël.

Droits des résidents des États-Unis

Si vous êtes résident de Californie, ou d'un autre État ayant adopté une loi d'État sur la vie privée, vous avez le droit de savoir quelles catégories de données ont été collectées sur vous, d'en obtenir une copie, de demander la suppression, de corriger des données inexactes et de ne pas être discriminé pour avoir exercé un droit.

Nous ne vendons pas d'informations personnelles et nous ne les transférons pas contre une contrepartie. Nous partageons en revanche des identifiants et des événements d'usage avec les réseaux publicitaires de Google et de Meta pour de la publicité ciblée, dans le navigateur et depuis notre serveur, ce qui peut être qualifié de « partage » au sens de la loi californienne. Cet échange n'a lieu que si vous avez autorisé la catégorie de marketing, et il s'arrête au moment où vous la retirez.

Nous respectons le signal Global Privacy Control du navigateur comme une demande de « ne pas vendre ni partager mes informations personnelles », et nous l'enregistrons. Aucun formulaire n'est nécessaire : le signal à lui seul suffit.

Décisions automatisées

Le service produit des recommandations et du contenu avec des modèles d'IA, mais il ne prend aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative de façon similaire : ni score de crédit, ni sélection de candidats, ni décision d'éligibilité prise sans intervention humaine. Le contenu est publié sur le site que vous avez connecté selon le calendrier et les approbations que vous définissez.

Âge minimum

Le service est destiné aux entreprises et aux propriétaires de sites, non aux mineurs. Nous ne collectons pas sciemment de données de personnes de moins de 18 ans, et le service ne peut pas être utilisé en dessous de cet âge. Si de telles données nous sont parvenues, écrivez-nous et nous les effacerons.

Contact en matière de vie privée et représentants

Pour toute question de vie privée, y compris l'exercice des droits ci-dessus :

Courriel : oren@gotop.co.il

Téléphone : +972-54-948-9377

Nous ne sommes pas tenus de désigner un délégué à la protection des données au titre de l'amendement 13 à la loi israélienne sur la protection de la vie privée, et nous n'en avons pas désigné. En France et dans l'Union européenne, l'absence de désignation au titre de l'article 37 du RGPD et le canal qui tient sa place sont décrits dans la section « Droits des résidents en France et dans l'Union européenne (RGPD) ». Au Québec, la fonction de responsable de la protection des renseignements personnels de l'article 3.1 de la loi du secteur privé est une autre fonction, qui existe de plein droit : son titre et ses coordonnées figurent dans la section « Droits des résidents du Québec (Loi 25) ». Les demandes sont traitées par le contact ci-dessus.

Mises à jour de la présente politique

Nous pouvons mettre à jour la présente politique de temps à autre. Les changements prennent effet immédiatement après leur publication. Nous vous recommandons de relire la présente politique régulièrement.

Contact

Si vous avez des questions sur la présente politique de confidentialité, contactez :

Courriel : oren@gotop.co.il

Téléphone : 054-9489377