Politique de confidentialité

1. Qui nous sommes (responsable du traitement)

SerpTune est exploité par Redbit S.r.l.s., Viale della Grande Muraglia 494, 00144 Rome, Italie — TVA IT15237911001, REA RM-1576999, PEC [email protected] ("Redbit", "nous"). Compte tenu de la taille de notre organisation, nous ne sommes pas tenus de désigner, et n'avons pas désigné, de délégué à la protection des données au titre de l'article 37 du RGPD. Pour toute question de confidentialité, écrivez à [email protected] ou utilisez notre formulaire de contact.

2. Champ d'application

La présente politique explique comment nous traitons les données personnelles lorsque vous visitez serptune.com et utilisez l'application SerpTune. Elle doit être lue avec nos Conditions d'utilisation, notre Politique relative aux cookies et, pour les clients professionnels, notre Accord de traitement des données.

3. Données personnelles que nous traitons (en tant que responsable)

• Identité et compte : e-mail, mot de passe haché, langue, statut du compte.
• Facturation : informations d'entreprise/fiscales que vous fournissez, adresse, historiques du Portefeuille et des transactions. Les données de carte sont gérées directement par notre prestataire de paiement et ne sont jamais conservées par nous.
• Utilisation : les URL et requêtes que vous soumettez, les analyses obtenues et les mouvements de Crédits.
• Technique et sécurité : adresse IP, horodatages, métadonnées de requête, journaux d'audit et événements de sécurité.
• Mesure publicitaire (uniquement avec votre consentement) : identifiants du pixel Meta (_fbp, _fbc) et identifiants Google Ads (_gcl_au, _gcl_aw), votre adresse IP et le user-agent du navigateur, la page et l’évènement concernés et, si vous êtes connecté ou en cours d’inscription, l’empreinte SHA-256 de votre adresse e-mail et de votre identifiant de compte, partagée avec Meta uniquement. Votre adresse e-mail n’est jamais transmise en clair.
• Statistiques d’usage (uniquement avec votre accord) : identifiants Google Analytics (_ga, _ga_<ID>), votre adresse IP, des données de navigateur, les pages que vous consultez et la durée de la visite.

Nous ne collectons pas intentionnellement de catégories particulières (sensibles) de données personnelles vous concernant.

4. Provenance des données

Directement de vous (inscription, formulaires, URL/requêtes que vous soumettez) et automatiquement de votre utilisation du Service (journaux et événements de sécurité).

5. Finalités et bases légales (RGPD / UK GDPR)

• Exploitation du Service, gestion des comptes et exécution des analyses — exécution d'un contrat (art. 6(1)(b)).
• Facturation, comptabilité et obligations fiscales — obligation légale (art. 6(1)(c)) et contrat.
• Sécurité, prévention de la fraude/des abus, limitation de débit et journalisation d'audit — intérêt légitime (art. 6(1)(f)).
• Récupération et analyse de pages web accessibles au public pour produire votre rapport — intérêt légitime, mis en balance avec les droits des éditeurs des pages, qui peuvent se désinscrire de notre robot.
• Communications de service (vérification, avis) — contrat et intérêt légitime.
• Mesure d’audience agrégée sans cookies (nombre de pages vues ; aucun cookie, aucune IP conservée, aucun profilage) — intérêt légitime.
• Mesure publicitaire via le pixel Meta avec la Conversions API et via la balise de conversion Google Ads — votre consentement (art. 6, §1, a), révocable à tout moment depuis « Préférences cookies » en pied de page, avec effet pour l’avenir.
• Mesure statistique de l’utilisation du site via Google Analytics — votre consentement (art. 6, §1, a), révocable à tout moment via « Préférences cookies » en pied de page, avec effet pour l’avenir.

6. Pages que nous analysons et données qu'elles peuvent contenir

Pour produire un rapport, nous récupérons des pages accessibles au public (Votre Page et les Concurrents positionnés) au moyen du robot SerpTuneBot, en extrayons le texte principal et envoyons ce texte nettoyé à notre sous-traitant d'IA pour analyse. Ces pages peuvent contenir incidemment des données personnelles (par exemple le nom d'un auteur). Nous ne traitons ces données que pour générer votre rapport, conservons le HTML brut récupéré pendant 48 heures au maximum, respectons robots.txt et l'exclusion par domaine, et n'utilisons jamais le contenu récupéré pour établir des profils de personnes ni pour entraîner des modèles. Lorsque vous soumettez des pages dont vous êtes le responsable, la section 13 et notre DPA s'appliquent.

7. Sous-traitants et destinataires

• Anthropic — analyse par IA du contenu nettoyé des pages (États-Unis).
• LangChain (LangSmith) — observabilité LLM (utilisation de jetons, coût, latence) pour le pipeline d'analyse (région UE).
• Serper / fournisseur de résultats de recherche — récupération des résultats publics des moteurs de recherche pour votre requête.
• Cloudflare — CDN, DNS, WAF et protection anti-bots (Turnstile) ; réseau mondial avec edge dans l'UE.
• Revolut — traitement des paiements.
• Fatture in Cloud (TeamSystem S.p.A., Italie) — émission de la facture et transmission au Système d'échange (SdI) de l'administration fiscale italienne. Il reçoit les données de facturation que vous saisissez : nom ou raison sociale, adresse, numéro de TVA ou code fiscal et le montant payé.
• IONOS — infrastructure d'hébergement (Union européenne, Allemagne).
• Système de messagerie transactionnelle autogéré par Redbit (mail.redbitapp.com) — envoi des e-mails de service.

Nous ne vendons ni ne louons vos données personnelles. Nous pouvons les communiquer aux autorités publiques lorsque la loi l'exige, ainsi qu'à des conseils professionnels ou à un successeur, sous confidentialité.

Vérification des numéros de TVA. Si vous achetez en tant qu'entreprise dans l'Union européenne, nous transmettons le numéro de TVA indiqué au service VIES de la Commission européenne afin d'en confirmer la validité. Sans cette vérification, nous ne pouvons pas appliquer l'autoliquidation. La base légale est notre obligation légale d'appliquer la taxe correcte (art. 6, par. 1, point c RGPD) ; nous ne conservons que le résultat et la date.

Factures. La facture est émise lorsque vous la demandez au moment de l'achat ou lorsque vous avez fourni vos données de facturation (toujours, pour les entreprises) ; les achats sans demande de facture sont enregistrés comme l'exige la législation fiscale italienne pour le commerce électronique direct. Lorsqu'une facture est émise, les données de facturation et la facture elle-même sont conservées pendant la durée exigée par la législation fiscale italienne (actuellement dix ans), même si vous supprimez votre compte. La suppression du compte retire de SerpTune le profil de facturation enregistré, mais ne peut pas effacer les factures déjà émises.

Meta (mesure publicitaire). Si — et seulement si — vous donnez le consentement marketing, nous transmettons les évènements décrits à la section 3 à Meta Platforms Ireland Limited : depuis votre navigateur via le pixel Meta et depuis nos serveurs via la Conversions API. Les deux canaux portent le même évènement avec le même identifiant, de sorte qu’il n’est compté qu’une fois. Meta n’est pas ici notre sous-traitant : pour la collecte et la transmission de ces évènements, Meta et nous agissons en responsables conjoints au sens de l’art. 26 du RGPD, selon le Controller Addendum de Meta, tandis que Meta est responsable indépendant de l’usage ultérieur des données. Vous pouvez exercer vos droits auprès de l’un ou de l’autre ; les informations de Meta sont sur facebook.com/privacy/policy. Si vous refusez, ou si vous retirez ensuite votre consentement, rien n’est transmis sur aucun des deux canaux.

Google (mesure publicitaire). Si — et seulement si — vous donnez le consentement marketing, la balise de conversion Google Ads, dans votre navigateur, signale à Google Ireland Limited quelle annonce de notre part vous a conduit ici et si une inscription ou un achat a suivi. Il n’existe aucun canal côté serveur : tout s’exécute dans votre navigateur et rien ne se charge avant votre consentement. Pour cette mesure, Google et nous agissons en responsables de traitement indépendants, selon les Ads Data Protection Terms de Google ; les informations propres de Google sont sur policies.google.com/privacy. Si vous refusez, ou si vous retirez ensuite votre consentement, la balise ne se charge pas et ses cookies sont supprimés.

Google Analytics (statistiques). Google Analytics ne s’active qu’avec votre consentement à la catégorie statistiques, distincte de la catégorie publicitaire : vous pouvez accepter l’une et refuser l’autre. Les données sont transmises à Google Ireland Limited. Pour ce traitement, contrairement à la mesure publicitaire ci-dessus où Google agit en responsable de traitement indépendant, Google intervient en tant que sous-traitant pour notre compte, selon les Conditions relatives au traitement des données de Google Analytics. Votre adresse IP est tronquée et anonymisée par Google avant tout stockage. Les informations propres de Google sont sur policies.google.com/privacy. Si vous refusez, ou si vous retirez ensuite votre consentement, la balise ne se charge pas et ses cookies sont supprimés.

8. Transferts internationaux

Notre infrastructure et nos bases de données sont hébergées dans l'Union européenne (Allemagne). Certains sous-traitants (p. ex. Anthropic, Cloudflare) sont situés aux États-Unis ou y acheminent des données ; ces transferts sont encadrés par les Clauses contractuelles types de la Commission européenne et, pour les données du Royaume-Uni, par l'UK International Data Transfer Addendum, assortis de mesures supplémentaires. Une copie des garanties applicables est disponible sur demande à [email protected].

Si vous avez consenti à la mesure publicitaire ou à la mesure statistique, des données parviennent également à Meta Platforms Ireland Limited et à Google Ireland Limited — cette dernière tant pour la balise Google Ads que pour Google Analytics — et peuvent être transférées à Meta Platforms, Inc. et à Google LLC aux États-Unis ; pour la mesure publicitaire comme pour la mesure statistique, tous deux s’appuient sur le cadre EU–US Data Privacy Framework et sur les Clauses Contractuelles Types.

9. Conservation

• Données de compte : supprimées dans les 30 jours suivant la fermeture de votre compte (ou sur demande d'effacement vérifiée), sauf conservation plus longue exigée par la loi.
• Documents de facturation : conservés pendant 10 ans, comme l'exige la loi fiscale italienne.
• Journaux d'exploitation et de sécurité : jusqu'à 12 mois.
• HTML brut récupéré : supprimé dans les 48 heures ; le texte nettoyé et les résultats en cache expirent sous 24 heures.
• Analyses et rapports : conservés dans votre compte jusqu'à ce que vous les supprimiez ou fermiez le compte.

10. Décision automatisée et IA

Nous ne réalisons pas de décision automatisée produisant des effets juridiques ou vous affectant de manière significative de façon similaire (art. 22 RGPD). L'IA n'est utilisée que pour analyser le contenu de pages publiques et générer votre rapport ; elle ne prend aucune décision à votre sujet.

11. Cookies

Nous déposons des cookies strictement nécessaires, qui ne requièrent aucun consentement, et — uniquement si vous l’autorisez — les cookies de mesure publicitaire du pixel Meta et de la balise Google Ads ainsi que les cookies statistiques de Google Analytics, qui relèvent d’une catégorie de consentement distincte de celle du marketing : vous pouvez accepter l’une et refuser l’autre. Une bannière apparaît lors de votre première visite et rien d’optionnel ne se déclenche avant votre choix. Vous pouvez le modifier ou le retirer à tout moment via Préférences cookies, en bas de chaque page. Notre propre mesure d’audience n’utilise aucun cookie. La liste complète figure dans notre Politique relative aux cookies.

12. Vos droits (RGPD / UK GDPR)

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition et — lorsque le traitement repose sur le consentement — du droit de le retirer. Pour exercer un droit, écrivez à [email protected] ou utilisez notre formulaire de contact. Nous pourrons devoir vérifier votre identité et répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes). Vous pouvez introduire une réclamation auprès du Garante italien (garanteprivacy.it), de la CNIL (cnil.fr) ou, pour les personnes concernées au Royaume-Uni, de l'ICO (ico.org.uk).

13. Données que vous soumettez pour l'analyse (notre rôle de sous-traitant)

Pour les pages que vous soumettez et dont vous êtes le responsable, nous ne traitons les données personnelles qu'elles contiennent que sur vos instructions et à la seule fin de produire l'analyse demandée, au titre de notre DPA. Nous ne les utilisons pas à nos propres fins, ne les vendons ni ne les partageons, et les supprimons comme décrit à la section 9.

14. Droits de confidentialité de Californie (CCPA / CPRA)

Si vous résidez en Californie : nous collectons des identifiants (e-mail, IP), des informations commerciales (facturation et transactions) et une activité Internet (journaux) pour les finalités de la section 5. Nous ne vendons pas vos informations personnelles contre rémunération et ne l’avons pas fait au cours des 12 derniers mois. Si — et seulement si — vous activez la mesure publicitaire, les données décrites à la section 3 sont partagées avec Meta et Google à des fins de publicité comportementale inter-contextes au sens du CPRA. Ce partage suppose votre accord préalable et cesse dès que vous le retirez dans « Préférences cookies » ; sans accord, il n’a pas lieu. Vous disposez des droits de savoir/accéder, supprimer, corriger, refuser le partage et ne pas subir de discrimination ; adressez votre demande à [email protected]. Nous vérifions votre identité avant de répondre.

15. Autres juridictions et enfants

Lorsque d'autres lois sur la protection des données vous sont applicables (p. ex. la LGPD du Brésil ou la PIPEDA du Canada), nous respectons les droits équivalents qu'elles accordent. SerpTune est un service destiné aux entreprises, non aux enfants ; les utilisateurs doivent avoir au moins 18 ans et nous ne collectons pas sciemment de données de personnes de moins de 16 ans.

16. Sécurité

Nous protégeons les données par un chiffrement en transit (TLS, HSTS), des mots de passe hachés (Argon2id), une protection CSRF, une limitation de débit et un verrouillage des connexions, une protection anti-bots, un accès au moindre privilège et une journalisation d'audit. Aucun système n'est parfaitement sûr ; nous vous notifierons, ainsi que l'autorité de contrôle compétente, une violation de données personnelles là où et comme la loi l'exige.

17. Modifications et contact

Nous pouvons mettre à jour la présente politique ; les modifications substantielles seront notifiées par e-mail et avis in-app avant leur entrée en vigueur. Questions de confidentialité et demandes des personnes concernées : [email protected] ou notre formulaire de contact. Adresse postale : Redbit S.r.l.s., Viale della Grande Muraglia 494, 00144 Rome, Italie.