Politique de confidentialité

Dernière mise à jour : 1 novembre 2026

La présente politique décrit comment BeLocal, service édité par Digiflow Agency, collecte, utilise et protège vos données personnelles lorsque vous utilisez la plateforme accessible à l'adresse belocal.digiflow-hub.com.

Elle est rédigée conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi française Informatique et Libertés.

1. Responsable de traitement

DIGIFLOW (nom commercial DIGIT'UP), société par actions simplifiée (SAS), immatriculée au Registre du Commerce et des Sociétés sous le numéro 909 300 584 (date d'immatriculation : 03/01/2022), dont le siège social est situé Route de Gréasque, 13120 Gardanne, France.

Contact protection des données (DPO) : contact@digiflow-agency.fr
Contact sécurité technique (DSI) : jegr@digiflow-agency.fr

Digiflow est responsable des traitements nécessaires à la gestion des comptes BeLocal, des abonnements et à la sécurité du service. Pour les contacts clients importés, les campagnes, les enquêtes et la gestion des avis pour le compte d'une entreprise, BeLocal agit en sous-traitant de cette entreprise, sur ses instructions. L'entreprise détermine les finalités, la base légale, les destinataires et les durées de conservation de ces traitements, et informe les personnes concernées.

2. Données collectées

2.1 Lors de la création de compte

• Email professionnel
• Mot de passe (stocké sous forme hashée bcrypt, jamais en clair)
• Nom et prénom, rôle, appartenances aux espaces entreprise ou agence et invitations
• Préférences d’alertes d’avis et d’enquêtes, de bilan mensuel, de relance d’inactivité, de rappel hebdomadaire des avis sans réponse, de récapitulatif quotidien des nouveaux avis (désactivé par défaut), d’alerte quotidienne des avis à échéance par agence (désactivée par défaut), d’alerte de fin de mois des actualités et rapports par agence (désactivée par défaut), de rappel du lundi des fiches Google à mettre à jour par agence (désactivé par défaut), d’alerte de reconnexion Google, de relance d’activation des comptes sans espace, de rappel de fin d’essai par entreprise et dates de consultation du centre À traiter
• Dernière activité authentifiée connue : connexion ou visite de BeLocal avec une session valide. Les visites actualisent au plus une fois par 24 heures cette seule date, sans historique des pages ni suivi périodique en arrière-plan.
• Dates de création, d’expiration et d’utilisation ou d’invalidation des demandes de réinitialisation du mot de passe
• Activité de sécurité du compte : connexions réussies (identifiants, double authentification comprise, et Google), date, navigateur et système estimés, empreinte salée propre au compte et réseau tronqué (IPv4 /24, IPv6 /48). Ce traitement repose sur notre intérêt légitime à sécuriser les comptes. Aucun User-Agent brut ni IP complète n’est conservé dans cet historique. Les événements sont conservés 90 jours et purgés à l’écriture et par la tâche périodique existante. Le registre des empreintes déjà rencontrées, sans date ni réseau, et la préférence restent jusqu’à la suppression du compte. L’historique récent et la préférence figurent dans « Mes données » ; les sels et empreintes techniques en sont exclus. Une nouvelle combinaison navigateur/système peut déclencher un e-mail via AWS SES (adresse du compte, date, appareil et réseau tronqué), sauf au premier appareil, dans la limite de trois tentatives par 24 heures. Vous pouvez désactiver ces alertes dans les notifications ou votre compte personnel. Tous ces éléments sont effacés avec le compte.
• Double authentification facultative : état d’activation, secret TOTP chiffré, empreintes des codes de secours et compteur du dernier code utilisé pour empêcher sa réutilisation
• Nom de votre entreprise
• SIRET (facultatif à l'inscription, requis pour les fonctionnalités SIRET-auto)

2.2 Lors de la création de votre fiche d'établissement

• Adresse postale de l'établissement
• Numéro de téléphone, site web
• Catégorie d'activité, description
• Horaires d'ouverture
• Photos que vous nous transmettez ou importez depuis Google, et coordonnées des contacts de l'établissement

2.3 Lors de la connexion à des plateformes tierces (Google Business Profile, etc.)

• Identifiant de votre compte Google (sub), adresse email associée, nom et photo de profil publics — uniquement pour vous identifier dans BeLocal
• Jetons d'accès et de rafraîchissement OAuth émis par Google, stockés de manière chiffrée dans notre base de données (chiffrement AES-256-GCM ; les clefs ne sont jamais exposées côté client)
• Identifiants et contenu des fiches que vous nous autorisez à gérer en votre nom (location id Google, titre, adresse, attributs, médias et avis publiés)

2.4 Contacts clients, campagnes et enquêtes

• Noms et adresses e-mail des contacts saisis par l'entreprise ou importés par fichier CSV, Excel ou collage, groupes de contacts, dates de création et de modification et date de désinscription aux e-mails. Téléphone français facultatif saisi ou importé depuis une colonne identifiée, et notes internes facultatives saisies dans la fiche contact. Ces champs servent à la relation client et au repérage des doublons ; téléphone et notes peuvent être consultés, corrigés ou vidés dans la fiche, et exportés en CSV.
• Une fusion choisie par l’entreprise réunit les historiques et conserve les déclarations d’origine : identifiants et anciennes adresses e-mail, base légale, précision, date, identifiant de l’auteur et éventuelle opposition. Ces informations sont consultables dans la fiche et exportables en CSV ; elles maintiennent les anciens liens de désinscription et la trace des déclarations, sans constituer une preuve de consentement vérifié. La fusion n’enregistre aucune opposition nouvelle. Les déclarations suivent la conservation du contact résultant, sans purge périodique distincte, et sont effacées avec lui ou l’entreprise. Lorsqu’une opposition impose de conserver le contact, les anciennes adresses servent également à la respecter. Pour l’accès, la rectification d’une déclaration historique inexacte ou l’examen d’une demande d’effacement, adressez-vous à l’entreprise ou à notre support.
• Campagnes et invitations aux enquêtes : objet, contenu du message, signature, noms et e-mails des destinataires, dates, statuts d'envoi, identifiants de message SES et diagnostics d'échec. L'historique conserve une copie des coordonnées utilisées lors de l'envoi.
• Campagnes classiques : les liens HTTP(S) du message HTML peuvent utiliser une redirection personnelle aléatoire /clics/<jeton>. La mesure s’arrête après 90 jours ; les liens restent utilisables sans nouvelle mesure tant que leur destination est conservée. La destination et la date du premier clic par destinataire et par lien permettent le bilan de campagne (cliqueurs uniques et taux sur les envois acceptés). Aucun pixel d’ouverture, adresse IP ni user-agent n’est enregistré par ce suivi. Les scanners de messagerie peuvent compter des clics. La désinscription reste directe et n’est jamais mesurée. Ce suivi sert à l’établissement à évaluer ses campagnes, dans le prolongement de leur gestion. Les dates et destinations restent avec l’historique jusqu’à suppression du contact, de la campagne ou de l’entreprise ; les clics reçus à l’adresse d’un compte sont aussi effacés à sa suppression.
• Demandes d’avis par e-mail : lien personnel aléatoire de la forme /avis/<jeton> valable 90 jours, date de première ouverture du lien et choix, délai, état et date d’une éventuelle relance unique. Ce suivi n’enregistre ni adresse IP ni user-agent et ne confirme pas la publication d’un avis. La date est visible par l’établissement. Les logiciels de messagerie peuvent ouvrir un lien automatiquement. Le suivi des clics relève de l’intérêt légitime de l’établissement à suivre ses sollicitations. Une relance après 3 à 14 jours peut être choisie par l’établissement pour les seuls contacts sans clic ayant un consentement déclaré en boutique ou en ligne. Désinscriptions et rebonds sont exclus ; aucun autre rappel automatique n’est envoyé. Un compteur global sans identifiant limite les résolutions en échec à 1 200 par minute ; il ne bloque pas les liens valides. Les jetons malformés sont écartés sans incrémenter ce compteur.
• Enquêtes publiques accessibles par un lien de la forme /r/<id> : réponses textuelles, notes, choix, date de soumission, identifiant de réponse, adresse IP et indicateur de satisfaction calculé selon les critères de l'entreprise. Le formulaire public sans lien personnel ne rattache pas la réponse à un contact importé. Les nouvelles invitations par e-mail utilisent un lien personnel signé : la réponse est rattachée à l’identifiant du contact invité, sans recopier son nom ou son e-mail, afin d’exclure ce contact de la relance unique proposée après trois jours. Les désinscriptions, rebonds et réponses identifiées sont exclus de cette relance. Les anciennes réponses anonymes ne sont pas attribuées rétroactivement. L’adresse IP et le texte libre peuvent néanmoins permettre une identification.
• Suivi des réponses insatisfaites : statut « À recontacter », « En cours » ou « Résolu », note interne de 500 caractères maximum, auteur et date de dernière modification. Ce suivi permet à l’entreprise d’organiser le recontact ; il est réservé aux membres et agences autorisés à consulter les résultats et n’est jamais affiché au répondant. Seules les coordonnées déjà recueillies avec le consentement du client sont affichées.
• Suggestions privées : texte transmis par e-mail à l'adresse de retour configurée par l'entreprise. Lorsqu'un lien d'avis Google est proposé, son ouverture résulte de votre clic ; l'avis est alors déposé directement auprès de Google.

2.5 Avis et réponses assistées par IA

• Avis synchronisés depuis Google : identifiant, nom et photo publics de l'auteur, note, texte, dates, réponse de l'établissement et statut de traitement.
• Brouillons et réponses publiées, exemples de style personnalisés, consignes de l’entreprise, réglages IA, créneaux de publication et historique des envois. Pour générer une réponse, Anthropic reçoit l'identifiant, le nom de l'auteur, la note et le texte de l'avis, le nom de l'établissement, les exemples de style utilisés et les consignes de l’entreprise (signature, informations à mentionner et sujets ou formulations à éviter). Si l’option « S’inspirer de mes réponses validées » est activée par l’entreprise (désactivée par défaut), Anthropic reçoit aussi, dans la même génération, jusqu’à 5 extraits courts des dernières réponses publiées par son équipe dans BeLocal et des avis correspondants, avec leur note. Dans les générations qui joignent ces extraits, les noms d’auteurs connus et les coordonnées détectables sont masqués dans l’avis à traiter et les exemples transmis. Les envois automatiques ou programmés n’en font jamais partie. Le masquage reste heuristique : un surnom, le nom d’une autre personne ou une coordonnée atypique peut subsister. Ces textes libres peuvent contenir des données personnelles. Les consignes sont transmises pour les suggestions individuelles ou en lot, le test IA et les réponses programmées. N'y ajoutez pas de données sensibles ou inutiles.
• Sujets récurrents des avis : sur demande explicite d’un propriétaire ou gérant autorisé, Anthropic reçoit jusqu’à 80 commentaires Google des 180 derniers jours et leurs notes, avec des références temporaires, pour dégager les points forts et irritants. Les textes sont limités à 1 200 caractères chacun et 24 000 au total. Les champs de nom et photo d’auteur, les identifiants internes et dates ne sont pas transmis pour cette analyse. Les coordonnées détectables sont masquées, sans garantir l’anonymat du texte libre. Le résultat privé contient des résumés et des extraits mot pour mot des commentaires expurgés (espaces et sauts de ligne normalisés), conservés en cache dans la base BeLocal en France et accessibles aux membres autorisés de l’espace.

Widget public d’avis Google

Sur activation explicite d’un gérant autorisé, un widget public peut afficher sur le site de l’entreprise la note moyenne et le nombre d’avis Google synchronisés, ainsi qu’une sélection d’avis déjà publics sur Google : prénom et initiale du nom de l’auteur, note, date et texte tronqué. Aucun avatar, lien de profil ni brouillon de réponse n’est affiché. Le texte peut néanmoins contenir des données personnelles. L’entreprise choisit le filtre de note et les destinataires de cette republication, et doit disposer d’une base légale adaptée et informer les personnes concernées. BeLocal sert ce widget en sous-traitance, sans outil de suivi ajouté au widget ; les journaux techniques d’accès peuvent contenir l’adresse IP. La désactivation rend son adresse publique indisponible dès le prochain chargement. Le lien « Laisser un avis » ouvre Google uniquement après un clic.

Visuels d’avis Google à partager

Sur demande d’un membre autorisé de l’espace, BeLocal génère un PNG à partir d’un avis Google positif : note, extrait limité à 240 caractères, nom de l’établissement et mention « Avis Google ». Par défaut, l’auteur est réduit au prénom et à l’initiale du nom ; une option permet de masquer complètement son nom. La photo et le lien de profil Google de l’auteur ne sont jamais inclus. Les emojis sont retirés et les alphabets incompatibles avec la police locale ne sont pas proposés. Le texte libre peut encore contenir des données personnelles : vérifiez l’extrait et sa présentation. Le fichier est généré localement sur le serveur BeLocal, sans transfert vers un service de création d’images et sans stockage du PNG ni d’une copie supplémentaire de l’avis. Son aperçu et son téléchargement sont privés aux membres autorisés. Le partage reste manuel : aucune publication automatique ni écriture sur Google. L’entreprise décide de la diffusion publique et de ses destinataires ; elle est responsable de disposer d’une base légale adaptée à cette republication et d’informer les personnes concernées. BeLocal réalise la génération en sous-traitance. Le téléchargement est tracé dans le journal partagé de l’espace avec l’avis concerné, le compte auteur et la date, sans copie du texte ni de l’image. Les téléchargements répétés d’un même avis par un même compte sont regroupés par jour UTC. La référence au compte auteur est anonymisée à la suppression du compte ; la clé technique ne contient ni identifiant ni empreinte du compte.

2.6 Abonnements et paiements

Les paiements sont actifs et traités par Stripe, via Checkout et le portail client. Stripe collecte les informations de paiement et de facturation que vous y saisissez. BeLocal conserve les identifiants Stripe du client et de l'abonnement, la formule, le statut, les périodes de facturation et les changements ou résiliations programmés. Les identifiants internes de l'entreprise, de l'abonnement et de la formule sont transmis à Stripe pour rattacher le paiement au bon espace. Les numéros complets de carte bancaire ne sont pas stockés dans BeLocal.

Les propriétaires et gestionnaires autorisés de l’espace entreprise, ainsi que les propriétaires et gestionnaires d’une agence actuellement rattachée à cet espace, peuvent consulter les numéros, dates, statuts et montants des factures lus chez Stripe et en télécharger un export CSV privé. Les factures hébergées et PDF sont ouvertes chez Stripe ; BeLocal ne stocke pas les PDF ni les coordonnées de facturation dans cet historique. Les droits sont revérifiés à chaque consultation et export.

Vous pouvez aussi saisir dans le formulaire « Coordonnées de facturation » de BeLocal la raison sociale, l’adresse et son complément, le code postal, la ville, le pays, l’e-mail de facturation et, facultativement, le numéro de TVA et le SIRET. BeLocal transmet ces données à Stripe, qui les stocke sur son profil client (Customer) pour préparer les prochaines factures ; le SIRET figure dans les métadonnées du profil et dans un champ personnalisé de facture. Les factures déjà émises restent inchangées. Au premier enregistrement, un Customer Stripe peut être créé pour l’entreprise, y compris avec une formule gratuite, sans paiement ni changement de formule. Les coordonnées sont ensuite relues chez Stripe ; BeLocal conserve le lien vers ce Customer, sans créer de copie locale supplémentaire des coordonnées saisies dans ce formulaire. Seuls les propriétaires et gestionnaires de l’espace, les propriétaires et gestionnaires d’une agence actuellement rattachée et les administrateurs BeLocal vérifiés peuvent consulter ces coordonnées. Seuls le propriétaire direct de l’espace ou un administrateur BeLocal vérifié peuvent les modifier dans BeLocal ; les autres membres n’y ont pas accès.

Lors du passage d’une formule payante à Free depuis BeLocal, un motif de résiliation est demandé et un commentaire de 500 caractères maximum est facultatif. BeLocal conserve le motif, le commentaire, l’entreprise, l’abonnement, la formule quittée, le compte auteur et la date pour comprendre les départs et améliorer les formules. Ces réponses sont accessibles uniquement à l’administration de BeLocal, sans transmission du questionnaire à Stripe ni à un prestataire d’IA. Évitez d’y saisir des données sensibles ou des informations concernant d’autres personnes.

2.7 Données techniques et journaux

• Cookies techniques d'authentification, de session et de sélection d'espace
• Recommandation : identifiant de l'entreprise qui vous a recommandé BeLocal, date d'inscription et date de création du premier espace attribuées à son lien
• Adresse IP et informations de requête pouvant figurer dans les journaux d'accès et d'erreur
• Identifiants d'entreprise, de fiche ou d'avis, dates, statuts et diagnostics de synchronisation et de publication ; événements de consommation des quotas et de coût IA (modèle, nombre de jetons et montants) ; copies des récapitulatifs IA envoyés par e-mail. Marqueurs de tentative des bilans mensuels, des relances d’activation (étape, statut et date de réservation) et de limitation des alertes d’enquêtes, marqueurs de rappel de fin d’essai (entreprise, compte, abonnement, statut, nombre de tentatives et date), marqueurs quotidiens des alertes agence sur les avis à échéance (agence, compte, jour, statut et date), ainsi que ceux des alertes de fin de mois (agence, compte, jour, statut et date), marqueurs hebdomadaires du rappel des fiches Google à mettre à jour (agence, compte, semaine, statut et date), marqueurs de limitation des e-mails de test de campagne (au plus cinq dates de réservation par compte, jour et compteur collectif de vingt tests au plus par entreprise, sans adresse ni contenu d’e-mail), dates des imports de médias et des modifications de réglages ou d’intégrations attribués au compte.
• Les réservations de tests e-mail sont remplacées au prochain test ; la clé personnelle est effacée lors de la suppression effective du compte et le compteur collectif avec l’entreprise. L’export personnel inclut les dates de réservation conservées et leur date de mise à jour, sans le compteur partagé ni preuve de réception.
• Empreintes de l'identifiant de connexion et de l'IP utilisées temporairement pour limiter les tentatives de connexion
• Réinitialisation de la double authentification par le support : identifiants du compte concerné et de l’administrateur, date de l’action ; aucun secret ni code dans ce journal

2.8 Audit gratuit de présence locale

Le formulaire anonyme /audit demande le nom commercial de l’établissement et sa ville ou son code postal. Ces critères sont transmis à Nominatim par le serveur BeLocal pour rechercher une correspondance sur OpenStreetMap. Ne saisissez pas de données personnelles. Un nom commercial peut néanmoins identifier une personne exerçant à titre individuel. Pour une correspondance, seuls une adresse géographique, une catégorie OSM et le lien de l’élément OpenStreetMap sont affichés. Aucun appel à Google, aucune collecte d’e-mail ni envoi d’e-mail n’est effectué. La liste de contrôle Google est déclarative : ses cases ne sont ni transmises au serveur ni enregistrées.

Aucun diagnostic ni saisie n’est enregistré en base ou sur disque. Le cache de résultats et les empreintes IP de limitation sont temporaires et en mémoire uniquement. Un champ piège et un ticket signé, valable deux heures avec trois secondes minimum de remplissage, limitent les abus sans cookie ni nouvelle collecte d’identité. L’action ne journalise ni saisie, ni résultat, ni IP, ni ticket. Les finalités et durées figurent aux sections 3 et 6 ; les journaux techniques d’accès peuvent contenir l’IP.

2.9 Demande de démo et de contact commercial

Le formulaire « Demander une démo » sur /tarifs, accessible depuis l’accueil, recueille votre nom, votre entreprise, votre e-mail professionnel et le nombre d’établissements. Le téléphone et le message sont facultatifs. Ces informations sont envoyées par e-mail aux administrateurs Digiflow de BeLocal pour préparer la démo et répondre à votre demande, sans inscription à une liste de prospection. La case de consentement est obligatoire et n’est pas précochée ; son accord et la date de réception accompagnent la demande dans l’e-mail interne.

Pour prévenir les abus, le formulaire utilise un champ piège, un délai minimal de saisie et des empreintes temporaires de l’IP et de l’e-mail, sans ces valeurs en clair dans le limiteur. Il ne journalise pas le contenu ni vos coordonnées ; seul un identifiant de demande peut figurer dans un diagnostic d’échec. Les journaux techniques d’accès du serveur peuvent contenir l’IP.

2.10 Invitations professionnelles aux entreprises pilotes

Digiflow peut inviter une entreprise à tester BeLocal en tant que pilote. L’administrateur saisit uniquement le nom de l’entreprise, l’adresse e-mail professionnelle du contact et, s’il le souhaite, un message personnel, effacé dès l’utilisation ou la révocation de l’invitation. BeLocal conserve aussi une empreinte de l’adresse, l’état et les dates des envois (trois au plus), l’échéance du lien, son utilisation ou sa révocation. Aucun compte n’est créé à l’avance. Le lien d’inscription est personnel, à usage unique et expire après 14 jours ; seule son empreinte est stockée. Une adresse déjà inscrite ou opposée n’est pas invitée.

Le suivi privé de l’invitation rapproche, à la consultation, l’adresse invitée du compte créé à cette adresse puis de ses espaces directs (fiche Google connectée, activité sur 30 jours, abonnement payant), selon les critères du suivi des pilotes. Aucun identifiant de compte n’est enregistré dans l’invitation et aucune ouverture ni aucun clic n’est mesuré. Les contacts importés par les entreprises clientes ne sont pas consultés pour cette prospection. Les administrateurs habilités de Digiflow consultent et exportent ce suivi.

Chaque e-mail indique le responsable, la finalité, la base légale, les données utilisées, leur durée de conservation et vos droits. Il propose un lien d’opposition utilisable sans compte, également pris en charge par la fonction de désabonnement en un clic de votre messagerie. L’opposition supprime l’invitation et inscrit une empreinte de votre adresse, sans l’adresse en clair, sur une liste d’opposition. Elle est distincte de la désinscription aux messages d’un établissement utilisant BeLocal.

Assignation interne des avis

L’équipe peut assigner un avis à un membre ayant accès à l’espace entreprise, directement ou via une agence rattachée. Nous conservons l’identifiant de l’avis, les membres concernés, l’auteur de l’action et les dates pour coordonner le traitement (exécution du contrat). Ces informations restent privées à l’équipe et ne sont jamais envoyées à Google. Une réponse publiée retire l’avis de « Mes avis à traiter », tout en conservant l’assignation et son historique. La perte du dernier accès entraîne la désassignation. L’historique suit la conservation de l’espace : il est effacé avec l’entreprise ou l’avis ; les références à un compte supprimé sont anonymisées.

Si l’auteur de l’assignation le demande, un e-mail facultatif est acheminé par Amazon SES à la personne assignée, sauf si elle est l’auteur de l’action. Il contient le lien vers BeLocal, sans le texte de l’avis. Vous pouvez désactiver ces e-mails pour votre compte et cette entreprise dans les paramètres de notification. L’export « Mes données » inclut vos assignations, les événements auxquels vous avez participé et votre préférence e-mail, sans le contenu des avis ni les identifiants des autres membres.

2.11 Notifications push des nouveaux avis

Si vous activez les notifications sur un appareil, depuis les paramètres de notification d’une entreprise, votre navigateur crée un abonnement auprès du service push de son éditeur. BeLocal enregistre, pour votre compte et cette entreprise, l’adresse d’abonnement fournie par le navigateur, ses clés de chiffrement, votre choix (tous les nouveaux avis ou les avis de 1 à 3 étoiles), les dates de création, de modification, du dernier envoi et de la dernière notification de test. Chaque notification contient le nom de l’entreprise, la note et au plus les 120 premiers caractères de l’avis, sans le nom de son auteur, ainsi qu’un lien vers BeLocal. Un marqueur par avis évite les doublons.

2.12 Signalement d’un défaut d’accessibilité

Le formulaire de la déclaration d’accessibilité recueille votre adresse e-mail, la page ou la fonctionnalité concernée et la description de l’obstacle ; votre nom est facultatif. Ces informations sont envoyées par e-mail aux administrateurs Digiflow de BeLocal, avec une référence aléatoire et la date de réception, pour vous répondre et corriger l’obstacle. Le signalement n’est pas enregistré en base et aucun accusé de réception n’est envoyé à l’adresse saisie : la référence s’affiche à l’écran après l’envoi.

Comme pour la demande de démo, le formulaire utilise un champ piège, un délai minimal de saisie et des empreintes temporaires de l’IP et de l’e-mail, sans ces valeurs en clair dans le limiteur. Il ne journalise ni le contenu ni vos coordonnées ; seule la référence du signalement peut figurer dans un diagnostic d’échec.

3. Finalités et bases légales

• Signalement d’un défaut d’accessibilité : notre intérêt légitime à rendre BeLocal accessible et à répondre aux personnes qui rencontrent un obstacle.
• Création et gestion des comptes, espaces entreprise et agence, invitations et accès : exécution du contrat
• Dernière activité authentifiée : mesure des espaces pilotes actifs et ciblage des relances de service pour les propriétaires et gérants ; intérêt légitime à accompagner l’utilisation du service. Les relances peuvent être désactivées dans les paramètres de notification.
• Rappel hebdomadaire des avis Google sans réponse : notre intérêt légitime à aider les propriétaires et gérants directs à suivre leurs avis. Le lundi, au plus un e-mail par entreprise et par semaine, si des avis de fiches connectées attendent depuis plus de 7 jours sans réponse. Il contient leur nombre, leur note moyenne et au plus trois courts extraits, sans nom d’auteur, transmis à AWS SES pour l’envoi. Vous pouvez vous y opposer par le lien de chaque e-mail, sans session, par le désabonnement en un clic de votre messagerie ou dans les paramètres de notification.
• Alerte quotidienne des avis à échéance dans l’agence : exécution du contrat, à la demande du membre. Désactivée par défaut, elle est réservée aux propriétaires et gestionnaires qui activent l’option pour leur agence. Chaque membre reçoit au plus une alerte par agence et par jour civil Europe/Paris, à partir de 8 h, uniquement si des avis sont en retard sur 72 h ou à moins de 24 h de leur échéance. Les chiffres proviennent des données déjà synchronisées dans BeLocal. AWS SES reçoit l’adresse e-mail du compte, le nom de l’agence, les noms des entreprises concernées, leurs compteurs et les liens du message, sans texte d’avis ni nom d’auteur. Les compteurs distinguent les retards sur 72 h, les échéances à moins de 24 h et les avis sans réponse depuis plus de 7 jours. Vous pouvez désactiver l’option dans /agency/settings, après connexion et sélection de l’agence concernée. Le lien de réglages présent dans l’e-mail ne désactive rien à sa visite : il faut décocher l’option et enregistrer le choix. Cette alerte ne comporte pas de lien de désinscription signé.
• Alerte de fin de mois (actualités et rapports) : exécution du contrat à la demande du propriétaire ou gestionnaire de l’agence, option personnelle désactivée par défaut dans /agency/settings. Du 25 à la fin du mois, à partir de 8 h Europe/Paris, au plus une tentative par membre, agence et jour, seulement s’il manque des actualités publiées et attestées dans le mois ou des remises de rapports du mois précédent. AWS SES reçoit l’adresse du compte, les compteurs de fiches, les mois concernés et les liens vers /agency/actualites et /agency/rapports, sans nom de client ni texte d’avis ou d’actualité. Pour désactiver, décochez « Alerte de fin de mois (actualités et rapports) » et enregistrez dans /agency/settings après connexion et sélection de l’agence ; aucun lien de désinscription signé.
• Rappel du lundi des fiches Google à mettre à jour : exécution du contrat, à la demande du membre de l’agence. Cette option personnelle désactivée par défaut est accessible aux propriétaires, gestionnaires et membres, uniquement pour les fiches dont ils sont actuellement référents. Le lundi à partir de 8 h Europe/Paris, au plus une tentative par compte, agence et semaine signale les fiches sans écriture Google attestée la semaine passée et celles encore sans écriture attestée cette semaine. Seules les écritures connues de BeLocal sont comptées, à l’exclusion des réponses aux avis ; ce rappel ne déclenche aucune publication. AWS SES reçoit l’adresse e-mail du compte, le nom de l’agence, les noms des fiches concernées, les semaines et les liens génériques vers le portefeuille et les réglages, sans texte d’avis ni coordonnées de clients. Pour désactiver, décochez « Rappel du lundi : fiches Google à mettre à jour » et enregistrez dans /agency/settings après connexion et sélection de l’agence. Le lien de réglages de l’e-mail ne désactive rien à sa visite ; aucun lien de désinscription signé.
• Alerte de reconnexion Google : notre intérêt légitime à prévenir le propriétaire direct d’un espace quand Google refuse durablement l’accès à sa fiche (autorisation révoquée ou expirée, accès retiré). Un e-mail par incident puis un rappel au plus sept jours après, transmis à AWS SES ; seule la date et la cause de l’incident sont conservées, jusqu’à la reconnexion. Vous pouvez vous y opposer par le lien de chaque e-mail, sans session, ou par le désabonnement en un clic de votre messagerie.
• Relances d’activation des comptes sans espace : notre intérêt légitime à accompagner les personnes inscrites dans le démarrage du service. La sélection utilise la date de création du compte (users.created_at) et l’absence de toute appartenance entreprise ou agence (space_memberships), sans consulter vos données Google. Les administrateurs sont exclus. Deux relances au maximum sont prévues : à partir de J+2 puis de J+7, avec au moins cinq jours depuis la première tentative, et aucun envoi après J+30. Vous pouvez vous opposer à ces relances par le lien de désinscription de chaque e-mail, sans session BeLocal, ou par la fonction de désabonnement en un clic de votre messagerie. Cette préférence vaut pour les deux étapes. L’adresse du compte et le contenu du rappel sont transmis à AWS SES pour l’envoi ; ces rappels ne constituent pas une inscription à une liste de prospection.
• Gestion des fiches, synchronisation Google et recherche de présence OpenStreetMap : exécution du contrat avec l'entreprise. La connexion Google nécessite votre autorisation OAuth, révocable ; cette autorisation technique ne remplace pas la base légale requise pour les données des autres personnes.
• Gestion des abonnements et paiements : exécution du contrat ; conservation des pièces comptables : obligation légale
• Rappel de fin d’essai : notre intérêt légitime à accompagner les propriétaires dans la gestion de leur abonnement et à leur rappeler les conditions de fin d’essai. Seuls les propriétaires directs de l’entreprise le reçoivent, à l’exclusion des gérants, membres et accès par une agence. Au plus un e-mail par essai et par propriétaire est envoyé environ trois jours avant la fin de l’essai d’une formule payante ; un passage manqué peut être rattrapé jusqu’à une heure avant la fin. AWS SES reçoit l’adresse e-mail du propriétaire, le nom de l’entreprise, la formule, la date de fin d’essai, les informations sur la fin de l’abonnement ou le prélèvement et les liens du message. Le rappel peut inclure les compteurs non nuls des 30 derniers jours : réponses publiées sur les avis Google depuis BeLocal, campagnes e-mail et invitations aux enquêtes envoyées, sans texte d’avis ni coordonnées des clients. Vous pouvez vous opposer à ces rappels pour cette entreprise par le lien signé de chaque e-mail, sans session BeLocal, par le désabonnement en un clic de votre messagerie (RFC 8058) ou dans Paramètres → Notifications.
• Analyse des motifs de résiliation : notre intérêt légitime à comprendre les départs et améliorer les formules ; vous pouvez exercer votre droit d’opposition en nous contactant.
• Envoi des e-mails transactionnels liés au service : exécution du contrat
• Notifications push des nouveaux avis : exécution du contrat, à votre demande ; elles ne sont envoyées qu’aux appareils que vous avez activés, après l’autorisation de votre navigateur, et se désactivent à tout moment depuis l’appareil concerné.
• Demande de contact commercial et organisation d’une démo : votre consentement explicite pour vous recontacter au sujet de cette demande. Vous pouvez le retirer à tout moment à contact@digiflow-agency.fr.
• Invitations des entreprises pilotes : prospection professionnelle (B2B) fondée sur l’intérêt légitime de Digiflow à proposer BeLocal aux entreprises, pour leur activité, et à suivre le démarrage des pilotes. Vous pouvez vous y opposer à tout moment, gratuitement et sans compte, par le lien de chaque invitation.
• Audit public : fournir au visiteur le diagnostic qu’il demande, sur la base de notre intérêt légitime à proposer une vérification gratuite de présence locale. La limitation des tentatives repose sur notre intérêt légitime à prévenir les abus et à sécuriser le service ; ces données ne servent pas à la prospection.
• Sécurité, prévention des abus, diagnostic des erreurs et suivi technique de la consommation : intérêt légitime à sécuriser et exploiter le service
• Double authentification facultative des connexions par identifiants : protection du compte et assistance en cas de perte d’accès, sur la base de notre intérêt légitime à sécuriser le service. La connexion Google est refusée pour un compte dont la double authentification BeLocal est activée ; utilisez votre mot de passe BeLocal et un code d’authentification ou de secours.

Pour les contacts, campagnes, enquêtes et avis traités en sous-traitance, BeLocal fournit les fonctions de gestion de la relation client, d'envoi d'e-mails, de mesure de la satisfaction et de réponse aux avis sur instruction de l'entreprise. Celle-ci doit disposer d'une base légale adaptée, notamment le consentement lorsqu'il est requis pour la prospection, ou un intérêt légitime lorsque les conditions le permettent. Un import de contacts ne constitue pas une preuve de consentement. BeLocal ne réutilise pas ces contacts pour sa propre prospection.

Réponses IA et publication

L’analyse des sujets récurrents aide l’entreprise à comprendre ses points forts et les attentes exprimées dans les avis. BeLocal réalise ce traitement en sous-traitance, sur demande d’un gestionnaire autorisé ; l’entreprise détermine et documente sa base légale et informe les personnes concernées. Aucun résultat de cette analyse n’est publié sur Google.

Par défaut, la réponse IA est un brouillon soumis à validation humaine avant publication. La publication automatique sans validation de chaque texte intervient seulement si le client l'active, dans les créneaux configurés par le client (heure de Paris), dans le quota mensuel IA de sa formule, et uniquement sur Google Business Profile. Le client peut désactiver ou supprimer ses créneaux. Si ces conditions ne sont plus réunies, la publication automatique est bloquée et le texte reste en brouillon. Les réponses groupées confirmées manuellement peuvent également être envoyées de manière échelonnée ; cet envoi ne vaut pas activation de la réponse IA automatique.

Journal d’activité partagé de l’entreprise

Pour permettre aux équipes de suivre les actions réalisées dans leur espace, BeLocal conserve la nature et la date des actions (publication d’une réponse, téléchargement d’un visuel d’avis, mise à jour de fiche, envoi de campagne, acceptation d’une invitation agence et changement de formule), les identifiants de l’entreprise et de l’objet concerné, ainsi que l’identifiant du compte auteur et, le cas échéant, de son agence. Le nom actuel de l’auteur et de l’agence est affiché aux membres directs de l’entreprise et aux membres des agences actuellement rattachées, y compris leurs gestionnaires. Les créations d’invitations et les transferts de propriété en attente ne figurent pas dans ce journal partagé. Aucun texte d’avis ou de réponse, contenu de campagne, e-mail de destinataire ni jeton d’invitation n’y est copié. Ce traitement repose sur l’intérêt légitime à coordonner les équipes et suivre les actions du service. La conservation suit celle de l’espace entreprise, sans purge automatique à délai fixe ; la suppression de l’entreprise efface son journal. À la suppression d’un compte ou d’une agence, sa référence d’auteur est anonymisée et son nom n’est plus affiché ; les événements restent conservés pour l’espace. Vous pouvez exercer vos droits auprès du contact indiqué dans la section 8.

Historique des versions de la fiche Google

Après une modification réussie depuis BeLocal, nous conservons les valeurs avant et après des seuls champs modifiés : description, horaires, catégories, téléphone, site web, services, liens d’action et attributs. Chaque version est liée à l’entreprise et à la fiche, avec la date et l’auteur (compte utilisateur, agence ou automatisation). Les membres autorisés de l’espace peuvent comparer les versions ; une restauration exige une action et une confirmation explicites, puis les mêmes contrôles que la modification habituelle. Ce traitement repose sur l’exécution du contrat pour permettre de corriger une erreur. L’historique ne contient aucun jeton de connexion Google. Il est conservé pendant 12 mois au maximum, dans la limite de 200 entrées par fiche, puis purgé par la tâche planifiée du service. Les versions hors limites ne sont plus affichées ni restaurables en attendant leur suppression par lots. La suppression de la fiche ou de l’entreprise efface ses versions. La suppression d’un compte ou d’une agence retire sa référence d’auteur ; les textes professionnels saisis restent dans l’historique jusqu’à sa purge et ne deviennent pas automatiquement anonymes.

Bilan mensuel du portefeuille agence

Chaque membre d’une agence reçoit par défaut un bilan mensuel des seules entreprises actuellement rattachées à cette agence : nombre d’entreprises, nombres d’avis Google sans réponse et noms des entreprises à traiter, connexions Google à vérifier et entreprises sans activité authentifiée connue d’un membre direct depuis 30 jours. Aucune date individuelle, aucun texte d’avis ni donnée de contact ou d’enquête de client final ne figure dans ce bilan. Les chiffres reflètent l’état synchronisé lors de l’envoi. Ce traitement repose sur l’intérêt légitime à accompagner l’utilisation du service. La préférence est personnelle à chaque agence, désactivable dans /agency/settings ou par le lien signé de l’e-mail, sans connexion. Nous conservons la préférence et un marqueur mensuel de tentative, sans copie du contenu du bilan ni suivi d’ouverture ou de clic. L’envoi utilise Amazon SES, déjà utilisé pour les e-mails du service.

Alerte hebdomadaire de baisse de visibilité Google

Pour chaque entreprise dont la fiche Google est connectée, BeLocal lit chaque semaine, à partir du mercredi, les statistiques de la fiche par l’API Performance de Google (impressions dans la Recherche et sur Maps, clics sur Appeler, demandes d’itinéraire et clics vers le site), en lecture seule, pour comparer la semaine écoulée (du lundi au dimanche) à la précédente. Si les impressions baissent d’au moins 30 %, avec au moins 50 impressions la semaine précédente, les propriétaires et gérants directs de l’entreprise reçoivent un e-mail : chiffres des deux semaines et pistes d’action (avis sans réponse, profil, médias), au plus une fois par semaine et par entreprise. Ce traitement repose sur l’intérêt légitime à accompagner l’utilisation du service ; l’adresse et le contenu de l’alerte sont transmis à Amazon SES pour l’envoi. Nous conservons les chiffres agrégés de la fiche pour la semaine concernée, un marqueur hebdomadaire de tentative par destinataire et votre préférence, sans copie de l’e-mail ni suivi d’ouverture ou de clic, et sans purge automatique, pour respecter l’opposition et éviter un second envoi ; une demande d’effacement du compte doit aussi les viser. Vous pouvez désactiver cette alerte pour chaque entreprise dans les paramètres de notification, par le lien signé de chaque e-mail, sans session, ou par le désabonnement en un clic de votre messagerie. La préférence enregistrée et les tentatives figurent dans l’export de vos données.

Marque des rapports d’agence

L’agence peut enregistrer un nom commercial, un logo, une couleur et une ligne de contact facultative pour personnaliser les rapports client, dans le cadre de la fourniture du service. Ces réglages et médias sont hébergés dans BeLocal et accessibles aux propriétaires et gestionnaires autorisés de cette agence. Le logo est servi après contrôle de leur session. Ils figurent aussi dans les rapports et PDF que l’agence remet elle-même à ses clients. Le nom et le contact peuvent identifier une personne : ne renseignez que les coordonnées professionnelles utiles à vos clients. Le logo peut être retiré ou remplacé depuis les réglages ; son ancien fichier est alors supprimé. Les autres réglages sont conservés pour fournir le service tant que l’espace est utilisé ; leur effacement peut être demandé au support. Les PDF déjà remis restent sous la responsabilité de l’agence.

Recommandation entre clients

Une entreprise cliente peut partager un lien « Recommander BeLocal ». Si vous créez votre compte depuis la page ouverte par ce lien, ou votre compte ou votre premier espace entreprise dans les 30 jours après avoir accepté de mémoriser ce lien (voir 9), BeLocal enregistre l’entreprise recommandante, la date d’inscription et la date de création de l’espace attribuées à ce lien. Base légale : intérêt légitime de Digiflow à mesurer l’efficacité des recommandations et à permettre à ses clients d’en suivre le résultat. L’entreprise recommandante et les administrateurs ne voient que des compteurs (inscriptions, espaces créés, espaces passés sur une formule payante), jamais votre nom ni votre adresse e-mail. Aucune récompense, remise ni avantage financier n’est attribué. Vous pouvez vous opposer à cette attribution auprès du contact protection des données ; elle est supprimée avec votre compte.

4. Sous-traitants et destinataires

Les prestataires et destinataires techniques ci-dessous interviennent selon les fonctionnalités utilisées. Pour les traitements confiés par une entreprise, les prestataires techniques utilisés par BeLocal interviennent dans la chaîne de sous-traitance ; les plateformes publiques appliquent aussi leurs propres conditions aux données reçues ou publiées.

Les utilisateurs autorisés de votre entreprise, les agences auxquelles vous avez donné accès et les administrateurs de la plateforme peuvent accéder aux données selon leurs habilitations. Les avis et réponses publiés sur Google sont accessibles au public ; les contacts importés et les réponses détaillées aux enquêtes ne sont pas publiés sur Google. Les liens vers les annuaires officiels issus du SIRET ouvrent des sites tiers lorsque vous les consultez. Yelp et Foursquare ne sont pas activés dans le périmètre actuel du service.

Nous ne vendons ni ne louons vos données à des tiers à des fins commerciales.

Transferts hors de l'Union européenne

Le recours à Google, Anthropic, Stripe, AWS et aux services push des navigateurs peut impliquer des traitements ou des accès depuis des pays hors de l'Union européenne, notamment les États-Unis. La région d'envoi SES dépend de la configuration du service et ne suffit pas à exclure tout accès hors UE. Les requêtes Nominatim sont également transmises à une infrastructure tierce. L'hébergement de BeLocal en France ne signifie donc pas que toutes les données restent en France.

Les transferts doivent être encadrés par les garanties prévues par le RGPD, par exemple une décision d'adéquation applicable ou des clauses contractuelles types et les mesures complémentaires nécessaires. Pour connaître les lieux de traitement et obtenir les informations sur les garanties applicables à vos données, contactez-nous à l'adresse indiquée en fin de politique.

5. Utilisation des données issues des API Google (Limited Use)

L'utilisation et le transfert par BeLocal des informations reçues des API Google respectent la Google API Services User Data Policy (nouvel onglet), y compris ses exigences d'utilisation limitée (« Limited Use »).

Concrètement, les données obtenues via les API Google (notamment Google Business Profile) :

• sont utilisées uniquement pour vous fournir et améliorer les fonctionnalités que vous avez explicitement activées (gestion de votre fiche, synchronisation, gestion des avis) ;
• ne sont jamais utilisées à des fins publicitaires ;
• ne sont jamais vendues ni louées à des tiers ;
• ne sont transférées à des tiers que lorsque cela est strictement nécessaire pour fournir le Service, avec votre consentement, ou lorsque la loi l'exige ;
• ne sont lues par aucun être humain, sauf avec votre consentement explicite, pour la sécurité ou le débogage, ou lorsque la loi l'impose.

Vous pouvez révoquer l'accès de BeLocal à votre compte Google à tout moment depuis myaccount.google.com/permissions (nouvel onglet) ou depuis votre tableau de bord BeLocal.

6. Durées et critères de conservation

• Signalements d’accessibilité : conservation dans les messageries internes au plus tard jusqu’à 12 mois après la dernière réponse, le temps de corriger l’obstacle et d’en garder trace. L’application ne les stocke pas en base ; les administrateurs suppriment les messages et leurs copies. Les empreintes IP/e-mail du limiteur sont supprimées de la mémoire après une heure au maximum.
• Demandes d’avis : les liens expirent après 90 jours. La date de premier clic et l’état de relance restent dans l’historique de campagne jusqu’à suppression du contact ou de l’entreprise ; l’effacement du compte supprime aussi le suivi reçu à son adresse personnelle. Aucun suivi rétroactif des anciens envois.
• Historique des versions de la fiche Google : 12 mois et au plus 200 entrées par fiche ; purge automatique bornée par la tâche planifiée. Suppression immédiate avec la fiche ou l’entreprise.
• Invitations des entreprises pilotes : une invitation sans suite est supprimée 90 jours après son expiration ou sa révocation ; une invitation utilisée est supprimée 365 jours après son utilisation. L’opposition supprime immédiatement l’invitation ; l’empreinte de l’adresse est conservée trois ans après l’opposition pour la respecter, puis supprimée. Ces suppressions sont appliquées par la tâche planifiée existante du service, ainsi qu’à chaque envoi et à chaque affichage des invitations dans l’administration.
• Demandes de contact commercial pour une démo : conservation dans les messageries internes au plus tard jusqu’à 6 mois après le dernier échange, ou suppression au retrait du consentement. Les administrateurs doivent supprimer ces demandes et leurs copies dans leurs messageries ; l’application ne les stocke pas en base et ne purge pas automatiquement les e-mails. Les empreintes IP/e-mail du limiteur sont supprimées de la mémoire après une heure au maximum. L’horodatage signé du formulaire est valable deux heures, sans stockage du contenu de la demande.
• Sujets récurrents : les résumés et extraits expurgés sont conservés pour réafficher le résultat privé sans nouvel appel IA. Ils restent accessibles aux membres de l’espace avec une formule payante active. Les périodes sont figées à la date de l’analyse. Seule la modification du contenu, de la note ou de la date d’un avis analysé, son archivage ou sa suppression invalide le résultat, retiré à sa prochaine consultation autorisée. L’arrivée d’un nouvel avis et le passage du temps ne l’invalident pas. Les identifiants des avis analysés et une empreinte de leurs données sont conservés avec le résultat pour cette vérification, sans copie des commentaires complets ni des noms d’auteur. Il n’y a pas de purge périodique automatique à délai fixe et un résultat non consulté peut rester stocké au-delà de 24 heures. Les 24 heures limitent les nouveaux appels, pas la conservation du résultat. Les compteurs d’analyse et de coût ne contiennent pas les commentaires ni leurs extraits. La suppression du résultat n’efface pas les avis sources.
• Comptes, fiches et médias : conservés pour fournir le service tant que l'espace est utilisé. La résiliation d'un abonnement ne supprime pas automatiquement le compte ni les données de l'espace. L’effacement du compte est disponible dans « Mon compte personnel », accessible depuis « Mes espaces », même sans entreprise. La confirmation programme l’effacement après un délai de 7 jours, annulable depuis le compte pendant ce délai.
• Dernière activité authentifiée : seule la dernière date est conservée avec le compte, remplacée lors d’une activité ultérieure ; aucun historique de navigation n’est constitué.
• Relances d’activation : la préférence de désinscription et les marqueurs de tentative (étape, statut et date) sont conservés sans échéance automatique dans les réglages du compte, y compris après J+30 ou la création d’un espace, pour respecter l’opposition et éviter de répéter un envoi. Un résultat ambigu conserve une réservation technique ; un refus certain pour configuration SES ou limitation de débit libère la tentative. Ces marqueurs et préférences sont supprimés avec le compte lors de l’effacement en libre-service.
• Notifications push : l’abonnement d’un appareil est supprimé à sa désactivation, quand le service push le déclare expiré, quand votre compte n’a plus accès à l’entreprise, ou avec le compte ou l’entreprise. Le marqueur d’envoi d’un avis est supprimé avec l’avis.
• Rappel de fin d’essai : la préférence par compte et entreprise (trial_end_reminder_preference) et les marqueurs de tentative par abonnement (trial_end_reminder_attempt : statut, nombre de tentatives, date et éventuelle réservation technique) sont conservés sans échéance automatique dans les réglages, même après la fin de l’essai, pour respecter l’opposition et éviter les doublons. Ils sont effacés avec le compte ou l’entreprise. Aucune copie du contenu de l’e-mail n’est conservée dans ces marqueurs.
• Alerte des nouveaux avis négatifs de l’agence : choix personnel désactivé par défaut, conservé dans agency_negative_review_alert (agence, compte, booléen et date de modification). Il reste enregistré après désactivation ou départ, jusqu’à l’effacement du compte ou de l’agence ; aucun nouveau marqueur ni corps d’e-mail n’est conservé. Il figure dans l’export personnel agencyNotificationPreferences.agencyNegativeReviewAlertEmailEnabled.
• Alerte de fin de mois : préférence agency_month_end_alert_preference et marqueurs quotidiens agency_month_end_alert_attempt (agence, compte, jour, statut, date et réservation technique) conservés jusqu’à l’effacement du compte ou de l’agence, sans purge périodique, même après désactivation ou départ de l’agence. Aucun corps d’e-mail ni nom de client n’est conservé. L’export personnel restitue agencyNotificationPreferences.agencyMonthEndAlertEmailEnabled et notificationHistory.agencyMonthEndAlerts (agence, jour, date et statut), sans valeur brute ni jeton.
• Rappel du lundi des fiches Google à mettre à jour : préférence agency_weekly_update_preference et marqueurs hebdomadaires agency_weekly_update_attempt (agence, compte, semaine, statut, date et réservation technique) conservés jusqu’à l’effacement du compte ou de l’agence, sans purge périodique ni échéance automatique, même après désactivation ou départ de l’agence. Aucun corps d’e-mail ni nom de fiche n’est conservé dans ces réglages. Une vérification sans fiche manquante est aussi mémorisée, sans envoi. Une tentative réservée ne garantit pas la réception du message.
• Alerte quotidienne des avis à échéance dans l’agence : la préférence personnelle par agence (agency_deadline_alert_preference) et les marqueurs quotidiens de tentative (agency_deadline_alert_attempt : agence, compte, jour, statut, date et éventuelle réservation technique) restent dans les réglages jusqu’à l’effacement du compte ou de l’agence, sans purge périodique ni échéance automatique, y compris après une désactivation de l’alerte ou un départ de l’agence. Aucun contenu d’e-mail ni nom d’entreprise n’est conservé dans ces marqueurs.
• Double authentification : le secret chiffré et les empreintes des codes de secours sont supprimés lors de la désactivation, de la réinitialisation par le support ou de la suppression du compte. La régénération remplace tous les anciens codes de secours. Une préparation non confirmée expire ; elle ne permet aucune connexion.
• Contacts, campagnes, enquêtes, avis, brouillons et récapitulatifs IA : conservation pour le compte de l'entreprise, selon ses besoins et ses instructions de suppression. Ces données ne font pas l'objet d'un effacement automatique à délai fixe dans l'application. L'entreprise doit limiter la conservation à ce qui est nécessaire à ses finalités et nous transmettre ses instructions en fin de service.
• Suivi des réponses insatisfaites : le statut et la note sont conservés jusqu’à leur remplacement ou à la suppression de la réponse, de l’enquête ou de l’entreprise, qui les efface automatiquement. Aucun historique des versions ni délai de purge supplémentaire n’est appliqué. La suppression du compte retire la référence au dernier auteur ; la note reste disponible à l’équipe et son texte libre ne devient pas automatiquement anonyme.
• Supprimer un contact du carnet ne supprime pas les copies de son nom et de son e-mail dans les campagnes déjà envoyées. Un avis disparu de Google est archivé localement, et non effacé. Une demande d'effacement doit donc aussi viser ces historiques.
• Jetons Google Business Profile : supprimés de BeLocal lors de la déconnexion depuis le tableau de bord. Une révocation chez Google met fin à l'autorisation mais ne supprime pas, à elle seule, les copies déjà enregistrées dans BeLocal (fiches, avis et historique).
• Demandes d’abonnement au propriétaire de l’entreprise : à l’initiative d’un membre, nous conservons son compte, l’entreprise, la formule souhaitée facultative, le message en texte brut (500 caractères au plus), la date, l’état d’envoi et la date de traitement. Ces informations sont visibles par les propriétaires directs de l’entreprise et les administrateurs habilités ; le nom du membre (ou « Un membre » si son nom est absent), l’entreprise, la formule et le message sont transmis via Amazon SES aux propriétaires directs. La finalité est de permettre le suivi de la demande et de limiter les envois, sur la base de notre intérêt légitime à organiser la gestion des espaces. Aucun abonnement n’est modifié par cet e-mail. Les demandes sont conservées 365 jours au maximum à compter de leur création, qu’elles soient traitées ou non et quel que soit l’état d’envoi. Elles sont ensuite exclues de l’interface et de l’export, puis supprimées automatiquement par lots lors des prochains passages de la tâche de fond ; une panne de cette tâche peut retarder l’effacement physique. La suppression du compte demandeur ou de l’entreprise les efface également en cascade. Les copies déjà reçues dans les messageries des propriétaires ne sont pas effacées par BeLocal.
• Motifs et commentaires de résiliation : conservés dans l’historique jusqu’à la suppression de l’entreprise, même si l’abonnement est réactivé. La suppression du compte retire la référence à l’auteur ; le texte libre reste conservé et peut contenir les informations que vous avez saisies. Il ne devient pas automatiquement anonyme. Aucun délai de purge automatique supplémentaire n’est appliqué à cet historique.
• Factures et pièces comptables : 10 ans au titre des obligations légales ; cette conservation ne s'étend pas à l'ensemble des contacts ou avis
• Journaux d'accès, diagnostics et événements applicatifs : utilisés pour la sécurité, le diagnostic et le suivi du service. L'application ne garantit pas de purge automatique à 90 jours. Les modalités d'effacement de ces traces peuvent être demandées au contact protection des données. Les journaux de réinitialisation de la double authentification suivent ces mêmes critères de conservation.
• Audit public : aucune saisie ni diagnostic n’est enregistré en base ou sur disque. Le cache conserve une empreinte de la recherche et son résultat uniquement en mémoire pendant 2 minutes au maximum, avec retrait automatique ; les résultats indisponibles ou incertains ne sont pas mis en cache. Les empreintes IP de limitation des tentatives expirent automatiquement après une fenêtre de 15 minutes. Ces états disparaissent aussi au redémarrage du processus.
• Limitation des connexions : compteurs en mémoire fondés sur des empreintes, dans une fenêtre de 15 minutes, perdus au redémarrage du processus
• Recommandation : le cookie, posé seulement avec votre accord, expire 30 jours après cet accord et est effacé après la création du premier espace ou dès que vous retirez votre accord ; l’attribution est conservée tant que le compte recommandé existe et supprimée avec lui (la référence à l’espace créé est retirée si cet espace est supprimé)

La suppression dans BeLocal ne retire pas automatiquement un avis ou une réponse déjà publiés sur une plateforme tierce. La conservation par ces plateformes et par les prestataires de paiement relève également de leurs propres obligations et politiques.

7. Sécurité

• Connexion HTTPS systématique (certificat Let's Encrypt)
• Mots de passe stockés via bcrypt (jamais en clair)
• Jetons OAuth tiers chiffrés AES-256-GCM côté serveur
• Double authentification facultative par application TOTP pour les comptes à identifiants, avec codes de secours à usage unique stockés sous forme d’empreintes. Le secret TOTP est chiffré AES-256-GCM au repos.
• Contrôles des accès par espace entreprise ou agence et par rôle ; accès des agences selon les rattachements autorisés
• Accès de gestion des administrateurs de la plateforme aux espaces clients selon leur habilitation

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données
• Droit de rectification : corriger des informations inexactes
• Droit à l'effacement : demander la suppression de votre compte et de vos données
• Droit à la portabilité : récupérer vos données dans un format structuré
• Droit d'opposition au traitement
• Droit à la limitation du traitement
• Droit de retirer votre consentement à tout moment (notamment l'autorisation Google Business)
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour accéder aux données de votre compte et les récupérer dans un format structuré, utilisez Paramètres > Compte > Mes données > Télécharger mes données. L’export JSON horodaté comprend votre profil, le fournisseur de la connexion actuelle (inconnu pour les sessions anciennes, jusqu’à une nouvelle connexion), votre dernière activité authentifiée connue (valeur nulle si le suivi est indisponible ou sans date), vos appartenances et rôles dans les espaces entreprise et agence, vos invitations et vos préférences de notification (avis, enquêtes, bilan mensuel, alerte quotidienne des avis à échéance par agence, relances d’inactivité, rappel hebdomadaire des avis sans réponse et relances d’activation du compte sans espace), les marqueurs de tentative d’envoi, dont l’étape, le statut et la date des relances d’activation, sans le jeton technique de réservation, les dates et statuts des récapitulatifs IA adressés au compte et les marqueurs « vu » du centre À traiter. Il comprend aussi les dates des demandes de récupération du compte et les traces de vos imports de médias et modifications de réglages ou d’intégrations, sans leur contenu. Il indique si la double authentification est activée, sans le secret ni les codes de secours. Il liste les appareils abonnés aux notifications push (entreprise, avis notifiés et dates), sans l’adresse d’abonnement ni les clés. Il comprend les invitations pilotes de Digiflow reçues à votre adresse (entreprise, message, dates, nombre d’envois et statut) et la date de votre éventuelle opposition à ces invitations, sans empreinte ni lien. Une tentative réservée ne garantit pas la réception d’un e-mail. Il comprend les clics et états de relance des demandes d’avis reçues à l’adresse personnelle du compte, avec le nom de l’établissement et les dates, sans jeton ni lien personnel. Il comprend aussi l’éventuelle recommandation attribuée à votre compte (entreprise recommandante et dates), ainsi que les motifs et commentaires de résiliation dont vous êtes l’auteur, avec entreprise, abonnement local, formule quittée et date, sans les réponses des autres comptes. Il inclut les choix enregistrés de rappel de fin d’essai par entreprise (trialEndReminderPreferences : entreprise, activation et date de modification ; rappel activé par défaut sans choix enregistré) et les tentatives correspondantes (notificationHistory.trialEndReminders : entreprise, date, statut et nombre de tentatives), sans jeton de réservation ni identifiant d’abonnement. Il inclut aussi votre choix d’alerte quotidienne des avis à échéance par agence (agencyNotificationPreferences.agencyDeadlineAlertEmailEnabled : agence et activation, désactivée par défaut sans choix enregistré) et les tentatives correspondantes (notificationHistory.agencyDeadlineAlerts : agence, jour, date de mise à jour et statut), sans valeur brute ni jeton de réservation, ni copie du contenu du message. Il inclut votre choix de rappel du lundi des fiches Google à mettre à jour par agence (agencyNotificationPreferences.agencyWeeklyUpdateEmailEnabled : agence et activation, désactivé par défaut sans choix enregistré) et ses vérifications et tentatives hebdomadaires (notificationHistory.agencyWeeklyUpdates : agence, semaine, date de mise à jour et statut), sans valeur brute ni jeton de réservation, ni nom de fiche ou corps d’e-mail. Il inclut vos demandes d’abonnement envoyées aux propriétaires (entreprise, formule souhaitée, message, date, état d’envoi et date de traitement), sans les demandes des autres membres ni les coordonnées des destinataires. Il inclut les métadonnées des entreprises et des abonnements des espaces dont vous êtes propriétaire. Les mots de passe, jetons, clefs d’intégration, identifiants Stripe et coordonnées des autres utilisateurs sont exclus. L’export est limité à un par minute ; conservez le fichier téléchargé en lieu sûr.

L’export comprend également profileHistory : les modifications de fiches Google dont vous êtes l’auteur, avec entreprise, fiche, date et valeurs avant/après des champs modifiés, dans les limites de conservation de cet historique. Le cas échéant, il comprend agencyLabels et agencyTenantLabels : les étiquettes privées des agences dont vous êtes membre et leurs attributions aux entreprises rattachées, ainsi que agencyLabelActivity : vos propres actions sur ces étiquettes (nature et date). Elles sont supprimées avec l’agence ; à la suppression de votre compte, votre nom est détaché de leur journal. Il comprend aussi surveyFollowUpUpdates : les suivis des réponses d’enquête insatisfaites dont vous êtes le dernier auteur, avec identifiant de réponse, entreprise, statut, note interne et date de dernière modification, sans les coordonnées ni les réponses du client. Le journal d’activité partagé de l’entreprise est exclu de cet export JSON personnel, y compris les entrées dont votre compte est l’auteur. Les traces d’imports de médias et de modifications de réglages ou d’intégrations mentionnées ci-dessus proviennent de traitements distincts. Pour obtenir une copie des entrées du journal qui vous concernent ou demander leur effacement, contactez-nous à l’adresse indiquée ci-dessous.

Le bloc Supprimer mon compte de Mon compte personnelpermet de programmer l’effacement en libre-service après saisie de l’adresse e-mail, vérification du mot de passe ou reconnexion Google depuis moins de cinq minutes, et code 2FA si activée. Exportez vos données avant de confirmer. Les comptes administrateurs de plateforme sont exclus. Si vous êtes seul propriétaire d’un espace partagé, transférez la propriété ou retirez d’abord les autres membres et agences. Résiliez les abonnements Stripe dans le portail client existant et attendez leur fin effective : la suppression ne résilie, ne rembourse et ne modifie aucun abonnement Stripe.

La confirmation n’efface rien immédiatement : la suppression est programmée après un délai de 7 jours. Un e-mail de programmation est tenté via Amazon SES avec la date prévue et la marche à suivre pour annuler : se connecter puis choisir « Annuler la suppression ». Il ne contient aucun lien magique ni jeton d’annulation. Le compte reste utilisable pendant le délai. La date et le bouton d’annulation sont affichés dans « Mon compte personnel », « Mes espaces » et à l’accueil de l’espace entreprise ou agence. L’annulation conserve le compte et ses données. Après l’échéance, la tâche planifiée relit les blocages avant tout effacement : si un blocage est apparu (dernier accès sans propriétaire, propriété unique d’un espace partagé ou délégué, abonnement Stripe non terminé, paiement Checkout ouvert, portefeuille d’agence sans autre accès ou rôle administrateur de plateforme), rien n’est effacé, la demande est suspendue et un e-mail d’information est tenté. Seuls les espaces dont la fermeture a été confirmée lors de la programmation peuvent être fermés, après relecture de tous les blocages. Si un espace supplémentaire devait être fermé, par exemple après le départ d’un copropriétaire ou la création d’une entreprise ou d’une agence, la demande est suspendue avec un motif qui le nomme. Une ancienne demande sans liste d’espaces confirmée doit également être confirmée à nouveau. Une indisponibilité technique (vérification Stripe, configuration ou intégrations indisponibles, changement concurrent des espaces, erreur de traitement en base) annule la tentative sans effacement et donne lieu à un nouvel essai au prochain passage de la tâche, sans recommencer le délai de 7 jours. Après cinq échecs techniques, la demande est suspendue avec un motif invitant à contacter le support. Le motif de suspension est visible dans « Mon compte personnel » et un e-mail est tenté. Une demande suspendue peut être annulée ; elle n’est pas exécutée automatiquement après résolution du blocage. Une nouvelle confirmation après annulation impose un nouveau délai de 7 jours.

Après ce délai, sans annulation et en l’absence de blocage, l’effacement est définitif. Le compte, ses accès et sessions, la 2FA et ses secours, les jetons de récupération, appareils push, préférences personnelles et invitations le concernant sont effacés. Les espaces confirmés dont vous êtes encore seul propriétaire et seul membre sans abonnement Stripe en cours sont supprimés avec leurs données locales. Les fichiers privés sont supprimés après validation de l’effacement en base ; un échec disque est repris par la tâche planifiée existante. Les contenus et réponses des espaces partagés restent disponibles aux autres membres pour assurer la continuité du service. Les références personnelles d’auteur sont retirées et le journal affiche « Compte supprimé ». Les réponses déjà publiées sur Google restent sur Google au nom de l’entreprise : aucune suppression n’est envoyée à Google. Les pièces comptables suivent leur durée légale de dix ans chez le prestataire de facturation ; l’empreinte d’opposition aux invitations pilotes reste conservée trois ans pour respecter cette opposition. Un e-mail de confirmation est tenté via Amazon SES après la suppression. Les sessions du compte ne permettent plus d’accéder au service. L’échec de cet e-mail n’annule pas l’effacement. Pour les traitements métier complémentaires, les obligations légales ou une demande d’accès, le contact protection des données reste disponible.

Pour exercer ces droits, écrivez à contact@digiflow-agency.fr. Nous vous répondrons dans le délai prévu par le RGPD, en principe un mois, avec prolongation possible dans les cas prévus par ce règlement.

Si vous êtes un contact client, un répondant à une enquête ou l'auteur d'un avis traité pour une entreprise, adressez d'abord votre demande à cette entreprise, responsable du traitement. BeLocal l'assiste pour traiter vos droits ; si vous nous contactez directement, précisez l'entreprise ou l'enquête concernée pour permettre l'orientation de votre demande. Vous pouvez demander la prise en compte des copies conservées dans les historiques de campagnes, d'avis et de récapitulatifs. Pour ne plus recevoir de messages ou d'invitations aux enquêtes d'un établissement, utilisez le lien « se désinscrire » en bas de ses e-mails, puis confirmez votre choix. La messagerie peut également proposer une désinscription directe en un clic. La désinscription est enregistrée pour cet établissement et exclut vos coordonnées de ses futurs envois. Le gérant ne peut pas vous réinscrire depuis BeLocal. La date de désinscription est conservée avec le contact pour respecter cette opposition. Pour ne plus recevoir d'invitations pilotes de Digiflow, utilisez le lien d'opposition de l'invitation ou écrivez-nous : ce choix est distinct de la désinscription aux messages d'un établissement.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr (nouvel onglet).

9. Cookies

BeLocal utilise des cookies strictement nécessaires au fonctionnement du service (authentification, session, autorisation OAuth et sélection d'espace) et, seulement si vous l'acceptez, le cookie de recommandation décrit ci-dessous. BeLocal n'utilise pas de cookies publicitaires ni de mesure d'audience. Les services tiers consultés, notamment Google et Stripe, appliquent leur propre politique de cookies.

Cookie de recommandation (belocal_ref), soumis à votre accord

Suivre un lien « Recommander BeLocal » ne dépose aucun cookie et n'écrit rien dans votre navigateur. Le code public du lien reste dans l'adresse de la page : si vous créez votre compte depuis cette page, ou depuis les tarifs ou la connexion ouverts à partir d'elle, il est transmis avec votre demande d'inscription Google et l'inscription est attribuée à l'entreprise qui vous a recommandé.

À l'arrivée par ce lien, un bandeau vous propose de mémoriser ce lien sur votre navigateur, avec deux choix équivalents : « Mémoriser 30 jours » ou « Non merci ». Le cookie belocal_ref n'est déposé que si vous cliquez sur « Mémoriser 30 jours » :

• finalité : attribuer votre inscription, si vous revenez plus tard, à l'entreprise qui vous a recommandé ;
• contenu : le code public du lien et la date de votre accord, aucune donnée vous concernant ;
• durée : 30 jours après votre accord, puis effacement à la création de votre premier espace ;
• aucun tiers : seul BeLocal le lit ; l'entreprise recommandante ne voit que des compteurs, jamais votre nom ni votre adresse e-mail ; aucune récompense, remise ni publicité n'y est associée.

Refuser ne dépose rien et ne restreint aucun accès au site. Vous pouvez retirer votre accord à tout moment avec le bouton ci-dessous ou depuis l'accueil, ou en supprimant le cookie dans votre navigateur. Un cookie belocal_ref déposé avant le 15 octobre 2026 sans votre accord n'est jamais utilisé : il est effacé à votre prochain passage sur l'accueil ou la page de connexion, ou à votre inscription.

10. Modifications

Cette politique peut être mise à jour pour refléter l'évolution du service ou de la réglementation. Toute modification substantielle sera notifiée par email aux utilisateurs au moins 30 jours avant son entrée en vigueur.

11. Contact

Pour toute question relative à la confidentialité ou à l'exercice de vos droits : contact@digiflow-agency.fr