Politique de confidentialité

1. Les données que nous collectons

Lorsque vous vous connectez avec Google, nous recevons votre nom, votre adresse e-mail et votre photo de profil depuis votre compte Google.

Si vous connectez Google Search Console, nous accédons à la liste de vos propriétés GSC et à vos données de performance de recherche (requêtes, clics, impressions, position moyenne, pays, appareil, page, date) pour les sites que vous autorisez, via le scope https://www.googleapis.com/auth/webmasters.readonly.

Si vous connectez Google Analytics 4, nous accédons à la liste de vos propriétés GA4 et à vos métriques de trafic (sessions, utilisateurs, taux d’engagement, conversions, pages d’atterrissage, sources) via le scope https://www.googleapis.com/auth/analytics.readonly. Nous les utilisons pour identifier le trafic issu des moteurs de recherche IA (ChatGPT, Gemini, Claude, Perplexity, NotebookLM).

2. Comment nous utilisons vos données

• Pour vous authentifier et afficher les informations de votre compte
• Pour afficher vos données Google Search Console et Google Analytics 4 dans le tableau de bord GEO Toolbox
• Pour générer des rapports de visibilité IA pour vos domaines

L’utilisation des données utilisateur Google est strictement limitée aux finalités listées ci-dessus. Nous n’utilisons pas les données utilisateur Google pour développer, améliorer ou entraîner des modèles d’IA ou d’apprentissage automatique généralisés. Nous ne transférons pas les données utilisateur Google à des tiers, sauf lorsque cela est nécessaire pour fournir ou améliorer le Service, ou lorsque la loi l’exige. Notre traitement des données utilisateur Google est conforme à la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée (Limited Use).

3. Stockage et conservation des données

Nous ne stockons pas vos données brutes Google Search Console ou Google Analytics 4 sur nos serveurs. Toutes les réponses des API GSC et GA4 sont mises en cache dans le localStorage de votre navigateur pendant 6 heures au maximum, puis automatiquement effacées. Vider le stockage de votre navigateur les supprime immédiatement.

Le stockage côté serveur se limite à :

• Vos jetons OAuth (accès et rafraîchissement), chiffrés au repos, conservés jusqu’à ce que vous déconnectiez l’intégration concernée ou révoquiez l’accès Google
• Les identifiants de vos propriétés GSC et GA4 connectées
• Les journaux d’authentification (tentatives de connexion, cookies de session) — purgés automatiquement sous 7 jours d’inactivité
• Le cache de récupération de pages (HTML rendu que nous récupérons pour analyse en votre nom) — conservé jusqu’à 24 heures, puis remplacé à la récupération suivante
• Les résultats d’analyse que vous générez (rapports de scan, aperçus de domaine, vérifications agent-readiness, briefs de contenu, analyses de citabilité, scans concurrents, exports AI-ready, suivi de visibilité IA) — conservés sans limite de durée afin que vous et votre équipe puissiez comparer les performances dans le temps. Votre forfait détermine la fenêtre d’historique visible dans le tableau de bord (par exemple 180 jours pour Starter) : les formules inférieures affichent une fenêtre limitée, tandis que les formules supérieures affichent l’intégralité de votre historique. Les données plus anciennes ne sont pas affichées mais ne sont ni modifiées ni supprimées tant que votre compte est actif.
• Des journaux internes de coûts et d’audit pour la supervision de notre infrastructure, sans donnée personnelle au-delà d’un identifiant de compte pseudonymisé
• La télémétrie d’erreurs (anonymisée, sans donnée personnelle) pendant 90 jours au maximum

Droit à l’effacement. Vous pouvez supprimer l’ensemble de vos données à tout moment en supprimant votre compte ou en écrivant à samy@geotoolbox.ai. Nous traitons la suppression complète du compte sous 14 jours. Retirer une marque suivie de votre tableau de bord la supprime immédiatement (suppression logique), ainsi que sa liste de suivi.

4. Partage des données

Nous ne vendons, ne louons ni ne partageons vos données personnelles avec des tiers à des fins marketing. Nous faisons appel aux sous-traitants suivants pour exploiter le Service :

• Google OAuth : authentification
• API Google Search Console : données de performance de recherche
• API Google Analytics Data : données de trafic IA
• Google Analytics 4 : statistiques d’usage agrégées de notre site
• Microsoft Clarity : statistiques d’usage agrégées de notre site (cartes de chaleur et relecture de session avec masquage des textes sensibles et des champs)
• Stripe : traitement des paiements (nous ne stockons jamais les numéros de carte)
• Resend : envoi d’e-mails transactionnels (vérification, liens magiques, récapitulatifs)
• Vercel : hébergement de l’application
• Replit : hébergement de l’application (backend PHP)
• Neon : hébergement de la base de données PostgreSQL
• Sentry : supervision des erreurs (aucune donnée personnelle transmise)

5. Vos droits

Vous pouvez :

• Révoquer à tout moment l’accès de GEO Toolbox à votre compte Google sur https://myaccount.google.com/permissions
• Déconnecter GSC ou GA4 depuis l’onglet Analytics de l’application (lien « disconnect » sous le badge du compte connecté)
• Demander la suppression de toutes les données côté serveur en écrivant à samy@geotoolbox.ai ; nous répondons sous 14 jours
• Effacer les données mises en cache localement en vidant le stockage de votre navigateur

Si vous vous trouvez dans l’Espace économique européen, au Royaume-Uni ou en Suisse, vous disposez en outre des droits d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition prévus par le RGPD (articles 15 à 21), ainsi que du droit de retirer votre consentement à tout moment, sans que cela affecte la licéité du traitement antérieur. Pour exercer ces droits, écrivez à samy@geotoolbox.ai. Vous avez également le droit d’introduire une réclamation auprès de votre autorité de contrôle — en France, la CNIL (cnil.fr).

6. Cookies et consentement

Nous utilisons des cookies strictement nécessaires pour la gestion de session, la sécurité (protection CSRF) et la mémorisation de votre choix en matière de cookies. Ils sont toujours actifs et ne requièrent pas de consentement.

Nous utilisons également les cookies de mesure d’audience décrits ci-dessous ; lorsque la réglementation applicable exige votre consentement — notamment pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse — ces outils ne sont activés qu’après votre acceptation du bandeau. Ils sont déposés par Google Analytics 4 (trafic agrégé, pages vues, type d’appareil, localisation approximative) et Microsoft Clarity(schémas d’interaction agrégés, y compris cartes de chaleur et relectures de session masquant les textes sensibles et les champs de formulaire). Aucun de ces outils n’est utilisé à des fins publicitaires ni de suivi inter-sites.

Si vous nous rendez visite depuis l’EEE, le Royaume-Uni ou la Suisse, aucun outil de mesure d’audience ne s’exécute avant votre acceptation du bandeau de consentement. Vous pouvez refuser en un clic (choix mémorisé 6 mois / 180 jours ; l’acceptation est mémorisée 12 mois / 365 jours) et changer d’avis à tout moment via le lien Paramètres des cookies en pied de page du site, le lien Cookie settings de la page Compte de l’application, ou en supprimant le cookie sg_consent. Nous déposons aussi un cookie de courte durée sg_cc contenant uniquement votre code pays (ou la valeur unknowns’il ne peut être déterminé), servant à déterminer si le bandeau s’applique ; il ne contient aucun identifiant.

7. Transferts internationaux de données

Nous sommes établis dans l’Union européenne, et plusieurs des sous-traitants listés à la section 4 (dont Google, Microsoft, Vercel, Neon, Stripe et Sentry) traitent des données aux États-Unis. Lorsque des données personnelles de résidents de l’EEE, du Royaume-Uni ou de la Suisse sont transférées vers les États-Unis, nous nous appuyons sur le cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework, et ses extensions britannique et suisse) lorsque le prestataire dispose d’une certification active, et sur les clauses contractuelles typesde la Commission européenne intégrées à l’accord de traitement des données du prestataire dans les autres cas. Les données de mesure d’audience (Google Analytics, Microsoft Clarity) ne sont traitées, pour les visiteurs de l’EEE, du Royaume-Uni et de la Suisse, qu’après consentement explicite (voir la section 6).

8. Contact

Pour toute question relative à la confidentialité ou demande de suppression de données, écrivez à samy@geotoolbox.ai.