Politique de confidentialité et cookies
Dernière mise à jour : 10 octobre 2026
Cette politique explique quelles données personnelles nous collectons sur www.xtablo.com et dans l’application XTablo (v2.xtablo.com), pourquoi, combien de temps, avec qui nous les partageons et quels sont vos droits. Elle répond aux articles 13 et 14 du Règlement général sur la protection des données (RGPD).
1. Qui est responsable de vos données
Entreprise individuelle « Baptiste Belleville (XTablo) », Baptiste Jules Enzo Belleville, entrepreneur individuel, SIREN 939 327 664, 71 chemin de Bessonnet, Vieugy, 74600 Annecy, France. Contact pour vos données : baptiste@xtablo.com.
Nous n’avons pas désigné de délégué à la protection des données (DPO) [à confirmer].
2. Deux situations différentes
- Visiteurs du site, prospects et clients XTablo (les agences) : nous sommes responsables de traitement. Cette politique s’applique entièrement.
- Clients des agences (invités dans un espace client) et contenus déposés dans un espace : c’est l’agence qui décide de ce qu’elle y met et pourquoi. L’agence est responsable de traitement ; XTablo n’agit que comme sous-traitant, sur ses instructions. Pour exercer vos droits sur ces données, adressez-vous d’abord à l’agence qui vous a invité. Nous l’aiderons à vous répondre.
3. Données collectées, finalités et bases légales
| Situation | Données | Pourquoi | Base légale | Durée de conservation |
|---|---|---|---|---|
| Création et gestion de compte | Nom, e-mail, nom de l’agence, mot de passe (chiffré), logo et réglages du portail | Fournir le Service | Exécution du contrat | Durée du contrat, puis [30] jours [à confirmer] |
| Abonnement et paiement | Coordonnées de facturation, historique de paiement (les données de carte sont traitées par Stripe, pas par nous) | Encaisser, facturer | Exécution du contrat ; obligation légale (comptabilité) | Factures et pièces comptables : 10 ans |
| Utilisation de l’application | Données de connexion (adresse IP, date, appareil), journaux techniques | Sécurité, diagnostic, prévention des abus | Intérêt légitime | [12 mois – à confirmer] |
| Espace de démonstration à partir d’un site | Adresse du site indiqué, contenu public de ce site, projet généré | Générer un projet d’exemple | Intérêt légitime (répondre à votre demande de démonstration) | Supprimé 7 jours après création s’il n’est pas transformé en compte |
| « Pas prêt ? » | Adresse e-mail | Vous envoyer un seul e-mail contenant le lien de reprise de votre démonstration (lien valable 7 jours) | Votre demande (mesures précontractuelles) | [7 jours, puis suppression – à confirmer] ; jamais utilisée pour autre chose |
| Contact, rendez-vous, chat | Nom, e-mail, téléphone, message, créneau choisi | Répondre, organiser un appel de démonstration | Mesures précontractuelles ; intérêt légitime | 3 ans après le dernier contact |
| E-mails liés au Service | Notifications, informations sur le compte, [e-mails d’accueil – à confirmer] | Exécution du contrat | Durée du contrat | |
| Prospection commerciale par e-mail | E-mail professionnel | Vous présenter nos offres | Intérêt légitime (B2B, en lien avec votre activité), avec possibilité de vous désinscrire à tout moment | 3 ans après le dernier contact |
| Mesure d’audience | Pages vues, parcours, appareil, identifiant technique | Comprendre l’usage et améliorer le site et le Service | [Consentement ou intérêt légitime selon la configuration – à confirmer] | [13 mois maximum – à confirmer] |
| Publicité Meta (site et application) | Identifiant du cookie Meta, pages vues, événements (ex. inscription, essai, abonnement), adresse e-mail sous forme codée (hachée) en cas d’inscription | Mesurer et améliorer nos publicités | Consentement | 13 mois maximum ; jusqu’au retrait du consentement |
Nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard. Nous ne vendons pas vos données.
Les données des outils connectés dans l’application « Reporting » sont décrites à la section 5.
4. Intelligence artificielle (démonstration)
Lorsque vous demandez une démonstration à partir de l’adresse de votre site, le contenu public de ce site est transmis à Anthropic (modèle Claude) pour générer un projet d’exemple. N’indiquez pas l’adresse d’un site qui contient des données personnelles non publiques. [À confirmer : les données transmises via l’API ne sont pas utilisées par Anthropic pour entraîner ses modèles, selon ses conditions commerciales.]
5. Outils connectés (application « Reporting »)
L’application « Reporting » permet à une agence de connecter des outils de son client pour afficher des chiffres dans l’espace client.
Qui est responsable
Pour ces données, l’agence est responsable de traitement. XTablo agit comme sous-traitant, sur ses instructions (voir la section 2). L’agence choisit les outils connectés et doit disposer de l’accord de son client pour le faire.
Google Analytics 4 et Google Search Console
- Connexion : l’agence se connecte avec un compte Google (OAuth). Nous demandons uniquement un accès en lecture seule :
https://www.googleapis.com/auth/analytics.readonly(Google Analytics) ;https://www.googleapis.com/auth/webmasters.readonly(Google Search Console).
- Données lues : des statistiques agrégées par jour, pour la propriété ou le site choisi par l’agence uniquement :
- Google Analytics : visiteurs actifs, sessions, pages vues, pages les plus vues ;
- Google Search Console : clics, impressions, position moyenne, requêtes les plus fréquentes.
- Aucune donnée individuelle : nous ne lisons aucune donnée personnelle des visiteurs du site (pas d’identifiant, pas d’adresse IP, pas de parcours individuel).
- Pourquoi : afficher ces chiffres dans le rapport de l’espace client. Rien d’autre.
- Stockage : les chiffres agrégés sont enregistrés dans la base de données de XTablo (voir les prestataires à la section 6). Le jeton de rafraîchissement Google est chiffré (AES-256-GCM).
- Fréquence : les chiffres sont mis à jour toutes les 6 heures.
- Déconnexion : l’agence peut déconnecter Google à tout moment depuis le Reporting. Le jeton est alors supprimé. Les chiffres déjà importés restent dans le rapport jusqu’à ce que l’agence les supprime. L’accès peut aussi être retiré à tout moment sur https://myaccount.google.com/permissions.
Gmail (envoi depuis l’adresse de l’agence)
Se règle dans les Paramètres, pas dans le Reporting. Pour ces e-mails, l’agence est responsable de traitement et XTablo agit comme sous-traitant.
- Connexion : un membre de l’agence se connecte avec un compte Google (OAuth). Nous demandons uniquement
https://www.googleapis.com/auth/gmail.send: l’autorisation d’envoyer des e-mails. - Ce que nous faisons : envoyer les e-mails que l’agence écrit ou valide dans XTablo (par exemple un message à un client, ou un e-mail de test), depuis sa propre adresse Gmail. XTablo n’envoie jamais d’e-mail sans un clic de l’agence.
- Ce que nous ne faisons jamais : nous ne pouvons ni lire, ni rechercher, ni modifier, ni supprimer la boîte de l’agence, et nous ne demandons pas cet accès.
- Stockage : le jeton de rafraîchissement Google est chiffré (AES-256-GCM). Les e-mails envoyés restent dans XTablo, dans l’historique du projet.
- Déconnexion : l’agence peut déconnecter Gmail à tout moment dans les Paramètres. Le jeton est alors supprimé. L’accès peut aussi être retiré sur https://myaccount.google.com/permissions.
Google Agenda
Se règle dans les Paramètres, par chaque membre pour son propre agenda.
- Connexion : le membre se connecte avec un compte Google (OAuth). Nous demandons uniquement un accès en lecture seule :
https://www.googleapis.com/auth/calendar.events.readonly. - Données lues : les événements des agendas du membre, de la veille à 14 jours : titre, début et fin, journée entière ou non, adresses e-mail des invités, lien de visioconférence. Mise à jour toutes les 15 minutes.
- Pourquoi : afficher les rendez-vous du membre dans le calendrier de XTablo et les appels du jour dans « Ta journée », où l’assistant IA de XTablo (Anthropic Claude, voir la section 4) s’en sert pour préparer sa journée. Nous ne créons, ne modifions et ne supprimons jamais d’événement.
- Stockage : les événements de cette période sont enregistrés dans la base de données de XTablo ; le jeton de rafraîchissement Google est chiffré (AES-256-GCM).
- Déconnexion : le membre peut déconnecter Google Agenda à tout moment dans les Paramètres. Le jeton et les événements enregistrés sont alors supprimés. L’accès peut aussi être retiré sur https://myaccount.google.com/permissions.
Engagement « Limited Use » de Google. L’utilisation par XTablo des informations reçues des API Google, et leur transfert vers toute autre application, respectent les règles des services d’API Google relatives aux données des utilisateurs (Google API Services User Data Policy), y compris les exigences d’utilisation limitée (Limited Use) : https://developers.google.com/terms/api-services-user-data-policy.
Concrètement, pour les données reçues de Google :
- nous ne les vendons pas ;
- nous ne les utilisons pas à des fins publicitaires ;
- nous ne les utilisons pas pour entraîner des modèles d’intelligence artificielle généralistes ;
- aucune personne de XTablo ne les consulte, sauf avec l’accord de l’agence (pour le support), pour la sécurité (enquête sur un abus ou une faille), ou pour respecter une obligation légale.
Shopify, WooCommerce et Breakcold
- Connexion : l’agence colle une clé d’API en lecture :
- Shopify : Admin API, lecture des commandes et des produits ;
- WooCommerce : clé REST en lecture ;
- Breakcold : lecture des contacts.
- Données conservées : uniquement des chiffres agrégés (par exemple un nombre de commandes ou un chiffre d’affaires sur une période). Nous ne conservons pas les données individuelles des clients ou des contacts.
- Sécurité : les clés sont chiffrées.
- Déconnexion : l’agence peut retirer une clé à tout moment depuis le Reporting. Nous recommandons aussi de la révoquer dans l’outil concerné.
Lorsque cette connexion est proposée, l’agence pourra connecter un compte Instagram professionnel. Nous lirons uniquement les statistiques de ce compte, dans les mêmes conditions : chiffres agrégés, jeton chiffré, déconnexion possible à tout moment.
Lecture de la page d’accueil d’un site
Pour proposer un logo, des couleurs et des outils à connecter, XTablo peut lire la page d’accueil publique du site indiqué par l’agence. Seule cette page publique est lue.
Durée de conservation
Les chiffres importés sont conservés tant que l’agence ne les supprime pas, et au plus pendant la durée du contrat, puis [30] jours [à confirmer]. Les jetons et clés sont supprimés dès la déconnexion de l’outil.
6. Destinataires et sous-traitants
Vos données sont accessibles uniquement à l’équipe XTablo habilitée et aux prestataires suivants, pour les besoins du Service :
| Prestataire | Rôle | Pays / localisation des données |
|---|---|---|
| Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, États-Unis) | Hébergement du site, réseau de diffusion (CDN), sécurité | États-Unis et réseau mondial [à confirmer] |
| Render Services, Inc. (525 Brannan St, Suite 300, San Francisco, CA 94107, États-Unis) | Hébergement de l’application | Francfort, Allemagne (Union européenne) |
| Neon [entité exacte : à compléter] | Base de données | Londres, Royaume-Uni (pays bénéficiant d’une décision d’adéquation de la Commission européenne) |
| Stripe [entité contractante : à confirmer] | Paiement | [à compléter] |
| Resend [entité : à compléter] | Envoi des e-mails | [à compléter] |
| PostHog [entité : à compléter] | Mesure d’audience | [UE ou États-Unis : à compléter] |
| Meta Platforms Ireland Ltd [à confirmer] | Publicité (après consentement) | Irlande / États-Unis [à confirmer] |
| Anthropic [entité : à compléter] | Génération du projet de démonstration | États-Unis [à confirmer] |
| Cal.com [entité : à compléter] | Prise de rendez-vous | [à compléter] |
| Heyo [entité : à compléter] | Chat (version anglaise du site) | [à compléter] |
| WhatsApp (Meta) [entité : à compléter] | Contact (version française du site) | [à compléter] |
Nous pouvons aussi communiquer des données aux autorités lorsque la loi l’impose.
7. Transferts hors de l’Union européenne
Certains prestataires sont situés aux États-Unis ou y accèdent aux données. Ces transferts sont encadrés par le cadre UE–États-Unis de protection des données (Data Privacy Framework) lorsque le prestataire y est certifié, ou à défaut par les clauses contractuelles types de la Commission européenne. [Vérifier la certification et le mécanisme retenu pour chaque prestataire – à compléter.] Vous pouvez obtenir une copie de ces garanties en nous écrivant.
8. Sécurité
Nous protégeons vos données par des mesures adaptées : connexions chiffrées (HTTPS), mots de passe chiffrés, jetons et clés d’API des outils connectés chiffrés, accès limités, [sauvegardes – à confirmer]. Aucun système n’étant infaillible, nous vous informerons en cas de violation présentant un risque élevé pour vous.
9. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (notamment à la prospection, à tout moment et sans motif), du droit de retirer votre consentement à tout moment, et du droit de définir des directives sur le sort de vos données après votre décès.
Pour les exercer : baptiste@xtablo.com. Nous répondons dans un délai d’un mois. Nous pouvons vous demander une preuve d’identité en cas de doute raisonnable.
Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
10. Cookies et traceurs
Cookies strictement nécessaires (sans consentement)
- Cookies de session de l’application : vous garder connecté et sécuriser votre compte.
- Cookie « xt_consent » : mémorise votre choix sur le bandeau cookies, pour le site et l’application (6 mois).
- [Cookies de sécurité Cloudflare – à confirmer.]
Cookies soumis à votre consentement
- Meta (pixel publicitaire) : déposé uniquement si vous cliquez sur « Accepter » dans le bandeau. Durée : [13 mois maximum – à confirmer].
- PostHog (mesure d’audience) : sans ton accord, PostHog compte les visites sans cookie, sans profil et sans enregistrement. Si tu cliques « Accepter », PostHog dépose un cookie sur xtablo.com (13 mois maximum) pour reconnaître tes visites, enregistre ta navigation (champs de saisie masqués) et rattache à ta fiche l’e-mail que tu nous donnes, puis la relie à ton compte si tu t’inscris.
- Cal.com, Heyo, WhatsApp : ces services peuvent déposer leurs propres traceurs lorsque vous les utilisez [à vérifier].
Votre choix
Le bandeau vous permet d’« Accepter » ou de « Refuser » aussi facilement l’un que l’autre. Refuser n’empêche pas d’utiliser le site. Votre choix vaut pour le site et l’application, et il est conservé 6 mois, puis le bandeau vous est de nouveau proposé. Sans votre accord, aucune donnée n’est envoyée à Meta, ni depuis votre navigateur ni depuis nos serveurs. Vous pouvez modifier votre choix à tout moment via le lien « Cookies » en bas de page ou en supprimant les cookies de votre navigateur.
11. Modifications
Nous pouvons mettre à jour cette politique. La date en haut de page indique la dernière version. En cas de changement important, nous vous en informerons [par e-mail ou dans l’application].
Dernière mise à jour : 9 octobre 2026