Politique de confidentialité

Dernière mise à jour

2 octobre 2026

1. Les rôles de Catalog au titre du RGPD

Deux rôles

Selon le contexte, Catalog agit soit en tant que responsable de traitement, soit en tant que sous-traitant au sens du RGPD.

Responsable de traitement

Catalog agit en tant que responsable de traitement pour la gestion de son site web, de ses prospects, de ses comptes utilisateurs, de son support et de ses obligations légales.

Sous-traitant

Catalog agit en tant que sous-traitant lorsqu'elle traite des données personnelles contenues dans des e-mails, commandes, devis, pièces jointes, données clients, données produits ou systèmes ERP pour le compte de ses clients B2B.

Société

Catalog SAS, société par actions simplifiée française au capital de 2 001 000 €, immatriculée au Registre du Commerce et des Sociétés de Bordeaux sous le numéro 950 871 848.

Siège social

51 Quai Lawton, 33300 Bordeaux, France.

Contact pour les données personnelles

dpo@startcatalog.com.

2. Données collectées

Données de compte utilisateur

Nom, prénom, adresse e-mail professionnelle, mot de passe haché, rôle, organisation (vendeur).

Boîtes aux lettres connectées

Contenu des boîtes aux lettres connectées (Gmail, Microsoft 365 / Outlook, IMAP) : messages entrants et sortants, pièces jointes, expéditeurs, destinataires, objets, en-têtes, libellés / catégories, fils de discussion, identifiants techniques.

Données commerciales B2B

Commandes, devis, produits, clients, prix, intégrations ERP.

Journaux applicatifs et techniques

Adresses IP, agent utilisateur (user-agent), identifiants de session, traces d'exécution, erreurs, métriques de performance.

Cookies et données de navigation

Sur gocatalog.ai, le cas échéant, gérés via la bannière de cookies ou le module de gestion des cookies.

Données téléphoniques

Lorsqu'elles sont saisies par vos clients : numéros normalisés à des fins de rapprochement.

3. Finalités et bases juridiques

Fourniture du service

Fourniture du service Catalog (exécution du contrat) : ingestion des e-mails, extraction des commandes, classification, suivi, envoi de réponses, intégration ERP.

Amélioration du service

Amélioration de la qualité du service et des performances des fonctionnalités d'IA configurées pour le service (intérêt légitime ou exécution du contrat, selon le contexte) : évaluation, contrôle qualité, détection d'erreurs. Aucune donnée client n'est utilisée pour entraîner des modèles publics ou à usage général.

Sécurité

Sécurité, prévention de la fraude et continuité (intérêt légitime et obligation légale).

Communications transactionnelles

Communications transactionnelles et assistance (exécution du contrat).

Communications marketing

Communications marketing (consentement uniquement ; vous pouvez vous désinscrire à tout moment).

Mesure d'audience

Mesure de l'audience de ce site et de ses performances (consentement uniquement ; vous pouvez le retirer à tout moment) : Dash0, Google Analytics 4 et le code de suivi HubSpot, qui relie votre visite à votre fiche contact après l'envoi d'un formulaire. Ces outils ne fonctionnent que si vous acceptez la catégorie « mesure d'audience ».

Publicité

Mesure des résultats de nos campagnes publicitaires et, le cas échéant, diffusion de nos annonces aux personnes qui ont visité ce site (consentement uniquement ; vous pouvez le retirer à tout moment) : Google Ads et le LinkedIn Insight Tag, y compris le report de l'identifiant du clic sur l'annonce qui vous a amené ici (gclid, gbraid, wbraid, li_fat_id). Ces outils ne fonctionnent que si vous acceptez la catégorie « publicité ».

Source de campagne

Savoir de quelle campagne provient une demande de contact (intérêt légitime) : les paramètres de campagne (UTM) du lien qui vous a amené ici sont reportés dans l'adresse des pages de ce site, de l'une à la suivante, puis enregistrés dans notre CRM avec votre demande si vous en envoyez une. Rien n'est enregistré sur votre appareil pour cela.

4. Traitement par intelligence artificielle

Modèles

Catalog s'appuie sur des modèles d'IA, y compris des modèles tiers, pour analyser le contenu des e-mails, extraire les commandes, classer les messages et générer des suggestions de réponse.

Prestataires tiers

Lorsque des prestataires tiers de modèles d'IA sont utilisés, Catalog configure les services et lie contractuellement ses prestataires afin que les données des clients ne soient pas utilisées pour entraîner des modèles publics ou à usage général.

Supervision humaine

Aucune décision purement automatisée produisant des effets juridiques ou affectant de manière significative une personne n'est prise sans intervention humaine. Vous conservez le dernier mot sur ce qui est envoyé à votre ERP ou à vos clients.

5. Conformité à la politique relative aux données des utilisateurs des services API Google (utilisation limitée)

Principe

L'utilisation par Catalog des informations reçues des API Google, y compris Gmail, est conforme à la politique relative aux données des utilisateurs des services API Google, et notamment à ses exigences en matière d'utilisation limitée.

En pratique

Nous utilisons les données Gmail uniquement pour fournir les fonctionnalités demandées par l'utilisateur (Smart Inbox, Smart Order, Smart Agents) ; nous ne vendons jamais ces données ; nous ne les utilisons pas à des fins publicitaires ; nous ne les transférons à des tiers que lorsque cela est strictement nécessaire à l'exécution du service (les sous-traitants énumérés ci-dessous) ; le personnel de Catalog ne lit pas vos e-mails, sauf avec votre consentement explicite, en vertu d'une obligation légale ou à des fins de sécurité ou d'assistance aux utilisateurs.

Conservation

Les données Gmail ne sont conservées que le temps nécessaire à la fourniture du service, conformément aux durées de conservation indiquées ci-dessous, puis elles sont supprimées ou anonymisées selon les paramètres applicables et les obligations contractuelles.

6. Conformité pour Microsoft Graph et IMAP

Mêmes principes

Lorsque vous connectez une boîte aux lettres Microsoft 365 / Outlook ou IMAP, les principes susmentionnés (minimisation, absence de revente, absence de publicité, absence de réutilisation pour l'entraînement de modèles publics) s'appliquent de la même manière.

Jetons et révocation

Les jetons d'accès et de rafraîchissement sont chiffrés au repos. Vous pouvez révoquer l'accès à tout moment depuis votre console d'administration Microsoft, votre fournisseur de messagerie ou la console Catalog, selon la méthode de connexion utilisée.

7. Sous-traitants et partenaires

Amazon Web Services (AWS)

Hébergement, stockage, bases de données, cache, messagerie et services d'IA gérés. Localisation : Union européenne.

MongoDB Atlas

Base de données de documents (paramètres du vendeur, métadonnées d'e-mail, journaux). Localisation : Union européenne.

API Google Cloud / Google Workspace

Connexion Gmail / Workspace, notifications push, services cloud et d'IA gérés. Localisation : Union européenne.

Microsoft Corporation

Connexion Outlook / Microsoft 365, Microsoft Graph, Entra ID et services Azure configurés. Localisation : Union européenne.

Microsoft Azure OpenAI

Modèles GPT pour les fonctionnalités d'IA du service. Localisation : Union européenne.

Datadog Inc.

Surveillance et observabilité des applications. Localisation : Union européenne.

Vercel Inc.

Hébergement des interfaces front-end (interface vendeur, site web public). Localisation : Union européenne.

Auth0 (Okta)

Gestion des identités et SSO. Localisation : Union européenne.

Amazon Cognito

Authentification des utilisateurs et gestion des identités. Lieu : Union européenne.

SendGrid (Twilio Inc.)

Envoi d'e-mails transactionnels (notifications, comptes). Lieu : Union européenne.

HubSpot

Gestion de la relation client : l'adresse e-mail transmise via le formulaire de contact de ce site, et le suivi qui en découle. Si vous acceptez la catégorie « mesure d'audience », le code de suivi HubSpot relie aussi votre visite à votre fiche contact après l'envoi d'un formulaire. Lieu : Union européenne.

Google Ireland Ltd (Google Analytics 4, Google Ads)

Mesure d'audience de ce site (Google Analytics 4) et mesure de nos campagnes publicitaires (Google Ads), uniquement si vous acceptez les catégories correspondantes. Localisation : Irlande (Union européenne) ; les transferts vers les États-Unis sont décrits à la section 8.

LinkedIn Ireland Unlimited Company (Insight Tag)

Mesure de nos campagnes publicitaires sur LinkedIn et, le cas échéant, diffusion de nos annonces aux visiteurs de ce site, uniquement si vous acceptez la catégorie « publicité ». Localisation : Irlande (Union européenne) ; les transferts vers les États-Unis sont décrits à la section 8.

Dash0

Mesure d'audience et supervision de ce site (pages vues, clics sur les appels à l'action, erreurs et performances), uniquement si vous acceptez la catégorie « mesure d'audience ». Localisation : Union européenne.

8. Localisation des données

Préférence

Catalog privilégie l'hébergement et le traitement des données au sein de l'Union européenne ou de l'Espace économique européen.

Engagements contractuels

Lorsque les engagements contractuels pris envers un client prévoient un hébergement ou un traitement exclusivement au sein de l'Espace économique européen, ces engagements spécifiques prévalent pour le client concerné.

Transferts hors de l'EEE

Si un transfert hors de l'Espace économique européen s'avérait nécessaire, Catalog veillerait à s'appuyer sur un mécanisme de transfert conforme aux normes de RGPD, tel qu'une décision d'adéquation, les clauses contractuelles types de la Commission européenne ou toute autre garantie appropriée.

Transferts vers les États-Unis

Pour les outils de mesure d'audience et de publicité de ce site que vous acceptez, des données peuvent être transférées à Google LLC et à LinkedIn Corporation, aux États-Unis. Ces transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) et sur les clauses contractuelles types de la Commission européenne. Ils concernent uniquement les visiteurs de ce site, et non les données des clients du service.

9. Durées de conservation

Données de compte

Pendant toute la durée de la relation contractuelle, puis 3 ans à des fins de preuve.

E-mails et pièces jointes associés

Aussi longtemps que nécessaire pour fournir le service, puis suppression dans un délai raisonnable après la résiliation, la déconnexion de la boîte aux lettres ou une demande applicable, sauf disposition légale ou contractuelle contraire.

Pièces jointes archivées

Pièces jointes archivées sur S3 aux fins de l'extraction Smart Order : aussi longtemps que nécessaire pour fournir le service, selon les paramètres applicables au client.

Journaux techniques

Limités aux besoins de surveillance, de sécurité, de diagnostic et de continuité de service, selon les paramètres applicables aux systèmes concernés.

Données analytiques BigQuery

13 mois par défaut, configurable.

Données comptables et factures

10 ans (obligation légale).

Adresses du formulaire de contact et suivi CRM

Trois ans à compter du dernier contact avec vous, critère retenu pour un prospect qui ne devient pas client. Effacement anticipé sur demande, et à tout moment via les droits décrits ci-dessous.

Données Google Analytics 4 (visiteurs de ce site)

14 mois.

Cookies Google Analytics

_ga et _ga_* : 13 mois.

Cookies Google Ads

_gcl_* : 90 jours.

Cookie LinkedIn

li_fat_id : 30 jours.

Cookie HubSpot

hubspotutk : 6 mois.

Stockage Dash0

d0_session : 3 heures sans activité, 6 heures au plus. d0_tab : jusqu'à la fermeture de l'onglet.

10. Sécurité

Mesures

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS en transit, chiffrement au repos pour les jetons OAuth et les secrets, isolation stricte des environnements et des données par client, contrôle d'accès basé sur les rôles, journalisation et alertes, revues de code, tests automatisés et surveillance continue.

Évaluations de sécurité Google

Catalog prépare ou se soumet aux évaluations de sécurité requises par Google pour l'utilisation de périmètres (scopes) restreints Gmail, lorsque ces périmètres sont nécessaires au service.

11. Vos droits

Accès, rectification, effacement

Accès à vos données personnelles, rectification et effacement de celles-ci.

Limitation et opposition

Limitation du traitement et opposition à celui-ci.

Portabilité

Portabilité de vos données.

Retrait du consentement

Retrait du consentement à tout moment, sans effet rétroactif.

Directives post-mortem

Définition de directives relatives au sort de vos données après votre décès.

Réclamation

Dépôt d'une réclamation auprès de la CNIL (cnil.fr).

12. Cookies

Module de consentement

Lors du premier chargement du site, un module de consentement vous invite à accepter ou refuser trois catégories de cookies : strictement nécessaires (bloqués ; ils mémorisent uniquement votre choix), mesure d'audience (Dash0, Google Analytics, HubSpot) et publicité (Google Ads, LinkedIn). Le refus est aussi simple que l'acceptation, et vous pouvez changer d'avis à tout moment depuis lapage « Cookies », accessible depuis le pied de page.

Liste détaillée

La liste détaillée des cookies et technologies de stockage utilisés, de leur origine et de leur durée de conservation est publiée sur cette page « Cookies ».

13. Modifications

Mises à jour

Nous pouvons mettre à jour cette politique pour refléter des évolutions juridiques, techniques ou commerciales. La date de la dernière mise à jour figure en haut de la page. En cas de modifications substantielles, nous vous en informerons par e-mail ou via l'application.