Politique de confidentialité

Dernière mise à jour

5 août 2026

1. Les rôles de Catalog au titre du RGPD

Deux rôles

Selon le contexte, Catalog agit soit en tant que responsable de traitement, soit en tant que sous-traitant au sens du RGPD.

Responsable de traitement

Catalog agit en tant que responsable de traitement pour la gestion de son site web, de ses prospects, de ses comptes utilisateurs, de son support et de ses obligations légales.

Sous-traitant

Catalog agit en tant que sous-traitant lorsqu'elle traite des données personnelles contenues dans des e-mails, commandes, devis, pièces jointes, données clients, données produits ou systèmes ERP pour le compte de ses clients B2B.

Société

Catalog SAS, société par actions simplifiée française au capital de 2 001 000 €, immatriculée au Registre du Commerce et des Sociétés de Bordeaux sous le numéro 950 871 848.

Siège social

51 Quai Lawton, 33300 Bordeaux, France.

Contact pour les données personnelles

dpo@startcatalog.com.

2. Données collectées

Données de compte utilisateur

Nom, prénom, adresse e-mail professionnelle, mot de passe haché, rôle, organisation (vendeur).

Boîtes aux lettres connectées

Contenu des boîtes aux lettres connectées (Gmail, Microsoft 365 / Outlook, IMAP) : messages entrants et sortants, pièces jointes, expéditeurs, destinataires, objets, en-têtes, libellés / catégories, fils de discussion, identifiants techniques.

Données commerciales B2B

Commandes, devis, produits, clients, prix, intégrations ERP.

Journaux applicatifs et techniques

Adresses IP, agent utilisateur (user-agent), identifiants de session, traces d'exécution, erreurs, métriques de performance.

Cookies et données de navigation

Sur startcatalog.com, le cas échéant, gérés via la bannière de cookies ou le module de gestion des cookies.

Données téléphoniques

Lorsqu'elles sont saisies par vos clients : numéros normalisés à des fins de rapprochement.

3. Finalités et bases juridiques

Fourniture du service

Fourniture du service Catalog (exécution du contrat) : ingestion des e-mails, extraction des commandes, classification, suivi, envoi de réponses, intégration ERP.

Amélioration du service

Amélioration de la qualité du service et des performances des fonctionnalités d'IA configurées pour le service (intérêt légitime ou exécution du contrat, selon le contexte) : évaluation, contrôle qualité, détection d'erreurs. Aucune donnée client n'est utilisée pour entraîner des modèles publics ou à usage général.

Sécurité

Sécurité, prévention de la fraude et continuité (intérêt légitime et obligation légale).

Communications transactionnelles

Communications transactionnelles et assistance (exécution du contrat).

Communications marketing

Communications marketing (consentement uniquement ; vous pouvez vous désinscrire à tout moment).

4. Traitement par intelligence artificielle

Modèles

Catalog s'appuie sur des modèles d'IA, y compris des modèles tiers, pour analyser le contenu des e-mails, extraire les commandes, classer les messages et générer des suggestions de réponse.

Prestataires tiers

Lorsque des prestataires tiers de modèles d'IA sont utilisés, Catalog configure les services et lie contractuellement ses prestataires afin que les données des clients ne soient pas utilisées pour entraîner des modèles publics ou à usage général.

Supervision humaine

Aucune décision purement automatisée produisant des effets juridiques ou affectant de manière significative une personne n'est prise sans intervention humaine. Vous conservez le dernier mot sur ce qui est envoyé à votre ERP ou à vos clients.

5. Conformité à la politique relative aux données des utilisateurs des services API Google (utilisation limitée)

Principe

L'utilisation par Catalog des informations reçues des API Google, y compris Gmail, est conforme à la politique relative aux données des utilisateurs des services API Google, et notamment à ses exigences en matière d'utilisation limitée.

En pratique

Nous utilisons les données Gmail uniquement pour fournir les fonctionnalités demandées par l'utilisateur (Smart Inbox, Smart Order, Smart Agents) ; nous ne vendons jamais ces données ; nous ne les utilisons pas à des fins publicitaires ; nous ne les transférons à des tiers que lorsque cela est strictement nécessaire à l'exécution du service (les sous-traitants énumérés ci-dessous) ; le personnel de Catalog ne lit pas vos e-mails, sauf avec votre consentement explicite, en vertu d'une obligation légale ou à des fins de sécurité ou d'assistance aux utilisateurs.

Conservation

Les données Gmail ne sont conservées que le temps nécessaire à la fourniture du service, conformément aux durées de conservation indiquées ci-dessous, puis elles sont supprimées ou anonymisées selon les paramètres applicables et les obligations contractuelles.

6. Conformité pour Microsoft Graph et IMAP

Mêmes principes

Lorsque vous connectez une boîte aux lettres Microsoft 365 / Outlook ou IMAP, les principes susmentionnés (minimisation, absence de revente, absence de publicité, absence de réutilisation pour l'entraînement de modèles publics) s'appliquent de la même manière.

Jetons et révocation

Les jetons d'accès et de rafraîchissement sont chiffrés au repos. Vous pouvez révoquer l'accès à tout moment depuis votre console d'administration Microsoft, votre fournisseur de messagerie ou la console Catalog, selon la méthode de connexion utilisée.

7. Sous-traitants et partenaires

Amazon Web Services (AWS)

Hébergement, stockage, bases de données, cache, messagerie et services d'IA gérés. Localisation : Union européenne.

MongoDB Atlas

Base de données de documents (paramètres du vendeur, métadonnées d'e-mail, journaux). Localisation : Union européenne.

API Google Cloud / Google Workspace

Connexion Gmail / Workspace, notifications push, services cloud et d'IA gérés. Localisation : Union européenne.

Microsoft Corporation

Connexion Outlook / Microsoft 365, Microsoft Graph, Entra ID et services Azure configurés. Localisation : Union européenne.

Microsoft Azure OpenAI

Modèles GPT pour les fonctionnalités d'IA du service. Localisation : Union européenne.

Datadog Inc.

Surveillance et observabilité des applications. Localisation : Union européenne.

Vercel Inc.

Hébergement des interfaces front-end (interface vendeur, site web public). Localisation : Union européenne.

Auth0 (Okta)

Gestion des identités et SSO. Localisation : Union européenne.

Amazon Cognito

Authentification des utilisateurs et gestion des identités. Lieu : Union européenne.

SendGrid (Twilio Inc.)

Envoi d'e-mails transactionnels (notifications, comptes). Lieu : Union européenne.

8. Localisation des données

Préférence

Catalog privilégie l'hébergement et le traitement des données au sein de l'Union européenne ou de l'Espace économique européen.

Engagements contractuels

Lorsque les engagements contractuels pris envers un client prévoient un hébergement ou un traitement exclusivement au sein de l'Espace économique européen, ces engagements spécifiques prévalent pour le client concerné.

Transferts hors de l'EEE

Si un transfert hors de l'Espace économique européen s'avérait nécessaire, Catalog veillerait à s'appuyer sur un mécanisme de transfert conforme aux normes de RGPD, tel qu'une décision d'adéquation, les clauses contractuelles types de la Commission européenne ou toute autre garantie appropriée.

9. Durées de conservation

Données de compte

Pendant toute la durée de la relation contractuelle, puis 3 ans à des fins de preuve.

E-mails et pièces jointes associés

Aussi longtemps que nécessaire pour fournir le service, puis suppression dans un délai raisonnable après la résiliation, la déconnexion de la boîte aux lettres ou une demande applicable, sauf disposition légale ou contractuelle contraire.

Pièces jointes archivées

Pièces jointes archivées sur S3 aux fins de l'extraction Smart Order : aussi longtemps que nécessaire pour fournir le service, selon les paramètres applicables au client.

Journaux techniques

Limités aux besoins de surveillance, de sécurité, de diagnostic et de continuité de service, selon les paramètres applicables aux systèmes concernés.

Données analytiques BigQuery

13 mois par défaut, configurable.

Données comptables et factures

10 ans (obligation légale).

10. Sécurité

Mesures

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS en transit, chiffrement au repos pour les jetons OAuth et les secrets, isolation stricte des environnements et des données par client, contrôle d'accès basé sur les rôles, journalisation et alertes, revues de code, tests automatisés et surveillance continue.

Évaluations de sécurité Google

Catalog prépare ou se soumet aux évaluations de sécurité requises par Google pour l'utilisation de périmètres (scopes) restreints Gmail, lorsque ces périmètres sont nécessaires au service.

11. Vos droits

Accès, rectification, effacement

Accès à vos données personnelles, rectification et effacement de celles-ci.

Limitation et opposition

Limitation du traitement et opposition à celui-ci.

Portabilité

Portabilité de vos données.

Retrait du consentement

Retrait du consentement à tout moment, sans effet rétroactif.

Directives post-mortem

Définition de directives relatives au sort de vos données après votre décès.

Réclamation

Dépôt d'une réclamation auprès de la CNIL (cnil.fr).

12. Cookies

Module de consentement

Lors du premier chargement du site, un module de consentement vous invite à accepter ou refuser trois catégories de cookies : strictement nécessaires (bloqués ; ils mémorisent uniquement votre choix), mesure d'audience (Google Analytics) et publicité (Google Ads, LinkedIn). Le refus est aussi simple que l'acceptation, et vous pouvez changer d'avis à tout moment depuis lapage « Cookies », accessible depuis le pied de page.

Liste détaillée

La liste détaillée des cookies et technologies de stockage utilisés, de leur origine et de leur durée de conservation est publiée sur cette page « Cookies ».

13. Modifications

Mises à jour

Nous pouvons mettre à jour cette politique pour refléter des évolutions juridiques, techniques ou commerciales. La date de la dernière mise à jour figure en haut de la page. En cas de modifications substantielles, nous vous en informerons par e-mail ou via l'application.