Politique de confidentialité

1. Champ d'application de la présente politique

La présente politique de confidentialité explique comment Ooklo collecte, utilise, conserve, partage et protège vos données personnelles lorsque vous :

• Visitez notre site web ooklo.com ;
• Utilisez la plateforme Ooklo et ses services (création de campagnes, marketing multicanal, gestion des réseaux sociaux, statistiques) ;
• Connectez vos comptes de réseaux sociaux (Facebook, Instagram, etc.) à la plateforme Ooklo ;
• Utilisez l'Ooklo Assistant sur Telegram ou WhatsApp pour gérer votre commerce par messagerie (campagnes, avis, réservations, synthèses, alertes) ;
• Nous contactez via nos formulaires, par e-mail ou par téléphone.

« Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable.

2. Données que nous collectons

Conformément au principe de minimisation, nous ne collectons que les données strictement nécessaires aux finalités décrites ci-dessous.

2.1 Données que vous nous fournissez directement

• Données de compte et de contact : prénom, nom, adresse e-mail, numéro de téléphone, mot de passe (chiffré), nom de l'entreprise, fonction, secteur d'activité, adresse de facturation.
• Envois de formulaires : contenu des messages, demandes, inscription à la lettre d'information.
• Contenus que vous créez : contenu de vos campagnes marketing, listes de clients que vous importez, éléments de marque (logos, images), modèles.
• Données de paiement : traitées de manière sécurisée par notre prestataire de paiement Stripe. Ooklo ne conserve pas les numéros de carte complets.

2.2 Données collectées automatiquement

• Données techniques : adresse IP, type de navigateur, type d'appareil, système d'exploitation, langue, fuseau horaire.
• Données d'utilisation : pages consultées, fonctionnalités utilisées, clics, durée de session, URL de provenance.
• Cookies et traceurs : voir la section consacrée aux cookies ci-dessous.

2.3 Données collectées auprès de plateformes tierces

Lorsque vous connectez des services externes à Ooklo (Facebook/Instagram via Meta, services Google, Telegram, WhatsApp Business, etc.), nous recevons des données via leurs API, avec votre consentement et dans la limite des autorisations que vous accordez. Voir la section 3 ci-dessous pour les données propres à Meta et la section 3.5 pour les données collectées via l'Ooklo Assistant (Telegram et WhatsApp).

3. Données collectées via les plateformes Meta (Facebook et Instagram)

3.1 Données que nous collectons auprès de Meta

Selon les autorisations que vous accordez lors du processus d'autorisation OAuth, nous pouvons collecter et conserver :

• Informations de profil : votre nom, votre photo de profil, votre identifiant utilisateur Facebook/Instagram, votre adresse e-mail (si vous l'autorisez).
• Données de Page : nom de la Page, identifiant de la Page, photo de profil de la Page, catégorie de la Page, liste des administrateurs.
• Contenu de la Page : publications existantes, publications programmées, commentaires, messages reçus via la Page (le cas échéant).
• Statistiques et indicateurs : couverture, impressions, engagement, données démographiques des abonnés (données agrégées uniquement), contenus les plus performants.
• Jetons d'accès : jetons d'accès OAuth de courte et de longue durée, conservés sous forme chiffrée, utilisés pour publier des contenus et récupérer des statistiques en votre nom.
• Données Instagram Business : identifiant du compte, médias (publications existantes et programmées), statistiques, performance des hashtags.

3.2 Comment Ooklo utilise les données Meta

Nous utilisons ces données exclusivement pour fournir les services que vous avez demandés :

• Publication de contenus : programmation et publication de contenus sur votre Page Facebook ou votre compte Instagram au moment que vous choisissez.
• Affichage des statistiques : présentation des indicateurs de performance (couverture, engagement, croissance de l'audience) dans le tableau de bord Ooklo.
• Suggestions de contenu : notre IA peut analyser les performances passées pour suggérer les meilleurs moments de publication, des hashtags ou des angles de contenu.
• Gestion de l'audience : affichage de statistiques sur vos abonnés et votre audience pour vous aider à adapter vos campagnes.
• Gestion des messages : si vous l'autorisez, aide pour répondre aux commentaires et aux messages privés depuis une boîte de réception unifiée.

Nous n'utilisons jamais les données Meta à d'autres fins que celles énumérées ci-dessus. Nous ne vendons, ne louons ni n'échangeons les données Meta avec des tiers. Nous n'utilisons pas les données Meta pour constituer des profils publicitaires en dehors du périmètre des services auxquels vous avez expressément souscrit.

3.3 Comment Ooklo conserve et sécurise les données Meta

• Lieu de stockage : centres de données situés dans l'Union européenne (conformes au RGPD).
• Chiffrement : tous les jetons OAuth et les données sensibles sont chiffrés au repos (AES-256) et en transit (TLS 1.2+).
• Contrôle des accès : seul le personnel habilité d'Ooklo, selon le principe strict du besoin d'en connaître, peut accéder aux données conservées, avec journalisation à des fins d'audit.
• Conservation : les données Meta ne sont conservées que tant que votre compte Ooklo est actif et que l'intégration est connectée. Voir la section 7 pour le détail complet des durées de conservation.

3.4 Déconnecter vos comptes Meta

Vous pouvez déconnecter votre intégration Facebook/Instagram à tout moment :

• Depuis Ooklo : Paramètres → Intégrations → Déconnecter.
• Directement depuis Facebook : Paramètres → Intégrations professionnelles → Supprimer Ooklo.

Lors de la déconnexion, les jetons OAuth sont immédiatement révoqués. Les données associées sont supprimées sous 30 jours, sauf lorsque leur conservation est exigée par la loi (par exemple, les données de facturation).

3.5 Données collectées via l'Ooklo Assistant (Telegram et WhatsApp)

3.5.1 Données que nous collectons

Lorsque vous associez un numéro Telegram ou WhatsApp à votre compte Ooklo, nous recevons et conservons :

• Identifiants de canal : identifiant utilisateur Telegram, identifiant de conversation Telegram, numéro de téléphone WhatsApp, nom d'affichage professionnel WhatsApp. Ils permettent à l'Assistant de s'adresser à vous et d'acheminer les notifications vers la bonne conversation.
• Métadonnées de profil : prénom, nom, langue préférée, photo de profil (lorsque le canal la rend accessible).
• Contenu des messages : les messages que vous envoyez à l'Assistant et les réponses de l'Assistant. Ils servent à exécuter vos demandes (lancer une campagne, répondre à un avis, consulter vos indicateurs clés) et à améliorer progressivement la compréhension du robot. Les messages ne sont jamais utilisés à des fins publicitaires ni vendus à des tiers.
• Éléments d'authentification : un lien magique / jeton QR de courte durée permettant d'associer, la première fois, votre compte de messagerie à votre tableau de bord Ooklo.
• Métadonnées opérationnelles : horodatage des messages, statut de remise, temps de réponse des commandes, langue détectée. Elles servent à la fiabilité du produit et aux statistiques (données agrégées, ne permettant jamais d'identifier une personne).

3.5.2 Comment nous les utilisons

• Exécuter les actions que vous demandez depuis la conversation : campagnes, avis, réservations, synthèses, alertes, consultation du solde, indicateurs clés multi-établissements.
• Vous envoyer les notifications proactives que vous avez activées (synthèse quotidienne, rapport hebdomadaire, alerte d'avis négatif, alerte d'annulation), en respectant les heures de silence que vous avez configurées.
• Générer de courtes suggestions assistées par IA (brouillons de réponse, textes de campagne) à l'aide de notre fournisseur d'IA souverain. Chaque appel à l'IA ne traite que le contexte strictement nécessaire ; l'historique complet de la conversation n'est jamais transmis.
• Assurer le support et résoudre les incidents (les ingénieurs n'interviennent qu'en cas de besoin, avec une piste d'audit journalisée).

3.5.3 Plateformes tierces concernées

L'Assistant s'appuie sur les API officielles de Telegram et de Meta (pour WhatsApp Business). Les données personnelles sont traitées par ces fournisseurs conformément à leurs propres politiques de confidentialité, en plus de la nôtre :

• Telegram : voir telegram.org/privacy.
• Meta / WhatsApp Business : voir whatsapp.com/legal/business-privacy-policy.

3.5.4 Stockage, conservation et déconnexion

• Stockage : les données de l'Assistant sont hébergées sur la même infrastructure européenne que le reste de la plateforme Ooklo (OVHcloud, région UE). Les messages sont chiffrés au repos.
• Conservation : l'historique des conversations est conservé tant que votre compte Ooklo est actif. Vous pouvez demander à tout moment l'effacement de l'historique des conversations sans supprimer votre compte Ooklo.
• Déconnexion : à tout moment, envoyez /unlink à l'Assistant, ou supprimez l'intégration depuis Paramètres → Intégrations → Assistant. Les jetons sont révoqués immédiatement ; les données de conversation associées sont supprimées sous 30 jours (sauf lorsque leur conservation est exigée par la loi).
• En dehors de l'Ooklo Assistant : les messages échangés avec Ooklo via les canaux habituels du service client (e-mail, formulaire de contact) sont régis par le reste de la présente politique.

4. Pourquoi nous traitons vos données

Nous traitons vos données personnelles pour les finalités suivantes :

• Fourniture du service : création, gestion et fonctionnement de votre compte Ooklo ; diffusion des campagnes ; publication de contenus ; affichage des statistiques.
• Service client : réponse à vos demandes, résolution des problèmes, assistance.
• Amélioration du service : analyse des usages pour améliorer les fonctionnalités, corriger les anomalies et développer de nouvelles fonctionnalités.
• Communication : envoi de notifications liées au service, d'informations sur les évolutions du produit et (avec votre consentement) de communications marketing.
• Facturation : traitement des paiements, émission des factures, recouvrement des impayés.
• Sécurité et prévention de la fraude : détection des accès non autorisés, des abus et des activités frauduleuses.
• Conformité légale : respect de nos obligations légales et réglementaires.

5. Bases légales du traitement

Nous traitons vos données personnelles sur le fondement d'une ou plusieurs des bases légales suivantes :

• Consentement : pour les cookies et traceurs, les communications marketing, les fonctionnalités optionnelles et les intégrations Meta.
• Exécution d'un contrat : pour fournir les services auxquels vous avez souscrit.
• Intérêt légitime : pour l'amélioration du service, la prévention de la fraude, la prospection B2B (mis en balance avec vos droits).
• Obligation légale : pour les données de facturation, le respect des obligations fiscales, les réponses aux autorités légalement habilitées.

6. Avec qui nous partageons vos données

Nous ne vendons jamais vos données personnelles. Nous les partageons uniquement avec :

6.1 Prestataires de confiance (sous-traitants)

Agissant pour notre compte, dans le cadre d'obligations contractuelles strictes et d'accords de traitement des données conformes au RGPD :

• Hébergement et infrastructure : tous nos sous-traitants d'hébergement sont situés dans l'Union européenne.
  • OVH SAS : hébergement des données à Roubaix, France.
  • Hetzner Online GmbH : capacité de calcul supplémentaire à Falkenstein/Nuremberg (Allemagne) et Helsinki (Finlande).
  • Scaleway SAS : fournisseur cloud français, centres de données à Paris et Amsterdam.
  • Backblaze B2 Cloud Storage : stockage objet pour les sauvegardes et les fichiers médias, région UE (Amsterdam, Pays-Bas). Tous les espaces de stockage (buckets) sont rattachés à la région UE ; aucune donnée ne quitte l'UE.
• Paiements : Stripe (prestataire de paiement conforme à la norme PCI-DSS).
• Envoi d'e-mails : Brevo, SendGrid ou prestataires équivalents d'envoi d'e-mails transactionnels.
• Passerelle SMS : Infobip Ltd (activités dans l'UE) pour l'envoi de SMS dans toute l'Europe. Les numéros de mobile sont transmis aux réseaux des opérateurs via les canaux A2P officiels d'Infobip, dans le cadre d'un accord de traitement des données conforme au RGPD.
• Mesure d'audience : Plausible / outils de mesure d'audience respectueux de la vie privée (aucune donnée personnelle).
• Outils de service client : prestataires de gestion des demandes (tickets) et de messagerie instantanée.
• Plateformes de gestion de données (DMP) et fournisseurs de passerelles : pour la diffusion des campagnes et l'activation des audiences.

6.2 Plateformes connectées (avec votre consentement)

Lorsque vous connectez des services externes à Ooklo, des données sont échangées avec ces plateformes via leurs API officielles, conformément aux autorisations que vous accordez :

• Meta : Facebook, Instagram et WhatsApp Business (Cloud API).
• Google : Google Business Profile, Google Ads.
• Telegram : Telegram Bot API pour l'Ooklo Assistant.

6.3 Autorités et obligations légales

Nous pouvons communiquer des données personnelles si la loi ou une décision de justice l'exige, ou pour protéger nos droits.

7. Durée de conservation de vos données

• Données du compte actif : conservées pendant toute la durée de votre abonnement.
• Après la fermeture du compte : une période de grâce de 30 jours s'applique, pendant laquelle vous pouvez réactiver ou exporter vos données ; passé ce délai, les données du compte sont supprimées, sauf lorsque leur conservation est exigée par la loi (voir « Facturation » ci-dessous) ou techniquement nécessaire pour les sauvegardes en cours (purgées sous 60 jours, voir le dernier point).
• Facturation : 10 ans (obligation légale).
• Données de prospects : 3 ans à compter du dernier contact.
• Cookies : 13 mois maximum.
• Données de l'intégration Meta : supprimées sous 30 jours après la déconnexion.
• Données de l'Ooklo Assistant (Telegram et WhatsApp) : historique des conversations conservé tant que votre compte est actif ; effacé sous 30 jours après la déconnexion ou sur demande.
• Sauvegardes : purgées automatiquement sous 60 jours.

8. Comment nous protégeons vos données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• Chiffrement au repos (AES-256) et en transit (TLS 1.2+).
• Contrôles d'accès stricts (fondés sur les rôles, principe du moindre privilège).
• Journalisation des opérations sensibles à des fins d'audit.
• Audits de sécurité et tests d'intrusion réguliers.
• Protection des données dès la conception et par défaut (Privacy by Design et by Default) dans nos pratiques de développement.
• Analyses d'impact relatives à la protection des données (AIPD) pour les traitements à risque élevé.
• Formation du personnel à la protection des données et à la sécurité.

En cas de violation de données portant atteinte à vos droits, nous vous en informerons, ainsi que l'autorité de contrôle compétente, dans un délai de 72 heures, conformément au RGPD.

9. Vos droits

En vertu du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données.
• Droit à la limitation : limiter le traitement de vos données.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : vous opposer au traitement, notamment à des fins de prospection commerciale.
• Droit de retirer votre consentement : à tout moment, lorsque le traitement repose sur le consentement.
• Droit de définir des directives post mortem : relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.
• Droit d'introduire une réclamation : auprès d'une autorité de contrôle. Les résidents du Royaume-Uni peuvent contacter l'ICO ; les résidents de l'UE peuvent contacter leur autorité nationale de protection des données (par exemple, la CNIL en France ou l'AEPD en Espagne).

Pour exercer vos droits, écrivez à dpo@ooklo.com. Nous vous répondrons dans un délai d'un mois.

10. Comment demander la suppression de vos données

Votre demande doit comporter :

• Vos nom et prénom ainsi que l'adresse e-mail associée à votre compte Ooklo ;
• La confirmation que vous souhaitez supprimer l'ensemble de vos données, ou la précision des ensembles de données concernés (par exemple, uniquement les données Meta) ;
• Une copie d'une pièce d'identité (afin de prévenir l'usurpation d'identité).

Dans un délai de 30 jours à compter de la réception d'une demande valide :

• L'ensemble de vos données personnelles sera définitivement supprimé de nos systèmes actifs ;
• Les jetons OAuth (Meta, Google, etc.) seront révoqués ;
• Les copies de sauvegarde seront purgées dans un délai supplémentaire de 60 jours ;
• Les données soumises à une obligation légale de conservation (par exemple, la facturation) seront archivées de manière sécurisée jusqu'à l'expiration du délai légal, puis supprimées.

Vous recevrez une confirmation écrite une fois la suppression effectuée.

Suppression directe des données Meta : vous pouvez également demander la suppression des données propres à Meta directement depuis vos paramètres Facebook (Paramètres → Apps et sites web → Ooklo → Supprimer). Cette suppression déclenchera automatiquement l'effacement de ces données de notre côté sous 30 jours.

11. Contact et DPO

12. Transferts internationaux de données

Vos données personnelles sont principalement traitées au sein de l'Union européenne. Lorsque des données sont transférées vers des pays tiers, nous veillons à ce que des garanties appropriées soient en place (clauses contractuelles types, décisions d'adéquation ou autres mécanismes conformes au RGPD).

13. Cookies

Nous utilisons des cookies pour le fonctionnement essentiel du site (préférences de langue, gestion de session) et pour la mesure d'audience. Vous pouvez configurer votre navigateur pour refuser les cookies, ce qui peut toutefois affecter le fonctionnement du site.

14. Mises à jour de la présente politique

Nous pouvons mettre à jour la présente politique de confidentialité à tout moment. La version révisée sera publiée sur cette page avec la date de dernière mise à jour. En cas de modification importante, nous vous en informerons par e-mail ou via la plateforme Ooklo.

Dernière mise à jour : avril 2026