Politique de confidentialité
Version en vigueur au 25 octobre 2026.
1. Responsable de traitement
Le responsable des traitements décrits ici est Eliot Bracq (EI), entrepreneur individuel, sous le régime de la micro-entreprise, exerçant sous le nom commercial Pagilion, immatriculé au Registre national des entreprises (RNE), SIREN 131 765 000, dont le siège est situé 47 rue Vivienne, 75002 Paris, France. Pour toute question ou demande sur vos données : contact@pagilion.com.
Cette politique ne couvre pas les données que les clients d’un commerce confient au site de ce commerce (formulaires, commandes, réservations, paiements) : le commerçant en est le responsable de traitement et Pagilion son sous-traitant, dans les conditions de l’accord de sous-traitance. Pour exercer vos droits sur ces données, adressez-vous d’abord au commerce ; nous transmettons toute demande reçue. De même, chaque utilisateur est responsable des traitements qu’il mène pour sa propre prospection.
2. Utilisateurs du service, commerçants et visiteurs
| Finalité | Données | Base légale (RGPD) | Durée de conservation |
|---|---|---|---|
| Création et gestion du compte, connexion, équipe | Email, nom, mot de passe (haché), sessions, invitations de l’équipe | Exécution du contrat (art. 6.1.b) | Tant que le compte existe ; supprimé avec lui |
| Abonnement, facturation et quotas | Offre, période, montants, identifiants de paiement Whop, compteurs d’usage | Exécution du contrat ; obligation légale pour les pièces comptables (art. 6.1.c) | Durée du contrat, puis 10 ans pour les pièces comptables (art. L. 123-22 du Code de commerce) |
| Fourniture du service : recherches, leads, sites, éditeur, messages et appels préparés | Adresses et zones recherchées, leads enregistrés et leur suivi, notes et historique des contacts, sites et leurs versions, consignes données à l’éditeur, fichiers déposés | Exécution du contrat | Tant que le compte existe ; supprimé avec lui |
| Espace d’administration des commerçants : connexion, collaborateurs invités | Email du commerçant et de ses collaborateurs, liens de connexion (à usage unique), sessions | Exécution du contrat (conditions de l’espace commerçant) | Tant que le site existe ; supprimé avec lui |
| Preuve des acceptations : conditions générales, conditions de l’espace commerçant, accord du commerce à la publication de son site (déclaré par l’utilisateur ou accepté par le commerçant) | Date et heure, document et version acceptés, identifiant du compte et son adresse email (ou adresse email du commerçant), site concerné et son nom, auteur et manière de la validation d’une publication, empreinte non réversible de l’adresse IP (HMAC à clé secrète), navigateur utilisé (agent utilisateur, tronqué) | Intérêt légitime : établir et défendre nos droits (art. 6.1.f) | Tant que le compte ou le site concerné existe, puis 5 ans après sa suppression ; une acceptation remplacée par celle d’une nouvelle version, 5 ans après ce remplacement (prescription de l’article 2224 du Code civil et L. 110-4 du Code de commerce) |
| Sécurité, prévention des abus et limites de débit | Empreinte non réversible de l’adresse IP (HMAC à clé secrète), identifiant de visiteur, journaux techniques | Intérêt légitime : protéger le service (art. 6.1.f) | De quelques minutes à 24 heures pour les limites ; 7 jours pour un blocage de connexion ; 30 jours sur une demande reçue par un site |
| Essai guidé de l’inscription | Zone choisie, réponses au questionnaire, aperçu de quelques commerces de la zone | Exécution de mesures précontractuelles | Avec le compte ; supprimé avec lui |
| Emails de service (codes, alertes de paiement, notifications) | Email, contenu du message | Exécution du contrat | Le temps de l’envoi chez Brevo, selon ses journaux techniques |
| Sauvegardes | Copie chiffrée de la base de données et des fichiers | Intérêt légitime : continuité du service | 30 jours glissants |
Les données du moyen de paiement sont saisies dans le formulaire de Whop et traitées par lui : Pagilion n’en reçoit jamais le détail.
3. Commerces et professionnels de la base de leads
Pour permettre à ses utilisateurs de proposer un site aux commerces qui n’en ont pas, Pagilion constitue une base de fiches d’entreprises : nom, activité, adresse, téléphone et email professionnels, site web, liens vers les réseaux sociaux, et des informations publiques sur l’activité. Quand l’entreprise est exploitée par une personne physique (entrepreneur individuel), certaines de ces informations sont des données personnelles.
- Sources : bases de données cartographiques ouvertes, registre public des entreprises (dont le nom et la qualité du dirigeant, jamais sa date de naissance), fiche Google publique du commerce (note, avis avec le prénom et l’initiale de leur auteur, horaires, services, questions des clients), pages publiques Tripadvisor et Trustpilot du commerce (note, avis avec le prénom et l’initiale de leur auteur), lues par notre prestataire DataForSEO, et pages publiques du commerce (site, réseaux sociaux, annuaires) consultées au moment de la création d’un site. Le détail et les licences figurent dans la page Sources des données et licences.
- Finalité : la mise à disposition de ces fiches aux utilisateurs pour une prospection entre professionnels, en rapport avec l’activité du commerce (la création de son site), et le calcul d’un score indicatif.
- Base légale : l’intérêt légitime de Pagilion et de ses utilisateurs à proposer leurs services aux entreprises (art. 6.1.f du RGPD), limité aux coordonnées professionnelles publiées par l’entreprise ou par une source ouverte.
- Destinataires : les utilisateurs de Pagilion qui débloquent la fiche, chacun responsable de sa propre prospection.
- Durée : tant que l’entreprise figure dans les sources ouvertes, actualisées chaque mois ; une entreprise fermée sort des recherches. Les données lues sur Google (fiche, avis, questions), Tripadvisor et Trustpilot (note, avis), directement ou par un prestataire, ne sont jamais conservées plus de 30 jours.
- Information : chaque email de prospection préparé par Pagilion indique la source des coordonnées et contient un lien pour ne plus être contacté.
Maquettes de sites
Un utilisateur peut publier une maquette de site pour un commerce avant que celui-ci l’ait acceptée. Elle reprend des informations publiques du commerce (nom, activité, adresse, téléphone, horaires) et est alors présentée comme une proposition : un bandeau l’indique aux visiteurs et elle est exclue des moteurs de recherche. Elle ne devient le site du commerce que lorsque l’utilisateur déclare, en cochant la case prévue, que le commerce a accepté sa publication, ou lorsque le commerçant accepte les conditions de son espace d’administration ; cette validation est enregistrée (voir le tableau ci-dessus). Le commerce peut demander à tout moment le retrait d’une maquette qui le concerne, à l’utilisateur ou à contact@pagilion.com : elle est alors retirée dans les meilleurs délais.
Ne plus être contacté
Le lien présent dans les messages, ou une simple demande à contact@pagilion.com ou à l’utilisateur qui vous a écrit, inscrit votre refus dans un registre d’opposition commun : aucun utilisateur de Pagilion ne peut plus vous écrire ni vous appeler par le service, et vos coordonnées n’apparaissent plus dans les fiches. Le registre ne garde que des empreintes non réversibles (HMAC à clé secrète) de l’email, du téléphone et de la fiche : il ne permet pas de retrouver vos coordonnées, seulement de reconnaître qu’elles ne doivent plus servir. Il est conservé aussi longtemps que nécessaire au respect de votre refus.
Pour les appels vers des particuliers, les utilisateurs doivent en outre respecter la liste d’opposition au démarchage téléphonique Bloctel (bloctel.gouv.fr).
4. Cookies
Pagilion n’utilise que des cookies nécessaires au fonctionnement du service, exemptés de consentement : la session de connexion, la session de l’espace d’administration d’un commerce et un identifiant de visiteur anonyme (24 heures) qui limite le nombre de recherches sans compte. Aucun cookie publicitaire ni de mesure d’audience tierce. Les statistiques des sites publiés sont mesurées sans cookie et sans conserver l’adresse IP.
Mesure d’audience de Pagilion : les pages publiques (accueil, essai de recherche, tarifs, inscription) sont comptées par notre serveur, sans cookie ni stockage dans votre navigateur, pour savoir combien de visiteurs passent d’une étape à l’autre et d’où ils viennent (site d’origine ou campagne). Seuls des totaux par jour sont gardés ; pour ne compter qu’une fois le même visiteur dans la journée, une empreinte chiffrée de la connexion est conservée deux jours au plus, jamais l’adresse IP elle-même, et aucun visiteur n’est suivi d’un jour à l’autre ni d’une étape à l’autre. Cette mesure, faite pour Pagilion seul et sans recoupement, est exemptée de consentement.
5. Destinataires et sous-traitants
Les données ne sont accessibles qu’aux personnes habilitées de Pagilion et aux sous-traitants qui nous aident à fournir le service, liés par contrat et tenus à la confidentialité :
| Sous-traitant | Rôle | Données | Localisation |
|---|---|---|---|
| Hostinger International Ltd | Hébergement du serveur (application, base de données, sites publiés) | Toutes les données du service | Union européenne |
| Cloudflare, Inc. | Diffusion des pages, sécurité, certificats et domaines des sites, stockage des fichiers et sauvegardes (R2) | Adresses IP et requêtes des visiteurs, fichiers déposés (photos, CV), sauvegardes chiffrées | Réseau mondial ; États-Unis (clauses contractuelles types, Data Privacy Framework) |
| Convex, Inc. | Comptes de connexion, abonnements et quotas | Email, nom, mot de passe haché, sessions, offre souscrite, compteurs d’usage | États-Unis (clauses contractuelles types) |
| Whop Inc. | Encaissement des abonnements et des noms de domaine | Email, identité de facturation, moyen de paiement (traité par Whop, jamais par Pagilion) | États-Unis |
| Stripe Payments Europe, Ltd. | Plateforme Stripe Connect : relie le compte Stripe du commerce, crée sur ce compte les paiements en ligne de ses clients (boutique, billets, abonnements, rendez-vous, commandes) et transmet à Pagilion les événements de paiement | Email du client, montant, référence et statut du paiement, remboursements ; jamais les données de la carte, traitées par Stripe seul | Irlande / Union européenne ; États-Unis pour Stripe, Inc. (clauses contractuelles types, Data Privacy Framework) |
| SumUp Limited | Paiement en ligne des commandes à retirer par le compte SumUp du commerce, relié par Pagilion : création du paiement et lecture de son statut | Montant, numéro et statut de la commande, nom du commerce ; jamais les données de la carte, traitées par SumUp seul | Irlande / Union européenne |
| Brevo (Sendinblue SAS) | Emails de service de l’application (codes de connexion, notifications aux commerçants) | Adresse email du destinataire, contenu de l’email | Union européenne (France) |
| Fournisseurs d’intelligence artificielle : OpenRouter (modèles Anthropic Claude), Inception (Mercury), Groq, Google (Gemini), Exa | Rédaction et modification des sites, scripts d’appel et messages, recherche d’informations publiques sur un commerce | Informations publiques des commerces, consignes et textes saisis par l’utilisateur ; aucune donnée des clients des commerçants | États-Unis (clauses contractuelles types) |
| Pexels | Photos d’illustration des sites | Mots-clés de recherche d’images, sans donnée personnelle | Allemagne / Union européenne |
| OVHcloud (OVH SAS) | Enregistrement des noms de domaine achetés par l’utilisateur | Coordonnées du titulaire du domaine | Union européenne (France) |
| Sentry (Functional Software, Inc.) | Suivi des erreurs techniques de l’application et du traitement en arrière-plan | Type d’erreur, pile d’appels, adresse de la page ou nom de la tâche ; emails, numéros, jetons, contenus envoyés, cookies et adresses IP retirés avant l’envoi | Union européenne (Allemagne, région UE de Sentry) ; société aux États-Unis (clauses contractuelles types) |
| Nominatim et Photon (OpenStreetMap Foundation, Komoot) | Conversion d’une adresse saisie en coordonnées géographiques | Adresse saisie, sans identité | Union européenne |
Les messages de prospection ne passent pas par Pagilion : ils sont envoyés par la messagerie, le compte WhatsApp ou le téléphone de l’utilisateur, selon les conditions de ces fournisseurs. Les emails envoyés aux clients d’un commerce partent du compte Brevo du commerce lui-même.
6. Transferts hors de l’Union européenne
Certains sous-traitants sont établis aux États-Unis. Ces transferts reposent sur une décision d’adéquation (Data Privacy Framework UE–États-Unis) lorsque le prestataire y adhère, et à défaut sur les clauses contractuelles types de la Commission européenne, complétées des mesures prévues par le prestataire (chiffrement en transit et au repos). Une copie des garanties peut être obtenue sur demande.
7. Sécurité
Connexions chiffrées (HTTPS), mots de passe hachés, secrets et identifiants de paiement chiffrés en base, adresses IP jamais conservées en clair, accès d’administration restreints, sauvegardes chiffrées. En cas de violation de données présentant un risque, nous notifions la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.
8. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Le titulaire d’un compte peut supprimer lui-même son compte depuis la page Réglages. Pour toute autre demande, écrivez à contact@pagilion.com ; nous répondons dans un délai d’un mois et pouvons demander de justifier de votre identité en cas de doute raisonnable.
Lors de la suppression d’un compte, les pièces que la loi impose de conserver (pièces comptables des paiements et des noms de domaine, dix ans) sont gardées ; les preuves des acceptations et des validations de publication, avec l’identifiant du compte et son adresse email, sont gardées cinq ans après la suppression, puis effacées ; la mention d’opposition reste au registre commun.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
9. Modification
Cette politique peut évoluer avec le service. La version en vigueur est datée en tête de page ; une modification importante est annoncée aux utilisateurs par email.