Politique de confidentialité de Primaps

Romain DesignCode (SIRET 988 682 415 00019), Montpellier, France, édite l'application Primaps et est responsable du traitement. Contact : romaindesigncode@gmail.com.

Primaps est une application web destinée aux restaurateurs et commerçants indépendants. Elle réunit leur fiche Google, leurs avis, leur site web, leurs réservations, leur click & collect et le suivi de leur visibilité locale. Chaque restaurateur ne voit et ne gère que son propre établissement.

• Compte restaurateur : e-mail, mot de passe (haché), raison sociale, établissement. Finalité : authentification et gestion du compte. Base légale : contrat. Conservation : durée du contrat + 3 ans après la fermeture.
• Commandes et réservations des clients finaux : prénom, nom, e-mail, téléphone, adresse (si livraison), contenu et total de la commande. Finalité : traiter la commande ou la réservation, facturer, assurer le suivi. Base légale : contrat et obligation légale. Conservation : 10 ans pour les pièces comptables (art. L.123-22 du Code de commerce).
• Paiement : transmis directement à Stripe, jamais stocké par Primaps.
• Audit gratuit et test de position (page /audit) : nom de l'établissement recherché, prénom, e-mail, téléphone (facultatif), accord de recontact, résultat du test, et une empreinte chiffrée (hachage salé) de l'adresse IP utilisée uniquement pour limiter les abus. Finalité : afficher le résultat et, avec votre accord, vous recontacter. Base légale : consentement. Conservation : 3 ans au plus après le dernier contact.
• Cookies et stockage local techniques (session de connexion, préférence de thème) : strictement nécessaires, dispensés de consentement.

Cette partie s'applique lorsqu'un restaurateur clique sur « Connecter ma fiche Google » et autorise Primaps. L'accès porte uniquement sur la fiche dont l'utilisateur est propriétaire ou gestionnaire.

4.1 Autorisations demandées à Google

4.2 Données Google lues

• Les informations de la fiche : nom, adresse, téléphone, site, horaires, catégorie, atouts.
• Les photos et publications (posts) de la fiche.
• Les avis (note, texte, nom de l'auteur tel qu'affiché par Google) et les réponses déjà publiées.
• Les statistiques de performance : vues, appels, demandes d'itinéraire.
• L'adresse e-mail et le nom affiché du compte Google connecté.

4.3 Comment ces données sont utilisées

Uniquement pour fournir au restaurateur, sur sa propre fiche, les fonctions qu'il utilise dans Primaps :

• afficher et modifier les informations de la fiche, et les reprendre sur son site Primaps lorsqu'il lance l'import (informations de la fiche, et avis qu'il choisit d'afficher sur son site) ;
• afficher ses avis et lui permettre d'y répondre ;
• lui envoyer par e-mail, s'il l'a configurée, une alerte quand un avis reçoit un brouillon de réponse ;
• proposer une réponse rédigée par une IA, qu'il relit et valide. Si — et seulement si — il active la réponse automatique, Primaps publie une réponse pour les avis dont la note atteint le seuil qu'il a fixé ; les autres avis restent des brouillons jamais publiés sans lui ;
• afficher ses statistiques et son score de visibilité ;
• publier une publication ou mettre à jour le lien de commande en ligne de la fiche, lorsqu'il en donne l'ordre.

Primaps ne modifie rien sur la fiche sans une action du restaurateur, hors réponses automatiques qu'il a activées. Aucune décision automatisée n'a d'effet juridique sur une personne.

4.4 Comment elles sont stockées et protégées

• Jetons d'accès Google (access token et refresh token) : chiffrés au repos en AES-256-GCM, avec une clé conservée séparément des données. Ils sont stockés dans un espace de stockage privé, non accessible publiquement (connexion « Fiche & avis »), ou dans la base de données de Primaps (connexion « commande en ligne » du click & collect), cloisonnés par établissement.
• Compte Google et fiches: nous conservons l'adresse e-mail et le nom affiché du compte Google, l'identifiant du compte Google Business Profile et la liste de ses fiches (nom, identifiant, téléphone, site), pour savoir quelle fiche est connectée. Lorsque le restaurateur lance l'import de sa fiche, ses informations (adresse, téléphone, horaires, description) sont copiées dans le profil de son établissement et dans son site.
• Avis et statistiques: lus en direct chez Google quand le restaurateur ouvre son tableau de bord ; Primaps ne les copie pas dans sa base, sauf les avis que le restaurateur choisit d'importer sur son propre site (texte, note et nom de l'auteur). Hors cela, seul un journal des réponses est conservé : identifiant technique de l'avis, note, texte de la réponse, mention « réponse automatique » ou non, et statut (publiée, brouillon, alerte envoyée).
• Les données transitent en HTTPS. L'accès à ces données est limité au restaurateur concerné ; elles ne sont lues par une personne de Primaps que pour répondre à une demande d'assistance, assurer la sécurité, respecter la loi, ou avec le consentement du restaurateur.

Primaps ne vend pas les données Google, ne les loue pas et ne les cède à aucun courtier en données ni annonceur.

• Fournisseur d'IA (Anthropic PBC, États-Unis). Deux cas, toujours à la demande du restaurateur. (1) Il demande une suggestion de réponse à un avis, ou active la réponse automatique : Primaps envoie à l'API d'Anthropic le texte de l'avis, sa note, le nom de son auteur et le nom de l'établissement, pour rédiger la réponse proposée. (2) Il clique sur « Améliorer avec l'IA » pour le texte « À propos » de son site : Primaps envoie son texte, le nom de l'établissement et jusqu'à trois extraits d'avis (sans nom d'auteur). Ces informations servent uniquement à produire ce texte. Primaps n'autorise aucun autre usage et n'entraîne pas de modèle avec ces données.
• E-mail (Resend, États-Unis). Si le restaurateur a configuré l'alerte « brouillon de réponse », l'e-mail qui lui est adressé contient l'avis (auteur, note, texte) et le brouillon proposé. Resend ne sert qu'à acheminer ce message.
• Hébergement et stockage (Vercel, Supabase) : ces prestataires hébergent les données pour le compte de Primaps, sur instruction, sans les utiliser pour leurs propres besoins.
• Obligation légale : une autorité peut exiger une communication, dans les limites de la loi.

Les services de données publiques (Google Maps / Places, DataForSEO pour la position sur Google Maps, Mapbox pour les cartes) ne reçoivent aucune donnée issue de la connexion OAuth Google : ils reçoivent un mot-clé et des coordonnées géographiques d'établissement, qui sont des informations publiques.

• Conservation. Les jetons, le compte Google et la liste des fiches sont conservés tant que la fiche est connectée à Primaps. Le journal des réponses est conservé pendant la durée du contrat.
• Se déconnecter dans Primaps. Depuis « Fiche & avis », le bouton « Déconnecter » supprime immédiatement les jetons et les informations du compte Google conservés par Primaps.
• Supprimer sur demande. Vous pouvez demander la suppression de toutes les données Google conservées (y compris pour la connexion « commande en ligne » du click & collect et le journal des réponses) par e-mail à romaindesigncode@gmail.com. Nous y procédons sous 30 jours, et à la fermeture du compte.
• Révoquer l'accès côté Google. À tout moment, sur myaccount.google.com/permissions. Primaps ne peut plus alors lire ni modifier la fiche.

L'utilisation et le transfert par Primaps des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use). Concrètement :

• les données Google ne servent qu'à fournir ou améliorer les fonctions visibles par le restaurateur décrites plus haut ;
• elles ne sont pas transférées à des tiers, sauf pour fournir ces fonctions (section 5), respecter la loi, assurer la sécurité ou avec votre accord ;
• elles ne sont pas utilisées pour de la publicité, y compris ciblée ;
• elles ne servent pas à développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique généralistes ;
• aucune personne de Primaps ne les lit, sauf avec votre consentement, pour la sécurité, pour respecter la loi, ou en données agrégées pour le fonctionnement interne.

Primaps's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

• Vercel Inc. : hébergement de l'application et espace de stockage privé, États-Unis.
• Supabase : base de données, région Union européenne.
• Stripe Payments Europe Ltd. : paiement, Irlande.
• Resend : envoi d'e-mails transactionnels, États-Unis.
• Anthropic PBC : rédaction des réponses proposées aux avis (section 5), États-Unis.
• Google LLC : connexion OAuth, Google Maps / Places et API Business Profile, États-Unis. DataForSEO et Mapbox : positions sur Google Maps et cartes, à partir d'informations publiques.

Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, et vous pouvez retirer à tout moment un consentement donné. Écrivez à romaindesigncode@gmail.com. Vous pouvez aussi saisir la CNIL (cnil.fr).

Les échanges sont chiffrés en transit (HTTPS). Les mots de passe sont hachés. Les jetons Google sont chiffrés au repos (AES-256-GCM). Chaque restaurateur n'accède qu'à ses propres données (cloisonnement par établissement).

Certains prestataires (Vercel, Resend, Anthropic, Google) traitent des données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par un cadre de transfert reconnu.

Cette page peut évoluer, notamment si Primaps utilise de nouvelles données Google. La date de version figure en haut de la page ; tout changement important sur l'usage des données Google est annoncé aux restaurateurs connectés avant son application. Pour toute question : romaindesigncode@gmail.com.

Retour à l'accueil de Primaps · CGU · Mentions légales