Politique de confidentialité

• Données de compte : nom, adresse e-mail, mot de passe (chiffré), nom de l'organisation, préférences et paramètres de compte.
• Avis importés : avis publics récupérés depuis les plateformes que vous connectez (Google au lancement ; Facebook, Trustpilot et autres à venir), incluant le contenu de l'avis, la note, le nom public de l'auteur et la date.
• Données d'usage et techniques : journaux de connexion, adresse IP, type de navigateur, pages consultées et statistiques d'utilisation du service.
• Provenance de votre inscription : site d'où vous arrivez (référent), page d'arrivée, paramètres de campagne (utm_source, utm_medium, utm_campaign, utm_term, utm_content), identifiant de clic Google Ads (gclid) et pays (déduit par notre fournisseur réseau, sans conservation de l'adresse IP). Ces informations sont mémorisées dans un cookie interne lors de votre première visite, puis rattachées à votre compte si vous vous inscrivez.
• Statistiques de fréquentation sans cookie : page vue, site d'origine, paramètres de campagne, pays et type d'appareil, comptés par notre propre serveur et conservés uniquement sous forme de totaux par jour. Aucun cookie, aucune adresse IP ni aucun identifiant n'est enregistré ; pour ne compter qu'une fois un même visiteur dans la journée, une empreinte chiffrée est gardée en mémoire jusqu'à minuit (UTC) puis effacée. Même sans votre accord, Google Analytics reçoit des signaux sans cookie ni identifiant (page, heure, navigateur), que Google utilise pour estimer la fréquentation.
• Mesure d'audience (avec votre accord) : pages vues, parcours, clics et défilement, type d'appareil, identifiants pseudonymes de Google Analytics et Microsoft Clarity. Les champs de formulaire et le contenu du tableau de bord sont masqués dans Clarity.
• Rapports d'erreurs : message et trace technique d'une erreur, page concernée, navigateur et version de l'application, sans adresse IP ni cookie.
• Données de facturation : traitées par notre prestataire de paiement (voir section 4) ; nous ne stockons jamais vos données de carte bancaire.

• Fourniture du service (agrégation, affichage et synchronisation des avis, AI Auto-Reply) — base légale : exécution du contrat.
• Gestion du compte et de la facturation — base légale : exécution du contrat et obligation légale.
• Sécurité et fiabilité du service (prévention de la fraude, détection et correction des erreurs) — base légale : intérêt légitime.
• Connaître la provenance de nos inscrits (cookie interne de provenance, sans traceur tiers) — base légale : intérêt légitime à savoir quels canaux nous font connaître.
• Statistiques de fréquentation sans cookie (compteur interne et signaux Google Analytics sans identifiant) — base légale : intérêt légitime à connaître la fréquentation de notre site.
• Mesure d'audience détaillée (cookies Google Analytics 4, Microsoft Clarity) et mesure de nos campagnes publicitaires — base légale : consentement, recueilli par notre bandeau cookies et révocable à tout moment.
• Communications marketing (newsletter, nouveautés produit) — base légale : consentement, révocable à tout moment.

Nous faisons appel à des sous-traitants soigneusement sélectionnés, encadrés par des accords de traitement (DPA) conformes au RGPD. Certains peuvent traiter des données hors de l'Union européenne, sous garanties appropriées (clauses contractuelles types).

• Stripe : traitement des paiements et gestion des abonnements (factures et application de la TVA).
• Requesty : orchestration des modèles d'IA utilisés pour la fonctionnalité AI Auto-Reply (texte et note de l'avis, nom public de son auteur, consignes de réponse). Nous n'utilisons pas ces données pour entraîner des modèles d'IA.
• netcup GmbH (Karlsruhe, Allemagne) : hébergement de l'application et de la base de données (UE).
• sendy.cloud : envoi des emails transactionnels et des notifications (adresse email, contenu du message, statut de remise).
• o2switch (Clermont-Ferrand, France) :hébergement des boîtes email @revys.io et serveur d'envoi des emails (UE).
• Google Ireland Ltd (Google Analytics 4) : mesure d'audience avec cookies, uniquement avec votre consentement ; sans consentement, signaux sans cookie ni identifiant (Google Consent Mode). Transferts possibles vers les États-Unis, encadrés par le Data Privacy Framework UE–États-Unis et des clauses contractuelles types.
• Microsoft Ireland Operations Ltd (Microsoft Clarity) : cartes de clics et enregistrements de sessions anonymisés (textes saisis masqués), uniquement avec votre consentement. Transferts possibles vers les États-Unis, mêmes garanties.
• GlitchTip (instance exploitée par OZAPP, glip.ozapp.io, serveur dans l'UE) : collecte des rapports d'erreurs techniques, sans adresse IP ni cookie.

Destinataire (hors sous-traitance) : VIES, Commission européenne : lorsque vous saisissez un numéro de TVA intracommunautaire, celui-ci est transmis au système VIES de la Commission européenne pour en vérifier la validité (obligation fiscale liée à l'autoliquidation de la TVA).

• Données de compte : pendant toute la durée de la relation contractuelle, puis supprimées ou anonymisées dans un délai de 12 mois après la clôture du compte. La clôture du compte et l'export de vos avis et réponses se demandent à privacy@revys.io.
• Avis importés : tant que la connexion à la plateforme source est active ; supprimés à la déconnexion de la source ou à la clôture du compte. Un avis supprimé par son auteur sur la plateforme est supprimé de Revys à la synchronisation suivante (fiches Google connectées). Les avis d'une fiche gelée cessent d'être affichés trente jours après sa dernière synchronisation. Pour ces données, nous agissons en qualité de sous-traitant de nos clients, selon notre accord de sous-traitance (DPA).
• Données de facturation : conservées 10 ans au titre des obligations comptables et fiscales.
• Journaux techniques : conservés au maximum 12 mois.
• Provenance de l'inscription : cookie interne de 30 jours ; une fois rattachée à votre compte, elle est conservée aussi longtemps que celui-ci.
• Statistiques de fréquentation sans cookie : totaux par jour, anonymes ; l'empreinte servant à compter les visiteurs uniques n'est jamais enregistrée et disparaît chaque jour.
• Mesure d'audience : 14 mois dans Google Analytics ; 30 jours pour les enregistrements de sessions et 13 mois pour les cartes de clics dans Microsoft Clarity.
• Rapports d'erreurs : 90 jours.

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• droit d'accès et d'information ;
• droit de rectification ;
• droit à l'effacement (« droit à l'oubli ») ;
• droit à la portabilité de vos données ;
• droit d'opposition et de limitation du traitement ;
• droit de retirer votre consentement à tout moment, sans affecter la licéité du traitement antérieur.

Pour exercer ces droits, écrivez à notre référent RGPD à privacy@revys.io (ou hello@revys.io). Nous répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente : en Belgique, l' Autorité de protection des données (APD), autorité chef de file pour OZAPP SRL ; vous pouvez aussi vous adresser à l'autorité de votre pays de résidence ou de travail (par exemple la CNIL en France).

Au premier passage, une fenêtre vous demande votre choix : « Tout refuser », « Tout accepter » ou « Personnaliser » par catégorie. Aucun cookie de mesure d'audience n'est déposé avant votre accord. Sans accord, Google Analytics fonctionne en mode sans cookie (Google Consent Mode) : il ne dépose ni ne lit aucun cookie et n'envoie que des signaux sans identifiant. Microsoft Clarity n'est chargé qu'avec votre accord. Votre choix est mémorisé 6 mois, puis redemandé. Vous pouvez le modifier ou le retirer à tout moment : Gérer les cookies (lien également présent en bas de chaque page).

Nécessaires (toujours actifs, exemptés de consentement) :

• better-auth.session_token, better-auth.session_data et cookies associés — connexion à votre compte et sécurité (7 jours, prolongés à l'usage).
• revys_consent — mémorise votre choix de cookies (6 mois).
• revys_src — provenance de votre première visite (référent, page d'arrivée, utm, gclid), lu uniquement par Revys lors de l'inscription ; jamais transmis à un tiers (30 jours).
• revys_ev — transmet un événement (inscription, adresse vérifiée, première fiche connectée) d'une page à la suivante, envoyé à Google Analytics une fois votre choix fait, sans cookie ni identifiant si vous avez refusé la mesure d'audience (10 minutes).
• revys_plan_intent — plan choisi sur le site avant l'inscription ; revys_gbp_oauth — sécurité de la connexion à Google Business Profile (durée de la démarche).

Mesure d'audience (avec votre accord) :

• _ga, _ga_* — Google Analytics 4, statistiques de visite (13 mois).
• _clck (12 mois), _clsk (1 jour) — Microsoft Clarity, cartes de clics et sessions anonymisées.

Marketing (avec votre accord) : autorise l'envoi à Google des signaux publicitaires (Google Consent Mode) pour mesurer nos campagnes. Aucune publicité n'est affichée sur Revys et aucun cookie publicitaire supplémentaire n'est déposé aujourd'hui.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (chiffrement des mots de passe, chiffrement des communications, contrôle des accès) afin de protéger vos données contre tout accès, altération ou divulgation non autorisés.

Pour toute question relative à cette politique ou à la protection de vos données, contactez notre référent / délégué à la protection des données : privacy@revys.io — Oz Ilhan, gérant d'OZAPP SRL, Thier de Jace 108, 4460 Grâce-Hollogne, Belgique. OZAPP SRL n'est pas tenue de désigner un délégué à la protection des données (DPO) ; le gérant assure le rôle de référent.

Lorsque vous connectez votre compte Google, Revys accède, avec votre autorisation, aux fiches d'établissement que vous gérez et à leurs avis (API Google Business Profile), ainsi qu'à votre adresse e-mail Google. Ces données servent uniquement à afficher vos avis, à publier les réponses que vous validez ou dont vous avez activé la publication automatique, et à vous identifier.

L'utilisation et le transfert par Revys des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (Limited Use). Ces données ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'IA généralistes. Vous pouvez révoquer l'accès à tout moment depuis Revys ou depuis les paramètres de votre compte Google.