Politique de confidentialité

Cette politique explique comment Digitica SAS (« nous »), éditeur de LeCRM.fr, traite les données personnelles des visiteurs du site et des utilisateurs du service, dans le respect du règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

Nos engagements :

ne collecter que les données utiles au fonctionnement du service ;
ne jamais vendre ni louer vos données ;
ne confier vos données qu'à des prestataires qui en assurent la protection ;
vous permettre d'exercer vos droits à tout moment.

1. Qui est responsable de vos données ?

Digitica SAS, société par actions simplifiée au capital de 62 897,00 €, RCS Toulouse 809 022 643, dont le siège social est situé 12 rue Louis Renault, 31130 Balma, est responsable des traitements décrits aux sections 2 et 3 : visite du site, comptes utilisateurs, abonnement, sécurité du service et échanges avec nous.

Pour les données que votre entreprise enregistre dans le CRM (ses clients, ses contacts, ses échanges…), votre entreprise est responsable de traitement et Digitica SAS agit comme sous-traitant au sens de l'article 28 du RGPD (voir la section 4).

Pour toute question relative à vos données, utilisez notre formulaire de contact.

2. Les données que nous traitons

Visite du site

La consultation du site ne nécessite aucun compte. Nous n'utilisons aucun cookie publicitaire, aucun outil de mesure fourni par un tiers et aucun bouton de réseau social. Comme pour tout site web, nos serveurs reçoivent les données techniques nécessaires à l'affichage des pages et à leur sécurité (adresse IP, type de navigateur, page demandée).

Mesure d'audience et parcours des visiteurs

Nous mesurons nous-mêmes la fréquentation de notre site, afin de l'améliorer, de mesurer l'efficacité de nos campagnes et de connaître le parcours de nos prospects et de nos clients.

Données enregistrées : un identifiant aléatoire, déposé par le cookie lc_vid ; les pages consultées ; les liens et boutons cliqués (texte, adresse visée, partie de la page) ; le temps passé et le défilement de chaque page ; les paramètres de campagne de l'adresse (utm_source, utm_medium, utm_campaign, utm_term, utm_content) ; l'identifiant de clic qu'une régie publicitaire ajoute à l'adresse quand vous cliquez sur l'une de nos annonces (gclid, gbraid, wbraid, msclkid, fbclid, li_fat_id) ; le site d'où vous venez ; le type d'appareil (mobile ou ordinateur, déduit de la largeur de l'écran) ; l'adresse IP de la première page de chaque visite, pour repérer les abus. Votre navigateur et votre localisation ne sont pas enregistrés pour ce traitement.
Rattachement : lorsque vous prenez rendez-vous avec nous, vous nous écrivez par l'un de nos formulaires ou vous créez un compte, vos visites, passées et à venir, sont rattachées à votre demande ou à votre compte, avec l'adresse e-mail saisie. Si vous créez un compte, les paramètres de campagne de votre arrivée et l'identifiant de clic de votre première visite et de votre inscription sont aussi enregistrés avec votre organisation.
Conservation : 25 mois pour les visites rattachées à aucune demande ni aucun compte ; pour les autres, tant que la demande, le rendez-vous ou le compte existe, puis 25 mois.
Opposition : si votre navigateur émet le signal Global Privacy Control, aucun cookie n'est déposé et rien n'est enregistré. Vous pouvez aussi supprimer le cookie depuis les réglages de votre navigateur, ou nous demander par le formulaire de contact de supprimer votre parcours.

Base légale : notre intérêt légitime à connaître et améliorer notre site et nos actions commerciales.

Nos publicités en ligne

Nous diffusons des annonces sur des moteurs de recherche et des réseaux sociaux. Quand vous cliquez sur l'une d'elles, la régie qui l'affiche (Google, Microsoft, Meta ou LinkedIn) enregistre ce clic selon sa propre politique de confidentialité, dont elle est responsable. Aucun outil de suivi d'une régie n'est installé sur notre site. L'identifiant de clic que la régie ajoute à l'adresse nous sert à savoir quelle annonce vous a amené (voir Mesure d'audience et parcours des visiteurs).

Si vous venez d'une annonce Google ou LinkedIn, nous vous demandons si nous pouvons l'indiquer à cette régie quand vous devenez client. Avec votre accord, et seulement si vous souscrivez un abonnement, nous lui transmettons l'identifiant de votre clic, la date et le montant hors taxes de votre premier paiement. Elle sait ainsi quelles annonces amènent des clients. Rien d'autre ne lui est transmis : ni votre nom, ni votre adresse e-mail, ni les pages consultées, ni votre inscription ou votre rendez-vous. Sans votre accord, la régie ne reçoit rien.

Destinataires : Google Ireland Limited (Google Ads) et LinkedIn Ireland Unlimited Company, chacune responsable de l'usage qu'elle en fait.
Base légale : votre consentement. Vous pouvez le retirer à tout moment ci-dessous ; un retrait ne revient pas sur un envoi déjà fait.
Conservation : votre navigateur garde votre choix 6 mois, puis nous vous le redemandons. Nous l'enregistrons avec votre parcours, aussi longtemps que lui.

Vous n'avez pas encore choisi.

Création et gestion de votre compte

Adresse e-mail, mot de passe (enregistré uniquement sous forme d'empreinte, jamais en clair), et, le cas échéant, nom, prénom et fuseau horaire.
Organisation à laquelle vous appartenez et rôle qui vous y est attribué.

Finalités : créer votre compte, vous authentifier, gérer les accès et les invitations de vos collègues, permettre la réinitialisation de votre mot de passe. Base légale : l'exécution du contrat.

Connexion à Pennylane

À l'inscription, vous autorisez LeCRM.fr, depuis Pennylane, à accéder au compte Pennylane de votre entreprise. Cette autorisation, transmise par Pennylane sous forme de jetons d'accès, est enregistrée chiffrée dans notre base et sert à lire vos données ; si vous avez autorisé l'écriture, elle sert aussi, à votre demande, à créer dans votre compte Pennylane des clients et des devis, à modifier un devis encore en attente, à accepter ou refuser un devis en attente, à envoyer un devis à votre client par l'intermédiaire de Pennylane et à créer des factures en brouillon, que vous finalisez dans Pennylane ; le CRM ne modifie ni ne finalise aucune facture. Elle est effacée de notre base dès que vous déconnectez la source dans les paramètres du CRM ; vous pouvez aussi la retirer à tout moment depuis Pennylane. Les données lues (clients, contacts, produits, devis et factures) sont traitées pour le compte de votre entreprise (voir la section 4). Base légale : l'exécution du contrat.

Avant même la création de votre compte, une inscription par Pennylane nous transmet le nom et le numéro SIREN de votre société et l'adresse e-mail de votre compte Pennylane, qui préremplit le formulaire d'inscription. Avec l'autorisation, ces informations sont conservées chiffrées dans votre session jusqu'à la création du compte, et ne sont plus utilisables au-delà de 30 minutes. Base légale : l'exécution de mesures précontractuelles prises à votre demande.

Abonnement et paiement

Nous conservons l'offre souscrite, la cadence de paiement, le nombre d'utilisateurs facturés, l'historique des paiements, les factures et les avoirs. Les données de votre carte bancaire sont saisies directement auprès de notre prestataire de paiement Stripe : nous ne les recevons pas et ne conservons que les identifiants techniques transmis par Stripe. Bases légales : l'exécution du contrat et le respect de nos obligations comptables et fiscales.

Journal d'activité et sécurité

Chaque action réalisée dans le service (création, modification, suppression, export, connexion…) et chaque page consultée sont enregistrées dans un journal : utilisateur, organisation, date et heure, adresse IP, élément concerné et paramètres de l'action. Les secrets (mots de passe, clés, jetons) y sont masqués. Ce journal sert à sécuriser le service, à détecter les abus et à conserver la preuve des opérations ; l'administrateur de votre organisation peut le consulter. Le nombre de tentatives de connexion est par ailleurs limité. Base légale : notre intérêt légitime à assurer la sécurité et la traçabilité du service.

Assistant IA

Lorsqu'un utilisateur demande à l'assistant IA de préparer un brouillon, par exemple un formulaire, une automatisation ou le compte rendu d'un rendez-vous, nous enregistrons sa demande, saisie ou dictée, le brouillon proposé, l'utilisateur, son organisation, la date et l'issue technique de la demande. L'enregistrement de la voix n'est jamais conservé : seul le texte dicté l'est, s'il est envoyé comme demande.

Préparer le brouillon demandé, pour le compte de votre entreprise. Base légale : l'exécution du contrat.
Améliorer le service : notre équipe produit peut relire ces demandes et ces brouillons pour savoir ce qui est le plus demandé et enrichir nos modèles prêts à l'emploi. Nous ne nous en servons jamais pour entraîner un modèle d'intelligence artificielle. Base légale : notre intérêt légitime à améliorer le service.

Ces demandes et ces brouillons sont conservés 12 mois, puis supprimés automatiquement ; pour les organisations de démonstration, jusqu'à la suppression de l'organisation. Vous pouvez vous opposer à leur relecture ou en demander l'effacement par le formulaire de contact.

Les comptes rendus de rendez-vous font exception : vos notes, saisies ou dictées, reprennent souvent les propos de vos clients. Ces notes et le compte rendu proposé sont conservés 30 jours, puis supprimés automatiquement, et notre équipe ne les relit jamais. Le compte rendu que vous enregistrez dans la fiche du client est ensuite conservé comme les autres données de vos clients.

E-mails que nous vous envoyons

E-mails de service : invitation, réinitialisation du mot de passe, échec de paiement, relances et suspension de l'abonnement, fin d'essai imminente, notifications liées à votre activité dans le CRM. Base légale : l'exécution du contrat.
Conseils et nouveautés (prise en main, modules à découvrir) : envoyés aux administrateurs d'un espace, qui peuvent les arrêter à tout moment dans leurs préférences de notification, accessibles depuis le lien en bas de chaque e-mail. Base légale : notre intérêt légitime à vous aider à tirer parti du service souscrit.

Échanges avec nous

Lorsque vous nous écrivez, nous traitons votre adresse e-mail, vos coordonnées et le contenu de votre message afin de vous répondre et de vous assister. Base légale : notre intérêt légitime à répondre à vos demandes, ou l'exécution du contrat si vous êtes client.

Invitations de parrainage

Un utilisateur de LeCRM.fr peut nous donner l'adresse e-mail d'une personne qu'il souhaite inviter. Nous lui envoyons alors un seul e-mail d'invitation, au nom de cet utilisateur, et jamais de relance. Nous conservons cette adresse 12 mois, pour rattacher votre inscription à la personne qui vous a invité si vous vous inscrivez sans passer par son lien. Ensuite, nous ne gardons qu'une empreinte, impossible à reconvertir en adresse, qui nous empêche de vous écrire à nouveau. Le lien « Ne plus recevoir d'invitations » de l'e-mail efface aussitôt votre adresse et vous retire de toute invitation future, quel que soit l'utilisateur qui vous invite.

3. Cookies et traceurs

Nous n'utilisons que les cookies suivants, tous déposés par nos serveurs :

Cookie de session : maintient votre connexion au CRM, pendant 30 jours au plus.
Cookie de protection des formulaires : protège certains formulaires contre la falsification de requêtes ; il expire à la fermeture du navigateur.
Cookie « se souvenir de moi » de l'espace client : posé uniquement pour les clients de nos utilisateurs qui se connectent à un espace client d'assistance ; il dure 30 jours et n'est jamais envoyé au CRM.
Cookie de mesure d'audience lc_vid : identifiant aléatoire qui relie vos visites entre elles (voir Mesure d'audience et parcours des visiteurs) ; il dure 13 mois, n'est lu que par nos serveurs et n'est jamais transmis à un tiers.
Cookie du choix des annonces lc_ads : garde votre réponse à notre question sur les annonces (voir Nos publicités en ligne), pendant 6 mois.

Aucune régie publicitaire ni aucun réseau social ne dépose de cookie sur notre site.

Sur la page de paiement de l'abonnement, le module de paiement de Stripe peut déposer ses propres traceurs, nécessaires à la sécurité du paiement et à la prévention de la fraude.

Les cookies de session, de protection des formulaires, « se souvenir de moi » et du choix des annonces étant strictement nécessaires au service que vous demandez, ils ne requièrent pas votre consentement (article 82 de la loi Informatique et Libertés). Le cookie de mesure d'audience n'est jamais déposé si votre navigateur émet le signal Global Privacy Control. Vous pouvez supprimer ces cookies à tout moment depuis les réglages de votre navigateur ; supprimer le cookie de session vous déconnecte.

4. Les données de vos clients : nous sommes votre sous-traitant

Les données que votre entreprise importe (depuis Pennylane), crée dans le CRM ou recueille grâce au service — fiches clients et contacts, opportunités, tâches, e-mails synchronisés, tickets, réponses aux formulaires et aux enquêtes, rendez-vous… — sont traitées par Digitica SAS pour le compte de votre entreprise, qui en reste responsable de traitement.

Nous ne traitons ces données que sur vos instructions et pour faire fonctionner le service, jamais pour notre propre compte. Pour améliorer le service, notre équipe peut en outre relire les demandes adressées à l'assistant IA et les brouillons proposés (voir Assistant IA). Nous ne les revendons jamais.
Nos engagements de sous-traitant (confidentialité, sécurité, sous-traitants ultérieurs, assistance, sort des données en fin de contrat) figurent dans nos conditions générales.
Il appartient à votre entreprise d'informer les personnes concernées et de disposer d'une base légale pour ses traitements, notamment pour les e-mails qu'elle envoie depuis le CRM.
Une personne qui souhaite exercer ses droits sur des données gérées par une entreprise utilisatrice doit s'adresser à cette entreprise ; si elle s'adresse à nous, nous lui transmettons la demande.

5. Destinataires et sous-traitants

Au sein de Digitica SAS, seules les personnes habilitées (support, technique, facturation et, pour les demandes adressées à l'assistant IA, produit) accèdent aux données, dans la limite de leurs attributions et sous obligation de confidentialité.

Nous faisons appel aux sous-traitants suivants :

OVH SAS : hébergement des serveurs et des bases de données.
PKGDATA (SAS, SIREN 821 179 264, 34 port Saint-Sauveur, 31000 Toulouse) : conservation des fichiers (pièces jointes notamment), dans l'Union européenne.
Twilio SendGrid : envoi des e-mails automatiques du service.
Stripe : paiement par carte de l'abonnement.
Unipile : synchronisation des e-mails et des événements d'agenda, et envoi des e-mails depuis le CRM, uniquement lorsqu'un utilisateur connecte sa messagerie ou son agenda.
Amazon Web Services : fonctions d'assistance (préparation de brouillons, transcription de la dictée), dans l'Union européenne.

Certaines fonctions font intervenir des services que vous choisissez de connecter, avec lesquels vous êtes lié directement :

Pennylane : source de vos données, lue avec l'autorisation que vous avez donnée depuis Pennylane.
Votre propre compte Stripe : si vous activez le paiement en ligne des rendez-vous, les paiements de vos clients sont traités par votre compte Stripe.

Lorsque vous saisissez une adresse ou le nom d'une entreprise dans certains champs, le texte saisi est transmis par nos serveurs aux services publics de l'État Base Adresse Nationale (api-adresse.data.gouv.fr) et Recherche d'entreprises (recherche-entreprises.api.gouv.fr), afin de vous proposer des suggestions.

Vos données peuvent enfin être communiquées aux autorités administratives ou judiciaires lorsque la loi nous y oblige.

6. Transferts hors de l'Union européenne

Certains de nos prestataires (Stripe, Twilio SendGrid, Amazon Web Services) appartiennent à des groupes établis hors de l'Union européenne, notamment aux États-Unis. Lorsque des données sont transférées hors de l'Union européenne, ces transferts sont encadrés par les garanties prévues par le RGPD : décision d'adéquation de la Commission européenne (notamment le cadre de protection des données UE–États-Unis) ou clauses contractuelles types de la Commission européenne. Google et LinkedIn, qui reçoivent votre premier paiement si vous l'acceptez (voir Nos publicités en ligne), appartiennent aussi à des groupes établis aux États-Unis.

7. Durées de conservation

Compte utilisateur : pendant toute la durée d'utilisation du service par votre organisation, puis selon les modalités de fin de contrat prévues par nos conditions générales.
Autorisation Pennylane (jetons d'accès) : jusqu'à la déconnexion de la source, qui l'efface immédiatement.
Journal d'activité : pendant toute la durée d'utilisation du service par votre organisation.
Demandes adressées à l'assistant IA et brouillons proposés : 12 mois, puis suppression automatique ; jusqu'à leur suppression pour les organisations de démonstration.
Comptes rendus de rendez-vous préparés par l'assistant IA (notes saisies ou dictées et compte rendu proposé) : 30 jours, puis suppression automatique.
Factures et pièces comptables : 10 ans, conformément à l'article L. 123-22 du Code de commerce.
Échanges avec nous : 3 ans à compter de notre dernier échange, si vous n'êtes pas client.
Invitations de parrainage : l'adresse de la personne invitée, 12 mois (effacée aussitôt si elle refuse les invitations) ; son empreinte, sans limite de durée, pour ne jamais lui réécrire ni passer outre son refus.
Mesure d'audience et parcours des visiteurs : 25 mois sans rattachement ; sinon tant que la demande, le rendez-vous ou le compte existe, puis 25 mois.
Cookies : 30 jours au plus, 6 mois pour le cookie du choix des annonces lc_ads, 13 mois pour le cookie de mesure d'audience lc_vid (voir la section 3).
Données de vos clients : pendant la durée du contrat, puis restituées et supprimées dans les conditions prévues par nos conditions générales.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées, notamment :

échanges chiffrés (HTTPS) ;
mots de passe enregistrés sous forme d'empreinte et tentatives de connexion limitées ;
autorisation Pennylane chiffrée, utilisée en lecture seule sauf si vous avez autorisé l'écriture ; clés d'API du CRM conservées sous forme d'empreinte ;
cloisonnement des données entre organisations et droits d'accès par rôle ;
journalisation des actions et des consultations.

Le détail de ces mesures figure sur notre page Sécurité. Aucun système n'étant infaillible, notre engagement constitue une obligation de moyens.

9. Vos droits

Conformément à la réglementation, vous disposez des droits suivants sur vos données :

droit d'accès (article 15 du RGPD) et de rectification (article 16) ;
droit à l'effacement (article 17), dans la limite de nos obligations légales de conservation ;
droit à la limitation du traitement (article 18) ;
droit à la portabilité des données que vous nous avez fournies (article 20) ;
droit d'opposition aux traitements fondés sur notre intérêt légitime (article 21) ;
droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci ;
droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, utilisez notre formulaire de contact ou écrivez-nous par courrier à Digitica SAS, 12 rue Louis Renault, 31130 Balma. En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif. Nous vous répondons dans un délai d'un mois, qui peut être prolongé de deux mois en cas de demande complexe.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), www.cnil.fr.

10. Modification de cette politique

Cette politique peut évoluer, notamment pour refléter les évolutions du service ou de la réglementation. La date de dernière mise à jour figure en haut de cette page ; en cas de changement important, les utilisateurs du service en sont informés par e-mail ou dans le service.