Cette politique décrit la manière dont Hendy collecte, utilise et protège les données personnelles des utilisateurs de la plateforme Hendy Agency (accessible à l'adresse agency.hendy.io), ainsi que les données issues des services Google auxquels les utilisateurs choisissent de connecter leurs comptes clients.
Responsable du traitement
Le responsable du traitement des données est Black Ocean SAS, société éditrice de la marque Hendy, dont le siège social est situé en France. Pour toute question relative aux données personnelles, vous pouvez nous contacter à l'adresse prod@hendy.io.
Périmètre de la plateforme
Hendy Agency est une plateforme interne réservée aux collaborateurs de l'agence Hendy. L'accès est restreint par une liste d'adresses email autorisées. Les pages publiques (accueil, politique de confidentialité, conditions d'utilisation) sont accessibles à tous à des fins d'information et de conformité réglementaire.
Données collectées
1. Données d'authentification
- Adresse email de connexion et mot de passe (stocké de manière hashée via Supabase Auth).
- Métadonnées de session (date de dernière connexion, navigateur, adresse IP).
2. Données issues des APIs Google
Lorsque vous connectez un compte client à Hendy Agency via OAuth Google, la plateforme peut accéder, avec votre consentement explicite, aux données suivantes :
- Google Search Console : performances de recherche, impressions, clics, positions, requêtes, pages indexées.
- Google Analytics 4 : sessions, utilisateurs, conversions, sources de trafic, comportement sur le site.
- Google Ads : campagnes, mots-clés, annonces, dépenses, conversions.
- Google Business Profile: avis, fiches d'établissement, requêtes clients (module Echo).
Les scopes OAuth demandés sont strictement limités à ce qui est nécessaire pour produire les rapports et recommandations du client concerné.
3. Données métier saisies dans la plateforme
- Informations clients (nom du cabinet, contacts, contrats).
- Contenu éditorial (articles SEO, mots-clés, plans de contenu).
- Feedback, notes internes et historique d'activité.
Finalités du traitement
- Produire les rapports SEO, Ads et Réputation pour les cabinets d'avocats clients de Hendy.
- Alimenter les modules d'analyse, d'optimisation et de pilotage (Content Producer, Optimizer, Audit, etc.).
- Assurer la sécurité de la plateforme et l'authentification des utilisateurs.
Conformité à la politique « Limited Use » de Google
L'utilisation par Hendy Agency des informations reçues des APIs Google respecte la Google API Services User Data Policy, y compris les exigences « Limited Use ». Concrètement :
- Les données Google ne sont utilisées que pour fournir ou améliorer les fonctionnalités visibles par l'utilisateur (reporting, recommandations SEO et Ads).
- Les données ne sont pas transférées à des tiers, sauf pour fournir ou améliorer ces fonctionnalités, pour des raisons de sécurité, ou pour se conformer aux obligations légales.
- Les données ne sont pas utilisées à des fins publicitaires, y compris pour du retargeting, de la publicité personnalisée ou de la publicité basée sur les centres d'intérêt.
- Les données ne sont pas vendues à des tiers.
- Aucun humain ne consulte les données Google, sauf (a) avec votre consentement explicite, (b) pour des raisons de sécurité (par exemple, investigation d'un abus), (c) pour se conformer à la loi, ou (d) lorsque ces données sont agrégées et anonymisées.
Sous-traitants et hébergement
Hendy Agency s'appuie sur les prestataires suivants, tous conformes au RGPD :
- Supabase (base de données et authentification) — hébergement UE.
- Vercel(hébergement de l'application web).
- Google Cloud (APIs Search Console, Analytics, Ads, Business Profile).
- Anthropic(modèles IA Claude utilisés pour l'analyse et la génération de contenu).
Durée de conservation
- Comptes utilisateurs : conservés tant que l'accès est actif, puis supprimés dans les 30 jours suivant la révocation.
- Données Google : conservées tant que le cabinet est client de Hendy, puis supprimées dans les 90 jours suivant la fin du contrat.
- Logs techniques : 12 mois maximum.
Vos droits
Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation, portabilité, opposition. Vous pouvez également retirer votre consentement OAuth à tout moment depuis votre compte Google.
Pour exercer vos droits, écrivez-nous à prod@hendy.io. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
Sécurité
Hendy met en œuvre des mesures techniques et organisationnelles pour protéger les données : chiffrement TLS en transit, chiffrement au repos, accès restreint par liste blanche, rotation régulière des secrets, sauvegardes quotidiennes.
Modifications
Cette politique peut être mise à jour pour refléter des évolutions légales ou techniques. La date de dernière mise à jour est indiquée en haut de cette page.