La présente politique décrit la manière dont l'application Dashboard Awineo (accessible à l'adresse dashboard.pulsar.lu, ci-après « l'Application ») collecte, utilise, conserve et protège les données personnelles ainsi que les données issues des APIs tierces de ses utilisateurs.
L'Application est éditée par Expeteo SARL, société luxembourgeoise exploitant la marque commerciale Awineo. Elle est strictement réservée à un usage interne par l'équipe de Awineo et aux clients de l'agence sous contrat. Les mentions légales complètes sont accessibles séparément.
1. Responsable du traitement
Expeteo SARL · Awineo
Siège social : Op der Haart 28, L-9999 Wemperhardt, Luxembourg
TVA intracommunautaire : LU29127163
Point de contact RGPD : [email protected]
2. Données collectées
2.1 Données de compte
Lorsqu'un utilisateur se connecte au tableau de bord, nous stockons :
Son adresse email professionnelle
Son nom et prénom
Le client de l'agence auquel il est rattaché
Ses journaux de connexion (date, IP, user-agent) à des fins de sécurité
2.2 Données issues des APIs Google
Lorsqu'un utilisateur connecte un compte Google à un projet via OAuth, nous demandons et conservons un jeton d'accès permettant de lire les données suivantes :
Google Search Console (webmasters.readonly) : mots-clés, clics, impressions, position moyenne, CTR par page et par requête
Google Analytics 4 (analytics.readonly) : nombre de sessions, utilisateurs, événements de conversion, sources de trafic
Google Business Profile (business.manage) : informations de la fiche, métriques journalières (impressions, clics, appels, demandes d'itinéraire), avis clients
Google Ads (adwords) : performances des campagnes en lecture seule (impressions, clics, conversions, coût, CPC, CPA, géolocalisation des conversions, formulaires de leads)
2.3 Données issues des autres APIs tierces
Sur le même principe d'OAuth ou de clé d'API, l'Application peut lire :
Meta (Facebook + Instagram) : publications organiques, métriques d'audience, performances Meta Ads (campagnes, ensembles d'annonces, créatives)
Pinterest : épingles publiées et leurs métriques organiques (impressions, sauvegardes, clics), performances Pinterest Ads
LinkedIn (page entreprise) : statistiques de la page et publications
Microsoft Bing : Bing Webmaster Tools (requêtes, impressions, clics) et Bing Ads (performances campagnes)
SE Ranking (prestataire SEO) : suivi de positions mots-clés, backlinks, audits techniques, métriques de visibilité IA
2.4 Données techniques et journaux
Adresse IP du visiteur (récupérée via l'en-tête CF-Connecting-IP de Cloudflare), utilisée pour la sécurité, le rate-limiting et l'audit d'authentification, jamais à des fins commerciales
User-agent du navigateur et identifiants de session
Historique des synchronisations API (date, source, statut succès/échec), visible uniquement par l'équipe Awineo et l'agence partenaire
Les jetons OAuth et clés d'API sont chiffrés au repos en base de données via la clé de chiffrement applicative Laravel (encrypt()) et utilisés exclusivement pour synchroniser périodiquement les métriques affichées dans le tableau de bord.
3. Conformité à la politique Google API Services User Data
Utilisation limitée (Limited Use) : L'utilisation des données reçues des APIs Google par Dashboard Awineo respecte la Google API Services User Data Policy, y compris les exigences d'utilisation limitée.
Concrètement, Dashboard Awineo :
N'utilise jamais les données Google pour servir des annonces, y compris des annonces personnalisées ou reciblées.
Ne transfère pas les données Google à des tiers, sauf si nécessaire pour fournir ou améliorer les fonctionnalités visibles par l'utilisateur, pour se conformer à la loi, ou dans le cadre d'une opération de fusion / acquisition avec consentement de l'utilisateur.
Ne permet pas à des humains de lire les données Google, sauf : (a) avec le consentement explicite de l'utilisateur concerné, (b) pour des besoins de sécurité (par exemple investigation d'un abus), (c) pour se conformer à la loi, ou (d) lorsque les données sont agrégées et utilisées à des fins de fonctionnement interne dans le respect des règles de confidentialité applicables.
N'utilise pas les données Google pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou de machine learning généralisés.
4. Finalités du traitement
Les données collectées sont utilisées exclusivement pour :
Afficher à l'utilisateur le tableau de bord de performance de son site (SEO, GBP, Google Ads, Meta Ads)
Générer le rapport mensuel automatisé envoyé par email
Permettre à l'agence Awineo d'analyser les performances pour conseiller le client
Assurer la sécurité et le bon fonctionnement de l'application
5. Durée de conservation
Données de compte : conservées tant que le contrat client est actif. Supprimées dans les 90 jours suivant la fin du contrat.
Métriques agrégées (impressions, clics, positions) : conservées 36 mois maximum, pour permettre les comparaisons année après année.
Jetons OAuth : supprimés immédiatement à la révocation ou à la suppression du projet.
Journaux de connexion : conservés 12 mois pour des raisons de sécurité.
6. Partage des données et sous-traitants
Les données ne sont partagées avec aucun tiers à des fins commerciales. Les sous-traitants techniques et fournisseurs d'APIs utilisés sont :
6.1 Infrastructure et diffusion
Infomaniak Network SA (Suisse) : hébergement managé (serveur web, base de données, sauvegardes)
Cloudflare Inc. (USA) : réseau de diffusion (CDN), filtrage applicatif (WAF), protection DDoS, terminaison TLS et inspection du trafic HTTP au passage
6.2 Communication et paiement
Brevo (France) : envoi des emails transactionnels et des rapports mensuels
Stripe Payments Europe Ltd (Irlande) : gestion des abonnements et facturation pour les agences partenaires (informations de carte traitées par Stripe, jamais par l'Application)
6.3 Sources de données et APIs
Google LLC / Google Ireland Ltd : Search Console, Analytics 4, Business Profile, Ads
Meta Platforms Ireland Ltd : Graph API (Facebook + Instagram) pour les pages et l'organique, Marketing API pour Meta Ads
Pinterest Inc. : Pinterest API v5 (organique et Ads)
LinkedIn Ireland Unlimited Company : Marketing Developer Platform (page entreprise)
Microsoft Ireland Operations Ltd : Bing Webmaster Tools API, Bing Ads API
SE Ranking Inc. : positions SEO, backlinks, audits techniques, visibilité IA
6.4 Modèles d'intelligence artificielle (rédaction des synthèses + tracking IA)
Les synthèses des rapports mensuels et le suivi de présence dans les moteurs IA reposent sur des appels à plusieurs fournisseurs LLM. Aucune donnée personnelle nominative n'est transmise, uniquement des métriques agrégées et des prompts textuels :
Anthropic PBC (USA) : Claude
OpenAI Ireland Ltd : ChatGPT
Google LLC : Gemini
Perplexity AI Inc. (USA) : Perplexity
Les transferts vers les sous-traitants américains sont encadrés par les Clauses Contractuelles Types de la Commission européenne et, le cas échéant, par les engagements EU-U.S. Data Privacy Framework souscrits par ces opérateurs.
7. Droits de l'utilisateur (RGPD)
Conformément au Règlement Général sur la Protection des Données (RGPD), tout utilisateur dispose des droits suivants :
Droit d'accès, de rectification et d'effacement de ses données
Droit à la limitation et à l'opposition au traitement
Droit à la portabilité des données
Droit de retirer son consentement à tout moment
Droit d'introduire une réclamation auprès de l'autorité de contrôle compétente (APD en Belgique, CNPD au Luxembourg, CNIL en France)
Pour exercer ces droits, contacter [email protected]. L'autorité de contrôle compétente est la Commission nationale pour la protection des données (CNPD, Luxembourg, cnpd.lu) pour le responsable du traitement.
8. Révocation de l'accès aux APIs Google
Un utilisateur peut révoquer à tout moment l'accès de Dashboard Awineo à ses comptes Google :
Depuis l'application : page "Modifier projet" → bouton "Déconnecter" à côté du service concerné
Après révocation, le jeton OAuth est supprimé et plus aucune synchronisation n'est effectuée.
9. Sécurité
Transmission des données chiffrée en HTTPS (TLS 1.2+) sur l'ensemble du site, terminée par Cloudflare en mode Full (Strict)
Pare-feu applicatif Cloudflare (WAF) en amont de l'origine et protection DDoS
Jetons OAuth et clés d'API chiffrés au repos via la clé de chiffrement applicative (Laravel encrypt())
Authentification utilisateur par email + mot de passe haché (bcrypt), avec authentification multi-facteur disponible
Accès au tableau de bord protégé par session, audits de connexion conservés 12 mois
Sauvegardes journalières de la base de données chez l'hébergeur, retention 30 jours
Isolation logique multi-tenant via scopes globaux Eloquent (un client ne peut techniquement pas voir les données d'un autre client)
10. Cookies
L'Application utilise uniquement des cookies strictement nécessaires au fonctionnement de la session utilisateur (authentification, jeton CSRF, préférence de langue). Aucun cookie publicitaire, de tracking ou d'analyse tiers n'est déposé. Cloudflare peut déposer un cookie technique (__cf_bm) à finalité de protection anti-bot, dont la durée de vie est de 30 minutes.
11. Mises à jour de cette politique
Cette politique peut être mise à jour pour refléter des évolutions techniques ou réglementaires. La date de dernière mise à jour est indiquée en haut de page. Les utilisateurs seront informés par email en cas de modification substantielle (changement de finalité, nouveau sous-traitant traitant des données personnelles nominatives, durée de conservation allongée).
12. Contact
Pour toute question relative à la confidentialité, à l'exercice des droits RGPD ou à l'utilisation des données par l'Application :
Expeteo SARL · Awineo
Op der Haart 28, L-9999 Wemperhardt, Luxembourg
Email : [email protected]