Politique de confidentialité

Entrée en vigueur : 14 octobre 2026

La présente politique de confidentialité explique comment REPPLY (« nous », « notre ») collecte et traite les données à caractère personnel lorsque des entreprises utilisent notre produit pour connecter leurs comptes Instagram et WhatsApp, transmettre leurs menus et horaires d’ouverture, et faire envoyer des réponses générées par l’IA aux messages qu’elles reçoivent. Elle couvre également notre site web et nos outils d’analyse.

Qui sommes-nous ?

Responsable du traitement : REPPLY. Pour la plupart des analyses de notre site web et pour les données relatives aux comptes de nos clients directs, nous agissons en qualité de responsable du traitement indépendant.

Sous-traitant : Pour les messages reçus par nos clients via Instagram/WhatsApp, nous agissons en qualité de sous-traitant pour le compte de l’entreprise qui a connecté le compte. Cette entreprise reste responsable du traitement des données de ses clients finaux.

Contact : contact+privacy_policy@repp.ly

Données que nous traitons

• Identifiants et coordonnées des comptes professionnels (par exemple, nom, adresse e-mail et identifiants Instagram Business).
• Contenu des messages Instagram/WhatsApp, identifiants, coordonnées et métadonnées nécessaires à la réception, à la génération et à l’envoi des réponses.
• Menus, horaires d’ouverture et consignes de l’entreprise transmis au produit.
• Informations que nos clients nous confient sur leurs interlocuteurs (identité, coordonnées, informations communiquées lors des échanges), traitées pour leur compte et séparément pour chacun d’eux. Pour exercer vos droits sur ces données, adressez-vous à l’établissement concerné ; nous l’assistons pour y répondre.
• Journaux opérationnels et signaux de sécurité (par exemple, adresse IP, horodatages et journaux d’erreurs).
• Données d’analyse du produit et du site web (événements, pages vues), sans suivi publicitaire par des tiers.

Finalités et bases légales

• Fournir et exploiter le service (configuration du compte, intégrations, traitement des messages et réponses de l’IA) – art. 6, paragraphe 1, point b) du RGPD (contrat) conclu avec notre client ; pour les messages des clients finaux, nous agissons en qualité de sous-traitant conformément aux instructions de notre client.
• Sécurité, prévention des abus, fiabilité et débogage – art. 6, paragraphe 1, point f) du RGPD (intérêts légitimes).
• Apprentissage de Repply : sur instruction de nos clients, nous anonymisons les conversations et les données qu’ils nous transmettent afin d’améliorer le service pour l’ensemble de nos clients. Les données anonymisées ne permettent plus de vous identifier.
• Analyse et amélioration du produit – art. 6, paragraphe 1, point f) du RGPD (intérêts légitimes). Lorsque cela est requis, nous solliciterons le consentement – art. 6, paragraphe 1, point a).
• Respect de nos obligations légales (par exemple, obligations fiscales ou d’audit et demandes des autorités) – art. 6, paragraphe 1, point c) du RGPD.

Lieux de traitement et de stockage des données

Notre application s’exécute sur Cloudflare dans la région la plus proche possible des utilisateurs. Les données persistantes sont stockées dans l’Union européenne sur Supabase, et les données d’analyse sont stockées dans l’UE auprès de PostHog.

Sous-traitants et sous-traitants ultérieurs

• Cloudflare – hébergement, environnement d’exécution en périphérie, réseau et sécurité.
• Supabase (UE) – base de données et authentification.
• PostHog (UE) – analyse du produit et du site web (sans cookies).
• OpenAI, Anthropic, Google et Mistral AI – fournissent les modèles d’IA utilisés pour générer les réponses aux messages. Afin d’offrir les meilleures performances, nous choisissons et pouvons changer à tout moment le ou les modèles utilisés parmi ces fournisseurs. À cette fin, ils agissent en qualité de sous-traitants ultérieurs. Comme expliqué ci-dessous, ils peuvent également, selon leurs conditions, utiliser le contenu des conversations pour améliorer leurs modèles, traitement pour lequel ils agissent en qualité de responsables du traitement indépendants.
• Intégrations facultatives que vous activez (par exemple, les API Meta pour Instagram/WhatsApp et Google Drive pour les menus).

Chaque prestataire traite les données dans le cadre d’un accord de traitement des données et avec des garanties appropriées. Nous partageons les données uniquement avec les sous-traitants nécessaires à la fourniture du service, selon des instructions documentées.

Transferts internationaux

Nous utilisons des garanties reconnues pour les transferts de données hors de votre juridiction :

• EEE (UE/EEE) : lorsqu’un prestataire est certifié, nous nous appuyons sur le cadre de protection des données UE–États-Unis (Data Privacy Framework ou DPF). Dans les autres cas, nous utilisons les clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914 de la Commission), assorties de mesures supplémentaires appropriées. Nous réalisons également des analyses d’impact relatives aux transferts (TIA).
• Royaume-Uni : nous utilisons l’International Data Transfer Agreement (IDTA) britannique ou l’avenant britannique aux clauses contractuelles types de l’UE, ainsi que l’extension britannique du DPF, le cas échéant.
• Suisse : nous utilisons les clauses contractuelles types compatibles avec les exigences du PFPDT ou le cadre de protection des données Suisse–États-Unis, le cas échéant.

Pour l’inférence de l’IA et l’amélioration des modèles, OpenAI, Anthropic et Google peuvent traiter des données aux États-Unis ; Mistral AI les traite dans l’Union européenne. Le contenu des conversations peut inclure des données à caractère personnel fournies par les utilisateurs dans leurs messages. Nous nous appuyons sur les garanties décrites ci-dessus pour ces transferts.

Amélioration des modèles d’IA par nos fournisseurs

Pour générer des réponses, nous envoyons les données des conversations à nos fournisseurs de modèles d’IA : OpenAI, Anthropic, Google et Mistral AI. Conformément à leurs conditions, ils peuvent utiliser ces données pour entraîner et améliorer leurs modèles. La présente section vise à assurer la transparence de cette pratique. Nous mettons à jour cette liste et en informons nos clients au moins trente (30) jours avant tout ajout.

• Périmètre : contenu des conversations, métadonnées associées et autres informations utilisées pour générer une réponse. Nous n’enrichissons pas ces données ; elles correspondent aux informations transmises par les utilisateurs et les entreprises dans les conversations et les configurations.
• Statut : cette fonctionnalité est toujours active et aucun bouton ne permet de la désactiver dans le produit. Vous pouvez nous contacter pour vous y opposer. Lorsque cela est possible auprès de nos prestataires, nous donnerons suite à votre opposition ; dans le cas contraire, nous pourrons examiner avec vous d’autres solutions ou des restrictions d’utilisation de cette fonctionnalité.
• Base légale : nos intérêts légitimes (art. 6, paragraphe 1, point f) du RGPD) à améliorer le service et les modèles sous-jacents. Vous avez le droit de vous y opposer à tout moment (art. 21). Lorsque la législation locale exige un consentement pour cette utilisation, nous l’obtiendrons par l’intermédiaire du responsable du traitement concerné.
• Garanties : restrictions contractuelles (accords de traitement des données, clauses contractuelles types et DPF, selon le cas), mesures de sécurité du prestataire et garanties de transfert décrites ci-dessus.

Analyse et cookies

Nous utilisons PostHog en mode sans cookies pour l’analyse du produit et du site web. Nous n’utilisons pas de cookies publicitaires tiers ni de suivi intersites par l’intermédiaire de PostHog. Notre base légale est l’intérêt légitime (art. 6, paragraphe 1, point f) du RGPD). Lorsque la législation locale exige un consentement pour les outils d’analyse, nous respectons cette exigence.

Durée de conservation

Nous conservons les données à caractère personnel uniquement pendant la durée nécessaire aux finalités décrites ci-dessus. Les durées habituelles sont les suivantes :

• Journaux opérationnels : jusqu’à 90 jours, sauf si une durée plus longue est nécessaire pour des raisons de sécurité ou pour respecter nos obligations légales.
• Données et configurations des comptes professionnels : pendant la durée de votre abonnement ou de votre contrat, puis suppression ou anonymisation dans un délai de 90 jours.
• Informations relatives aux interlocuteurs de nos clients : pendant la relation avec l’établissement concerné, puis au plus trois ans après le dernier échange à l’initiative de la personne, et au plus tard à la fin du contrat de notre client dans les conditions ci-dessus.
• Contenu des messages nécessaire au fonctionnement des automatisations : jusqu’à 90 jours après qu’il n’est plus nécessaire au service, sauf si une durée plus courte est configurée ou si une conservation plus longue est requise pour les motifs décrits ci-dessous.
• Données d’analyse : agrégées ou anonymisées après une courte période de conservation adaptée à l’analyse des tendances.

Nous pouvons conserver certaines données limitées plus longtemps lorsque cela est nécessaire au respect des obligations fiscales et comptables, à la facturation et au recouvrement, à la prévention de la fraude et des abus, aux enquêtes de sécurité, aux actions en justice, aux demandes des autorités ou à la production de statistiques anonymisées et agrégées.

Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment le chiffrement des données en transit, des protections réseau via Cloudflare, des contrôles d’accès et l’application du principe du moindre privilège. L’accès aux messages des clients finaux est limité et audité.

Vos droits

En vertu du RGPD, vous (ou vos clients finaux par l’intermédiaire du responsable du traitement) pouvez disposer de droits d’accès, de rectification, d’effacement, de limitation du traitement, d’opposition et de portabilité des données. Lorsque nous agissons en qualité de sous-traitant, veuillez d’abord vous adresser à l’entreprise ou au responsable du traitement concerné ; nous l’accompagnerons dans le traitement de votre demande. Pour les traitements dont nous sommes responsables (par exemple, votre compte repp.ly ou l’analyse du site web), contactez-nous à l’adresse contact+privacy_policy@repp.ly.

Vous pouvez déposer une réclamation auprès de votre autorité locale. Notre autorité chef de file est la CNIL (France) : cnil.fr.

Instructions des assistants et propriété intellectuelle

Les instructions, prompts et modèles de comportement des assistants, y compris les contenus que vous y intégrez, sont la propriété intellectuelle de Repply, même lorsqu’ils sont visibles ou modifiables dans l’application, une API, une intégration MCP ou une proposition de modification. Leur accès permet uniquement l’utilisation et la configuration du service Repply, y compris par un assistant connecté autorisé. En dehors de cet usage autorisé, toute réutilisation, publication, cession ou transmission à un tiers est interdite, sous réserve des droits prévus par la loi, selon les conditions générales d’utilisation et de vente.

Vous restez libre d’utiliser, sous leur forme d’origine, les informations sur votre activité et les documents que vous détenez indépendamment du service. Lorsque des instructions contiennent des données personnelles, celles-ci restent soumises à la présente politique et aux droits décrits ci-dessus. La protection de la propriété intellectuelle ne justifie pas un refus global d’accès à vos données personnelles ; nous concilions leur communication avec les droits et libertés des tiers. L’accès ou la portabilité des données personnelles ne confère pas, en soi, une licence de réutilisation des Instructions Repply.

Enfants

Notre service est destiné aux entreprises et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment de données concernant des enfants.

Modifications

Nous pouvons mettre à jour la présente politique de confidentialité. Dans ce cas, nous publierons sur cette page une version mise à jour ainsi que sa date d’entrée en vigueur, sauf si la législation applicable impose une autre forme de notification.

Contact

REPPLY – Questions relatives à la confidentialité : contact+privacy_policy@repp.ly