Informations légales
Politique de confidentialité
Quelles données personnelles Loop & Roll traite, pourquoi, combien de temps, qui d’autre les voit, et comment exercer vos droits. Rédigée selon le RGPD et la loi Informatique et Libertés.
Deux rôles, en bref
Pour ce site, ses formulaires, les prospects et les comptes, TRUSTELIA SAS décide de ce qui est collecté et pourquoi : elle est responsable du traitement.
Pour les e-mails, pièces jointes, contacts et tables que votre organisation traite dans sa propre instance Loop & Roll, c’est votre organisation qui décide : elle est responsable du traitement, et TRUSTELIA SAS agit comme son sous-traitant (RGPD, article 28). Nous traitons ces données uniquement pour faire fonctionner le service, sur les instructions de votre organisation, et jamais pour nos propres besoins.
Responsable du traitement
TRUSTELIA SAS, 11 Rue Jean Giraudoux, 75016 Paris, France. Contact : contact@mankova-consulting.com.
TRUSTELIA SAS n’est pas légalement tenue de désigner un délégué à la protection des données (DPO). Toute question sur vos données s’adresse à l’adresse ci-dessus.
Ce que nous collectons, pourquoi, et combien de temps
- Réservation d’une démo et demande de rappel : nom, e-mail professionnel, société, téléphone (obligatoire pour un rappel), le créneau ou le moment choisi, votre message, la page d’origine et la date de votre consentement. Pour organiser la démo ou l’appel et y donner suite. Base légale : mesures précontractuelles prises à votre demande (article 6.1.b). Conservées 3 ans après notre dernier échange si aucun contrat ne suit. Une réservation crée un événement dans l’agenda du membre de l’équipe qui vous recevra (Google Workspace), avec vous comme invité.
- Candidature partenaire : nom, e-mail, société, site web, téléphone, nombre de clients PME et votre message. Pour étudier la candidature et lancer le partenariat. Base légale : mesures précontractuelles (article 6.1.b). Conservées 3 ans après notre dernier échange si aucun partenariat ne suit.
- Prospects : les informations ci-dessus et nos échanges. Pour donner suite à votre intérêt pour Loop & Roll. Base légale : notre intérêt légitime à répondre aux demandes reçues et à les suivre (article 6.1.f). Conservées 3 ans après notre dernier échange. Vous pouvez vous y opposer à tout moment.
- Comptes clients et partenaires (administrateurs d’instance, portail partenaire) : nom, e-mail professionnel, mot de passe (stocké haché, jamais lisible), société, informations de facturation, journaux de connexion. Pour fournir le service, le portail et les factures. Base légale : le contrat (article 6.1.b) ; factures : obligation légale (article 6.1.c). Conservées pendant le contrat, puis 3 ans ; factures et pièces comptables 10 ans (Code de commerce, article L.123-22).
- Comptes du back-office (notre équipe) : nom, e-mail, rôle, journaux de connexion et trace des actions. Pour sécuriser et tracer l’accès aux données des clients. Base légale : notre intérêt légitime à sécuriser le service (article 6.1.f). Conservés tant que la personne fait partie de l’équipe ; journaux 12 mois.
- Le contenu de vos instances (en sous-traitant) : les boîtes mail que vos membres connectent, e-mails et pièces jointes, carnet d’adresses, workflows, exécutions et tables. Traité uniquement pour faire fonctionner le service, hébergé en France. La durée de conservation est réglée par votre organisation dans son instance ; en fin de contrat, les données sont restituées sur demande, puis supprimées, selon les conditions de votre contrat.
- Cookie d’affiliation : si vous arrivez par le lien d’un partenaire et l’acceptez, un cookie retient le code du partenaire (rien sur vous) pour qu’il soit crédité si vous souscrivez. Base légale : votre consentement (article 6.1.a).
- Mesure d’audience et analyse de comportement, seulement si vous les acceptez : voir la page Cookies. Base légale : votre consentement (article 6.1.a), que vous pouvez retirer à tout moment.
Aucune décision produisant des effets juridiques n’est prise sur le seul fondement d’un traitement automatisé. Vos données ne sont jamais vendues ni louées.
Destinataires et sous-traitants
Vos données ne sont vues que par les membres de notre équipe qui en ont besoin, et par les sous-traitants ci-dessous, chacun lié par un contrat conforme à l’article 28 du RGPD. Elles peuvent être communiquées à une autorité sur demande légale.
| Prestataire | Pour quoi | Où | Garanties hors UE |
|---|---|---|---|
| OVHcloud (OVH SAS) | Hébergement du site et des instances, sauvegardes, IA hébergée en France | France (Gravelines, Strasbourg) | Sans objet |
| Brevo (Sendinblue SAS) | E-mails transactionnels (connexion, notifications, suivi de vos demandes) | France, UE | Sans objet |
| Google (Google Workspace, Google Analytics) | Agenda des démos réservées ; mesure d’audience si vous l’acceptez | UE et États-Unis | Clauses contractuelles types (décision 2021/914 de la Commission européenne) et EU-US Data Privacy Framework |
| Microsoft (Clarity) | Analyse de comportement, si vous l’acceptez | États-Unis | Clauses contractuelles types (décision 2021/914 de la Commission européenne) et EU-US Data Privacy Framework |
| OpenAI | Modèles d’IA, quand ils servent votre instance : choisis par votre organisation, ou parmi les connexions d’IA que la plateforme fournit | États-Unis | Clauses contractuelles types (décision 2021/914 de la Commission européenne) et EU-US Data Privacy Framework |
| Stripe (à l’ouverture du paiement en ligne) | Paiement par carte | UE et États-Unis | Clauses contractuelles types (décision 2021/914 de la Commission européenne) et EU-US Data Privacy Framework |
Transferts hors de l’Union européenne
L’hébergement, les sauvegardes, les e-mails transactionnels et l’IA hébergée chez OVHcloud restent en France. Certains prestataires sont américains et peuvent traiter des données aux États-Unis : Google et Microsoft pour les outils de mesure (seulement si vous les acceptez), OpenAI quand ses modèles servent votre instance (choisis par votre organisation, ou parmi les connexions d’IA que la plateforme fournit ; l’IA hébergée en France reste disponible), Stripe plus tard pour les paiements.
Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, pour les entreprises certifiées, sur l’EU-US Data Privacy Framework. Disons-le simplement : ces garanties réduisent le risque d’accès par des autorités étrangères, elles ne le suppriment pas. C’est pourquoi les outils de mesure attendent votre consentement, et pourquoi l’instance permet à votre organisation de choisir une IA hébergée en France. Une copie des garanties est disponible sur demande.
Sécurité
Toutes les connexions sont chiffrées (HTTPS). Les mots de passe sont stockés hachés, les clés d’accès à vos boîtes mail et à vos services sont chiffrées, et chaque client a sa propre instance isolée. L’accès de notre équipe aux données des clients est réservé à qui en a besoin et journalisé. Les sauvegardes sont conservées dans un second centre de données.
Le filtre des données sensibles
Dans les instances, un filtre repère les catégories particulières de données du RGPD (santé, vie et orientation sexuelles, origine, opinions, convictions, appartenance syndicale, génétique, condamnations pénales) et la sphère intime. Un e-mail jugé sensible n’est jamais envoyé à un modèle d’IA, jamais cité dans un rapport d’analyse et jamais pris comme exemple : il est seulement compté. Les numéros de sécurité sociale, IBAN et numéros de carte sont masqués avant tout envoi.
Une vérification par l’IA, désactivée par défaut et réglée par votre organisation, n’envoie au modèle qu’un court extrait nettoyé (420 caractères au plus). Comme tout filtre automatique, il peut manquer une tournure inédite : il réduit le risque, il ne remplace pas vos propres règles (le périmètre, qui tient des expéditeurs choisis à l’écart de tous les workflows).
Vos droits
Vous pouvez accéder à vos données, les faire rectifier ou effacer, en limiter le traitement, les recevoir dans un format portable, vous opposer à leur traitement (notamment à la prospection), retirer votre consentement à tout moment, et donner des directives sur leur sort après votre décès.
Écrivez à contact@mankova-consulting.com. Nous répondons sous un mois (trois pour une demande complexe) et pouvons vous demander de justifier de votre identité en cas de doute raisonnable. Si votre demande porte sur des données de l’instance d’un client, nous la transmettons à ce client, responsable du traitement, et l’aidons à y répondre.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.
Évolutions
Cette politique suit le service. Un changement important est annoncé sur ce site et, pour les clients, par e-mail.
Dernière mise à jour : 18 octobre 2026