Politique de confidentialité.

Responsable du traitement

Le responsable du traitement est DEVINTECH, société par actions simplifiée au capital de 1 000 €, dont le siège est situé 41 rue de Rochechouart, 75009 Paris, France, immatriculée au RCS de Paris sous le numéro 894 124 155. Le service Jsonpage est édité sous la marque Jsonpage.

Pour toute question relative à vos données personnelles ou pour exercer vos droits, utilisez le formulaire de contact en choisissant le sujet « Données personnelles (RGPD) ».

Données traitées

• Compte : adresse e-mail, empreinte du mot de passe et empreinte des clés API. Le mot de passe et les clés API ne sont jamais conservés en clair. Avec le forfait Pro, la liste des adresses IP autorisées que vous enregistrez, pour refuser les requêtes venant d'autres adresses.
• Session : un cookie de session strictement nécessaire à la connexion, qui expire après sept jours.
• Lien partenaire : si vous suivez un lien de la forme jsonpage.com/?ref=code, le site mémorise ce code 90 jours dans un cookie (« jp_ref ») pour rattacher votre inscription au partenaire qui vous a recommandé le service. Le cookie ne contient que le code, n'est déposé que lorsque vous suivez un tel lien et que vous l'acceptez dans le panneau de confidentialité (« Lien partenaire »), et n'est lu que lors de la création d'un compte. Chaque visite par un lien partenaire est comptée par code et par jour, sans adresse IP ni identifiant de visiteur. Pour le partenaire, nous conservons son code, son adresse e-mail et les commissions calculées à partir des paiements des comptes rattachés.
• Utilisation de l'API : le nombre de requêtes par jour et par compte, pour appliquer le forfait et afficher votre consommation.
• Journal des requêtes : pour chaque requête à l'API, la date, le chemin demandé avec ses paramètres, le code de statut et la durée de traitement, rattachés à votre compte. Il sert à afficher le journal des requêtes dans le tableau de bord et à vous assister en cas de problème. Le contenu des réponses n'est pas conservé.
• Surveillance : la liste des identifiants des entreprises que vous surveillez, avec leur dernier état connu, les événements détectés, l'adresse de votre webhook et son secret de signature, et l'historique des tentatives de livraison (date, code de statut, erreur). Ces données sont conservées sur notre serveur en France.
• Alertes par e-mail : les adresses e-mail des destinataires que vous indiquez, le mode d'envoi et la langue choisis, pour envoyer les alertes de surveillance. Ces données sont conservées sur notre serveur en France.
• Enrichissement de fichiers : la colonne d'identifiants que vous envoyez (seule la colonne choisie quitte votre ordinateur, pas le reste du fichier) et le fichier complété, conservés sur notre serveur en France pour que vous puissiez le télécharger.
• Listes d'entreprises : le nombre de lignes exportées par mois civil, pour appliquer le quota du forfait. Les critères et le contenu des listes téléchargées ne sont pas conservés.
• Journaux techniques du serveur : adresses IP et informations techniques des requêtes, pour la sécurité et le diagnostic.
• Formulaire de contact : nom, adresse e-mail, sujet et contenu de votre message.
• Facturation : les données de paiement sont saisies et conservées par Stripe. Nous ne conservons que les références Stripe de votre client et de votre abonnement.
• Protection contre les robots : informations techniques traitées par Cloudflare Turnstile.
• Mesure d'audience : statistiques de visite et de performance collectées par Cloudflare Web Analytics si vous l'acceptez.

Finalités et bases légales

Les données de compte, de session, de consommation, du journal des requêtes, de surveillance, d'alertes par e-mail, d'enrichissement, de listes d'entreprises et de facturation servent à fournir le service, à authentifier les connexions, à appliquer le forfait et à gérer l'abonnement : elles sont nécessaires à l'exécution du contrat. Les factures et justificatifs de paiement sont conservés pour respecter nos obligations comptables. Les journaux techniques et le contrôle anti-robots servent à protéger le service contre les abus, ce qui relève de notre intérêt légitime. Les messages du formulaire de contact servent à vous répondre. La mesure d'audience repose sur votre accord.

Compte et suppression

Les données de compte sont conservées dans une base PostgreSQL hébergée chez Neon. Vous pouvez supprimer votre compte à tout moment depuis le tableau de bord (Paramètres), avec le bouton « Supprimer mon compte ». Cette action résilie immédiatement votre abonnement Stripe et efface le compte, ses clés API, ses compteurs d'utilisation, son journal des requêtes, ses adresses IP autorisées, ses fichiers enrichis et ses données de surveillance (entreprises surveillées, événements, webhook, destinataires des alertes par e-mail et tentatives de livraison).

Protection contre les robots

Les formulaires publics de création de compte, de connexion et de contact utilisent Cloudflare Turnstile. Le contrôle de sécurité charge un script Cloudflare et transmet à Cloudflare les informations techniques nécessaires pour distinguer une personne d'un robot. Le serveur vérifie le jeton avant de traiter le formulaire. Ce contrôle est nécessaire à la sécurité du service ; il n'est pas utilisé pour la mesure d'audience. Le mode de prévalidation par cookie n'est pas activé.

Mesure d'audience et cookies

Le site mesure son audience avec Cloudflare Web Analytics. Cet outil ne dépose pas de cookie et ne suit pas votre navigation sur d'autres sites. Il ne se charge que si vous l'acceptez dans le panneau de préférences. Refuser n'empêche pas l'accès au site ou à l'API. Vous pouvez modifier ou retirer votre choix à tout moment avec « Gérer les cookies » en bas de chaque page ; en cas de retrait, le script de mesure cesse d'être chargé après rechargement de la page.

Le site conserve votre choix pendant six mois dans le stockage local du navigateur. Le cookie de session, strictement nécessaire, expire après sept jours. Un diagnostic de fichier clients lancé sans compte dépose un cookie, lui aussi strictement nécessaire, qui réserve l'accès au fichier à votre navigateur ; il expire après huit jours. Les préférences de langue et de thème restent dans le stockage local jusqu'à leur effacement par le navigateur ; elles servent aux fonctions que vous demandez. Le cookie de lien partenaire (« jp_ref ») n'est déposé que si vous suivez un lien partenaire et l'acceptez dans le panneau de confidentialité ; il expire après 90 jours, ne sert qu'à rattacher une inscription à ce partenaire et peut être supprimé à tout moment dans les réglages de votre navigateur.

Données des entreprises servies par l'API

Les fiches d'entreprises proviennent des registres officiels des entreprises (France, Belgique, Suisse, Norvège, Finlande, Lettonie, Irlande, Suède, Estonie, Lituanie, Australie, Singapour, Japon, Royaume-Uni) et des annonces légales publiées. Elles peuvent contenir des données relatives à des personnes physiques qui exercent une activité, notamment des entrepreneurs individuels. Pour les entrepreneurs qui ont demandé à ne pas figurer dans la diffusion publique, les noms et adresses sont supprimés. Les noms des personnes physiques cités dans les annonces légales ne sont pas conservés. Vous pouvez vous opposer au traitement de données vous concernant au moyen du formulaire d'opposition ou du formulaire de contact (sujet « Données personnelles (RGPD) »).

Annuaire public de sociétés et export de listes. Les pages publiques de recherche et de fiches d'entreprises et l'export de listes d'entreprises sont proposés par DEVINTECH, responsable du traitement. Leur finalité est d'informer sur les entreprises et de permettre la vérification de partenaires commerciaux. Ils reposent sur notre intérêt légitime, dont l'équilibre avec les droits des personnes concernées a été pesé et documenté. Les catégories de données sont l'identité de la société, son adresse, son statut, sa forme juridique, son activité et, pour les sociétés, le nom, le prénom et la fonction de leurs dirigeants. Ces données sont issues de registres publics, nommés dans les mentions légales. Elles ne sont pas collectées auprès de vous : cette notice vous en informe.

• Non-diffusion : nous respectons le statut de diffusion du registre. Si vous n'êtes pas diffusible auprès de la source, votre fiche n'affiche aucune donnée personnelle. En diffusion partielle, les champs masqués par la source (nom, prénom, adresse) ne sont ni affichés ni exportés. Un changement de statut est répercuté sous 24 heures.
• Entrepreneurs individuels : leur fiche n'affiche que la commune et le département, ne porte pas leur nom dans son adresse ni dans son titre et n'est pas référencée par les moteurs de recherche. Elle se trouve par la recherche du site, par le nom, le SIREN ou le SIRET. Ils sont exclus des exports.
• Indexation : seules les sociétés sont référencées par les moteurs de recherche.
• Dirigeants : seuls le nom, le prénom et la fonction sont affichés. Il n'existe pas de fiche par dirigeant ni de lien d'un dirigeant vers ses autres sociétés, et les dirigeants ne figurent pas dans les exports.
• Droit d'opposition renforcé : le formulaire dédié est accessible depuis le pied de page et depuis chaque fiche. Nous accusons réception immédiatement et répondons sur le fond sous un mois au plus (deux mois de plus si la demande est complexe, avec information dans le premier mois). Un retrait supprime la personne des pages, de la recherche, de l'API et des exports futurs, renvoie un code 410 sur l'adresse de la fiche et donne lieu à une demande de désindexation auprès des moteurs de recherche. Une opposition d'un dirigeant vaut pour toutes les sociétés où il apparaît. Si nous la refusons pour un motif légitime impérieux, nous vous l'expliquons et vous informons de votre droit de saisir la CNIL.
• Destinataires : les acheteurs des exports, qui ne reçoivent que des données de personnes morales, et notre hébergeur.

Les fichiers déposés pour le diagnostic de fichier clients, avec ou sans compte, peuvent contenir des données personnelles de vos propres clients. Pour ce service, nous agissons en tant que sous-traitant : nous n'utilisons le fichier que pour produire le diagnostic, nous le supprimons au bout de 7 jours (ou tout de suite avec le bouton « Supprimer maintenant »), et nous ne le réutilisons ni ne l'associons à un profil publicitaire.

Personnes ayant un contrôle significatif (Royaume-Uni)

Pour les sociétés britanniques, l'API reprend, telles que le registre officiel britannique des sociétés les publie, les données des personnes ayant un contrôle significatif (persons with significant control) : nom, nationalité, pays de résidence, mois et année de naissance et nature du contrôle. Les adresses et le jour de naissance ne sont jamais repris, et seules les personnes dont le contrôle est en cours sont servies.

Ce traitement sert à fournir des informations sur les entreprises pour la vérification des partenaires commerciaux et les obligations de vigilance ; il repose sur notre intérêt légitime et celui de nos clients. Les données suivent les publications du registre britannique : une suppression ou une correction faite à la source est reprise rapidement. Une personne concernée peut exercer ses droits au moyen du formulaire de contact ; une correction doit aussi être faite à la source, auprès du registre britannique des sociétés.

Durées de conservation

• Compte, adresse e-mail et clés API : tant que le compte existe ; effacement immédiat lors de sa suppression.
• Compteurs de requêtes : 13 mois.
• Journal des requêtes : 90 jours au plus ; le tableau de bord en affiche 7 jours en Découverte, 30 jours en Standard et 90 jours en Pro ; effacement immédiat lors de la suppression du compte.
• Fichiers enrichis et fichiers du diagnostic : 7 jours, puis suppression ; effacement immédiat lors de la suppression du compte.
• Fiches d'entreprises : tant que l'entreprise figure dans la source ; une entreprise radiée est réduite à son identité, sans dirigeants, après 12 mois.
• Journaux d'accès aux pages publiques : adresses IP conservées 90 jours au plus, puis supprimées ; aucun contenu de fichier n'y figure.
• Journal des exports de listes : compte, date, critères, nombre de lignes et acceptation des conditions, 12 mois.
• Registre des demandes d'opposition, d'effacement et de rectification : 3 ans après la clôture de la demande. La liste d'exclusion des fiches retirées est conservée tant qu'elle est nécessaire pour que le retrait reste effectif.
• Compteurs de lignes exportées : tant que le compte existe ; effacement lors de sa suppression.
• Adresses IP autorisées et destinataires des alertes par e-mail : tant que vous les gardez ; effacement immédiat lors de la suppression du compte.
• Surveillance : la liste des entreprises surveillées, l'adresse et le secret du webhook tant que vous les gardez ; les événements détectés et leurs tentatives de livraison, 90 jours ; effacement immédiat de l'ensemble lors de la suppression du compte.
• Journaux techniques du serveur : 30 jours.
• Messages du formulaire de contact : 3 ans après le dernier échange.
• Factures et justificatifs de paiement : 10 ans, au titre des obligations comptables ; ils sont conservés par Stripe.
• Choix relatif aux cookies : 6 mois.
• Cookie de lien partenaire : 90 jours ; décomptes de visites par code et par jour sans donnée personnelle ; rattachement d'un compte à un partenaire tant que le compte existe ; commissions, 10 ans au titre des obligations comptables.

Sous-traitants et destinataires

• OVH SAS (hébergement) : serveur situé en France.
• Neon Inc. (base de données des comptes) : données hébergées sur AWS à Francfort, en Allemagne.
• Stripe Payments Europe Ltd (paiements) : Irlande.
• Cloudflare Inc. (CAPTCHA Turnstile et mesure d'audience).
• Notre prestataire d'envoi d'e-mails : acheminement des messages du formulaire de contact et des alertes de surveillance par e-mail.
• Commission européenne : les numéros de TVA intracommunautaire sont transmis pour vérification.
• Office fédéral de la statistique (Suisse) : les numéros de TVA suisses sont transmis pour vérification.

Transferts hors de l'Union européenne

Certains prestataires peuvent traiter des données hors de l'Union européenne, notamment aux États-Unis : Cloudflare et, le cas échéant, Stripe et la société mère de Neon. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

Vos droits

Vous pouvez demander l'accès, la rectification ou l'effacement de vos données, la limitation du traitement, la portabilité de vos données, et vous opposer à un traitement. Pour exercer ces droits, utilisez le formulaire de contact. Vous pouvez aussi introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés).