Politique de confidentialité

Cette politique décrit les données personnelles que nous traitons, pourquoi, pendant combien de temps, et les droits dont vous disposez. Elle couvre à la fois le site vitrine caryon.fr et les applicationscaryon.app — Caryon ID (id.caryon.app) et Caryon Lead (lead.caryon.app) —, ainsi que l'extension navigateur de Caryon Lead (ci-après « Caryon »). Elle est rédigée conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

1. Responsable du traitement

Le responsable du traitement est Caryon, société en cours de constitution : sa raison sociale, son siège et son numéro d'immatriculation figureront ici dès son immatriculation. Pour toute question relative à vos données : contact@caryon.fr.

2. Deux situations distinctes

Selon votre relation avec Caryon, notre rôle n'est pas le même :

• Vous visitez le site ou vous demandez une démo. Nous sommes responsable du traitement des données que vous nous communiquez (section 3).
• Vous utilisez l'application. Pour votre compte utilisateur, nous sommes responsable du traitement (section 4). Pour les entreprises, contacts et notes que votre société importe ou saisit dans Caryon, votre société est responsable du traitement et Caryon agit comme sous-traitant au sens de l'article 28 du RGPD (section 5).

3. Site vitrine et demande de démo

Données collectées

Le formulaire de demande de démo ouvre votre logiciel de messagerie pour nous adresser un e-mail : nous recevons votre adresse e-mail professionnelle, le nom de votre société et le contenu que vous choisissez d'y ajouter. Aucune donnée n'est enregistrée par le site lui-même.

Finalité et base légale

Répondre à votre demande, organiser la démonstration et vous adresser une proposition commerciale. Base légale : mesures précontractuelles prises à votre demande (art. 6.1.b RGPD). Nous n'utilisons pas votre adresse pour une newsletter ni pour des relances automatiques.

Durée de conservation

Trois ans à compter de notre dernier échange si aucun contrat n'est conclu ; pendant la durée du contrat puis selon les obligations légales dans le cas contraire.

Journaux techniques

Notre hébergeur (Vercel) conserve des journaux de connexion (adresse IP, agent utilisateur, pages demandées) pendant une courte durée à des fins de sécurité et de bon fonctionnement du service. Base légale : intérêt légitime (art. 6.1.f RGPD).

4. Compte utilisateur de l'application

Données collectées

• Identité et contact : prénom, nom, adresse e-mail professionnelle.
• Authentification : mot de passe (stocké sous forme hachée, jamais en clair) ou connexion avec Google (section 7), jetons de session.
• Photo de profil : celle que vous déposez ou, à défaut, celle de votre compte Google si vous vous connectez avec Google.
• Organisation : espace de travail rattaché, rôle (administrateur, superviseur, collaborateur), invitations.
• Activité : horodatage des connexions et des actions, nécessaires à la traçabilité et à la sécurité.

Finalités et bases légales

• Créer et gérer votre compte, fournir le service souscrit : exécution du contrat (art. 6.1.b).
• Sécuriser l'accès, prévenir les fraudes et les abus : intérêt légitime (art. 6.1.f).
• Facturation et obligations comptables : obligation légale (art. 6.1.c).
• Vous informer des évolutions du service : intérêt légitime, avec possibilité de vous y opposer à tout moment.

Durée de conservation

Pendant toute la durée du contrat, puis suppression ou anonymisation dans un délai de 90 jours après sa fin, sauf obligation légale de conservation plus longue (pièces comptables : 10 ans).

5. Données de prospection traitées pour le compte de nos clients

Les entreprises, contacts, notes d'appel, signaux et fichiers que vous importez dans Caryon peuvent contenir des données personnelles de tiers (par exemple le nom et la fonction d'un interlocuteur). Ces données sont traitéesuniquement sur instruction de votre société, qui en reste responsable : elle s'assure de disposer d'une base légale pour les collecter et d'informer les personnes concernées.

En tant que sous-traitant, Caryon s'engage à :

• ne traiter ces données que pour fournir le service, jamais pour son propre compte ni pour les revendre ;
• isoler les données de chaque espace de travail, avec un contrôle des accès appliqué au niveau de la base de données ;
• vous assister pour répondre aux demandes d'exercice de droits des personnes concernées ;
• vous restituer ou supprimer l'intégralité de vos données à la fin du contrat ;
• vous notifier sans délai toute violation de données vous concernant.

Un accord de traitement des données (DPA) détaillant ces engagements est disponible sur demande àcontact@caryon.fr.

6. Extension navigateur de Caryon Lead

L'extension Chrome de Caryon Lead, distribuée sur le Chrome Web Store en mode non répertorié, complète l'application Caryon Lead (lead.caryon.app). Elle nécessite un compte Caryon ID et un accès à Caryon Lead. Pour les données de prospection qu'elle permet d'ajouter, votre société est responsable du traitement et Caryon agit comme sous-traitant (section 5).

Connexion

Vous connectez l'extension depuis votre compte Caryon ID (id.caryon.app). Un jeton de connexion révocable est alors conservé dans le stockage local de l'extension, avec l'espace de travail choisi, et enregistré de notre côté dans notre base de données. Vous pouvez déconnecter l'extension à tout moment depuis celle-ci, ou révoquer le jeton depuis l'accueil de votre compte Caryon ID.

Données lues

L'extension lit uniquement la page LinkedIn (www.linkedin.com) que vous consultez, un profil ou une page entreprise à la fois :

• sur un profil : nom, fonction, entreprise, localisation, adresse de la photo et adresse du profil ;
• sur une page entreprise : nom de l'entreprise, localisation et adresse de la page.

Elle ne parcourt aucune autre page, ne procède à aucune collecte en masse et ne suit pas votre historique de navigation. Pour indiquer si la personne ou l'entreprise affichée figure déjà dans votre espace de travail, l'extension transmet à nos serveurs l'adresse LinkedIn ou le nom concerné ; cette vérification n'est pas conservée.

Données enregistrées

Rien n'est ajouté à Caryon Lead tant que vous ne cliquez pas sur le bouton d'ajout. Lors de l'ajout :

• le contact (nom, fonction, entreprise, adresse LinkedIn et, le cas échéant, service, site, e-mail et téléphones que vous saisissez ou confirmez) est enregistré dans votre espace de travail ;
• la photo du profil, uniquement si l'option « Ajouter la photo du profil » reste cochée, est téléchargée depuis media.licdn.com par l'extension, réduite à 256 pixels dans votre navigateur et conservée dans un espace de stockage privé de votre espace de travail ; elle est supprimée avec le contact ;
• depuis une page entreprise, les entités juridiques que vous sélectionnez parmi celles du registre public des entreprises (API Recherche d'entreprises, données SIRENE) sont ajoutées à votre portefeuille.

Utilisation des données

Ces données servent uniquement à fournir les fonctionnalités de Caryon Lead à votre espace de travail. Elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni communiquées à des tiers autres que les prestataires techniques mentionnés en section 8. L'utilisation des données par l'extension respecte la politique relative aux données des utilisateurs du Chrome Web Store (Chrome Web Store User Data Policy), y compris les exigences d'utilisation limitée (Limited Use).

7. Services Google

Caryon accède à certaines données de votre compte Google uniquement si vous l'y autorisez, et seulement pour les usages décrits ci-dessous. Vous pouvez retirer cet accès à tout moment.

Se connecter avec Google

Si vous choisissez « Continuer avec Google » sur id.caryon.app, Google nous transmet votre nom, votre adresse e-mail et votre photo de profil (autorisations openid, email et profile). Ils servent uniquement à créer votre compte Caryon et à vous identifier ; la photo s'affiche aux membres de vos espaces de travail tant que vous n'en avez pas déposé une autre.

Google Agenda

Depuis l'écran Intégrations des réglages de Caryon Lead (lead.caryon.app), vous pouvez connecter votre Google Agenda. Caryon demande alors l'adresse e-mail de votre compte Google et l'autorisationhttps://www.googleapis.com/auth/calendar.events (voir et modifier les événements de vos agendas).

Données lues, dans votre agenda principal uniquement : pour chaque événement, son titre, ses dates de début et de fin, son statut, son lien Google Agenda, et l'adresse e-mail et la réponse de chaque invité. Caryon n'utilise ni ne conserve la description, le lieu ou les pièces jointes des événements.

Utilisation :

• afficher vos prochains événements dans « Ma journée » : ils sont lus au moment de l'affichage et ne sont pas conservés ;
• consigner vos rendez-vous passés : lorsqu'un invité d'un événement terminé correspond à un contact suivi dans votre espace de travail, une action « Rendez-vous » réalisée est enregistrée sur ce contact (titre, date, contact et identifiant de l'événement). La première lecture couvre les 30 jours précédant la connexion, puis l'agenda est relu pendant que vous utilisez Caryon Lead, au plus toutes les 5 minutes. Cette option se désactive dans l'écran Intégrations ;
• inscrire dans votre agenda les rendez-vous que vous planifiez dans Caryon Lead : Caryon crée un événement d'une heure avec le contact pour invité, sans que Google lui envoie d'invitation ; annuler ou supprimer le rendez-vous dans le Caryon Lead supprime l'événement. Cette option se désactive aussi dans l'écran Intégrations.

Conservation : les jetons d'accès fournis par Google sont chiffrés (AES-256-GCM) avant d'être enregistrés dans notre base de données, et ne servent qu'à ces opérations. Ils sont supprimés lorsque vous déconnectez votre agenda ou supprimez votre compte. Les rendez-vous consignés font partie des données de votre espace de travail (section 5) et suivent leur sort.

Gmail

Caryon ne demande aucun accès à Gmail. Les boutons « Écrire » de Caryon Lead ouvrent simplement un brouillon dans Gmail, dans votre navigateur, avec l'adresse du destinataire déjà remplie : Caryon ne lit ni n'envoie vos e-mails.

Utilisation limitée des données Google

Les données obtenues des API Google ne servent qu'à fournir les fonctionnalités visibles décrites ci-dessus. Elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique, ni transmises à des tiers autres que les prestataires techniques nécessaires au service (section 8). Personne chez Caryon ne les consulte, sauf avec votre accord explicite, pour des raisons de sécurité (enquête sur un abus, par exemple) ou pour respecter la loi.

L'utilisation et le transfert à toute autre application des informations reçues des API Google par Caryon respectent laRègle relative aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée. Caryon's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Retirer l'accès

Le bouton « Déconnecter » de l'écran Intégrations retire l'autorisation auprès de Google et supprime les jetons enregistrés. Vous pouvez aussi la retirer depuis votre compte Google, surmyaccount.google.com/connections.

8. Destinataires et sous-traitants

Vos données ne sont ni vendues ni louées. Elles sont accessibles au personnel de Caryon habilité et aux prestataires techniques suivants :

Lorsqu'un prestataire est établi hors de l'Union européenne, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou, pour les États-Unis, par une certification au cadre de protection des données UE-États-Unis (Data Privacy Framework).

Nous pouvons également communiquer des données lorsque la loi l'exige, à une autorité administrative ou judiciaire.

9. Cookies et mesure d'audience

Le site caryon.fr ne dépose aucun cookie et n'utilise aucun traceur publicitaire ou de mesure d'audience. Si nous mettons en place une mesure d'audience, nous choisirons un outil sans cookie et sans identification des visiteurs, exempté de consentement selon les recommandations de la CNIL, et nous mettrons cette politique à jour.

Les applications Caryon (id.caryon.app, lead.caryon.app) utilisent uniquement des cookies techniques strictement nécessaires au maintien de votre session une fois connecté. Ils ne requièrent pas votre consentement et ne servent à aucun suivi.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées, notamment :

• chiffrement des échanges (HTTPS/TLS) et des données au repos chez notre hébergeur de base de données ;
• cloisonnement des espaces de travail par des règles de sécurité appliquées à chaque ligne de la base (Row Level Security) ;
• mots de passe hachés, sessions à durée limitée, principe du moindre privilège pour les accès internes ;
• sauvegardes régulières et journalisation des accès.

11. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• droit d'accès et de copie ;
• droit de rectification ;
• droit à l'effacement ;
• droit à la limitation du traitement ;
• droit d'opposition, notamment à la prospection ;
• droit à la portabilité ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à contact@caryon.fr ou, une fois la société immatriculée, par courrier à l'adresse indiquée en section 1. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes. Une pièce d'identité peut vous être demandée en cas de doute raisonnable sur votre identité.

Si vos données ont été saisies dans Caryon par l'une de nos entreprises clientes, nous transmettrons votre demande à cette entreprise, qui en est responsable, et l'assisterons dans sa réponse.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

12. Modifications

Nous pouvons faire évoluer cette politique pour refléter des changements du service ou de la réglementation. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle, les utilisateurs de l'application en seront informés par e-mail ou par une notification dans l'application.