Politique de confidentialité

1. 1. Responsable du traitement

Le responsable du traitement est Citova, Suisse, numéro IDE communiqué sur demande, représentée par la direction de Citova.

Pour toute question ou demande relative à vos données, écrivez à contact@citova.ch ou par courrier à l'adresse ci-dessus.

2. 2. Deux rôles distincts

Citova agit comme responsable du traitement pour les données qu'elle collecte pour son propre compte : visiteurs du site, demandes d'audit, comptes clients, facturation, support et communication.

Citova agit comme sous-traitant pour les données personnelles que ses clients lui confient ou qu'elle traite pour eux dans la plateforme, par exemple les données issues de leurs comptes publicitaires ou les images de leurs collaborateurs. Dans ce cas, le client reste responsable du traitement et l'accord de sous-traitance des données s'applique. Les personnes concernées s'adressent en priorité au client.

3. 3. Données que nous traitons

Nous traitons uniquement les données nécessaires aux finalités décrites plus bas. Selon votre utilisation du site et du service, il s'agit des catégories suivantes.

• Données d'identification et de contact : nom, prénom, fonction, adresse e-mail professionnelle, numéro de téléphone si vous le communiquez
• Données d'entreprise : raison sociale, adresse, site web, secteur d'activité, ville, numéro IDE et numéro de TVA
• Données de compte : identifiant, mot de passe sous forme chiffrée, rôle, paramètres, facteurs d'authentification, journal des connexions
• Données de facturation et de paiement : formule, factures, historique des paiements, moyen de paiement. Les numéros de carte sont traités par notre prestataire de paiement et ne sont pas stockés par Citova
• Contenus fournis par le client : logos, textes, images, vidéos, enregistrements de voix, commentaires et validations
• Données de voix et d'image de personnes physiques, lorsqu'une voix de marque ou un avatar est créé avec leur consentement explicite
• Données de campagnes : données de performance issues des comptes publicitaires connectés par le client, en principe sous forme agrégée
• Données de visibilité IA : requêtes suivies, réponses des moteurs IA, sources citées. Ces données portent sur des entreprises et ne contiennent en principe pas de données personnelles
• Données de communication : messages échangés avec l'équipe, demandes de support, préférences de communication
• Données techniques et d'utilisation : adresse IP, type d'appareil et de navigateur, pages consultées, date et heure, journaux d'erreurs
• Cookies et technologies similaires, décrits dans la politique cookies

4. 4. Origine des données

La plupart des données nous sont communiquées directement par vous : formulaire d'audit, création de compte, échanges avec l'équipe. D'autres sont générées par votre utilisation du site et de la plateforme.

Nous collectons aussi des informations publiques sur votre entreprise, par exemple sur votre site web, au registre du commerce ou dans les réponses des moteurs IA, afin de réaliser l'audit et le suivi. Enfin, lorsque le client connecte un compte publicitaire ou une fiche d'établissement, nous recevons les données que la plateforme concernée met à disposition dans le cadre de cette connexion.

5. 5. Finalités et bases juridiques

Nous traitons les données personnelles de manière licite, conforme à la bonne foi et proportionnée, pour des finalités reconnaissables. Lorsque le RGPD s'applique, chaque traitement repose sur l'une des bases juridiques indiquées ci-dessous.

• Réaliser et envoyer l'audit gratuit que vous demandez : mesures précontractuelles prises à votre demande
• Fournir le service : création et gestion du compte, production des vidéos et des contenus, suivi de la visibilité IA, gestion des campagnes, rapports. Base : exécution du contrat
• Facturer, encaisser et tenir la comptabilité. Bases : exécution du contrat et obligations légales
• Assurer le support et répondre à vos messages. Bases : exécution du contrat et intérêt légitime
• Sécuriser le site et la plateforme, prévenir les abus et la fraude, corriger les erreurs. Base : intérêt légitime
• Mesurer l'audience du site et améliorer le service. Base : consentement pour les outils de mesure d'audience, intérêt légitime pour les statistiques strictement nécessaires
• Créer une voix de marque ou un avatar à partir de la voix ou de l'image d'une personne. Base : consentement explicite de cette personne
• Envoyer des e-mails de prospection ou une lettre d'information. Base : consentement, révocable à tout moment
• Respecter nos obligations légales et faire valoir nos droits. Bases : obligations légales et intérêt légitime

6. 6. Intelligence artificielle et données des clients

Le service fait appel à des modèles d'IA exploités par des prestataires tiers, pour interroger les moteurs de réponse, rédiger des projets de contenus et produire des vidéos et des voix.

Citova n'entraîne aucun modèle d'IA avec les données de ses clients. Nous utilisons les offres professionnelles de nos prestataires et nous les paramétrons, lorsque cette option existe, pour que les données transmises ne servent pas à l'entraînement de leurs modèles.

Les requêtes envoyées aux moteurs IA pour le suivi de visibilité décrivent un besoin, un métier et un lieu. Elles ne contiennent pas de données personnelles de vos clients.

Aucune décision produisant des effets juridiques à l'égard d'une personne n'est prise de manière exclusivement automatisée. Les vidéos, les contenus et les rapports sont contrôlés par une personne et validés par le client avant toute publication.

7. 7. Voix et image

La création d'une voix de marque ou d'un avatar à partir d'une personne réelle exige le consentement explicite et écrit de cette personne, recueilli avant tout traitement. Le consentement précise l'usage prévu.

La personne peut retirer son consentement à tout moment en écrivant à contact@citova.ch. Nous supprimons alors le modèle de voix ou l'avatar, chez nous et chez le prestataire concerné, et nous cessons de produire de nouveaux contenus avec eux. Le retrait ne remet pas en cause la licéité des traitements antérieurs.

8. 8. Destinataires et sous-traitants

Nous ne vendons pas de données personnelles. Elles sont accessibles aux personnes de notre équipe qui en ont besoin et aux prestataires ci-dessous, qui agissent sur nos instructions et sont liés par contrat. Chaque prestataire ne reçoit que les données nécessaires à sa tâche.

Nous pouvons aussi communiquer des données à une autorité ou à un tribunal lorsque la loi l'exige, ainsi qu'à nos conseils et à nos auditeurs tenus à la confidentialité. Lorsque le client utilise Citova par l'intermédiaire d'une agence partenaire en marque blanche, cette agence a accès aux données du compte.

• Base de données et authentification : Supabase, région située dans l'Union européenne
• Hébergement du site et de l'application : Vercel
• Paiement et facturation : Stripe
• Envoi des e-mails : Resend
• Mesure d'audience et d'utilisation, avec votre consentement : PostHog
• Suivi des erreurs techniques : Sentry
• Protection contre les abus et les robots : Cloudflare
• Moteurs de réponse IA interrogés et modèles d'IA : OpenAI, Anthropic, Google, Perplexity
• Synthèse et clonage de voix : ElevenLabs
• Production vidéo et avatars : HeyGen
• Plateformes publicitaires connectées par le client, qui agissent en leur propre nom : Meta, TikTok, Google

9. 9. Lieu d'hébergement et transferts à l'étranger

La base de données principale de la plateforme est hébergée en Europe, dans une région située dans l'Union européenne.

Certains prestataires cités plus haut ont leur siège ou des serveurs hors de Suisse et de l'Espace économique européen, notamment aux États-Unis. Lorsque des données personnelles sont transférées vers un pays dont la législation n'assure pas un niveau de protection adéquat, nous nous appuyons sur une garantie reconnue : une décision d'adéquation applicable au prestataire, ou des clauses contractuelles types reconnues par le Préposé fédéral à la protection des données et à la transparence et par la Commission européenne, complétées si nécessaire par des mesures supplémentaires.

Vous pouvez obtenir des informations sur ces garanties en écrivant à contact@citova.ch.

10. 10. Durées de conservation

Nous conservons les données aussi longtemps que la finalité l'exige, puis nous les supprimons ou les anonymisons. Les durées de référence sont les suivantes.

• Demandes d'audit sans suite commerciale : douze mois après l'envoi de l'audit
• Données de compte et contenus du client : pendant la durée du contrat, puis suppression dans les trente jours suivant sa fin, après restitution au client s'il la demande. Les copies de sauvegarde sont écrasées dans un délai de quatre-vingt-dix jours
• Modèles de voix et avatars : jusqu'au retrait du consentement ou à la fin du contrat, selon ce qui survient en premier
• Factures et pièces comptables : dix ans, conformément aux obligations légales de conservation
• Journaux techniques et de sécurité : quatre-vingt-dix jours au plus, sauf nécessité liée à un incident
• Échanges avec le support : pendant la durée du contrat, puis vingt-quatre mois
• Données de prospection : jusqu'au retrait du consentement ou, sans interaction de votre part, vingt-quatre mois après le dernier contact
• Données nécessaires à la défense de nos droits : pendant la durée des délais de prescription applicables

11. 11. Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées au risque : chiffrement des échanges, cloisonnement des données de chaque client au niveau de la base de données, accès limités selon le rôle, double authentification obligatoire pour les rôles d'administration, journalisation des accès, sauvegardes régulières.

En cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées, nous informons l'autorité compétente et, lorsque la loi l'exige, les personnes concernées, dans les meilleurs délais.

12. 12. Vos droits

Dans les limites prévues par la loi applicable, vous disposez des droits suivants sur vos données personnelles.

Pour exercer un droit, écrivez à contact@citova.ch. Nous pouvons vous demander de justifier de votre identité. Nous répondons en principe dans un délai de trente jours. L'exercice de vos droits est gratuit, sauf demande manifestement abusive.

Si vos données sont traitées par Citova pour le compte de l'un de nos clients, nous transmettons votre demande à ce client, qui est responsable de la réponse.

• Accès : savoir si nous traitons des données vous concernant et en recevoir une copie
• Rectification : faire corriger des données inexactes ou incomplètes
• Suppression : obtenir l'effacement de vos données, sous réserve des obligations légales de conservation
• Portabilité : recevoir les données que vous nous avez fournies dans un format électronique courant, ou les faire transmettre à un autre responsable
• Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et à tout moment à la prospection
• Limitation : demander que le traitement soit limité dans les cas prévus par la loi
• Retrait du consentement : retirer à tout moment un consentement donné, sans effet sur les traitements antérieurs

13. 13. Autorité de surveillance

En Suisse, l'autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT), à Berne. Vous pouvez vous adresser à lui si vous estimez qu'un traitement porte atteinte à vos droits.

Si le RGPD s'applique à votre situation, vous pouvez aussi introduire une réclamation auprès de l'autorité de protection des données de l'État de l'Union européenne ou de l'Espace économique européen dans lequel vous résidez ou travaillez.

Nous vous invitons à nous écrire d'abord : la plupart des demandes se règlent directement.

14. 14. Public visé

Le site et le service s'adressent à des entreprises et à des professionnels. Ils ne sont pas destinés aux mineurs, et nous ne collectons pas sciemment de données les concernant.

15. 15. Modification de cette politique

Nous pouvons adapter cette politique lorsque le service, nos prestataires ou la loi évoluent. La version en vigueur est publiée sur cette page avec sa date de mise à jour. En cas de changement important, nous informons les clients par e-mail ou dans la plateforme.