Privacy policy
Version 5.6 · Document in French, the language of the contract.
Version 5.6, 1er octobre 2026. Cette version intègre l'ancienne politique cookies : il n'existe plus qu'un seul document.
Cette politique décrit tous les traitements de données à caractère personnel que nous mettons en œuvre, et les traceurs que nous déposons. Elle est écrite pour être lue.
Les vendeurs observés sur les places de marché disposent d'une information dédiée : notice d'information des vendeurs.
1. Qui traite vos données
WhoHeld, société par actions simplifiée unipersonnelle, 49 cours Mirabeau, 13100 Aix-en-Provence, France, RCS Aix-en-Provence 130 164 783.
Contact protection des données : privacy@whoheld.com.
Aucun délégué à la protection des données n'est désigné : nous n'y sommes pas tenus (article 37.1 du RGPD), selon une analyse écrite et datée, communiquée sur demande. Les demandes relatives à vos données sont traitées à l'adresse ci-dessus.
2. Ce que nous ne faisons pas
- Nous ne nous connectons à aucun compte marchand de nos clients et n'en recevons aucune donnée.
- Nous ne traitons aucune donnée d'acheteur : ni identité, ni adresse de livraison, ni historique d'achat, ni contenu de commande.
- Nous ne traitons aucune donnée sensible (art. 9 du RGPD) ni relative à des condamnations pénales, et ne conservons aucun numéro de carte bancaire.
- Nous ne vendons ni ne louons aucune donnée à caractère personnel.
- Nous n'utilisons aucun outil tiers de mesure d'audience, aucun traceur publicitaire, et nos courriels commerciaux ne comportent ni pixel d'ouverture, ni lien de suivi.
3. Nos traitements
Nous agissons en qualité de responsable de traitement, sauf pour les lignes marquées « sous-traitant » : dans ce cas, le responsable est l'entreprise cliente qui a ouvert le compte, et c'est vers elle que nous vous orientons.
| Traitement | Données | Base légale ou qualité | Conservation |
|---|---|---|---|
| Prospection commerciale B2B | Nom, fonction, employeur, adresse électronique et téléphone professionnels, adresse du profil professionnel public, historique des échanges. Sources : sites publics des sociétés, profils professionnels publics (LinkedIn), annuaires professionnels en ligne | Intérêt légitime (art. 6.1.f). Nos messages vont à des adresses professionnelles, portent sur des offres en rapport avec la fonction exercée et comportent un moyen simple et gratuit de refus (art. L.34-5 CPCE). Notre premier message indique d'où viennent vos coordonnées, renvoie à la présente politique et vous permet de refuser tout nouveau contact (art. 14 du RGPD) | 3 ans après le dernier contact. Les seules données nécessaires à la prise en compte d'un refus (nom, adresse, date) sont conservées tant que nous prospectons, pour ne pas vous recontacter |
| Comptes utilisateurs de la plateforme | Nom, prénom, adresse électronique professionnelle, entreprise, rôle et droits | Sous-traitant (responsable : l'employeur) | Durée du contrat, puis suppression selon la clause de réversibilité des CGS |
| Sécurité, journalisation, mesure d'usage | Identifiants techniques, adresses IP, horodatages, actions d'administration, événements de sécurité, volumétrie, pages de la plateforme consultées | Intérêt légitime (art. 6.1.f) : sécurité du service et prévention des usages non autorisés, et pilotage de l'accompagnement du client (pages consultées, agrégées par compte client) ; obligations légales et contractuelles pour la facturation. Cette mesure est faite par notre propre application, sans outil tiers ni traceur supplémentaire | 6 mois au plus, durée alignée sur les purges effectivement programmées, prolongée le temps d'une investigation |
| Accompagnement de l'évaluation gratuite | Nom, fonction, employeur, adresse électronique professionnelle, échanges avec nous, indicateurs d'usage de la plateforme pendant l'évaluation (dernière connexion, écrans consultés, documents téléchargés), réponses données | Intérêt légitime (art. 6.1.f) : accompagner l'évaluation que votre entreprise a demandée, répondre à vos questions et vous présenter la suite possible. Aucune décision automatisée ; vous pouvez vous y opposer à tout moment, sans que l'évaluation en soit affectée | Indicateurs d'usage : supprimés avec les comptes, trente (30) jours après la fin de l'évaluation, sauf souscription. Échanges, dont les retours envoyés depuis l'application : 1 an après le dernier contact, puis suppression définitive sous trente (30) jours. Preuve de l'acceptation des conditions de l'essai (adresse du compte, société, date, texte accepté) : 3 ans après la fin de l'évaluation, pour établir en cas de litige ce qui a été accepté |
| Journal des questions posées à Ask WhoHeld (fonction non ouverte aux clients à la date de la présente version) | Question telle que saisie par l'utilisateur (texte libre, qui peut contenir des données personnelles, y compris le nom d'un vendeur), réponse produite (le modèle ne reçoit que des pseudonymes de vendeurs, mais la réponse conservée au journal peut contenir un nom de vendeur), outils consultés, volume et coût de l'échange, identifiant de l'utilisateur et de son entreprise, horodatage. La table de correspondance des pseudonymes n'est jamais conservée | Intérêt légitime (art. 6.1.f) : vérifier l'exactitude des réponses, auditer et corriger l'assistant, prévenir les usages non autorisés | 12 mois après la question, puis suppression |
| Contrats et facturation | Identité, coordonnées professionnelles, fonction, pièces contractuelles et comptables | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c) | Durée du contrat, puis 10 ans pour les pièces comptables (art. L.123-22 c. com.) |
| Support | Contenu des demandes, éléments techniques transmis | Sous-traitant (responsable : l'employeur) | 3 ans après clôture de la demande ; suppression anticipée si le contrat prend fin avant, selon la clause de réversibilité |
| Alertes par courriel | Adresse professionnelle, préférences, contenu de l'alerte | Sous-traitant (responsable : l'employeur) | Durée du contrat ; journal d'envoi sans adresse de destinataire (compte client, type d'alerte, référence produit, date) |
| Extension navigateur | Références produits présentes sur la page consultée (une seule sur une fiche produit, l'ensemble des références affichées sur une page de résultats), identifiant de la place de marché, jeton de session stocké localement | Sous-traitant (responsable : l'employeur). Le stockage local est strictement nécessaire au service demandé (art. 82 de la loi n° 78-17) | Aucun historique de navigation n'est constitué : les références servent à composer la réponse affichée, elles ne sont pas conservées |
4. Observation des places de marché et des vendeurs
C'est notre activité principale, et le traitement pour lequel nous sommes pleinement responsables.
| Personnes concernées | Vendeurs présents sur les places de marché Amazon suivies (France, Allemagne, Royaume-Uni, Espagne, Italie, États-Unis, Canada, Japon, Mexique, Brésil, Inde), lorsqu'ils sont des personnes physiques. Ne pouvant les distinguer de façon fiable des personnes morales, nous appliquons le RGPD à tous les enregistrements |
| Données | Dénomination commerciale, identifiant vendeur, pays d'établissement (l'adresse elle-même n'est pas conservée), note et nombre d'avis publics, mode de logistique, qualifications d'offre, prix pratiqués dans le temps, indicateurs d'activité (détention de la Buy Box, nombre de concurrents, taille de catalogue, marques distribuées) |
| Finalité | Produire, pour des clients professionnels, des analyses de l'environnement concurrentiel sur les places de marché |
| Base légale | Intérêt légitime (art. 6.1.f). La mise en balance a été conduite selon le test en trois temps et est communiquée sur demande. Le caractère public des données n'est pas à lui seul un fondement de licéité |
| Sources | Pages publiques des places de marché. Nous ne les parcourons pas nous-mêmes : nous les obtenons d'un fournisseur de données spécialisé, qui les collecte pour son propre compte en qualité de responsable de traitement indépendant, et dont nous réutilisons les données en qualité de responsable distinct (voir la notice vendeurs) |
| Destinataires | Nos clients professionnels, sous forme de résultats d'analyse ; les tiers auxquels ils sont contractuellement autorisés à communiquer des résultats (sociétés de leur groupe, conseils, agences et prestataires de vente en ligne, interlocuteurs au sein des places de marché), sous forme de résultats traités, jamais les données brutes ni de quoi les reconstituer, et sous une confidentialité équivalente ; nos sous-traitants (point 6), sur nos instructions ; les autorités habilitées, sur réquisition |
| Profilage | Ce traitement comporte un profilage (art. 4.4), limité à l'activité de vente exercée à destination du public. Aucune décision automatisée n'est prise, et aucun indicateur n'est conçu pour fonder, à lui seul ou de manière déterminante, une décision à effets juridiques ou significatifs pour un vendeur (art. 22, critère de l'arrêt CJUE SCHUFA) |
| Conservation | Dénomination et pays du vendeur : 24 mois après la dernière observation, puis effacés. Identifiant de place de marché du vendeur, et dates de première et de dernière observation : 36 mois glissants, comme les séries qu'il permet de relier. Événements de détention, parts et prix rattachés à un vendeur : 36 mois glissants. Indicateurs de profil : 12 mois, remplacés à chaque rafraîchissement, sans historisation. Mentions d'un vendeur dans les questions posées par nos clients à Ask WhoHeld et dans les réponses conservées au journal : supprimées au plus tard 12 mois après leur enregistrement |
| Opposition | Un droit d'opposition est ouvert, sans frais, sur simple invocation de raisons tenant à votre situation particulière (art. 21.1). Voir la notice vendeurs |
Les séries de prix et de rang rattachées à une référence produit, sans identifiant de vendeur, se rapportent à la fiche produit et sont traitées hors du régime des données personnelles. Ce classement est vérifié, et il est requalifié dès qu'une série deviendrait raisonnablement attribuable à un vendeur identifiable.
5. Traceurs
Nous utilisons cinq traceurs, et cinq seulement : deux maintiennent votre session authentifiée, trois retiennent un choix de navigation que vous avez fait.
| Traceur | Où | Type | Durée |
|---|---|---|---|
sb-<projet>-auth-token (éventuellement fragmenté .0, .1) |
Plateforme web | Cookie, déposé pour notre compte par notre fournisseur d'authentification, limité à cette seule finalité | Cookie : jusqu'à 400 jours, plafond fixé par les navigateurs, et supprimé à la déconnexion. Il porte un jeton d'accès valable 1 heure, renouvelé automatiquement, et un jeton de rafraîchissement |
| Jeton de session | Extension navigateur | Stockage local du navigateur | Jusqu'à déconnexion, désinstallation ou effacement des données du navigateur |
whoheld-help-from |
Centre d'aide | Stockage de session du navigateur : l'écran de la plateforme d'où vous avez ouvert l'aide, pour vous y ramener | Fermeture de l'onglet |
whoheld-legal-from |
Site et plateforme | Stockage de session du navigateur : la dernière page du site visitée hors documents juridiques, pour que le lien de retour des documents juridiques vous y ramène | Fermeture de l'onglet |
whoheld.carte-essai.repliee |
Plateforme web, pendant l'évaluation | Stockage local du navigateur : la carte de l'évaluation est repliée ou dépliée | Jusqu'à ce que vous la dépliiez, ou effacement des données du navigateur |
Ces cinq traceurs sont strictement nécessaires au service que vous demandez : aucun consentement n'est requis et nous n'affichons pas de bandeau (art. 82 de la loi n° 78-17 ; lignes directrices CNIL n° 2020-091 et recommandation n° 2020-092). Cette absence est un choix, pas un oubli.
Ni Google Analytics, ni pixel Meta ou LinkedIn, ni outil de reciblage, ni bouton de partage social déposant un traceur. Aucun outil tiers de mesure d'audience n'est installé. Les pages consultées sur la plateforme sont enregistrées par notre propre application (point 3), sans traceur supplémentaire. Si nous installions un outil de mesure d'audience, il serait sans cookie ni identifiant persistant, dans les conditions cumulatives posées par la CNIL pour les outils exemptés de consentement ; si nous devions déposer un traceur soumis à consentement, nous mettrions en place un recueil conforme offrant un refus aussi simple que l'acceptation. Dans les deux cas, cette politique serait mise à jour avant tout dépôt.
Vous pouvez bloquer ou supprimer les traceurs depuis les réglages de confidentialité de votre navigateur. Bloquer les traceurs d'authentification empêche l'accès à la plateforme ; le stockage de l'extension se supprime en la désinstallant ; bloquer les trois autres vous prive seulement du retour à la page d'origine et de la mémoire de la carte repliée.
6. Qui reçoit les données
Les données relatives aux vendeurs observés sont communiquées à nos clients professionnels sous forme de résultats d'analyse, avec interdiction contractuelle de tout accès programmatique. Nos clients peuvent communiquer ces résultats aux sociétés de leur groupe, à leurs conseils, à leurs agences et prestataires de vente en ligne et à leurs interlocuteurs au sein des places de marché : il s'agit toujours de résultats traités, jamais des données brutes ni de quoi les reconstituer, et le destinataire est tenu d'une confidentialité équivalente.
Toutes les données sont hébergées chez nos sous-traitants et ne sont accessibles, chez nous, qu'aux personnes habilitées. Un contrat conforme à l'article 28 du RGPD encadre chaque sous-traitance :
| Sous-traitant | Rôle | Localisation des traitements |
|---|---|---|
| Supabase Pte. Ltd. (infrastructure AWS) | Base de données, authentification | France (eu-west-3) |
| Hostinger International Ltd. | Serveur de collecte | France (Paris), Union européenne |
| Resend | Messages de service, alertes et série d'accompagnement de l'évaluation | Irlande, Union européenne (région eu-west-1) |
| Vercel Inc. | Hébergement de l'application web | Allemagne (Francfort, région fra1), réseau de diffusion mondial ; société établie aux États-Unis, clauses contractuelles types (UE) 2021/914 |
| Google Cloud France SARL, 8 rue de Londres, 75009 Paris (Google Workspace) | Messagerie professionnelle : nos échanges avec vous, invitations, support | Centres de données de Google, sans choix de région dans la formule souscrite : transferts possibles hors de l'Union européenne, encadrés par l'avenant de traitement des données de Google Cloud (Cloud Data Processing Addendum : clauses contractuelles types (UE) 2021/914 ; Google LLC certifiée au cadre de protection des données UE–États-Unis) |
| Anthropic Ireland, Limited (Irlande), qui fait traiter les données aux États-Unis par sa société mère Anthropic, PBC | Analyse assistée par intelligence artificielle (Ask WhoHeld), sur données pseudonymisées et sur la question que vous saisissez ; conservation trente (30) jours, aucun entraînement de modèle | États-Unis |
Les données peuvent en outre être communiquées à nos conseils et aux autorités habilitées, sur réquisition.
7. Où sont traitées les données
Les données sont hébergées au sein de l'Union européenne ; l'analyse assistée par intelligence artificielle (Ask WhoHeld) est exécutée aux États-Unis, et certains de nos sous-traitants peuvent accéder aux données depuis un pays tiers (ci-dessous).
L'observation de vendeurs présents sur des places de marché situées hors de l'Union (Royaume-Uni, États-Unis, Canada, Japon, Mexique, Brésil, Inde) ne constitue pas un transfert : les données sont collectées vers l'Union et y sont hébergées.
Google Workspace (messagerie), souscrit auprès de Google Cloud France SARL, 8 rue de Londres, 75009 Paris, ne permet pas de choisir la région de stockage : nos échanges peuvent être traités dans des centres de données de Google situés hors de l'Union, dans le cadre de l'avenant de traitement des données de Google Cloud (clauses contractuelles types ; Google LLC est certifiée au cadre de protection des données UE–États-Unis). Trois de nos sous-traitants sont établis hors de l'Union européenne : Supabase Pte. Ltd. à Singapour (base de données, hébergée à Paris), et aux États-Unis Resend (envoi de courriels, hébergé en Irlande) et Vercel Inc. (application web, exécutée à Francfort) ; leurs équipes peuvent accéder aux données depuis ces pays. Un quatrième, Anthropic Ireland, Limited (analyse assistée par intelligence artificielle), est établi en Irlande mais fait traiter les données aux États-Unis par sa société mère Anthropic, PBC. Anthropic reçoit des données pseudonymisées issues des résultats, sans nom ni pays de vendeur, et la question que vous saisissez dans Ask WhoHeld, telle que vous la saisissez, sans filtrage : si vous y écrivez un nom, il est transmis. Ces données sont conservées trente (30) jours par Anthropic puis supprimées, et ne servent à l'entraînement d'aucun modèle. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), intégrées à leurs contrats de sous-traitance et assorties des mesures supplémentaires appropriées. Tout autre transfert vers un pays tiers serait soumis aux mêmes garanties ou à une décision d'adéquation. Copie des garanties sur demande à privacy@whoheld.com.
8. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des communications (TLS) et des données au repos, cloisonnement des données entre clients au niveau de la base et non seulement de l'application, accès nominatifs et principe du moindre privilège, secrets conservés hors du code source, journalisation des opérations sensibles, sauvegardes quotidiennes, supervision continue de la production. Le détail de ces mesures, et des renforcements en cours, est communiqué sur demande.
Aucun dispositif n'offre une sécurité absolue. En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, nous notifions la CNIL dans les 72 heures et informons les personnes concernées lorsque le risque est élevé (articles 33 et 34 du RGPD).
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement (art. 17), de limitation (art. 18), de portabilité lorsque le traitement repose sur le consentement ou le contrat (art. 20), du droit de définir des directives post mortem, et du droit d'opposition.
L'opposition s'exerce pour des raisons tenant à votre situation particulière sur les traitements fondés sur notre intérêt légitime, y compris l'observation des places de marché décrite au point 4. En matière de prospection, elle s'exerce sans motif et à tout moment.
Écrivez à privacy@whoheld.com. Nous répondons sous un mois, prorogeable de deux mois pour une demande complexe ; nous vous le disons alors. Nous pouvons demander les éléments raisonnablement nécessaires pour établir votre identité ou votre lien avec les données (art. 12.6). Si vous êtes utilisateur au titre d'un contrat conclu par votre employeur, une demande relative à votre compte relève de lui : nous vous orientons vers lui sans délai.
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr) ou de l'autorité de contrôle de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation alléguée (art. 77). Au Royaume-Uni : l'Information Commissioner's Office.
10. Modification
Cette politique peut évoluer. La version applicable est celle publiée à la date de consultation. Toute modification substantielle fait l'objet d'une information préalable.