Politique de confidentialité et conservation des données

Cette politique explique quelles données personnelles Capital OS collecte, pourquoi, combien de temps elles sont conservées, avec qui elles sont partagées et comment exercer vos droits. Elle s'applique au site capital-os.net, à l'espace client Capital OS et aux rapports qui y sont générés.

1. Responsable du traitement

Xolo Go OÜ, société à responsabilité limitée de droit estonien, immatriculée sous le numéro 14717109, dont le siège est situé Paju tn 1a, 50603 Tartu, Estonie, éditrice de Capital OS. Contact pour toute question relative à vos données : contact@capital-os.fr.

2. Données collectées

• Compte utilisateur : nom, prénom, adresse e-mail, mot de passe (stocké sous forme hachée, jamais en clair), entreprise et fonction lorsque vous les renseignez.
• Données d'entreprise : SIRET ou SIREN saisi, informations publiques associées (registre Sirene, BODACC, INPI), besoins de financement, taille, chiffre d'affaires et autres réponses que vous fournissez pour obtenir un rapport d'éligibilité.
• Paiement : les paiements sont traités par Stripe. Capital OS ne reçoit ni ne conserve vos numéros de carte bancaire ; seuls l'identifiant de transaction, le montant et le statut du paiement sont conservés.
• Échanges : messages envoyés via les formulaires de contact ou par e-mail.
• Données de navigation : adresse IP, type de navigateur et d'appareil, pages consultées, source de la visite et interactions, collectées par les journaux techniques du serveur et, uniquement avec votre accord, par les outils de mesure d'audience et de publicité décrits à la section 5.
• Connexion via Google ou Facebook : si vous choisissez ce mode de connexion, voir la section 6.

3. Finalités et bases légales

4. Durées de conservation

5. Mesure d'audience, publicité et cookies

Capital OS utilise des cookies et traceurs. Les cookies strictement nécessaires (session, sécurité, mémorisation de votre choix) sont déposés sans consentement. Tous les autres outils ci-dessous ne sont chargés qu'après votre accord, donné ou refusé dans le bandeau qui s'affiche à votre première visite. Vous pouvez modifier ce choix à tout moment via le bouton « Gérer mes cookies » ; refuser n'a aucune conséquence sur l'accès au site.

Mesure d'audience (catégorie « Mesure d'audience »)

• Google Analytics 4 (Google Ireland Limited) : statistiques de fréquentation, pages vues, parcours et conversions. Google utilise les cookies _ga et _ga_*. Les adresses IP ne sont pas enregistrées par Google Analytics 4. Pour en savoir plus sur la façon dont Google utilise les données des sites qui utilisent ses services : policies.google.com/technologies/partner-sites. Vous pouvez aussi installer le module de désactivation de Google Analytics.
• Hotjar (Hotjar Ltd, Malte) et Microsoft Clarity (Microsoft) : cartes de chaleur et enregistrements anonymisés des sessions pour améliorer l'ergonomie. Les champs de saisie sont masqués.

Google Search Console

Nous utilisons Google Search Console pour suivre la présence du site dans les résultats de recherche Google (requêtes, impressions, clics, erreurs d'indexation). Cet outil ne dépose aucun cookie sur votre appareil : il fournit des statistiques agrégées et anonymes issues du moteur de recherche Google.

Publicité (catégorie « Marketing »)

• Google Ads (Google Ireland Limited) : mesure des conversions issues de nos annonces et reciblage publicitaire. Vous pouvez gérer la personnalisation des annonces Google sur myadcenter.google.com.
• Pixel Meta (Meta Platforms Ireland Limited) : mesure de l'efficacité de nos publicités sur Facebook et Instagram et constitution d'audiences. Meta et d'autres tiers peuvent utiliser des cookies, balises web et technologies similaires pour collecter ou recevoir des informations depuis notre site et ailleurs sur internet, et les utiliser pour fournir des services de mesure et cibler des annonces. Voir la politique de confidentialité de Meta et vos préférences publicitaires.
• LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company) : mesure des campagnes LinkedIn et statistiques démographiques agrégées.

Vous pouvez également vous opposer à la publicité ciblée par centres d'intérêt auprès de nombreux annonceurs sur youronlinechoices.com.

6. Connexion via Google ou Facebook

Si vous choisissez de vous connecter avec votre compte Google ou Facebook, nous recevons uniquement les informations nécessaires à la création et à l'identification de votre compte : nom, adresse e-mail, identifiant de compte et, le cas échéant, photo de profil. Nous ne publions rien en votre nom, n'accédons pas à vos contacts et n'utilisons pas ces données à des fins publicitaires.

L'utilisation des informations reçues des API Google respecte la politique relative aux données utilisateur des services API Google, y compris ses exigences d'utilisation limitée. Vous pouvez retirer l'accès de Capital OS à tout moment depuis les paramètres de votre compte Google ou Facebook.

7. Supprimer vos données

Vous pouvez demander la suppression de votre compte et de toutes les données associées :

1. envoyez un e-mail à contact@capital-os.fr avec pour objet « Suppression de mes données », depuis l'adresse liée à votre compte ;
2. précisez, si vous vous êtes connecté via Google ou Facebook, le service utilisé ;
3. nous supprimons votre compte, vos rapports et les données reçues de Google ou Facebook dans un délai de 30 jours et vous le confirmons par e-mail.

Seules les données que la loi nous oblige à garder (factures et pièces comptables) sont conservées, pour la durée légale, puis supprimées.

8. Destinataires et sous-traitants

Vos données sont destinées à Capital OS. Elles ne sont jamais vendues. Elles sont transmises, dans la limite nécessaire, aux prestataires suivants :

• PlanetHoster Inc. (Canada) — hébergement du site ;
• Supabase — base de données et authentification, serveurs situés dans l'Union européenne ;
• Stripe — paiement en ligne ;
• Resend — envoi des e-mails transactionnels ;
• Anthropic — génération des analyses et rapports par intelligence artificielle ;
• Google, Meta, LinkedIn, Microsoft et Hotjar — mesure d'audience et publicité, uniquement avec votre accord.

9. Transferts hors de l'Union européenne

Certains prestataires peuvent traiter des données hors de l'Union européenne, notamment au Canada (PlanetHoster) et aux États-Unis (Google, Meta, Microsoft, Stripe, Anthropic). Ces transferts sont encadrés par une décision d'adéquation de la Commission européenne (Canada ; entreprises américaines certifiées au Data Privacy Framework UE–États-Unis) ou, à défaut, par les clauses contractuelles types de la Commission européenne.

10. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives sur le sort de vos données après votre décès. Pour les exercer, écrivez à contact@capital-os.fr ; nous répondons dans un délai d'un mois.

Vous pouvez introduire une réclamation auprès de l'autorité estonienne de protection des données (Andmekaitse Inspektsioon) ou de l'autorité de votre pays de résidence, en France la CNIL.

11. Sécurité

Les échanges avec le site sont chiffrés (HTTPS), les mots de passe sont stockés sous forme hachée et l'accès aux données est limité aux personnes qui en ont besoin.

12. Modification de cette politique

Cette politique peut évoluer, notamment en cas de nouveau service ou d'outil. La date de dernière mise à jour figure en haut de la page.