Politique de confidentialité

1. Introduction

Durum Marketing LLC (« DURUM.ai », « nous », « notre »), une société à responsabilité limitée enregistrée au Wyoming (États-Unis), exploite la plateforme DURUM.ai. Cette politique de confidentialité décrit comment nous collectons, utilisons, stockons et protégeons vos informations personnelles lorsque vous utilisez notre service.

En utilisant DURUM.ai, vous acceptez les pratiques décrites dans cette politique. Pour toute question, contactez-nous à info@durum.ai.

2. Données que nous collectons

2.1 Informations de compte

Lors de votre inscription, nous collectons votre nom, votre adresse courriel, le nom de votre entreprise et votre rôle. Ces informations sont nécessaires pour créer et gérer votre compte.

2.2 Données de plateformes tierces

Avec votre autorisation explicite, nous synchronisons des données depuis les outils que vous connectez : Google Ads (structure de campagne, dépenses, clics, conversions, performance par mot-clé), Meta Ads (voir la section 2.6), TikTok Ads (structure de campagne, dépenses, métriques de performance), votre CRM (GoHighLevel, Pipedrive ou iClosed : contacts, opportunités, pipeline de ventes), Calendly (rendez-vous), Stripe (transactions) et les autres intégrations que vous activez. DURUM.ai n'est pas un CRM : il se connecte au CRM que vous utilisez déjà.

Ces données servent à alimenter votre espace de travail, à générer vos rapports et à faire fonctionner les fonctions du Studio que vous utilisez (voir la section 5 pour les fournisseurs concernés).

2.3 Données d'utilisation

Nos hébergeurs peuvent conserver des journaux techniques selon leurs propres politiques.

2.4 Données Google Ads et conformité aux politiques Google

Lorsque vous connectez un compte Google Ads à DURUM.ai, nous accédons à vos données publicitaires par l'API Google Ads avec le protocole OAuth 2.0 et la permission https://www.googleapis.com/auth/adwords. Cette permission n'est pas en lecture seule. Nous l'utilisons pour lire les données de vos campagnes et pour mettre en pause, réactiver ou modifier le budget quotidien de vos campagnes, groupes d'annonces et annonces existants, par une règle que vous avez créée et passée en mode application (exécutée ensuite par nos tâches planifiées), une proposition de l'agent DURUM.ai que vous approuvez, ou un appel à l'API ou au connecteur MCP de DURUM.ai fait avec votre identifiant.

Ce que nous faisons :

• Nous lisons les données de performance de vos campagnes, groupes d'annonces, mots-clés et annonces (impressions, clics, coût, conversions, valeur de conversion)
• Nous stockons ces données de manière sécurisée dans notre base de données Supabase (région us-east-1, États-Unis) pour alimenter vos tableaux de bord et rapports d'attribution
• Nous rafraîchissons ces données par des tâches planifiées

Ce que nous ne faisons PAS :

• Nous ne créons et ne supprimons aucune campagne, aucun groupe d'annonces, aucune annonce ni aucun mot-clé, et nous ne modifions pas les mots-clés
• Nous ne partageons et ne revendons jamais vos données Google Ads à des tiers
• Nous n'utilisons pas vos données Google Ads pour du marketing interne

L'utilisation et le transfert par DURUM.ai d'informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use requirements).

Les exigences d'utilisation limitée (Limited Use) de la Google API Services User Data Policy sont reproduites ci-dessous. Google ne publie pas de version française officielle de cette politique : la traduction ci-dessous est la nôtre, non officielle, et seul le texte anglais de Google fait foi.

Utilisation limitée : votre utilisation des données obtenues par les portées (scopes) désignées du produit doit respecter les exigences ci-dessous. Ces exigences s'appliquent aux données brutes obtenues par les portées et aux données agrégées, anonymisées ou dérivées de celles-ci.

1. Limitez votre utilisation des données à la fourniture ou à l'amélioration de fonctionnalités destinées à l'utilisateur, mises en évidence dans l'interface de l'application qui fait la demande ;
2. Les transferts de données sont interdits, sauf :
   1. pour fournir ou améliorer votre accès approprié ou des fonctionnalités destinées à l'utilisateur, visibles et mises en évidence dans l'interface de l'application qui fait la demande, et uniquement avec le consentement de l'utilisateur ;
   2. à des fins de sécurité (par exemple, enquêter sur un abus) ;
   3. pour respecter les lois applicables ; ou
   4. dans le cadre d'une fusion, d'une acquisition ou d'une vente d'actifs du développeur, après avoir obtenu le consentement préalable explicite de l'utilisateur.
3. Ne permettez pas à des humains de lire les données, sauf :
   1. si vous avez d'abord obtenu l'accord affirmatif de l'utilisateur pour consulter des messages, fichiers ou autres données précis, sous réserve de l'exception limitée des cas d'usage approuvés par Google selon des conditions supplémentaires applicables au programme Nest Device Access ;
   2. si c'est nécessaire à des fins de sécurité (par exemple, enquêter sur un bogue ou un abus) ;
   3. si c'est nécessaire pour respecter la loi applicable ; ou
   4. si les données (y compris leurs dérivés) sont agrégées et utilisées pour des opérations internes conformément aux exigences légales applicables en matière de vie privée et aux autres exigences juridictionnelles.

Tous les autres transferts, utilisations ou ventes de données d'utilisateur sont interdits, notamment :

1. le transfert ou la vente de données d'utilisateur à des tiers comme des plateformes publicitaires, des courtiers en données ou tout revendeur d'informations ;
2. le transfert, la vente ou l'utilisation de données d'utilisateur pour diffuser des publicités, y compris le reciblage et la publicité personnalisée ou fondée sur les centres d'intérêt ;
3. le transfert, la vente ou l'utilisation de données d'utilisateur pour évaluer la solvabilité ou à des fins de prêt.

Vous devez vous assurer que vos employés, agents, sous-traitants et successeurs respectent cette Google API Services User Data Policy.

Vous pouvez révoquer l'accès de DURUM.ai à votre compte Google Ads à tout moment depuis la page des autorisations de votre compte Google.

La fermeture de votre compte DURUM.ai ou la révocation de l'accès ne déclenche aucune suppression automatique des données Google Ads déjà reçues. Pour les faire supprimer, écrivez à info@durum.ai.

2.5 Données TikTok Ads et conformité aux politiques TikTok

Lorsque vous connectez un compte publicitaire TikTok à DURUM.ai, nous accédons à vos données publicitaires par la TikTok Marketing API avec le protocole OAuth 2.0. Vous autorisez explicitement chaque compte annonceur depuis l'interface TikTok, et vous pouvez révoquer cette autorisation à tout moment.

Notre intégration TikTok Ads comporte des permissions d'écriture. Nous l'indiquons ici pour que vous sachiez exactement ce que vous autorisez.

Ce que nous lisons :

• La structure de vos campagnes, groupes d'annonces et annonces
• Vos métriques de performance (dépenses, impressions, clics, portée, conversions)
• La liste de vos comptes annonceurs, de vos identités TikTok et de vos pixels, pour que vous puissiez choisir ceux à utiliser
• Vos créatifs publicitaires (images, vidéos) et les informations de votre compte annonceur et de sa région

Ce que nous écrivons, sur votre action :

• La création de campagnes, groupes d'annonces et annonces lorsque vous lancez une campagne depuis DURUM.ai. Ils sont créés en PAUSE.
• Le téléversement de vos créatifs (images, vidéos) vers votre compte publicitaire, dans le cadre de cette même publication
• La mise en pause, la réactivation et la modification du budget de campagnes, groupes d'annonces et annonces, par une règle que vous avez créée et passée en mode application (exécutée ensuite par nos tâches planifiées), une proposition de l'agent DURUM.ai que vous approuvez, ou un appel à l'API ou au connecteur MCP de DURUM.ai fait avec votre identifiant

Ce que nous ne faisons PAS :

• Nous ne supprimons jamais de campagne, de groupe d'annonces ni d'annonce
• Nous ne partageons et ne revendons jamais vos données TikTok à des tiers
• Nous n'utilisons pas vos données TikTok pour du marketing interne

Vos jetons d'accès TikTok sont chiffrés (AES-256-GCM) et stockés dans notre base de données Supabase (région us-east-1, États-Unis). Vous pouvez révoquer l'accès de DURUM.ai à tout moment depuis les autorisations de votre compte TikTok for Business. La fermeture de votre compte DURUM.ai ou la révocation de l'accès ne déclenche aucune suppression automatique des données TikTok déjà reçues. Pour les faire supprimer, écrivez à info@durum.ai.

2.6 Données Meta (Facebook, Instagram) et conformité aux Conditions de la plateforme Meta

Lorsque vous connectez Meta à DURUM.ai, vous vous identifiez avec Facebook et accordez explicitement les permissions demandées. Selon les fonctions que vous activez, ces permissions sont : ads_management, ads_read, pages_show_list, pages_read_engagement, instagram_basic et instagram_branded_content_ads_brand (Meta Ads et publicités partenariat) et, pour les formulaires de prospects Facebook, leads_retrieval, pages_manage_metadata, pages_manage_ads et business_management.

Données que nous recevons de Meta :

• Jetons d'accès : les jetons émis par Meta lors de la connexion. Ils sont chiffrés (AES-256-GCM) avant stockage et ne sont jamais affichés dans l'interface.
• Identité Meta : l'identifiant utilisateur Meta propre à l'application de la personne qui a connecté le compte et, pour les formulaires de prospects Facebook, l'adresse courriel de ce compte Meta.
• Comptes publicitaires : les comptes publicitaires, Pages et pixels auxquels vous avez accès, pour que vous choisissiez ceux liés à votre espace de travail ; la structure des campagnes, ensembles de publicités et publicités ; les métriques de performance (dépenses, impressions, clics, prospects, conversions).
• Pages : les publications organiques publiées par la Page que vous choisissez (texte, lien, image ou vidéo) et leur engagement (réactions, nombre de commentaires, partages). Nous ne demandons pas la permission de lire les publications ou commentaires des visiteurs de la Page (pages_read_user_content).
• Prospects (leads) : lorsque vous activez les formulaires de prospects Facebook pour une Page, les prospects soumis par les formulaires de cette Page (réponses au formulaire, identifiants du formulaire, de la publicité et de la campagne). Les réponses au formulaire sont effacées de notre journal de réception dès que le prospect est enregistré dans votre espace de travail, où il est conservé comme les prospects de vos autres sources.
• Instagram : pour les publicités partenariat, l'identifiant du compte Instagram de votre marque, le nom d'utilisateur et l'identifiant Instagram du créateur que vous choisissez, et le statut d'approbation du créateur lu depuis Meta. Nous ne demandons aucune permission de messagerie Meta et ne lisons aucun message privé.

Comment nous les utilisons :

• Pour afficher vos tableaux de bord et rapports d'attribution, en reliant chaque prospect à sa source publicitaire et au résultat de vente lu dans votre CRM
• Pour créer des campagnes, ensembles de publicités et publicités lorsque vous les lancez depuis DURUM.ai (créés en PAUSE), et pour ajouter des publicités à un ensemble selon une règle que vous avez configurée (en pause, sauf si vous avez réglé la règle pour les publier actives)
• Pour mettre en pause, réactiver et modifier le budget de campagnes, ensembles de publicités et publicités, par une règle que vous avez créée et passée en mode application (exécutée ensuite par nos tâches planifiées), une proposition de l'agent DURUM.ai que vous approuvez, ou un appel à l'API ou au connecteur MCP de DURUM.ai fait avec votre identifiant
• Si vous activez l'API Conversions, pour envoyer vos événements de conversion à votre pixel Meta, les identifiants personnels (courriel, téléphone) étant hachés en SHA-256 avant l'envoi

Nous ne vendons jamais les données Meta, ne les partageons jamais avec des courtiers en données ou des réseaux publicitaires et ne les utilisons jamais à une autre fin que la prestation du service à l'espace de travail qui les a connectées.

Conservation :

• Les jetons sont conservés tant que la connexion est active. Lorsque vous déconnectez Meta, ou lorsque Meta nous avise que vous avez retiré DURUM.ai, les jetons sont effacés ou l'autorisation est supprimée (voir ci-dessous).
• Les données publicitaires et les prospects sont conservés tant que votre compte DURUM.ai est actif. La fermeture du compte ne déclenche aucune suppression automatique : ils sont supprimés sur demande (voir ci-dessous).

Révocation de l'accès :

• Depuis DURUM.ai, en déconnectant Meta Ads ou en désactivant les formulaires de prospects Facebook dans vos intégrations
• Depuis Facebook, dans Paramètres et confidentialité, Paramètres, Intégrations professionnelles (ou Apps et sites web), en retirant DURUM.ai

Suppression des données :

Lorsque vous retirez DURUM.ai de votre compte Facebook et demandez la suppression de vos données, Meta envoie une requête signée à notre URL de rappel de suppression des données (https://app.durum.ai/api/webhook/meta-deletion). Nous vérifions la signature de Meta puis, pour l'utilisateur Meta désigné dans la requête :

• nous révoquons chaque connexion Meta Ads liée à cet utilisateur et effaçons ses jetons ;
• nous révoquons puis supprimons l'autorisation des formulaires de prospects Facebook de cet utilisateur (jeton chiffré, adresse courriel et identifiant utilisateur Meta) et arrêtons la réception des prospects pour les Pages concernées ;
• nous renvoyons à Meta un code de confirmation de votre demande, que nous conservons dans notre journal d'audit, et le lien d'une page publique (https://app.durum.ai/data-deletion-status?code= suivi du code) qui affiche le statut de votre demande en français et en anglais.

Les prospects reçus restent des données de l'annonceur. Le rappel de Meta ne les supprime pas, pas plus que les données publicitaires déjà reçues : ils sont supprimés à la demande de l'annonceur. Pour demander cette suppression, ou celle de toute autre donnée, écrivez à info@durum.ai.

3. Comment nous utilisons vos données

Vos données sont utilisées pour :

• Fournir et maintenir le service DURUM.ai
• Générer vos analyses, rapports et alertes
• Générer des textes, images et vidéos publicitaires dans le Studio, à votre demande
• Calculer vos KPI marketing et financiers
• Vous envoyer des notifications liées au service (alertes, rapports Slack)
• Améliorer la plateforme et corriger les bogues
• Répondre à vos demandes de soutien

4. Hébergement et sécurité

4.1 Hébergement

Vos données sont hébergées par Supabase (base de données, région us-east-1, États-Unis) et Vercel (application et fonctions serverless, États-Unis).

4.2 Chiffrement

Supabase indique dans sa documentation publique de sécurité (supabase.com/security) que toutes les données des clients sont chiffrées au repos en AES-256 et en transit par TLS. Vercel indique dans sa documentation publique que chaque déploiement est servi en HTTPS. Les jetons d'accès Meta et TikTok sont en plus chiffrés par DURUM.ai (AES-256-GCM) avant stockage et ne sont jamais affichés dans l'interface utilisateur.

4.3 Accès restreint

L'accès aux systèmes de production est réservé aux personnes qui en ont besoin pour exploiter le service.

5. Partage de données et sous-traitants

Nous ne vendons pas de données personnelles. Nous utilisons le pixel Meta et l'API Conversions de Meta pour mesurer et optimiser nos propres campagnes publicitaires DURUM.ai, avec des données sur les visiteurs de notre site et de notre application et sur nos propres inscrits et abonnés (voir la section 8). Les données des comptes publicitaires et les prospects de nos clients ne servent jamais à nos campagnes.

Nous partageons vos données avec les sous-traitants suivants, nécessaires au fonctionnement du service :

• Supabase Inc. (région us-east-1, États-Unis) : hébergement de la base de données et stockage chiffré des jetons OAuth
• Vercel Inc. (États-Unis) : déploiement et hébergement du front-end et des fonctions serverless
• Google LLC : lorsque vous connectez Google Ads (réception des requêtes API sortantes)
• Meta Platforms, Inc. : lorsque vous connectez Meta Ads
• TikTok Technology Limited (TikTok for Business) : lorsque vous connectez TikTok Ads
• Votre CRM (GoHighLevel, Pipedrive ou iClosed) : lorsque vous le connectez, pour lire vos contacts, opportunités et ventes
• Calendly : lorsque vous le connectez, pour lire vos rendez-vous
• Gladia (Gladia SAS) : transcription des enregistrements d'appels que vous importez ou connectez, et des publicités vidéo que vous analysez
• OpenAI, L.L.C. : transcription de repli (Whisper) des enregistrements d'appels quand le moteur principal échoue ; et, lorsque vous connectez les publicités ChatGPT, lecture et gestion de ces campagnes comme pour les autres régies
• Google LLC (Gmail) : lorsqu'un compte Gmail est connecté, lecture de ses libellés et import de ses messages, ensuite classés avec Anthropic
• Zoom Video Communications, Inc. : lorsque vous connectez Zoom, lecture du profil de votre compte, de vos enregistrements infonuagiques et des participants des réunions passées, pour que les appels soient transcrits et analysés
• Slack Technologies, LLC : lorsque vous connectez Slack, envoi de messages et de fichiers dans les canaux que vous choisissez, et liste de vos canaux et utilisateurs pour que vous puissiez les choisir
• Google (modèle Gemini, par fal.ai) : génération de vidéos à partir d'une image dans le Studio
• Anthropic, PBC : modèles d'IA utilisés par le Studio et par les fonctions d'analyse (textes, résumés, lecture d'images) ; les requêtes peuvent contenir des données de votre espace de travail
• fal.ai et Higgsfield : génération d'images et de vidéos dans le Studio, à partir des consignes et visuels que vous fournissez
• Resend, Inc. : courriels transactionnels (bienvenue, alertes, récupération de compte)
• Stripe, Inc. : traitement des paiements de votre abonnement
• Meta Platforms, Inc. (API Conversions de DURUM.ai) : nos serveurs envoient à notre propre pixel Meta les événements de conversion de notre parcours d'inscription et de paiement (depuis le site : Lead, y compris l'inscription au webinaire, AddPaymentInfo et Purchase ; depuis l'application : StartTrial, à l'inscription ou au début d'un essai, et Subscribe), avec l'adresse courriel et, selon l'événement, le nom, le téléphone, le pays, la ville, le code postal et l'identifiant client, hachés en SHA-256, et l'adresse IP, l'agent utilisateur du navigateur et les identifiants de témoins Meta (fbp, fbc) non hachés
• Functional Software, Inc. (Sentry) : suivi des erreurs et des performances dans l'application, chargé seulement après que vous avez accepté les témoins analytiques ; les jetons sont masqués dans les adresses qu'il enregistre
• Twilio Inc. : lorsque vous activez le canal SMS, envoi et réception de textos et réservation ou libération des numéros de téléphone associés
• Microsoft Corporation (Microsoft 365, OneDrive, Teams) : lorsque vous connectez Microsoft (permissions offline_access, User.Read, Calendars.Read, Files.Read), lecture de votre profil, recherche des enregistrements et transcriptions de vos réunions dans votre OneDrive (dossiers d'enregistrements et de transcriptions, recherche OneDrive, fichiers partagés avec vous et transcriptions de réunions Teams lorsque Microsoft en donne l'accès) et téléchargement pour qu'ils soient transcrits et analysés ; lorsque vous reliez une conversation Teams à DURUM.ai, réception des messages que vous adressez à l'agent DURUM.ai dans Teams, réponse dans cette conversation et lecture du membre qui a écrit, reconnu par son adresse courriel
• HighLevel, Inc. (GoHighLevel), comme outil propre à DURUM.ai : notre propre compte GoHighLevel reçoit les inscriptions à nos webinaires (prénom, courriel, téléphone, date du webinaire, budget publicitaire mensuel, paramètres de campagne) comme contact et opportunité dans notre pipeline de ventes, et les inscriptions de notre parcours de paiement (courriel, budget publicitaire mensuel, langue et offre), pour notre propre suivi commercial
• Apollo.io et Hunter.io, comme outils de prospection propres à DURUM.ai : pour notre propre prospection commerciale, ils traitent des données professionnelles publiques de prospects (nom, poste, entreprise, domaine de l'entreprise, adresse courriel professionnelle et sa vérification) ; ils ne traitent pas les données des utilisateurs de l'application
• Webhook DURUM.ai (notre propre espace de travail) : notre site envoie à app.durum.ai/api/webhook/lead, dans l'espace de travail propre à DURUM.ai, les inscriptions au webinaire (courriel, téléphone, prénom, paramètres de campagne et identifiants publicitaires, identifiant de clic Meta, page), les inscriptions du parcours de paiement (courriel, paramètres de campagne, offre, page, validité du courriel, identifiant d'événement Meta) et les paiements par carte refusés (courriel, offre, langue, code et message de refus), pour les attribuer à leur source, assurer le suivi et, pour les inscriptions valides, envoyer la conversion à notre propre pixel Meta

La liste complète et à jour des sous-traitants est disponible sur demande à info@durum.ai.

Nous pouvons aussi partager des données lorsque la loi l'exige : ordonnance judiciaire, assignation ou loi applicable.

6. Conservation des données

Vos données sont conservées tant que votre compte est actif. La résiliation de votre abonnement ou la fermeture de votre compte ne déclenche aucune suppression automatique.

Vos données sont supprimées sur demande : pour Meta, par le rappel de suppression décrit à la section 2.6 ; pour toute donnée, par courriel à info@durum.ai. Les prospects reçus restent des données de l'annonceur et sont supprimés à sa demande.

7. Vos droits

Conformément aux lois applicables, vous avez le droit de :

• Accéder à vos données personnelles
• Corriger des données inexactes
• Demander la suppression de vos données
• Retirer votre consentement à la collecte de données tierces

Pour exercer ces droits, notamment l'accès à vos données et leur suppression, écrivez à info@durum.ai. Cela comprend les droits des personnes prévus par la Loi 25 du Québec.

8. Témoins (cookies) et technologies similaires

8.1 Témoins essentiels

DURUM.ai utilise des témoins et un stockage similaire du navigateur nécessaires au fonctionnement du service, notamment pour maintenir votre session ouverte.

8.2 Outils de mesure et de publicité

Les outils suivants sont chargés par le site durum.ai et par l'application app.durum.ai :

• Pixel Meta (site et application) : chargé sans consentement préalable ; envoie à Meta les pages vues et les événements du parcours d'inscription (par exemple Lead, InitiateCheckout) et peut déposer des témoins Meta. Sur les pages d'inscription et de paiement de l'application, l'adresse courriel que vous saisissez est transmise à Meta pour le rapprochement.
• Traceur propriétaire DURUM.ai (application) : enregistre la session, les paramètres de campagne (UTM), l'adresse courriel et l'engagement pour attribuer les inscriptions à leur source.
• Paramètres de campagne et code de parrainage (site) : conservés dans votre navigateur pour attribuer votre visite et un éventuel parrainage.
• Sentry (application) : suivi des erreurs, chargé seulement si vous acceptez les témoins analytiques.

8.3 Contact

Pour toute question sur ces outils, écrivez à info@durum.ai.

8.4 Gestion des témoins

Vous pouvez configurer votre navigateur pour refuser les témoins. La désactivation des témoins d'authentification vous empêchera d'utiliser le service.

9. Modifications

Nous pouvons mettre à jour cette politique de temps à autre. Les modifications importantes seront communiquées par courriel ou par une notification dans la plateforme. La date de dernière mise à jour en haut de cette page indique la version en vigueur.

10. Contact

Pour toute question sur cette politique de confidentialité, pour exercer vos droits ou pour signaler un incident :

• Courriel : info@durum.ai
• Entreprise : Durum Marketing LLC
• Adresse : 312 West 2nd Street, Casper, WY 82601, USA