Referaly OÜ, société à responsabilité limitée enregistrée en Estonie (numéro d'immatriculation 16957852), dont le siège est au Tartu mnt 67/1-13b, 10115 Tallinn, Estonie, édite la plateforme Referaly : le site referaly.fr, l'application web app.referaly.fr, les applications mobiles Referaly et les applications à la marque de nos clients (ensemble, les « Services »). Contact : hello@referaly.fr.
Notre rôle dépend des données :
- Responsable du traitement. Referaly OÜ décide de l'usage des données de votre compte (Professionnel ou Apporteur), de vos échanges avec nous, des visiteurs du site et des professionnels que nous prospectons.
- Sous-traitant. Pour les données qu'un Professionnel gère dans Referaly (les personnes qui lui sont recommandées, ses contacts et le suivi de ses affaires), le Professionnel est responsable du traitement et Referaly agit pour son compte, selon l'accord de sous-traitance. Les demandes sur ces données s'adressent d'abord au Professionnel ; si vous nous écrivez, nous lui transmettons votre demande.
| Catégorie | Données concernées | Origine |
|---|
| Compte | Nom, prénom, email, téléphone, langue, métier, ville, société, numéro d'immatriculation et adresse de la société, photo ou logo si vous en ajoutez | Vous |
| Connexion avec Google ou Apple | Identifiant et adresse email transmis par Google ou Apple | Google, Apple, avec votre accord |
| Contrats d'apport d'affaires | Contenu du contrat, commission, date, heure, adresse IP, appareil, version du texte et empreinte numérique SHA-256 de l'acceptation | Vous et l'usage des Services |
| Recommandations | Nom, prénom, téléphone, email et besoin de la personne recommandée, notes, étapes d'avancement, commission associée | L'Apporteur, avec l'accord de la personne, ou la personne elle-même lorsqu'elle remplit un formulaire |
| Paiements | Formule, factures, montant et statut des commissions payées dans l'application, statut de votre compte de versement Stripe. Nous ne recevons jamais vos numéros de carte | Vous, Stripe |
| Échanges avec nous | Emails, messages WhatsApp, demandes d'assistance, préférences de notification | Vous |
| Options que vous activez | Jetons de connexion à votre messagerie Google (article 12) ou à votre logiciel de gestion commerciale (Pipedrive, HubSpot, Salesforce, Zoho, Odoo) | Vous |
| Données techniques | Adresse IP, type d'appareil et de système, journaux de connexion, jeton de notification, identifiant du lien d'invitation utilisé | Automatique |
| Visite du site | Pages vues et source de la visite, seulement si vous acceptez la mesure d'audience (article 9) | Automatique |
| Prospection | Nom de la société, nom et fonction du contact, email et téléphone professionnels | Sites et annuaires publics, fiches des applications sur les stores, fournisseurs de données professionnelles |
Si vous choisissez une personne dans le répertoire de votre téléphone, l'application lit le répertoire sur votre appareil pour vous permettre de choisir ; seul le contact choisi est envoyé à nos serveurs. Nous ne demandons aucune donnée sensible (santé, opinions, origine) : n'en saisissez pas dans les notes.
Chaque traitement repose sur l'une des bases prévues à l'article 6 du règlement (UE) 2016/679 (RGPD).
| Finalité | Base légale |
|---|
| Créer et gérer votre compte, fournir les Services, vous envoyer les notifications de service | Exécution du contrat (nos Conditions) |
| Générer les contrats d'apport d'affaires, enregistrer leur acceptation et en garder la preuve | Exécution du contrat et intérêt légitime (pouvoir prouver l'acceptation) |
| Transmettre les recommandations au Professionnel et suivre leur avancement | Traitement réalisé pour le compte du Professionnel, sur la base qu'il choisit (article 4) |
| Encaisser les abonnements, permettre le paiement des commissions, facturer, tenir notre comptabilité | Exécution du contrat et obligation légale |
| Vous accompagner sur WhatsApp pendant vos premiers jours (créer votre contrat d'apport d'affaires, inviter vos premiers apporteurs) | Intérêt légitime ; vous y mettez fin à tout moment en répondant « STOP » |
| Vous appeler et vous écrire sur WhatsApp après une demande laissée sur le site (rappel, guide, quiz) | Votre demande, ou votre accord donné par la case |
| Vous envoyer nos nouveautés et conseils par email | Intérêt légitime pour nos utilisateurs ; lien de désinscription dans chaque email |
| Prospecter des professionnels à partir de leurs coordonnées professionnelles | Intérêt légitime ; opposition à tout moment par le lien de désinscription ou par email |
| Rédiger plus vite nos réponses et nos messages avec un outil d'intelligence artificielle, relus ou encadrés par notre équipe | Intérêt légitime |
| Mesurer l'audience du site | Consentement, recueilli par le bandeau cookies |
| Assurer la sécurité, prévenir la fraude et les fausses recommandations | Intérêt légitime |
| Répondre aux demandes des autorités, traiter les signalements de contenus illicites | Obligation légale |
Lorsqu'un traitement repose sur notre intérêt légitime, vous pouvez vous y opposer à tout moment (article 7). Nous ne prenons aucune décision produisant des effets juridiques à votre égard sur le seul fondement d'un traitement automatisé.
Si un Apporteur vous a recommandé à un Professionnel, voici ce qu'il faut savoir.
- Qui traite vos données. Le Professionnel à qui vous avez été recommandé est responsable du traitement. Referaly héberge et transmet vos coordonnées pour son compte, comme sous-traitant.
- Votre accord d'abord. Avant d'envoyer vos coordonnées, l'Apporteur certifie dans l'application qu'il a votre accord pour les partager avec ce Professionnel. Vous pouvez aussi remplir vous-même un formulaire de demande de contact.
- Comment vous êtes informé. Le Professionnel vous informe du traitement de vos données au plus tard lors de son premier contact avec vous, comme le prévoit l'article 14 du RGPD. Cette politique reste accessible à tout moment sur referaly.fr.
- Ce qui est fait de vos données. Elles servent au Professionnel à vous recontacter et à suivre votre demande, et à l'Apporteur à suivre l'avancement de sa recommandation et sa commission. Referaly ne vous contacte pas pour son propre compte, n'utilise pas vos données pour sa prospection et ne les vend pas.
- Combien de temps. Tant que le Professionnel conserve la recommandation dans son compte, et au plus trois ans après le dernier échange (article 6).
- Vos droits. Adressez-vous au Professionnel. Vous pouvez aussi écrire à hello@referaly.fr : nous lui transmettons votre demande et vous aidons à l'exercer.
Nous ne vendons ni ne louons aucune donnée. Vos données sont accessibles :
- à l'équipe de Referaly habilitée, pour fournir les Services et vous assister ;
- aux utilisateurs avec qui vous êtes en relation dans la plateforme : le Professionnel voit le profil de ses Apporteurs et les recommandations qu'ils lui envoient ; l'Apporteur voit le contrat du Professionnel et l'avancement de ses recommandations ; le profil que vous publiez dans l'annuaire est public ;
- aux autorités, lorsque la loi l'exige ;
- aux prestataires suivants, qui agissent pour notre compte et sont tenus par contrat de protéger vos données.
| Prestataire | Service rendu | Lieu de traitement |
|---|
| Amazon Web Services EMEA SARL (AWS) | Hébergement des serveurs, de la base de données, des fichiers et des sauvegardes | Paris, France |
| Amazon Web Services (Amazon SES) | Envoi des emails | Paris, France |
| Stripe | Paiement des abonnements et des commissions, comptes de versement des Apporteurs | Union européenne et États-Unis |
| Google (Firebase, Google Analytics, Google Workspace) | Notifications sur mobile et connexion, mesure d'audience avec votre accord, messagerie et agenda de notre équipe | Union européenne et États-Unis |
| Apple | Connexion avec Apple, achats dans l'App Store | États-Unis |
| Meta Platforms Ireland (WhatsApp Business) | Messages WhatsApp d'accompagnement et d'assistance, et messages après une demande sur le site | Union européenne et États-Unis |
| Branch Metrics | Liens d'invitation qui ouvrent l'application | États-Unis |
| Supabase | Base de données de notre outil interne de suivi des clients et d'envoi des emails | Francfort, Allemagne |
| Vercel | Hébergement des fonctions de notre outil interne | États-Unis |
| Anthropic | Outil d'intelligence artificielle qui aide notre équipe à rédiger réponses et messages | États-Unis |
Pour la vérification d'identité et la lutte contre la fraude, Stripe traite aussi certaines données pour son propre compte. Lorsque vous fournissez des données personnelles pour ouvrir un compte de versement, Stripe les reçoit et les traite conformément à la politique de confidentialité de Stripe.
Si vous connectez votre logiciel de gestion commerciale (Pipedrive, HubSpot, Salesforce, Zoho, Odoo), nous y envoyons les données que vous avez choisi de synchroniser. Ce logiciel agit alors pour votre compte, selon vos propres contrats avec lui.
| Données | Durée |
|---|
| Compte | Tant que votre compte est ouvert. À la suppression du compte, vos contrats, recommandations et contacts sont effacés ; vos nom, email et téléphone sont gardés trois ans pour la preuve de nos échanges, puis effacés |
| Recommandations et personnes recommandées | Tant que le Professionnel les conserve dans son compte, et au plus trois ans après le dernier échange |
| Preuve d'acceptation d'un contrat d'apport d'affaires | Durée du contrat, puis cinq ans |
| Factures et pièces comptables | Sept ans à compter de la fin de l'exercice, comme l'exige la loi comptable estonienne |
| Messages échangés avec nous | Trois ans après le dernier échange |
| Données de prospection | Trois ans après le dernier contact, ou jusqu'à votre opposition |
| Journaux techniques du serveur | 12 mois |
| Copies de sauvegarde | 12 mois |
Ces durées peuvent être prolongées pour les données nécessaires à la constatation, à l'exercice ou à la défense de droits en justice, le temps de la procédure.
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, ainsi que du droit de retirer à tout moment un consentement donné et de définir des directives sur le sort de vos données après votre décès.
- Pour les exercer, écrivez à hello@referaly.fr. Nous pouvons vous demander de justifier de votre identité. Nous répondons dans un délai d'un mois.
- Vous pouvez supprimer votre compte à tout moment depuis l'application.
- Vous pouvez introduire une réclamation auprès d'une autorité de contrôle : l'autorité estonienne (Andmekaitse Inspektsioon), la CNIL en France, l'AEPD en Espagne ou l'autorité de votre pays de résidence.
Les échanges entre votre appareil et nos serveurs sont chiffrés (TLS). Les mots de passe sont enregistrés sous une forme hachée. L'accès aux données est limité aux personnes habilitées et protégé par une authentification individuelle. Aucun système n'étant infaillible, nous vous prévenons, ainsi que l'autorité de contrôle, en cas de violation de données susceptible de présenter un risque pour vous, comme le prévoit le RGPD.
- Cookies nécessaires. Ils permettent la connexion, la sécurité et l'enregistrement de votre choix sur les cookies. Ils ne demandent pas votre accord.
- Mesure d'audience. Google Analytics n'est chargé que si vous l'acceptez dans le bandeau cookies. Refuser est aussi simple qu'accepter, et vous pouvez changer d'avis à tout moment.
- Publicité. Si vous l'acceptez dans le bandeau, nos balises Google Ads, Meta et LinkedIn mesurent l'efficacité de nos annonces et peuvent servir à les montrer à nouveau à nos visiteurs. Sans votre accord, elles ne sont pas chargées.
- Source de la visite. Sans votre accord, nous gardons seulement dans votre navigateur, le temps de la visite, la page d'arrivée et la source de votre venue, pour les rattacher au formulaire que vous remplissez ou au compte que vous créez.
- Emails et pages de proposition. Nos emails ne contiennent pas de pixel de suivi. Nos pages de proposition comptent les visites et les vidéos lues, pour savoir si la page vous a été utile.
Nos Services sont réservés aux personnes de 18 ans et plus. Nous ne collectons pas sciemment de données concernant des mineurs. Si vous pensez qu'un mineur nous a transmis des données, écrivez à hello@referaly.fr : nous les supprimerons rapidement.
Nos serveurs et notre base de données sont à Paris. Certains prestataires indiqués à l'article 5 traitent des données hors de l'Union européenne, principalement aux États-Unis. Ces transferts reposent sur une décision d'adéquation de la Commission européenne, comme le cadre de protection des données UE-États-Unis pour les entreprises certifiées, ou sur les clauses contractuelles types adoptées par la Commission. Vous pouvez nous demander une copie des garanties applicables.
Si vous choisissez de brancher votre messagerie Google à Referaly, vous nous autorisez à envoyer des messages en votre nom, et rien d'autre.
- Ce que nous demandons. Une seule autorisation Google est requise,
https://www.googleapis.com/auth/gmail.send, qui permet uniquement d'envoyer. Nous demandons également votre adresse électronique (https://www.googleapis.com/auth/userinfo.email) afin d'afficher quelle boîte est branchée et de poser la bonne adresse d'expéditeur.
- Ce que nous ne pouvons pas faire. Cette autorisation ne donne aucun accès en lecture. Nous ne pouvons pas ouvrir votre boîte de réception, lire vos messages, consulter vos brouillons, vos contacts ou vos pièces jointes, ni supprimer ou modifier quoi que ce soit.
- Ce que nous conservons. Les jetons d'accès et de rafraîchissement remis par Google, chiffrés au repos sur nos serveurs, ainsi que l'adresse électronique du compte branché. Nous ne conservons pas le contenu des messages envoyés au-delà de ce qui est nécessaire au suivi de vos relances dans votre espace Referaly.
- Ce que nous ne faisons jamais. Les données obtenues via les API Google ne sont ni vendues, ni louées, ni transmises à des tiers à des fins publicitaires, ni utilisées pour entraîner des modèles d'intelligence artificielle généralisés. Aucun humain ne les consulte, sauf accord explicite de votre part, nécessité de sécurité, obligation légale, ou traitement d'opérations internes avec des données agrégées et anonymisées.
- Comment retirer l'autorisation. À tout moment depuis la page « Ma boîte d'envoi » de votre espace Referaly, ou depuis myaccount.google.com/permissions. Le retrait supprime immédiatement les jetons conservés.
L'usage que Referaly fait des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences Limited Use.
Nous pouvons faire évoluer cette politique. Nous vous informons de toute modification importante par email ou dans l'application avant son entrée en vigueur, et la date de mise à jour figure en haut de cette page.
Pour toute question sur vos données ou sur cette politique :