Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement est Leveling AIgency (SAS, RCS Paris 538 313 503, 9 rue Blanche, 75009 Paris), éditrice de MergeLift. Pour toute question relative à vos données : privacy@mergelift.com.

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du service :

• Compte : adresse email, nom (facultatif), identifiants de connexion gérés par notre prestataire d'authentification.
• Audits : les URL des pages que vous soumettez à l'analyse et le contenu public de ces pages. L'aperçu de l'audit gratuit ne demande pas d'email ; une adresse est saisie puis confirmée uniquement si vous demandez l'accès au rapport complet.
• A/B testing : pour les visiteurs des sites de nos clients, un identifiant aléatoire pseudonyme stocké localement dans le navigateur (localStorage), ainsi que les événements individuels d'exposition et de conversion associés. Il n'est relié à aucun compte, nom ou email et n'est pas utilisé entre plusieurs sites. Les adresses IP sont traitées transitoirement pour la sécurité et le rate limiting ; notre base applicative ne conserve que des empreintes HMAC non réversibles pendant au maximum 24 h. Les journaux techniques éventuels de l'hébergeur doivent être configurés et contrôlés séparément avant le lancement.
• Facturation : les données de paiement sont traitées directement par Stripe ; nous ne stockons jamais votre numéro de carte.
• Intégration GitHub facultative : identifiant d'installation, dépôt et branche connectés. Lorsque vous demandez une pull request, seuls les fichiers que vous avez indiqués sont lus puis transmis à AWS Bedrock pour produire le diff. Leur contenu et le jeton utilisateur GitHub ne sont pas conservés dans notre base ; les références de la PR le sont jusqu'à la suppression du projet ou du compte.

3. Bases légales

• Exécution du contrat ou de mesures précontractuelles (art. 6.1.b RGPD) : création de compte, réalisation des audits, vérification de l'adresse nécessaire à la livraison du rapport complet, exécution des tests A/B et facturation.
• Intérêt légitime (art. 6.1.f) : sécurité du service, prévention des abus, statistiques d'usage agrégées.
• Consentement (art. 6.1.a) : série facultative de 6 emails de conseils sur 13 jours. Cette case est distincte, non précochée et son refus ne bloque pas le rapport. La date, la source et la version du choix sont conservées comme preuve. Le consentement reste révocable à tout moment.
• Obligation légale (art. 6.1.c) : conservation des documents de facturation.

4. Sous-traitants

Nous faisons appel aux sous-traitants suivants, chacun lié par un accord de traitement des données (DPA) :

5. Durées de conservation

• Données de compte : tant que le compte est actif, puis suppression sous 30 jours après la clôture.
• Audits gratuits anonymes : 12 mois, puis suppression.
• Emails de leads (audit gratuit) : une adresse non confirmée est effacée lors de la première purge horaire suivant l'expiration du lien (une heure). L'adresse confirmée reste attachée à l'audit pendant sa conservation (12 mois). En cas d'opt-in aux conseils, la preuve de consentement et l'état de désinscription sont conservés jusqu'à 3 ans après le dernier contact, ou supprimés sur demande selon les obligations applicables.
• Événements A/B pseudonymes : suppression 24 mois après la fin du test. Les résultats statistiques agrégés du test restent associés au compte client.
• Documents de facturation : 10 ans (obligation légale comptable).
• Journal d'idempotence Stripe : identifiants techniques d'événements supprimés après 3 mois.

6. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité de vos données, ainsi que d'un droit d'opposition et de limitation du traitement. Pour les exercer, écrivez à privacy@mergelift.com — nous répondons sous 30 jours. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

7. Transferts hors Union européenne

Certains de nos sous-traitants (AWS, Stripe, Cloudflare et GitHub lorsque l'intégration est utilisée) peuvent traiter des données aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et, le cas échéant, par la certification EU-U.S. Data Privacy Framework du prestataire. Le contenu des pages analysées par l'IA via AWS Bedrock n'est pas utilisé pour entraîner les modèles ni transmis aux fournisseurs de modèles selon la documentation AWS. La région et les options de journalisation AWS doivent être vérifiées dans notre configuration de production.

8. Cookies et stockage local

MergeLift n'utilise aucun cookie tiers ni traceur publicitaire. Nous utilisons uniquement :

• des cookies strictement techniques (session d'authentification), exemptés de consentement ;
• le localStorage de votre navigateur pour mémoriser votre préférence de thème (clair/sombre) ;
• sur les sites de nos clients, le localStorage pour l'identifiant A/B pseudonyme décrit en section 2. Les nouvelles installations utilisent le mode consentement requis : aucun identifiant, test ou événement n'est créé avant le signal d'accord transmis par la CMP. Le client qui installe le snippet reste responsable de l'information de ses visiteurs et du recueil valable de leur consentement lorsqu'il est requis.

Turnstile peut également être chargé sur les formulaires publics afin de prévenir les abus. Aucun traceur publicitaire ni mécanisme de fingerprinting n'est utilisé.

9. Sécurité

Données chiffrées en transit (TLS) et au repos, isolation des données par utilisateur au niveau de la base (row level security), clés d'accès à moindre privilège, accès GitHub scopé à un seul dépôt et révocable à tout moment. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL sous 72 heures et les personnes concernées dans les meilleurs délais.

10. Modifications de cette politique

Nous pouvons faire évoluer cette politique pour refléter des changements du service ou de la réglementation. En cas de modification substantielle, les utilisateurs disposant d'un compte seront prévenus par email au moins 15 jours avant l'entrée en vigueur.