Politique de confidentialité

1. Qui est responsable du traitement

Le responsable du traitement est Riad Mahi, entrepreneur individuel (EI) exerçant sous le nom commercial Rival, immatriculé au Registre national des entreprises sous le numéro SIREN 918 773 755 (SIRET 918 773 755 00023, TVA intracommunautaire FR26918773755), dont le siège est situé 74 allée des Ifs, 73220 Aiton, France (« Rival », « nous »).

Pour toute question sur vos données, écrivez à support@rival.watch. Nous répondons dans un délai d’un mois.

2. À qui s’applique cette politique

Elle s’applique à trois catégories de personnes :

• Les visiteurs du site public, y compris ceux qui utilisent l’analyse instantanée, rejoignent la liste d’attente ou demandent leur comparaison de boutique complète par e-mail.
• Les utilisateurs qui créent un compte et travaillent dans un espace de travail, comme propriétaire ou comme membre.
• Les tiers dont des données publiques apparaissent dans les marques suivies : marques concurrentes, pages Facebook, comptes Instagram professionnels, annonceurs. Ces personnes n’ont pas de compte Rival ; la section 5 leur est consacrée.

3. Les données de votre compte

Pour créer un compte, nous n’avons besoin que de votre adresse e-mail. La connexion se fait par un code à usage unique ou un lien envoyé par e-mail ; Rival ne stocke aucun mot de passe.

Nous conservons ensuite :

• Votre adresse e-mail et la date de création du compte.
• La langue de votre compte, français ou anglais.
• Vos espaces de travail : leur nom, leur adresse, votre rôle (propriétaire ou membre) et les membres que vous invitez.
• Votre offre et l’état de votre abonnement, tenus à jour par Stripe.
• Vos clés d’API pour la connexion MCP : Rival n’en garde qu’une empreinte, jamais la clé elle-même.

4. Les données de votre marque

Tout ce que vous confiez à Rival pour qu’il lise votre marché reste dans votre espace de travail et n’est visible que de ses membres :

• Votre marque : l’adresse de votre site, sa description, son pays, son logo et les pages publiques que nous lisons pour la comprendre.
• Les concurrents que vous ajoutez ou que vous acceptez parmi nos suggestions.
• Votre catalogue, lu sur votre boutique : produits, variantes, prix, disponibilité.
• Votre connexion Shopify, si vous l’activez : le domaine de la boutique, un jeton d’accès chiffré et les autorisations accordées (lecture des produits, de l’inventaire et des commandes, et création de codes promotionnels lorsque vous le demandez). Les commandes lues se limitent aux 60 derniers jours et ne comportent ni nom, ni adresse, ni e-mail de vos clients : seulement le numéro, la date, les montants, les codes promotionnels et les lignes de commande.
• Votre connexion Instagram, si vous l’activez : l’identifiant et le nom du compte professionnel, un jeton d’accès chiffré et vos publications avec leurs statistiques.
• Vos échanges avec l’assistant : vos messages, ses réponses et, si vous dictez un message, l’enregistrement audio le temps de sa transcription.
• Vos décisions : celles que vous révélez, planifiez, lancez ou écartez, et les règles d’automatisation que vous configurez.
• Vos retours envoyés depuis l’application : le message, sa catégorie, la page d’où il part, votre offre, la version de Rival et votre navigateur, pour pouvoir reproduire un problème.

5. Les données publiques des marques suivies

Pour vous apporter des décisions, Rival observe les marques que vous suivez à partir de sources publiques uniquement :

• Leurs pages publiques (accueil, tarifs, produits, collections) : le texte, le HTML brut et une capture d’écran, conservés dans un espace de stockage privé.
• Leurs catalogues publics, lus dans les flux de la boutique (JSON Shopify, données structurées JSON-LD).
• Leurs publicités publiques, lues dans la bibliothèque publicitaire de Meta et, lorsque la source est activée, dans celle de TikTok : le texte, les visuels, les dates et les plateformes de diffusion.
• Leurs publications Instagram publiques, lues via l’API Graph de Meta pour les comptes professionnels : légende, visuel, date et compteurs publics.
• Leurs actualités, lues dans leurs flux RSS ou Atom publics.
• Le site que vous soumettez à l’analyse instantanée depuis notre site public, lu de la même façon.

Notre robot se présente sous le nom RivalBot, lit le fichier robots.txt de chaque site et respecte ses interdictions. Il n’entre dans aucun espace privé et ne contourne aucune protection.

Ces données peuvent contenir des données personnelles de tiers : le nom d’un annonceur, d’un dirigeant cité dans une actualité ou d’une personne qui apparaît dans une publication. Nous les traitons sur le fondement de notre intérêt légitime, et de celui de nos utilisateurs, à comprendre un marché à partir d’informations que ces marques ont elles-mêmes rendues publiques. Nous ne les croisons avec aucune autre source et ne les utilisons ni pour de la prospection ni pour du profilage.

Si votre entreprise ou votre nom apparaît dans Rival et que vous vous y opposez, écrivez à support@rival.watch : nous cessons la collecte et supprimons les données concernées. Interdire RivalBot dans votre fichier robots.txt arrête aussi toute capture de votre site.

6. Les données d’usage et les données techniques

Rival mesure comment son produit est utilisé, dans sa propre base de données et sans prestataire :

• Des événements produit : création de compte, création et ouverture d’un espace, concurrent suivi, décision révélée ou traitée, connexion Shopify ou Instagram, clé MCP créée, retour envoyé, écran consulté. Chaque événement porte votre identifiant, votre espace de travail et la date, jamais le contenu de ce que vous faites.
• Ils sont conservés 13 mois, puis supprimés automatiquement.
• Vous pouvez vous y opposer à tout moment dans Réglages › Préférences, avec l’interrupteur « Enregistrer mon usage du produit ». Rival cesse alors d’enregistrer vos événements.

Cette mesure interne sert uniquement à comprendre ce qui est utile dans Rival. Elle relève de l’exemption de consentement admise par la CNIL pour la mesure d’audience strictement nécessaire au service : elle ne suit personne d’un site à l’autre et ne transmet rien à des tiers.

Pour la sécurité et le diagnostic des incidents, nous conservons aussi des journaux techniques : les erreurs de l’application, avec votre identifiant, celui de votre espace de travail et celui du traitement concerné, jamais votre e-mail ; et, pour l’analyse instantanée et la liste d’attente, une empreinte hachée de votre adresse IP qui nous protège contre les abus.

7. Le traitement par l’intelligence artificielle

Rival s’appuie sur des modèles d’OpenAI, appelés via son API. À chaque analyse, nous n’envoyons à OpenAI que ce dont le modèle a besoin :

• Des extraits de pages et des données de catalogue des marques suivies, ainsi que leurs publicités et publications publiques.
• Le contexte de votre marque : nom, description, site, pays, catalogue et concurrents.
• Vos messages à l’assistant, l’historique de la conversation et, pour la transcription, vos messages dictés.
• Vos décisions et vos résultats, lorsque Rival les résume pour vous.

Nous n’envoyons jamais votre adresse e-mail ni celles de vos membres, ni vos jetons d’accès, ni le détail des commandes de votre boutique : seuls des agrégats (volumes, montants) entrent dans les analyses.

Selon les conditions de l’API d’OpenAI, les données envoyées par l’API ne servent pas à entraîner ni à améliorer ses modèles. OpenAI conserve des journaux de surveillance des abus pendant 30 jours au plus, puis les supprime.

Les décisions produites par l’IA sont des propositions accompagnées de leurs preuves. Les chiffres affichés proviennent d’extractions ou de calculs déterministes, jamais du texte libre du modèle. Vous restez seul décideur : rien n’est appliqué dans votre boutique sans votre validation ou une règle que vous avez configurée.

8. Pourquoi nous traitons ces données

Chaque traitement repose sur l’une des bases prévues par le RGPD :

• L’exécution du contrat : créer votre compte, vous connecter, lire votre marque et vos concurrents, produire des décisions, gérer votre abonnement, répondre à vos retours.
• Notre intérêt légitime : collecter des données publiques sur les marques suivies, mesurer l’usage du produit, protéger le service contre les abus, diagnostiquer les erreurs.
• Votre consentement : la mesure d’audience Google Analytics sur le site public, et la connexion de vos comptes Shopify et Instagram, que vous pouvez retirer à tout moment.
• Nos obligations légales : conserver les pièces de facturation et répondre aux demandes des autorités.
• Notre intérêt légitime à prospecter des professionnels : quand vous demandez la comparaison complète de votre boutique, nous enregistrons votre adresse e-mail professionnelle, le domaine analysé, votre langue, la version du texte d’information affiché sous le champ et une empreinte de votre adresse IP. Ils servent à vous envoyer le rapport puis, de temps en temps, des conseils sur votre marché, et à limiter les abus. Vous pouvez vous y opposer à tout moment grâce au lien de désinscription présent dans chaque e-mail ; rien n’est coché d’avance.

9. Qui reçoit les données

Rival ne vend, ne loue et ne partage aucune donnée à des fins publicitaires. Seuls les prestataires ci-dessous accèdent à des données, pour notre compte et sur nos instructions :

• Supabase : base de données, authentification et stockage des fichiers. Supabase, Inc. (États-Unis) ; les données sont hébergées dans l’Union européenne, en Irlande (région AWS eu-west-1). Transferts encadrés par les clauses contractuelles types.
• OpenAI : modèles d’intelligence artificielle. OpenAI (États-Unis), via son accord de traitement des données et les clauses contractuelles types.
• Stripe : paiement et facturation. Stripe, Inc. (États-Unis), certifiée Data Privacy Framework, et ses entités européennes. Vos numéros de carte ne transitent jamais par Rival.
• Resend : envoi de nos réponses à vos retours et des comparaisons de boutique demandées sur le site, depuis le domaine rival.watch. Plus Five Five, Inc. (États-Unis), clauses contractuelles types.
• Sentry : suivi des erreurs. Functional Software, Inc. (États-Unis), certifiée Data Privacy Framework. Aucune adresse e-mail dans les rapports.
• Google : mesure d’audience Google Analytics via Firebase, uniquement avec votre accord. Google Ireland Limited et Google LLC (États-Unis), certifiée Data Privacy Framework.
• Firecrawl : rendu des pages publiques qui exigent un navigateur. SideGuide Technologies, Inc. (États-Unis), clauses contractuelles types. Firecrawl ne reçoit que l’adresse de la page à lire.
• Meta : bibliothèque publicitaire et API Graph d’Instagram. Meta Platforms Ireland Ltd et Meta Platforms, Inc. (États-Unis), certifiée Data Privacy Framework. Meta reçoit les noms de pages et de comptes recherchés et, si vous connectez Instagram, votre autorisation.
• Shopify : connexion de votre boutique. Shopify International Ltd (Irlande), qui encadre ses propres transferts par des clauses contractuelles types.
• Cloudflare Turnstile : protection contre les robots sur l’analyse instantanée. Cloudflare, Inc. (États-Unis), certifiée Data Privacy Framework.
• Hébergeur de l’application : Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis. Vercel Inc. est certifiée Data Privacy Framework.

Nous mettons cette liste à jour avant d’ajouter un prestataire. La recherche web Brave, prévue dans le code, n’est pas activée ; elle sera ajoutée ici si elle l’est.

10. Les transferts hors de l’Union européenne

Plusieurs prestataires sont établis aux États-Unis. Lorsqu’ils sont certifiés au titre du Data Privacy Framework entre l’Union européenne et les États-Unis, le transfert repose sur la décision d’adéquation de la Commission européenne. Dans les autres cas, il repose sur les clauses contractuelles types de la Commission européenne, complétées si besoin de mesures techniques comme le chiffrement.

Vous pouvez obtenir une copie de ces garanties en écrivant à support@rival.watch.

11. Les cookies

Rival utilise très peu de cookies, et aucun à des fins publicitaires.

• Les cookies indispensables, qui ne demandent pas votre accord : les cookies de session Supabase (sb-…) qui vous gardent connecté, le cookie locale qui retient votre langue, le cookie last_workspace qui rouvre votre dernier espace, et le cookie rival_analytics_consent qui retient votre choix sur la mesure d’audience. Votre thème clair ou sombre est gardé dans le stockage local de votre navigateur.
• Cloudflare Turnstile peut déposer un cookie technique sur la page de l’analyse instantanée, le temps de vérifier que vous n’êtes pas un robot.
• Google Analytics, uniquement si vous l’acceptez : les cookies _ga et _ga_… identifient votre navigateur pendant 13 mois.

Une fois votre accord donné, Rival envoie à Google les pages consultées (sans le nom ni l’identifiant de votre espace de travail, et sans ce qui suit le « ? » dans l’adresse), trois étapes (le début d’une inscription, sa validation et l’ouverture du paiement d’une offre, avec l’offre et la périodicité), des informations techniques (navigateur, appareil, taille d’écran, langue, localisation approximative que Google déduit de votre adresse IP) et un identifiant aléatoire. Jamais votre e-mail, votre nom, votre espace de travail ni ce que vous saisissez dans Rival. Les fonctions publicitaires et les signaux Google sont désactivés.

Google conserve ces mesures 14 mois. Votre choix, accepté ou refusé, est conservé 6 mois ; ensuite Rival vous pose à nouveau la question. Refuser ne change rien au fonctionnement de Rival.

Pour changer d’avis, ouvrez « Préférences cookies » en bas de chaque page publique, dans Réglages › Préférences depuis l’application, ou avec le bouton ci-dessous. Si vous retirez votre accord, Rival arrête aussitôt la mesure et supprime les cookies Google Analytics de ce site.

12. Combien de temps nous conservons les données

• Votre compte et vos espaces de travail : tant que votre compte existe. Vous supprimez vous-même un espace depuis Réglages › Espace de travail, et votre compte depuis Réglages › Préférences : l’espace, ses concurrents suivis, ses décisions, ses connexions et le logo de sa marque sont effacés immédiatement. Nous ne conservons que le journal d’audit et les pièces de facturation, pendant les durées ci-dessous.
• Les jetons d’accès Shopify et Instagram : jusqu’à ce que vous déconnectiez le compte ou désinstalliez l’application ; ils sont alors effacés.
• Les captures des marques suivies : tant que la marque est suivie dans un espace de travail. Les publications sociales d’un compte que plus aucun espace ne suit sont purgées automatiquement.
• Les événements produit : 13 mois.
• Les analyses instantanées et les lectures de marque à l’inscription : 7 jours.
• Les adresses e-mail laissées pour recevoir une comparaison : 3 ans à compter de la demande ou de votre dernier contact avec nous, comme le recommande la CNIL pour les prospects. Si vous vous désinscrivez, nous gardons votre adresse pendant la même durée, uniquement pour ne plus jamais vous écrire.
• Vos retours et nos réponses : tant que votre compte existe.
• Les pièces de facturation et le journal des consommations : 10 ans, durée légale de conservation des documents comptables.
• Les rapports d’erreur : 90 jours chez Sentry.
• La mesure d’audience Google Analytics : 14 mois ; votre choix, 6 mois.

13. Comment nous protégeons les données

• Isolation par espace de travail : chaque requête à la base de données s’exécute sous votre identité, et des règles de sécurité au niveau des lignes (row level security) empêchent tout accès aux données d’un autre espace.
• Chiffrement : les jetons Shopify et Instagram sont chiffrés (AES-256-GCM) avec une clé distincte de la base de données ; les clés d’API ne sont conservées que sous forme d’empreinte ; tous les échanges passent par TLS.
• Fichiers privés : les captures, le HTML et les logos sont dans des espaces de stockage privés, accessibles uniquement par des liens signés valables quelques minutes, après vérification de vos droits.
• Sobriété : Rival ne stocke ni mot de passe ni numéro de carte, plafonne les dépenses d’IA par espace de travail et journalise chaque appel.

14. Vos droits

Le RGPD vous donne le droit d’accéder à vos données, de les faire rectifier ou supprimer, d’en obtenir une copie dans un format structuré et couramment utilisé, de limiter leur traitement, de vous opposer aux traitements fondés sur notre intérêt légitime et de retirer un consentement à tout moment.

Pour les exercer, écrivez à support@rival.watch depuis l’adresse de votre compte, ou demandez au propriétaire de votre espace de travail. Nous répondons sous un mois.

Vous pouvez aussi adresser une réclamation à la CNIL, l’autorité française de protection des données.

15. Un service réservé aux professionnels

Rival s’adresse aux entreprises et aux professionnels. Il n’est pas destiné aux personnes de moins de 18 ans, et nous ne collectons pas sciemment de données les concernant. Si vous pensez qu’un mineur a créé un compte, écrivez-nous : nous le supprimons.

16. Les modifications de cette politique

Nous mettons cette politique à jour lorsque Rival change : nouveau prestataire, nouvelle source, nouvelle fonctionnalité. La date en haut de la page indique la dernière version. Pour un changement important, nous vous prévenons par e-mail ou dans l’application avant qu’il ne s’applique.