Découvrir
L'entreprise
Gratuit — 15 conversations/mois · Sans carte bancaire
Ce que Quoralo fait des données personnelles : lesquelles, pourquoi, sur quelle base, pendant combien de temps, et qui d'autre les reçoit.
Version 1.1 · En vigueur depuis le
Une nouvelle version arrive
La version 1.1 de ce document entre en vigueur le . C'est le texte ci-dessous ; jusque-là, c'est la version 1.0 qui s'applique. Les titulaires de compte en sont prévenus par e-mail au moins 30 jours à l'avance, comme l'article 20 des conditions s'y engage.
Partie I — Les principes
Partie II — Ce qui est traité
Partie III — Qui reçoit vos données
Partie IV — Vos droits, les cookies
Yusuf Celik — entreprise individuelle, 103 B rue Léon Blum, 56600 Lanester, France, SIREN 130 347 354 — exploite le service sous la marque Quoralo.
Pour toute question sur vos données : contact@quoralo.com. Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire au regard de l'activité.
Selon que vous êtes client de Quoralo ou visiteur de l'un de ses clients, votre interlocuteur n'est pas le même.
| Vous êtes… | Qui décide de vos données | À qui vous adresser |
|---|---|---|
| Client — vous avez un compte Quoralo | Quoralo, responsable de traitement | Quoralo, à l'adresse ci-dessus |
| Visiteur — vous discutez avec l'agent d'une entreprise | Cette entreprise, responsable de traitement. Quoralo n'est que son sous-traitant. | L'entreprise dont vous voyez le nom sur la page de discussion. Quoralo transmet votre demande si vous le lui écrivez. |
Cette distinction n'est pas une subtilité : elle décide de qui doit répondre à une demande d'accès ou d'effacement.
| Traitement | Données | Base légale | Durée |
|---|---|---|---|
| Compte et authentification | nom, adresse e-mail, identifiant technique | Exécution du contrat | Vie du compte, puis anonymisation sous 30 jours |
| Abonnement et facturation | identité de facturation, formule, identifiants de paiement | Exécution du contrat et obligation légale | 10 ans pour les pièces comptables |
| Preuve d'acceptation des conditions | titulaire, document, version, date | Obligation légale (preuve du consentement contractuel) | Conservée — c'est une preuve |
| Conversations avec un agent | messages échangés, identifiant pseudonyme du visiteur | Exécution du contrat, pour le compte du client | 12 mois après le dernier message |
| Contacts laissés par un visiteur | nom, adresse e-mail, téléphone, message | Consentement du visiteur, recueilli par le client | 3 ans après le dernier contact émanant de la personne |
| Rendez-vous | nom, adresse e-mail, téléphone, date, préférences | Exécution de la demande du visiteur | 12 mois après la date du rendez-vous |
| E-mails du service | adresse du destinataire, contenu du message | Exécution du contrat | Rétention du prestataire d'envoi |
| Journal technique et sécurité | identifiants techniques, adresses IP, événements — aucune donnée personnelle de contenu | Intérêt légitime : faire fonctionner et sécuriser le service | Rétention de l'hébergeur |
| Formulaire de contact du site | nom, e-mail, société, message | Intérêt légitime : répondre à une demande | Non enregistré en base — transmis par e-mail uniquement |
| Programme apporteur d'affaires — le compte présenté | le lien entre un compte et l'apporteur qui l'a recommandé ; l'apporteur voit une adresse masquée (ma•••@domaine.fr), la formule et la date d'inscription, jamais le nom ni le contenu du compte | Exécution du contrat d'apporteur : calculer la commission due | Vie du compte ; les commissions, pièces comptables, 10 ans |
| Programme apporteur d'affaires — l'apporteur | code, visites de son lien, statut (entreprise, micro-entreprise, particulier), titulaire du compte, IBAN, SIRET, commissions | Exécution du contrat d'apporteur et obligations légales (comptabilité, déclaration des commissions à l'administration fiscale) | Tant qu'il participe ; à la fermeture de son compte, les coordonnées bancaires sont effacées une fois les commissions dues versées ; les commissions, 10 ans |
Il n'existe aucune prospection commerciale, aucun profilage, aucune revente de données, et aucune décision entièrement automatisée produisant des effets juridiques au sens de l'article 22 du RGPD.
Le service n'est pas conçu pour recevoir des données sensibles au sens de l'article 9 du RGPD — santé, opinions, convictions, orientation sexuelle, origine — ni de données bancaires. Il est interdit aux clients de configurer leur agent pour en collecter.
Un visiteur reste néanmoins libre d'écrire ce qu'il veut dans une conversation. Les messages ne sont pas filtrés à l'écriture : ils sont conservés puis supprimés selon la durée applicable aux conversations.
Aucune donnée n'est vendue, louée, ni transmise à des fins publicitaires. Les destinataires ci-dessous sont des prestataires techniques, chacun pour une fonction précise :
| Prestataire | Pourquoi | Ce qu'il reçoit | Où et sur quelle base |
|---|---|---|---|
| Google Ireland Limited / Google LLC | Modèle de langage (Gemini) qui rédige les réponses de l'agent | les messages échangés dans la conversation et les informations de la base de connaissances | Irlande et États-Unis — Cadre de protection des données UE—États-Unis |
| Google Ireland Limited (Firebase Authentication) | Authentification des titulaires de compte | adresse e-mail, identifiant technique, empreinte du mot de passe | Irlande et États-Unis — Cadre de protection des données UE—États-Unis |
| OpenAI Ireland Ltd / OpenAI, L.L.C. | Modèle de langage alternatif (GPT-4o mini), utilisé uniquement si le client choisit ce modèle pour son agent | les messages échangés dans la conversation et les informations de la base de connaissances | Irlande et États-Unis — Clauses contractuelles types |
| Vercel Inc. | Hébergement et exécution de l'application | toutes les données transitant par le service, le temps de leur traitement | États-Unis, exécution en Allemagne — Cadre de protection des données UE—États-Unis |
| Neon Inc. | Base de données | l'ensemble des données enregistrées par le service | États-Unis, hébergement en Allemagne — Clauses contractuelles types |
| Stripe Payments Europe, Ltd. | Paiement des abonnements | identité de facturation et données de paiement. Quoralo ne voit jamais un numéro de carte. | Irlande — Aucun transfert hors Union européenne |
| Sendinblue SAS (Brevo) | Envoi des e-mails du service | adresse e-mail du destinataire et contenu du message envoyé (confirmation, rappel, notification) | France — Aucun transfert hors Union européenne |
| Upstash, Inc. | Compteurs de limitation de débit, qui protègent le service des abus | adresse IP, sous forme de compteur temporaire | États-Unis — À vérifier |
Cette liste est tenue à jour dans le code, à un seul endroit, et publiée telle quelle : elle ne peut pas diverger de la réalité sans qu'on s'en aperçoive.
Un destinataire n'est pas un prestataire : l'administration fiscale. Quand les commissions versées à un apporteur d'affaires dépassent 1 200 € sur une année civile, la loi impose de les déclarer (déclaration des honoraires et commissions) : son identité, son adresse, son SIRET s'il en a un, et le montant versé.
La base de données est hébergée à Francfort (Allemagne). L'exécution du code de l'application est fixée à la même région.
Le contenu des conversations est transmis au fournisseur du modèle de langage choisi pour l'agent — Google, ou OpenAI si le client le sélectionne. Ces transferts peuvent atteindre les États-Unis. Ils sont encadrés par le cadre de protection des données UE—États-Unis ou par les clauses contractuelles types de la Commission européenne, selon le prestataire, comme indiqué à l'article 05.
Aucune donnée transmise à ces fournisseurs par l'intermédiaire de leur interface de programmation n'est utilisée pour entraîner leurs modèles.
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement repose sur lui, et du droit de définir des directives sur le sort de vos données après votre décès.
| Droit | Comment l'exercer |
|---|---|
| Accès et portabilité | Écrire à l'adresse de contact. Un client peut aussi exporter ses contacts depuis son espace. |
| Rectification | Depuis les réglages du compte pour un client ; par écrit pour un visiteur. |
| Effacement | Par écrit. Pour un client, la fermeture du compte entraîne l'anonymisation sous 30 jours. |
| Opposition et limitation | Par écrit, en indiquant le traitement concerné. |
| Retrait du consentement | Pour un visiteur ayant laissé ses coordonnées : par écrit, auprès de l'entreprise concernée ou de Quoralo qui transmettra. |
Il est répondu par écrit dans un délai d'un mois. Une pièce justificative d'identité peut être demandée en cas de doute raisonnable.
Si vous êtes visiteur, adressez-vous d'abord à l'entreprise dont vous avez utilisé l'agent : c'est elle qui décide de vos données. Quoralo lui transmet toute demande reçue.
Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.
Le service ne dépose que des cookies strictement nécessaires à son fonctionnement. Il n'utilise aucun outil de mesure d'audience, aucun cookie publicitaire, et aucun traceur tiers. Aucun bandeau de consentement aux cookies n'est donc requis.
| Nom | À quoi il sert | Durée |
|---|---|---|
| session | Maintenir la connexion d'un client à son espace. Inaccessible au code de la page. | 7 jours |
| visitor_id | Rattacher un visiteur à sa conversation en cours pour qu'il la retrouve. Identifiant pseudonyme, sans lien avec une identité. | 30 jours |
Le navigateur conserve en outre localement, sans que rien ne soit transmis : l'acceptation du bandeau d'information affiché avant la première discussion, et les brouillons de configuration en cours de saisie. Ces éléments s'effacent en vidant les données du site.
Le lien d'un apporteur d'affaires (quoralo.com/r/…) ne dépose ni cookie ni stockage : le code de l'apporteur voyage dans l'adresse, puis dans le formulaire d'inscription.
Les mesures de sécurité sont décrites à l'article 16 des conditions générales. Le service ne pratique pas de chiffrement de bout en bout : le contenu des conversations est techniquement lisible par la plateforme, ce qui est nécessaire pour le transmettre au modèle de langage et le restituer au client.
Cette politique porte un numéro de version et une date d'entrée en vigueur. Toute modification substantielle est notifiée aux clients au moins trente jours avant son entrée en vigueur, et leur acceptation est de nouveau recueillie et enregistrée.
Partie I — Les principes
Partie II — Ce qui est traité
Partie III — Qui reçoit vos données
Partie IV — Vos droits, les cookies