Politique de confidentialité

Deux traitements distincts coexistent dans Coltadol, et nous n’avons pas la même qualité dans l’un et dans l’autre. La distinction n’est pas formelle : elle détermine à qui une personne doit adresser une demande.

• Les comptes, l’agence et la facturation. Nous sommes responsable du traitement. Il s’agit de vos propres données en tant que client : adresse électronique, nom, abonnement, paiements.
• Les prospects et leurs conversations. Nous sommes sous-traitant, et l’agence cliente est responsable du traitement. C’est elle qui a décidé de raccorder son numéro, qui définit la finalité, et qui doit informer les personnes. Nous traitons ces données sur ses instructions.

Concrètement : si vous êtes une personne ayant écrit à une agence qui utilise Coltadol, votre interlocuteur est cette agence. Nous n’avons aucune relation directe avec vous et nous ne pouvons pas, de notre propre initiative, vous communiquer ou effacer vos données. Écrivez-nous tout de même si vous ne savez pas à qui vous adresser : nous vous orienterons vers l’agence concernée.

Nous n’utilisons vos données ni les données de vos prospects pour entraîner aucun modèle, ni pour aucune finalité publicitaire. Nous ne les vendons pas et ne les cédons pas.

Chaque agence est un espace de travail hermétique. L’isolation n’est pas laissée à la vigilance de chaque requête : elle est imposée une fois pour toutes dans la couche d’accès aux données, qui injecte l’identifiant de l’agence courante dans toute lecture et le force sur toute écriture. Une valeur d’identifiant d’agence envoyée par le navigateur n’est jamais utilisée.

Cette isolation va jusqu’aux prospects eux-mêmes : une même personne qui écrit à deux agences clientes existe comme deux prospects distincts, un par agence. L’unicité de son identifiant WhatsApp est établie par agence et non globalement, précisément pour qu’aucune agence ne puisse déduire qu’un de ses prospects a également contacté une autre.

C’est le transfert le plus important de ce document, et il est plus restreint qu’on pourrait le supposer. Sont transmis au prestataire de modèle :

• le contenu texte des derniers messages de la conversation, avec leur sens (message du prospect ou réponse de l’agence) ;
• la langue par défaut de la clientèle de l’agence, pour que la réponse soit rédigée dans la bonne langue.

Ne sont pas transmis : le numéro de téléphone du prospect, son identifiant WhatsApp, son nom, son adresse électronique, le nom de l’agence, ni aucune autre fiche de la base. Le modèle reçoit une conversation et rien qui permette, à lui seul, d’identifier la personne.

Cela ne rend pas les messages anonymes : une personne qui écrit « bonjour, c’est Karim, je cherche un F3 à Hydra » transmet son prénom dans le contenu même de son message. Nous ne retirons pas les données personnelles du corps des messages, parce que ce sont elles qui portent l’information à qualifier.

Nous ne transmettons rien au prestataire de modèle en dehors de ce cadre, et les échanges de l’assistant interne suivent la même règle : seule votre question lui parvient.

Nous faisons appel aux prestataires suivants, et à aucun autre. La liste est tenue à jour ; tout ajout est publié ici.

La base de données et la passerelle WhatsApp sont exploitées par nous sur nos propres serveurs : elles ne sont pas confiées à un service tiers. Le jeton de session WhatsApp de votre agence y est conservé.

Il n’y a pas de bandeau de consentement sur ce site, parce qu’il n’y a rien à consentir : aucun cookie n’est déposé à des fins de mesure ou de publicité. Les seuls existants sont strictement nécessaires au fonctionnement.

Votre navigateur conserve par ailleurs trois préférences dans son stockage local — thème clair ou sombre, réglages de région et de devise, densité d’affichage. Elles ne quittent jamais votre navigateur et ne nous sont pas transmises.

Les webhooks que nous recevons — messages WhatsApp, événements de paiement — sont journalisés pour pouvoir diagnostiquer une panne. Sans précaution, ces journaux contiendraient des conversations entières, des numéros, des noms, et des URL de portail de facturation qui valent jeton d’accès.

Un masquage est donc appliqué avant écriture. Il conserve la structure de l’événement et jette les valeurs sensibles : un champ masqué ne laisse que son type et sa longueur. Il opère sur deux niveaux — par nom de champ pour ceux dont on sait qu’ils portent du contenu personnel, et par détection de motif sur toutes les chaînes restantes, parce qu’un numéro se cache aussi dans un identifiant de message. Les miniatures d’images, les empreintes sonores des messages vocaux, les noms de fichiers, les adresses postales et les URL signées sont couverts.

Ce qui est en place

• Mots de passe conservés sous forme de condensat, jamais en clair, et vérifiés à l’inscription contre une base publique de mots de passe compromis.
• Jetons de renouvellement opaques, à rotation, rattachés à une session dont la durée de vie absolue est plafonnée en base — une chaîne de renouvellements entretenue ne peut pas maintenir une connexion indéfiniment.
• Limitation des tentatives de connexion répétées depuis une même origine.
• Confirmation obligatoire de l’adresse électronique, avec jeton à usage unique.
• Vérification de la signature cryptographique des webhooks de paiement, et rattachement de l’événement à l’agence par une donnée transportée à l’intérieur du corps signé — non par une valeur déclarée par l’appelant.
• Idempotence des messages entrants, pour qu’un rejeu de webhook ne duplique pas une conversation.
• Isolation multi-agences imposée dans la couche d’accès aux données (article 4).
• En-têtes de sécurité HTTP standard, et chiffrement des échanges en transit.
• Accès à la passerelle WhatsApp protégé par clé, non exposé publiquement.

Ce qui n’est pas en place

• Pas d’authentification à deux facteurs. C’est le manque le plus notable de cette liste.
• Pas de chiffrement applicatif des données au repos. Les données sont protégées par les contrôles d’accès du serveur et de la base, pas par un chiffrement au niveau des colonnes.
• Pas de journal d’audit consultable retraçant qui a consulté quelle fiche.
• Aucune certification. Nous ne sommes ni certifiés ISO 27001 ni attestés SOC 2, et nous n’avons pas engagé de démarche en ce sens.

Nous préférons décrire la situation réelle plutôt qu’afficher un tableau de durées que rien n’applique.

À la fermeture d’un compte, les données de l’agence — prospects, conversations, biens — sont supprimées sur demande, et un export vous est fourni pendant trente jours. Cette suppression est aujourd’hui une opération manuelle de notre part.

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données, ainsi que du droit de retirer votre consentement lorsque le traitement y est fondé.

Si vous êtes client : écrivez à privacy@coltadol.com. Nous répondons dans un délai d’un mois. La plupart des rectifications peuvent être faites directement depuis vos réglages.

Si vous êtes un prospect ayant écrit à une agence : votre demande relève de cette agence, qui est responsable du traitement (article 1). Nous ne pouvons pas y répondre à sa place. Écrivez-nous néanmoins si vous ne parvenez pas à l’identifier : nous transmettrons.

Aucun délégué à la protection des données n’est désigné : notre activité ne l’impose pas. Les demandes sont traitées par l’adresse ci-dessus. Vous pouvez par ailleurs introduire une réclamation auprès de l’autorité de contrôle compétente de votre pays de résidence.

Rassemblé ici pour que rien n’ait à être cherché dans le corps du document. Chacun de ces points est un manque réel, pas une réserve de style.

• Hébergement dans l’Union européenne : prévu, non actif. Les serveurs qui portent la base de données et la passerelle WhatsApp ne sont pas aujourd’hui situés dans l’Union. Le déplacement est prévu ; nous ne communiquons pas de date, et nous mettrons cette page à jour lorsqu’il sera fait, pas avant.
• Aucune suppression automatique. Rien n’expire de soi-même. Une politique de purge est à écrire.
• Pas d’effacement en libre-service. Supprimer un prospect dans l’interface l’archive. L’effacement définitif passe par une demande écrite.
• Pas d’export en libre-service. Un export de vos données est fourni sur demande, manuellement.
• Pas d’authentification à deux facteurs.
• Pas de journal d’audit retraçant les consultations de fiches.
• Aucune certification de sécurité, et aucune démarche engagée.
• Ce document n’a pas été revu par un avocat.

Cette page évolue avec le produit — c’est même une obligation que nous nous donnons : tout changement de sous-traitant, toute nouvelle catégorie de données et toute lacune comblée doivent y apparaître. Une modification substantielle est notifiée par courrier électronique aux clients. La date de version figure en tête de page, et les versions précédentes sont conservées et fournies sur demande.

Voir également les conditions générales d’utilisation, dont la présente politique fait partie intégrante.