Politique de confidentialité

Le responsable du traitement des données personnelles collectées sur la plateforme Adpilota est :

• Éditeur : Adpilota
• Contact DPO : dpo@adpilota.com
• Statut : Plateforme SaaS d'analyse et d'optimisation Google Ads, GA4 et Search Console

Nous collectons les catégories de données suivantes :

• Données de compte : nom, prénom, email, mot de passe (haché), rôle, plan d'abonnement.
• Données de connexion : identifiants OAuth Google (tokens d'accès et de rafraîchissement) pour Google Ads, Google Analytics 4 et Search Console.
• Données métiers : métriques publicitaires (impressions, clics, conversions, dépenses, ROAS), données d'audience, requêtes de recherche, positions SEO.
• Données de marge : chiffre d'affaires, COGS, frais de port et de paiement, importés via CSV/Excel ou BigQuery par l'utilisateur.
• Données d'usage : journaux de navigation, événements analytics, préférences de tableau de bord.
• Données de support : messages et pièces jointes transmis via les tickets de support.

Adpilota accède aux données de vos comptes Google via OAuth 2.0. Voici le détail par service :

a) Google Ads API

Scopes OAuth demandés :

• https://www.googleapis.com/auth/adwords — Gestion des campagnes Google Ads

Données lues : structure des campagnes (nom, statut, budget), groupes d'annonces, mots-clés, annonces, performances (impressions, clics, coût, conversions, ROAS, CPA, CTR), termes de recherche déclencheurs, audiences, paramètres d'enchères.

Données écrites (sur action explicite de l'utilisateur) : création de campagnes Search et Performance Max, ajustements de budget, exclusion de mots-clés négatifs, pause/reprise de campagnes.

Usage : affichage sur tableaux de bord, génération de rapports, recommandations d'optimisation par IA, alertes de performance.

b) Google Analytics 4 Data API

Scopes OAuth demandés :

• https://www.googleapis.com/auth/analytics.readonly — Lecture des données GA4

Données lues : sessions, utilisateurs, nouveaux utilisateurs, taux de rebond, durée de session, conversions, valeur de conversion, canaux d'acquisition, villes, pages vues.

Usage : analyse d'audience, tunnel de conversion, corrélation Ads → comportement site, rapports SEO.

c) Google Search Console API

Scopes OAuth demandés :

• https://www.googleapis.com/auth/webmasters.readonly — Lecture des données Search Console

Données lues : requêtes de recherche organiques, impressions, clics, CTR, position moyenne, pages, pays.

Usage : audit SEO, suivi de positionnement, détection de baisses de trafic, rapports SEO.

d) Google UserInfo (connexion)

Scopes OAuth demandés :

• openid, email, profile — Authentification Google

Données lues : email, nom, photo de profil Google. Usage : création de compte et authentification unique (SSO).

e) Stockage, partage et conservation des données Google

• Stockage : les tokens OAuth (access + refresh) sont stockés chiffrés, associés au compte utilisateur, et utilisés uniquement pour synchroniser les données des API Google à la demande de l'utilisateur ou via des tâches planifiées qu'il a configurées.
• Non-partage : les données issues des API Google ne sont jamais vendues, louées ni partagées avec des tiers à des fins commerciales. Elles restent accessibles uniquement à l'utilisateur propriétaire du compte et, sur besoin d'en connaître, à l'équipe support Adpilota.
• Isolation : chaque utilisateur ne voit que les données de ses propres comptes connectés. Aucune donnée n'est agrégée ni croisée entre comptes clients.
• Conservation : les données synchronisées sont conservées tant que le compte est actif. À la suppression du compte ou à la révocation de l'accès, les tokens et les données associées sont supprimés dans un délai de 30 jours.
• Révocation : vous pouvez à tout moment déconnecter un service Google depuis la page Connexions & Intégrations de la plateforme, ou depuis votre Compte Google → Applications tierces. La déconnexion supprime immédiatement les tokens stockés.
• Developer Token Google Ads : Adpilota utilise un developer token global (propriété d'Adpilota) pour authentifier ses appels à l'API Google Ads. Ce token ne donne pas accès aux données de vos comptes sans votre consentement OAuth préalable.

Conformément aux exigences d'utilisation limitée de Google (Google API Services User Data Policy — Limited Use requirements), les données obtenues via les API Google sont utilisées uniquement pour fournir ou améliorer les fonctionnalités visibles dans l'interface utilisateur d'Adpilota :

• Usage limité : les données Google Ads, GA4 et Search Console sont utilisées uniquement pour afficher des tableaux de bord, générer des rapports, produire des recommandations d'optimisation par IA et déclencher des alertes de performance dans l'interface Adpilota.
• Pas de transfert : nous ne transférons pas les données Google à des tiers, sauf (a) avec le consentement explicite de l'utilisateur pour fournir une fonctionnalité visible, (b) pour des raisons de sécurité (investigation d'abus), (c) pour nous conformer à la loi, ou (d) dans le cadre d'une fusion/acquisition avec consentement préalable.
• Pas de lecture humaine : les employés Adpilota ne lisent pas manuellement les données issues des API Google, sauf (a) si l'utilisateur a donné son accord explicite (ex : demande de support), (b) pour des raisons de sécurité, ou (c) pour se conformer à la loi.
• Pas d'entraînement d'IA tierce : les données Google ne sont pas utilisées pour entraîner des modèles d'IA tiers, ni à des fins de publicité personnalisée par Adpilota.
• Conformité : nos employés, agents et sous-traitants respectent le Google API Services User Data Policy.

Les données sont traitées pour les finalités suivantes :

• Exécution du contrat (art. 6.1.b RGPD) : fourniture du service d'analyse, synchronisation des données publicitaires et SEO, génération de rapports.
• Intérêt légitime (art. 6.1.f RGPD) : sécurité de la plateforme, détection des anomalies, amélioration des performances.
• Consentement (art. 6.1.a RGPD) : cookies analytiques non essentiels, communications marketing.
• Obligation légale (art. 6.1.c RGPD) : conservation des factures et traces de paiement.

Nous ne vendons pas, ne louons pas et ne commercialisons pas vos données personnelles ni les données issues des API Google. Nous ne transférons ni ne divulguons vos données à des tiers à des fins commerciales. Vos données sont accessibles uniquement aux destinataires suivants :

• Adpilota (équipe technique et support, sur besoin d'en connaître, sous restriction d'accès par rôles).
• Google LLC via les API Google Ads, GA4 et Search Console — les données transitent par les serveurs de Google selon ses propres conditions d'utilisation.
• Stripe pour le traitement des paiements (certifié PCI-DSS Level 1). Stripe reçoit uniquement les informations de paiement nécessaires, jamais les données publicitaires.
• Hébergeur de la plateforme SaaS pour le stockage et l'exécution du service, situé au sein de l'EEE.

Engagements de non-partage :

• Nous ne partageons pas vos données Google avec des tiers à des fins publicitaires.
• Nous ne transférons pas vos données à des partenaires commerciaux.
• Nous ne divulguons pas vos données à des autorités, sauf obligation légale.
• Les données ne sont pas transférées hors de l'EEE sans garanties appropriées (clauses contractuelles types, Data Privacy Framework EU-US).

Les données sont conservées selon les règles suivantes :

• Compte actif : toute la durée de l'abonnement.
• Après suppression du compte : 30 jours pour rétractation, puis suppression définitive.
• Données métiers synchronisées : conservées tant que le compte est actif, supprimées à la clôture.
• Factures et traces de paiement : 10 ans (obligation légale).
• Journaux de sécurité : 12 mois.

Adpilota utilise :

• Cookies essentiels : authentification, session, préférences de tableau de bord (pas de consentement requis).
• Cookies analytiques : mesure d'audience, soumis à votre consentement.
• Cookies tiers : Google (connexion OAuth), Stripe (paiement).

Vous pouvez gérer vos préférences via les paramètres de votre navigateur.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, altération, divulgation ou destruction :

• Chiffrement des mots de passe : les mots de passe sont hachés avec un algorithme bcrypt et ne sont jamais stockés ni transmis en clair.
• Authentification par token JWT : les sessions sont gérées via des tokens JWT signés, avec expiration automatique.
• OAuth 2.0 pour Google : l'accès aux comptes Google se fait exclusivement via OAuth 2.0. Nous ne stockons jamais votre mot de passe Google. Les tokens d'accès et de rafraîchissement sont stockés de manière sécurisée et chiffrés au repos.
• Restriction d'accès par rôles (RLS) : chaque utilisateur ne peut accéder qu'à ses propres données. Les administrateurs Adpilota n'accèdent aux données qu'en cas de nécessité de support, sur demande explicite.
• Chiffrement en transit : toutes les communications entre votre navigateur et nos serveurs sont chiffrées en TLS 1.2+ (HTTPS).
• Journalisation des accès : les accès aux données sensibles sont journalisés et conservés 12 mois à des fins d'audit.
• Sauvegardes : les données sont sauvegardées régulièrement avec chiffrement des sauvegardes.
• Audits : nous effectuons des audits réguliers de sécurité et appliquons les correctifs de sécurité dans les meilleurs délais.
• Formation : l'équipe Adpilota est formée aux bonnes pratiques RGPD et sécurité.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles.
• Droit de rectification en cas de données inexactes.
• Droit à l'effacement (« droit à l'oubli »).
• Droit à la limitation du traitement.
• Droit à la portabilité de vos données.
• Droit d'opposition au traitement.
• Droit de retirer votre consentement à tout moment.

Pour exercer ces droits, contactez-nous à dpo@adpilota.com. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Vous pouvez à tout moment demander la suppression de votre compte et de l'ensemble des données qui y sont associées :

• Suppression depuis la plateforme : connectez-vous à votre compte, rendez-vous dans Paramètres et cliquez sur « Supprimer mon compte ». Cette action est irréversible.
• Suppression par demande : vous pouvez également envoyer un email à dpo@adpilota.com en précisant l'adresse email du compte à supprimer. Nous traitons les demandes sous 30 jours.
• Données supprimées : profil utilisateur, tokens OAuth Google, données métiers synchronisées (Google Ads, GA4, Search Console), préférences, annotations, alertes, configurations de rapports.
• Données conservées : les factures et traces de paiement sont conservées 10 ans conformément aux obligations comptables et fiscales (article L123-22 du Code de commerce). Ces données ne contiennent pas d'informations publicitaires.
• Délai d'effacement effectif : les données sont supprimées de nos bases de production dans un délai de 30 jours, et des sauvegardes dans un délai de 90 jours.

Vos données sont principalement stockées et traitées au sein de l'Espace Économique Européen (EEE). Toutefois, certains sous-traitants peuvent traiter des données en dehors de l'EEE :

• Google LLC (États-Unis) : les appels aux API Google Ads, GA4 et Search Console transitent par les serveurs de Google. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne et le Data Privacy Framework EU-US.
• Stripe (États-Unis) : traitement des paiements. Stripe est certifié PCI-DSS Level 1 et adhère au Data Privacy Framework EU-US.
• Hébergeur : les serveurs de la plateforme Adpilota sont situés au sein de l'EEE.

Aucun transfert n'est effectué vers un pays n'offrant pas un niveau de protection adéquat, sauf garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes ou décisions d'adéquation).

La plateforme Adpilota est un outil professionnel destiné aux agences marketing, freelances Google Ads, directeurs marketing et e-commerçants. Elle n'est pas destinée aux personnes de moins de 18 ans. Nous ne collectons pas sciemlement de données personnelles auprès d'enfants. Si vous pensez qu'un mineur nous a transmis des données, contactez dpo@adpilota.com et nous les supprimerons sans délai.

Cette politique de confidentialité peut être mise à jour périodiquement pour refléter l'évolution de nos services, de la réglementation ou de nos pratiques. Nous vous recommandons de consulter régulièrement cette page. En cas de modification importante (ex : nouvelles finalités de traitement, nouveaux sous-traitants, changement de durée de conservation), nous vous informerons par email et/ou via une notification sur la plateforme au moins 30 jours avant l'entrée en vigueur. La date de dernière mise à jour est indiquée en haut de cette page.

Pour toute question relative à la protection des données :

• Email DPO : dpo@adpilota.com
• Support : via la page Support de la plateforme
• Autorité de contrôle : CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07 — www.cnil.fr

Adpilota est une plateforme SaaS d'analyse et d'optimisation publicitaire. Nous n'avons pas accès à votre mot de passe Google : l'authentification se fait exclusivement via le protocole OAuth 2.0 de Google, et vous pouvez révoquer l'accès à tout moment depuis votre compte Google.