JURIDIQUE
Politique de confidentialité
Dernière mise à jour : 15 juillet 2026
À propos de cette politique
ROAS Club (« le Service ») accorde une grande importance à la protection de vos données personnelles. La présente politique explique, de manière claire et complète, quelles données nous traitons, pourquoi, sur quelle base légale, avec qui nous les partageons, combien de temps nous les conservons, comment les supprimer et quels sont vos droits. Elle est conforme au Règlement (UE) 2016/679 (« RGPD »), à la loi « Informatique et Libertés », ainsi qu’aux règles des plateformes tierces que nous intégrons, notamment la Google API Services User Data Policy et les Meta Platform Terms et politiques pour les développeurs Meta.
1. Responsable du traitement
Le responsable du traitement est PPC ETOILE, SASU au capital de 1 000 €, immatriculée au RCS de Nîmes sous le numéro 894 226 208, dont le siège social est situé 2 Impasse de la Cavalerie, 30000 Nîmes, représentée par son Président, M. Alexandre Borges (« nous »).
Contact : alexandre@roasclub.org. Aucun délégué à la protection des données (DPO) n’a été désigné, notre activité ne l’imposant pas ; vous pouvez nous contacter à l’adresse ci-dessus pour toute question relative à vos données ou pour exercer vos droits.
2. Définitions
Données utilisateur Google : toute donnée que nous obtenons via les API Google et les autorisations (scopes) que vous accordez — votre identité de connexion Google (email, nom, photo de profil) et, si vous connectez ces services, les données Google Ads et Google Analytics 4 (voir §6).
Données de plateforme Meta : toute donnée que nous obtenons via les API Meta (Facebook Login, Marketing API) et les autorisations que vous accordez — votre identité de connexion et les données publicitaires de vos comptes Meta Ads (voir §6).
Contenu de projet : les informations que vous saisissez, importez ou générez dans le Service.
Sous-traitant : un prestataire tiers qui traite des données pour notre compte et selon nos instructions.
3. Données que nous collectons
Données de compte : adresse email, et le cas échéant nom/prénom et photo de profil transmis lors de la connexion via Google ou un autre fournisseur d’authentification (OAuth).
Données des connecteurs publicitaires et analytics : lorsque vous connectez un compte, les données en lecture seule de Google Ads, Google Analytics 4 et/ou Meta Ads (campagnes, coûts, impressions, clics, conversions, métriques et événements) — voir §6.
Données d’agrégation bancaire (optionnel) : si vous activez le score bancaire, les informations de solde et de flux que vous autorisez via notre prestataire d’open banking (voir §7).
Contenu de vos projets : analyses, paramètres, maquettes, notes, livrables, fichiers importés (ex. CSV), etc.
Données de facturation : plan souscrit, historique d’abonnement et identifiants de transaction. Les données de paiement (carte) sont traitées directement par Stripe ; nous ne les stockons pas.
Données techniques : journaux de connexion, adresse IP, type d’appareil et de navigateur, et données de diagnostic en cas d’erreur.
Clés d’API d’IA : si vous configurez une clé d’un fournisseur d’IA tiers, elle est conservée localement dans votre navigateur (stockage de session) et n’est pas stockée sur nos serveurs.
4. Finalités et bases légales
Nous traitons vos données pour les finalités suivantes, chacune reposant sur une base légale au sens du RGPD.
Sur le fondement de l’exécution du contrat (art. 6.1.b), nous traitons vos données pour créer et gérer votre compte et fournir le Service ; pour connecter vos comptes publicitaires et analytics et afficher vos analyses et rapports ; et pour vous envoyer les emails liés au service (connexion, notifications).
La gestion des abonnements et de la facturation repose sur l’exécution du contrat et sur nos obligations légales comptables et fiscales (art. 6.1.b et 6.1.c).
Sur le fondement de notre intérêt légitime (art. 6.1.f), nous traitons vos données pour assurer la sécurité du Service, prévenir la fraude et les abus, ainsi que pour améliorer le Service et corriger les anomalies.
Enfin, certains traitements reposent sur votre consentement (art. 6.1.a), révocable à tout moment : l’agrégation bancaire / score bancaire (si vous l’activez) et l’envoi éventuel de communications commerciales.
5. Comment nous utilisons les données des connecteurs
Les données obtenues via les connecteurs Google, Meta et l’open banking sont utilisées exclusivement pour vous fournir les fonctionnalités que vous activez : afficher vos performances, produire vos analyses, rapports et livrables, et calculer les indicateurs du Service. Nous n’utilisons pas ces données à des fins publicitaires, nous ne les vendons pas, et nous ne les utilisons pas pour entraîner des modèles d’intelligence artificielle, généralistes ou personnalisés.
6. Connecteurs Google et Meta (données de plateforme)
6.1 Données utilisateur Google (Google OAuth, Google Ads, Google Analytics)
Lorsque vous connectez un compte Google, nous accédons aux données utilisateur Google via les autorisations (scopes) que vous accordez explicitement, et uniquement en lecture seule :
Identité de connexion (OAuth) : adresse email, et le cas échéant nom et photo de profil.
Google Ads — scope https://www.googleapis.com/auth/adwords (lecture seule) : campagnes, coûts et performances publicitaires.
Google Analytics 4 — scope https://www.googleapis.com/auth/analytics.readonly (lecture seule) : métriques et événements des propriétés GA4 que vous choisissez de connecter.
Avec qui les données utilisateur Google sont partagées, transférées ou divulguées. Nous ne vendons pas les données utilisateur Google et ne les partageons ni ne les utilisons à des fins publicitaires. Nous ne les transférons pas aux fournisseurs d’IA tiers, ni à des annonceurs, ni à des courtiers de données. Elles ne sont divulguées qu’aux sous-traitants strictement nécessaires à l’exploitation du Service, et uniquement pour vous fournir ce Service :
Supabase (Union européenne) — base de données, authentification et stockage sécurisé ;
Cloudflare (UE / international) — hébergement et diffusion de l’application (transit des données) ;
Sentry (États-Unis) — supervision technique des erreurs (des données Google peuvent apparaître de manière incidente dans un rapport de diagnostic).
Elles ne sont partagées avec aucun autre tiers ni avec d’autres utilisateurs, à la seule exception des membres que vous invitez explicitement à collaborer sur un projet donné.
Usage limité (Google API Services User Data Policy). L’utilisation et le transfert, par ROAS Club, des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris les exigences d’usage limité (« Limited Use »).
ROAS Club’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
6.2 Données de plateforme Meta (Facebook Login, Meta Marketing API)
Lorsque vous connectez un compte Meta, nous accédons, via les autorisations que vous accordez et en lecture seule, à votre identité de connexion et aux données publicitaires de vos comptes Meta Ads (campagnes, ensembles de publicités, publicités, coûts, impressions, clics et conversions), aux seules fins d’afficher vos analyses et rapports dans le Service.
Avec qui les données de plateforme Meta sont partagées. Comme pour les données Google (§6.1), ces données ne sont ni vendues, ni partagées à des fins publicitaires, ni transférées aux fournisseurs d’IA ou à des courtiers de données. Elles ne sont divulguées qu’aux mêmes sous-traitants strictement nécessaires (Supabase, Cloudflare, Sentry), et aux membres que vous invitez explicitement à collaborer sur un projet.
Notre accès et notre utilisation des données obtenues via les API Meta sont conformes aux Meta Platform Terms et aux politiques pour les développeurs de Meta.
6.3 Révocation des accès
Vous pouvez à tout moment révoquer notre accès :
Google : myaccount.google.com/permissions ;
Meta : Paramètres → Applications et sites web de votre compte Meta ;
ou en déconnectant le connecteur dans le Service, ou en nous écrivant à alexandre@roasclub.org.
La révocation stoppe tout accès futur ; les données déjà importées sont supprimées conformément à la §12 et à la §14.
7. Agrégation bancaire / open banking (optionnel)
Si vous activez la fonctionnalité de score bancaire, vous êtes redirigé vers notre prestataire d’agrégation agréé (Bridge by Bankin’, établissement enregistré auprès de l’ACPR) pour autoriser, via l’API DSP2 de votre banque, l’accès en lecture aux informations de compte nécessaires au calcul du score. Cette fonctionnalité repose sur votre consentement explicite (art. 6.1.a RGPD), révocable à tout moment. Les identifiants bancaires ne transitent jamais par le Service : ils sont saisis directement auprès de votre banque. Nous ne conservons que les indicateurs agrégés strictement nécessaires à la fonctionnalité.
8. Fonctionnalités d’intelligence artificielle (clés tierces, « BYOK »)
Lorsque vous utilisez une fonctionnalité d’IA, les contenus concernés sont transmis directement au fournisseur d’IA tiers que vous avez configuré, via votre propre clé d’API (modèle « Bring Your Own Key »). Ce traitement relève des conditions et de la politique de confidentialité du fournisseur concerné (par ex. OpenAI, Anthropic, Google, Mistral). Les données utilisateur Google et les données de plateforme Meta (§6) ne sont pas transmises à ces fournisseurs d’IA. Nous vous invitons à ne pas soumettre de données sensibles inutiles à ces services.
9. Données relatives à vos propres clients
Si vous importez ou saisissez des données concernant vos clients ou des tiers, vous agissez en qualité de responsable de traitement et nous agissons comme sous-traitant pour votre compte. Vous garantissez disposer d’une base légale pour ce traitement et avoir informé les personnes concernées. Un accord de traitement des données (DPA) est disponible sur demande à alexandre@roasclub.org.
10. Destinataires et sous-traitants
Nous ne partageons vos données qu’avec des sous-traitants sélectionnés, et uniquement dans la mesure nécessaire à l’exploitation du Service.
Le stockage et l’infrastructure sont assurés par Supabase (base de données, authentification et stockage, hébergés dans l’Union européenne, à Paris) et Cloudflare (hébergement du front, CDN et DNS, UE / international). Les paiements sont traités par Stripe (UE / États-Unis) et les emails transactionnels par Brevo (Union européenne, France). La supervision technique des erreurs est confiée à Sentry (États-Unis).
Selon les fonctionnalités que vous activez, interviennent également Google (authentification OAuth et connecteurs Google Ads & Google Analytics, États-Unis), Meta (connexion et connecteur Meta Ads, États-Unis / UE), Bridge by Bankin’ (agrégation bancaire, Union européenne, France) et le ou les fournisseurs d’IA tiers que vous configurez via votre propre clé (localisation variable selon le fournisseur).
Nous ne vendons pas vos données personnelles et ne les partageons pas à des fins publicitaires ou de courtage de données. Nous ne les divulguons à aucun autre tiers que ceux mentionnés ci-dessus, sauf : (i) aux membres que vous invitez explicitement à collaborer sur un projet ; (ii) si la loi ou une autorité compétente l’exige ; (iii) dans le cadre d’une opération sur l’entreprise (fusion, cession), avec maintien d’un niveau de protection équivalent.
11. Transferts hors Union européenne
L’essentiel de vos données (compte, contenu, emails, données de connecteurs) est hébergé dans l’Union européenne. Certains prestataires (ex. Stripe, Sentry, Google, Meta, certains fournisseurs d’IA) peuvent traiter des données aux États-Unis ; ces transferts sont encadrés par des garanties appropriées au sens des articles 44 et suivants du RGPD (clauses contractuelles types de la Commission européenne et/ou mécanismes de certification équivalents, tel le Data Privacy Framework UE–États-Unis).
12. Durées de conservation
Compte et contenu : pendant la durée de votre abonnement, puis supprimés ou anonymisés dans un délai de 90 jours après la fermeture du compte (sauf obligation légale contraire).
Données utilisateur Google et données de plateforme Meta : conservées tant que le connecteur correspondant reste actif ; supprimées lors de la déconnexion du connecteur, de la révocation de l’accès, ou dans les 90 jours suivant la fermeture de votre compte ROAS Club.
Données d’agrégation bancaire : conservées tant que la fonctionnalité est activée ; supprimées au retrait du consentement ou à la fermeture du compte.
Données de facturation : conservées 10 ans au titre des obligations comptables et fiscales.
Journaux techniques : généralement jusqu’à 12 mois.
13. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement en transit (HTTPS/TLS), cloisonnement des données par compte au niveau de la base (politiques de sécurité au niveau des lignes / RLS), contrôle d’accès, principe du moindre privilège et journalisation. Aucun système n’étant infaillible, nous ne pouvons garantir une sécurité absolue, mais nous nous engageons à notifier toute violation dans les conditions prévues par le RGPD.
14. Suppression de vos données
Vous pouvez demander la suppression de vos données à tout moment :
Dans le Service : depuis les paramètres de votre compte (suppression du compte), ce qui déclenche l’effacement de votre contenu et la déconnexion des connecteurs.
Par email : en écrivant à alexandre@roasclub.org avec pour objet « Suppression de données ». Nous traitons votre demande sous 30 jours et confirmons l’effacement.
Données obtenues via Google et Meta : révoquez l’accès (§6.3) ; les données correspondantes sont alors supprimées de nos systèmes dans les délais de la §12.
Cette section constitue nos instructions de suppression des données au sens des exigences des plateformes Google et Meta.
15. Cookies et stockage local
Le Service utilise le stockage local/de session de votre navigateur pour des finalités strictement nécessaires à son fonctionnement (maintien de votre session, préférences, clé d’IA côté navigateur). Ces éléments ne servent pas à du pistage publicitaire.
16. Vos droits
Conformément au RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment (sans effet sur la licéité du traitement antérieur) et de définir des directives post-mortem. Pour les exercer, écrivez à alexandre@roasclub.org. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
17. Mineurs
Le Service n’est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données concernant des mineurs ; si vous pensez qu’un mineur nous a transmis des données, contactez-nous pour les faire supprimer.
18. Modifications
Nous pouvons mettre à jour la présente politique. En cas de modification substantielle, nous vous en informerons par un moyen approprié (email ou notification dans le Service). La date de dernière mise à jour figure en tête de document.
19. Contact
Pour toute question relative à vos données personnelles ou pour exercer vos droits : alexandre@roasclub.org — PPC ETOILE, 2 Impasse de la Cavalerie, 30000 Nîmes.
ROAS CLUB BRIEF
Nous partageons les analyses qui rendent vos arbitrages plus clairs
Nous ne partageons jamais vos informations avec des tiers.