légal
Politique de confidentialité
Dernière mise à jour : 7 septembre 2026.
1. Qui traite vos données
Le responsable de traitement des données liées au site, au compte et au paiement Datareacher est OUTREACHER, SARL, 21 bis rue Victor Hugo, 92600 Asnières-sur-Seine, France, SIREN 940 287 261.
Contact : hello@datareacher.fr. Aucun délégué à la protection des données (DPO) n’est désigné à ce jour. Les demandes d’exercice des droits passent par cette adresse.
2. Deux rôles, clairement
Compte, paiement, audience, messages que vous nous envoyez. Outreacher est responsable de traitement : c’est nous qui décidons pourquoi ces données existent (vous identifier, vous créditer, vous écrire, faire tourner le site).
Listes que vous extrayez puis utilisez. Les robots récupèrent des informations déjà publiques, à votre demande. Pour la prospection, l’enrichissement, le CRM ou tout envoi que vous faites ensuite, vous êtes en principe le responsable de traitement. Outreacher agit alors comme prestataire technique (sous-traitant au sens du RGPD pour l’exécution du run), pas comme vendeur d’un fichier secret. Nous ne décidons pas de vos campagnes.
3. Données que nous traitons (en tant que responsable)
- Compte : e-mail, solde de crédits, identifiant client Stripe, historique d’achats et de runs payants (robot, volumes, crédits débités — pas le contenu de vos listes). Base : exécution du contrat. Accès par lien magique (jeton haché, 15 minutes), cookie de session « dr_session » (30 jours).
- Paiement : Stripe traite la carte et l’adresse de facturation. Outreacher reçoit montant, statut, identifiants de transaction, pas le numéro de carte. Base : contrat et obligations comptables.
- E-mails transactionnels (Resend) : lien de connexion, reçu d’achat, CSV ou message « 0 ligne » à l’adresse du compte. Base : contrat.
- Paramètres de run : ce que vous saisissez pour lancer un robot (URLs, mots-clés, identifiants publics, etc.), transmis à l’infrastructure d’exécution. Base : contrat.
- Brief custom (/custom) : e-mail, éventuellement téléphone, description du besoin. Transmis à l’équipe via Telegram. Base : mesures précontractuelles.
- Compte après un essai : e-mail (même identité qu’à la caisse), éventuellement téléphone français, identifiant du passage et métadonnées de l’essai (20 lignes), si vous les laissez après un aperçu. Les 20 lignes restent possibles sans compte. Case à cocher. Base : contrat (ouvrir le compte et y ranger le CSV). Un lien magique part vers cette adresse. Le téléphone ne bloque pas l’ouverture. Pas de domaine jetable. Notification interne possible via Telegram.
- Avis : prénom, note, texte, e-mail facultatif, si vous soumettez un avis avec consentement à la publication après modération. Notification interne via Telegram. Base : consentement.
- Journaux techniques : traces de fonctionnement, erreurs, limitation de débit (adresse IP vue par le serveur, de façon éphémère). Base : intérêt légitime à sécuriser le service.
- Mesure d’audience (PostHog, cloud UE) : seulement si vous cliquez OK sur le bandeau (ou ici). Pages vues (URL, y compris paramètres d’adresse), clics et interactions (autocapture), fin de visite. Si vous êtes connecté, l’e-mail du compte est alors envoyé à PostHog (identify). L’enregistrement de session (replay) est désactivé. Tant que vous n’avez pas accepté — ou si vous refusez — le script n’est pas initialisé : pas de cookie PostHog, pas d’identify. Un signal Do Not Track du navigateur n’envoie rien par défaut ; un OK explicite l’emporte. Pas de publicité comportementale tierce. Base : consentement. Des événements techniques côté serveur (par exemple création d’une session de paiement) peuvent encore partir vers PostHog sans cookie navigateur ; ils ne déposent pas de traceur chez vous.
- Journal public : statistiques agrégées (volumes, thèmes, réussites), sans e-mails extraits et sans contenu de vos listes. Base : intérêt légitime à expliquer le produit.
Outreacher ne revend pas vos listes, ni l’e-mail de votre compte, à des files d’achat de contacts.
4. Listes extraites (vous, responsable de vos campagnes)
Une extraction peut contenir des données personnelles déjà publiques. Elles sont produites à votre demande, depuis des pages accessibles, via l’infrastructure Apify, puis affichées et, si vous le demandez, envoyées en CSV à votre e-mail. Ce n’est pas un fichier constitué par Outreacher pour le revendre.
Vous devez les utiliser conformément au RGPD et aux règles de prospection. Outreacher n’assume pas le rôle de responsable de vos envois.
5. Destinataires et sous-traitants
Peuvent accéder aux données, dans la limite de ce qui est nécessaire : l’équipe d’Outreacher (support et exploitation) et les prestataires suivants. Les pages marketing peuvent ne pas citer une marque d’infrastructure ; cette page les nomme, parce que le RGPD l’exige.
- Vercel Inc. — transfert hors UE possible. États-Unis (hébergeur du site et des fonctions). Hébergement de datareacher.fr, exécution des API, journaux techniques de requêtes. Politique · DPA.
- Neon, LLC (Databricks) — transfert hors UE possible. États-Unis — région AWS us-east-1 (Virginie). Constatée le 7 septembre 2026 sur le projet Postgres branché via Vercel (pas un cluster UE).. Comptes (e-mail, crédits, identifiant client Stripe), historique d’achats, runs payants et essais 20 lignes rattachés au compte, jetons de lien magique hachés, avis, compteurs publics agrégés. Politique · DPA.
- Stripe Payments Europe, Limited / Stripe, Inc. — transfert hors UE possible. Irlande et États-Unis. Checkout, encaissement, factures/reçus. Outreacher ne stocke pas le numéro de carte. Politique · DPA.
- Resend, Inc. — transfert hors UE possible. États-Unis. E-mails transactionnels : lien magique, reçu d’achat, CSV (ou mail « 0 ligne ») à l’adresse du compte. Politique · DPA.
- Apify Technologies s.r.o. — traitement prévu dans l’UE. République tchèque (Union européenne). Infrastructure d’exécution des robots : paramètres que vous saisissez (URLs, mots-clés, identifiants publics, etc.) et jeux de données extraits de pages publiques, le temps de produire et de vous remettre le résultat. Ce n’est pas un fichier de contacts vendu par Outreacher. Politique · DPA.
- PostHog, Inc. (cloud UE) — traitement prévu dans l’UE. Union européenne (ingestion eu.i.posthog.com, interface eu.posthog.com). Mesure d’audience, seulement après acceptation : pages vues, clics (autocapture), e-mail du compte une fois connecté (identify). Pas d’enregistrement de session. Rien n’est chargé tant que le visiteur refuse ou n’a pas choisi. Politique · DPA.
- Telegram FZ-LLC — transfert hors UE possible. Émirats arabes unis (hors UE). Notification interne des briefs /custom, des essais gardés (e-mail) et des avis (copie du message vers un chat d’équipe). Politique · pas de DPA public connu..
Ces pages sont celles des prestataires. Outreacher n’a pas rédigé de DPA maison à télécharger.
Un lecteur Tella (tella.tv) peut être chargé si vous lancez la vidéo de présentation. Les fiches scripts peuvent charger YouTube (youtube-nocookie.com). Ces lecteurs peuvent déposer leurs propres traceurs, hors du contrôle d’Outreacher.
6. Transferts hors Union européenne
Ont lieu ou peuvent avoir lieu : Vercel (hébergement, États-Unis), Stripe (paiement), Resend (e-mails), Neon (base Postgres en AWS us-east-1, États-Unis — pas un datacenter UE), Telegram (notifications internes). PostHog est configuré sur le cloud UE. Apify est une société tchèque (UE).
Ces transferts s’appuient, selon le prestataire, sur les clauses contractuelles types de la Commission européenne, le Data Privacy Framework lorsque le destinataire y est certifié, ou un autre mécanisme prévu par le chapitre V du RGPD. Nous n’inventons pas une certification que nous n’avons pas vérifiée ligne à ligne pour chaque sous-traitant.
7. Durées
- Compte et crédits : jusqu’à la suppression du compte, puis archivage limité si une obligation légale l’exige.
- Pièces de paiement et facturation : durées comptables et fiscales (en pratique jusqu’à 10 ans).
- Jetons de lien magique : 15 minutes, puis invalidés.
- Session : cookie 30 jours, ou jusqu’à déconnexion / expiration.
- Jeux de données d’extraction : le temps de vous les afficher ou de vous les envoyer. Neon conserve l’historique du run (essai ou facturation), pas une copie commerciale de vos lignes. Le stockage côté Apify suit la durée propre à cette plateforme.
- Brief custom : le temps de vous répondre, plus les copies dans Telegram le temps de traiter la demande.
- Avis : tant qu’ils sont publiés ou utiles à la modération ; e-mail non publié s’il a été fourni.
- PostHog : selon la rétention du projet (cloud UE).
- Journaux agrégés sans donnée identifiant une personne : aussi longtemps qu’ils servent au suivi du produit.
9. Vos droits
Vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité lorsqu’elle s’applique, et vous opposer aux traitements fondés sur l’intérêt légitime, dans les conditions du RGPD. Vous pouvez retirer un consentement (avis, mesure d’audience) sans que cela n’affecte la licéité du traitement déjà effectué.
Écrivez à hello@datareacher.fr. Il n’existe pas encore de bouton « supprimer mon compte » dans l’interface : la demande se fait par e-mail. Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
10. Sécurité
Accès compte par lien à usage limité, cookie signé, secrets d’API hors du navigateur, prestataires professionnels. Nous ne prétendons pas une certification ISO ou un audit que nous n’avons pas.
11. Modifications
Cette politique peut évoluer avec le produit. La date en tête de page fait foi. Les ajouts de traceurs publicitaires ou d’enregistrement de session, s’ils avaient lieu, seraient décrits ici — et un consentement serait demandé lorsque la loi l’exige.
Mentions légales · CGU · Confidentialité · Cookies