Confidentialité

Responsable de traitement

ELVN SAS, 60 rue François Ier, 75008 Paris, immatriculée au RCS de Paris sous le numéro 979 732 906. Pour toute question relative à vos données : bonjour@joli.studio.

Données que nous traitons

• Compte : nom, adresse e-mail, langue de l’interface et mot de passe haché. Avec « Continuer avec Google » : l’identifiant, le nom, l’adresse e-mail et la photo du compte Google.
• Organisation et membres : nom de l’organisation, membres, rôles et invitations.
• Contenus : profil de marque, adresse du site analysé, stratégie, calendrier, posts, images générées ou importées, métriques saisies à la main.
• Sparks et achats : versements, dépenses par action et historique des achats.
• Facturation : particulier ou entreprise, nom ou raison sociale, adresse, pays, courriel de facturation et, pour une entreprise, numéro de TVA intracommunautaire et le résultat de sa vérification ; de la carte enregistrée, sa marque, ses quatre derniers chiffres et son expiration ; les factures, remboursements et litiges de l’organisation ; la case cochée avant de payer (date et version du texte) et, le cas échéant, la rétractation. Le numéro de carte reste chez Stripe : ELVN ne le voit ni ne le conserve.
• Courriels : adresse et contenu des messages envoyés par le service (confirmation d’adresse, invitations, mot de passe oublié, courriel du matin, avis de facturation). Le journal des envois garde leur type, leur état et le domaine du destinataire, avec une empreinte de l’adresse, jamais l’adresse en clair.
• Journaux techniques : adresse IP, navigateur, date et heure des requêtes et des erreurs, pour la sécurité et le dépannage ; pour chaque session ouverte, l’appareil et l’adresse IP de connexion.
• Rapports d’erreur : quand l’application ou wall.joli.studio rencontre une erreur, le type de l’erreur, son message et l’endroit du code où elle s’est produite, la version du service, la page (sans ses paramètres ni ses jetons), le navigateur et le système, et, dans l’application, l’identifiant de votre compte et de votre organisation — jamais votre adresse e-mail, votre nom, votre adresse IP ni le contenu de vos posts et de votre marque.
• Liste d’attente : quand l’inscription se fait sur demande, l’adresse e-mail laissée, la langue de la page, le mur de wall.joli.studio qu’elle garde le cas échéant, et les dates de la demande, de l’accès envoyé et du compte créé. Aucun nom ni adresse IP.
• Journal de support : les gestes de l’équipe de joli.studio sur un compte ou une organisation (voir plus bas), avec leur motif.
• Prospection : pour une entreprise à qui nous écrivons, son nom, son SIRET et son activité, son site, l’adresse professionnelle qu’elle publie et nos échanges (voir « Prospection » plus bas).
• Liens de publication : quand vous publiez depuis votre téléphone, le post concerné, sa plateforme, le compte qui a créé le lien, les fichiers déposés pour le téléphone, l’empreinte du lien et les dates de création, d’échéance, d’ouverture et de publication (voir plus bas).

Bases légales et finalités

Aucun traitement ne repose sur le consentement : joli.studio n’utilise ni traceur publicitaire ni cookie qui en demanderait.

L’intelligence artificielle

Pour rendre une action IA (rédiger, réécrire, analyser un site, générer une image, écrire une stratégie), les consignes et les contenus nécessaires à cette action sont transmis à OpenAI, par la passerelle de Cloudflare (AI Gateway). Rien n’est transmis en dehors d’une action que vous lancez, et dont le coût estimé s’affiche avant.

Selon ses conditions d’utilisation de l’API, OpenAI n’utilise pas ces données pour entraîner ses modèles.

La passerelle de Cloudflare ne garde de chaque appel que ses métadonnées : modèle, nombre de jetons, coût, durée, état, et les identifiants techniques de l’organisation, du projet et du compte. Elle ne garde jamais les consignes, les contenus ni les réponses.

L’analyse de marque lit uniquement les pages publiques de l’adresse que vous indiquez, avec un robot qui s’annonce sous le nom JoliStudioBot. Elle regarde aussi le haut de la page d’accueil dans un navigateur, sans accepter de cookie ; deux captures de cette page publique sont transmises à OpenAI avec son texte, et ne sont pas gardées.

Publier depuis votre téléphone

Dans la fenêtre « Publier », « Sur mon téléphone » affiche un QR code. Il mène à une page qui s’ouvre sans connexion, pendant une heure, et pour ce seul post. Elle contient ce qu’il faut pour le publier, et rien d’autre : le titre du post, ses textes (légende, hashtags, textes alternatifs, posts d’un fil, question et réponses d’un sondage), ses fichiers (images, PDF ou vidéo), sa plateforme et le handle de la marque sur cette plateforme. Ni l’organisation ni le projet n’y figurent, et la page n’est pas indexée par les moteurs de recherche.

Le lien porte un jeton secret. Nous ne gardons jamais ce jeton, seulement son empreinte : on ne peut pas refaire le lien à partir de ce que nous stockons. Le lien cesse de fonctionner à son échéance, dès que vous demandez un « Nouveau code », ou quand vous en créez un autre pour le même post. Toute personne qui a le lien pendant cette heure voit ce que la page montre et peut dire le post en ligne : ne le partagez pas. « C’est en ligne ! », depuis le téléphone, enregistre la publication au nom de la personne qui a créé le lien.

Les fichiers déposés pour le téléphone sont effacés un jour après l’échéance du lien, par le ménage quotidien qui suit ; les lignes des liens (dates, compte, empreinte), 30 jours après leur création.

Cookies et mesure d’audience

L’application super.joli.studio n’utilise que des cookies strictement nécessaires à votre session. Vos préférences, comme la langue et l’affichage, sont gardées dans votre navigateur.

Paiement. Le script de Stripe (Stripe.js) n’est chargé que sur les écrans de paiement de l’application — payer, changer d’offre, changer de carte —, jamais au chargement des autres pages ni sur la vitrine. Il affiche le formulaire de carte dans un cadre servi par Stripe et, pour prévenir la fraude, recueille des informations sur l’appareil, le navigateur et la façon dont le formulaire est rempli ; Stripe peut déposer à cette occasion des cookies nécessaires à la sécurité du paiement. Ces données sont traitées par Stripe selon sa propre politique de confidentialité.

La vitrine joli.studio, l’application super.joli.studio et wall.joli.studio mesurent leur audience sans cookie ni identifiant gardé sur votre appareil, pour savoir quelles pages servent et d’où viennent les visites. Deux sondes : Cloudflare Web Analytics sur la vitrine, et Elvn Analytics, notre propre outil, opéré par ELVN SAS, sur les trois. Le script d’Elvn Analytics est servi par chaque site lui-même, et ses mesures passent par nos serveurs, qui les relaient à Elvn Analytics sans aucun cookie.

Chaque événement est envoyé un par un, au moment où il a lieu. Ce qu’Elvn Analytics enregistre :

• à chaque page vue : l’adresse de la page, sans ses paramètres, sauf les étiquettes de campagne (utm_*, ref, source) ; le site d’où vous venez, réduit à son adresse d’accueil ; la largeur de votre écran et la langue de votre navigateur ; le navigateur, le système et le type d’appareil, déduits de l’en-tête que tout navigateur envoie ; le pays, la région et la ville, déduits de la connexion ;
• l’engagement : quand vous quittez un onglet, le temps passé à interagir avec la page et jusqu’où vous l’avez fait défiler ;
• les liens sortants et les téléchargements : l’adresse d’un lien vers un autre site ou d’un fichier téléchargé, sans ses paramètres.

Pour compter les visiteurs, Elvn Analytics calcule à chaque événement un pseudonyme technique : une empreinte de votre adresse IP et de votre navigateur, mêlés à un sel secret renouvelé chaque mois et propre au site. Ni l’adresse IP ni la signature complète du navigateur ne sont enregistrées. Ce pseudonyme permet de reconnaître un même visiteur au plus pendant un mois et sur un seul des trois sites ; il ne dit pas qui vous êtes, et il ne permet de vous suivre ni d’un mois à l’autre, ni d’un site à l’autre.

Dans l’application, l’adresse d’une page contient les identifiants techniques de votre organisation, de votre projet ou d’un post. Ils sont donc enregistrés avec la page vue. Ils ne disent rien de son contenu, et ces mesures ne partent chez personne d’autre qu’ELVN SAS. La console d’administration et les pages qui portent un lien personnel (invitation, nouveau mot de passe, confirmation d’adresse, page du téléphone pour publier) ne sont jamais mesurées.

Vous opposer à la mesure se fait en un geste, qui vaut aussitôt :

• sur la vitrine, avec le bouton ci-dessous ;
• dans l’application, dans « Mon compte », onglet Préférences, avec l’interrupteur « Mesure d’audience » ;
• partout, avec le signal Global Privacy Control de votre navigateur (natif dans Brave, par une extension dans Firefox et Chrome) : quand il est envoyé, rien n’est mesuré, ni sur la vitrine, ni dans l’application, ni sur wall.joli.studio.

Le bouton et l’interrupteur écrivent une seule préférence dans votre navigateur (elvn_ignore), pour ne plus vous compter ; elle vaut pour le site où vous l’avez posée. Rien n’est mesuré non plus devant un navigateur piloté par un programme.

Aucun cookie publicitaire n’est déposé, ni sur la vitrine ni dans l’application : il n’y a donc pas de bandeau de consentement.

Ce que voit l’équipe de joli.studio

Pour faire tourner le service et aider ses clients, l’équipe de joli.studio, chez ELVN SAS, dispose d’une console d’administration. Seules quelques adresses de l’équipe y ont accès. Elle y voit :

• les comptes : nom, adresse e-mail, date d’inscription, adresse confirmée ou non, organisations et rôles, dernière visite, sessions ouvertes (navigateur, système et adresse IP tronquée) ;
• les organisations : nom, offre, membres et invitations, et pour chaque projet son nom et son nombre de posts ;
• l’usage : Sparks versées et dépensées, par action et par projet, coût réel des appels aux modèles d’IA, tâches IA et leurs erreurs ;
• les courriels envoyés par le service : leur type, leur état et le domaine du destinataire, sans l’adresse en clair.

Elle ne voit jamais vos contenus : ni vos posts, ni votre profil de marque, ni vos images, ni vos références et leurs photos. La console ne permet ni de se connecter à votre place, ni d’écrire dans un projet.

Vos retours font exception, parce que vous les envoyez : un retour envoyé par « Faire un retour » (un souci, une idée, une question) arrive dans la console avec son message, la page d’où il part, le projet et l’organisation ouverts, le navigateur, la taille de la fenêtre, la version de l’application et, pour un souci, la dernière erreur de l’application. La capture de la page n’y est jointe que si vous la cochez ; c’est la seule fois où l’équipe peut voir une partie de vos contenus. L’équipe y répond par écrit, dans l’application et par courriel. Vos retours ne sont visibles que de vous et de l’équipe.

Les gestes de support (ajouter des Sparks, offrir une offre, créer une organisation, suspendre un compte, fermer ses sessions, envoyer le courriel de réinitialisation du mot de passe, supprimer un compte, arrêter une tâche) exigent un motif et sont journalisés : qui, quoi, sur quoi, quand et pourquoi. Le lien de réinitialisation d’un mot de passe part à votre adresse ; personne d’autre ne le voit.

Ces traces ne sont pas gardées sans fin : une tâche quotidienne efface le journal des courriels envoyés au-delà de 12 mois, les bilans des tâches planifiées au-delà de 90 jours et le journal des gestes de support au-delà de 24 mois.

wall.joli.studio

Sur wall.joli.studio, on colle l’adresse d’un site et joli.studio en tire un mur de neuf posts, sans compte. Ce que nous gardons :

• le mur : le domaine du site, ce qu’en a lu joli.studio (nom, couleurs, polices, ton, sujets), les neuf posts, leur allure, la date et, pour un mur offert, le prénom que la personne qui l’offre a choisi de donner ;
• la mesure : les ouvertures d’un mur et ses partages par canal, comptés sans cookie ni identifiant, puis effacés après 12 mois.

Ce que nous ne gardons pas :

• aucun compte, aucune adresse e-mail n’est demandée pour poser un mur ;
• l’adresse IP n’est jamais enregistrée. Pour limiter le nombre de murs par jour, nous gardons seulement une empreinte calculée à partir de l’adresse, de la date du jour et d’une clé secrète : sans cette clé, on ne peut ni remonter à l’adresse, ni relier deux jours entre eux. Cette empreinte est effacée après 2 jours.

Le navigateur qui a posé un mur garde sa clé dans son stockage local ; elle sert à régler ce mur, rien d’autre. Avant de poser ou de signaler un mur, wall.joli.studio distingue les visiteurs des robots avec Cloudflare Turnstile, en mode invisible. Turnstile est régi par l’Addendum de confidentialité de Cloudflare Turnstile.

Comme l’analyse de marque, la lecture ne porte que sur les pages publiques du site, par le même robot, et le texte lu est transmis à OpenAI pour écrire les posts. Avant tout mur, ce texte — ainsi que la phrase de description facultative et le prénom de la personne qui offre un mur — passe par un contrôle de modération automatique d’OpenAI. Un domaine refusé est gardé 30 jours, pour ne pas relire son site à chaque demande. Un mur reste le mur de son domaine pendant 30 jours ; il peut ensuite être remplacé par un nouveau.

« C’est ma marque. » Une marque peut prouver qu’un site est le sien, par un lien envoyé à une adresse de son domaine (courriel envoyé par Resend) ou par une balise posée dans sa page d’accueil. L’adresse donnée ne sert qu’à cet envoi et est effacée à la confirmation ; la trace de la revendication est effacée 90 jours après sa confirmation ou son expiration. La marque peut alors retirer le mur : le retrait est immédiat, le mur disparaît du Mur et de son adresse, et le domaine ne peut plus recevoir de mur pendant un an. Un mur retiré ou remplacé n’est plus montré nulle part ; sa ligne est gardée, sans être affichée, pour appliquer le retrait. Chacun peut aussi signaler un mur, que l’équipe retire depuis la console d’administration.

Rendre ce mur réel. Si vous créez un compte depuis un mur, sa marque et ses posts entrent dans votre premier projet : ils suivent alors les règles de l’application décrites dans cette page.

Prospection

L’équipe de joli.studio écrit à des entreprises pour leur présenter le service, un message à la fois, relu et envoyé par une personne, depuis l’adresse jc@jolistudio.app. Nous n’écrivons jamais à un particulier, jamais à une adresse devinée : seulement à l’adresse qu’une entreprise publie pour son activité — y compris celle d’une messagerie grand public, comme souvent chez un artisan ou un indépendant —, et pour un objet lié à cette activité.

D’où viennent les données. De deux sources publiques : l’annuaire des entreprises de l’État (API Recherche d’entreprises, données Sirene de l’Insee), dont nous ne retenons que les établissements actifs aux informations diffusibles ; et le site de l’entreprise, lu par le même robot que l’analyse de marque, dans le respect de son fichier robots.txt. Nous ne lisons ni Instagram, ni Facebook, ni LinkedIn, et n’achetons aucun fichier.

Ce que nous gardons sur une entreprise contactée :

• son nom (qui peut être celui de l’entrepreneur, pour une entreprise individuelle), son SIREN et son SIRET, son code d’activité, sa commune et sa tranche d’effectif, tels que les publie l’annuaire ;
• son site, les liens vers ses réseaux trouvés sur ce site, l’adresse professionnelle qu’elle y publie et la page où nous l’avons lue ;
• une note sur dix, critère par critère, qui nous aide à choisir à qui écrire, et nos notes de travail ;
• nos échanges : les messages envoyés et reçus, leur date, s’ils sont arrivés ou ont été refusés, et la lecture de chaque réponse (intéressée, question, pas maintenant…) ;
• le mur que nous lui avons préparé sur wall.joli.studio, s’il y en a un.

Le mur offert. Nous pouvons préparer pour l’entreprise un mur de wall.joli.studio à partir de son site. Ce mur n’est jamais public : il n’est ni sur le Mur, ni indexé par les moteurs de recherche, et ne représente aucune personne. Le lien de notre message porte un jeton personnel : quand il est ouvert, nous savons que le mur a été vu, et si un compte est créé depuis ce mur, nous rattachons ce compte à notre échange, une fois. Le jeton n’est jamais gardé en clair, seulement son empreinte.

L’intelligence artificielle. Pour trouver le site d’une entreprise, son nom et sa commune sont transmis à OpenAI, qui fait une recherche sur le web. Pour préparer un message, noter une entreprise ou lire une réponse, les informations ci-dessus et nos échanges sont transmis à OpenAI, dans les mêmes conditions que les actions IA de l’application : OpenAI ne s’en sert pas pour entraîner ses modèles. Le modèle prépare ; c’est toujours une personne qui relit et envoie.

Base légale : notre intérêt légitime à faire connaître joli.studio aux professionnels, dans le cadre posé par la CNIL pour la prospection entre entreprises.

Vous opposer se fait à tout moment, sans justification, et vaut pour toujours :

• en répondant STOP à n’importe lequel de nos messages ;
• par le lien d’opposition en bas de chacun de nos messages (ou « Se désabonner » dans votre messagerie) ;
• en écrivant à bonjour@joli.studio.

L’opposition arrête aussitôt tout envoi, retire le mur offert et efface la fiche de l’entreprise au plus tard le lendemain. Pour ne jamais vous réécrire, même si votre entreprise réapparaît dans l’annuaire, nous gardons seulement une empreinte de votre domaine et de votre adresse (un calcul à sens unique, qui ne permet pas de les retrouver) : c’est notre registre d’opposition, qui n’est jamais effacé et ne contient rien d’autre.

Qui voit ces données : l’équipe de joli.studio, dans sa console d’administration. La boîte jc@jolistudio.app est hébergée par Google (Google Workspace), qui achemine et conserve nos messages ; OpenAI traite ce qui est dit plus haut. Aucune donnée de prospection n’est vendue ni transmise à quelqu’un d’autre.

Combien de temps : une entreprise sans suite et nos échanges sont effacés 12 mois après notre dernier contact ; les résultats d’une recherche que nous n’avons pas retenus, 7 jours ; un mur offert jamais ouvert, 30 jours après sa création (sinon avec la fiche) ; le lien entre un compte et notre échange vit et disparaît avec le compte ; les empreintes du registre d’opposition ne sont jamais effacées.

Vos droits d’accès, de rectification, d’effacement et d’opposition s’exercent à bonjour@joli.studio, comme décrit plus bas. Une demande d’effacement est traitée comme une opposition : la fiche est effacée, seule l’empreinte reste, pour que nous ne vous écrivions plus.

Où vivent vos données

La base de données est hébergée par Cloudflare (D1) en Europe de l’Ouest ; les images et les fichiers sont stockés sur Cloudflare R2. Les prestataires suivants traitent des données pour notre compte, selon nos instructions :

Si vous choisissez « Continuer avec Google », Google vous authentifie et nous transmet l’identifiant, le nom, l’adresse et la photo de votre compte ; Google agit alors selon ses propres règles de confidentialité.

Adresses suggérées. Quand vous saisissez une adresse de facturation en France, le texte tapé dans le champ « Adresse » passe par nos serveurs jusqu’au service de géocodage de la Géoplateforme de l’IGN (Institut national de l’information géographique et forestière, établissement public français), qui propose des adresses de la Base Adresse Nationale. Seul ce texte part : ni votre adresse IP, ni votre nom, ni votre compte. Rien n’est envoyé pour une adresse hors de France.

Transferts hors de l’Union européenne

Cloudflare, OpenAI, Resend et Sentry sont établis aux États-Unis, et Google peut traiter les messages de la boîte de prospection hors de l’Union européenne. Les transferts correspondants reposent sur les clauses contractuelles types de la Commission européenne.

Durées de conservation

• Compte et contenus : tant que le compte existe. Les versions enregistrées d’un post publié sont effacées 30 jours après sa publication, hormis la version « Publié ». Une organisation se supprime depuis ses réglages, le compte depuis « Mon compte », onglet Zone sensible, ou sur demande à bonjour@joli.studio.
• Factures : dix ans, au titre des obligations comptables ; leur copie chez nous, avec les rétractations, survit à la suppression de l’organisation pour la même raison. Les événements reçus de Stripe : 12 mois.
• Journaux techniques : les journaux des requêtes et des erreurs chez Cloudflare (Workers Logs), 7 jours ; les rapports d’erreur chez Sentry, 90 jours au plus. Les métadonnées des appels à l’IA, sans leur contenu, restent dans la passerelle de Cloudflare dans la limite de son stockage, les plus anciennes effacées en premier.
• Traces de la console d’administration : le journal des courriels envoyés, 12 mois ; les bilans des tâches planifiées, 90 jours ; le journal des gestes de support, 24 mois. Une tâche quotidienne efface ce qui dépasse.
• Liste d’attente : une demande restée sans compte est effacée 12 mois après son dernier courriel ; une demande devenue compte, 30 jours après la création du compte, et avec lui s’il est supprimé. « Me retirer de la liste », en bas de chaque courriel, l’efface tout de suite.
• Liens de publication : les fichiers déposés pour le téléphone, un jour après l’échéance du lien, au passage quotidien qui suit ; le lien lui-même, 30 jours après sa création.
• Retours : tant que le compte existe ; la capture d’une page jointe à un retour est effacée 90 jours après que le retour est traité ou classé.
• wall.joli.studio : empreintes d’adresse IP, 2 jours ; domaines refusés à la modération, 30 jours ; mesure des ouvertures et des partages, 12 mois ; revendications, 90 jours après leur confirmation ou leur expiration ; un mur reste le mur de son domaine 30 jours.
• Prospection : une entreprise sans suite et nos échanges, 12 mois après le dernier contact ; les résultats d’une recherche non retenus, 7 jours ; un mur offert jamais ouvert, 30 jours ; les empreintes du registre d’opposition, sans limite (voir « Prospection »).
• Mesure d’audience : chez Elvn Analytics, les événements et leur pseudonyme sont effacés au plus tard deux mois après leur envoi ; les statistiques qui en sont tirées, de simples compteurs, sont gardées 13 mois.

À la suppression du compte, les contenus et les données associées sont effacés, sous réserve des obligations légales de conservation.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les exercer, écrivez à bonjour@joli.studio : nous répondons dans un délai d’un mois.

Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Sécurité

Les échanges sont chiffrés en transit. Les mots de passe sont stockés sous forme de hachage. Les accès aux données sont cloisonnés par organisation : les contenus d’une organisation ne sont visibles que par ses membres.

Modifications

Cette politique évolue avec le service. Toute version est publiée à cette adresse avec sa date de mise à jour ; un changement important est annoncé aux titulaires de compte avant son entrée en vigueur.