Politique de confidentialité
Dernière mise à jour : 12 octobre 2026
1. Responsable de traitement
IWCORP, EURL au capital de 500 €, RCS Bourg-en-Bresse 939 891 313, 106 chemin de la Grande Terre, 01390 Civrieux, France (« Horair », « nous »). Contact pour toute question sur vos données : [email protected].
Nous n’avons pas désigné de délégué à la protection des données (DPO), cette désignation n’étant pas obligatoire pour notre activité.
Cette politique concerne les visiteurs du site, les utilisateurs du Service et les professionnels que nous contactons dans le cadre de notre prospection. Pour les données que nos clients traitent via le Service (par exemple les auteurs d’avis), Horair agit comme sous-traitant pour le compte du client (voir l’article 15 des conditions générales).
2. Données collectées, finalités et bases légales
| Finalité | Données | Base légale |
|---|---|---|
| Créer et gérer votre compte, fournir le Service | Nom, e-mail, mot de passe (haché), identifiant Google ou Facebook si vous vous connectez avec, entreprise, établissements, membres invités | Exécution du contrat |
| Synchroniser vos horaires et vos avis | Jetons d’accès aux plateformes connectées, fiches d’établissement, horaires, avis et réponses (dont nom et texte des auteurs d’avis) | Exécution du contrat |
| Assistant WhatsApp et MCP | Numéro WhatsApp relié, contenu des messages échangés avec l’assistant, jetons d’accès des applications autorisées | Exécution du contrat |
| Facturation | Formule, nombre d’établissements, factures, identifiants de paiement (les données de carte sont traitées par Lemon Squeezy, jamais par nous) | Exécution du contrat, obligation légale (comptabilité) |
| Sécurité, prévention de la fraude, journaux techniques | Adresse IP, navigateur, journaux de connexion et d’erreurs | Intérêt légitime, obligation légale |
| Mesure d’audience | Pages vues et événements d’usage anonymisés, sans cookie (Umami, hébergé par nous) | Intérêt légitime (exempté de consentement) |
| Diagnostic des erreurs | Rapports d’erreurs et, pour une petite partie des sessions, un enregistrement de session dont les textes et médias sont masqués (Sentry) | Intérêt légitime |
| Communication et support | E-mails échangés, notifications de service | Exécution du contrat, intérêt légitime |
| Prospection commerciale B2B | Nom, fonction, e-mail professionnel, téléphone et informations publiques de l’établissement (fiche Google, site web, horaires publiés) | Intérêt légitime |
3. Prospection B2B
Nous pouvons contacter par e-mail des professionnels (commerces, restaurants, réseaux…) pour leur présenter Horair, en lien avec leur activité. Les données proviennent de sources publiques : fiches d’établissement, sites web et annuaires professionnels. Chaque message contient un lien pour ne plus être contacté. Votre opposition est prise en compte sans délai et conservée dans une liste d’exclusion. Vous pouvez aussi écrire à [email protected].
4. Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles sont accessibles à l’équipe Horair et à nos sous-traitants, dans la limite de leurs missions :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Hetzner Online GmbH | Hébergement des serveurs et de la base de données | Union européenne |
| Cloudflare, Inc. | CDN, protection, stockage des médias | Mondial (États-Unis) |
| Lemon Squeezy (groupe Stripe) | Paiement, facturation, taxes (merchant of record, également responsable de traitement pour les paiements) | États-Unis |
| Sentry (Functional Software, Inc.) | Suivi des erreurs | États-Unis |
| Twilio Inc. | Envoi et réception des messages WhatsApp | États-Unis |
| OpenRouter, Inc. et Anthropic, PBC | Traitement des messages de l’assistant par un modèle d’IA | États-Unis |
| Instantly | Envoi des e-mails de prospection | États-Unis |
Plateformes que vous connectez. À votre demande, nous échangeons des données avec Google (Business Profile, connexion Google), Meta (Facebook, WhatsApp), Apple (Business Connect), Microsoft (Bing Places) et les autres plateformes que vous connectez. Leurs propres politiques de confidentialité s’appliquent.
Nous pouvons aussi communiquer des données aux autorités lorsque la loi l’exige.
5. Transferts hors de l’Union européenne
Certains prestataires sont situés aux États-Unis. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis lorsque le prestataire y est certifié, ou à défaut par les clauses contractuelles types de la Commission européenne.
6. Durées de conservation
| Données | Durée |
|---|---|
| Compte et données du Service | Pendant la durée du compte, puis suppression dans les 3 mois suivant la clôture (30 jours d’export possibles) |
| Compte d’essai jamais converti et inactif | 3 ans après la dernière activité |
| Messages échangés avec l’assistant | Pendant la durée du compte |
| Liaisons WhatsApp et jetons d’accès inutilisés | Révoqués après 180 jours d’inactivité |
| Factures et pièces comptables | 10 ans (article L123-22 du Code de commerce) |
| Journaux de connexion | 1 an |
| Rapports d’erreurs (Sentry) | 90 jours maximum |
| Prospects sans réponse | 3 ans après le dernier contact |
| Liste d’opposition à la prospection | 3 ans après l’opposition |
7. Cookies et stockage local
Horair n’utilise aucun cookie publicitaire ni traceur soumis à consentement.
- Authentification : votre session est conservée dans le stockage local du navigateur (localStorage). Ce stockage est strictement nécessaire au fonctionnement du Service.
- Mesure d’audience : Umami, hébergé sur nos serveurs, fonctionne sans cookie, ne conserve pas votre adresse IP et ne suit pas les visiteurs d’un site à l’autre.
- Paiement : la page de paiement Lemon Squeezy peut déposer ses propres cookies nécessaires au paiement et à la lutte contre la fraude.
8. Données issues des API Google
Lorsque vous connectez votre compte Google, Horair accède à vos fiches Google Business Profile pour lire et mettre à jour vos établissements, horaires et avis, uniquement afin de fournir les fonctionnalités que vous utilisez. L’utilisation et le transfert à toute autre application des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences d’utilisation limitée (Limited Use). Ces données ne servent ni à la publicité, ni à l’entraînement de modèles d’IA, et ne sont pas lues par un humain sauf avec votre accord, pour des raisons de sécurité ou pour respecter la loi. Vous pouvez révoquer cet accès à tout moment depuis Horair ou depuis votre compte Google.
9. Sécurité
Échanges chiffrés (HTTPS), mots de passe hachés, jetons d’accès des plateformes jamais exposés par l’API, contrôle des accès par entreprise et par rôle, journalisation des modifications d’horaires.
10. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition (notamment à la prospection, sans justification). Vous pouvez aussi définir des directives sur le sort de vos données après votre décès. Pour exercer ces droits, écrivez à [email protected]. Nous répondons dans un délai d’un mois.
Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 (cnil.fr).
11. Mineurs
Le Service est réservé aux professionnels et ne s’adresse pas aux personnes de moins de 16 ans.
12. Modifications
Nous pouvons mettre à jour cette politique. En cas de changement important, nous vous en informons par e-mail ou dans le Service avant son entrée en vigueur.