Politique de confidentialité

Responsable

Bruno SEILLIEBERT, pour Norenso, projet en cours de création : Norenso n'est pas encore une entreprise immatriculée

Contact

contact@norenso.fr

Cette page explique quelles informations Norenso traite, d'où elles viennent, pourquoi, combien de temps elles sont gardées et comment vous y opposer, dans chacune de ces situations :

• nous vous avons contacté pour proposer un site à votre commerce ;
• vous nous avez demandé un aperçu avec le formulaire de ce site ;
• vous avez ouvert votre espace ou vous êtes devenu client ;
• vous visitez le site d'un commerce réalisé par Norenso.

Nous ne vendons, ne louons et ne cédons aucune donnée. Aucune information ne sert à de la publicité, et l'application n'envoie aucune donnée à une intelligence artificielle.

Norenso repère des commerces de quartier qui n'ont pas de site, ou dont le site a vieilli, pour leur proposer un site. Ces informations n'ont pas été recueillies auprès de vous : voici lesquelles, d'où elles viennent et ce que nous en faisons.

Les informations que nous gardons :

• l'identité du commerce : nom, enseigne, numéros SIREN et SIRET, activité, adresse, date de création et taille. Si vous êtes entrepreneur individuel, le nom de votre entreprise peut être le vôtre : c'est alors une donnée personnelle, traitée comme telle ;
• ce que le commerce publie lui-même : horaires, carte et prix, téléphone et e-mail professionnels, adresse de son site et de ses pages publiques sur les réseaux sociaux, couleurs, logo et photos de la devanture ou des produits, sans personne reconnaissable ;
• les informations publiées sur l'accessibilité de l'établissement ;
• nos propres observations : si le commerce a un site et s'il est récent, une note de priorité calculée à partir de ces éléments, le suivi de nos échanges et nos notes.

D'où elles viennent :

• le répertoire SIRENE de l'Insee, registre public des entreprises, pour les seuls établissements dont les informations sont diffusées ;
• OpenStreetMap, carte collaborative, et Panoramax, photos de rue publiées sous licence libre ;
• Acceslibre, registre public de l'accessibilité des établissements ;
• le site du commerce, lu par notre outil qui se présente sous le nom NorensoBot, et ses pages publiques sur les réseaux sociaux, consultées par nous ;
• Google Maps, seulement pour repérer les commerces et savoir s'ils ont un site : nous ne gardons que l'identifiant de la fiche et l'adresse du site qu'elle indique, que nous visitons nous-mêmes. Rien d'autre de Google n'est conservé ni repris dans la maquette ou dans nos messages.

Pourquoi : choisir les commerces à qui proposer un site, préparer une maquette et vous la présenter. La note de priorité sert seulement à décider qui contacter en premier ; une personne décide toujours, et cette note n'a aucune autre conséquence pour vous.

Base légale : notre intérêt légitime à proposer nos services à des professionnels, pour un objet lié à leur activité (article 6, paragraphe 1, point f du RGPD). Nous ne gardons que ce qui sert à cette proposition.

La maquette : nous pouvons réaliser une maquette non officielle du site de votre commerce. Elle n'est visible que par un lien privé, n'est pas référencée par les moteurs de recherche et n'est plus accessible 90 jours après sa dernière mise à jour. Nous notons la date de chaque ouverture de ce lien, sans votre adresse IP ni aucune autre information, pour savoir si la proposition vous intéresse.

Le premier contact : par e-mail, message privé sur les réseaux sociaux, courrier ou téléphone, aux coordonnées professionnelles du commerce. Chaque message dit qui nous sommes et d'où viennent vos informations, et donne un code propre à votre commerce pour ouvrir votre espace si vous le souhaitez.

Votre avis sur la maquette : depuis la maquette, vous pouvez nous dire sans vous connecter si elle vous intéresse, avec un commentaire facultatif. Nous gardons votre réponse, sa date et la langue de la page, sans enregistrer votre adresse IP ni aucune information sur votre appareil. Elle sert seulement à vous répondre et à améliorer notre service. N'écrivez pas de données personnelles dans le commentaire. Base légale : notre intérêt légitime à vous répondre et à améliorer notre service (article 6, paragraphe 1, point f du RGPD). Votre avis est conservé et supprimé avec les autres informations de votre commerce.

Vous opposer : à tout moment, sans avoir à vous justifier, par le lien « Ne plus être contacté » présent dans chaque message et sur la maquette, ou en écrivant à contact@norenso.fr. La maquette est aussitôt retirée et nous ne vous recontactons plus.

Pour respecter votre opposition dans la durée, nous gardons dans une liste d'opposition ce qui suffit à reconnaître votre commerce, son numéro SIRET : sans cette liste, une nouvelle recherche pourrait le proposer à nouveau.

Si vous avez demandé à l'Insee que les informations de votre entreprise ne soient pas diffusées, votre commerce n'apparaît pas dans nos recherches.

Les informations envoyées avec le formulaire « Parlez-nous de votre commerce » servent uniquement à vous recontacter au sujet de votre site, notamment pour vous envoyer l'aperçu que vous avez demandé. Elles ne sont utilisées à aucune autre fin.

Seules les informations que vous saisissez dans le formulaire sont collectées :

• le nom et la ville de votre commerce ;
• votre nom ;
• votre numéro de téléphone et votre adresse e-mail, si vous les indiquez ;
• ce que vos clients doivent trouver sur votre site, parmi : horaires, tarifs, carte ou menu, photos, itinéraire ;
• votre accord pour être recontacté.

Pour protéger le formulaire contre les envois automatisés, le service Turnstile de Cloudflare examine au moment de l'envoi des signaux techniques de votre navigateur, et votre adresse IP sert à limiter le nombre de demandes : elle reste quelques minutes en mémoire, sans être enregistrée.

Le traitement repose sur votre consentement (article 6, paragraphe 1, point a du RGPD), donné en cochant la case prévue dans le formulaire. Vous pouvez le retirer à tout moment en écrivant à contact@norenso.fr.

Votre compte contient votre adresse e-mail, votre nom, votre rôle (client ou administrateur) et les commerces que vous gérez. Pour vous connecter, vous recevez par e-mail un code à usage unique, valable 10 minutes, que nous ne conservons que sous une forme qui ne permet pas de le relire.

Chaque connexion crée une session, enregistrée avec sa date d'expiration, l'adresse IP et le navigateur utilisés. Ces informations servent uniquement à vous garder connecté et à sécuriser votre compte. Votre adresse IP sert aussi, pendant quelques minutes, à limiter les tentatives de connexion.

Si vous demandez l'accès à l'espace de votre commerce sans code, nous gardons votre demande (nom, adresse e-mail, téléphone si vous l'indiquez, message et langue) pour vérifier que vous êtes bien responsable du commerce avant de vous ouvrir l'accès.

Ces traitements sont nécessaires à la préparation et à l'exécution de votre contrat (article 6, paragraphe 1, point b du RGPD). Les e-mails de connexion sont envoyés par Scaleway Transactional Email, en France.

Dans votre espace, vous vérifiez et modifiez ce que votre site affiche : horaires, carte et prix, coordonnées, présentation et mentions légales. Chaque modification est inscrite dans un journal : qui l'a faite, quand, l'ancienne et la nouvelle valeur. Ce journal garde la trace de ce que vous nous avez demandé de publier, par exemple un prix ou un horaire.

Les photos, le logo et la carte que vous envoyez servent uniquement à votre site et aux fichiers que nous préparons pour vous. Avant d'envoyer une photo, vous confirmez que vous avez le droit de l'utiliser et qu'aucune personne n'y est reconnaissable.

Pour l'adresse internet de votre site, nous gardons le nom de domaine choisi et l'historique de vos choix. Nous consultons les informations publiques des registres de noms de domaine (disponibilité, bureau d'enregistrement, serveurs de noms) et vérifions les réglages techniques de l'adresse. Un nom de domaine réservé pour vous l'est à votre nom, après la signature du contrat.

Si vous créez des visuels dans le studio de votre espace (affiches, autocollants), nous gardons chaque visuel : le modèle, le format, les couleurs et les éléments choisis, les textes que vous écrivez, ainsi que la date et le format de chaque téléchargement. Ils vous permettent de reprendre et de télécharger vos visuels ; les dates, horaires et coordonnées qui y figurent sont lus dans votre fiche à chaque affichage, et les fichiers téléchargés ne sont pas gardés sur nos serveurs. Vos visuels sont supprimés avec les autres données de votre espace.

Ces traitements sont nécessaires à la préparation et à l'exécution de votre contrat (article 6, paragraphe 1, point b du RGPD) ; le journal des modifications sert aussi à la défense de nos droits et des vôtres (point f).

Si vous nous dites qu'une fonction à venir vous intéresse, comme la création de vos affiches et de vos posts, nous gardons votre réponse, sa date et, si vous l'écrivez, la description du visuel dont vous auriez besoin. Ces informations servent seulement à préparer cette fonction. Base légale : votre consentement (article 6, paragraphe 1, point a du RGPD). Vous pouvez modifier ou retirer votre réponse à tout moment dans votre espace ; sinon, elle est conservée comme les autres données de votre espace.

Depuis votre espace, vous pouvez connecter votre fiche Google (Google Business Profile) ou votre page Facebook pour que Norenso les mette à jour pour vous. Nous gardons alors :

• votre accord exprès, avec la version du texte que vous avez accepté et sa date ;
• les clés d'accès (jetons) remises par Google ou Meta, enregistrées chiffrées, qui ne permettent à Norenso de modifier que ce que vous avez autorisé ;
• l'identifiant et le nom de la fiche Google ou de la page Facebook que vous avez choisie ;
• un journal de ce qui a été envoyé et quand : connexion, mises à jour réussies ou non, déconnexion.

Pourquoi : publier sur ces plateformes, à votre demande, vos horaires, vos fermetures (sur Google seulement) et l'adresse de votre site, quand vous enregistrez vos horaires dans votre espace ou quand vous touchez « Mettre à jour maintenant ». Norenso ne touche jamais à vos avis, à vos photos, à vos publications ni à vos messages.

Base légale : votre consentement, donné dans votre espace en cochant « J'autorise Norenso à faire ces modifications pour moi » avant de vous connecter à la plateforme (article 6, paragraphe 1, point a du RGPD). Vous pouvez le retirer à tout moment en déconnectant la plateforme.

Google et Meta reçoivent les informations que vous avez choisi de publier. Ils les traitent pour leurs plateformes, sous leur propre responsabilité et selon leurs propres conditions et politiques de confidentialité.

Vous pouvez déconnecter une plateforme à tout moment avec le bouton « Déconnecter » de votre espace : Norenso demande alors à la plateforme de retirer son accès et supprime aussitôt les jetons et le lien avec votre fiche ou votre page. Ce qui est déjà publié sur la plateforme reste comme il est. Si vous retirez l'accès depuis votre compte Google ou Facebook, les jetons ne servent plus à rien et sont supprimés quand vous déconnectez la plateforme dans votre espace, ou avec les autres données de votre espace.

Lorsque vous signez votre contrat en ligne, nous enregistrons votre nom, votre qualité, l'adresse e-mail à laquelle le code de signature a été envoyé, l'heure d'envoi et de saisie du code, l'adresse IP et le navigateur utilisés, ainsi que le contrat signé au format PDF. Le code lui-même n'est conservé que sous une forme qui ne permet pas de le relire.

Ces informations prouvent la signature et le contenu du contrat. Ce traitement est nécessaire à son exécution et à la défense de nos droits (article 6, paragraphe 1, points b et f du RGPD). Elles sont conservées pendant toute la durée du contrat, puis cinq ans après sa fin, délai de prescription entre professionnels.

Les paiements par carte ou par prélèvement SEPA se font sur une page de paiement de Stripe. Norenso ne voit jamais votre numéro de carte ni vos coordonnées bancaires complètes : Stripe nous transmet l'état de votre abonnement et de vos paiements, et vos factures.

Stripe traite aussi certaines de ces données pour son propre compte, notamment pour vérifier l'identité de ses clients et lutter contre la fraude : sa propre politique de confidentialité s'applique alors.

Base légale : l'exécution de votre contrat (article 6, paragraphe 1, point b du RGPD), et pour les factures notre obligation légale de conserver les pièces comptables (point c).

Une fois votre site en ligne, nous comptons ses visites pour vous les montrer dans votre espace : pages vues, clics sur les boutons utiles (appeler, itinéraire, commander, réserver) et provenance des visiteurs par grandes catégories. Aucun cookie, aucun identifiant et aucune adresse IP n'est enregistré : nous ne gardons que des totaux par jour.

Pour ces statistiques, vous êtes responsable du traitement et Norenso agit pour votre compte, comme sous-traitant, selon l'annexe de sous-traitance de votre contrat. Nous ne nous en servons jamais pour nous-mêmes ni pour comparer des commerces. Les visiteurs de votre site sont informés par la page de confidentialité de ce site, et vous pouvez refuser cette mesure en nous écrivant.

Vos données sont destinées à Norenso seul. Elles ne sont ni vendues, ni louées, ni cédées. Elles sont hébergées en France, chez Scaleway, sur des serveurs gérés par Norenso. Nos prestataires n'y accèdent que pour le service qu'ils nous rendent, dans le cadre d'un contrat qui les y oblige :

• Cloudflare, uniquement pour la vérification anti-robots (Turnstile) du formulaire de demande. Pour cette vérification, Cloudflare utilise aussi certains signaux pour améliorer son service, en tant que responsable de traitement ;
• Scaleway, en France, qui héberge ce site, sa base de données, ses sauvegardes et les sites de nos clients, les diffuse et les protège (réseau de diffusion et pare-feu), et gère les noms de domaine réservés au nom de nos clients ;
• Scaleway Transactional Email, en France, qui envoie les codes de connexion et de signature et nos e-mails ;
• Stripe, pour les paiements et les factures ;
• Sentry, s'il est activé, qui nous signale les erreurs techniques de l'application : ses rapports ne contiennent ni votre identité, ni vos cookies, ni ce que vous saisissez ;
• ntfy, outil de notification hébergé par Norenso sur son serveur Scaleway, en France, qui prévient Norenso d'une nouvelle demande ou d'une étape franchie : ses notifications ne contiennent que le nom du commerce et l'événement, jamais un numéro de téléphone ni une adresse e-mail. Quand une notification est relayée vers un iPhone, le service ntfy.sh ne reçoit qu'un identifiant technique de la notification et une empreinte de l'adresse de notre canal, qu'il transmet par Google (Firebase) et Apple pour réveiller l'application ; ni le nom du commerce ni le contenu de la notification ne lui sont envoyés ;
• Anthropic, éditeur de l'assistant Claude, que Norenso utilise avec une offre professionnelle (Claude Team) pour préparer les maquettes et les sites. Nous y utilisons les informations publiques du commerce et celles que vous nous demandez de publier, jamais les données de votre compte (adresse e-mail, connexions, signature, paiements). Avec cette offre, Anthropic n'entraîne pas ses modèles sur nos contenus. L'application elle-même n'envoie rien à Claude.

Nous pouvons aussi devoir communiquer des données à une autorité qui les demande dans le cadre de la loi, comme l'administration fiscale ou la justice.

L'hébergement, les sauvegardes et l'envoi des e-mails restent en France, chez Scaleway. Cloudflare (pour la seule vérification anti-robots du formulaire), Stripe, Sentry et Anthropic sont des sociétés américaines : certaines données peuvent être traitées aux États-Unis. Ces transferts sont encadrés, selon le prestataire, par la décision d'adéquation de la Commission européenne pour les entreprises certifiées au Data Privacy Framework, ou par les clauses contractuelles types de la Commission européenne. Vous pouvez obtenir le détail de ces garanties en nous écrivant.

Passé ces durées, les données sont supprimées, ou rendues anonymes quand il ne reste que des totaux.

Commerces contactés qui ne deviennent pas clients

trois ans après leur collecte ou après votre dernier contact avec nous, puis suppression

Liste d'opposition

tant que nécessaire pour respecter votre opposition, avec le seul numéro SIRET

Ouvertures de la maquette

90 jours après chaque ouverture

Demandes envoyées avec le formulaire

trois ans après notre dernier échange, si aucun contrat n'est signé

Demandes d'accès à l'espace sans code

un an

Compte, informations et photos du commerce, adresse internet, journal des modifications

pendant le contrat, puis trois mois après sa fin, le temps de vous remettre l'archive de votre site ; sans contrat, comme les informations du commerce contacté

Connexion à Google ou Facebook et journal des envois

jetons supprimés dès que vous déconnectez la plateforme depuis votre espace ; le reste comme votre compte : pendant le contrat, puis trois mois après sa fin ; sans contrat, comme les informations du commerce contacté

Preuves de signature et contrat

pendant le contrat, puis cinq ans après sa fin

Factures et pièces comptables

dix ans (article L123-22 du Code de commerce)

Codes de connexion et de signature

valables 10 minutes, puis inutilisables

Sessions de connexion

jusqu'à la déconnexion, et au plus 7 jours après votre dernière visite

Statistiques de visite

25 mois, en totaux par jour, et supprimées dans les trente jours qui suivent la fin du contrat

Journaux techniques

quelques jours, avec rotation automatique des journaux du serveur

Sauvegardes

copies chiffrées de la base de données, conservées 30 jours

Les données supprimées par l'application disparaissent aussi des sauvegardes dans les 30 jours qui suivent.

Vous pouvez accéder à vos données, les faire rectifier ou effacer, demander la limitation de leur traitement et vous opposer à leur traitement, et en particulier à la prospection, à tout moment et sans avoir à vous justifier. Pour les données de votre compte et de votre commerce, vous pouvez aussi demander à les recevoir dans un format réutilisable. Quand un traitement repose sur votre consentement, vous pouvez le retirer à tout moment. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez à contact@norenso.fr. Une réponse vous est apportée dans un délai d'un mois.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL sur cnil.fr.

Le site peut enregistrer dans votre navigateur trois préférences d'affichage, sans donnée personnelle : la langue du site, le thème choisi (clair ou sombre) et le fait que l'animation du logo a déjà été jouée pendant votre visite. La langue est conservée dans un cookie, envoyé au site à chaque visite pour vous répondre dans cette langue. Le thème et l'animation restent sur votre appareil.

Lorsque vous vous connectez, un cookie de session est aussi enregistré. Il est strictement nécessaire pour vous garder connecté, ne sert à aucun suivi et disparaît à la déconnexion ou au plus tard 7 jours après votre dernière visite.

Le formulaire de demande charge le service Turnstile de Cloudflare, qui peut utiliser dans votre navigateur des informations strictement nécessaires pour distinguer une personne d'un robot. Le paiement se fait sur une page de Stripe, qui applique ses propres règles. Ce site n'utilise aucun outil de mesure d'audience ni aucun traceur publicitaire.

Les informations sur l'éditeur et l'hébergeur du site figurent dans les mentions légales.