Politique de confidentialité

La présente politique de confidentialité (ci-après « Politique ») décrit comment GROUPE YDYLE (ci-après « Eskimoz », « nous ») collecte, utilise et protège les données à caractère personnel des utilisateurs de la plateforme Eskimoz Community (ci-après le « Service »), accessible via le site https://eskimoz.community et l'extension navigateur associée.

Cette Politique s'inscrit dans le respect du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« RGPD ») et de la loi Informatique et Libertés du 6 janvier 1978 modifiée.

1. Responsable du traitement

Pour toute question relative à la présente Politique ou à l'exercice de vos droits, vous pouvez écrire à contact@eskimoz.fr.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du Service. Trois catégories de données sont traitées :

2.1 Données de compte

• Adresse e-mail (identifiant de connexion)
• Prénom et nom
• Mot de passe (jamais stocké en clair — hashé via bcrypt)
• Avatar (optionnel)
• Rôle au sein de votre organisation (admin / user)
• Préférences (langue, fuseau, paramètres de notification)

2.2 Données LinkedIn (via l'extension navigateur)

L'extension Chrome Eskimoz Community lit certaines données de votre session LinkedIn pour activer les fonctionnalités du Service. Plus précisément :

• Lecture du cookie JSESSIONID de linkedin.com (à titre de jeton CSRF Voyager — non stocké, utilisé uniquement pendant la requête)
• Identifiant LinkedIn (URN), URL de profil public, nom complet, photo de profil
• Posts publiés (contenu, identifiant LinkedIn, horodatage, médias)
• Statistiques d'engagement (impressions, likes, commentaires, partages)
• Liste de vos relations LinkedIn (compte + identifiants)
• Nombre d'abonnés
• Tokens OAuth LinkedIn (chiffrés au repos via pgsodium dans la base de données)
• Empreinte technique de l'appareil (« device fingerprint ») pour la gestion multi-appareils de l'extension
• Heartbeats de l'extension (horodatage, version de l'extension, statut)

L'extension lit le cookie li_at de linkedin.com uniquement pour détecter si une session LinkedIn est active sur le navigateur. Cette valeur n'est jamais transmise à nos serveurs ni stockée — elle est lue à la volée et immédiatement oubliée. L'extension ne lit pas vos messages privés et ne stocke aucune donnée LinkedIn dans le navigateur en dehors du cache CSRF temporaire (≤ 5 min).

Pour activer les fonctionnalités de publication et d'engagement, l'extension capture également certains en-têtes techniques (CSRF token, identifiants de tracking) des requêtes sortantes vers l'API interne Voyager de LinkedIn. Ces en-têtes sont nécessaires pour authentifier les appels API effectués pour votre compte ; ils ne contiennent pas de contenu personnel et ne sont utilisés que pendant la session active.

2.3 Données de prospection

• Profils publics LinkedIn ayant interagi avec vos publications (nom, URN, intitulé de poste, entreprise, secteur) — collectés depuis les pages publiques LinkedIn
• Messages directs envoyés depuis le Service à des prospects (contenu, horodatage, statut, identifiant de conversation)
• Préférences personnelles (favoris, masqués, filtres)

2.4 Données techniques et de journalisation

• Logs serveur (adresse IP, user-agent, horodatage)
• Journal d'audit (actions effectuées dans le Service à des fins de sécurité et de traçabilité)
• Cookies techniques de session (cf. section 6)

3. Finalités et bases légales

4. Destinataires et sous-traitants

Vos données sont accessibles aux équipes habilitées de Groupe Ydyle et à nos sous-traitants techniques, sous engagement contractuel conforme aux articles 28 et 32 du RGPD :

• Supabase (Supabase Inc., Singapour ; infra UE — Francfort, Allemagne) — hébergement de la base de données, de l'authentification et du stockage
• LinkedIn (LinkedIn Ireland Unlimited Company, Irlande / LinkedIn Corp., États-Unis) — API officielle pour la publication
• Resend (Resend Inc., États-Unis) — envoi des emails transactionnels (invitations, notifications)
• GIPHY (Giphy, Inc., États-Unis) — recherche de GIFs animés dans la messagerie (requête API, aucune donnée personnelle transmise)

Aucune donnée n'est vendue ou louée à des tiers à des fins commerciales.

5. Transferts hors Union européenne

Certains sous-traitants (LinkedIn, GIPHY, Resend) sont situés aux États-Unis. Les transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne (décision 2021/914) ou, le cas échéant, par le Data Privacy Framework UE-États-Unis pour les fournisseurs certifiés. La liste à jour des certifications est consultable sur dataprivacyframework.gov.

6. Cookies et traceurs

Le Service utilise uniquement des cookies strictement nécessaires à son fonctionnement (session d'authentification Supabase, préférence linguistique, thème). Aucun cookie de mesure d'audience tiers ni cookie publicitaire n'est déposé. L'extension navigateur ne dépose pas de cookies sur les sites visités.

7. Durées de conservation

• Compte utilisateur actif : durée de la relation contractuelle
• Compte désactivé / supprimé : 30 jours en période de grâce puis suppression définitive (les Clients sont tenus à des durées plus longues le cas échéant pour des raisons contractuelles ou légales)
• Tokens OAuth LinkedIn : supprimés immédiatement lors de la révocation ou de la déconnexion
• Journal d'audit : 3 ans (obligation légale de traçabilité)
• Logs techniques : 12 mois maximum (CNIL guidelines)
• Données de prospection : tant que vous restez utilisateur actif ou jusqu'à demande de suppression

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, le vol, l'altération et l'accès non autorisé :

• Chiffrement TLS 1.3 de bout en bout pour tous les échanges réseau
• Chiffrement au repos des données sensibles (tokens OAuth) via pgsodium
• Mots de passe stockés sous forme de hachage bcrypt (jamais en clair)
• Authentification multi-facteur (MFA TOTP) disponible et exigée pour les comptes administrateurs
• Politiques d'accès au niveau ligne (Row Level Security) Supabase pour cloisonner les données entre comptes
• Journal d'audit immuable de toutes les actions sensibles
• Accès aux données limité aux personnes habilitées

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès — obtenir copie de vos données
• Droit de rectification — corriger des informations inexactes
• Droit à l'effacement (« droit à l'oubli ») — demander la suppression de vos données
• Droit à la limitation du traitement
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine (JSON)
• Droit d'opposition au traitement fondé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment lorsque le traitement est fondé sur celui-ci
• Droit de définir des directives sur le sort de vos données après votre décès

Pour exercer ces droits, écrivez à contact@eskimoz.fr en précisant votre demande et en joignant une copie d'une pièce d'identité si nous ne pouvons pas vous authentifier autrement. Nous vous répondons dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe.

Vous disposez également d'un droit de réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07 — cnil.fr/fr/plaintes.

10. Mineurs

Le Service n'est pas destiné aux personnes mineures. Aucune donnée n'est sciemment collectée auprès de personnes âgées de moins de 18 ans. Si vous constatez qu'un compte a été créé par un mineur, signalez-le à contact@eskimoz.fr pour suppression immédiate.

11. Modifications de la Politique

Nous pouvons être amenés à mettre à jour la présente Politique, notamment pour refléter des évolutions techniques, légales ou réglementaires. La date de dernière mise à jour figure en haut de la page. En cas de modification substantielle, les utilisateurs sont informés par email ou notification dans l'application au moins 30 jours avant la prise d'effet.

12. Contact