Confidentialité

Qui est responsable

Le responsable de traitement est 15953456 Canada Inc., 40 Ed Clark Gardens, Th09, Toronto, Ontario M6N 0B5, Canada. Contact confidentialité : privacy@demandlens.app — le responsable de la protection des renseignements personnels y répond.

Représentant dans l’Union européenne

Nous n’avons pas désigné de représentant dans l’Union, et nous nous appuyons sur l’exemption de l’article 27(2)(a) du RGPD : notre traitement est occasionnel, ne porte pas à grande échelle sur des catégories particulières de données ni sur des données relatives à des condamnations pénales, et n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.

C’est une position, pas un état définitif. Nous la réexaminons à mesure que le volume augmente, et le jour où l’exemption ne tient plus, un représentant est désigné et nommé ici. Ne rien dire te laisserait dans l’incapacité de distinguer une exemption d’un oubli.

Ce que nous collectons

• Le texte de l’idée que tu soumets — nécessaire pour faire tourner le scan. Traite-le comme tout texte envoyé à un service en ligne ; voir la liste des sous-traitants ci-dessous.
• Ton adresse e-mail — collectée au paiement, utilisée pour livrer le rapport et te permettre de le récupérer ensuite.
• Les données de paiement — traitées par Stripe. Nous recevons la confirmation du paiement et ne voyons jamais ton numéro de carte.
• Les scans et rapports — les artefacts produits, pour que tu puisses les récupérer.
• Les métadonnées de connexion — adresse IP et agent utilisateur, dans les journaux serveur et pour la limitation de débit.
• Ton adresse e-mail, si tu rejoins une liste d’attente ou demandes l’infolettre — conservée pour ce seul usage, jamais fusionnée avec les rapports que tu as achetés, et la désinscription la supprime. Nous envoyons un seul message pour confirmer que l’adresse est bien la tienne : sans cette confirmation, elle n’est jamais ajoutée à la liste, et rien d’autre n’est envoyé.

Les agrégats de benchmarks

Si nous publions un jour des chiffres sur les idées que nous avons mesurées — par exemple, où se situe un score parmi les idées logicielles — ces chiffres sont calculés sur des agrégats dé-identifiés au-dessus d’un seuil divulgué : une case trop petite pour dissimuler une personne n’est pas publiée du tout.

Le texte de ton idée n’alimente rien de tout cela. Un texte d’idée ne s’anonymise pas : il est donc exclu par règle, et non par prudence.

Ce que nous ne collectons pas

Pas de pixels publicitaires, pas de traceurs tiers qui te suivent sur d’autres sites, pas de profilage comportemental, pas de cookie ni d’empreinte d’appareil utilisé pour t’identifier individuellement. Les polices sont auto-hébergées : ton navigateur ne fait aucune requête vers un fournisseur de polices quand tu visites le site.

Mesure d’audience

Nous utilisons Cloudflare Web Analytics pour compter la fréquentation agrégée et mesurer la performance des pages. Cet outil ne pose aucun cookie et ne stocke aucun identifiant persistant sur ton appareil : Cloudflare le décrit lui-même comme comptant des pages vues, pas des personnes, et traite l’empreinte de navigateur comme plus intrusive qu’un cookie plutôt que de l’utiliser en substitut. Aucune donnée permettant de t’identifier individuellement n’est collectée par cette mesure.

Cookies et stockage local

Nous utilisons un seul cookie strictement nécessaire : un cookie de session posé après vérification d’un code de récupération à usage unique, pour que tes rapports récupérés restent accessibles. Il est indispensable au fonctionnement de cette fonction et ne porte aucun suivi.

Ton navigateur conserve aussi une clé d’accès par rapport dans le stockage local, pour qu’un rapport que tu as payé reste lisible à ton retour. Elle ne circule jamais dans une URL. Rien d’autre n’est écrit sur ton appareil.

Comme nous ne posons aucun cookie de publicité et que notre outil de mesure d’audience n’en pose pas non plus, aucun bandeau de consentement n’est requis.

Qui d’autre traite tes données

Nous faisons appel aux sous-traitants suivants, chacun pour une finalité déclarée. La règle que nous appliquons : un tiers est déclaré dès lors qu’il reçoit une donnée dérivée du texte de ton idée, même s’il ne voit jamais ce texte lui-même.

Les sources publiques que nous interrogeons — Hacker News, Stack Exchange, GitHub, eBay — ne reçoivent qu’un terme de recherche, jamais le texte de ton idée, ton e-mail ni aucun identifiant. Elles ne sont pas sous-traitantes de tes données personnelles, et nous les nommons ici pour que la distinction soit vérifiable par toi plutôt qu’affirmée par nous.

• Stripe — traitement du paiement : e-mail, données de paiement (nous ne voyons ni ne conservons les données de carte).
• Anthropic — modèle de langage — structuration du brief, et relais de secours pour la classification, l’expansion de requêtes, la proposition de noms et le pré-mortem quand le modèle principal est indisponible : le texte de l’idée que tu soumets au scan et, quand Anthropic prend le relais, les mêmes données que l’entrée DeepSeek du poste concerné.
• DeepSeek — classification du texte d’idée soumis : le texte de l’idée que tu soumets au scan. DeepSeek traite ces données en Chine ; l’entraînement sur les données soumises est activé par défaut (opt-out par courriel)..
• DeepSeek — expansion des requêtes de recherche à partir de l’idée soumise : le texte de l’idée, tes mots-clés existants et les concurrents connus que tu soumets au scan. DeepSeek traite ces données en Chine ; l’entraînement sur les données soumises est activé par défaut (opt-out par courriel)..
• DeepSeek — proposition de noms de marque pour l’idée soumise : le texte de l’idée que tu soumets au scan. DeepSeek traite ces données en Chine ; l’entraînement sur les données soumises est activé par défaut (opt-out par courriel)..
• DeepSeek — pré-mortem — les raisons pour lesquelles ton idée pourrait échouer : le texte de l’idée, son secteur, et des extraits des preuves publiques collectées pendant ton scan. DeepSeek traite ces données en Chine ; l’entraînement sur les données soumises est activé par défaut (opt-out par courriel)..
• Supabase — base de données — droits d’accès et commandes : e-mail, enregistrements de commande et de droit d’accès.
• Railway — hébergement de l’API : toutes les données en transit et le magasin de fichiers scans/rapports.
• Vercel — hébergement du front : métadonnées de connexion (IP, agent utilisateur).
• Resend — envoi des e-mails — ton rapport, et les codes qui t’en rendent l’accès : e-mail, le lien du rapport et sa référence de commande, et le code de récupération à usage unique.
• DataForSEO — mesure des volumes de recherche : un mot-clé dérivé du texte de l’idée que tu soumets.
• Porkbun — disponibilité et tarif des domaines : des noms de domaine candidats dérivés du texte de l’idée.

Sur quelle base

L’exécution de notre contrat avec toi (livrer et permettre de récupérer le rapport), le respect d’obligations légales (pièces comptables et fiscales), et notre intérêt légitime à maintenir le service disponible et non abusé (limitation de débit, journaux).

Combien de temps

Les commandes et droits d’accès sont conservés le temps de te permettre de récupérer tes rapports et de satisfaire aux obligations comptables. Les journaux serveur sont de courte durée. Tu peux demander la suppression de tes données à tout moment, sous réserve des pièces que la loi nous impose de conserver.

Transferts internationaux

Nous sommes établis au Canada. Pour les transferts depuis l’UE/EEE, le Canada bénéficie d’une décision d’adéquation de la Commission européenne couvrant les organisations commerciales soumises à la LPRPDE, qui constitue la base sur laquelle tes données nous parviennent. Les sous-traitants situés ailleurs sont engagés sous leurs propres garanties de transfert.

Tes droits

Selon ton lieu de résidence, tu peux disposer d’un droit d’accès, de rectification, d’effacement, de portabilité, d’opposition ou de limitation, et du droit de retirer ton consentement.

Écris à privacy@demandlens.app ; nous répondons dans le délai qui t’est applicable.

Réclamations

Si tu es dans l’UE/EEE, tu peux saisir l’autorité de contrôle de ton pays — en France, la CNIL. Au Canada, tu peux saisir le Commissariat à la protection de la vie privée du Canada, et les résidents du Québec la Commission d’accès à l’information.