Politique de confidentialité

Le responsable du traitement est Bx Labs, société par actions simplifiée à associé unique (SASU) au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 108 596 651, dont le siège social est situé 9 rue des Colonnes, 75002 Paris, France.

Pour toute question relative à vos données, écrivez à contact@bxlabs.ai.

Nous traitons les données suivantes lorsque vous utilisez notre service :

• Adresse email et identifiant de compte (inscription, connexion, communication)
• Numéro de téléphone du destinataire et scénario de l'appel canular
• Enregistrement audio et transcription automatique des appels, et scénario, voix et transcription des essais dans le navigateur (voir ci-dessous)
• Historique de vos crédits et de vos achats (le paiement lui-même est traité par Stripe : nous ne recevons jamais votre numéro de carte)
• Avec votre accord seulement : cookies de mesure d'audience et publicitaires (voir § 4)
• Avec votre accord seulement, donné à part : mesure d'usage, cartes de clics et enregistrement des sessions, texte et saisies masqués (voir § 4)
• Mesure de fréquentation des pages, sans cookie (voir § 5)
• Inscription et achats, transmis à notre outil interne de suivi (voir § 6)

Enregistrement et transcription des appels. Chaque appel téléphonique passé avec PrankCall AI est enregistré (les deux voix : celle de l'IA et celle de la personne appelée) et transcrit automatiquement par écrit. Les essais dans le navigateur ne sont pas enregistrés, mais leur scénario, la voix choisie et leur transcription sont conservés. Ces enregistrements, transcriptions et scénarios sont conservés tant que votre compte existe et sont supprimés avec lui. Bx Labs peut les consulter pour la modération (respect des conditions d'utilisation, prévention des abus) et pour le support, et chaque consultation est journalisée. Vous pouvez réécouter et télécharger vos propres appels depuis votre historique.

• Fournir le service — compte, appels, crédits, emails liés à votre compte : exécution du contrat (article 6(1)(b) du RGPD)
• Facturation et comptabilité : obligation légale (article 6(1)(c))
• Modération et prévention des abus : intérêt légitime (article 6(1)(f))
• Mesure de fréquentation et suivi des inscriptions et des ventes (§ 5 et § 6) : intérêt légitime (article 6(1)(f))
• Cookies de mesure d'audience et publicitaires (§ 4) : votre consentement (article 6(1)(a)), que vous pouvez retirer à tout moment
• Amélioration de l'expérience — mesure d'usage, cartes de clics et enregistrement des sessions (§ 4) : votre consentement (article 6(1)(a)), distinct du précédent, que vous pouvez retirer à tout moment

Aucun cookie de mesure ni de publicité n'est déposé tant que vous ne les avez pas acceptés dans le bandeau (« Accepter », ou la case « Mesure d'audience et publicité »). Avec votre accord seulement, nous chargeons :

• Google Analytics 4 (mesure d'audience) et Google Ads (mesure des conversions), édités par Google Ireland Limited ;
• le cas échéant, le pixel Meta (Meta Platforms Ireland Limited) et le pixel TikTok (TikTok Technology Limited), pour mesurer nos campagnes publicitaires.

Si vous refusez, aucun de ces scripts n'est chargé. Votre choix est conservé six mois dans un cookie « cookie-consent », puis la question vous est reposée. Vous pouvez le modifier à tout moment avec le lien « Gérer les cookies » en bas de chaque page : un retrait coupe ces services et efface leurs cookies.

Amélioration de l'expérience. Avec votre accord seulement, donné à part dans le bandeau (case « Amélioration de l'expérience »), nous mesurons l'usage du site pour l'améliorer, avec Umami, un outil libre que Bx Labs héberge lui-même chez Amazon Web Services, en France (région Paris, eu-west-3) : aucune donnée n'est transférée hors de l'Union européenne ni confiée à un autre tiers. Sont collectés : les pages vues (adresse sans ses paramètres ni son ancre, page précédente, titre de la page, langue, taille d'écran, type d'appareil, navigateur et système, pays et ville déduits de l'adresse IP, qui n'est pas conservée), les clics et le défilement (cartes de clics), et l'enregistrement de vos sessions (le déroulé de la page, 10 minutes au plus par page), dans lequel tout le texte et toutes les saisies sont masqués ; les zones sensibles (scénario, numéro appelé, transcriptions, historique et enregistrements des appels, adresse e-mail) n'y figurent pas du tout. Umami ne dépose aucun cookie, mais ses scripts lisent et écrivent dans votre terminal : ils ne sont chargés qu'après votre accord, et jamais dans l'app mobile. Base légale : votre consentement (article 6(1)(a) du RGPD) ; un accord donné à la mesure d'audience et à la publicité ne vaut pas pour cette finalité, et inversement. Conservation : 90 jours pour les enregistrements de session, 13 mois pour les statistiques (pages vues, clics, défilement). Votre choix est conservé six mois dans un cookie « ux-consent ». Un retrait via « Gérer les cookies » arrête la mesure aussitôt (la page se recharge).

Sans consentement, le site n'utilise que des stockages nécessaires à son fonctionnement : votre session de connexion (Supabase) et les cookies « cookie-consent » et « ux-consent » qui retiennent vos choix. Si vous arrivez par un lien de campagne, ses étiquettes utm_source, utm_medium et utm_campaign ne sont gardées dans votre navigateur (localStorage) qu'avec votre accord, pour mesurer l'efficacité de nos campagnes ; sans accord, elles ne sont lues que dans l'adresse de la page, au moment où vous créez un compte (§ 6). De même, la provenance de votre visite (site d'origine et page d'arrivée, sans leurs paramètres) n'est gardée dans votre navigateur (localStorage, 30 jours) qu'avec votre accord ; sans accord, elle n'est retenue que dans la page ouverte, le temps de la visite, sans rien écrire dans votre navigateur. Un retrait les efface.

Avec ce même accord, nous mesurons aussi les étapes et résultats de l'inscription, de la connexion, du studio, des essais et appels, du paiement et de la lecture des enregistrements ; leurs durées, les performances réelles des pages (Core Web Vitals) et des catégories d'erreurs techniques, sans message ni trace d'erreur. Pour un compte connecté, un pseudonyme dérivé par SHA-256 de son identifiant permet de mesurer les retours dans le temps. Umami ne reçoit jamais votre nom, votre adresse e-mail, un numéro de téléphone, le scénario, l'audio, les transcriptions ni les jetons de connexion. Ces statistiques et pseudonymes suivent la même conservation de 13 mois et cessent avec le retrait de cet accord.

Nous comptons les pages vues de ce site. Cette mesure se fait depuis le serveur, pour tous les visiteurs : elle n'emploie aucun cookie, aucun stockage local et aucun script dans la page. Rien n'est inscrit ni lu dans votre terminal pour elle, et aucun consentement n'est donc requis à ce titre (article 82 de la loi Informatique et Libertés). Elle est distincte de Google Analytics (§ 4).

Ce qui est lu sans jamais être transmis ni conservé : votre adresse IP et votre user-agent sont lus uniquement pour calculer l'empreinte décrite ci-dessous, puis disparaissent avec la requête. Ne sont jamais transmis : l'URL complète et ses paramètres (à la seule exception des étiquettes de campagne utm_source, utm_medium, utm_campaign, utm_content et utm_term, quand l'adresse en porte), le chemin de la page qui vous a amené ici (seul son domaine est retenu), ni aucune localisation plus fine que le pays.

Ce qui est transmis, pour chaque page vue :

• le jour (en temps universel) et l'instant d'émission ;
• une empreinte quotidienne, décrite ci-dessous ;
• le chemin de la page, ramené à la liste des pages publiées ;
• la nature de la provenance (moteur de recherche, réseau social, assistant IA, autre site, lien interne, aucune) et, le cas échéant, son seul domaine ;
• le cas échéant, les étiquettes de campagne (utm_*) de l'adresse de la page ;
• le pays, sous la forme d'un code à deux lettres ;
• la classe d'appareil (ordinateur, mobile, tablette, robot).

L'empreinte quotidienne est un condensé (SHA-256) de votre adresse IP, de votre user-agent, d'un sel qui change chaque jour et du domaine de ce site. Elle sert uniquement à compter les visiteurs distincts d'une journée, et ne permet de vous suivre ni d'un jour à l'autre, ni d'un site à l'autre. L'empreinte d'une journée est conservée jusqu'à la fin du deuxième jour suivant (J+2), puis supprimée par une purge quotidienne à 3 h 15 (temps universel) — soit 76 heures au plus après son dépôt. Ne subsistent ensuite que des agrégats (visites, visiteurs distincts par jour, pages, provenances, pays, appareils), qui ne se rapportent à aucune personne.

Destinataire : Bx Labs, qui reçoit et agrège ces vues dans Bx Labs OS, son outil interne, hébergé par Convex dans l'Union européenne (Irlande). Base légale : l'intérêt légitime (article 6(1)(f) du RGPD), mesurer l'audience de notre propre site — aucun profilage, aucune publicité, aucun recoupement avec un tiers. Vous pouvez vous y opposer sans nous écrire : si votre navigateur envoie le signal Global Privacy Control (Sec-GPC) ou Do Not Track (DNT), la visite n'est pas mesurée du tout.

Lorsque vous confirmez votre inscription, nous transmettons à Bx Labs OS, l'outil interne de Bx Labs (hébergé par Convex dans l'Union européenne, en Irlande) : votre adresse email, votre nom s'il est connu (à défaut, la partie de votre adresse avant le @), l'identifiant de votre compte, la date d'inscription et la provenance de votre arrivée : le site d'origine (sans ses paramètres), la page d'arrivée et, si vous êtes arrivé par un lien de campagne, ses étiquettes (utm_source, utm_medium, utm_campaign, utm_content, utm_term) ; avec votre accord aux cookies (§ 4), aussi celle de votre première visite. Nous y joignons votre pays, déduit de votre adresse IP au moment de l'inscription (jamais l'adresse elle-même), sauf si votre navigateur exprime une opposition au suivi (Global Privacy Control ou Do Not Track). Lorsque vous achetez des crédits, nous y transmettons le pack acheté, le nombre de crédits, le montant payé et sa devise. À la fin de chaque appel, nous y transmettons son issue (abouti ou non, et pourquoi), sa durée, le pays appelé et son indicatif, et le nombre de crédits, ainsi que le numéro appelé et le texte du canular, pour le support, la modération et la lutte contre les abus (un même numéro appelé depuis plusieurs comptes). Lorsque vous vous connectez, et au plus deux fois par jour lorsque vous revenez déjà connecté, nous y transmettons la date de connexion, le mode de connexion (mot de passe, Google, lien reçu par email…) et le type d'accès (site ou application mobile) ; jamais votre adresse IP ni votre navigateur.

Ces données servent à suivre nos inscriptions, nos ventes et l'efficacité de nos campagnes. Aucune donnée de paiement (carte, IBAN) n'y est transmise : le paiement reste chez Stripe. Base légale : l'intérêt légitime (article 6(1)(f) du RGPD). Elles sont conservées tant que votre compte existe, et votre demande de suppression (§ 9) s'y applique aussi.

Nous ne vendons jamais vos données. Elles ne sont transmises qu'aux prestataires nécessaires au service, qui les traitent pour notre compte :

• Supabase — base de données et authentification, hébergées dans l'Union européenne (Paris, France)
• Microsoft Azure — serveur des appels et modèle vocal Azure OpenAI, dans l'Union européenne (région France Central pour le serveur)
• Twilio — acheminement des appels téléphoniques et enregistrements
• Stripe — paiement des crédits (Stripe Payments Europe, Irlande)
• Brevo — envoi des emails liés à votre compte (France)
• Vercel — hébergement du site (Vercel Inc., États-Unis)
• Google — Google Analytics et Google Ads (Google Ireland Limited), avec votre accord seulement (§ 4)
• Meta — pixel Meta (Meta Platforms Ireland Limited), avec votre accord seulement (§ 4)
• TikTok — pixel TikTok (TikTok Technology Limited), avec votre accord seulement (§ 4)
• Amazon Web Services — hébergement d'Umami, l'outil de mesure d'usage de Bx Labs, en France (région Paris), avec votre accord seulement (§ 4)
• Convex — hébergement de Bx Labs OS, notre outil interne (Union européenne, Irlande ; § 5 et § 6)

Lorsqu'un prestataire traite des données hors de l'Union européenne (notamment aux États-Unis), le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles
• Droit de rectification
• Droit à l'effacement
• Droit à la limitation du traitement
• Droit à la portabilité des données
• Droit d'opposition au traitement fondé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour les exercer, écrivez à contact@bxlabs.ai. Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, ou sur www.cnil.fr/fr/plaintes.

Vous pouvez demander la suppression complète de vos données à tout moment en nous écrivant à contact@bxlabs.ai. Nous traiterons votre demande dans un délai de 30 jours. La suppression de votre compte efface aussi les enregistrements, transcriptions et scénarios de vos appels. Les pièces comptables liées à vos achats sont conservées pendant la durée imposée par la loi.

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles appropriées pour protéger vos données personnelles contre tout accès non autorisé, modification, divulgation ou destruction.

Pour toute question relative à cette politique de confidentialité, écrivez à Bx Labs : contact@bxlabs.ai.