Sommaire
Politique de confidentialité et cookies de Papaoweb
Version : 8 octobre 2026 (révision 7)
1. Qui est responsable de vos données
LOKALIO, société par actions simplifiée (SAS), 1 rue de Stockholm, 75008 Paris, 105 620 876 RCS Paris, qui édite Papaoweb.
Contact pour toute question sur vos données : contact@papaoweb.com.
LOKALIO n'a pas désigné de délégué à la protection des données ; l'adresse ci-dessus est le point de contact unique.
Cette politique couvre deux situations différentes :
- Vous êtes client ou visiteur de Papaoweb : nous décidons de ce que nous faisons de vos données, nous en sommes responsables (parties 2 à 9).
- Vous avez écrit à une entreprise par le formulaire de son site, ou laissé un avis sur sa fiche Google : c'est cette entreprise qui est responsable de vos données ; nous ne sommes que son prestataire (partie 10).
2. Les données que nous traitons, pourquoi, et combien de temps
| Ce que nous faisons | Données | Base légale | Durée |
|---|---|---|---|
| Créer et gérer votre compte | adresse e-mail, mot de passe (jamais conservé en clair ; aucun si vous vous connectez avec Google), offres choisies, nom si vous nous l'avez donné | exécution du contrat | tant que le compte existe ; compte supprimé 12 mois après la fin du dernier abonnement, avec un e-mail 30 jours avant ; compte sans abonnement : jusqu'à votre demande de suppression |
| Vous connecter avec Google, si vous choisissez « Continuer avec Google » | l'adresse e-mail de votre compte Google, le fait que Google l'a vérifiée, l'identifiant technique de ce compte Google et, pour un compte professionnel Google Workspace, le nom de domaine de l'organisation (lu pour savoir si Google héberge l'adresse, non conservé) ; date du rattachement à votre compte Papaoweb. Si Google n'héberge pas cette adresse, un lien de confirmation vous est envoyé par e-mail : aucun compte n'est créé ni rattaché avant que vous ne l'ayez confirmé (la demande en attente est effacée au plus tard un jour après son échéance de 30 minutes). Rien d'autre : ni votre nom, ni votre photo, ni vos contacts, ni aucun accès à votre compte Google | exécution du contrat : ouvrir votre compte et vous y connecter, à votre demande | comme le compte ; aucune autorisation d'accès à votre compte Google n'est conservée |
| Identifier votre entreprise et préparer votre site | dénomination, SIRET, adresse, forme juridique, nom du dirigeant (lus dans l'annuaire public des entreprises), téléphone, activité, prestations cochées | exécution du contrat et mesures prises à votre demande avant le contrat | comme le compte ; un aperçu non payé est supprimé après 7 jours |
| Vérifier que vous représentez l'entreprise | attestation cochée, nom du payeur, nom du dirigeant inscrit au registre, justificatif éventuellement demandé | intérêt légitime : empêcher l'usurpation de l'identité d'une entreprise | comme le compte ; un justificatif est supprimé dès la vérification faite |
| Encaisser et facturer | dénomination, adresse de facturation, numéro de TVA, adresse e-mail, détail et montant des factures et des avoirs ; moyen de paiement (traité par Stripe : nous n'avons jamais le numéro de carte) | exécution du contrat et obligation légale (comptabilité, fiscalité) | factures et avoirs : 10 ans |
| Enregistrer et renouveler votre nom de domaine (compris dans Site Pro, enregistré à votre nom) | dénomination, SIREN, adresse, adresse e-mail, téléphone, prénom et nom du dirigeant ; nom de domaine choisi ; votre acceptation des règles du registre (date, texte accepté, adresse IP, navigateur) | exécution du contrat ; pour la preuve de votre acceptation, intérêt légitime | tant que le nom est géré par nos soins, puis comme le compte ; le journal des commandes du nom (le nom, les dates, les prix et les opérations faites, sans autre donnée sur vous) : 10 ans, avec les factures ; le bureau d'enregistrement et le registre conservent ces données selon leurs propres règles |
| Garder la preuve de votre acceptation des conditions | date, version acceptée, attestation, adresse IP, navigateur, référence du paiement | intérêt légitime : preuve du contrat | 10 ans, avec les factures |
| Publier sur votre site WordPress ou votre dépôt GitHub | adresse du site, identifiant et mot de passe d'application WordPress (chiffré) ; pour GitHub, la référence de l'installation de notre application et du dépôt choisi (aucun jeton n'est conservé) | exécution du contrat | accès WordPress supprimé au plus tard 30 jours après la fin de l'abonnement concerné ; l'accès GitHub se retire à tout moment depuis GitHub ou depuis votre espace |
| Gérer votre fiche Google | adresse du compte Google relié, autorisation d'accès (chiffrée), informations de la fiche, avis reçus et réponses, publications, statistiques, positions ; votre choix sur les réponses automatiques (date, texte accepté, adresse IP) | exécution du contrat ; pour la preuve de votre choix, intérêt légitime | pendant l'abonnement ; autorisation, avis, publications et statistiques supprimés au plus tard 30 jours après sa fin ; la preuve de votre choix est gardée comme le compte |
| Vous envoyer les messages du service | adresse e-mail | exécution du contrat | comme le compte |
| Analyse gratuite d'un site, outils gratuits | adresse du site analysé, adresse IP | intérêt légitime : fournir l'outil et empêcher les abus | analyse non rattachée à un compte : 30 jours ; adresse IP effacée après 30 jours |
| Protéger le service | adresse IP, tentatives de connexion, compteurs de limitation, vérification anti-robot, navigateur déjà utilisé pour vous connecter | intérêt légitime : sécurité | compteurs : quelques heures à quelques jours ; journaux techniques : le temps nécessaire à la sécurité et au diagnostic des incidents |
| Mesurer l'intérêt pour l'accompagnement sur mesure | clic sur « prendre rendez-vous », page d'origine | intérêt légitime | 13 mois |
| Traiter un signalement de contenu | nom et e-mail de l'auteur du signalement, contenu signalé, décision | obligation légale (règlement européen sur les services numériques) | 5 ans après la décision |
| Répondre à vos demandes et à l'exercice de vos droits | votre message, les échanges | obligation légale et intérêt légitime | 3 ans après la clôture de la demande |
Nous ne vendons ni ne louons aucune donnée. Nous ne faisons pas de publicité ciblée.
D'où viennent vos données. De vous, pour l'essentiel. Les informations sur votre entreprise et le nom de son dirigeant viennent de l'annuaire public des entreprises (annuaire-entreprises.data.gouv.fr). Les informations de votre fiche viennent de Google, avec votre autorisation. Si vous utilisez « Continuer avec Google », votre adresse e-mail nous est transmise par Google, après votre accord sur son écran.
Êtes-vous obligé de les fournir ? Sans adresse e-mail, nous ne pouvons pas ouvrir de compte ; sans moyen de paiement, nous ne pouvons pas vendre d'abonnement ; sans numéro SIRET, nous ne pouvons pas créer de site. Le reste est facultatif.
3. Intelligence artificielle
Les pages, articles, publications et projets de réponse aux avis sont rédigés par un système d'intelligence artificielle fourni par Anthropic. Pour cela, nous lui envoyons : le nom, l'activité, la ville et les prestations de votre entreprise ; le contenu de votre site quand vous nous demandez de l'analyser ; et, pour répondre à un avis, le texte de l'avis et sa note.
Nous n'envoyons à ce système ni votre mot de passe, ni vos moyens de paiement, ni les demandes reçues par le formulaire de votre site, ni le nom des auteurs d'avis.
Selon ses conditions commerciales, Anthropic n'utilise pas les contenus envoyés par ses clients professionnels pour entraîner ses modèles.
Aucune décision produisant des effets juridiques sur vous n'est prise par un traitement entièrement automatisé. La comparaison automatique du nom du payeur et du nom du dirigeant ne fait que déclencher, en cas d'écart, une vérification par une personne.
4. Qui reçoit vos données
Seules les personnes de LOKALIO qui en ont besoin y accèdent. Nous faisons appel aux prestataires suivants, liés par contrat :
| Prestataire | Rôle | Données concernées | Lieu | Garantie en cas de transfert hors de l'Union européenne |
|---|---|---|---|---|
| Hostinger Operations UAB | hébergement de l'application et des sites des clients | toutes | Allemagne | aucun transfert |
| Supabase, Inc. | hébergement de la base de données | toutes | Irlande | clauses contractuelles types en cas de transfert hors de l'Union européenne |
| Stripe | paiement par carte et par prélèvement, émission des factures | identité, adresse de facturation, moyen de paiement, factures | Union européenne et États-Unis | cadre de protection des données UE–États-Unis et clauses contractuelles types (accord de traitement des données de Stripe) |
| Anthropic | rédaction par intelligence artificielle | voir partie 3 | États-Unis | clauses contractuelles types de la Commission européenne, intégrées aux conditions commerciales d'Anthropic |
| Cloudflare | vérification anti-robot (Turnstile) | adresse IP, caractéristiques techniques du navigateur | réseau mondial, dont États-Unis | voir la partie 5 |
| OVH (OVH SAS, 2 rue Kellermann, 59100 Roubaix, France) (bureau d'enregistrement) | enregistrement, renouvellement et réglages de votre nom de domaine | données du titulaire du nom (dénomination, SIREN, adresse, e-mail, téléphone, prénom et nom du dirigeant) | France | aucun transfert |
| Registres des noms de domaine : l'Afnic pour un .fr ; pour un .com, Verisign, sous les règles de l'ICANN | tenue du registre des noms de domaine ; chacun agit pour son propre compte, selon ses règles | les données du titulaire que le bureau d'enregistrement leur communique en application de ces règles | Afnic : France ; Verisign et ICANN : États-Unis | Afnic : aucun transfert ; pour un .com : communication nécessaire à l'enregistrement du nom que vous demandez, dans les conditions fixées par l'ICANN |
| accès à votre fiche d'établissement, à votre demande | données de la fiche, avis, publications | Union européenne et États-Unis | Google agit ici pour son propre compte : sa politique de confidentialité s'applique | |
| authentification : vous connecter à Papaoweb avec votre compte Google (« Continuer avec Google »), si vous le choisissez | Google nous transmet votre adresse e-mail et l'identifiant de votre compte Google ; il sait que vous vous connectez à Papaoweb, et quand | Union européenne et États-Unis | Google agit ici pour son propre compte : sa politique de confidentialité s'applique | |
| Hostinger Operations UAB | envoi des e-mails | adresse e-mail, contenu des messages | Lituanie | clauses contractuelles types en cas de transfert hors de l'Union européenne |
| Unsplash et Pexels | recherche de photos pour les sites | mots-clés de recherche (aucune donnée sur une personne) ; voir aussi la partie 10 | — | sans objet pour la recherche |
Nom de domaine : ce qui peut être public. Un registre tient un annuaire public des noms de domaine. Selon ses règles, il peut y publier certaines informations sur le titulaire d'un nom (en particulier la dénomination et l'adresse d'une société). Nous ne décidons pas de cette publication. Si vous préférez ne transmettre aucune donnée à un registre par notre intermédiaire, vous pouvez relier à votre site un nom de domaine que vous possédez déjà.
Nous pouvons aussi communiquer des données à une autorité ou à un tribunal quand la loi l'impose, et à nos conseils (comptable, avocat, assureur) tenus au secret.
5. Transferts hors de l'Union européenne
Nos serveurs sont en Allemagne. Certains prestataires de la partie 4 sont établis aux États-Unis ou y traitent des données. Ces transferts sont encadrés soit par la décision de la Commission européenne du 10 juillet 2023 sur le cadre de protection des données UE–États-Unis (pour les sociétés qui y adhèrent), soit par les clauses contractuelles types de la Commission européenne. Vous pouvez en demander une copie à contact@papaoweb.com.
6. Sécurité
Connexions chiffrées (HTTPS), mots de passe conservés sous forme d'empreinte, connexion avec Google sans que nous ne recevions jamais votre mot de passe Google, autorisations d'accès à vos comptes tiers chiffrées, sessions limitées dans le temps, limitation des tentatives de connexion, vérification anti-robot, accès restreint aux données, sauvegardes régulières. En cas de violation de données présentant un risque pour vous, nous vous prévenons et nous prévenons la CNIL dans les délais prévus par la loi.
7. Vos droits
Vous pouvez demander à tout moment : l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement, leur portabilité ; vous pouvez vous opposer à un traitement fondé sur notre intérêt légitime. Vous pouvez retirer un accord donné, sans effet sur le passé, et nous indiquer ce que doivent devenir vos données après votre décès.
Écrivez à contact@papaoweb.com depuis l'adresse de votre compte. Nous répondons dans un délai d'un mois. Si un doute sérieux existe sur votre identité, nous pouvons demander un élément complémentaire.
Supprimer votre compte : sur simple demande à contact@papaoweb.com. Les factures et la preuve d'acceptation des conditions sont conservées pendant la durée légale, comme la loi nous y oblige. Il en va de même du journal des commandes de votre nom de domaine (le nom, les dates, les prix, sans autre donnée sur vous). Si votre nom de domaine est encore enregistré à votre nom, nous vous envoyons d'abord son code de transfert par e-mail, avec sa date d'échéance : il reste le vôtre.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : www.cnil.fr, 3 place de Fontenoy, 75007 Paris.
8. Cookies et autres traceurs
Nous n'utilisons ni cookie publicitaire, ni outil de mesure d'audience. Il n'y a donc pas de bandeau de consentement : les seuls traceurs utilisés sont strictement nécessaires et la loi les dispense de consentement.
| Traceur | Où | À quoi il sert | Durée |
|---|---|---|---|
__Host-session | application | vous garder connecté | 7 jours sans visite |
__Host-appareil | application | reconnaître un navigateur déjà utilisé pour vous connecter, pour que les essais d'un tiers ne bloquent pas votre propre connexion | 180 jours |
wp_retour | application | terminer la connexion à votre site WordPress | 5 minutes |
google_pkce | application | sécuriser la connexion à votre fiche Google | 15 minutes |
__Host-connexion-google | application | sécuriser votre connexion avec Google (« Continuer avec Google ») | 10 minutes |
| Cloudflare Turnstile | formulaires d'inscription, de mot de passe oublié, d'analyse gratuite et de signalement | vérifier que le formulaire est rempli par une personne et non par un robot | le temps de la vérification |
La vérification anti-robot (Turnstile) est fournie par Cloudflare, qui reçoit pour cela votre adresse IP et des caractéristiques techniques de votre navigateur, uniquement pour détecter les robots. Elle n'a pas d'autre finalité.
Les polices de caractères de l'application sont servies par nos propres serveurs. Le site vitrine https://papaoweb.com charge les siennes depuis le service Google Fonts : Google reçoit alors votre adresse IP, comme tout serveur qui vous envoie un fichier.
Si nous ajoutons un jour un outil de mesure d'audience ou un service tiers déposant des traceurs non nécessaires, ils ne seront activés qu'avec votre accord, recueilli par un bandeau permettant de refuser aussi simplement que d'accepter.
9. E-mails
- Messages du service (activation du compte, paiement, alerte de sécurité, suppression annoncée de votre compte, demande reçue sur votre site, avis à valider) : ils font partie du service, vous les recevez tant que vous avez un compte.
- Prospection : nous n'envoyons aucun e-mail de prospection. Si cela changeait, ce serait avec votre accord préalable, et chaque message contiendrait un lien pour ne plus en recevoir.
Nous n'ajoutons aucun pixel de suivi à nos e-mails.
10. Si vous avez écrit à l'un de nos clients, ou laissé un avis sur sa fiche
Les sites créés avec Papaoweb appartiennent aux entreprises qui les publient. Quand vous remplissez le formulaire de contact ou de devis d'un de ces sites, l'entreprise est responsable de vos données ; nous les hébergeons pour elle et les lui transmettons, sans les utiliser pour notre compte. De même, quand une entreprise utilise Papaoweb pour répondre aux avis de sa fiche Google, nous traitons le texte de votre avis pour préparer sa réponse, pour son compte.
Pour exercer vos droits, adressez-vous à l'entreprise concernée : ses coordonnées sont dans les mentions légales de son site. Si vous nous écrivez directement (contact@papaoweb.com), nous lui transmettons votre demande.
Sur ces sites, les photos d'illustration peuvent être chargées depuis les serveurs des banques d'images Unsplash et Pexels, qui reçoivent alors votre adresse IP, comme tout serveur qui vous envoie une image.
11. Modifications
Nous mettons cette politique à jour quand nos traitements changent. La date de version figure en haut de page. En cas de changement important, nous prévenons nos clients par e-mail.