Politique de confidentialité
Dernière mise à jour : 26 octobre 2026
La présente politique explique comment DEEPFIRST SAS (« DeepFirst », « nous ») traite les données personnelles des utilisateurs de la plateforme DeepFirst accessible à l’adresse app.deepfirst.ai (la « Plateforme »). Elle complète les Conditions générales de services, les Conditions générales d’utilisation et les mentions légales. Le site vitrine deepfirst.ai n’est pas couvert par la présente politique.
1. Qui sommes-nous ?
Le responsable du traitement est DEEPFIRST SAS, société par actions simplifiée au capital de 5 000 €, dont le siège social est situé 55 rue Grignan, 13006 Marseille, France, immatriculée au RCS de Marseille sous le numéro 101 131 183.
Pour toute question relative à vos données personnelles ou pour exercer vos droits, écrivez à support@deepfirst.ai ou par courrier à l’adresse du siège, à l’attention de Vincent Locanetto.
2. Notre rôle : responsable de traitement ou sous-traitant
DeepFirst intervient à deux titres :
- en tant que responsable du traitement pour la gestion des comptes, la facturation, la sécurité de la Plateforme, le support et la mesure d’audience. La présente politique décrit ces traitements ;
- en tant que sous-traitant (article 28 du RGPD) de votre organisation pour les contenus qu’elle configure dans la Plateforme (marques, concurrents, prompts…) et pour les réponses d’IA collectées pour son compte. Pour ces données, votre organisation est responsable du traitement ; nous les traitons uniquement pour fournir le service, selon ses instructions, dans le cadre d’un accord de traitement des données (DPA) disponible sur demande.
Si vous êtes une personne mentionnée dans une réponse d’IA collectée pour l’un de nos clients (par exemple parce qu’une marque porte votre nom), vous pouvez exercer vos droits auprès de ce client ou nous écrire : nous transmettrons votre demande au client concerné.
3. Données que nous traitons
- Données de compte : nom, adresse e-mail, photo de profil, identifiant de compte, organisations dont vous êtes membre et rôle (propriétaire, administrateur ou membre), journaux de connexion (adresse IP, navigateur, date et heure). Votre mot de passe est géré par notre prestataire d’authentification et stocké sous forme hachée ; DeepFirst n’y a jamais accès.
- Données d’organisation et d’équipe : nom de l’organisation, adresses e-mail et rôles des membres, invitations envoyées.
- Configuration des marques et des prompts : nom, site web, description, alias et domaines de la marque, concurrents, thématiques, scénarios, prompts, pays et langues ciblés.
- Réponses d’IA collectées : texte des réponses obtenues auprès des moteurs d’IA interrogés (ChatGPT, Gemini, Claude, Google AI Overview, Google AI Mode), sources citées, mentions de marques et indicateurs calculés (visibilité, part de voix, sentiment). Ces réponses sont rédigées par des tiers et peuvent mentionner des personnes physiques.
- Données de facturation : identifiant client Stripe, formule et statut de l’abonnement. Votre nom, votre adresse de facturation, votre numéro de TVA, votre moyen de paiement et vos factures sont collectés et conservés par Stripe pour notre compte ; nous n’avons jamais accès au numéro complet de votre carte. Stripe reçoit aussi l’identifiant interne et le nom de votre organisation, ainsi que, le cas échéant, l’identifiant interne de la marque en cours de création, pour rattacher l’abonnement. Les abonnements plus anciens portent à la place l’identifiant et le nom de la marque.
- Données d’usage : pages consultées, clics et interactions, enregistrements de session, messages de la console du navigateur, erreurs, type d’appareil et de navigateur, adresses et durées des requêtes réseau. Ces données sont associées à votre identifiant, votre nom, votre e-mail, votre organisation, votre rôle et votre formule. Les adresses IP ne sont pas conservées (voir la section 5).
- Support et retours : contenu de vos e-mails et, pour les retours envoyés depuis l’outil de feedback intégré, titre, description, capture d’écran de la page (non masquée : elle peut contenir les données affichées et le contenu des formulaires), URL, navigateur, taille de la fenêtre, extrait HTML (400 caractères au plus) de l’élément sélectionné et, le cas échéant, lien vers l’enregistrement de la session.
- Journaux techniques : requêtes et erreurs du serveur et journaux applicatifs, pouvant contenir des identifiants d’utilisateur ou d’organisation, des extraits de requêtes, le texte de prompts générés et des détails d’erreur.
Nous ne demandons aucune donnée sensible (santé, opinions politiques ou religieuses, etc.). Merci de ne pas en saisir dans vos prompts.
4. Finalités et bases légales
| Finalité | Base légale (article 6 du RGPD) |
|---|---|
| Créer et gérer votre compte, vous authentifier, gérer les organisations et les invitations | Exécution du contrat (6.1.b). Pour les utilisateurs invités par leur organisation, intérêt légitime de DeepFirst et de l’organisation à fournir le service souscrit (6.1.f). |
| Fournir le service : interroger les moteurs d’IA avec vos prompts, analyser les réponses, afficher les tableaux de bord et les recommandations | Exécution du contrat (6.1.b). DeepFirst agit alors pour le compte de votre organisation (section 2). |
| Gérer les abonnements, les paiements et la facturation | Exécution du contrat (6.1.b) et obligation légale de conservation des pièces comptables (6.1.c). |
| Assurer la sécurité de la Plateforme, prévenir la fraude et les abus, diagnostiquer les incidents | Intérêt légitime à protéger la Plateforme et ses utilisateurs (6.1.f). |
| Mesurer l’usage et améliorer la Plateforme (mesure d’audience, enregistrements de session, cartes de chaleur, suivi des erreurs) | Intérêt légitime à comprendre l’usage de la Plateforme et à la corriger (6.1.f). Vous pouvez vous y opposer (section 5). |
| Répondre à vos demandes et traiter vos retours | Intérêt légitime (6.1.f), ou exécution du contrat lorsque la demande porte sur le service souscrit (6.1.b). |
| Produire des statistiques agrégées et anonymisées (article 9 des CGU) | Intérêt légitime à améliorer nos services (6.1.f). |
| Respecter nos obligations légales et répondre aux demandes des autorités | Obligation légale (6.1.c). |
Aucun de ces traitements ne repose aujourd’hui sur votre consentement. Si nous devions déposer des traceurs non essentiels ou traiter vos données pour une finalité qui l’exige, nous recueillerions votre consentement au préalable ; vous pourriez le retirer à tout moment.
Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard (article 22 du RGPD). Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires.
5. Mesure d’audience, enregistrements de session et suivi des erreurs
Pour comprendre l’usage de la Plateforme, corriger les erreurs et améliorer le service, nous utilisons PostHog, hébergé dans l’Union européenne (Francfort). Lorsque vous êtes connecté, PostHog collecte :
- les pages consultées et vos interactions (clics, y compris pour produire des cartes de chaleur et repérer les clics sans effet) ;
- des enregistrements de session (actuellement activés), c’est-à-dire une reconstitution de ce qui s’affiche à l’écran et de vos interactions ;
- les messages de la console du navigateur et les erreurs techniques ;
- des mesures de performance, dont les adresses et durées des requêtes réseau (sans leur contenu).
Ce traitement est encadré par les garanties suivantes :
- le contenu saisi dans les champs de formulaire est masqué dans les enregistrements. En revanche, le texte affiché à l’écran (noms de marques, prompts, résultats) peut y apparaître ;
- votre mot de passe est saisi sur la page de notre prestataire d’authentification, qui n’est pas enregistrée ;
- les adresses IP sont écartées par un paramètre de notre projet PostHog, et PostHog ne dépose ni cookie ni aucune autre donnée sur votre appareil (stockage en mémoire uniquement) ;
- les enregistrements de session sont supprimés au bout de 30 jours ;
- le suivi des appels aux modèles d’IA omet par défaut le contenu des entrées et des sorties (seuls le modèle, le volume, le coût et la durée sont suivis). En revanche, les journaux applicatifs, également transmis à PostHog, peuvent contenir des extraits de requêtes, le texte de prompts générés et des détails d’erreur ;
- ces données ne sont ni vendues, ni utilisées à des fins publicitaires.
Ce traitement repose sur notre intérêt légitime à fournir une Plateforme fiable et à l’améliorer. Vous pouvez nous adresser votre opposition à tout moment à support@deepfirst.ai ; nous vous répondrons dans un délai d’un mois.
7. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de DeepFirst et, selon leur rôle, aux membres de votre organisation. Nous faisons appel aux sous-traitants ci-dessous, qui ne traitent les données que sur nos instructions. La liste à jour, avec les données traitées par chacun, est publiée sur la page Sous-traitants.
| Prestataire | Finalité | Localisation | Garanties pour les transferts |
|---|---|---|---|
| Microsoft AzureMicrosoft Ireland Operations Ltd | Hébergement de la Plateforme et du service de collecte, base de données, file de traitement des tâches, gestion des secrets, journaux techniques et tâches planifiées. Envoi des e-mails internes de synthèse (Azure Communication Services Email). | Union européenne. Infrastructure principale dans la région Azure « France Central » (France). E-mails internes de synthèse via Azure Communication Services Email, localisation des données « Europe ». | Encadré par le DPA de Microsoft (clauses contractuelles types et, le cas échéant, EU-US Data Privacy Framework) pour tout accès depuis un pays tiers. |
| Azure AI Foundry (Azure OpenAI)Microsoft Ireland Operations Ltd | Analyse du site web lors de la création d’une marque (recherche web incluse), suggestions de prompts, analyse des réponses d’IA collectées (mentions, sentiment, sources), catégorisation des sources et synthèse opérationnelle interne quotidienne. | Ressource hébergée dans la région « France Central ». Selon le type de déploiement du modèle, l’inférence peut être traitée dans une autre région Azure, y compris hors de l’UE. Les recherches web passent par le service Bing de Microsoft. | Encadré par le DPA de Microsoft (clauses contractuelles types et, le cas échéant, EU-US Data Privacy Framework) pour tout accès depuis un pays tiers. |
| Oxylabs | Collecte des résultats de recherche Google (AI Overview, AI Mode) pour les prompts que vous configurez. | Lituanie (UE). Les requêtes peuvent être exécutées depuis le pays ciblé. | Prestataire établi dans l’UE. Les éventuels transferts sont encadrés par son DPA. |
| OpenAI APIOpenAI | Interrogation des modèles d’OpenAI (surface « ChatGPT »), recherche web incluse, avec les prompts que vous configurez. | États-Unis. | Clauses contractuelles types de la Commission européenne et, le cas échéant, EU-US Data Privacy Framework. |
| Anthropic APIAnthropic | Interrogation des modèles d’Anthropic (surface « Claude »), recherche web incluse, avec les prompts que vous configurez. | États-Unis. | Clauses contractuelles types de la Commission européenne et, le cas échéant, EU-US Data Privacy Framework. |
| Google Gemini APIGoogle LLC | Interrogation des modèles Gemini (surface « Gemini »), avec ancrage dans la recherche Google, pour les prompts que vous configurez. | États-Unis. | Clauses contractuelles types de la Commission européenne et, le cas échéant, EU-US Data Privacy Framework. |
| Auth0Okta, Inc. | Authentification, gestion des comptes, des organisations et des invitations, e-mails de vérification et d’invitation. | Union européenne (tenant Auth0 hébergé dans l’UE). | Données hébergées dans l’UE. Les accès depuis les États-Unis pour le support sont encadrés par le DPA d’Okta (clauses contractuelles types et, le cas échéant, Data Privacy Framework). |
| StripeStripe Payments Europe, Ltd | Paiement des abonnements, facturation, calcul de la TVA et portail de facturation. | Irlande (UE), avec des traitements par d’autres entités du groupe Stripe, notamment aux États-Unis. | Clauses contractuelles types de la Commission européenne et, le cas échéant, EU-US Data Privacy Framework. |
| PostHogPostHog, Inc. | Mesure d’audience, enregistrements de session, cartes de chaleur, suivi des erreurs, journaux applicatifs et suivi technique des appels aux modèles d’IA. | Union européenne (PostHog EU Cloud, Francfort, Allemagne). | Données hébergées dans l’UE. Les accès depuis un pays tiers pour le support sont encadrés par le DPA de PostHog (clauses contractuelles types, le cas échéant). |
| Microsoft 365Microsoft Ireland Operations Ltd | Messagerie électronique (adresse support@deepfirst.ai) et messagerie d’équipe interne qui reçoit les alertes techniques. | Union européenne (EU Data Boundary de Microsoft). | Encadré par le DPA de Microsoft (clauses contractuelles types et, le cas échéant, EU-US Data Privacy Framework) pour tout accès depuis un pays tiers. |
| LinearLinear Orbit, Inc. | Suivi des retours et signalements envoyés depuis l’outil de feedback intégré à la Plateforme. | États-Unis. | Clauses contractuelles types de la Commission européenne et, le cas échéant, EU-US Data Privacy Framework. |
Nous pouvons également communiquer des données aux autorités lorsque la loi l’exige.
8. Transferts hors de l’Union européenne
La Plateforme et sa base de données sont hébergées dans l’Union européenne (région Azure « France Central »). Certains prestataires traitent toutefois des données hors de l’Union européenne, notamment aux États-Unis : les fournisseurs de modèles d’IA (OpenAI, Anthropic, Google), Azure AI Foundry selon le type de déploiement des modèles, Stripe et Linear. D’autres prestataires peuvent y accéder ponctuellement pour le support.
Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y adhère, par le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework). Vous pouvez obtenir une copie des garanties applicables en nous écrivant à support@deepfirst.ai.
Les fournisseurs d’IA utilisés pour simuler les réponses (OpenAI, Anthropic, Google) reçoivent le texte des prompts et le contexte du scénario, avec le pays ciblé lorsque le service le permet. Oxylabs reçoit le texte des prompts sous forme de requête de recherche, avec le pays ciblé. Azure AI Foundry reçoit en outre des informations sur la marque, les réponses collectées, des informations sur les sources et des indicateurs opérationnels agrégés, pour l’analyse et le fonctionnement du service. Nous ne joignons pas automatiquement de nom, d’adresse e-mail ni d’identifiant de compte aux requêtes adressées aux fournisseurs d’IA. Les contenus saisis et les réponses collectées peuvent néanmoins contenir des données personnelles.
9. Durées de conservation
| Données | Durée de conservation |
|---|---|
| Données de compte et d’organisation | Pendant toute la durée de votre compte. Sur demande, supprimées dans un délai de 30 jours. La suppression d’une organisation dans la Plateforme (possible une fois ses marques supprimées) efface ses données de notre base ; la suppression de l’organisation correspondante chez Auth0 est ensuite tentée. Elle n’efface ni votre compte utilisateur Auth0 ni les copies détenues par PostHog, Linear ou Stripe, que nous supprimons sur demande. |
| Configuration des marques et des prompts | Jusqu’à leur suppression par un propriétaire ou un administrateur de votre organisation (effet immédiat ; une marque ne peut être supprimée tant que son abonnement est actif, en essai, impayé ou incomplet) ou la fermeture du compte. |
| Réponses d’IA collectées, analyses et citations | Une tâche quotidienne supprime les analyses de plus de 90 jours et les réponses d’IA correspondantes, avec leurs citations. Les enregistrements de domaines sources sont conservés jusqu’à la suppression de la marque. |
| Sauvegardes de la base de données | 35 jours (rotation automatique). Les données supprimées disparaissent des sauvegardes à l’issue de ce délai. |
| Factures et pièces comptables | 10 ans à compter de la clôture de l’exercice (article L123-22 du Code de commerce), dans Stripe et dans notre comptabilité. La résiliation met fin à l’abonnement mais ne supprime pas automatiquement la fiche client chez Stripe ; nous pouvons la supprimer sur demande, sous réserve des pièces que la loi nous impose de conserver. |
| Enregistrements de session | 30 jours. |
| Événements de mesure d’audience et rapports d’erreurs | Selon la durée de conservation de notre offre PostHog, au plus 7 ans. Vous pouvez en demander la suppression à tout moment. |
| Journaux techniques | Azure Log Analytics : 30 jours. Journaux HTTP d’App Service : 7 jours. Journaux applicatifs transmis à PostHog : selon la durée de conservation de PostHog. |
| Support et retours | Le temps de traiter votre demande, puis au plus 3 ans après notre dernier échange. |
10. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment :
- hébergement dans l’Union européenne chez Microsoft Azure, avec chiffrement des données au repos ;
- la Plateforme est accessible en HTTPS et envoie des en-têtes HSTS ; les connexions à la base de données exigent TLS ;
- authentification confiée à Auth0 : DeepFirst ne stocke aucun mot de passe ;
- secrets (clés d’API, identifiants de base de données) conservés dans Azure Key Vault ;
- cloisonnement des données par organisation et droits d’accès selon le rôle (propriétaire, administrateur, membre) ;
- en-têtes de sécurité (CSP, HSTS), limitation du débit des requêtes d’API et vérification de la signature des notifications de paiement ;
- sauvegardes automatiques permettant une restauration à un instant donné sur 35 jours ;
- minimisation : aucun nom, e-mail ni identifiant de compte n’est joint automatiquement aux requêtes adressées aux fournisseurs d’IA, et les adresses IP ne sont pas conservées dans la mesure d’audience.
En cas de violation de données présentant un risque pour vos droits, nous notifions la CNIL et, le cas échéant, les personnes concernées, dans les conditions prévues par le RGPD.
11. Vos droits
Conformément au RGPD et à la loi « Informatique et Libertés » du 6 janvier 1978, vous disposez des droits suivants :
- droit d’accès à vos données (article 15 du RGPD) ;
- droit de rectification (article 16) ;
- droit à l’effacement (article 17) ;
- droit à la limitation du traitement (article 18) ;
- droit à la portabilité (article 20) ;
- droit d’opposition aux traitements fondés sur notre intérêt légitime, notamment la mesure d’audience (article 21) ;
- droit de retirer votre consentement lorsqu’un traitement repose sur celui-ci ;
- droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la loi « Informatique et Libertés »).
Pour exercer vos droits, écrivez à support@deepfirst.ai ou par courrier à l’adresse de notre siège. En cas de doute raisonnable, nous pourrons vous demander de justifier de votre identité. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes (article 12 du RGPD). Pour les données que nous traitons pour le compte de votre organisation (section 2), nous transmettons votre demande à l’organisation concernée et l’aidons à y répondre.
Vous pouvez à tout moment introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr, ou auprès de l’autorité de contrôle de l’État membre de l’Union européenne où vous résidez ou travaillez.
12. Modifications de cette politique
Nous pouvons modifier la présente politique pour refléter l’évolution de la Plateforme, de nos prestataires ou de la réglementation. La date de dernière mise à jour figure en haut de cette page. En cas de modification importante, nous vous en informerons par e-mail ou dans la Plateforme.