Politique de confidentialité

Date d'effet : 15 juillet 2026

1. Responsable de traitement

Le responsable du traitement de vos données personnelles est :

Reepli.ai
14 Avenue du Général de Gaulle, 94160 Saint-Mandé, France
Email : [email protected]

Reepli.ai (« Reepli », « nous », « notre » ou « nos ») est une plateforme qui fournit des assistants de messagerie WhatsApp pilotés par intelligence artificielle pour les entreprises. La présente Politique de confidentialité explique comment nous collectons, utilisons, divulguons et protégeons vos données personnelles lorsque vous utilisez notre site web reepli.ai, notre tableau de bord et l'ensemble des interactions WhatsApp associées (collectivement, le « Service »).

Cette politique s'applique à deux catégories de personnes :

Utilisateurs professionnels (« Tenants ») : professionnels et entreprises qui souscrivent à Reepli.ai pour gérer leurs communications WhatsApp.
Utilisateurs finaux : personnes qui interagissent avec une entreprise via WhatsApp, où la conversation est gérée par notre assistant IA pour le compte de cette entreprise.

2. Données collectées

Données fournies par les Tenants

Informations d'inscription : nom, adresse email, numéro de téléphone, raison sociale.
Informations de facturation traitées de manière sécurisée par Stripe, Inc. (nous ne stockons pas les numéros de carte bancaire).
Données de configuration : description de l'activité, horaires d'ouverture, services proposés, paramètres de prise de rendez-vous, modèles de messages personnalisés.
Données d'usage du dashboard : pages consultées, fonctionnalités utilisées, parcours d'interaction.

Données des utilisateurs finaux (via WhatsApp)

Numéro de téléphone WhatsApp.
Nom de profil WhatsApp.
Contenu des messages échangés avec l'assistant IA pour le compte de l'entreprise.
Métadonnées de conversation : horodatages, statuts de message (envoyé, livré, lu).

Données collectées automatiquement

Informations sur l'appareil : type de navigateur, système d'exploitation, résolution d'écran.
Données de journalisation : adresses IP, heures d'accès, URL de provenance.
Cookies et technologies similaires (voir Section 12).

3. Bases légales du traitement

Conformément au Règlement Général sur la Protection des Données (RGPD), nous traitons vos données personnelles uniquement lorsque nous disposons d'une base légale valide. Le tableau ci-dessous résume nos activités de traitement et les bases légales correspondantes :

Activité de traitement	Base légale (Art. 6 RGPD)
Fourniture du Service aux Tenants (gestion de compte, messagerie IA, prise de RDV)	Exécution d'un contrat (Art. 6.1.b) — nécessaire à l'exécution de notre contrat de service avec le Tenant.
Traitement des messages des utilisateurs finaux par l'assistant IA pour le compte du Tenant	Intérêt légitime (Art. 6.1.f) — intérêt légitime du Tenant à gérer sa communication client ; mis en balance avec les attentes des utilisateurs finaux qui initient une conversation WhatsApp avec une entreprise.
Traitement des paiements et facturation	Exécution d'un contrat (Art. 6.1.b)
Envoi de communications liées au service (mises à jour, alertes de sécurité)	Intérêt légitime (Art. 6.1.f) — tenir les utilisateurs informés du service qu'ils utilisent.
Prévention de la fraude, détection d'abus et sécurité de la plateforme	Intérêt légitime (Art. 6.1.f) — protection du Service et de ses utilisateurs.
Conformité aux obligations légales (par ex. archives fiscales, demandes des autorités)	Obligation légale (Art. 6.1.c)
Cookies non essentiels et analytics	Consentement (Art. 6.1.a) — recueilli via notre bandeau cookies.

Lorsque nous nous appuyons sur l'intérêt légitime, nous avons réalisé un test de mise en balance pour garantir que vos droits et libertés ne sont pas compromis. Vous pouvez à tout moment vous opposer aux traitements fondés sur l'intérêt légitime (voir Section 9).

4. Utilisation de vos informations

Fournir, maintenir et améliorer le Service, y compris la messagerie WhatsApp pilotée par IA pour le compte des entreprises.
Traiter les conversations via nos systèmes IA afin de générer des réponses appropriées pour les utilisateurs finaux.
Gérer la prise de rendez-vous et envoyer des rappels pour le compte des entreprises.
Traiter les paiements et gérer les abonnements.
Envoyer des communications liées au service (mises à jour, alertes de sécurité, messages de support).
Suivre l'usage à des fins de facturation, y compris le volume de messages et les coûts de traitement IA.
Détecter, prévenir et traiter la fraude, les abus et les problèmes techniques.
Respecter nos obligations légales.

5. Partage des données et destinataires

Nous ne vendons pas vos données personnelles. Nous pouvons partager des données avec les catégories de destinataires suivantes :

Meta Platforms, Inc. (WhatsApp Business API) : les données de messages transitent par la WhatsApp Cloud API. Meta agit comme responsable conjoint ou responsable indépendant pour certaines données traitées via sa plateforme. Ces données sont soumises aux propres politiques de confidentialité de Meta et aux protocoles de chiffrement WhatsApp.
Amazon Web Services, Inc. (AWS Bedrock) (sous-traitant) : le contenu des messages est traité via Amazon Web Services (AWS) Bedrock, au sein de l'Union européenne, afin de générer des réponses à l'aide de modèles d'IA générative commerciaux. Les requêtes traitées via AWS Bedrock sont utilisées uniquement pour fournir le service demandé ; le contenu des messages n'est pas conservé par AWS Bedrock ni par les fournisseurs de modèles sous-jacents au-delà du temps nécessaire à la réponse, et n'est pas utilisé pour entraîner, affiner ou améliorer un quelconque modèle d'IA.
Stripe, Inc. (sous-traitant) : les données de paiement et de facturation sont traitées par Stripe sous leur Accord de Traitement des Données.
Google (Google Calendar) (sous-traitant) : lorsqu'un Tenant choisit de connecter son agenda Google Calendar, les données de rendez-vous (date, heure et coordonnées du client telles que le nom et le numéro de téléphone) sont synchronisées avec son agenda Google afin de créer et gérer les événements de rendez-vous. Cette intégration est optionnelle et activée uniquement à l'initiative du Tenant ; elle peut être déconnectée à tout moment. Les données Google Calendar sont traitées uniquement par l'application côté serveur de Reepli.ai à des fins de synchronisation des rendez-vous. Notre assistant IA n'appelle pas l'API Google Calendar, ne reçoit pas les titres, descriptions, participants ni aucune autre donnée utilisateur Google (Google User Data) des événements Google Calendar, et les données utilisateur Google obtenues via l'API Google Calendar ne sont jamais transmises à AWS Bedrock, à un quelconque modèle d'IA ni à aucun fournisseur d'IA tiers.
Fournisseurs d'infrastructure (sous-traitants) : services d'hébergement et de base de données utilisés pour faire fonctionner la plateforme.
L'entreprise (Tenant) avec laquelle vous communiquez : si vous êtes un utilisateur final qui contacte une entreprise via WhatsApp, le Tenant a accès à l'historique de la conversation et à vos coordonnées via son tableau de bord. Dans ce contexte, le Tenant est responsable de traitement indépendant pour les données liées à sa relation client avec vous.
Autorités légales et réglementaires : nous pouvons divulguer des données si la loi, un règlement ou une procédure légale valide l'exige.

Nous exigeons que tous nos sous-traitants signent des Accords de Traitement des Données (DPA) conformes à l'Article 28 du RGPD, garantissant qu'ils traitent les données personnelles uniquement selon nos instructions documentées et mettent en œuvre des mesures de sécurité appropriées.

6. Données reçues de Meta Platforms

Via notre intégration à la WhatsApp Business API, nous recevons des données de Meta Platforms, notamment le contenu des messages entrants, les numéros d'expéditeurs, les horodatages et les statuts de livraison. Nous utilisons ces données uniquement pour fournir notre service de messagerie aux entreprises et à leurs clients. Nous n'utilisons pas les données reçues de Meta Platforms pour :

Construire ou enrichir des profils d'utilisateurs à des fins publicitaires.
Transférer ou vendre des données à des tiers à des fins publicitaires ou de monétisation.
Fournir des données à des courtiers en données ou revendeurs d'informations.

7. Données utilisateur Google et Usage limité (Limited Use)

L'utilisation par Reepli des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences d'Usage limité (Limited Use). Nous accédons à Google Calendar (pour gérer les disponibilités et les prises de rendez-vous). Nous n'accédons pas à Gmail, Google Drive ni Google Photos.

Les données utilisateur Google obtenues via les API Google sont utilisées uniquement pour fournir la fonctionnalité explicitement demandée par l'utilisateur, telle que la synchronisation de l'agenda et le calcul des disponibilités.

Les données utilisateur Google ne sont jamais :

transmises à un quelconque modèle d'IA générative ou d'apprentissage automatique à des fins d'inférence ;
utilisées pour entraîner, affiner, évaluer ou améliorer un quelconque modèle d'IA ou d'apprentissage automatique ;
partagées avec un fournisseur d'IA pour le développement ou l'amélioration de modèles généralistes ou de modèles de fondation ;
combinées avec des données non-Google en vue du développement de modèles d'IA.

Reepli met en œuvre des contrôles techniques garantissant que les données utilisateur Google restent isolées de tous les pipelines de traitement par IA.

Flux de données. Notre architecture maintient les données utilisateur Google séparées du traitement par IA :

les messages WhatsApp sont reçus par le backend Reepli ;
les modèles d'IA n'accèdent qu'aux données générées par l'application ou aux données conversationnelles fournies par l'utilisateur ;
les données Google Calendar circulent exclusivement entre Google Calendar et le backend Reepli ;
aucune donnée d'événement Google Calendar n'est jamais transmise à AWS Bedrock ni à aucun fournisseur d'IA.

8. Transferts internationaux de données

Vos données personnelles peuvent être transférées et traitées en dehors de l'Espace Économique Européen (EEE), uniquement aux États-Unis (Meta Platforms, Stripe, Google). Le traitement par IA via Amazon Web Services (AWS) Bedrock a lieu au sein de l'Union européenne ; le contenu des messages transmis à AWS Bedrock n'est pas transféré en dehors de l'EEE.

Lorsque nous transférons des données personnelles en dehors de l'EEE, nous garantissons un niveau de protection adéquat via une ou plusieurs des garanties suivantes, conformément au Chapitre V du RGPD :

Décisions d'adéquation de la Commission européenne (Article 45 RGPD).
Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (Article 46.2.c RGPD).
Autres garanties appropriées requises par la loi applicable.

Vous pouvez demander une copie des garanties pertinentes en nous contactant à [email protected].

9. Vos droits au titre du RGPD

En vertu du RGPD, vous disposez des droits suivants concernant vos données personnelles :

Droit d'accès (Art. 15) : obtenir confirmation que nous traitons vos données et en recevoir une copie.
Droit de rectification (Art. 16) : demander la correction de données inexactes ou incomplètes.
Droit à l'effacement (Art. 17) : demander la suppression de vos données (« droit à l'oubli »), sous réserve d'obligations légales de conservation.
Droit à la limitation (Art. 18) : demander la limitation du traitement dans certaines circonstances.
Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
Droit d'opposition (Art. 21) : vous opposer à un traitement fondé sur l'intérêt légitime ou pour le marketing direct. En cas d'opposition, nous cesserons le traitement sauf si nous démontrons des motifs légitimes impérieux.
Droit de retirer le consentement (Art. 7.3) : lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment sans que cela n'affecte la licéité du traitement effectué avant le retrait.
Droit de ne pas faire l'objet d'une décision individuelle automatisée (Art. 22) : voir Section 10 ci-dessous.

Pour exercer l'un de ces droits, contactez-nous à [email protected]. Nous répondrons sous un mois à compter de la réception de votre demande, conformément au RGPD. Ce délai peut être prolongé de deux mois supplémentaires si nécessaire, en tenant compte de la complexité et du nombre de demandes.

Si vous n'êtes pas satisfait de notre réponse, vous avez le droit d'introduire une réclamation auprès de votre autorité de contrôle locale. Notre société étant établie en France, notre autorité de contrôle chef de file est :

CNIL (Commission Nationale de l'Informatique et des Libertés)
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France
Site web : www.cnil.fr

10. Décisions automatisées et traitement par IA

Notre Service utilise des modèles de langage d'intelligence artificielle (IA) pour générer des réponses dans les conversations WhatsApp pour le compte des entreprises. Cela signifie que lorsqu'un utilisateur final envoie un message à une entreprise utilisant Reepli.ai, la réponse qu'il reçoit est générée par un système IA.

Fournisseur d'IA. Reepli utilise Amazon Web Services (AWS) Bedrock, dans une région de l'Union européenne, pour accéder à des modèles d'IA générative commerciaux. Les requêtes des clients traitées via AWS Bedrock sont utilisées uniquement pour fournir le service demandé. Les données utilisateur Google obtenues via les API Google ne sont jamais transmises à AWS Bedrock ni à aucun modèle d'IA. Les données Google Calendar sont traitées exclusivement par le backend de Reepli pour la planification et le calcul des disponibilités, et les modèles d'IA ne reçoivent que des données générées par l'application ou des contenus conversationnels fournis par l'utilisateur qui ne proviennent pas des API Google.

Ce traitement par IA fonctionne ainsi :

L'IA génère des réponses conversationnelles à partir de la configuration de l'entreprise (services, horaires, ton) et du contexte de la conversation.
L'IA peut qualifier des prospects, suggérer des rendez-vous et fournir des informations configurées par l'entreprise.
L'IA ne prend pas de décisions produisant des effets juridiques ou affectant significativement les utilisateurs finaux (par ex. elle n'approuve ni ne refuse de services, ne prend pas de décisions de crédit, ne détermine pas l'éligibilité à quoi que ce soit).

L'assistant IA fonctionnant comme un outil de communication plutôt qu'un système de prise de décision automatisée produisant des effets juridiques ou similairement significatifs, l'Article 22 du RGPD ne s'applique pas. Néanmoins, tout utilisateur final peut demander une intervention humaine en demandant à parler directement avec le propriétaire de l'entreprise pendant une conversation WhatsApp.

11. Conservation des données

Nous conservons les données personnelles uniquement pour la durée nécessaire aux finalités décrites dans la présente politique, ou tel que requis par la loi. Nos durées de conservation sont les suivantes :

Catégorie de données	Durée de conservation
Données de compte Tenant	Durée du compte + 30 jours après demande de suppression
Données de conversation (messages)	Selon configuration du Tenant, jusqu'à 24 mois maximum
Coordonnées des utilisateurs finaux	Durée du compte du Tenant, ou jusqu'à demande de suppression
Documents de facturation	10 ans (obligation légale fiscale et commerciale française)
Logs serveur (IP, journaux d'accès)	12 mois
Enregistrement du consentement aux cookies	13 mois (recommandation CNIL)

Lorsque les données ne sont plus nécessaires et qu'aucune obligation légale de conservation ne s'applique, nous les supprimons ou les anonymisons de manière irréversible.

12. Cookies et technologies similaires

Notre site web et notre tableau de bord peuvent utiliser des cookies et technologies similaires. Nous les classons comme suit :

Cookies strictement nécessaires : requis pour le fonctionnement de la plateforme (par ex. cookies de session d'authentification). Ne nécessitent pas de consentement.
Cookies analytiques : utilisés pour comprendre comment les utilisateurs interagissent avec notre dashboard, afin d'améliorer l'expérience. Déposés uniquement avec votre consentement.

Nous n'utilisons pas de cookies publicitaires ou de tracking. Lors de votre première visite, un bandeau cookies vous permet d'accepter ou de refuser les cookies non essentiels. Vous pouvez modifier vos préférences à tout moment via votre navigateur ou notre interface de gestion des cookies.

13. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles, conformément à l'Article 32 du RGPD, notamment :

Chiffrement des données en transit via TLS/SSL.
Contrôles d'accès au niveau base de données et politiques RLS (Row-Level Security) garantissant une isolation stricte des données entre Tenants.
Limitation de débit et détection d'abus sur tous les endpoints API.
Détection d'injections de prompt et filtrage de sécurité sur toutes les interactions IA.
Revues de sécurité régulières de notre infrastructure.
Accès aux données personnelles restreint au personnel autorisé selon le principe du besoin d'en connaître.

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans un délai de 72 heures conformément à l'Article 33 du RGPD, et informerons les personnes concernées sans retard injustifié lorsque la violation est susceptible d'engendrer un risque élevé (Article 34 RGPD).

14. Données des mineurs

Le Service n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 16 ans. Si nous prenons connaissance que nous avons collecté des données auprès d'un enfant de moins de 16 ans, nous prendrons des mesures pour supprimer ces informations sans retard injustifié. Si vous pensez que nous pourrions avoir collecté des données d'un enfant, contactez-nous à [email protected].

15. Liens et services tiers

Le Service peut contenir des liens vers des sites web ou services tiers que nous n'exploitons pas. Nous ne sommes pas responsables des pratiques de confidentialité de ces tiers et vous encourageons à consulter leurs politiques de confidentialité indépendamment.

16. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Lors de modifications significatives, nous notifierons les Tenants par email ou notification in-app, et mettrons à jour la « Date d'effet » en haut de cette page. Votre utilisation continue du Service après l'entrée en vigueur des modifications constitue votre acceptation de la politique mise à jour.

17. Nous contacter

Pour toute question, préoccupation ou pour exercer vos droits relatifs à la protection des données, contactez-nous :

Email : [email protected]
Reepli.ai — 14 Avenue du Général de Gaulle, 94160 Saint-Mandé, France
Site web : https://www.reepli.ai