Politique de confidentialité

Le service « Subtraq » est édité par GAM Communication LLC, société à responsabilité limitée à associé unique de droit américain, immatriculée dans l’État du Wyoming sous le numéro de dossier 2026-001871449, dont l’adresse est 1309 Coffeen Avenue, STE 1200, Sheridan, WY 82801, United States.

Pour toute question relative à vos données : contact@subtraq.co.

L’éditeur est établi hors de l’Union européenne — et le RGPD s’applique quand même. Il s’applique dès qu’un service est proposé à des personnes situées dans l’Union, quel que soit le pays de l’entreprise (article 3.2 du RGPD). Vous avez donc exactement les mêmes droits que face à une société européenne, et nous les traitons de la même façon.

Où écrire, et à qui — l’éditeur étant établi aux États-Unis, il désigne un représentant dans l’Union européenne au titre de l’article 27 du RGPD ; son nom et son adresse seront publiés ici dès sa désignation. D’ici là, et ensuite tout autant, l’adresse ci-dessus reste le chemin le plus court : elle est relevée par l’éditeur lui-même, et aucune demande concernant vos données n’est retardée par ce point. Vous pouvez également saisir directement l’autorité de contrôle de votre pays (section 9).

Cette politique décrit quelles données nous traitons, pourquoi, avec qui elles transitent, combien de temps nous les conservons et quels sont vos droits (RGPD et loi Informatique et Libertés).

Subtraq traite des données personnelles dans deux contextes distincts, avec deux qualifications juridiques différentes au sens du RGPD.

Nous mettons en avant ce que nous ne faisons pas, parce que c’est un choix de conception délibéré, pas une contrainte technique.

• L’adresse IP n’est jamais stockée. Elle est lue en mémoire vive uniquement pour déterminer le pays et détecter les robots, puis immédiatement jetée. Aucune IP n’est jamais écrite en base de données.
• Aucune empreinte d’appareil (fingerprinting). Nous ne combinons pas des caractéristiques du navigateur pour créer un identifiant persistant. C’est interdit par la conception du produit, pas seulement déconseillé.
• Aucun suivi entre appareils au-delà de ce que vous identifiez explicitement via identify().
• Aucun cookie tiers. Le SDK utilise le localStorage du domaine du client.
• L’URL complète du référent n’est jamais stockée. Seul le nom d’hôte est conservé (ex. : instagram.com, pas instagram.com/p/identifiant…). Le chemin complet peut contenir des données personnelles ; nous ne le prenons pas.

L’éditeur lui-même. Vos données restent stockées en Allemagne, chez Hetzner, et aucune copie n’est envoyée aux États-Unis. Quand nous consultons ces données pour faire fonctionner le service et vous répondre, nous consultons notre propre base : c’est la même société qui les a collectées et qui les lit. Le RGPD réserve la notion de « transfert hors de l’Union » aux cas où des données passent d’une entreprise à une autre entreprise située hors de l’Union (Comité européen de la protection des données, lignes directrices 05/2021). Ce n’est pas le cas ici, et il n’y a donc pas de garantie de transfert à mettre en place pour les données de votre compte.

Ce qui protège ces données, ce sont des mesures concrètes plutôt qu’un contrat : chiffrement de toutes les communications, base de données non exposée sur internet, accès au serveur réservé à une seule personne par clé, sauvegardes chiffrées, et une règle de conception qui limite les dégâts par avance — nous n’écrivons jamais votre adresse IP.

Les clics de vos campagnes, en revanche, nous sont confiés par votre agence : là, deux entreprises différentes sont en jeu, et il s’agit bien d’un transfert au sens du RGPD. Il est encadré par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (module « responsable de traitement vers sous-traitant »), qui font partie de l’accord de traitement des données signé avec votre agence. Lire le contrat de sous-traitance — il se signe tel quel, et il est aussi remis sur simple demande à contact@subtraq.co.

Cloudflare traite chaque requête HTTP au point de présence le plus proche du visiteur, qui peut se trouver hors de l’Union européenne. Les données transmises à Cloudflare se limitent à celles présentes dans la requête HTTP standard (en-têtes, URL du lien). Le carnet de liens répliqué dans le KV ne contient pas de données personnelles identifiantes (pas d’email, pas d’IP).

Stripe transfère des données de facturation entre l’UE et les États-Unis dans le cadre de clauses contractuelles types (CCT) approuvées par la Commission européenne.

Google : si Google OAuth est activé, des données d’authentification transitent vers les serveurs Google. Voir la politique de confidentialité de Google pour le cadre applicable.

Concernant les données pour lesquelles GAM Communication LLC agit en responsable de traitement (données de votre compte), vous disposez des droits d’accès, rectification, effacement, limitation, opposition et portabilité.

Pour les exercer : contact@subtraq.co — réponse sous un mois.

Vous pouvez supprimer vous-même votre compte et toutes les données associées depuis vos réglages.

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous pouvez saisir l’autorité de contrôle du pays où vous résidez. En France, c’est la CNIL (www.cnil.fr). Le fait que l’éditeur soit établi aux États-Unis ne vous enlève pas ce recours.

Pour les données de clics (Subtraq sous-traitant) : les droits s’exercent auprès de l’agence responsable de traitement, pas directement auprès de Subtraq.

Chaque clic est analysé à sa réception. Les robots sont identifiés par leur User-Agent (crawlers, navigateurs headless, outils SEO, outils de monitoring, clients HTTP programmables) ou par la méthode HTTP (une requête HEAD n’est jamais un vrai clic humain).

Nous n’effaçons aucun clic de robot. Nous les enregistrons et les étiquettons (drapeau isBot = true). Les tableaux de bord n’affichent que les clics humains par défaut, avec un interrupteur pour afficher les robots.

La liste complète des règles de détection est publiée dans notre documentation publique. Aucun filtrage silencieux. Les clics de robots ne comptent pas dans le quota mensuel facturé.

• Toutes les communications sont chiffrées en transit (HTTPS/TLS).
• Les sessions sont stockées dans des cookies httpOnly, non accessibles depuis JavaScript.
• Les clés API ne sont jamais stockées en clair : seule leur empreinte SHA-256 est conservée.
• La base de données est dédiée, non exposée publiquement, avec des sauvegardes quotidiennes chiffrées.
• L’accès au serveur est restreint par SSH avec clé dédiée.

En cas de violation de données susceptible d’engendrer un risque élevé pour vos droits, vous seriez informé dans les meilleurs délais, conformément à l’article 34 du RGPD.

Toute modification substantielle de cette politique sera notifiée par email ou dans l’application avant son entrée en vigueur.