Politique de confidentialité

Dernière mise à jour : 16 septembre 2026

Lenymap est exploité par Orbyneo. Cette politique explique quelles données sont traitées sur lenymap.com, dans l’application app.lenymap.com et lors de vos échanges avec notre équipe. Elle couvre aussi les demandes de prestations de délégation adressées à Orbyneo depuis Lenymap.

1. Qui est responsable de vos données ?

Orbyneo, exploitant de Lenymap, détermine les finalités et moyens des traitements nécessaires à la gestion de son service, de ses comptes utilisateurs, de ses relations commerciales et de sa sécurité. Contact : contact@lenymap.com. Les renseignements d’identification figurent dans les mentions légales ; le SIRET et les informations légales complémentaires restent à renseigner par Orbyneo.

Lorsque vous utilisez Lenymap pour traiter les données de vos propres clients ou gérer leurs établissements, vous pouvez être responsable de ces traitements. Orbyneo peut alors intervenir comme sous-traitant, selon le service et les instructions reçues. Cette relation doit être encadrée par un accord conforme à l’article 28 du RGPD, distinct de cette politique.

2. Quelles données traitons-nous ?

• Compte et connexion : adresse email, nom ou informations de profil fournis, identifiant de compte, paramètres, état de connexion et informations nécessaires à la sécurisation des accès. La connexion Google peut communiquer les informations de profil autorisées.
• Établissements et analyses : nom commercial, adresse professionnelle, coordonnées publiées, catégories, services, site web, zone géographique, mots-clés, concurrents, résultats de positionnement, audits, historiques d’actions et paramètres de suivi.
• Fiches Google connectées : identifiants des comptes et établissements autorisés, autorisations et jetons d’accès, informations de fiche, contenus, avis et réponses accessibles selon les permissions accordées. Les avis peuvent contenir le nom public, la photo de profil ou le texte publié par leur auteur.
• Contenus et assistance IA : messages envoyés à l’assistant, descriptions d’activité, consignes de rédaction, textes, images ou documents transmis et résultats générés. Ne transmettez pas de secrets, mots de passe, données bancaires ou données sensibles inutiles à votre demande.
• Relation commerciale et support : nom, email, téléphone si vous le fournissez, service recherché, contenu de la demande, échanges et éléments nécessaires au traitement d’un incident ou d’une réclamation. Les champs obligatoires d’un formulaire sont signalés ; leur absence peut empêcher la réponse ou la fourniture du service.
• Abonnement et facturation : offre, état de souscription, échéances, montants, références de facturation et confirmations de paiement selon les modalités utilisées. Les données de carte saisies dans l’interface d’un prestataire de paiement sont traitées par celui-ci, pas dans nos formulaires de contact.
• Données techniques et navigation : adresse IP et journaux techniques, type de navigateur et d’appareil, pages consultées, source d’arrivée et paramètres de campagne, événements de navigation et d’interaction. La collecte dépend des outils actifs, des pages concernées et de vos choix applicables.

Ces données proviennent de vous, des utilisateurs autorisés de votre compte, des services que vous connectez et des sources publiques ou prestataires de données utilisés pour les analyses. Une information publiquement accessible peut rester une donnée personnelle et bénéficier de la protection du RGPD.

3. Pourquoi et sur quelles bases juridiques ?

L’envoi d’un formulaire de contact ne constitue pas un consentement à une newsletter. L’acceptation des CGU ne vaut pas consentement global à tous les traitements. Les analyses et recommandations du logiciel ne constituent pas, à elles seules, une décision automatisée produisant des effets juridiques sur vous.

4. Connexion Google et contrôle de vos accès

L’accès à une fiche Google Business Profile suppose une autorisation appropriée, notamment l’autorisation de gestion des établissements lorsque vous activez cette connexion. Elle permet d’exécuter les fonctionnalités que vous demandez ou configurez : consulter les informations disponibles, préparer des analyses, gérer des contenus et, selon vos réglages, publier ou répondre aux avis.

Vous pouvez revoir ou retirer les autorisations dans les connexions tierces de votre compte Google. La révocation bloque les futurs accès concernés, mais ne supprime pas nécessairement les données précédemment enregistrées dans Lenymap ; une demande de suppression peut être adressée au contact indiqué ci-dessous. Elle ne résilie pas automatiquement votre abonnement.

Les données reçues des API Google doivent être utilisées uniquement pour les fonctionnalités autorisées et selon la Google API Services User Data Policy, y compris ses exigences « Limited Use » lorsqu’elles s’appliquent. Orbyneo n’en fait pas commerce et ne les utilise pas pour entraîner ses propres modèles d’intelligence artificielle généralistes.

5. Intelligence artificielle et contenus

Une fonctionnalité de génération peut transmettre au fournisseur d’IA les instructions, informations d’activité, extraits d’analyse, avis ou contenus nécessaires à la demande. Les fonctionnalités de texte utilisent notamment Anthropic ; certaines fonctions d’image utilisent OpenAI. Il ne faut donc pas considérer qu’un contenu envoyé à l’assistant reste exclusivement sur le serveur WordPress.

Limitez vos demandes aux informations utiles et vérifiez que vous êtes autorisé à transmettre les contenus de tiers. Les conditions de conservation et de traitement des fournisseurs d’IA sont distinctes et doivent être prises en compte selon le service utilisé ; cette politique ne promet pas une absence universelle de conservation par tous les prestataires.

6. Qui reçoit les données ?

L’accès est limité aux personnes habilitées d’Orbyneo, aux prestataires nécessaires aux fonctions utilisées et, lorsque la loi le prévoit, aux autorités compétentes. Les principaux services techniques identifiés sont :

• OVHcloud / infrastructure Plesk : hébergement du site WordPress et messagerie professionnelle. Plesk désigne l’outil d’administration de cette infrastructure.
• Vercel : hébergement et exécution de l’application web Lenymap.
• Supabase : authentification, base de données et stockage utilisés par l’application.
• Google : connexion, accès aux établissements autorisés et services liés aux fonctionnalités Google.
• DataForSEO et Serper : recherche et données nécessaires aux analyses de visibilité, notamment requêtes, positions, établissements et informations publiques.
• Anthropic et OpenAI : traitement des demandes d’intelligence artificielle selon la fonctionnalité activée.
• ScraperAPI : récupération de contenus de sites analysés pour certaines fonctions d’audit.
• Plausible, sur notre infrastructure de mesure, et Microsoft Clarity : mesure d’audience, interactions et analyse de l’expérience utilisateur, détaillées à l’article 8.
• Formspree et Resend : traitement ou acheminement de certaines demandes transmises par les formulaires existants du site ou de l’application. Le formulaire « Délégation » de la page tarifs utilise la messagerie WordPress/Plesk vers contact@lenymap.com.
• FirstPromoter : inscription et gestion de l’espace partenaire, si vous rejoignez le programme d’affiliation. Son utilisation ne signifie pas que le suivi de facturation ou les versements sont déjà activés.
• Prestataire de paiement : celui indiqué sur la commande ou l’interface de paiement effectivement utilisée, lorsque vous souscrivez une offre payante.

Un prestataire ne reçoit pas automatiquement toutes les données de votre compte : les informations transmises dépendent de la fonction sollicitée. Les destinataires supplémentaires éventuels, notamment les services de génération de QR codes ou de diagnostic réseau utilisés par certaines fonctions, doivent être limités aux données nécessaires à ces fonctions. Vous pouvez nous demander des précisions sur les destinataires d’un traitement particulier.

Orbyneo ne vend pas votre carnet de contacts ni les données de vos fiches connectées. Lorsqu’un prestataire agit pour notre compte, les obligations de confidentialité, de sécurité et de sous-traitance doivent être encadrées contractuellement.

7. Localisation et transferts hors EEE

L’hébergement du site et les traitements de l’application ne doivent pas être confondus : certains prestataires ou leurs équipes peuvent traiter des données hors de l’Espace économique européen, notamment aux États-Unis. Le pays de traitement dépend de la région de service et des sous-traitants effectivement utilisés ; nous ne déclarons pas que toutes les données restent en France ou en Europe.

Un transfert soumis au RGPD doit reposer sur un mécanisme valable : décision d’adéquation applicable au destinataire concerné ou garanties appropriées, telles que les clauses contractuelles types, assorties si nécessaire de mesures complémentaires. La simple mention « conforme RGPD » d’un fournisseur ne suffit pas. Vous pouvez demander les informations et garanties applicables au transfert qui vous concerne à contact@lenymap.com.

8. Cookies, stockage local et mesure d’audience

Fonctionnement et sécurité. Des cookies ou mécanismes de stockage local peuvent être nécessaires pour maintenir une session, sécuriser un formulaire ou conserver un choix. Leur nécessité s’apprécie selon leur finalité, et non simplement selon leur nom.

Plausible. Le site et l’application disposent d’une instrumentation de mesure d’audience et d’événements : pages consultées, provenance, paramètres de campagne, clics et étapes de navigation. Ces mesures servent à comprendre l’acquisition et les parcours. Un clic ne constitue pas en lui-même une inscription ou une vente. L’absence de cookie ne signifie pas automatiquement l’absence de traitement de données personnelles ni une exemption de consentement.

Microsoft Clarity. Cet outil peut recueillir des interactions telles que clics, défilement, informations techniques et reconstitutions de navigation pour identifier des difficultés d’usage. Des mécanismes de masquage et des exclusions de pages sont utilisés pour limiter la remontée de données personnelles ; cela ne constitue pas une garantie d’anonymisation absolue. Microsoft traite aussi des données selon sa déclaration de confidentialité.

Vos choix. Les traceurs non strictement nécessaires doivent être soumis à un consentement préalable lorsqu’aucune exemption ne s’applique. Le refus doit alors être possible et le consentement révocable. La lecture de cette politique ou la poursuite de navigation ne vaut pas consentement. Les réglages du navigateur peuvent limiter le stockage et vous pouvez nous adresser une demande relative à vos données, mais ces possibilités ne remplacent pas le mécanisme de consentement que l’éditeur doit mettre en place lorsqu’il est requis.

9. Combien de temps conservons-nous les données ?

La durée dépend de la finalité et des obligations applicables. Nous ne présentons pas un délai unique comme couvrant tous les traitements :

• Données nécessaires au compte : pendant la relation et dans la mesure utile au service, puis suppression ou archivage limité des éléments qui doivent être conservés pour une obligation ou un litige.
• Autorisations et jetons : pour la durée nécessaire à la connexion autorisée ; leur utilisation doit cesser après révocation. Les données déjà enregistrées font l’objet d’un traitement distinct.
• Audits, contenus et historiques : selon leur utilité pour le suivi demandé, les paramètres disponibles et les demandes de suppression. Aucun stockage illimité ni délai automatique de deux ans n’est promis ici.
• Demandes de contact et devis : pendant le traitement de la demande, puis pendant la durée justifiée par le suivi de la relation ou la défense d’un droit, sans conservation indifférenciée de tous les messages.
• Pièces comptables et factures : dix ans lorsqu’elles relèvent de l’obligation légale française de conservation des documents comptables. Cette obligation ne justifie pas de garder toutes les données du compte pendant dix ans.
• Journaux de sécurité, mesure d’audience et sauvegardes : selon les paramètres techniques et la durée nécessaire à la sécurité, aux analyses utiles et à la restauration. L’effacement d’une base active peut être suivi d’un délai de rotation des sauvegardes ; celles-ci ne doivent pas être réutilisées pour un autre objectif.

Vous pouvez demander la durée ou les critères applicables à une donnée particulière. Une conservation motivée par un contentieux ou une obligation légale est limitée aux informations nécessaires, avec un accès restreint.

10. Vos droits et comment les exercer

Selon les conditions du RGPD, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation d’un traitement et la portabilité des données concernées. Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime pour des raisons tenant à votre situation, ainsi qu’à la prospection à tout moment, et retirer un consentement sans remettre en cause les traitements antérieurs licites.

Écrivez à contact@lenymap.com, en indiquant la nature de votre demande et le compte ou l’établissement concerné. Nous ne demandons une preuve d’identité supplémentaire qu’en cas de doute raisonnable et dans une mesure proportionnée. N’envoyez pas spontanément de pièce d’identité ou de mot de passe.

Une réponse doit vous être apportée en principe dans un mois. Ce délai peut être prolongé de deux mois si la complexité ou le nombre de demandes le justifie ; vous devez alors être informé dans le premier mois des raisons et de la prolongation. Certains droits sont soumis à des exceptions, notamment les obligations légales de conservation.

La suppression des données n’annule pas automatiquement une facture due ; la fin d’un abonnement ne vaut pas toujours suppression immédiate de toutes les données. Pour les informations que nous traitons uniquement sur instruction d’un client professionnel, nous pouvons orienter votre demande vers ce responsable et l’assister.

11. Sécurité et incidents

Nous utilisons notamment des connexions HTTPS, des contrôles d’accès et les mécanismes d’authentification fournis par l’infrastructure du service. La protection des accès, la limitation des permissions et la vigilance sur les contenus transmis font partie des mesures de sécurité. Aucun système ne peut toutefois garantir un risque nul.

Lorsqu’une violation de données est identifiée, les obligations de documentation, de notification à l’autorité et d’information des personnes sont appliquées selon le risque et les conditions prévues par le RGPD. Vous pouvez signaler un incident ou une vulnérabilité à notre adresse de contact, sans publier de données de tiers.

12. Mineurs, évolution de la politique et réclamations

Le service est destiné à un usage professionnel et n’est pas conçu pour les enfants. Si vous pensez que des données d’un enfant ont été transmises de manière inappropriée, contactez-nous afin que la situation soit examinée.

Cette politique peut évoluer. Sa date est actualisée et les changements importants sont communiqués aux personnes concernées par un moyen approprié. Une nouvelle finalité nécessitant un consentement ne peut pas être autorisée par une simple modification de ce texte.

Vous pouvez adresser une réclamation à la CNIL, 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, ou sur cnil.fr. Vous n’êtes pas obligé de nous contacter d’abord pour exercer ce droit.

Une question ? Écrivez à contact@lenymap.com ou utilisez notre formulaire de contact.