1. Introduction

FlowConsent s'engage à protéger votre vie privée et vos données personnelles. Cette politique explique comment nous collectons, utilisons et protégeons vos informations.

2. Données collectées

Nous collectons les informations suivantes :

Informations d'identification (nom, email)
Données d'utilisation du service
Cookies et technologies similaires
Informations de paiement (traitées par nos prestataires sécurisés)

3. Utilisation des données

Vos données sont utilisées pour :

Fournir et améliorer nos services
Communiquer avec vous
Gérer votre compte
Assurer la sécurité de nos services
Respecter nos obligations légales

4. Partage des données

Nous ne vendons jamais vos données personnelles et ne les utilisons pas pour entraîner des modèles d'intelligence artificielle.

Nous faisons appel aux sous-traitants suivants, qui n'accèdent à vos données que pour exécuter la prestation qui leur est confiée :

Vercel : hébergement de l'application et du serveur MCP
Cloudflare : diffusion des bannières de consentement aux visiteurs de votre site (CDN, Workers, stockage KV), et vérification anti-robots du formulaire de scan (Turnstile)
Browserbase : navigateur hébergé qui ouvre le site à analyser lors d'un scan ; seule l'adresse du site lui est transmise
Supabase : base de données, authentification et fonctions serveur
Stripe : traitement des paiements ; vos coordonnées bancaires complètes ne nous sont jamais transmises
Resend : envoi des courriels transactionnels (invitations, notifications liées au compte)
PostHog (instance européenne) : mesure d'usage du produit et déclenchement des courriels transactionnels
Sentry : détection et diagnostic des erreurs techniques

Certains de ces prestataires peuvent traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation.

Nous pouvons également communiquer vos données aux autorités lorsque la loi l'exige.

5. Durée de conservation

Nous conservons vos données pendant la durée nécessaire à la fourniture de nos services et conformément aux obligations légales.

6. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès à vos données
Droit de rectification
Droit à l'effacement
Droit à la limitation du traitement
Droit à la portabilité
Droit d'opposition

7. Sécurité des données

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles pour protéger vos données contre tout accès non autorisé.

8. Cookies

Le site flowconsent.com utilise sa propre bannière FlowConsent. Les outils de mesure d'audience (Google Analytics, Microsoft Clarity) ne sont chargés qu'après votre accord, et aucun traceur non essentiel n'est déposé avant votre choix. Vous pouvez modifier ou retirer votre consentement à tout moment depuis la bannière.

9. Serveur MCP (mcp.flowconsent.com)

FlowConsent met à disposition un serveur MCP (Model Context Protocol) permettant à un assistant IA que vous choisissez (Claude, Cursor ou un autre client compatible) de gérer vos bannières en votre nom. Son utilisation est facultative et suppose votre autorisation explicite.

Données traitées. Lorsque vous autorisez un client MCP, nous conservons : l'identifiant et l'adresse e-mail de votre compte, les jetons de votre session FlowConsent, les autorisations que vous avez accordées, ainsi que le nom et les adresses de redirection du client autorisé. Aucune donnée supplémentaire n'est collectée à cette occasion.

Finalité. Ces données servent uniquement à exécuter, en votre nom, les actions couvertes par les autorisations accordées : consulter vos espaces de travail et vos bannières, en créer ou en modifier, les mettre en ligne, consulter vos statistiques de consentement. Le serveur ne dispose d'aucun droit propre : il agit strictement dans les limites de votre compte.

Stockage et sécurité. Ces données sont conservées dans notre base Supabase, dans des tables dédiées et inaccessibles depuis le navigateur. Les jetons ne sont jamais stockés en clair : seule leur empreinte cryptographique (SHA-256) est enregistrée. Le serveur est hébergé par Vercel.

Partage. Les réponses aux commandes que vous déclenchez sont transmises au client MCP que vous avez autorisé, et donc à son éditeur, selon la politique de confidentialité de celui-ci. Nous ne transmettons aucune donnée à d'autres tiers, ne les vendons pas et ne les utilisons pas pour entraîner des modèles d'intelligence artificielle. Nos sous-traitants techniques restent Vercel (hébergement) et Supabase (base de données).

Durée de conservation. Les codes d'autorisation expirent au bout de 10 minutes et sont supprimés sous 24 heures. Les jetons d'accès expirent au bout d'une heure et sont supprimés après 7 jours. Les jetons de rafraîchissement restent valables jusqu'à révocation, puis sont supprimés après 30 jours. Une purge automatique quotidienne applique ces durées.

Révocation. Vous pouvez retirer à tout moment l'accès accordé à un client MCP en nous écrivant à [email protected]. La suppression de votre compte supprime également toutes les autorisations associées.

10. Scanner de cookies (audit gratuit)

Lorsque vous demandez un audit gratuit sur flowconsent.com, nous traitons :

l'adresse e-mail que vous saisissez ;
l'adresse du site à analyser et le résultat de l'analyse (cookies, traceurs et services détectés) ;
une empreinte chiffrée de votre adresse IP, calculée à la volée : l'adresse IP elle-même n'est jamais conservée.

Finalités et bases légales. L'e-mail sert à vous envoyer le lien de votre rapport, ce que vous demandez en remplissant le formulaire (mesures précontractuelles, article 6.1.b du RGPD). Si vous ne créez pas de compte, nous vous envoyons au plus trois e-mails de suivi au sujet de ce rapport, 1, 3 et 7 jours après le scan (intérêt légitime, article 6.1.f) ; chacun contient un lien de désinscription immédiate. L'empreinte d'IP sert uniquement à limiter le nombre de scans par visiteur et à protéger le service contre les abus (intérêt légitime). Une vérification anti-robots Cloudflare Turnstile s'exécute dans le formulaire pour la même raison.

Rapport. Le rapport est accessible par un lien unique et non devinable ; il ne contient pas votre adresse e-mail et n'est pas indexé par les moteurs de recherche.

Durée de conservation. Le rapport, l'e-mail et l'empreinte d'IP sont conservés 30 jours après votre dernière demande, puis supprimés automatiquement chaque jour. Vous pouvez demander leur suppression anticipée à [email protected].

11. Modifications

Nous pouvons modifier cette politique à tout moment. Les modifications seront publiées sur cette page.

12. Responsable du traitement et contact

Les données à caractère personnel sont collectées par BeBranded SAS, au capital de 10 000 €, immatriculée sous le numéro 984 530 212, dont le siège est situé 34 Avenue Chanzy, 93250 Villemomble, France.

Le délégué à la protection des données est Maxime Konzelmann, joignable à la même adresse, par téléphone au +33 1 89 70 89 35 ou par courriel à [email protected].

Pour toute question concernant cette politique ou pour exercer vos droits, écrivez-nous à : [email protected]

Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL), autorité de contrôle compétente, sur www.cnil.fr.