Politique de confidentialité

Dernière mise à jour : 18 septembre 2026

1. Introduction

Darkspot, opéré par Looptra (« nous », « notre »), est un service d'audit de la visibilité d'une marque dans les réponses des assistants d'IA (ChatGPT). Cette politique décrit quelles données personnelles nous collectons, pour quelles finalités et durant combien de temps, ainsi que vos droits au titre du Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et de la loi Informatique et Libertés.

Responsable de traitement : Looptra, représentée par Nicolas Leblanc, joignable à l'adresse contact@looptra.ai.

2. Données collectées et finalités

2.1 Données fournies via le formulaire d'audit

Pour générer un diagnostic gratuit ou un audit complet, vous nous fournissez les cinq champs suivants, tous obligatoires :

  • Prénom et Nom - personnalisation des emails et du rapport.
  • Adresse e-mail professionnelle - envoi du magic link d'accès au rapport, du code de récupération à 6 chiffres, de l'email de confirmation de paiement, le cas échéant d'un rappel lorsqu'un paiement a été ouvert puis abandonné et d'un email de relance à J+1 si vous n'avez pas converti votre diagnostic gratuit (voir §3 ci-dessous), et, si vous en faites la demande, de l'annonce d'ouverture de l'abonnement (voir §2.5 ci-dessous, base légale distincte).
  • Domaine de votre site web - cible de l'analyse de visibilité.
  • Secteur d'activité - sélection dans une liste fermée de 12 valeurs (SaaS B2B, e-commerce B2C, Fintech, Healthtech, Edtech, Retail, Media, Industrie, Services pro, Tourisme, Immobilier, Autre). Permet de calibrer l'analyse de votre marché.

Base légale : exécution du contrat (article 6.1.b RGPD) - fournir le rapport d'audit que vous demandez.

2.2 Données techniques générées par le service

  • Identifiant unique de rapport (UID public) et jeton d'accès chiffré, transmis exclusivement par lien dans l'email du diagnostic.
  • Code de récupération à 6 chiffres, alternatif au lien cliquable, valide une heure après émission.
  • Adresse IP et user-agent du navigateur, utilisés uniquement pour appliquer nos limites de débit (anti-abus) et journaliser les événements d'accès au rapport (lien ouvert, code validé, paiement, etc.).
  • Données analytiques d'usage via PostHog (pages vues, clics CTA), hébergées dans l'Union européenne (instance EU PostHog), avec anonymisation des IPs activée.

2.3 Données de paiement (levée des scellés 19 €)

Si vous achetez la levée des scellés (19 €), le paiement est traité par Stripe. Nous ne collectons ni ne stockons aucune donnée de carte bancaire : Stripe est notre prestataire PCI-DSS Level 1. Nous conservons uniquement les identifiants techniques de la session de paiement (Stripe Checkout Session ID, Payment Intent ID, montant, devise, statut) à des fins de comptabilité et de réconciliation.

2.4 Contenu généré par les modèles IA

Pour produire votre audit, nous envoyons à nos sous-traitants IA (voir §5) des prompts publics calibrés sur votre secteur, ainsi que votre nom de marque et le nom de votre domaine. Les réponses brutes générées par l'IA sont stockées dans notre base de données afin de constituer la preuve horodatée associée à chaque observation du rapport.

2.5 Pré-inscription à l'abonnement (liste d'attente)

Si vous demandez à être prévenu de l'ouverture de l'abonnement, depuis la page d'accueil, la page des offres ou votre rapport, nous collectons :

  • Votre adresse e-mail, conservée sous sa forme saisie et sous une forme normalisée (minuscules, espaces retirés) qui sert uniquement à éviter les doublons.
  • La page depuis laquelle vous vous êtes inscrit, et, si l'inscription part d'un rapport auquel vous avez un accès vérifié, le lien vers ce rapport.
  • Adresse IP et user-agent, au titre de la trace d'accès au rapport décrite au §2.2, quand l'inscription part d'un rapport.

Finalité : vous écrire une seule fois, à l'ouverture de l'abonnement. Cette adresse n'alimente aucune autre campagne, et elle n'est transmise à personne.

Base légale : votre consentement (article 6.1.a RGPD), donné en validant le formulaire. Vous pouvez le retirer à tout moment, en écrivant à contact@looptra.ai : votre adresse est alors supprimée de la liste d'attente. Le retrait ne remet pas en cause la licéité de ce qui a été fait avant.

Durée de conservation : 3 ans après le dernier contact (voir §8).

3. Emails de suivi commercial liés au rapport

Deux emails de suivi commercial existent, et un seul de chaque type vous est adressé pour un rapport donné. Ils ne partent que si vous avez fait ce qui les déclenche. Il n'en existe aucun autre.

Le rappel de paiement. Si vous ouvrez le paiement de la levée des scellés sans le finaliser, nous vous envoyons un email environ deux heures plus tard, avec le lien vers votre rapport. Il ne comporte aucune remise ni aucun coupon. Il n'est pas envoyé si vous avez payé entre-temps, s'il est déjà parti, ou si la relance ci-dessous vous a déjà été adressée.

La relance à J+1. Si vous consultez votre diagnostic gratuit sans acheter, nous vous envoyons un email de relance environ 24 heures plus tard. Celui-ci inclut une offre découverte (coupon Stripe −30 %, valide 48 h, à usage unique). Aucune autre relance (J+3, J+7, newsletter) n'est envoyée.

Base légale des deux : intérêt légitime (article 6.1.f RGPD) - prospection commerciale directement liée au service que vous avez demandé.

Vous pouvez vous désinscrire à tout moment en cliquant sur le lien visible en bas de ces deux emails. Notre endpoint /api/unsubscribe implémente le protocole one-click RFC 8058 : les boutons natifs « Se désinscrire » de Gmail, Apple Mail, Outlook et Yahoo (déclenchés par les en-têtes List-Unsubscribe + List-Unsubscribe-Post conformes à la RFC 2369) appellent directement cet endpoint, sans page intermédiaire ni authentification. Votre adresse est immédiatement inscrite sur une liste interne de suppression : aucun email de suivi commercial Darkspot ne pourra plus vous être envoyé, quel que soit le futur rapport associé. Pour les utilisateurs qui cliquent le lien visible plutôt que d'utiliser le bouton natif du client mail, une page de confirmation s'affiche : la désinscription effective n'a lieu qu'à la validation du formulaire (POST), conformément à la RFC 8058 §3.1, afin d'éviter qu'un scanner antispam ou un préchargeur de liens ne désinscrive involontairement. Un mailto vers contact@looptra.ai reste disponible pour les clients mail qui n'exposent pas les en-têtes RFC 8058.

4. Cache de 7 jours par domaine

Pour limiter notre empreinte économique et notre consommation de modèles IA, si un diagnostic gratuit a déjà été généré pour le même domaine au cours des 7 derniers jours, nous réutilisons les résultats existants au lieu de relancer une analyse complète. Vous recevez votre propre lien d'accès, distinct de celui du précédent utilisateur, et les données analysées sont les mêmes.

5. Sous-traitants (article 28 RGPD)

Nous faisons appel aux sous-traitants suivants pour faire fonctionner Darkspot. Chacun est lié contractuellement par des engagements de confidentialité et, pour ceux situés hors UE, par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne.

  • OpenAI, L.L.C. (États-Unis) - exécution des prompts d'audit via l'API OpenAI Responses (modèle GPT-5.5). Aucun stockage chez le fournisseur (paramètre store: false activé).
  • Anthropic PBC (États-Unis) - jugement des réponses de tous les paliers (modèle Claude Sonnet 4.6, juge cross-provider).
  • Stripe Payments Europe Ltd (Irlande, UE) - encaissement paiements et gestion des coupons promotionnels.
  • Resend Inc. (États-Unis) - envoi des emails transactionnels et de la relance J+1.
  • Vercel Inc. (entité États-Unis, données hébergées à Frankfurt, Union européenne) - hébergement applicatif et stockage objet (Vercel Blob).
  • Neon Inc. (entité États-Unis, base hébergée à Frankfurt, région AWS eu-central-1, Union européenne) - base de données PostgreSQL principale du service.
  • Inngest Inc. (États-Unis) - orchestration des tâches d'audit en arrière-plan.
  • Upstash, Inc. (entité États-Unis, base Redis hébergée à Frankfurt, région eu-west-1, Union européenne) - cache Redis et limitation de débit (via Vercel KV).
  • PostHog Inc. (instance EU, Allemagne) - analyse d'usage du site, anonymisation IP activée.

6. Transferts hors Union européenne

Plusieurs de nos sous-traitants sont des sociétés américaines : OpenAI, Anthropic, Resend, Inngest traitent vos données aux États-Unis. Vercel, Neon et Upstash sont également des entités américaines mais hébergent vos données dans des centres de données Frankfurt (Union européenne) - aucun transfert transatlantique pour le stockage applicatif, la base PostgreSQL et le cache Redis. Pour les sous-traitants qui traitent effectivement les données aux États-Unis, le transfert est encadré par les Clauses Contractuelles Types de la Commission européenne (Décision 2021/914) signées avec chacun d'eux, et le cas échéant par le Data Privacy Framework UE-US pour les entités certifiées. Nous nous engageons à minimiser les données transmises (pas de données nominatives transmises aux modèles IA au-delà du nom de marque et du domaine déclarés).

7. Sécurité

Nous appliquons les mesures techniques et organisationnelles suivantes :

  • Chiffrement TLS 1.2+ sur tous les transports (site, API, sous-traitants).
  • Jetons d'accès au rapport stockés sous forme de hachage SHA-256 uniquement. Le jeton en clair n'est jamais persisté en base ni journalisé.
  • Code de récupération à 6 chiffres également hashé, bloqué après 5 tentatives erronées, expiration 60 minutes.
  • Limites de débit anti-abus sur les six routes d'API sensibles.
  • Webhooks Stripe vérifiés cryptographiquement et idempotents (anti-replay).
  • Secrets et clés d'API stockés en variables d'environnement Vercel.

8. Durées de conservation

  • Jeton d'accès au rapport (diagnostic gratuit) : valide 7 jours à compter de l'émission. Renouvelable via le bouton « Renvoyer le lien » (rotation : nouveau jeton, nouveau compteur de 7 jours).
  • Jeton d'accès au rapport (audit complet, payé) : sans expiration tant que le service est actif. Rotation à chaque demande de renvoi de lien.
  • Code de récupération à 6 chiffres : valide une heure après émission, bloqué après 5 tentatives erronées.
  • Session e-mail (cookie cross-device) : 30 jours, prolongée à chaque accès authentifié.
  • Coupon promotionnel J+1 : 48 heures à usage unique.
  • Cache de mutualisation par domaine : 7 jours glissants (cf. §4).
  • Rapports et données associées (résultats, preuves, scores) : conservés tant que le service est actif et que vous n'avez pas demandé leur suppression. Sauvegarde commerciale 3 ans après la dernière interaction.
  • Journaux d'accès (IP, user-agent, événements de rapport) : conservés 13 mois maximum, à des fins de sécurité et de diagnostic d'abus.
  • Données de paiement (identifiants Stripe) : conservés 10 ans conformément aux obligations comptables (article L123-22 du Code de commerce).
  • Pré-inscription à l'abonnement (email, page d'origine, rapport rattaché le cas échéant) : 3 ans après le dernier contact, ou immédiatement si vous retirez votre consentement (cf. §2.5).
  • Données de prospection (email pour les deux emails de suivi commercial du §3 : le rappel de paiement et la relance à J+1) : si vous vous désinscrivez, votre email est ajouté à une liste de suppression pour ne plus recevoir d'email commercial, quel qu'il soit. Suppression de la liste opt-out après 3 ans sauf nouvelle interaction.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez sur vos données personnelles des droits suivants :

  • Droit d'accès - obtenir copie de vos données.
  • Droit de rectification - corriger des données inexactes.
  • Droit à l'effacement (« droit à l'oubli ») - demander la suppression de vos données et de tous vos rapports.
  • Droit à la portabilité - récupérer vos données dans un format structuré et lisible par machine.
  • Droit d'opposition - vous opposer notamment à la relance commerciale J+1.
  • Droit à la limitation du traitement.
  • Droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour exercer ces droits, écrivez-nous à l'adresse contact@looptra.ai en précisant l'objet (par exemple « Demande d'effacement RGPD ») et l'adresse e-mail utilisée lors de votre audit. Nous vous répondons sous 1 mois maximum (article 12.3 RGPD).

10. Cookies

Darkspot n'utilise aucun cookie publicitaire ni de suivi cross-site. Nous utilisons uniquement :

  • Des cookies techniques strictement nécessaires au fonctionnement du service (session, sécurité).
  • Un cookie PostHog d'analyse d'usage, anonymisé par IP, hébergé en Union européenne. Vous pouvez le désactiver via les paramètres « Do Not Track » de votre navigateur (respectés par PostHog).

11. Modifications

Cette politique peut être modifiée pour tenir compte d'évolutions légales, techniques ou produit. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, nous vous en informerons par email avant application si vous êtes utilisateur actif.

12. Contact

Pour toute question relative à cette politique ou à l'exercice de vos droits : contact@looptra.ai.