Conditions générales d’utilisation — Commerce-Data

Version 1.0 — en vigueur à compter du 13/11/2026

Article 1 — Objet et champ d’application

1.1. Les présentes conditions générales d’utilisation (les « CGU ») fixent les règles d’accès et d’usage, pour toute personne (l’« Utilisateur »), des services suivants :

  • le site internet commerce-data.fr (le « Site ») ;
  • l’interface de programmation, sa documentation, son espace client et ses connecteurs CRM, à l’adresse api.limopro.fr (l’« API »), y compris les applications de ces connecteurs installées depuis les places de marché des éditeurs de CRM.

L’ensemble forme la « Plateforme ».

1.2. Les CGU valent pour tout usage de la Plateforme, gratuit ou payant, avec ou sans compte ; l’article 4 dit comment elles sont acceptées. Les achats et abonnements dont les Conditions générales de vente (les « CGV », https://commerce-data.fr/cgv/) ont été acceptées avant le paiement sont en outre régis par elles. En cas de contradiction, les CGV prévalent pour ce qui naît d’une commande ; des conditions particulières signées (devis « Enterprise », par exemple) prévalent sur les CGU et les CGV.

1.3. Les CGU sont accessibles à tout moment par un lien en pied de page du Site et de l’API, à l’adresse https://commerce-data.fr/cgu/. Elles peuvent être imprimées et enregistrées.

Article 2 — Éditeur, hébergeur et contact

2.1. La Plateforme est éditée par la société AF CONSULTING, entreprise unipersonnelle à responsabilité limitée (EURL) au capital de 100 euros, immatriculée au registre du commerce et des sociétés de Bordeaux sous le numéro 847 805 322 (SIRET du siège : 847 805 322 00025), dont le siège social est situé 10 rue du Parc, 33200 Bordeaux, numéro de TVA intracommunautaire FR27847805322, qui exploite les noms « Commerce-Data » (commerce-data.fr) et « Limopro » (api.limopro.fr) (l’« Éditeur »).

2.2. Directeur de la publication : M. Aurélien FILOCHE, gérant.

2.3. Contact : courriel contact@commerce-data.fr ; formulaire de la page /contact/ ; téléphone 06 31 16 73 35 ; adresse postale : celle du siège social indiquée ci-dessus.

2.4. Hébergement : la Plateforme (Site, API et bases de données) est hébergée par Alwaysdata, 91 rue du Faubourg Saint-Honoré, 75008 Paris, téléphone 01 84 16 23 40.

Article 3 — Définitions

Les termes ci-dessous, employés avec une majuscule, ont le sens suivant :

  • Compte : espace personnel ouvert sur le Site (rubrique « Mon compte ») ou sur l’API, accessible au moyen d’identifiants. Le compte du Site et le compte de l’API sont distincts (identifiants différents), sous réserve de l’article 7.3.
  • Contenus : l’ensemble des éléments accessibles sur la Plateforme : données, statistiques, indicateurs, fourchettes de prix, rapports, graphiques, cartes, textes, articles, bases de données, interfaces et logiciels.
  • Données publiques : les informations publiées par des administrations et organismes publics et réutilisées par l’Éditeur, décrites à l’article 9.
  • Rapport Argus : le rapport d’estimation « Argus du fonds de commerce » portant sur un couple secteur d’activité (code NAF) × département, décrit dans les CGV.
  • Services : les fonctionnalités gratuites et payantes proposées sur la Plateforme.
  • Synchronisation : l’opération par laquelle l’API enrichit une fiche entreprise du logiciel de gestion de la relation client (« CRM ») de l’Utilisateur avec les publications BODACC de cette entreprise, dans les limites propres à chaque connecteur (article 9 bis.3).
  • Utilisateur : toute personne physique ou morale qui accède à la Plateforme, avec ou sans Compte. L’Utilisateur qui passe une commande est appelé « Client » dans les CGV.

Article 4 — Acceptation des CGU

4.1. La création d’un Compte depuis le formulaire d’inscription du Site ou de l’API suppose d’accepter les CGU en cochant une case, non cochée par défaut. Lorsqu’un Compte du Site est créé à l’occasion d’un achat (article 7.2), les CGU sont acceptées avec les CGV, par la case prévue avant le paiement, lorsque celle-ci est en service. Un Compte API créé par le Site (article 7.3) repose sur les CGU applicables au Compte du Site de son titulaire. L’installation d’un connecteur CRM depuis la place de marché d’un éditeur de CRM passe par la connexion à un Compte API, soumis aux CGU (article 19.3), ou par sa création, qui suppose leur acceptation.

4.2. Les CGU sont accessibles depuis chaque page. La simple visite de la Plateforme, sans Compte ni achat, ne crée aucun contrat avec l’Éditeur. Le visiteur reste tenu de respecter la loi, notamment les droits de l’Éditeur sur ses Contenus et ses bases de données (articles 8 et 10) et les règles sur les données personnelles (article 9.5).

4.3. Celui qui n’accepte pas les CGU ne peut pas créer de Compte depuis les formulaires d’inscription du Site et de l’API.

4.4. Les Services sont destinés aux personnes majeures et capables de contracter.

Article 5 — Description des Services

5.1. La Plateforme permet de consulter et d’analyser des informations sur les entreprises et les transactions publiées au Bulletin officiel des annonces civiles et commerciales (BODACC) depuis 2008, enrichies d’autres Données publiques, notamment :

  • Services gratuits (sans Compte ou avec un Compte gratuit) : pages de présentation par secteur d’activité, statistiques et indicateurs agrégés, aperçu du Rapport Argus (volume local de ventes et référence nationale), aperçu des fiches entreprises (nombre et nature des annonces), articles et foire aux questions ; sur l’API, l’offre « Découverte » (50 Synchronisations par mois, sans carte bancaire), qui donne aussi accès à l’API REST et aux connecteurs CRM disponibles.
  • Services payants, présentés sur leurs pages de vente et régis par les CGV dans les conditions de l’article 1.2 : Rapport Argus, accès unitaire à l’historique d’une entreprise, abonnement par secteur d’activité et offres payantes de l’API.

5.2. Le contenu et le périmètre des Services gratuits peuvent évoluer à tout moment, sans que l’Utilisateur puisse s’en prévaloir. Les fonctionnalités annoncées comme « bientôt » disponibles ne sont pas un engagement de l’Éditeur.

5.3. La carte interactive proposée sur certaines pages utilise le service Google Maps. Son utilisation est soumise aux Conditions d’utilisation additionnelles de Google Maps/Google Earth (https://maps.google.com/help/terms_maps/) et aux Règles de confidentialité de Google (https://policies.google.com/privacy).

Article 6 — Accès à la Plateforme

6.1. La Plateforme est accessible gratuitement, hors coûts de connexion et d’équipement qui restent à la charge de l’Utilisateur. Il lui faut un navigateur à jour acceptant les cookies nécessaires au fonctionnement des formulaires et des paiements.

6.2. Pour préserver la disponibilité de la Plateforme, l’Éditeur limite le nombre de pages calculées ou de requêtes adressées par une même adresse IP, un même Compte ou un même jeton d’API sur une période donnée. Au-delà, l’accès peut être temporairement refusé (réponse « trop de requêtes »). Sur le Site, les comptes ayant un achat (Rapport Argus, Accès unitaire ou Abonnement secteur) ne sont pas soumis au plafond de pages. Sur l’API, les mêmes limites s’appliquent à toutes les offres ; au-delà, l’API indique le délai d’attente avant une nouvelle requête.

6.3. L’Éditeur peut restreindre ou bloquer l’accès d’adresses IP, de réseaux ou de programmes automatisés dont le comportement ressemble à une collecte massive ou à une atteinte à la sécurité de la Plateforme.

6.4. L’accès à l’API requiert un Compte API et des identifiants techniques (adresse électronique et jeton d’accès, appelé « clé d’API » sur la page « Mon compte » de l’API, transmis dans les en-têtes X-User-Email et X-User-Token de chaque requête). La documentation de l’API est publiée à l’adresse https://api.limopro.fr/openapi. L’usage de l’API, des connecteurs CRM et des plateformes d’automatisation est en outre régi par l’article 9 bis.

Article 7 — Compte

7.1. Création sur le Site. Le Compte est créé depuis la page « Mon compte » avec une adresse électronique valide et un mot de passe choisi par l’Utilisateur. L’Utilisateur fournit une adresse exacte, dont il a l’usage, et la tient à jour.

7.2. Création à l’occasion d’un achat. Le Rapport Argus peut être acheté sans Compte préalable. Dans ce cas, un Compte est créé automatiquement avec l’adresse électronique saisie sur la page de paiement, et un courriel permet à l’Utilisateur de choisir son mot de passe. Si un Compte existe déjà avec cette adresse, l’achat y est rattaché.

7.3. Création sur l’API. Le Compte API est créé sur api.limopro.fr avec une adresse électronique et un mot de passe. Il donne accès à l’espace client, aux identifiants d’API et aux connecteurs CRM. La souscription d’un Abonnement secteur sur le Site crée en outre, s’il n’existe pas déjà, un Compte API rattaché à la même adresse électronique (offre gratuite « Découverte ») ; l’Utilisateur peut y accéder en choisissant un mot de passe par la fonction « mot de passe oublié » de l’API.

7.4. Confidentialité. Les identifiants (mot de passe, jeton d’API, autorisations données aux connecteurs CRM) sont confidentiels. L’Utilisateur ne les communique pas à des tiers, ne les intègre pas dans du code exécuté par des tiers (pages web publiques, applications distribuées) et informe sans délai l’Éditeur de toute utilisation non autorisée. À l’égard des Utilisateurs professionnels, toute action effectuée avec leurs identifiants est réputée effectuée par eux, sauf s’ils établissent une utilisation frauduleuse qui ne leur est pas imputable. Le consommateur répond de l’usage de ses identifiants lorsqu’il a manqué à leur confidentialité.

7.5. Usage du Compte. Un Compte du Site est personnel. Un Compte API est rattaché à une organisation : ses salariés peuvent l’utiliser, ainsi que ses identifiants, sous la responsabilité de cette organisation. Le partage d’un Compte en dehors de ce cadre et la revente d’un accès sont interdits.

7.6. Suppression à l’initiative de l’Utilisateur. L’Utilisateur peut demander à tout moment la suppression de son Compte par courriel à contact@commerce-data.fr ; la demande est traitée dans un délai d’un mois au plus à compter de sa réception (article 12, paragraphe 3, du RGPD). Avant de supprimer un Compte API, l’Éditeur déconnecte ses connecteurs CRM (article 9 bis.3). La suppression entraîne la perte définitive des accès attachés au Compte (rapports, accès unitaires, alertes) ; elle ne vaut pas résiliation d’un abonnement en cours, qui doit être résilié séparément, depuis « Mon compte » du Site ou la page « Mon abonnement » de l’API, ou en écrivant à contact@commerce-data.fr. Les données de facturation sont conservées pendant la durée légale.

7.7. Suspension ou suppression à l’initiative de l’Éditeur. En cas de manquement aux CGU ou aux CGV (notamment aux articles 8 et 9), l’Éditeur peut, après une mise en demeure restée sans effet pendant huit (8) jours, suspendre ou supprimer le Compte. En cas de manquement grave (fraude, atteinte à la sécurité, collecte massive, contournement d’un accès payant), la suspension peut être immédiate ; elle est notifiée à l’Utilisateur par courriel avec ses motifs. Les sommes versées pour des Services dont le Client a été privé du fait de son propre manquement restent acquises à l’Éditeur, sous réserve des droits que le consommateur tient de la loi.

Article 8 — Règles d’utilisation

L’Utilisateur utilise la Plateforme de manière loyale, conformément à sa destination, aux lois et règlements en vigueur et aux droits des tiers. Il s’interdit notamment :

  • d’extraire ou de réutiliser, par tout moyen (robots, scripts, aspirateurs de sites, navigation automatisée, multiplication d’adresses IP ou de Comptes), tout ou partie qualitativement ou quantitativement substantielle des Contenus, ou des parties non substantielles de manière répétée et systématique (articles L. 342-1 et L. 342-2 du Code de la propriété intellectuelle) ;
  • de contourner ou tenter de contourner une limitation technique, un contrôle d’accès ou un accès payant (fiches, rapports, exports, quotas de Synchronisation) ;
  • de revendre, louer, redistribuer ou mettre à disposition de tiers les Contenus payants (Rapport Argus, historiques d’entreprises, exports, données obtenues par l’API) en dehors des cas autorisés à l’article 9.4 ;
  • d’utiliser les Contenus pour constituer une base de données ou un service concurrent ;
  • d’utiliser les Contenus, en particulier les données relatives à des personnes physiques, en violation de la réglementation sur la protection des données personnelles ou sur la prospection commerciale (article 9.5) ;
  • de porter atteinte au fonctionnement ou à la sécurité de la Plateforme (intrusion, injection de code, surcharge volontaire, tests de vulnérabilité non autorisés) ;
  • d’usurper l’identité d’un tiers ou de fournir de fausses informations lors de la création d’un Compte ou d’un achat ;
  • de reproduire la Plateforme par des techniques de cadrage (« framing ») ou de laisser croire à un partenariat avec l’Éditeur.

L’Éditeur s’oppose, au sens de l’article L. 122-5-3 du Code de la propriété intellectuelle, à la fouille de textes et de données portant sur les Contenus, y compris à des fins d’entraînement de systèmes d’intelligence artificielle, sauf autorisation écrite.

Article 9 — Origine des données, licences et réutilisation

9.1. Sources

Les Contenus sont élaborés principalement à partir des Données publiques suivantes, réutilisées dans les conditions de leurs licences respectives :

Source Producteur Utilisation sur la Plateforme
BODACC (annonces de ventes et cessions, immatriculations, modifications, radiations, procédures collectives) Direction de l’information légale et administrative (DILA) Historiques d’entreprises, ventes de fonds de commerce, prix de cession, santé des secteurs
Base Sirene des entreprises et de leurs établissements Insee Identification, secteur d’activité (code NAF/APE), date de création, catégorie juridique, tranche d’effectifs
Ratios financiers (jeu « ratios_inpi_bce »), calculés d’après les comptes annuels du registre national du commerce et des sociétés transmis par l’INPI Direction générale des entreprises (DGE), sur data.economie.gouv.fr Chiffre d’affaires, résultat, EBE et multiples de valorisation
Demandes de valeurs foncières (DVF) Direction générale des finances publiques (DGFiP) Prix des murs commerciaux, uniquement sous forme agrégée (quartiles au m²)
Populations légales, revenus localisés (Filosofi), indice des loyers commerciaux (ILC) Insee Contexte local des Rapports Argus
Service de géocodage de la Géoplateforme Institut national de l’information géographique et forestière (IGN) Localisation des établissements sur les cartes

Ces Données publiques sont mises à disposition sous la Licence Ouverte / Open Licence (Etalab) : version de 2011 pour le BODACC, version 2.0 pour la base Sirene, les ratios financiers INPI/BCE et DVF. Les données Insee de contexte relèvent de la Licence Ouverte 2.0, sauf mention contraire de l’Insee. Le service de géocodage relève des conditions d’utilisation de la Géoplateforme (https://cartes.gouv.fr/cgu/). Les fichiers DVF sont en outre soumis à l’article R. 112 A-3 du Livre des procédures fiscales : leur réutilisation ne doit permettre ni la réidentification, même indirecte, des personnes concernées, ni l’indexation des données par des moteurs de recherche externes ; c’est pourquoi la Plateforme ne les présente que sous forme agrégée.

Ces licences demandent de citer la source et la date de dernière mise à jour. Le présent article indique le producteur de chaque source ; les exports CSV du Site indiquent sur leur dernière ligne les sources, leur licence, la date de l’extraction et la date de parution de l’annonce la plus récente qu’ils contiennent. L’Utilisateur qui réutilise ces données cite lui-même le producteur et la date de dernière mise à jour.

9.2. Traitements réalisés par l’Éditeur

L’Éditeur collecte quotidiennement les publications du BODACC, les analyse, les rattache aux entreprises (numéros SIREN et SIRET) et à leur secteur d’activité, puis calcule des indicateurs statistiques (nombres de transactions, médianes, quartiles, évolutions, multiples). Ces traitements automatisés peuvent comporter des erreurs de lecture, de rattachement ou de classement. Les Contenus reflètent l’état des sources à la date de leur dernière mise à jour ; une information publiée par la source avec retard, rectifiée ou annulée n’est prise en compte qu’après son intégration.

9.3. Ce que l’Utilisateur peut faire

  • Les Données publiques brutes restent librement réutilisables par chacun auprès de leurs sources d’origine, dans les conditions de leurs licences ; les CGU ne restreignent pas ce droit.
  • L’Utilisateur peut utiliser les Contenus auxquels il a régulièrement accès pour ses besoins propres, personnels ou professionnels internes.
  • L’Utilisateur peut citer ponctuellement des chiffres issus de la Plateforme (par exemple une fourchette de prix dans un dossier de cession, une offre de reprise ou un échange avec son banquier ou son conseil), à condition d’en indiquer la source sous la forme « Source : Commerce-Data, d’après le BODACC (DILA) » et la date de consultation.

9.4. Ce qui est réservé

En dehors de l’article 9.3, toute reproduction, représentation, diffusion ou réutilisation des Contenus élaborés par l’Éditeur (indicateurs, fourchettes, Rapports Argus, sélections, classements, enrichissements et présentation des données) requiert son autorisation écrite préalable. Les données obtenues par l’API et poussées dans le CRM de l’Utilisateur ne peuvent être utilisées que pour les besoins internes de l’organisation titulaire du Compte API.

9.5. Données personnelles contenues dans les publications légales

Les annonces du BODACC et le répertoire Sirene contiennent des données relatives à des personnes physiques (commerçants et entrepreneurs individuels, dirigeants, acquéreurs ou vendeurs de fonds de commerce). Leur publication au BODACC répond à des obligations légales de publicité ; elle ne rend pas leur réutilisation libre de toute règle. L’Utilisateur qui réutilise ces données agit sous sa propre responsabilité, en qualité de responsable de son propre traitement au sens du règlement (UE) 2016/679 (« RGPD »). Il s’engage notamment à :

  • ne les utiliser que pour des finalités déterminées et légitimes, compatibles avec leur publicité légale ;
  • respecter les règles applicables à la prospection commerciale (en particulier l’article L. 34-5 du Code des postes et des communications électroniques et les recommandations de la CNIL) ;
  • respecter l’opposition des personnes physiques à l’utilisation, par des tiers, de leurs données du répertoire Sirene à des fins de prospection, notamment commerciale (article A. 123-96 du Code de commerce ; statut de diffusion partielle de l’Insee), ainsi que le refus de prospection qu’une entreprise a déclaré au Registre national des entreprises (article R. 123-320 du Code de commerce) ;
  • tenir compte des rectificatifs et annulations publiés ;
  • informer les personnes concernées et répondre à leurs demandes lorsque le RGPD l’exige.

Les annonces du BODACC des personnes en diffusion partielle restent affichées sur la Plateforme, car elles relèvent de la publicité légale. Aucun contact n’est créé par un connecteur CRM pour un entrepreneur individuel en diffusion partielle, ni pour une entreprise qui a déclaré ce refus de prospection au Registre national des entreprises. Un contact n’est créé que si ce registre indique que l’entreprise n’a pas fait ce choix.

Toute personne qui estime qu’une information la concernant est inexacte ou qui en demande le retrait peut écrire à contact@commerce-data.fr ; la façon d’exercer ses droits est décrite sur la page « Données personnelles ».

Article 9 bis — API, connecteurs CRM et plateformes d’automatisation

Cet article complète les CGU pour l’usage de l’API. Il constitue les conditions d’utilisation (« Terms of Service ») des applications des connecteurs publiées sur les places de marché des éditeurs de CRM. Il s’applique quel que soit le point d’entrée : espace client de l’API, place de marché d’un éditeur de CRM, plateforme d’automatisation.

9 bis.1. Services concernés

  • API REST : interrogation des Contenus (publications BODACC, indicateurs, Rapport Argus pour les offres payantes) dans les conditions de la documentation et de l’offre souscrite.
  • Connecteurs CRM : enrichissement, à la demande de l’Utilisateur, des fiches entreprises de son CRM avec les publications BODACC de ces entreprises (Synchronisations), dans les limites propres à chaque connecteur (article 9 bis.3). Les CRM pris en charge et leur disponibilité figurent sur la page « Connecteurs » de l’espace client ; un connecteur annoncé comme « bientôt » disponible n’est pas un engagement de l’Éditeur.
  • Plateformes d’automatisation : appel de l’API depuis des services tiers comme Zapier, Make ou n8n, y compris par le module Commerce-Data pour Zapier (article 9 bis.7).

9 bis.2. Autorisation donnée par l’Utilisateur

L’Utilisateur connecte son CRM depuis l’espace client de l’API ou depuis la place de marché de l’éditeur du CRM. L’éditeur du CRM lui présente les droits demandés par le connecteur, qu’il accepte ou refuse. En connectant un CRM, l’Utilisateur déclare être autorisé par l’organisation titulaire du compte CRM à le connecter et à accorder ces droits. Les jetons d’accès délivrés par l’éditeur du CRM sont conservés chiffrés, ne sont jamais affichés et ne servent qu’aux opérations décrites à l’article 9 bis.3.

9 bis.3. Ce que lit et écrit le connecteur

Le connecteur ne lit et n’écrit que ce qui est nécessaire aux Synchronisations demandées :

  • lecture : à la connexion, le profil du compte connecté (identifiants du compte et de l’utilisateur du CRM), pour vérifier la connexion ; puis le nom des entreprises (organisations) du CRM et le champ qui porte leur numéro SIREN ou SIRET, afin de les lister dans l’espace client pour que l’Utilisateur choisisse celles à enrichir ;
  • préparation du CRM : à la demande de l’Utilisateur, création des champs utilisés par le connecteur (champ « SIREN » s’il n’existe pas, champs de synthèse), ou choix d’un champ SIREN existant ;
  • écriture, sur les seules entreprises choisies par l’Utilisateur : une note par annonce BODACC et les champs de synthèse (dernier événement BODACC et sa date), puis, à chaque Synchronisation suivante, les seules annonces nouvelles, sans doublon.

Le connecteur ne crée ni ne supprime aucune entreprise du CRM. Hors le profil du compte connecté, il ne lit, ne crée ni ne modifie aucune personne, aucun contact, aucune affaire ni aucun courriel du CRM, sous la seule réserve de l’option de l’article 9 bis.4, et ne modifie ni ne supprime aucune note ou activité qu’il n’a pas créée. L’Éditeur n’envoie aucun message aux personnes enregistrées dans le CRM.

CRM Droits demandés Écritures
HubSpot lecture et écriture des entreprises et de leurs propriétés ; écriture des contacts (utilisée pour les notes, et pour l’option de l’article 9 bis.4) ; lecture des contacts demandée seulement à l’activation de cette option groupe de propriétés « Commerce-Data » (SIREN, Dernier événement BODACC, Date du dernier événement BODACC), notes
Pipedrive « Contacts : accès complet » et « Champs des contacts : accès complet » champs SIREN, Dernier événement BODACC, Date du dernier événement BODACC des organisations, notes

Le droit « Contacts » de Pipedrive sert uniquement à lire le nom et le SIREN des organisations, puis à y écrire les notes et la synthèse ; aucune personne n’est lue ni créée. Pour préserver le budget d’appels que Pipedrive partage entre les applications d’une même société, l’Éditeur s’impose un plafond quotidien d’appels, affiché sur la page du connecteur ; au-delà, les Synchronisations reprennent le lendemain.

Chaque fiche d’un CRM qui reçoit de nouvelles annonces compte une Synchronisation de l’offre de l’Utilisateur, à chaque envoi ; une fiche déjà à jour ne compte pas. Une même entreprise présente dans deux CRM compte donc dans chacun (CGV, article 4.4).

Déconnexion depuis la page du connecteur. L’Utilisateur peut à tout moment retirer le connecteur depuis la page du connecteur. Les Synchronisations cessent ; les jetons d’accès, les réglages et la liste des fiches suivies sont supprimés de la Plateforme ; pour HubSpot et Pipedrive, l’application est en outre désinstallée ou son autorisation révoquée auprès du CRM, sauf si une autre connexion au même compte CRM reste en place sur la Plateforme. Si le CRM refuse ce retrait, la suppression sur la Plateforme a quand même lieu et l’Utilisateur en est averti : il retire alors l’application depuis son CRM.

Désinstallation depuis le CRM. Lorsque le CRM le permet, l’Utilisateur peut aussi désinstaller l’application depuis son CRM : l’accès de la Plateforme au CRM cesse, mais les jetons d’accès, les réglages et la liste des fiches suivies ne sont supprimés de la Plateforme que lorsque l’Utilisateur retire le connecteur de son espace client, ou à sa demande adressée à contact@commerce-data.fr.

Dans les deux cas, les notes et champs déjà écrits restent dans le CRM, où l’Utilisateur peut les supprimer. La liste technique des annonces déjà envoyées (CRM, compte CRM, fiche, annonce, identifiant de la note dans le CRM et date d’envoi) est gardée jusqu’à la suppression de l’organisation, pour ne pas écrire de doublon si l’Utilisateur se reconnecte.

9 bis.4. Option « Inclure les dirigeants »

Cette option n’existe pour un CRM que si la case « Inclure les dirigeants » apparaît dans l’espace client pour ce CRM. Elle est désactivée par défaut et ne s’active que si l’Utilisateur coche la case, après l’accord du CRM pour la lecture des contacts lorsqu’il le faut. Le connecteur crée alors un contact par dirigeant en fonction (nom, prénom et fonction tels que publiés au BODACC ; l’entrepreneur pour une entreprise individuelle), associé à la fiche de l’entreprise, sans adresse, courriel ni téléphone, et lit seulement le nom et le prénom des contacts déjà associés à l’entreprise pour éviter les doublons. Il n’en crée aucun dans les cas prévus à l’article 9.5 (diffusion partielle au répertoire Sirene, refus de prospection au Registre national des entreprises). Tant que l’option est active, le connecteur écrit aussi : une note de source sur chaque contact qu’il crée (origine des données) ; une note datée sur un contact qu’il a créé lorsque la personne n’apparaît plus comme dirigeant ; et, pour les entrepreneurs individuels et les groupements, des notes d’annonce complètes (nature, montant, adresse, enseigne, secteur, dates, contrepartie) au lieu des notes réduites (date et référence), sauf pour certaines ventes. Il ne réécrit, ne dissocie ni ne supprime jamais un contact. En cochant la case, l’Utilisateur :

  • devient responsable du traitement de ces données dans son CRM ;
  • ne les utilise que pour des échanges professionnels en lien avec l’activité de ces personnes ;
  • informe ces personnes de l’origine des données (BODACC, via Commerce-Data) au plus tard lors du premier contact, et respecte leur opposition ;
  • supprime de son CRM, dans les trente (30) jours suivant le courriel de l’Éditeur, le contact d’une personne qui s’est opposée auprès de l’Éditeur.

L’accord de l’Utilisateur est enregistré avec la version du texte de la case et sa date. Décocher la case arrête toute nouvelle création de contact.

9 bis.5. Règles acceptées par l’Utilisateur

En utilisant l’API, un connecteur ou une plateforme d’automatisation, l’Utilisateur s’engage à :

  • disposer des droits nécessaires sur les données de son CRM et respecter les conditions d’utilisation de l’éditeur de son CRM et de la plateforme d’automatisation qu’il utilise ;
  • n’utiliser les Contenus reçus que pour les besoins internes de son organisation (article 9.4) et dans le respect de l’article 9.5, notamment des règles de la prospection commerciale ;
  • ne pas utiliser les données reçues, ni les adresses de son CRM, pour des envois non sollicités ;
  • ne pas contourner les quotas de Synchronisation, les limites de débit ou le plafond quotidien du connecteur, ni multiplier les Comptes à cette fin ;
  • ne pas donner accès à son espace client ni à ses identifiants d’API à des tiers non autorisés ;
  • signaler sans délai à contact@commerce-data.fr toute anomalie (écriture inattendue dans le CRM, accès non autorisé).

9 bis.6. Rôle de l’Éditeur, des éditeurs de CRM et des plateformes d’automatisation

L’Éditeur est sous-traitant de l’Utilisateur au sens de l’article 28 du RGPD, dans les conditions de l’annexe 1 :

  • pour les données du CRM qu’il lit et écrit pour le compte de l’Utilisateur ;
  • pour les critères que l’Utilisateur enregistre dans le module Commerce-Data pour Zapier (article 9 bis.7) et que Zapier transmet à l’API à chaque interrogation : listes de numéros SIREN, numéro SIREN ou SIRET cherché, départements, codes APE, actes et options.

Pour ces critères, l’Utilisateur est responsable du traitement : il décide de ses Zaps et en répond, y compris de la base légale de ce traitement ; l’Éditeur ne les traite que sur ses instructions, pour lui répondre et pour la sécurité et le diagnostic du service (annexe 1). Zapier les traite pour le compte de l’Utilisateur, comme son sous-traitant, selon le contrat qu’ils ont conclu ; pour l’exécution des Zaps, Zapier n’est pas un sous-traitant de l’Éditeur. Il l’est en revanche pour les journaux de l’intégration, qui reprennent ces critères et que l’Éditeur consulte pour le diagnostic du module (annexe 1).

Les annonces que l’API transmet, y compris par le module Commerce-Data pour Zapier, sont des Contenus dont l’Éditeur reste responsable du traitement (article 15) ; l’Utilisateur qui les reçoit devient responsable de son propre traitement (article 9.5).

Les éditeurs de CRM (Pipedrive, HubSpot) et des plateformes d’automatisation (Zapier, Make, n8n) sont des tiers indépendants : ils ne sont pas parties aux CGU, ne sont pas responsables des connecteurs ni du module de l’Éditeur et ne les ont ni conçus ni approuvés, sauf mention contraire ; leurs marques leur appartiennent. L’Éditeur est seul responsable des connecteurs et du module Commerce-Data pour Zapier envers l’Utilisateur, dans les limites de l’article 12. Il ne répond pas de la disponibilité des services de ces tiers, ni des modifications de leurs interfaces ou de leurs conditions ; s’il doit, pour cette raison, suspendre un connecteur ou le module, ou arrêter un connecteur, il en informe les Utilisateurs concernés dans les meilleurs délais. L’arrêt du module suit l’article 9 bis.7.

9 bis.7. Plateformes d’automatisation (Zapier, Make, n8n et services comparables)

L’Utilisateur peut appeler l’API depuis une plateforme d’automatisation qu’il choisit, avec ses propres identifiants d’API : par le module Commerce-Data pour Zapier décrit ci-dessous, ou par les fonctions de requête que propose la plateforme (Make, n8n, outil de requêtes de Zapier).

Module Commerce-Data pour Zapier. L’Éditeur publie sur la plateforme Zapier un module « Commerce-Data », accessible sur invitation : il ne figure pas dans l’annuaire public de Zapier, et seuls les Utilisateurs que l’Éditeur invite, à leur adresse électronique, peuvent l’utiliser. Le retrait d’une invitation met en pause les Zaps qui utilisent le module. L’Éditeur prévient par courriel, trente (30) jours à l’avance, l’Utilisateur dont il retire l’invitation et, s’il arrête le module, tous les Utilisateurs invités. En cas de manquement grave de l’Utilisateur (article 7.7), le retrait de son invitation peut être immédiat ; il lui est notifié par courriel avec ses motifs. La suspension et la suppression du Compte restent régies par l’article 7.7. Le module :

  • se connecte avec l’adresse électronique du Compte API et la clé d’API de l’Utilisateur, que Zapier enregistre ;
  • propose deux déclencheurs, « Nouvelle annonce pour une entreprise » (de 1 à 50 numéros SIREN) et « Nouvelle annonce dans un département ou un secteur » (départements, codes APE), et une recherche, « Chercher une entreprise » (numéro SIREN ou SIRET) ; il n’écrit rien dans l’API ;
  • pour ses deux déclencheurs, est interrogé par Zapier à l’intervalle que fixe l’offre Zapier de l’Utilisateur, et ne transmet que les annonces parues dans les trente (30) derniers jours ;
  • ne transmet pas de nouveau une annonce rectifiée ou annulée après sa transmission, ni l’avis rectificatif ou d’annulation publié ensuite au BODACC, sauf un rectificatif que l’Éditeur n’a pas pu rattacher à l’annonce d’origine : l’Utilisateur garde la première version.

Données transmises par le module. Le module ne transmet que les données du profil « automatisations » de l’API, décrit dans sa documentation : identifiant et référence de l’annonce, dates de parution et d’intégration, nature de l’acte, numéro SIREN, dénomination d’une personne morale, secteur d’activité (code APE), département et commune, indication d’un changement de dirigeant, sans nom, et, pour une vente, sa nature, sa date, son prix lorsque l’acquéreur est une personne morale et le cédant lorsqu’il en est une ; pour la recherche d’une entreprise, en outre, le nombre de ses annonces, la date de la dernière et un résumé des cinq dernières, avec l’identifiant de chacune. Il ne transmet aucun nom de personne physique (dirigeant, entrepreneur individuel, acquéreur ou cédant), aucune adresse de rue, aucune enseigne ni aucun commentaire de l’annonce. Lorsque l’entreprise de l’annonce (l’acquéreur, pour une vente) n’est pas une personne morale, ou que sa forme juridique n’est pas connue, l’annonce n’est transmise que sous une forme réduite (identifiant et référence, dates de parution et d’intégration, acte, secteur et département), sauf dans un déclencheur ou une recherche sur son propre numéro SIREN, où elle l’est sans son nom ni montant ; dans un déclencheur, un événement qui peut être familial (donation, héritage, conjoint…) reste toutefois sous la forme réduite. Dans un déclencheur qui suit le numéro SIREN d’un cédant qui n’est pas une personne morale, le prix de la vente n’est pas transmis, et un événement qui peut être familial l’est sous la forme réduite. Une annonce dont l’acquéreur ou le cédant est un entrepreneur individuel qui s’est opposé auprès de l’Éditeur n’est pas transmise.

Zapier et le transfert hors de l’Union européenne. Pour l’exécution des Zaps, Zapier, Inc. traite aux États-Unis les critères des Zaps et les données transmises, pour le compte de l’Utilisateur, comme son sous-traitant. Ce transfert hors de l’Union européenne relève de l’Utilisateur, responsable du traitement, qui en répond. Il repose sur l’accord de traitement des données que l’Utilisateur accepte avec les conditions de Zapier : cadre de protection des données UE–États-Unis et, si ce cadre ne s’applique plus, clauses contractuelles types de la Commission européenne.

Copies chez Zapier et dans les outils de l’Utilisateur. Les données transmises sont gardées par Zapier dans l’historique des exécutions de l’Utilisateur, selon les conditions de Zapier, et dans les outils vers lesquels l’Utilisateur les envoie. Une opposition, une rectification ou un retrait obtenus auprès de l’Éditeur après leur transmission n’atteignent ni cet historique ni ces outils : ces copies relèvent de l’Utilisateur, responsable de son propre traitement (article 9.5). L’Éditeur ne tient sur son serveur aucune liste des annonces transmises à chaque Utilisateur : seule la dernière réponse envoyée pour chaque jeu de critères reste dans le cache de ce serveur, jusqu’à son nettoyage quotidien (un jour environ) ; les journaux de l’intégration chez Zapier (article 9 bis.6) reprennent aussi ses réponses, selon les conditions de Zapier. Lorsqu’une opposition ou un retrait obtenu auprès de lui vise une annonce que le module a pu transmettre, il en avertit donc par courriel les Utilisateurs du module, en désignant l’annonce par son seul identifiant. Les deux voies du module donnent cet identifiant : les déclencheurs, avec chaque annonce, et la recherche, à la fin de la ligne de chaque annonce de son résumé. L’Utilisateur qui en a gardé une copie, y compris dans un résumé de la recherche, la supprime de l’historique de Zapier et de ses outils dans les trente (30) jours suivant ce courriel.

Règles communes à toutes les plateformes. Que l’Utilisateur passe par le module ou non :

  • Zapier, Make, n8n et les services comparables sont choisis par l’Utilisateur, qui conclut avec leur éditeur son propre contrat ; la plateforme agit pour le compte de l’Utilisateur et non pour celui de l’Éditeur ;
  • les identifiants d’API sont enregistrés par l’Utilisateur dans la plateforme choisie, sous sa responsabilité ; s’il soupçonne qu’ils ont été divulgués, il remplace sans délai sa clé d’API par le bouton « Remplacer ma clé d’API » de la page « Mon compte » de l’API, trois fois par jour au plus, ou écrit à contact@commerce-data.fr ; l’ancienne clé cesse aussitôt de fonctionner, et les Zaps ou scénarios qui l’utilisent s’arrêtent jusqu’à ce qu’il y enregistre la nouvelle ;
  • les Zaps, scénarios et flux de travail sont conçus et exécutés par l’Utilisateur ; les données qu’il fait transiter par la plateforme ou transmettre à d’autres services le sont sous sa seule responsabilité, en qualité de responsable de son propre traitement (article 9.5) ;
  • les règles de l’offre souscrite, les limites de débit (article 6.2) et l’article 9 bis.5 s’appliquent aux requêtes envoyées depuis la plateforme comme à toute autre requête de l’API ;
  • l’Éditeur ne répond ni de la disponibilité de la plateforme, ni des erreurs de conception d’un Zap ou d’un scénario, ni de l’usage que l’Utilisateur fait des données après leur réception.

9 bis.8. Assistance

L’assistance relative à l’API, aux connecteurs et au module Commerce-Data pour Zapier est assurée par courriel à contact@commerce-data.fr et par le formulaire de la page /contact/ (article 18), y compris pour les Utilisateurs venus d’une place de marché d’un éditeur de CRM ou de Zapier.

Article 10 — Propriété intellectuelle

10.1. La Plateforme et ses éléments (structure, charte graphique, textes, articles, illustrations, logos, dénomination « Commerce-Data », logiciels, interfaces et documentation de l’API) sont protégés par le droit d’auteur et appartiennent à l’Éditeur ou font l’objet d’une autorisation d’utilisation à son profit.

10.2. L’Éditeur est producteur, au sens des articles L. 341-1 et suivants du Code de la propriété intellectuelle, des bases de données qu’il constitue à partir des Données publiques, en raison des investissements substantiels consacrés à leur obtention, leur vérification et leur présentation. Cette protection porte sur la base de données de l’Éditeur et non sur les Données publiques elles-mêmes.

10.3. L’accès à la Plateforme confère à l’Utilisateur un droit d’utilisation personnel, non exclusif et non transférable, limité aux usages prévus aux articles 9.3 et 9.4 et, pour les Services payants, dans les limites de l’offre souscrite. Aucun autre droit n’est cédé.

Article 11 — Nature des informations fournies

11.1. Les Contenus sont fournis à titre informatif. Les fourchettes, médianes et multiples présentés, notamment dans le Rapport Argus, sont des indicateurs statistiques calculés sur des transactions passées publiées au BODACC. Ils ne constituent ni une expertise ou une évaluation d’un fonds de commerce déterminé, ni un conseil juridique, fiscal, comptable, financier ou en investissement, et ne remplacent pas l’avis d’un professionnel qualifié. La valeur d’un fonds dépend de caractéristiques propres (emplacement, bail, rentabilité, état, clientèle) que ces indicateurs ne prennent pas en compte.

11.2. Les publications du BODACC ne couvrent pas toutes les opérations : par exemple, une opération sur les titres d’une société n’est pas une vente de fonds et ne fait pas apparaître de prix, et certaines annonces ne comportent pas de prix. Le Rapport Argus n’est vendu que lorsque le nombre de transactions atteint un seuil minimal ; les autres indicateurs sont affichés sans seuil et, sur un faible nombre de transactions, doivent être interprétés avec prudence.

11.3. L’Utilisateur reste seul juge de l’usage qu’il fait des Contenus et des décisions qu’il prend sur leur fondement ; il lui appartient de vérifier les informations importantes auprès des sources officielles.

Article 12 — Responsabilité

12.1. L’Éditeur met en œuvre les moyens raisonnables pour assurer l’exactitude des traitements qu’il réalise et le bon fonctionnement de la Plateforme. À l’égard des Utilisateurs professionnels, il est tenu d’une obligation de moyens.

12.2. À l’égard des Utilisateurs professionnels, l’Éditeur n’est pas responsable :

  • des erreurs, omissions ou retards présents dans les Données publiques à leur source ;
  • des dommages résultant d’une utilisation de la Plateforme non conforme aux CGU, ou d’une décision prise par l’Utilisateur sur le seul fondement des Contenus ;
  • des difficultés d’accès dues au matériel ou à la connexion de l’Utilisateur, aux réseaux de télécommunication ou à un cas de force majeure ;
  • du contenu des sites tiers vers lesquels la Plateforme renvoie.

12.3. À l’égard des Utilisateurs professionnels, la responsabilité de l’Éditeur, toutes causes confondues, est limitée aux dommages directs et prévisibles et, pour les Services payants, au montant payé par l’Utilisateur au cours des douze mois précédant le fait générateur. Pour les Services gratuits, sa responsabilité ne peut être engagée qu’en cas de faute lourde ou dolosive.

12.4. À l’égard des consommateurs, l’Éditeur répond de plein droit de la bonne exécution du contrat conclu à distance, sauf s’il prouve que l’inexécution ou la mauvaise exécution est imputable au consommateur, au fait imprévisible et insurmontable d’un tiers au contrat ou à un cas de force majeure (article L. 221-15 du Code de la consommation). Aucune stipulation des CGU ne prive le consommateur des garanties légales.

12.5. L’Utilisateur est responsable des dommages causés à l’Éditeur ou à des tiers par une utilisation de la Plateforme contraire aux CGU, notamment en cas de réutilisation illicite des données personnelles visée à l’article 9.5.

Article 13 — Disponibilité et évolution de la Plateforme

13.1. La Plateforme est accessible en principe 24 heures sur 24 et 7 jours sur 7, sauf interruption pour maintenance, mise à jour, incident technique, indisponibilité d’une source ou de l’hébergeur, ou force majeure. L’Éditeur s’efforce de limiter la durée des interruptions et, lorsque c’est possible, de prévenir les Utilisateurs des maintenances programmées. Aucun niveau de service garanti n’est consenti, sauf conditions particulières.

13.2. Les publications du BODACC sont intégrées automatiquement chaque jour, en général le jour de leur parution ou le lendemain ; leur rattachement à un secteur d’activité peut demander quelques heures de plus. Ce délai est indicatif.

13.3. L’Éditeur peut faire évoluer la Plateforme, ses fonctionnalités et la présentation des Contenus. L’évolution et l’arrêt d’un Service payant sont régis par les CGV acceptées lors de la commande.

Article 14 — Sécurité

L’Utilisateur protège ses identifiants et son équipement. Il signale à contact@commerce-data.fr toute faille de sécurité ou tout comportement anormal qu’il constaterait, sans l’exploiter ni le divulguer. L’Éditeur peut imposer des mesures de sécurité (expiration de session, contrôle anti-robot, limitation des tentatives de connexion, renouvellement d’un jeton d’API).

Article 15 — Données personnelles et cookies

15.1. L’Éditeur traite les données personnelles des Utilisateurs (Compte, commandes, échanges, navigation) en qualité de responsable de traitement, conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978 modifiée. L’article 9 bis.6 et l’annexe 1 décrivent les cas où il agit comme sous-traitant.

15.2. Les finalités, bases légales, destinataires (notamment le prestataire de paiement, l’hébergeur et les outils de messagerie, d’assistance en ligne et de mesure d’audience), durées de conservation et droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité, directives post mortem, réclamation auprès de la CNIL) sont décrits sur la page « Données personnelles » (https://commerce-data.fr/donnees-personnelles/), distincte des CGU. Elle décrit aussi les données lues et écrites par les connecteurs CRM (article 9 bis.3).

15.3. Les cookies et traceurs sont gérés au moyen du bandeau de consentement et du lien « Gérer les cookies » présent en pied de page.

Article 16 — Communications électroniques

16.1. L’Utilisateur titulaire d’un Compte reçoit par courriel les messages nécessaires au Service et les modifications des CGU ou des CGV. Sur le Site : confirmation d’achat et lien d’accès, choix du mot de passe, alertes du secteur et accusé de résiliation de l’abonnement. Sur l’API : atteinte de 80 % et de 100 % du quota, fin d’essai, paiement reçu, échec de paiement.

16.2. Les alertes par courriel sur les nouvelles ventes d’un secteur sont activables et désactivables à tout moment depuis la rubrique « Mon compte ».

16.3. Aucune prospection commerciale par courriel n’est adressée à un consommateur sans son consentement préalable, sauf pour des produits ou services analogues à ceux qu’il a déjà achetés et avec la possibilité de s’y opposer simplement dans chaque message (article L. 34-5 du Code des postes et des communications électroniques).

Article 17 — Liens hypertextes

17.1. La création de liens vers les pages de la Plateforme est libre, à l’exclusion de toute technique de cadrage ou d’intégration laissant croire que les Contenus appartiennent à un tiers, et de tout lien depuis un site au contenu illicite.

17.2. Les liens vers des sites tiers (sources officielles, prestataires) sont fournis pour la commodité de l’Utilisateur ; l’Éditeur n’exerce aucun contrôle sur ces sites.

Article 18 — Signalements et réclamations

Toute question, réclamation ou demande de correction d’une donnée peut être adressée à contact@commerce-data.fr ou par le formulaire de la page /contact/, en précisant la page ou l’entreprise concernée (numéro SIREN). L’Éditeur s’efforce de répondre sous 24 heures ouvrées ; ce délai est indicatif. Les réclamations relatives à une commande sont adressées de la même façon.

Article 19 — Modification des CGU

19.1. L’Éditeur peut modifier les CGU pour tenir compte de l’évolution de la Plateforme, de la loi ou de la jurisprudence. Chaque version est datée et numérotée ; les versions antérieures restent consultables en ligne et sont communiquées sur demande.

19.2. Les titulaires d’un Compte sont informés par courriel de toute modification au moins trente (30) jours avant son entrée en vigueur. Celui qui refuse les nouvelles CGU peut supprimer son Compte avant cette date ; à défaut, elles s’appliquent à lui. Le consommateur qui refuse, en l’écrivant à contact@commerce-data.fr avant cette date, conserve ses accès déjà payés aux conditions en vigueur lors de leur achat. La version applicable à une commande reste celle des CGV acceptées lors de cette commande.

19.3. La présente version s’applique aux nouveaux Comptes à la date indiquée en tête. Elle s’applique aux Comptes créés avant cette date trente (30) jours après le courriel qui les en informe, ou dès que leur titulaire les accepte expressément, si c’est plus tôt.

Article 20 — Durée

Les CGU s’appliquent pendant toute la durée d’utilisation de la Plateforme et, pour les titulaires d’un Compte, jusqu’à la suppression de celui-ci. Les articles 8 à 10, 12 et 21 survivent à la suppression du Compte pour les faits antérieurs.

Article 21 — Droit applicable et litiges

21.1. Les CGU sont régies par le droit français. Elles sont rédigées en langue française, qui fait foi.

21.2. En cas de différend, l’Utilisateur est invité à contacter d’abord l’Éditeur afin de rechercher une solution amiable.

21.3. À défaut d’accord amiable :

  • le consommateur peut saisir, à son choix, la juridiction du lieu où il demeurait au moment de la conclusion du contrat ou de la survenance du fait dommageable, ou toute juridiction compétente selon le droit commun (article R. 631-3 du Code de la consommation) ;
  • tout litige avec un Utilisateur commerçant ou une société commerciale relève de la compétence exclusive du tribunal de commerce de Bordeaux ; avec les autres Utilisateurs professionnels, les juridictions compétentes sont celles du droit commun (article 48 du Code de procédure civile).

Annexe 1 — Sous-traitance des données du CRM et des critères du module Zapier (article 28 du RGPD)

Cette annexe s’applique dès qu’un Utilisateur connecte son CRM à l’API ou utilise le module Commerce-Data pour Zapier (article 9 bis.7). L’Utilisateur, ou l’organisation titulaire du compte CRM ou du Compte API, est responsable du traitement ; l’Éditeur est son sous-traitant. L’acceptation des CGU vaut accord écrit sous forme électronique (article 28, paragraphe 9, du RGPD).

Objet, nature et finalité.

  • CRM : lire dans le CRM le profil du compte connecté, les noms et numéros SIREN ou SIRET des entreprises, puis y écrire les notes et champs décrits à l’article 9 bis.3, à la demande de l’Utilisateur, pour enrichir les fiches de son CRM. Avec l’option de l’article 9 bis.4 : lire le nom et le prénom des contacts déjà associés à une entreprise, y créer les contacts et y écrire les notes de source, de départ et d’annonce décrites à cet article.
  • Module Zapier : recevoir, à chaque interrogation du module par Zapier, les critères des Zaps de l’Utilisateur (listes de numéros SIREN, numéro SIREN ou SIRET cherché, départements, codes APE, actes et options), choisir d’après eux les annonces à lui transmettre, et consigner chaque requête dans les journaux techniques de l’API pour la sécurité et le diagnostic du service.

Durée. Pour le CRM, tant qu’il reste connecté. Pour le module, tant que des Zaps de l’Utilisateur l’interrogent.

Personnes et données concernées. L’utilisateur du CRM qui connecte le connecteur : identifiants de son compte. Les entreprises enregistrées dans le CRM, y compris les entrepreneurs individuels : nom et numéro SIREN ou SIRET. Avec l’option de l’article 9 bis.4 : les contacts associés à ces entreprises, pour leur nom et leur prénom. Pour le module : les entreprises que l’Utilisateur suit ou cherche, y compris les entrepreneurs individuels, pour leur numéro SIREN ou SIRET, rattaché à son Compte et à ses autres critères.

L’Éditeur s’engage à :

  • ne traiter ces données que sur instruction de l’Utilisateur, y compris pour un transfert hors de l’Union européenne : la connexion du CRM, les entreprises cochées et les Synchronisations demandées, ainsi que les Zaps que l’Utilisateur configure et les requêtes que Zapier envoie en son nom, valent instructions écrites ; il prévient l’Utilisateur si une instruction lui paraît contraire au droit, ou si la loi lui impose un traitement, sauf si cette loi l’interdit ;
  • réserver l’accès à ces données aux personnes qu’il autorise, tenues à la confidentialité ;
  • les protéger par des mesures adaptées (article 32 du RGPD), notamment le chiffrement des jetons d’accès et des échanges, et informer l’Utilisateur dans les meilleurs délais s’il constate une violation de ces données ;
  • n’avoir recours qu’aux sous-traitants suivants : Alwaysdata, établi à Paris (hébergement) ; Rollbar, aux États-Unis (rapports d’erreurs, conservés 30 jours ; la garantie de ce transfert figure sur la page « Données personnelles ») ; pour les critères du module seulement, Zapier, Inc., aux États-Unis (journaux de l’intégration, consultés pour le diagnostic du module ; la garantie de ce transfert figure sur la même page) ; il impose à ses sous-traitants les mêmes obligations et répond d’eux. Il annonce tout changement par courriel trente (30) jours à l’avance ; l’Utilisateur qui s’y oppose peut déconnecter son CRM ou cesser d’utiliser le module. Zapier, que l’Utilisateur choisit et avec qui il contracte, est le sous-traitant de l’Utilisateur, et non un sous-traitant de l’Éditeur, pour l’exécution des Zaps ;
  • aider l’Utilisateur à répondre aux demandes des personnes concernées et à respecter ses obligations en matière de sécurité, de violation de données, d’analyse d’impact et de consultation de la CNIL ;
  • supprimer, à la déconnexion depuis la page du connecteur, les jetons d’accès, les réglages et la liste des entreprises suivies (une désinstallation depuis le CRM suit l’article 9 bis.3), et ne garder ensuite que : la liste technique des annonces déjà envoyées (organisation, CRM, compte CRM, identifiant de la fiche dans le CRM, annonce, identifiant de la note dans le CRM, date d’envoi), supprimée avec l’organisation ; et, si l’option de l’article 9 bis.4 a servi, les empreintes des personnes envoyées (aucun nom en clair), avec leur fonction et l’identifiant du contact dans le CRM, gardées au plus trois ans après la dernière synchronisation de l’organisation pour ne pas recréer un contact ;
  • pour le module, n’utiliser les critères à aucune autre fin que celles décrites ci-dessus, et ne tenir sur son serveur ni table des critères ni liste des annonces transmises : les critères ne restent que dans le cache du serveur, avec la dernière réponse envoyée pour chaque jeu de critères, jusqu’à son nettoyage quotidien (un jour environ), et dans les journaux techniques et les rapports d’erreurs, jusqu’à leur effacement dans les délais indiqués sur la page « Données personnelles », ainsi que dans les journaux de l’intégration chez Zapier, selon les conditions de Zapier ;
  • mettre à disposition de l’Utilisateur, sur demande écrite, les informations qui établissent le respect de cette annexe, et permettre des audits, à convenir à l’avance par écrit.

Ce qui reste hors de cette annexe. Les Contenus que l’Éditeur fournit, dont il est responsable (article 15) ; pour l’option de l’article 9 bis.4, la liste d’opposition et les accords enregistrés ; les données du Compte API, y compris l’adresse électronique et le canal de l’appel notés pour chaque requête dans les journaux techniques. L’Éditeur tient ces données pour son propre compte.