Dernière mise à jour : 1er février 2026

1. Introduction

Cette Politique de Confidentialité décrit la manière dont CREACH AGENCY (SAS au capital de 2 500 €, RCS Paris 979 948 551, située au 60 rue François 1er, 75008 Paris) collecte, utilise et protège les données personnelles via la plateforme NEXTLEAD.
En tant que CRM pour TPE/PME, nous attachons une importance capitale à la sécurité des données que vous nous confiez.

2. Rôles et Responsabilités

• En tant que Responsable de Traitement : Nous gérons les données de votre compte (facturation, connexion, contact).
• En tant que Sous-traitant : Nous traitons les données que vous importez dans le CRM (vos prospects, vos clients). Vous restez le propriétaire et le « Responsable de Traitement » de votre propre base de données clients.

3. Données Collectées

A. Informations de compte

• Identité : Nom, email professionnel, numéro de téléphone.
• Organisation : Nom de l’entreprise, numéro de TVA, secteur d’activité.
• Facturation : Historique des transactions (les paiements sont gérés de manière sécurisée par Stripe).

B. Connexion à Google et utilisation de Gmail et Google Calendar

La connexion à Google est facultative. Les autorisations sont présentées par Google avant leur acceptation. NEXTLEAD utilise votre nom, votre adresse e-mail et les informations de profil nécessaires pour identifier le compte connecté.

Gmail. Lorsque vous autorisez la messagerie Google, NEXTLEAD accède aux messages et fils de discussion associés aux échanges avec vos contacts CRM : expéditeurs, destinataires, dates, objets, contenu des messages et pièces jointes. Cet accès permet d’afficher les conversations et leurs pièces jointes, de rédiger et d’envoyer des messages, de répondre aux conversations et de marquer des messages comme lus. Les messages sont envoyés aux destinataires que vous choisissez. L’intégration ne propose pas de suppression définitive des messages Gmail.

Google Calendar. Lorsque vous autorisez l’agenda Google, NEXTLEAD consulte les événements de votre calendrier principal liés à l’adresse e-mail d’un contact CRM, sur une période de trois mois avant et après la date de consultation. Les informations affichées comprennent le titre, la description, les dates, les participants, le lieu et les liens de réunion disponibles. Cette intégration est en lecture seule : elle ne crée, ne modifie et ne supprime pas d’événement Google Calendar.

Google Contacts. La connexion décrite ici ne demande pas l’accès au carnet Google Contacts et ne l’importe pas automatiquement.

Traitement et conservation. Les requêtes sont traitées par les serveurs NEXTLEAD auprès des API Google, puis les résultats sont affichés dans le CRM. NEXTLEAD conserve les identifiants du compte connecté, les autorisations accordées et les jetons OAuth nécessaires au maintien de la connexion. Les messages envoyés depuis NEXTLEAD peuvent également être enregistrés dans l’historique CRM, avec leur contenu, leur objet, leurs destinataires et leur date d’envoi. Cet historique est accessible aux membres de l’organisation disposant des droits correspondants. Les messages et événements originaux restent dans votre compte Google.

Destinataires des données. Le traitement utilise les prestataires d’hébergement de NEXTLEAD décrits dans la section « Sous-traitants ». L’envoi d’un e-mail transmet son contenu et ses pièces jointes aux destinataires sélectionnés. L’intégration native utilise directement les API Google ; elle ne passe pas par Unipile. Les autres intégrations activées séparément restent soumises à leur propre fonctionnement.

Contrôle de l’accès. Vous pouvez retirer les autorisations de NEXTLEAD depuis la page des connexions à des applications et services tiers de votre compte Google : https://myaccount.google.com/connections. Le retrait des autorisations arrête les accès Google correspondants ; il ne supprime pas les messages ou événements originaux de votre compte Google, ni l’historique déjà enregistré dans le CRM. Pour demander la suppression des données conservées par NEXTLEAD, contactez dpo@nextlead.app.

Usage limité. L’utilisation et le transfert des informations reçues des API Google respectent la Politique de données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée : https://developers.google.com/terms/api-services-user-data-policy. Les données Google ne sont ni vendues ni utilisées pour le ciblage publicitaire. Un accès humain aux données Google nécessite l’accord explicite de l’utilisateur pour les données concernées, sauf lorsque cet accès est nécessaire pour des raisons de sécurité, pour respecter la loi, ou dans les autres cas expressément permis par cette politique.

4. Finalités et Base Légale

Nous traitons les données sur les bases suivantes :

1. Exécution du contrat : Fournir le service CRM, le support et la facturation.
2. Intérêt légitime : Améliorer la sécurité de la plateforme et analyser l’usage pour développer de nouvelles fonctionnalités.
3. Obligation légale : Pour la gestion comptable et fiscale.

5. Conservation et Suppression des Données

• Comptes actifs : Les données sont conservées pendant toute la durée de votre abonnement.
• Riliation : À la fermeture du compte, les données sont archivées pendant 30 jours (période de grâce) puis supprimées définitivement de nos serveurs de production.
• Documents comptables : Conservés 10 ans (obligation légale française).
• Jetons Google : les jetons OAuth servent à maintenir la connexion autorisée. Le retrait des autorisations depuis votre compte Google empêche leur utilisation pour les accès retirés. La suppression du compte NEXTLEAD supprime les jetons liés à ce compte. La déconnexion ou la révocation ne supprime pas à elle seule l’historique CRM déjà enregistré ; sa suppression peut être demandée à dpo@nextlead.app.

6. Sécurité et Hébergement

• Hébergement : Toutes les bases de données du CRM sont hébergées par Supabase (AWS/Dublin, Irlande) au sein de l’Espace Économique Européen (EEE).
• Chiffrement : Les bases de données sont chiffrées au repos. Toutes les communications sont chiffrées via HTTPS.
• Isolation : Les données de chaque client sont isolées logiquement pour empêcher tout accès non autorisé entre les comptes.

7. Sous-traitants (Tiers)

Nous partageons des données uniquement avec des partenaires de confiance sous contrat de sous-traitance (DPA) :

• Hébergement : Supabase (UE), Vercel (UE/US).
• Analytique : PostHog (hébergé en UE).
• Paiements : Stripe.
• Communications : Resend (Envoi d’emails).
• Vente de données : Nous ne vendons jamais vos données ni celles de vos clients à des tiers.

8. Droits des Utilisateurs (RGPD)

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, de suppression de vos données, ainsi qu’un droit à la portabilité. Pour exercer ces droits : dpo@nextlead.app. Vous pouvez également introduire une réclamation auprès de la CNIL.

9. Modifications de cette Politique

Les utilisateurs seront informés via la plateforme ou par email au moins 15 jours avant toute modification importante de cette politique.