Politique de confidentialité Scanlead

Version du 30 septembre 2026. Version en vigueur, opposable aux utilisateurs du service Scanlead.

1. Identité du responsable de traitement

Le responsable de traitement au sens de l'article 4.7 du Règlement Général sur la Protection des Données (RGPD) est :

Quantum Liquid LLC, société de droit du Wyoming (Wyoming Limited Liability Company), dont le siège social est situé 30 N Gould St, Sheridan, WY 82801, États-Unis d'Amérique.

Site web : https://scanlead.io. Adresse de contact pour toute demande relative aux données personnelles : support@scanlead.io.

Quantum Liquid LLC exploite le service Scanlead, désigné ci-après « Scanlead » ou « le Service ».

En l'absence d'établissement en Union européenne, Quantum Liquid LLC désigne, si et lorsque cela devient obligatoire au titre de l'article 27 RGPD, un représentant dans l'Union. À la date de la présente politique, la société agit en direct via l'adresse support@scanlead.io, qui reçoit toutes les demandes des personnes concernées résidant dans l'UE, l'EEE, le Royaume-Uni et la Suisse.

2. Champ d'application

La présente politique décrit les traitements de données personnelles effectués par Scanlead dans le cadre de l'utilisation du site scanlead.io, de l'application web progressive (PWA) Scanlead, et des services associés (API, intégrations CRM, courriels transactionnels).

Elle s'applique à trois catégories de personnes :

• Les utilisateurs inscrits (« Utilisateurs »), qui créent un compte Scanlead pour capturer des contacts lors de salons professionnels.
• Les personnes dont les coordonnées sont capturées par un Utilisateur au moyen du Service (« Contacts capturés »).
• Les visiteurs du site scanlead.io qui ne créent pas de compte.

3. Catégories de données personnelles collectées

3.1 Données de compte Utilisateur

À la création du compte et pendant son utilisation, Scanlead collecte :

• Adresse électronique.
• Mot de passe stocké sous forme de hachage salé (bcrypt ou équivalent).
• Nom et prénom.
• Nom de la société de l'Utilisateur, secteur d'activité.
• Préférences de langue et de fuseau horaire.
• Journaux de connexion (date, adresse IP, agent utilisateur) pour la sécurité du compte.

3.2 Contacts capturés par l'Utilisateur (« Leads »)

Lorsque l'Utilisateur utilise Scanlead sur un salon, il enregistre des données relatives à des tiers. Ces données peuvent inclure :

• Nom et prénom du contact.
• Société et fonction.
• Adresse électronique professionnelle.
• Numéro de téléphone.
• Notes libres saisies par l'Utilisateur.
• Photographie de carte de visite prise par l'Utilisateur.
• Horodatage et lieu (nom du salon) de la capture.

Pour ces données, l'Utilisateur agit en qualité de responsable de traitement et Scanlead intervient en qualité de sous-traitant au sens de l'article 28 RGPD. Les conditions sont décrites dans l'Accord de sous-traitance (DPA) qui complète les Conditions Générales.

3.3 Données d'usage et analytique

Scanlead utilise PostHog (serveurs aux États-Unis) pour comprendre l'usage du Service. Les événements collectés incluent :

• Pages visitées, écrans ouverts.
• Actions dans l'application (bouton « nouveau scan », export, connexion CRM).
• Type d'appareil, système d'exploitation, navigateur.
• Adresse IP tronquée.

Un identifiant utilisateur pseudonyme est associé à ces événements pour les Utilisateurs connectés. Aucune donnée personnelle des Contacts capturés n'est envoyée à PostHog.

3.4 Données de paiement

Les paiements sont traités par Stripe, Inc. (prestataire de paiement). Scanlead ne stocke pas les données de carte bancaire. Nous conservons uniquement :

• L'identifiant client Stripe (stripe_customer_id).
• L'état de l'abonnement (actif, en pause, résilié).
• Le plan tarifaire souscrit et la devise.
• Les factures accessibles via le portail client Stripe.

3.5 Données transactionnelles courriel

Les courriels transactionnels (confirmation d'inscription, réinitialisation de mot de passe, résumés d'activité) sont expédiés via Resend. Sont traités : l'adresse électronique du destinataire, l'objet et le corps du message, l'état de livraison.

4. Finalités et bases légales

Conformément à l'article 6.1 RGPD, chaque traitement repose sur une base légale identifiée.

Finalité	Base légale	Référence
Fourniture du Service à l'Utilisateur inscrit	Exécution du contrat	Art. 6.1.b
Facturation et respect des obligations comptables	Obligation légale	Art. 6.1.c
Envoi de courriels transactionnels indispensables	Exécution du contrat	Art. 6.1.b
Mesure d'audience et amélioration produit via PostHog	Intérêt légitime, avec possibilité de refus	Art. 6.1.f
Cookies non strictement nécessaires	Consentement	Art. 6.1.a
Sécurité, prévention de la fraude, journaux d'accès	Intérêt légitime	Art. 6.1.f
Réponse aux demandes des autorités compétentes	Obligation légale	Art. 6.1.c
Traitement des Leads capturés par l'Utilisateur	Sous-traitance pour le compte de l'Utilisateur, responsable de traitement	Art. 28

L'intérêt légitime a fait l'objet d'une mise en balance documentée : l'analyse est cantonnée à des données pseudonymisées, l'Utilisateur peut s'opposer à tout moment via les paramètres du compte, et aucune décision automatisée à effet juridique n'est prise.

5. Durées de conservation

Scanlead applique les durées suivantes.

• Données de compte Utilisateur : pendant toute la durée d'utilisation du compte, puis 3 ans après la dernière activité pour la relance commerciale, sauf opposition. Les données requises par la loi (facturation) sont conservées 10 ans conformément aux obligations comptables applicables à la société.
• Leads capturés : contrôlés par l'Utilisateur. Ils sont conservés tant que l'Utilisateur ne les supprime pas. À la clôture du compte, les Leads sont supprimés dans un délai de 30 jours, sauf si l'Utilisateur en demande l'export préalable.
• Analytique PostHog : 12 mois glissants.
• Journaux de sécurité : 12 mois.
• Factures : 10 ans (obligation fiscale).
• Sauvegardes de la base : une copie complète chaque jour, compressée, effacée au bout de 30 jours. Une donnée supprimée peut donc rester jusqu'à 30 jours dans ces copies.

6. Destinataires et sous-traitants

Scanlead recourt aux sous-traitants suivants, listés à titre exhaustif au jour de la présente version. La liste à jour est celle de la présente page, https://scanlead.io/privacy.

Sous-traitant	Rôle	Localisation des serveurs
Replit, Inc.	Hébergement de l'application	Région indiquée sur demande
Neon (base Postgres gérée par Replit)	Base de données principale : comptes, salons, Leads	Région indiquée sur demande
Supabase Inc.	Authentification des comptes, stockage des sauvegardes quotidiennes de la base	Paris, France (UE)
Stripe, Inc.	Traitement des paiements	États-Unis
Resend	Envoi de courriels transactionnels	États-Unis
PostHog Inc.	Analytique produit	États-Unis
Cloudflare	CDN, protection anti-DDoS	Points de présence mondiaux, terminaison en UE pour le trafic UE

Scanlead impose à chaque sous-traitant des garanties contractuelles équivalentes à celles décrites dans la présente politique, conformément à l'article 28 RGPD.

Aucune donnée n'est vendue à des tiers. Scanlead ne diffuse pas de publicité comportementale.

7. Transferts hors Union européenne

Certains sous-traitants (Replit, Neon, Stripe, Resend, PostHog) ainsi que la société elle-même sont établis aux États-Unis. Les transferts vers ces destinataires sont encadrés par :

• Les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne dans sa décision 2021/914 du 4 juin 2021, Module 2 (responsable à sous-traitant) ou Module 3 (sous-traitant à sous-traitant) selon la configuration.
• Le cas échéant, l'adhésion du sous-traitant au EU-U.S. Data Privacy Framework.
• Des mesures techniques complémentaires : chiffrement en transit (TLS 1.2 minimum), chiffrement au repos, minimisation des données transférées, ségrégation des accès.

Une analyse de transfert (Transfer Impact Assessment) est disponible sur demande à support@scanlead.io.

Chez Supabase, l'authentification des comptes et les sauvegardes quotidiennes de la base sont hébergées dans l'Union européenne, à Paris (France). L'application est hébergée par Replit et la base de données principale par Neon, base Postgres gérée par Replit : la région de leurs serveurs est indiquée sur demande à support@scanlead.io. Les données d'analytique de PostHog sont traitées aux États-Unis.

8. Droits des personnes concernées

Conformément aux articles 15 à 22 RGPD, toute personne concernée dispose des droits suivants.

• Droit d'accès (art. 15) : obtenir la confirmation que des données la concernant sont traitées et en recevoir une copie.
• Droit de rectification (art. 16) : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) : obtenir la suppression des données, sous réserve des obligations légales de conservation.
• Droit à la limitation (art. 18).
• Droit à la portabilité (art. 20) : recevoir les données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (art. 21), notamment pour les traitements fondés sur l'intérêt légitime.
• Droit de retirer son consentement à tout moment, sans effet rétroactif, lorsque le traitement repose sur l'article 6.1.a.
• Droit de définir des directives relatives au sort des données après le décès, conformément à la législation applicable.
• Droit d'introduire une réclamation auprès d'une autorité de contrôle, notamment la CNIL en France (www.cnil.fr), l'APD en Belgique, ou toute autre autorité de contrôle compétente dans l'État membre de résidence habituelle, du lieu de travail ou du lieu de la violation présumée.

8.1 Comment exercer ses droits

Les Utilisateurs peuvent exercer les droits d'accès, de rectification, de portabilité et de suppression directement depuis les paramètres de leur compte Scanlead.

Toute demande peut également être adressée à support@scanlead.io, accompagnée d'un élément permettant de vérifier l'identité du demandeur. Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes conformément à l'article 12.3 RGPD.

8.2 Contacts capturés (Leads)

Lorsqu'un Contact capturé souhaite exercer ses droits, la demande peut être adressée soit à l'Utilisateur qui l'a enregistré (responsable de traitement), soit à Scanlead, qui transmettra la demande à l'Utilisateur concerné et l'assistera dans son traitement conformément à l'article 28.3.e RGPD.

9. Absence de décision automatisée et absence d'entraînement d'IA

Scanlead ne prend aucune décision produisant des effets juridiques ou affectant significativement les personnes de manière automatisée au sens de l'article 22 RGPD.

Les données personnelles des Utilisateurs et des Contacts capturés ne sont jamais utilisées pour entraîner des modèles d'intelligence artificielle, qu'ils soient exploités par Scanlead ou par des tiers. Les fonctionnalités de reconnaissance de texte (OCR) sur les cartes de visite reposent sur un traitement local ou sur un service tiers qui s'engage contractuellement à ne pas conserver ni entraîner de modèle sur les images transmises.

10. Cookies et traceurs

Scanlead utilise deux catégories de cookies et technologies similaires.

• Cookies strictement nécessaires : session, authentification, préférences de langue, protection CSRF. Ils sont déposés sans consentement conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL.
• Cookies de mesure d'audience (PostHog) : déposés uniquement après consentement explicite via la bannière de consentement. Le consentement peut être retiré à tout moment via le lien « Gérer mes cookies » en pied de page.

Aucun cookie publicitaire n'est déposé.

11. Mineurs

Le Service n'est pas destiné aux personnes de moins de 16 ans. Aucun compte n'est créé sciemment pour un mineur de moins de 16 ans. Si Scanlead a connaissance qu'un compte a été ouvert par un mineur en dessous de cet âge, le compte est clôturé et les données associées sont supprimées.

12. Sécurité

Scanlead met en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (art. 32 RGPD) :

• Chiffrement en transit (TLS 1.2 minimum) et au repos (AES-256).
• Isolation des données entre espaces de travail (Row Level Security dans Postgres).
• Authentification à deux facteurs disponible pour tous les comptes.
• Une sauvegarde complète de la base chaque jour, compressée, conservée 30 jours dans un stockage privé chez Supabase (Paris), puis effacée.
• Journalisation des accès administratifs.
• Politique de gestion des vulnérabilités et procédures de réponse aux incidents.
• Engagements de confidentialité signés par toute personne ayant accès aux données.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, Scanlead notifie l'autorité de contrôle compétente dans les 72 heures conformément à l'article 33 RGPD, et informe les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé (art. 34 RGPD).

13. Modifications de la politique

Scanlead peut modifier la présente politique. Toute modification substantielle est notifiée par courriel aux Utilisateurs et via une bannière dans l'application au moins 30 jours avant son entrée en vigueur. La poursuite de l'utilisation du Service après ce délai vaut acceptation. La version en vigueur est toujours accessible sur https://scanlead.io/privacy.

14. Contact

Pour toute question, demande ou réclamation relative à la présente politique :

Quantum Liquid LLC, à l'attention de « Privacy », 30 N Gould St, Sheridan, WY 82801, États-Unis d'Amérique.

Courriel : support@scanlead.io.