Politique de confidentialité

Dernière mise à jour : 14 juillet 2026

Cette politique explique quelles données GEOS traite, pourquoi, pendant combien de temps, et comment vous pouvez exercer vos droits. Elle couvre le site vitrine geosrank.com et l'application app.geosrank.com.

Responsable du traitement

Responsable: GEOS, société par actions simplifiée (SAS)
Siège social: 6 avenue Henri Barbusse, 94350 Villiers-sur-Marne, France
Numéro SIREN: 105 570 915
Contact: hello@geosrank.com
Délégué à la protection des données: Aucun délégué à la protection des données n'a été désigné. Les demandes relatives aux données personnelles sont traitées à l'adresse de contact ci-dessus.

Le site geosrank.com

Par défaut, ce site ne dépose aucun cookie de suivi et ne contacte aucun serveur tiers. Les polices de caractères sont hébergées sur notre propre domaine ; tant que vous n'avez pas consenti à la mesure d'audience décrite ci-dessous, votre adresse IP n'est transmise à personne d'autre qu'à notre hébergeur, qui la traite pour la seule fourniture technique des pages.

Mesure d'audience (Google Analytics)

Pour comprendre comment le site est consulté, nous utilisons Google Analytics 4 (identifiant de mesure G-EZPENLFYHD). Cette mesure n'est activée qu'après votre consentement explicite : à votre première visite, un bandeau vous propose de l'accepter ou de la refuser, à parts égales. Rien n'est chargé ni déposé tant que vous n'avez pas cliqué sur « Accepter » ; un refus est respecté et mémorisé.

Si vous acceptez :

le script de Google Analytics est chargé depuis les serveurs de Google et dépose des cookies de mesure sur votre navigateur, notamment _ga et _ga_<identifiant> ;
Google traite pour notre compte des données de navigation — pages vues, provenance, type d'appareil, ainsi que des données d'adresse IP servant à déterminer une localisation approximative. Google Analytics 4 ne conserve pas l'adresse IP complète ;
ces données peuvent être transférées aux États-Unis. Notre interlocuteur est Google Ireland Limited ; les transferts s'appuient sur l'EU-U.S. Data Privacy Framework, auquel Google LLC est certifié, et sur les clauses contractuelles types en repli ;
nous ne croisons pas ces données avec celles de l'application, et ne les utilisons à aucune fin publicitaire.

Base légale : votre consentement (article 6.1.a du RGPD et article 82 de la loi Informatique et Libertés). Vous pouvez le retirer à tout moment via le lien « Gérer les cookies », en bas de chaque page ; le retrait prend effet pour les visites suivantes. À défaut de nouvelle réponse, votre choix est reconduit pendant treize mois au plus, après quoi le bandeau vous est représenté.

Deux informations sont par ailleurs stockées localement dans votre navigateur, sans jamais être transmises à nos serveurs : la clé geos-theme, qui mémorise votre préférence de thème clair ou sombre, et la clé geos-consent, qui mémorise votre choix ci-dessus. Toutes deux relèvent d'une préférence que vous avez explicitement exprimée et ne requièrent pas de consentement distinct. Vous pouvez les effacer en vidant les données de site de votre navigateur.

L'application app.geosrank.com

Données que vous nous confiez

Données de compte : adresse électronique, nom, mot de passe (stocké sous forme de condensat), organisation de rattachement.
Données de marque : domaine suivi, requêtes cibles, concurrents, fiches de connaissance de marque que vous saisissez.
Données de facturation : identité de la société, adresse de facturation, numéro de TVA intracommunautaire, statut des paiements. Elles nous sont transmises par Stripe, notre prestataire de paiement. Nous n'avons jamais accès à votre numéro de carte bancaire : il est saisi sur les pages de Stripe, jamais sur les nôtres.

Données que nous produisons

GEOS interroge les moteurs génératifs sur vos requêtes cibles et conserve les réponses obtenues, les sources citées et les indicateurs qui en découlent. Ces données décrivent la visibilité d'une marque, non des personnes physiques.

Finalités et bases légales

Fournir le service souscrit — exécution du contrat.
Assurer la sécurité, prévenir les abus, conserver des journaux techniques — intérêt légitime.
Répondre à vos demandes et vous adresser des informations sur le service — intérêt légitime ou consentement selon le cas.
Satisfaire nos obligations comptables et fiscales — obligation légale.

Nous ne vendons aucune donnée. Nous ne pratiquons aucune publicité ciblée.

Données issues des API Google

Si vous choisissez de connecter votre compte Google Analytics à GEOS, l'application demande, via le protocole OAuth 2.0, un accès en lecture seule à vos rapports Google Analytics 4. Cet accès sert une finalité unique : attribuer à vos sources de trafic les visites provenant des moteurs génératifs, et vous restituer cette mesure dans votre tableau de bord.

Concernant ces données :

elles ne sont ni vendues, ni louées, ni cédées à qui que ce soit ;
elles ne servent à aucune finalité publicitaire ;
elles ne sont jamais utilisées pour entraîner des modèles d'intelligence artificielle, qu'ils soient généralistes ou spécifiques à un client ;
seuls les membres de votre organisation y ont accès dans l'application ; nos équipes n'y accèdent que si vous le demandez expressément, pour du support ;
vous pouvez révoquer cet accès à tout moment, depuis les paramètres de sécurité de votre compte Google ou depuis GEOS. La révocation entraîne la suppression des données correspondantes.

Usage limité (Limited Use). L'utilisation et le transfert, par GEOS, des informations reçues des API Google vers toute autre application respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use requirements).

GEOS' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Sous-traitants et destinataires

Nous faisons appel à des prestataires techniques agissant en qualité de sous-traitants au sens de l'article 28 du RGPD. Le tableau ci-dessous nomme, pour chacun, l'entité avec laquelle le contrat est conclu et le mécanisme juridique exact qui encadre le transfert de vos données hors de l'Union européenne. Ces informations sont relevées dans les accords de sous-traitance publiés par chaque prestataire, dont la liste figure sous le tableau.

Sous-traitants en production au 14 juillet 2026, avec le fondement juridique de chaque transfert.
Sous-traitant	Rôle	Entité contractante	Où les données sont traitées	Transfert hors UE
Vercel	Hébergement du site et de l'application	Vercel Inc. (États-Unis)	Fonctions exécutées en Irlande	Clauses contractuelles types de la Commission européenne (décision 2021/914)
Supabase	Base de données, authentification, e-mails de connexion	Supabase, Inc. (États-Unis)	Base hébergée en Irlande	Clauses contractuelles types (décision 2021/914)
Resend	Envoi des e-mails transactionnels de l'application (ouverture d'accès, notifications de compte)	Plus Five Five, Inc. (États-Unis)	États-Unis	Clauses contractuelles types (module 2) ; l'entité est par ailleurs certifiée à l'EU-U.S. Data Privacy Framework
Render	Hébergement du moteur d'analyse	Render Services, Inc. (États-Unis)	États-Unis	EU-U.S. Data Privacy Framework, et clauses contractuelles types si celui-ci cesse de s'appliquer
Anthropic	Modèles d'IA : analyse et génération de contenu	Anthropic PBC (États-Unis)	États-Unis	Clauses contractuelles types, modules 2 et 3
OpenAI	Modèles d'IA : analyse et génération de contenu	OpenAI Ireland Limited (Irlande)	États-Unis	Clauses contractuelles types, ou décision d'adéquation au titre de l'article 45 du RGPD
Google	Modèles d'IA (Gemini)	Google Ireland Limited	États-Unis	EU-U.S. Data Privacy Framework : Google LLC y est certifié
Stripe	Encaissement des abonnements	Stripe Payments Europe, Limited (Irlande)	Irlande et États-Unis	Data Privacy Framework, clauses contractuelles types (modules 1 et 2) et UK IDTA

Les fournisseurs de modèles d'IA reçoivent les requêtes suivies et les contenus de page analysés. Ils ne reçoivent ni vos identifiants de connexion, ni vos données de facturation.

Aucun d'eux n'entraîne ses modèles sur vos données, et cet engagement figure dans leurs conditions contractuelles, pas seulement dans leur discours commercial :

Anthropic : « Anthropic may not train models on Customer Content from Services. »
OpenAI : « By default, we do not use your business data for training our models. » Nous n'avons souscrit à aucun partage optionnel.
Google : l'engagement ne vaut que sur le palier payant de l'API Gemini, que nous utilisons — « Google doesn't use your prompts […] or responses to improve our products ». Sur le palier gratuit, Google réutiliserait ces contenus pour améliorer ses modèles, et des relecteurs humains pourraient les lire. Nous ne l'employons pas.

Nous ne consentons à aucun usage de vos données pour entraîner un modèle, quel qu'il soit.

Le paiement des abonnements est opéré par Stripe. Nous n'avons jamais accès aux données de votre carte bancaire : elles sont saisies et conservées sur les pages de Stripe, jamais sur les nôtres. Nous recevons de Stripe les seules informations nécessaires à la facturation et au suivi de l'abonnement — identité de la société, adresse de facturation, numéro de TVA, statut du paiement. Stripe agit à la fois comme sous-traitant, pour le traitement du paiement que nous lui confions, et comme responsable de traitement indépendant, pour ses obligations réglementaires et sa lutte contre la fraude. Ce double rôle est décrit dans son accord de sous-traitance.

SerpApi (SerpApi, LLC, Texas) relève la position réelle d'une page dans les résultats de recherche. Il reçoit une requête et un nom de domaine — aucune donnée à caractère personnel. Il n'est donc pas un sous-traitant au sens de l'article 28 du RGPD, et ne figure pas dans le tableau ci-dessus. Nous le mentionnons par transparence, parce qu'il s'agit d'un service tiers établi hors de l'Union.

Nous n'utilisons aucun service d'envoi d'e-mails marketing. Nos seuls envois sont des messages transactionnels, nécessaires au fonctionnement du service : les e-mails de connexion, émis par Supabase, et les e-mails liés à votre compte (ouverture d'accès, notifications), émis via Resend. Nous n'adressons ni newsletter, ni message promotionnel.

Accords de sous-traitance et conditions consultés les 10 et 14 juillet 2026 :

Transferts hors de l'Union européenne

Ce qui reste en Europe. La base de données de l'application est hébergée en Irlande, et les fonctions applicatives y sont exécutées. Les contrats avec OpenAI et avec Stripe sont conclus avec leurs entités irlandaises, OpenAI Ireland Limited et Stripe Payments Europe, Limited.

Ce qui sort de l'Union. Vercel Inc., Supabase, Inc., Render Services, Inc., Anthropic PBC et Plus Five Five, Inc. (Resend) sont des sociétés établies aux États-Unis, ce qui expose leurs traitements au droit américain, quand bien même certaines données restent stockées en Irlande. Les requêtes suivies et les contenus de page analysés sont transmis aux fournisseurs de modèles d'IA aux États-Unis.

Deux fondements juridiques distincts, et ils ne se valent pas. La majorité de nos sous-traitants s'appuie sur les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) : un contrat, assorti d'une analyse d'impact du transfert. Render et Google s'appuient d'abord sur l'EU-U.S. Data Privacy Framework, une décision d'adéquation prise par la Commission le 10 juillet 2023, à laquelle ces sociétés se sont certifiées. Cette décision peut être invalidée — les deux précédentes, Safe Harbor et Privacy Shield, l'ont été par la Cour de justice de l'Union européenne. L'accord de Render prévoit explicitement le repli sur les clauses contractuelles types dans cette hypothèse.

Durées de conservation

Données de compte, de marque et de suivi : pendant toute la durée du contrat, puis six mois après sa résiliation, à l'issue desquels elles sont supprimées.
Données Google Analytics importées : supprimées dès la révocation de l'accès, et au plus tard six mois après la fin du contrat.
Pièces comptables : dix ans, conformément au code de commerce.

Vous pouvez demander la suppression de vos données avant ces échéances, sous réserve de nos obligations légales de conservation.

Sécurité

Les données sont chiffrées en transit. L'accès aux données d'un client est cloisonné : le système exige l'identité du client pour toute lecture, sans valeur par défaut, ce qui rend structurellement impossible l'accès d'un client aux données d'un autre.

Nous n'affichons aucun logo de certification que nous ne détenons pas.

Vos droits

Conformément au Règlement (UE) 2016/679 et à la loi Informatique et Libertés, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour les exercer, écrivez à hello@geosrank.com. Nous répondons dans un délai d'un mois. Une preuve d'identité peut vous être demandée en cas de doute raisonnable.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL).

Modifications

Cette politique peut évoluer. Toute modification substantielle vous sera signalée par un moyen adapté avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.