POLITIQUE DE CONFIDENTIALITÉ PULSE

Version du 2 novembre 2026

1. Responsable du traitement

Pour les traitements réalisés pour ses propres finalités dans le cadre de Pulse, le responsable du traitement est :

Mercier Conseil
Entrepreneur individuel
SIREN : 106 247 992
SIRET : 106 247 992 00014
105B Avenue Thomas Decaroli
06700 Saint-Laurent-du-Var
France

Contact relatif à la protection des données : pulse@mercier-conseil.fr

2. Objet de cette politique

Cette politique explique comment Pulse collecte et utilise les données personnelles liées à l’utilisation du service.

Elle concerne notamment les prospects, utilisateurs, administrateurs de comptes clients et personnes utilisant Pulse pour le compte d’une organisation professionnelle.

Lorsque Pulse traite certaines données personnelles exclusivement pour le compte d’un Client professionnel, celui-ci demeure responsable du traitement concerné et Mercier Conseil agit en qualité de sous-traitant. Cette situation est encadrée par l’Annexe relative au traitement des données personnelles.

3. Données traitées

Selon l’utilisation de Pulse, les catégories suivantes peuvent être traitées :

Données de compte

• adresse e-mail ;
• identifiants techniques du compte ;
• données d’authentification sous forme sécurisée ;
• informations relatives à la confirmation du compte ;
• informations relatives à l’offre et à l’abonnement ;
• date de dernière utilisation de Pulse ;
• le cas échéant, la demande de suppression du compte et ses dates.

Mercier Conseil n’a pas vocation à accéder au mot de passe en clair de l’utilisateur.

Données relatives à l’entreprise

Notamment :

• nom de l’entreprise ou de l’établissement ;
• activité ;
• ville et code postal ;
• informations renseignées par l’utilisateur dans Pulse.

Données provenant de services connectés

Lorsque le Client autorise une connexion, Pulse peut traiter les données rendues accessibles par les plateformes concernées et nécessaires aux fonctionnalités demandées.

Il peut notamment s’agir, selon les connexions activées :

• d’informations relatives à une fiche d’établissement Google ;
• d’avis et de réponses aux avis ;
• de données relatives à l’activité ou à la visibilité de l’établissement ;
• de publications ;
• de données relatives à Facebook ou Instagram ;
• de statistiques et indicateurs fournis par les plateformes.

La nature exacte des données dépend des autorisations accordées et des API proposées par les services tiers.

À la date de la présente politique, le Client peut connecter, en lecture seule, une fiche Google Business Profile et un compte Instagram professionnel. Pulse lit alors uniquement les données suivantes, au moment de la connexion : Pour Google Business Profile : les informations de la fiche (nom, catégorie, adresse, horaires, téléphone, site, description, attributs, statut de vérification), la note moyenne, le nombre et les dates des avis et de leurs réponses, le nombre et les dates des photos et des publications Google, et les statistiques d’impressions de la fiche. Pour Instagram : le nom du compte, le nombre d’abonnés et de publications, ainsi que la date et le nombre de mentions « J’aime » et de commentaires des publications récentes.

Ces données servent uniquement au calcul du Pulse Score. Pulse en conserve un relevé de mesures (par exemple la note moyenne ou le nombre de publications du mois) ; il ne conserve ni le texte des avis, ni le nom de leurs auteurs, ni aucun jeton d’accès Google ou Meta. Le relevé est remplacé à chaque nouvelle connexion et supprimé avec le compte. La connexion à Facebook n’est pas encore disponible.

Données générées dans Pulse

Notamment :

• Pulse Score et composantes du score ;
• opportunités détectées ;
• recommandations ;
• campagnes et contenus préparés ;
• réponses aux avis ;
• validations et publications ;
• résultats et indicateurs ;
• historique nécessaire au fonctionnement du service.

À la date de la présente politique, Pulse calcule uniquement le Pulse Score à partir des informations disponibles ; les autres catégories concernent des fonctionnalités qui ne sont pas encore disponibles.

Données techniques

Certaines informations techniques peuvent être traitées pour assurer la sécurité, le fonctionnement et le diagnostic du service, par exemple des journaux techniques, dates de connexion, erreurs ou informations relatives au navigateur et à la session.

4. Finalités et bases légales

Création et gestion du compte

Finalités : inscription, authentification, sécurisation, onboarding et gestion du compte.

Base légale : exécution du contrat ou mesures précontractuelles.

Fourniture des fonctionnalités Pulse

Finalités : analyse de la visibilité locale, Pulse Score, recommandations, génération de campagnes, gestion des avis, publication et suivi des résultats.

Base légale : exécution du contrat.

Lorsque des données de tiers sont traitées pour le compte du Client dans ce cadre, Mercier Conseil peut agir en qualité de sous-traitant selon les instructions du Client.

Gestion des abonnements et de la facturation

Finalités : gestion des offres et des abonnements, des paiements en ligne par l’intermédiaire de Stripe, des factures, des périodes offertes, des places Fondateur et du suivi comptable.

Bases légales : exécution du contrat et obligations légales.

Sécurité et prévention des abus

Finalités : protection des comptes, détection d’incidents, prévention de la fraude et sécurisation de Pulse.

Base légale : intérêt légitime de Mercier Conseil à sécuriser son service et ses utilisateurs.

Assistance et relation client

Finalités : répondre aux demandes, assurer l’assistance et conserver l’historique nécessaire au suivi.

Bases légales : exécution du contrat et, selon la demande, intérêt légitime.

Amélioration de Pulse

Des données d’utilisation peuvent être exploitées dans la mesure nécessaire pour comprendre le fonctionnement du produit, corriger des erreurs et améliorer le service.

Base légale : intérêt légitime, sous réserve des droits des personnes et de la nature des données concernées.

Mercier Conseil ne réutilise pas librement pour ses propres finalités les données personnelles qui lui sont confiées exclusivement en qualité de sous-traitant.

5. Intelligence artificielle

Certaines informations peuvent être transmises à des prestataires technologiques d’intelligence artificielle lorsque cela est nécessaire à la génération d’un contenu, d’une analyse ou d’une recommandation demandée dans Pulse.

Pulse vise à limiter les informations transmises à ce qui est nécessaire à la fonctionnalité concernée.

Les modalités exactes de traitement dépendent des services techniques utilisés et de leur configuration contractuelle.

À la date de la présente politique, aucune fonctionnalité d’intelligence artificielle n’est active : Pulse ne transmet aucune donnée à un prestataire d’intelligence artificielle. Les prestataires et leurs modalités seront indiqués ici avant l’activation de ces fonctionnalités.

6. Destinataires et prestataires

Les données peuvent être accessibles, dans la limite nécessaire à leurs missions :

• à Mercier Conseil ;
• aux prestataires d’hébergement, base de données et authentification de Pulse ;
• aux prestataires d’envoi d’e-mails transactionnels ;
• aux prestataires d’intelligence artificielle nécessaires aux fonctionnalités activées ;
• aux services Google lorsque le Client connecte ou utilise des fonctionnalités Google ;
• aux services Meta, Facebook ou Instagram lorsque le Client active ces connexions ;
• au prestataire de paiement Stripe, pour les offres payantes ;
• aux autorités ou organismes légalement habilités lorsque la loi l’exige.

Les services techniques actuellement utilisés sont :

• Supabase : base de données et authentification, données hébergées en Irlande ;

• Vercel : hébergement de l’application, traitements serveur exécutés à Dublin (Irlande) ;

• Brevo : envoi des e-mails de confirmation d’adresse et de réinitialisation du mot de passe, données hébergées dans l’Union européenne ;

• geo.api.gouv.fr, service public de l’État : interrogé avec le seul code postal saisi, depuis le navigateur puis depuis les serveurs de Pulse, pour proposer la commune correspondante.

• Stripe : paiement en ligne des offres payantes. Stripe reçoit l’adresse e-mail du compte, le nom de l’entreprise et, saisis directement par le Client sur les pages sécurisées de Stripe, l’adresse de facturation, l’éventuel numéro de TVA et les données de la carte bancaire ; Pulse ne reçoit jamais le numéro complet de la carte. Selon les traitements concernés, Stripe agit comme sous-traitant de Mercier Conseil, notamment pour la gestion des abonnements, des pages de paiement, des factures et de l’espace client, ou comme responsable de traitement distinct pour ses propres finalités, notamment l’exécution des services de paiement réglementés, la prévention de la fraude, la gestion des risques et le respect de ses obligations légales, dont la lutte contre le blanchiment. Ces traitements sont décrits dans la politique de confidentialité de Stripe.

Lorsque le Client les connecte, Google (Google Business Profile) et Meta (Instagram) sont interrogés en lecture seule, comme sources des données décrites à l’article 3.

Les services suivants sont prévus mais ne sont pas encore connectés et ne reçoivent aucune donnée : Facebook et OpenAI.

7. Transferts internationaux

Certains prestataires utilisés par Pulse peuvent être établis ou traiter certaines données en dehors de l’Espace économique européen.

Lorsque des données personnelles font l’objet d’un transfert international, Mercier Conseil veille à ce que celui-ci repose sur un mécanisme prévu par la réglementation applicable, tel qu’une décision d’adéquation ou des garanties appropriées.

Les données de Pulse sont hébergées dans l’Union européenne : base de données en Irlande (Supabase), traitements serveur à Dublin (Vercel) et e-mails de compte envoyés par Brevo, qui héberge ses données dans l’Union européenne. Les requêtes des utilisateurs transitent par le point du réseau Vercel le plus proche d’eux.

Un accès depuis l’extérieur de l’Espace économique européen reste possible, notamment pour le support ou la maintenance :

• par Vercel Inc. (États-Unis) : encadré par les clauses contractuelles types adoptées par la Commission européenne et par la certification de Vercel Inc. au cadre de protection des données UE–États-Unis (Data Privacy Framework) ;
• par Supabase Pte. Ltd. (Singapour) : encadré par les clauses contractuelles types adoptées par la Commission européenne ;
• par les sociétés du groupe Stripe, notamment aux États-Unis : encadré par la certification de Stripe au cadre de protection des données UE–États-Unis (Data Privacy Framework) et par les clauses contractuelles types adoptées par la Commission européenne.

Brevo encadre d’éventuels transferts hors de l’Union européenne par les clauses contractuelles types et, vers les États-Unis, par le Data Privacy Framework.

8. Durées de conservation

Les données sont conservées pendant une durée proportionnée à leur finalité.

En particulier :

• Compte et données de l’entreprise : pendant toute l’utilisation de Pulse.
• Suppression du compte : désactivation immédiate, puis suppression définitive trente (30) jours après la demande, sauf annulation, par un traitement automatique quotidien. Une fois effectuée, la suppression est irréversible.
• Traces des demandes de suppression : dates de la demande, de l’annulation ou de la suppression, sans lien avec le compte une fois celui-ci supprimé. Elles sont conservées douze (12) mois au plus après la suppression ou l’annulation.
• Preuves d’acceptation des Conditions : Mercier Conseil enregistre, à chaque acceptation, la version et l’empreinte des textes acceptés, la date et l’heure fixées par le serveur, le contexte de l’acceptation (inscription, activation d’une offre payante ou mise à jour des Conditions) et un identifiant pseudonymisé permettant de retrouver la preuve sans conserver l’adresse e-mail en clair. Après la suppression définitive du compte, ces preuves sont conservées cinq (5) ans, délai de prescription des actions contractuelles (article 2224 du Code civil), dans une archive séparée, sans nom ni lien avec le compte supprimé, puis supprimées automatiquement. Lorsqu’une réclamation ou un litige le justifie, une preuve est conservée jusqu’à sa résolution définitive. Ce traitement repose sur l’intérêt légitime de Mercier Conseil à pouvoir établir, exercer ou défendre ses droits en justice.
• Pièces comptables (factures, avoirs) : dix (10) ans, conformément à l’article L102 B du Livre des procédures fiscales, dans une archive séparée, sans lien avec le compte et inaccessible depuis Pulse. Elles ne sont pas supprimées avec le compte. Les factures et les données de paiement sont également conservées par Stripe pour la durée prévue par ses propres obligations légales.
• Comptes inactifs : Mercier Conseil prévoit de supprimer les comptes inutilisés depuis vingt-quatre (24) mois, après un avertissement par e-mail trente (30) jours avant la suppression ; la procédure sera annulée si l’utilisateur se reconnecte pendant ce délai. Cette règle n’est pas encore appliquée : à ce jour, la date de dernière utilisation est enregistrée et aucun compte n’est supprimé pour inactivité.
• Données de prospection : lorsque Pulse en traitera, trois (3) ans au plus après le dernier contact.
• Journaux techniques : un (1) jour chez Supabase, trente (30) jours chez Vercel et un (1) mois pour l’historique des e-mails envoyés par Brevo.
• Sauvegardes : Pulse ne dispose pas à ce jour de sauvegarde de sa base de données ; une donnée supprimée ne peut pas être restaurée.

Lorsque Mercier Conseil agit comme sous-traitant, la restitution ou suppression des données intervient conformément au contrat et aux instructions du Client, sous réserve des obligations légales applicables.

9. Sécurité

Mercier Conseil met en œuvre des mesures techniques et organisationnelles adaptées au risque afin de protéger les données contre l’accès non autorisé, la perte, l’altération ou la divulgation.

Pulse applique notamment des mécanismes d’authentification, de contrôle d’accès et d’isolation des données entre entreprises.

Aucun système informatique ne pouvant garantir une sécurité absolue, ces mesures sont régulièrement adaptées au développement du service et aux risques identifiés.

10. Services Google et Meta

La connexion d’un service externe à Pulse intervient à l’initiative du Client et selon les autorisations qu’il accorde.

Pulse ne conserve aucune autorisation d’accès : l’accès accordé sert uniquement à lire les données au moment de la connexion. L’autorisation Google est révoquée dès la lecture terminée ; l’autorisation Meta peut être retirée à tout moment par le Client depuis les paramètres de Meta. La connexion à Facebook n’est pas encore disponible.

Pulse n’accède qu’aux données et fonctionnalités rendues accessibles par les autorisations nécessaires au service demandé.

Le Client peut également gérer ou retirer certaines autorisations depuis les paramètres des plateformes concernées.

L’utilisation par Google ou Meta des données qu’ils traitent pour leurs propres finalités relève de leurs politiques respectives.

11. E-mails de compte

Pulse utilise Brevo pour l’envoi de ses e-mails de compte : à ce jour, l’e-mail de confirmation d’adresse et l’e-mail de réinitialisation du mot de passe. Aucun e-mail commercial n’est envoyé.

Brevo mesure les ouvertures et les clics sur ces e-mails de façon anonyme : ces mesures ne sont pas rattachées au destinataire. Les liens contenus dans ces e-mails transitent par Brevo avant d’ouvrir la page de Pulse.

Ces messages sont nécessaires au fonctionnement du service et ne constituent pas, en eux-mêmes, une inscription à une newsletter commerciale.

12. Cookies et traceurs

Les cookies strictement nécessaires au fonctionnement de Pulse peuvent être utilisés notamment pour l’authentification, la sécurité et le maintien de la session.

Si Pulse utilise ultérieurement des traceurs soumis au consentement, notamment pour certaines mesures d’audience ou finalités publicitaires, l’utilisateur en sera informé et un mécanisme de recueil du consentement sera mis en place lorsque la réglementation l’exige.

À ce jour, Pulse utilise un seul cookie, strictement nécessaire : le cookie de session de connexion, déposé à la connexion, valable au plus 400 jours et supprimé à la déconnexion. Pulse n’utilise aucun outil de mesure d’audience ni aucun traceur publicitaire, et ses polices de caractères sont servies depuis son propre domaine.

13. Droits des personnes

Selon la réglementation applicable et la situation, les personnes disposent notamment :

• d’un droit d’accès à leurs données ;
• d’un droit de rectification ;
• d’un droit à l’effacement ;
• d’un droit à la limitation du traitement ;
• d’un droit d’opposition lorsque le traitement repose sur l’intérêt légitime ;
• d’un droit à la portabilité lorsque les conditions légales sont réunies ;
• du droit de retirer un consentement lorsque le traitement repose sur celui-ci.

Ces droits peuvent être exercés en écrivant à :

pulse@mercier-conseil.fr

La suppression du compte peut aussi être demandée directement dans Pulse, onglet Entreprise, rubrique « Mon compte ». Elle suit les modalités décrites à l’article 8.

Une preuve d’identité pourra être demandée uniquement lorsque cela est nécessaire pour vérifier l’identité du demandeur.

La personne concernée dispose également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).

14. Données de tiers présentes dans les comptes professionnels

Le Client peut permettre à Pulse de traiter des informations concernant des tiers, notamment des auteurs d’avis ou personnes interagissant avec ses comptes professionnels.

Lorsque le Client détermine les finalités et moyens de ces traitements, il lui appartient de disposer d’une base légale appropriée et de respecter ses propres obligations d’information.

Mercier Conseil traite alors ces données conformément aux instructions documentées du Client et à l’Annexe relative au traitement des données.

15. Modification de la politique

Cette politique peut être mise à jour pour tenir compte de l’évolution de Pulse, de ses prestataires ou de la réglementation.

La date de la dernière mise à jour figure en haut du document.

16. Contact

Pour toute question relative aux données personnelles :

Mercier Conseil — Pulse
105B Avenue Thomas Decaroli
06700 Saint-Laurent-du-Var
France

pulse@mercier-conseil.fr