Sécurité et données

Dernière mise à jour : 5 novembre 2026

Cette page s'adresse à la personne qui doit valider Goppa dans une agence ou une entreprise : où le service fonctionne, où se trouvent vos données, qui les traite, combien de temps nous les conservons et comment les supprimer. Elle ne dit que ce qui est vrai aujourd'hui, et elle dit ce que nous n'avons pas. Les conditions juridiques se trouvent dans la Politique de confidentialité.

1. Où le service fonctionne et où vivent les données

L'application fonctionne comme une fonction serverless sur Vercel, dans la région de São Paulo (gru1).
La base de données et la connexion fonctionnent sur Supabase, à São Paulo, au Brésil (région AWS sa-east-1). C'est en dehors de l'Espace économique européen.
Le trafic entre votre navigateur, le plugin et Goppa passe par HTTPS.

2. Ce que nous conservons et pendant combien de temps

La liste complète figure à la section 3 de la Politique de confidentialité. L'essentiel :

Donnée	Conservation
Adresse e-mail et identifiant du compte	Jusqu'à la suppression du compte
Sites que vous ajoutez, leurs rapports et mesures de visibilité dans l'IA	Jusqu'à leur suppression ou celle du compte ; les rapports de l'offre gratuite peuvent expirer plus tôt
Activité des agents signalée par le plugin WordPress	Jusqu'à la suppression du site ou du compte
Vérification gratuite sur le site web : le site, votre adresse e-mail et le résultat	12 mois, ou jusqu'à ce que vous nous demandiez de les supprimer. Un compte que nous avons créé pour vous et auquel vous ne vous connectez jamais, sans jamais payer, est supprimé après 30 jours
Contacts du widget d'audit d'une agence	Jusqu'à ce que l'agence supprime le contact ou son compte. L'agence est le responsable du traitement de ces données ; nous les traitons pour son compte
Demandes de rendez-vous téléphonique, de rapport de ville ou de mise en relation avec une agence	12 mois
Appels de votre assistant IA vers votre compte (compte, assistant, outil, durée et résultat ; jamais votre conversation, les arguments ni vos jetons)	180 jours
Données de facturation	Chez Paddle, comme celle-ci et la loi fiscale l'exigent. Nous ne voyons ni ne stockons jamais les numéros de carte

3. Qui traite les données

Voici les services que nos serveurs appellent. Nous n'envoyons à chacun que ce dont la tâche a besoin, et nous ne vendons pas de données.

Service	Ce qu'il fait pour Goppa
Vercel	Exécute l'application et compte les pages vues de façon agrégée, sans cookie et sans identifier personne
Supabase	La base de données et la connexion
Paddle	Paiements des abonnements et conformité fiscale. Paddle est le merchant of record et le vendeur figurant sur votre facture
Resend	Envoie nos e-mails : résultats de vérification, liens de connexion et rapports. Il reçoit l'adresse du destinataire et le contenu de l'e-mail
OpenAI	Répond aux questions d'achat que nous posons à ChatGPT pour la mesure de visibilité et rédige du texte pour vous (corrections SEO, guides de catégorie, réponses à vos messages). Il reçoit la question, votre domaine et les champs publics de la page dont parle le texte, jamais de données clients
DataForSEO	Collecte les réponses de ChatGPT, de Google AI Overview, de Google AI Mode, de Gemini et de Perplexity pour la mesure et, sur les offres avec SEO, vos positions dans Google, la recherche de mots-clés, les concurrents et les liens. Il reçoit votre domaine, votre pays et les questions ou mots-clés, jamais de données clients
Meta (WhatsApp Business Platform)	Transporte les messages WhatsApp entre une personne et nous, uniquement lorsque cette personne nous répond sur WhatsApp
Microsoft Clarity	Enregistre les clics et le défilement sur notre site, avec ce que vous saisissez masqué. Seulement si vous l'acceptez dans notre avis

Trois autres services ne démarrent que lorsque vous les connectez vous-même : Google Search Console (lecture seule), Bing Webmaster Tools et Cloudflare. Un assistant IA que vous connectez (par exemple ChatGPT ou Claude) n'est pas notre sous-traitant : il traite ce que vous lui demandez dans le cadre de votre propre accord avec son fournisseur.

4. Comment les secrets sont stockés

Identifiants que vous nous confiez : l'accès à Google Search Console, la clé Bing et le jeton d'API Cloudflare sont stockés chiffrés. La clé qui les ouvre se trouve dans l'environnement du serveur, pas dans la base de données. Si cette clé manque, nous n'enregistrons pas l'identifiant du tout plutôt que de l'enregistrer en clair.
Jetons que nous émettons : les jetons d'accès de vos assistants IA, les clés de rapport et les clés d'installation d'une agence sont aléatoires et stockés uniquement sous forme de hash ; nous ne pouvons donc pas les relire. Une clé n'est affichée qu'une fois, à sa création.
La connexion d'un site WordPress utilise un code à usage unique valable 10 minutes. Le jeton du site ne circule jamais dans une adresse web.
La connexion est gérée par Supabase Auth.
Cette page décrit comment les secrets sont stockés et n'en contient jamais.

5. Comment supprimer un site ou votre compte

Un site : dans Goppa, allez dans Paramètres et utilisez Remove site, puis saisissez le domaine du site pour confirmer. Cela supprime le site avec ses analyses, ses données SEO, ses données de plugin et ses identifiants stockés, et déconnecte Search Console chez Google lorsqu'aucun autre de vos sites ne l'utilise. Les mesures IA de ce site restent dans votre compte, où elles comptent dans les mesures de votre offre, et leurs liens de rapport publics cessent de fonctionner.
Votre compte : dans Paramètres, utilisez Delete account et saisissez votre adresse e-mail. Cela supprime vos sites, rapports, mesures, activité des agents, données SEO Google, applications IA connectées et votre connexion. Votre historique de facturation reste chez Paddle, comme l'exige la loi fiscale. Si vous avez une offre payante, résiliez-la d'abord ; si d'autres personnes partagent le compte, écrivez à privacy@trygoppa.com et nous le fermerons.
Pour tout le reste, comme les données de la vérification gratuite, écrivez à privacy@trygoppa.com. Nous répondons sous 30 jours.

6. À quoi vos assistants IA peuvent accéder

Vous pouvez connecter votre compte Goppa à un assistant IA compatible MCP. C'est facultatif, et cela ne démarre que lorsque vous vous connectez à Goppa depuis l'assistant et approuvez l'accès. Comment ça marche.

L'accès s'appelle goppa.read et ne couvre que les données Goppa de votre propre organisation. Il ne peut atteindre aucun autre compte.
L'assistant peut lire votre offre, vos sites, mesures de visibilité IA, vérifications de site, données SEO Google et prochaines étapes.
Quatre actions enregistrent quelque chose dans votre compte Goppa : lancer une vérification de site, ajouter un site dans les limites de votre offre, démarrer une mesure IA après que vous avez accepté ses questions, et enregistrer quelles corrections SEO approuvées ont été appliquées. La connexion ne modifie jamais votre site web.
Il ne peut pas modifier vos paramètres, approuver des corrections, supprimer quoi que ce soit ni atteindre une autre partie de Goppa.
L'accès dure une heure et se renouvelle jusqu'à 60 jours tant qu'il est utilisé. Vous pouvez vous déconnecter à tout moment dans Paramètres, sous Connected AI apps, et les jetons cessent de fonctionner immédiatement.

7. Ce que nous n'avons pas

Nous n'avons ni rapport SOC 2 ni certificat ISO 27001, et nous ne proposons pas d'authentification unique (SSO).

Pour signaler un problème de sécurité, écrivez à contact@trygoppa.com avec l'adresse et les étapes pour le reproduire. Notre security.txt indique le même contact. Nous n'avons pas de programme de bug bounty rémunéré. Pour toute question sur vos données, écrivez à privacy@trygoppa.com.

← Goppa · Politique de confidentialité · Conditions d'utilisation · Politique de remboursement