1. Responsable du traitement
Le responsable du traitement est la société qui édite Lokario : MAMMATCHA (nom commercial : 99M), 2 chemin des Fades, 33133 Galgon, France. Pour toute question sur vos données, vous pouvez écrire à contact@lokar.io.
Nous n’avons pas désigné de délégué à la protection des données : au regard de nos activités, cette désignation n’est pas obligatoire (article 37 du RGPD). Vos demandes sont traitées directement par le gérant de la société.
Lorsque vous nous confiez les coordonnées de vos propres clients, pour leur demander un avis, c’est vous qui êtes responsable de ce traitement ; nous agissons pour votre compte, comme sous-traitant, dans les conditions prévues par nos conditions générales de vente.
2. Données lues chez Google
Vous vous connectez avec votre compte Google, par le protocole OAuth : nous ne voyons jamais votre mot de passe. Google vous indique les autorisations demandées avant que vous les accordiez. Avec votre accord, nous lisons :
- votre nom, votre adresse électronique et votre photo de profil Google, pour créer votre compte ;
- les informations des fiches que vous gérez : nom, adresse, catégories, services, attributs, description, horaires et photos ;
- les avis reçus sur ces fiches, avec le nom public de leurs auteurs, et les réponses publiées ;
- les statistiques de vos fiches : appels, demandes d’itinéraire, visites du site.
Nous n’écrivons chez Google que les corrections, réponses et publications que vous avez validées, ou que vous avez autorisées en activant une option automatique. L’accès qui nous est accordé est conservé sous forme de jetons chiffrés.
L’utilisation et le transfert à toute autre application des informations reçues des interfaces de Google respectent la politique de Google relative aux données utilisateur des services d’API, y compris ses exigences d’utilisation limitée. Ces données ne sont jamais vendues. Le contenu de vos fiches, vos avis et leurs statistiques ne servent à aucune fin publicitaire ; seule l’adresse électronique de votre compte peut, sous une forme hachée, servir à mesurer l’efficacité de nos propres annonces, dans les conditions décrites à la section 10.
Vous pouvez retirer notre accès à tout moment depuis les paramètres de sécurité de votre compte Google, sans passer par nous.
3. Autres données traitées
- Audit gratuit. Les informations publiques de la fiche que vous faites vérifier et sa position sur Google Maps. Aucun compte ni aucune coordonnée ne vous est demandé ; votre adresse IP sert uniquement à limiter le nombre de vérifications. Le rapport est accessible par un lien, et toute personne concernée par la fiche peut s’opposer à son affichage depuis ce lien.
- Entreprise et facturation. Raison sociale, numéro SIRET, statut au regard de la TVA, adresse de facturation, formule souscrite, échéances et factures. Votre numéro de carte est traité par notre prestataire de paiement, jamais par nos serveurs.
- Usage du service. Historique des analyses, des modifications appliquées, des relevés de position et des envois effectués, ainsi que les préférences de votre compte.
- Coordonnées de vos clients. Lorsque vous utilisez la sollicitation d’avis par SMS, les numéros que vous saisissez et la liste des personnes qui ont refusé de recevoir ces messages.
- Échanges. Les messages envoyés depuis la page de contact (votre nom, votre e-mail, le nombre d’établissements et votre message) et les informations données pour réserver une visio. Chaque message est enregistré dans notre base au moment de l’envoi, pour qu’aucun ne se perde si l’e-mail qui nous le transmet n’aboutit pas.
- Accompagnement pour une fiche suspendue. Vos nom, e-mail et téléphone, le nom et la ville de l’établissement concerné, vos réponses sur sa situation, la formule choisie et le montant annoncé. Votre demande est enregistrée dans notre base et nous est également adressée par e-mail. Votre numéro SIRET vous est demandé au téléphone, avant l’établissement de la facture. Les pièces justificatives (Kbis, factures, photos) sont consultées avec vous, à l’écran : nous n’en gardons aucune copie. Ces informations sont conservées 12 mois après la clôture du dossier, puis effacées par nos soins.
- Provenance de votre visite. La campagne ou le site qui vous a conduit jusqu’à nous, la page d’arrivée et la date de votre première visite, ainsi que, si vous avez cliqué sur l’une de nos annonces Google, l’identifiant de ce clic. Ces informations sont gardées dans un cookie décrit à la section 10, puis rattachées, le cas échéant, à votre compte, à votre audit ou à votre demande d’accompagnement.
- Mesure d’audience. Des statistiques de fréquentation du site, sans cookie, décrites à la section 10.
- Données techniques. Sessions de connexion, adresses IP et journaux nécessaires à la sécurité du service.
4. Finalités et bases légales
| Pourquoi nous traitons vos données | Base légale |
|---|---|
| Réaliser l’audit gratuit que vous demandez | Mesures précontractuelles prises à votre demande |
| Fournir le service : analyse, propositions, écriture des corrections validées, suivi de position | Exécution du contrat |
| Vous envoyer les messages du service : bilan mensuel, alertes, échec de paiement | Exécution du contrat |
| Facturer l’abonnement et tenir notre comptabilité | Exécution du contrat et obligation légale |
| Préparer et suivre l’accompagnement d’une fiche suspendue que vous avez commandé | Mesures précontractuelles, puis exécution du contrat |
| Répondre à vos messages et organiser une visio | Intérêt légitime à vous répondre, ou mesures précontractuelles |
| Assurer la sécurité du service et prévenir les abus | Intérêt légitime |
| Mesurer l’audience du site et améliorer le service, à partir de statistiques agrégées | Intérêt légitime |
| Savoir d’où viennent nos visiteurs et nos clients, et mesurer l’efficacité de nos annonces Google (section 10) | Intérêt légitime, auquel vous pouvez vous opposer à tout moment |
| Proposer à des professionnels un relevé gratuit de leur fiche Google et les services de Lokario(section 11) | Intérêt légitime, auquel vous pouvez vous opposer à tout moment |
| Respecter les refus exprimés (désabonnement, STOP, opposition) | Obligation légale |
Vos données ne sont ni vendues, ni louées. En dehors de la mesure de nos propres annonces Google, décrite à la section 10, elles ne sont transmises à aucune régie publicitaire, et nous ne pratiquons aucun reciblage publicitaire. Elles ne servent pas à entraîner des modèles d’intelligence artificielle. Aucune décision produisant des effets juridiques à votre égard n’est prise sur le seul fondement d’un traitement automatisé : les propositions du service vous sont soumises, et c’est vous qui décidez.
5. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de l’éditeur. Elles sont transmises aux prestataires suivants, chacun pour la part strictement nécessaire à sa mission et dans le cadre d’un contrat qui l’oblige à les protéger :
- Google : Authentification, et accès à votre fiche d'établissement sur la base de l'autorisation que vous accordez et pouvez révoquer à tout moment depuis votre compte Google. Données transmises : les identifiants de votre compte Google, le contenu de votre fiche et les statistiques que Google y associe.
- Google Ads : Mesure de l'efficacité de nos annonces : Google est informé qu'une inscription, un abonnement, une demande d'accompagnement ou de création de fiche, son règlement, un QR code d'avis ou un audit a suivi un clic sur l'une de nos annonces. Données transmises : l'identifiant du clic sur l'annonce, la date de l'action et, selon le cas, son montant hors taxes, une référence de commande et votre adresse électronique sous forme hachée.
- Stripe : Traitement des paiements, facturation et gestion de l'abonnement. Données transmises : vos coordonnées de facturation, la formule souscrite et ses échéances ; les données de carte bancaire ne transitent jamais par nos serveurs.
- Resend : Acheminement des messages électroniques liés au service. Données transmises : l'adresse électronique du destinataire, l'objet et le corps du message.
- Brevo : Acheminement des SMS de sollicitation d'avis que vous déclenchez. Données transmises : le numéro de téléphone du destinataire, le nom de l'expéditeur affiché et le texte du message, rien d'autre.
- DataForSEO : Relevés de classement autour de votre adresse et mesure de la demande. Données transmises : le mot-clé mesuré, les coordonnées géographiques de la zone et le nom de l'établissement.
- Fournisseurs de modèles de langage : Rédaction assistée de descriptions, de services et de réponses aux avis ; moteurs configurables : OpenAI, Google Gemini, Anthropic. Données transmises : les éléments de la fiche concernée ; ils ne servent pas à l'entraînement des modèles.
- Vercel : Hébergement et exécution du site, de l'application et des traitements automatiques. Données transmises : l'ensemble des données traitées par le service, qui transitent par son infrastructure.
- Supabase : Stockage de la base de production. Données transmises : l'ensemble des données de votre compte et de vos fiches.
- Umami : Mesure d'audience du site, installée sur un serveur que nous administrons, sans cookie ni traceur publicitaire. Données transmises : la page consultée et la page de provenance, le type de navigateur et d'appareil, la langue, et la localisation approximative déduite de votre adresse IP, sans enregistrer cette adresse ; ainsi que certains événements comptés par notre serveur (demande envoyée, paiement, QR code créé, audit terminé), sans votre nom, votre adresse électronique ni votre adresse IP.
- OpenStreetMap (Nominatim) : Calcul des coordonnées géographiques d'un établissement, lorsque Google ne les fournit pas. Données transmises : l'adresse publique de l'établissement, rien d'autre.
- Cloudflare R2 : Stockage des fichiers et des photos destinées à la publication. Données transmises : les photos et les fichiers que vous confiez au service.
L’identité des hébergeurs figure dans les mentions légales. Nous ne communiquons vos données à une autorité que si la loi nous y oblige.
6. Transferts hors Union européenne
Certains prestataires peuvent traiter des données hors de l’Union européenne. Un tel transfert n’est possible que s’il est encadré par une garantie prévue par le RGPD : une décision d’adéquation de la Commission européenne, comme le cadre de protection des données UE–États-Unis pour les entreprises qui y adhèrent, ou les clauses contractuelles types de la Commission. Le pays et la garantie retenue sont indiqués ci-dessous pour chaque prestataire concerné, et vous pouvez nous en demander copie.
- Google, États-Unis (Google LLC, qui agit ici en responsable de traitement indépendant) : cadre de protection des données UE–États-Unis, auquel Google LLC adhère ; à défaut, clauses contractuelles types
- Google Ads, États-Unis (Google LLC), depuis Google Ireland Limited, établie en Irlande, auprès de laquelle notre compte publicitaire est ouvert : cadre de protection des données UE–États-Unis, auquel Google LLC adhère ; à défaut, clauses contractuelles types
- Stripe, États-Unis (Stripe, LLC), depuis Stripe Payments Europe, Limited, établie en Irlande : cadre de protection des données UE–États-Unis, auquel Stripe, LLC adhère ; à défaut, clauses contractuelles types
- Resend, États-Unis (Plus Five Five, Inc., qui exploite Resend) : cadre de protection des données UE–États-Unis, auquel la société adhère ; à défaut, clauses contractuelles types
- Fournisseurs de modèles de langage, États-Unis, depuis les entités européennes d’OpenAI et d’Anthropic (Irlande) et de Google (France) : clauses contractuelles types pour OpenAI et Anthropic ; cadre de protection des données UE–États-Unis pour Google, auquel Google LLC adhère
- Vercel, États-Unis (Vercel Inc.) : cadre de protection des données UE–États-Unis, auquel Vercel Inc. adhère, et clauses contractuelles types
- Supabase, Singapour (Supabase Pte. Ltd.) et États-Unis pour le support ; la base reste hébergée en Irlande : clauses contractuelles types
- Umami, États-Unis et Singapour (l’outil tourne chez Vercel, à Francfort, et sa base chez Supabase, à Paris) : les garanties de Vercel et de Supabase indiquées ci-dessus
- OpenStreetMap (Nominatim), Royaume-Uni (OpenStreetMap Foundation), qui agit en responsable de traitement indépendant : décision d’adéquation de la Commission européenne pour le Royaume-Uni, renouvelée le 19 décembre 2025
- Cloudflare R2, États-Unis (Cloudflare, Inc.) ; les fichiers sont stockés en Europe de l’Ouest : cadre de protection des données UE–États-Unis, auquel Cloudflare, Inc. adhère, et clauses contractuelles types
7. Durées de conservation
| Données | Durée de conservation |
|---|---|
| Compte, données d'entreprise, fiche d'établissement, jetons d'accès Google, historique des analyses et des relevés de position | toute la durée de la relation, puis 36 mois après la clôture du compte ou, pour un compte gratuit jamais abonné, après la dernière connexion. au terme, le compte est marqué et vous recevez un avertissement automatique ; l'effacement lui-même est déclenché par nos soins après cette relance, et non par un traitement automatique. |
| Coordonnées fournies pour la sollicitation d'avis, traces d'envoi des messages, relevés d'audit jamais réclamés, demandes envoyées par les formulaires du site (contact, accompagnement, création de fiche), mesures d'annonces faites sans compte, prestations closes | 12 mois : traces d'envoi anonymisées 12 mois après le dernier envoi (la ligne subsiste pour l'attribution agrégée et pour ne pas rouvrir une relance déjà faite) ; relevés d'audit jamais réclamés, demandes des formulaires et mesures d'annonces sans compte supprimés 12 mois après leur création ; prestations supprimées 12 mois après leur clôture, leur validation ou leur dernier mouvement (les factures restent, au titre de la comptabilité). |
| Copie des e-mails que nous vous envoyons (y compris les avis qu'ils citent), conservée pour le support | 24 mois après l'envoi. |
| Sessions, adresses IP de connexion, jetons de vérification, journal d'exécution des traitements automatiques, journal des erreurs de l'application (données personnelles masquées) | 90 jours après la fin de la session ou l'expiration du jeton ; pour les journaux, 90 jours après leur dernière écriture. |
| Factures et pièces comptables | 10 ans. |
| Refus enregistrés : désabonnement d'e-mail, STOP par SMS, opposition à l'affichage d'une fiche | sans limite de durée : un refus n'est honoré que s'il reste connu. |
Les messages reçus par la page de contact ou pour une visio sont effacés de notre base au terme indiqué plus haut, parmi les demandes envoyées par les formulaires du site ; la correspondance qui en découle est gardée le temps de suivre la relation. Une demande d’accompagnement pour une fiche suspendue ou de création de fiche n’est accessible qu’à la personne qui traite votre dossier ; elle est effacée par nos soins au terme indiqué plus haut, parmi les données traitées, et dans nos conditions de vente. Les statistiques d’audience ne permettent pas de vous identifier.
8. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et de portabilité de vos données, ainsi que du droit de vous opposer à un traitement fondé sur notre intérêt légitime. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Pour les exercer, il vous suffit d’écrire à contact@lokar.io. Nous vous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous vous prévenons alors. Nous pouvons vous demander de justifier de votre identité en cas de doute.
Depuis votre espace client, rubrique Paramètres › Vos données, vous pouvez aussi télécharger l’intégralité de vos données et supprimer définitivement votre compte.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.
9. Sécurité
Les échanges avec le site et l’application sont chiffrés. Les jetons d’accès à Google et aux autres services sont chiffrés dans notre base. L’accès aux données de production est réservé aux personnes habilitées, et chaque modification écrite sur une fiche est journalisée.
En cas de violation de données susceptible de présenter un risque pour vos droits, nous la notifions à la CNIL dans les délais prévus par le RGPD et, lorsque le risque est élevé, nous vous en informons directement.
11. Prospection auprès des professionnels
L’éditeur de Lokario contacte des professionnels qui ne sont pas encore clients, par SMS ou par e-mail, pour leur proposer gratuitement un relevé de leur fiche Google, puis les services de Lokario. Chaque message contient un lien personnel vers ce relevé.
- Données utilisées et source. Les informations publiques de la fiche Google de l’établissement : son nom, sa ville, sa catégorie d’activité et son numéro de téléphone. L’adresse électronique, lorsqu’un e-mail est envoyé, est celle que l’établissement publie sur son site internet ou sur une page accessible au public. Le relevé rappelle cette origine.
- Base légale. Notre intérêt légitime à faire connaître nos services aux professionnels (article 6.1.f du RGPD). Le message porte sur votre activité professionnelle : il peut vous être adressé sans accord préalable, à condition de vous informer et de vous permettre de refuser à tout moment.
- Envoi. Les messages partent d’un outil interne de l’éditeur, par l’intermédiaire de prestataires d’acheminement des SMS et des e-mails, qui n’agissent que pour notre compte ; un transfert hors de l’Union européenne est encadré comme indiqué à la section 6. Votre numéro et votre adresse électronique restent dans cet outil : Lokario ne les enregistre pas et ne garde que les informations publiques de la fiche et le relevé.
- Conservation. Un relevé que vous ne réclamez pas est supprimé 12 mois après sa création. Votre numéro et votre adresse électronique sont conservés au plus 3 ans après le dernier contact resté sans réponse. Votre refus est conservé aussi longtemps que nécessaire pour être respecté : l’effacer permettrait de vous recontacter.
- Vous opposer. À tout moment, sans motif et sans frais : répondez STOP au SMS, suivez le lien de désinscription de l’e-mail, utilisez le lien « Supprimer ce relevé » en bas du relevé, ou écrivez à contact@lokar.io. Votre refus met fin à toute nouvelle prospection pour Lokario. Exprimé depuis le relevé, il garde l’identifiant de la fiche, la date, l’adresse IP et le navigateur ; ces deux derniers servent seulement à distinguer un refus sincère d’un blocage par un tiers.
Vos autres droits (accès, effacement, réclamation auprès de la CNIL) s’exercent comme indiqué à la section 8.
12. Évolution de cette politique
Cette politique peut évoluer, notamment lors de l’ajout d’une fonction ou d’un changement de prestataire. La version en vigueur est celle publiée sur cette page, dont la date figure en tête. Toute modification importante vous est signalée par e-mail ou dans votre espace client.