Informations juridiques
Politique de confidentialité
Dernière mise à jour : 29 octobre 2026
Cette traduction est fournie pour votre commodité. Seule la version anglaise fait foi et prévaut en cas de divergence ou de différence de sens. Lire la version anglaise.
Lorsque la présente politique mentionne « New Map », « nous » ou « notre », elle désigne l’équipe qui exploite New Map. Elle explique quelles données personnelles New Map traite lorsque vous consultez notre site, réservez un appel, utilisez la plateforme ou figurez dans les sources publiques que nous analysons, pourquoi nous les traitons, sur quelle base juridique, qui les reçoit, combien de temps nous les conservons et quels sont vos droits. Elle est rédigée conformément aux articles 13 et 14 du Règlement général sur la protection des données (RGPD), à la loi fédérale allemande sur la protection des données (BDSG) et au § 25 de la loi allemande sur la protection des données dans les télécommunications et les services numériques (TDDDG).
1. Responsable du traitement
Le responsable du traitement (Verantwortlicher) pour ce site et pour les traitements propres à l’activité de New Map est :
New Map
Contact : privacy@thenewmap.ai
2. Ce que nous traitons, pourquoi et sur quelle base juridique
| Situation | Données | Finalité | Base juridique |
|---|---|---|---|
| Consultation du site | Adresse IP, date et heure, page demandée, page de provenance (referrer), navigateur et système d’exploitation (journaux du serveur chez notre hébergeur) | Mise à disposition du site, sécurité, prévention des abus, diagnostic des pannes | Art. 6, paragraphe 1, point f), du RGPD : notre intérêt légitime à disposer d’un site sécurisé et fonctionnel |
| Connexion et formulaire de contact, lorsque la vérification anti-robot est activée | Adresse IP, signaux du navigateur et résultat de la vérification, traités par Cloudflare Turnstile sur les formulaires de connexion et de contact | Distinguer un humain d’un robot afin de permettre l’envoi du formulaire | Art. 6, paragraphe 1, point f), du RGPD : notre intérêt légitime à prévenir les abus |
| Réservation d’un appel | Nom, adresse e-mail, entreprise, notes que vous saisissez, horaire du rendez-vous (collectés par Calendly sur ses propres pages) | Organiser et tenir l’appel, donner suite à votre demande | Art. 6, paragraphe 1, point b), du RGPD : mesures précontractuelles prises à votre demande |
| Formulaire de contact et e-mail | Nom, adresse e-mail, entreprise, contenu de votre message ; réponse de l’agent commercial IA | Vous répondre | Art. 6, paragraphe 1, point b) ou f), du RGPD |
| Rapport gratuit (proposé jusqu’au 20 octobre 2026 ; les rapports déjà établis sont conservés pendant la durée indiquée ci-dessous) | Votre site, votre adresse e-mail professionnelle, l’entreprise, le secteur et les concurrents détectés à partir du site, ainsi que les réponses des moteurs d’IA sur la marque | Produire et envoyer le rapport que vous avez demandé | Art. 6, paragraphe 1, point b), du RGPD : mesures précontractuelles prises à votre demande |
| Création et utilisation d’un compte | Nom, adresse e-mail professionnelle, entreprise, fonction, mot de passe haché, données de session, actions que vous effectuez sur la plateforme | Fournir la plateforme à laquelle vous êtes abonné, sécuriser votre compte | Art. 6, paragraphe 1, point b), du RGPD : exécution du contrat |
| Intégration des informations sur la marque | Documents, présentations, liens, dépôts de code et contrats que vous téléversez ou collez, qui peuvent contenir les noms de membres de votre équipe, de partenaires ou de clients | Apprendre aux agents ce qu’est votre marque, afin que les recommandations et les brouillons soient exacts | Art. 6, paragraphe 1, point b), du RGPD ; vous confirmez être autorisé à partager ce que vous téléversez |
| Échanges avec le chargé de compte | Messages que vous échangez avec le chargé de compte IA et fichiers que vous y joignez | Vous répondre en assurant la continuité d’une session à l’autre ; produire le plan d’action et les livrables que vous demandez | Art. 6, paragraphe 1, point b), du RGPD |
| Mesure de la visibilité IA | Réponses des moteurs d’IA aux questions que nous suivons pour votre marque, sources qu’ils citent, marques et personnes qu’ils mentionnent, évaluation de la tonalité de ces passages | Mesurer et améliorer la présence de votre marque dans les réponses de l’IA | Art. 6, paragraphe 1, point b), du RGPD à votre égard ; art. 6, paragraphe 1, point f), du RGPD à l’égard des tiers mentionnés dans des réponses publiques (voir la section 4) |
| Connexion de Google Analytics | Identité de votre compte Google pour l’autorisation et rapports de trafic agrégés pour la propriété que vous choisissez ; les jetons d’actualisation sont stockés sous forme chiffrée | Vous montrer le trafic que les moteurs d’IA envoient vers votre site | Art. 6, paragraphe 1, point b), du RGPD ; vous pouvez déconnecter Google Analytics à tout moment, ce qui supprime le jeton |
| E-mails de service | Adresse e-mail, contenu des rapports | Rapports hebdomadaires, notifications de livrables, avis de sécurité | Art. 6, paragraphe 1, point b), du RGPD |
| Notifications opérationnelles internes | Nom de l’entreprise et type d’événement (par exemple un nouveau compte ou une tâche), envoyés au personnel de New Map sur Telegram ; aucun contenu de message ni aucune donnée d’utilisateur final | Faire fonctionner le service et réagir aux événements à temps | Art. 6, paragraphe 1, point f), du RGPD : notre intérêt légitime à exploiter le service |
| Amélioration du service | Statistiques d’utilisation et de mesure agrégées et dépersonnalisées | Améliorer les méthodes de travail des agents et publier des données de référence ; jamais utilisées pour vous identifier ni pour entraîner un modèle tiers | Art. 6, paragraphe 1, point f), du RGPD : notre intérêt légitime à améliorer le service |
| Prospection auprès des clients existants | Adresse e-mail | Informations sur nos services similaires ; vous pouvez vous y opposer à tout moment depuis chaque e-mail ou en nous écrivant | Art. 6, paragraphe 1, point f), du RGPD et § 7(3) UWG |
| Prospection commerciale | Coordonnées professionnelles de personnes travaillant dans des entreprises qui, selon nous, pourraient tirer profit du service, issues de sources publiques et de bases de données professionnelles | Prospection B2B proportionnée | Art. 6, paragraphe 1, point f), du RGPD, mis en balance avec vos intérêts ; nous donnons suite immédiatement à toute opposition (section 4) |
Nous ne traitons pas sciemment de catégories particulières de données personnelles (article 9 du RGPD) et vous demandons de ne pas nous en transmettre. Nous n’utilisons pas vos données pour des décisions automatisées produisant des effets juridiques ou des effets similaires significatifs (article 22 du RGPD).
3. Systèmes d’IA et contenus générés
Le chargé de compte de la plateforme, l’agent commercial de la page de contact et les agents qui rédigent les livrables sont des systèmes d’IA fondés sur de grands modèles de langage. L’interface vous en informe, conformément à l’article 50 du règlement européen sur l’IA (AI Act). Leurs productions sont générées et peuvent être erronées : la plateforme signale les brouillons comme générés par l’IA et vérifiés au regard de vos données, et c’est vous qui décidez de ce qui est publié. Les requêtes et contenus que nous transmettons aux fournisseurs d’IA sont traités selon leurs conditions d’API professionnelles. Anthropic, OpenAI, Perplexity et xAI n’utilisent pas les entrées ni les sorties de l’API pour entraîner leurs modèles, et Google applique à l’API Gemini, pour les développeurs établis dans l’EEE, les conditions relatives aux données de sa formule payante, en vertu desquelles les requêtes et les réponses ne servent pas à améliorer les produits de Google. Nous n’autorisons aucun fournisseur à entraîner un modèle public sur vos données. Les données identifiables de chaque client servent uniquement à ce client. Nous pouvons tirer de l’utilisation du service et des données de mesure des statistiques agrégées et dépersonnalisées afin d’améliorer les méthodes de travail des agents et de publier des données de référence. Ces statistiques ne permettent jamais de vous identifier, ni d’identifier vos utilisateurs ou vos clients ; elles ne sont jamais vendues et ne servent jamais à entraîner un modèle d’IA tiers.
4. Données concernant des personnes auprès desquelles nous ne les avons pas collectées (article 14 du RGPD)
Deux types de traitements concernent des personnes qui ne sont pas nos utilisateurs. D’une part, les moteurs d’IA mentionnent des personnes dans des réponses publiques sur une catégorie ou une marque, par exemple des fondateurs ou des analystes, et la tonalité de ces passages est évaluée ; nous conservons ces données dans le cadre de la mesure effectuée pour un client, à partir des réponses publiques des moteurs ainsi que de pages web, registres et dépôts publics. D’autre part, pour la prospection commerciale, nous conservons des coordonnées professionnelles issues de sources publiques et de bases de données de contacts professionnels. Dans les deux cas, la base juridique est notre intérêt légitime ou celui de notre client (article 6, paragraphe 1, point f), du RGPD), les données se limitent à ce qui est public ou professionnel, et elles ne servent pas à un profilage produisant des effets juridiques. Si vous êtes concerné, vous pouvez vous y opposer à tout moment à l’adresse privacy@thenewmap.ai et nous cesserons le traitement, sauf motifs légitimes impérieux contraires.
5. Destinataires et sous-traitants
Nous faisons appel aux prestataires suivants pour faire fonctionner le service. Chacun est lié par un contrat de sous-traitance au sens de l’article 28 du RGPD ou, lorsque c’est indiqué, reçoit les données en tant que responsable du traitement indépendant. Cette même liste constitue l’annexe 3 de notre Accord de traitement des données (DPA). La base de données clients et l’authentification sont hébergées par Supabase sur AWS en Irlande (UE) : les données des clients sont donc stockées dans l’UE. Les fonctions Vercel et les fournisseurs d’IA fonctionnent hors de l’UE : le traitement n’a donc pas lieu exclusivement dans l’UE. « DPF » désigne le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) ; « non vérifié » signifie que nous n’avons pas encore contrôlé la certification actuelle du prestataire et que nous nous appuyons sur les clauses contractuelles types tant que ce contrôle n’a pas été fait.
| Prestataire | Service | Rôle | Localisation | Garantie applicable au transfert |
|---|---|---|---|---|
| Vercel Inc. | Hébergement, fonctions serverless, journaux | Sous-traitant | États-Unis | DPF (inscrit sous le nom Vercel Inc., actif pour l’UE, la Suisse et le Royaume-Uni, données RH et non RH) ; clauses contractuelles types à titre subsidiaire |
| Supabase Pte. Ltd (entité contractante) et Supabase Inc. | Base de données, authentification (y compris l’authentification à deux facteurs), stockage de fichiers, sauvegardes | Sous-traitant | Société singapourienne disposant d’une filiale aux États-Unis ; base de données et authentification hébergées sur AWS en Irlande (UE) | Données stockées dans l’UE ; non certifié DPF (absent de la liste) ; clauses contractuelles types de l’UE (décision 2021/914) avec avenants pour le Royaume-Uni et la Suisse, prévues dans le DPA de Supabase, pour tout accès depuis l’extérieur de l’UE |
| Anthropic, PBC (entité contractante pour l’EEE : Anthropic Ireland, Limited) | Modèles de langage pour le chargé de compte, les agents, le vérificateur, l’analyse des PDF et l’extraction comptable | Sous-traitant | États-Unis (contrat conclu avec l’entité irlandaise pour les clients de l’EEE) | Non certifié DPF (absent de la liste) ; clauses contractuelles types, module deux ou trois, dans le DPA d’Anthropic ; conditions commerciales : Anthropic ne peut pas entraîner de modèles sur le Contenu Client |
| LLM Pulse SL | Collecte hebdomadaire des réponses et des citations des moteurs d’IA | Sous-traitant | Espagne (UE) | Aucune garantie requise |
| OpenAI OpCo, LLC (entité contractante pour l’EEE : OpenAI Ireland Ltd) | Réponses de ChatGPT pour les audits et notre propre mesure (Responses API avec recherche web) | Sous-traitant | États-Unis (contrat conclu avec l’entité irlandaise pour les clients de l’EEE) | Non certifié DPF (absent de la liste) ; clauses contractuelles types ou décision d’adéquation de l’UE pour les transferts hors de l’EEE, en vertu du DPA d’OpenAI ; Services Agreement : OpenAI n’utilise pas le Contenu Client pour développer ou améliorer les Services sans l’accord du client |
| Perplexity AI, Inc. | Réponses de Perplexity pour les audits et notre propre mesure | Sous-traitant | États-Unis | DPF (inscrit sous le nom Perplexity AI pour l’UE et le Royaume-Uni, données RH et non RH, sur la liste officielle au 13 octobre 2026) ; clauses contractuelles types de l’UE, module deux, dans le DPA de Perplexity ; conditions de l’API : le Contenu Client n’est pas utilisé pour entraîner, réentraîner ou affiner des modèles |
| Google LLC (Google Ireland Ltd. pour Google Analytics ; Google Cloud EMEA Ltd. pour les contrats payants de l’API Gemini dans la zone EMEA) | Réponses de l’API Gemini pour les audits ; autorisation et rapports Google Analytics lorsque le client les connecte | Sous-traitant | États-Unis / Irlande | DPF (inscrit sous le nom Google LLC, actif pour l’UE, la Suisse et le Royaume-Uni, données RH et non RH ; couvre Google LLC et ses filiales américaines détenues à 100 %) ; clauses contractuelles types ; conditions de l’API Gemini : pour les Services payants, Google n’utilise pas les requêtes ni les réponses pour améliorer ses produits et, pour les développeurs établis dans l’EEE, en Suisse ou au Royaume-Uni, ces conditions relatives aux données de la formule payante s’appliquent à toute utilisation, y compris le quota gratuit |
| SpaceXAI LLC, exerçant sous le nom SpaceXSI (l’API xAI, anciennement xAI Corp.) | Réponses de Grok pour notre propre mesure | Sous-traitant | États-Unis | Non certifié DPF (absent de la liste) ; clauses contractuelles types de l’UE, module deux ou trois, avec l’avenant pour le Royaume-Uni (UK Addendum), dans le DPA de SpaceXSI ; conditions applicables aux entreprises : aucun Contenu Utilisateur n’est utilisé pour entraîner des modèles et le Contenu Utilisateur est supprimé sous 30 jours ; le DPA impose que les données à caractère personnel ne soient transmises que par l’API Zero Data Retention |
| Serper (serper.dev) | Résultats de recherche Google pour les recherches et l’ancrage factuel des agents | Sous-traitant | Voir la politique de confidentialité du prestataire | Clauses contractuelles types (selon la politique de confidentialité de Serper, les transferts depuis l’EEE reposent sur une décision d’adéquation ou sur les clauses contractuelles types) |
| Resend (Plus Five Five, Inc.) | E-mails transactionnels et envoi des rapports | Sous-traitant | États-Unis (traitement principal aux États-Unis) | DPF (inscrit sous le nom Resend, dénomination légale Plus Five Five ; actif pour l’UE et le Royaume-Uni, données non RH uniquement ; renouvellement de certification en cours d’examen) ; clauses contractuelles types de l’UE dans le DPA de Resend |
| Upstash, Inc. | Limitation du débit des requêtes, mise en cache | Sous-traitant | États-Unis ; région Redis choisie pour chaque base de données | DPF (inscrit sous le nom Upstash, Inc., actif pour l’UE, la Suisse et le Royaume-Uni, données RH et non RH) ; DPA avec clauses contractuelles types disponible |
| Cloudflare, Inc. | Vérification anti-robots Turnstile sur les formulaires de connexion, d’inscription et de contact (lorsqu’elle est activée) | Sous-traitant | États-Unis (centres de données aux États-Unis et en Europe) | DPF (inscrit sous le nom Cloudflare, Inc., actif pour l’UE, la Suisse et le Royaume-Uni, données RH et non RH ; renouvellement de certification en cours d’examen) ; clauses contractuelles types à titre subsidiaire dans le DPA de Cloudflare |
| Telegram Messenger Inc. (responsable du traitement) et Telegram FZ-LLC | Notifications internes à l’équipe New Map (nom de l’entreprise, événements liés aux comptes et aux tâches, aucun contenu d’utilisateur final) | Sous-traitant | Îles Vierges britanniques et Dubaï (Émirats arabes unis) ; les données des utilisateurs inscrits depuis l’EEE sont stockées aux Pays-Bas | Non certifié DPF (absent de la liste) ; la politique de confidentialité de Telegram s’appuie sur des clauses contractuelles types entre les sociétés de son groupe ; données limitées aux noms d’entreprise et aux types d’événements |
| Calendly LLC | Réservation d’appels sur les pages de Calendly | Responsable du traitement indépendant | États-Unis | DPF (inscrit sous le nom Calendly LLC, actif pour l’UE, la Suisse et le Royaume-Uni, données non RH uniquement ; renouvellement de certification en cours d’examen) ; clauses contractuelles types et avenant pour le Royaume-Uni (UK Addendum) dans la notice d’information de Calendly |
| Animoca Brands, plateforme Minds | Rédaction des réponses du chargé de compte, lorsque la fonction est activée | Sous-traitant | Hong Kong | Clauses contractuelles types |
| Hunter.io | Recherche de contacts professionnels pour la prospection propre à New Map ; jamais utilisé pour les données des clients | Sous-traitant uniquement pour les données propres à New Map | France (UE) | Aucune garantie requise |
Nous consultons également des sources publiques sans leur transmettre vos données : les interfaces grand public des moteurs d’IA (via notre prestataire de mesure), votre site web public, les dépôts GitHub publics, les vérificateurs de contrats tels que Sourcify et les registres tels que Wikidata, CoinGecko et DefiLlama. Nous ne communiquons de données personnelles aux autorités que lorsque la loi l’exige. Nous ne vendons pas de données personnelles.
6. Transferts internationaux
Les données de votre compte, de votre marque, de mesure et de conversation sont stockées dans l’UE (section 5). Plusieurs prestataires qui les traitent sont situés aux États-Unis ou ailleurs hors de l’Espace économique européen. Les transferts vers les États-Unis reposent sur le cadre de protection des données UE-États-Unis lorsque le prestataire est certifié (vérification effectuée sur la liste officielle le 13 octobre 2026 : Vercel, Google, Perplexity, Resend, Cloudflare, Upstash et Calendly ; le tableau de la section 5 précise la garantie applicable à chaque prestataire) et, pour les prestataires non certifiés (Anthropic, OpenAI, xAI, Supabase), sur les clauses contractuelles types de la Commission européenne (décision 2021/914), accompagnées d’une analyse d’impact des transferts et de mesures complémentaires telles que le chiffrement en transit et au repos. Les transferts vers d’autres pays tiers reposent sur les clauses contractuelles types. Vous pouvez obtenir une copie des garanties applicables en écrivant à privacy@thenewmap.ai.
7. Durées de conservation
- Journaux du serveur : 30 jours, sauf s’ils sont nécessaires plus longtemps pour enquêter sur un incident de sécurité.
- Réservations d’appel, messages de contact et rapports gratuits : 12 mois après notre dernier échange, sauf si un contrat est conclu.
- Données de compte, de marque, de mesure et de conversation : pendant toute la durée de l’abonnement et 30 jours après sa résiliation, puis elles sont supprimées ou anonymisées ; vous pouvez demander leur suppression anticipée.
- Connexion à Google Analytics : jusqu’à ce que vous déconnectiez Google Analytics ou que votre compte prenne fin ; le jeton est alors supprimé immédiatement.
- Factures et pièces comptables : 10 ans en application du § 147 AO et du § 257 HGB ; correspondance commerciale : 6 ans.
- Contacts de prospection : 12 mois sans réponse, ou jusqu’à votre opposition.
- Sauvegardes : les sauvegardes chiffrées de la base de données sont renouvelées dans un délai de 30 jours.
8. Vos droits
Vous disposez d’un droit d’accès à vos données personnelles (article 15 du RGPD), d’un droit de rectification (article 16), d’effacement (article 17), de limitation du traitement (article 18), d’un droit à la portabilité des données (article 20) et du droit de vous opposer à tout moment aux traitements fondés sur l’intérêt légitime, y compris à la prospection directe (article 21). Lorsque le traitement repose sur votre consentement, vous pouvez le retirer avec effet pour l’avenir. Écrivez à privacy@thenewmap.ai ; nous répondons dans un délai d’un mois. Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment l’autorité compétente à notre égard, Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, Germany (datenschutz-berlin.de), ou l’autorité de votre lieu de résidence. La liste des autorités allemandes est publiée par le Commissaire fédéral sur bfdi.bund.de.
9. Cookies et stockage local
Nous enregistrons ce qui est strictement nécessaire au fonctionnement du service (un cookie de session sécurisé, les cookies du fournisseur d’authentification et, lorsque la vérification anti-robot est activée, le cookie de courte durée de Cloudflare Turnstile sur les formulaires de connexion et de contact) ainsi que deux préférences fonctionnelles dans le stockage local de votre navigateur (le thème et votre choix en matière de cookies). Si vous choisissez une langue à l’aide du sélecteur de langue, nous déposons également un cookie interne essentiel, nm_lang, qui conserve cette langue pendant un an afin que le site s’ouvre dans celle-ci. En vertu du § 25(2) TDDDG, ces éléments ne nécessitent pas de consentement. Uniquement si vous l’acceptez, nous déposons en outre un cookie interne, nm_src, pour une durée de 90 jours : il enregistre le lien ou la campagne qui vous a amené sur le site (les paramètres utm, le nom du site référent et la première page que vous avez ouverte) et, si vous réservez ensuite un appel ou devenez client, cette source est enregistrée avec votre compte afin que nous sachions quels canaux fonctionnent (art. 6, paragraphe 1, point a), du RGPD, sur la base de votre consentement, que vous pouvez retirer à tout moment sur la page Politique relative aux cookies). Nous n’utilisons aucun cookie de mesure d’audience, de publicité ou de suivi intersites. Vous trouverez le détail dans la Politique relative aux cookies.
10. Sécurité
Chiffrement des communications (TLS) partout ; mots de passe conservés uniquement sous forme d’empreintes salées par notre fournisseur d’authentification ; authentification à deux facteurs obligatoire pour chaque connexion du personnel de New Map et proposée à chaque client ; jetons d’intégration chiffrés au repos en AES-256-GCM ; sécurité au niveau des lignes dans la base de données, de sorte que les données de chaque client sont isolées ; accès de notre personnel fondé sur les rôles, selon le principe du besoin d’en connaître ; limitation du débit des requêtes et surveillance ; sauvegardes chiffrées. Nous notifierons toute violation de données à caractère personnel à l’autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance lorsque l’article 33 du RGPD l’exige, et en informerons les personnes concernées lorsque l’article 34 l’exige. Nos mesures actuelles sont décrites sur la page Sécurité.
11. Usage professionnel et mineurs
Le service est destiné aux entreprises et à leur personnel. Il ne s’adresse ni aux consommateurs ni aux personnes de moins de 18 ans, et nous ne collectons pas sciemment de données concernant des mineurs.
12. Modifications
Nous mettons à jour la présente politique lorsque nos traitements ou la loi évoluent. Les modifications importantes sont annoncées avant leur entrée en vigueur, par e-mail aux titulaires de compte ou sur la plateforme. La date figurant en haut de la page correspond à la version en vigueur.
13. Contact
Par e-mail à privacy@thenewmap.ai.