Politique de confidentialité

Qui est responsable

Sonar est pour l’instant un service sur invitation, géré par l’équipe qui l’exploite sur usesonarnow.com, et cette équipe est responsable des données personnelles décrites ici. L’entité juridique et un contact dédié à la vie privée seront indiqués sur cette page avant que Sonar soit proposé au public. D’ici là, adressez vos demandes relatives à la vie privée par l’intermédiaire de la personne qui vous a invité ; elle peut joindre l’équipe directement.

Données de compte et d’espace de travail

Lorsque vous vous connectez, nous traitons votre adresse e-mail et le lien de connexion à usage unique que notre prestataire d’authentification y envoie. Pour les propriétaires et les opérateurs, nous traitons aussi l’enregistrement du second facteur (TOTP). Nous conservons le nom de votre espace de travail, votre appartenance et votre rôle, les entreprises et les hôtes de sites web que vous ajoutez, ainsi que le profil d’entreprise que vous renseignez, comme les marchés, les langues et les concurrents.

Données de site web et de recherche

• Résultats d’exploration : le robot d’exploration de Sonar, qui s’identifie comme SonarBot, récupère les pages publiques des sites que vous connectez et conserve les vérifications, les scores et les informations de page qu’il en tire.
• Compte Google (facultatif) : pour les sites que vous choisissez, les lignes quotidiennes de performance Search Console (requêtes, pages, clics, impressions et position moyenne), les rapports Google Analytics 4, les établissements Business Profile et les produits Merchant Center. L’accès est en lecture seule, sauf que Sonar ajoute une validation Search Console pour votre domaine quand vous le lui demandez. Les jetons d’accès sont stockés chiffrés.
• Bing AI Performance : les lignes des fichiers CSV que vous importez, avec l’identifiant de l’utilisateur qui les a importés.
• Comptage du trafic à l’edge : si vous installez l’edge worker de Sonar, il compte par jour les visites de robots d’IA connus et les renvois depuis des assistants d’IA connus, avec des chemins de page masqués. Si vous activez le comptage des conversions, il compte aussi les conversions de visiteurs arrivés depuis un assistant d’IA, en totaux quotidiens par page d’atterrissage, grâce à un jeton d’attribution ajouté à vos liens internes. Il ne conserve ni adresses IP de visiteurs, ni user agents complets, ni query strings, ni referrers complets, ni numéros de commande, et les visites qui ne viennent pas d’un robot ou d’un assistant d’IA ne laissent aucune trace.
• Extension WordPress : son journal des robots d’exploration ne conserve ni adresses IP, ni user agents complets, ni cookies. Une vérification DNS inverse facultative conserve un hachage salé de l’adresse IP pendant 24 heures, et les lignes du journal sont conservées 30 jours.
• Prospection depuis une boîte mail (facultatif) : si vous connectez une boîte Gmail ou Microsoft 365, Sonar envoie des e-mails de prospection depuis celle-ci avec une autorisation d’envoi seulement et ne peut pas la lire. Les réponses arrivent à une adresse de réponse Sonar, sont classées (par exemple une désinscription) et vous sont transférées. Pour cela, Sonar conserve les personnes contactées (noms et adresses e-mail professionnelles publiés sur des pages web publiques), les messages envoyés, une brève classification de chaque réponse (pas son texte) et une liste d’exclusion permanente.
• Connexions de publication et d’hébergement (facultatif) : l’intégration Vercel, GitHub, Shopify, Webflow et les autres fournisseurs de CMS ou de DNS que vous connectez, pour lire la configuration de votre site et appliquer les changements approuvés ; ainsi que les log drains Vercel ou Netlify, qui envoient des relevés de visites de robots. Les lignes par visite de robot, qui peuvent contenir l’adresse IP du robot, sont conservées jusqu’à 400 jours ; les totaux quotidiens sont conservés.

Les requêtes de recherche, le texte des pages et les contacts de prospection peuvent contenir des données personnelles d’autres personnes. Pour ces données, c’est vous qui décidez de ce qui est traité, et Sonar les traite pour votre compte uniquement afin de vous fournir le service.

Identifiants de connexion

Les identifiants que vous confiez à Sonar pour agir sur votre site, comme un mot de passe d’application WordPress, sont chiffrés avec AES-GCM à l’aide d’une clé de données distincte pour chaque espace de travail. Cette clé est enveloppée par une clé maîtresse conservée dans le stockage de secrets de Cloudflare, jamais dans la base de données, et la clé maîtresse ne fait pas partie des sauvegardes.

Données issues des API Google

L’utilisation et le transfert par Sonar des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences Limited Use. Les données de votre compte Google ne servent qu’aux fonctions que vous avez activées. Elles ne sont ni vendues, ni utilisées pour la publicité, ni pour entraîner des modèles d’IA généraux, et les personnes de Sonar ne les lisent qu’avec votre autorisation, pour des raisons de sécurité ou lorsque la loi l’exige.

Approbations et piste d’audit

Sonar enregistre qui a approuvé, rejeté ou annulé par retour arrière chaque changement, et pourquoi. Le journal d’audit est en ajout seul : ses entrées ne peuvent être ni modifiées ni supprimées, et il est conservé à la fermeture d’un espace de travail (voir ci-dessous).

Analyse gratuite et demandes de rapport

L’analyse gratuite conserve l’hôte analysé, le jour et la langue que vous avez utilisée, avec le rapport indicatif. Elle n’est liée à aucune personne. Votre adresse IP n’est utilisée que sous forme de hachage à sens unique pour limiter le nombre d’analyses qu’un même réseau peut lancer, et elle n’est pas conservée.

Si vous nous demandez de vous envoyer un rapport par e-mail, nous conservons votre adresse e-mail, l’hôte analysé, votre langue, le moment où vous avez donné votre consentement et la version du texte de consentement affichée. Nous les utilisons uniquement pour vous envoyer ce rapport et, de temps en temps, des nouvelles de Sonar. Vous pouvez nous demander de les supprimer à tout moment via le contact indiqué sous « Qui est responsable ».

Cookies et stockage du navigateur

Sonar dépose quatre cookies internes, tous SameSite=Lax et, en https, Secure. Après la connexion : sonar_session contient votre jeton de connexion pendant une heure, sonar_refresh le renouvelle pendant 30 jours au maximum, et sonar_ws mémorise pendant 30 jours l’espace de travail choisi ; tous trois sont HttpOnly. sonar_lang mémorise la langue de l’interface pendant un an et est aussi déposé pour les visiteurs non connectés lorsqu’une page s’ouvre dans une langue choisie. Votre choix de thème est conservé dans le stockage local de votre navigateur. Sonar n’utilise aucun cookie ni script de mesure d’audience, de publicité ou de suivi. Les polices du site sont chargées depuis Google Fonts : votre navigateur transmet donc son adresse IP à Google lorsqu’il les récupère.

Prestataires de services

• Supabase : base de données, liens de connexion et vérifications du second facteur, hébergés dans la région ap-south-1 (Mumbai, Inde). Les appels à la Bing Webmaster API transitent par une fonction Supabase.
• Cloudflare : hébergement de ce site et du back end de Sonar (Workers et Workflows), stockage de fichiers et sauvegardes (R2), limitation de débit, rendu navigateur pour l’exploration, embeddings de texte (Workers AI), noms d’hôte personnalisés pour l’edge worker facultatif, requêtes DNS, et l’AI Gateway par lequel passe chaque appel à un fournisseur d’IA. L’AI Gateway conserve des journaux des prompts et des réponses.
• OpenAI, Google (Gemini), Perplexity et Anthropic (Claude, via OpenRouter) : répondent aux prompts de catégorie et de marque qui mesurent la fréquence à laquelle les assistants d’IA citent votre site. Ces prompts peuvent nommer votre entreprise et sa catégorie.
• Google (Gemini) et OpenRouter (modèles d’OpenAI et d’Anthropic) : rédigent des contenus et en contrôlent la qualité. Une requête peut contenir l’adresse, le titre et le texte principal d’une page, votre nom de marque, des faits que vous avez fournis, des concurrents et des extraits de sources.
• Les API Google Search Console, Google Analytics, Business Profile, Merchant Center, YouTube Data, PageSpeed Insights et Chrome UX Report, la Bing Webmaster API et IndexNow : pour lire les données de recherche et de performance de vos sites et signaler aux moteurs de recherche les pages modifiées.
• DataForSEO et Bright Data : résultats de recherche, AI Overviews et réponses AI Mode, volumes de mots-clés et données de backlinks pour les requêtes et domaines que Sonar suit pour vos sites. Les requêtes contiennent des mots-clés, des domaines et des marchés, pas de données vous concernant.
• Google (Gmail) et Microsoft (Microsoft 365) : uniquement si vous connectez une boîte mail pour la prospection, avec une autorisation d’envoi seulement. Resend : achemine les e-mails envoyés par Sonar lui-même, comme les alertes d’exploitation, et reçoit les réponses aux e-mails de prospection pour vous les transférer.
• Vercel, Netlify, GitHub, Shopify, Webflow et d’autres fournisseurs de publication, d’hébergement ou de DNS : uniquement ceux que vous connectez, pour lire la configuration de votre site, recevoir des log drains et appliquer les changements approuvés. Vercel peut aussi héberger ce site ; aujourd’hui, il redirige seulement vers cette adresse.
• Slack et Microsoft Teams : uniquement si un propriétaire de l’espace de travail ajoute un webhook ; Sonar y publie alors les notifications de cet espace de travail.
• Google Fonts : fournit les polices de ce site ; votre navigateur les demande directement à Google.
• Telegram : uniquement des messages d’exploitation destinés à l’équipe Sonar.

Durée de conservation des données

Les sauvegardes de la base de données sont exportées chaque semaine, avec des exports incrémentaux quotidiens, et supprimées après 90 jours. Cloudflare conserve l’historique des exécutions de workflows pendant 7 jours, et les journaux d’erreurs sont conservés jusqu’à 30 jours. Une tâche hebdomadaire supprime les événements d’exploitation après 180 jours, les lignes par visite de robots après 400 jours, les lignes de positionnement après 730 jours, les fichiers bruts de trafic edge et les anciens documents de scan après 90 jours, et les captures de pages conservées comme preuves après 400 jours. Les scores, les mesures de réponses d’IA, les relevés de coûts et le journal d’audit sont conservés tant que votre espace de travail existe ; le journal d’audit plus longtemps, comme décrit ci-dessous. Les demandes de rapport du scan gratuit sont conservées jusqu’à ce que vous nous demandiez de les supprimer.

Déconnecter un site et fermer un espace de travail

Lorsque vous déconnectez un site, Sonar arrête toute son automatisation et supprime immédiatement les identifiants qu’il avait enregistrés pour ce site. L’historique de mesures du site et la piste d’audit sont conservés tant que votre espace de travail existe.

Lorsque le propriétaire ferme un espace de travail, toute l’automatisation s’arrête et tous les identifiants enregistrés sont supprimés immédiatement, et Sonar exporte les données de l’espace de travail dans un fichier JSON que le propriétaire peut télécharger. 30 jours plus tard, les données de l’espace de travail et l’export sont supprimés. Les copies présentes dans les sauvegardes de la base de données expirent avec ces sauvegardes.

Le journal d’audit des approbations, des changements et des actions sur le compte n’est pas supprimé à la fermeture d’un espace de travail : il est conservé comme preuve pendant au moins quatre ans pour respecter les obligations légales et comptables de conservation.

Lieu de traitement des données

La base de données est hébergée en Inde (région Supabase ap-south-1). Cloudflare et les autres fournisseurs cités ci-dessus traitent les données sur leurs propres réseaux, qui peuvent se trouver hors de votre pays. Il n’existe aujourd’hui aucune option d’hébergement des données dans l’UE. Les garanties encadrant ces transferts seront décrites ici après la relecture juridique.

Vos choix et vos droits

Vous pouvez demander une copie de vos données, leur rectification ou leur suppression via le contact indiqué sous « Qui est responsable ». Un propriétaire de l’espace de travail peut aussi exporter les données et fermer l’espace de travail depuis les Réglages. Nous répondons dans le délai exigé par la loi qui vous est applicable.

Modifications de cette politique

Nous publierons les modifications sur cette page et, pour les modifications importantes, en informerons les utilisateurs connectés avant leur entrée en vigueur.