Politique de confidentialité

Vous avez reçu une proposition envoyée avec Cuevr ? Ce qui vous concerne est à l’article 4 : l’entreprise qui vous l’a envoyée est responsable de vos données, et Cuevr les traite pour son compte.

Cette politique explique quelles données personnelles Aetherly traite, pourquoi, combien de temps et avec qui, dans trois situations : vous visitez le site cuevr.com (article 2) ; vous utilisez l’application Cuevr (article 3) ; vous lisez ou signez une proposition envoyée avec Cuevr (article 4). Elle applique le règlement (UE) 2016/679 (« RGPD ») et la loi Informatique et Libertés.

Article 1 : Qui sommes-nous

Cuevr est édité par Aetherly, SAS au capital de 5 000 euros, RCS Nantes 941 153 561, 9 rue Orion, 44115 Basse-Goulaine, France.

Aetherly est responsable du traitement pour le site, les comptes de ses clients, l’abonnement, la facturation, le support, la sécurité du service et sa propre prospection. Pour les propositions que ses clients envoient avec Cuevr, Aetherly est le sous-traitant de chaque client (article 4).

Pour toute question ou demande sur vos données : dpo@cuevr.com.

Article 2 : Vous visitez cuevr.com

Ce que nous recevons

• Demande de démo : prénom, adresse e-mail professionnelle et société ; nom et téléphone si vous les donnez.
• Formulaire de contact : adresse e-mail, motif et message, et les autres champs que vous remplissez.
• Origine de votre demande : chaque formulaire transmet la page où vous l’avez rempli, les paramètres de campagne de l’adresse (UTM) et le site d’où vous venez (adresse sans paramètres).
• Proposal Roaster : le fichier PDF que vous déposez, lu le temps de son analyse par l’intelligence artificielle Gemini (Google) et jamais conservé ; pour recevoir le rapport, votre prénom, votre adresse e-mail professionnelle et, si vous le souhaitez, votre entreprise. Pour limiter les abus, votre adresse IP est transformée en une empreinte illisible, renouvelée chaque jour et effacée le lendemain.
• Prise de rendez-vous : si vous affichez l’agenda de la démo, il est fourni par Lemcal ; si vous avez rempli le formulaire de démo, votre nom et votre adresse e-mail y sont préremplis. Vous réservez ensuite directement dans cet agenda.
• Mesure d’audience (Plausible, sur notre propre instance hébergée en Europe) : pages vues, site d’origine, pays, type d’appareil et de navigateur, clics sur les boutons de démo et d’essai, liens sortants. Sans cookie ni stockage dans votre navigateur. Pour compter les visiteurs, votre adresse IP et votre navigateur sont transmis à notre instance, qui n’en garde qu’une empreinte renouvelée chaque jour.
• Protection contre les robots : quand vous utilisez un formulaire, des signaux techniques de votre navigateur et votre adresse IP sont vérifiés par Cloudflare Turnstile.

Pourquoi et sur quelle base

• Répondre à votre demande, organiser la démo et vous envoyer le rapport du Proposal Roaster : mesures précontractuelles prises à votre demande.
• Vous recontacter au sujet de Cuevr après une demande : notre intérêt légitime à présenter notre service aux professionnels qui s’y intéressent. Vous pouvez vous y opposer à tout moment, en un e-mail ou par le lien de désinscription.
• Savoir comment vous nous avez trouvés et mesurer l’audience du site : notre intérêt légitime, avec une mesure sans cookie et des statistiques agrégées.
• Protéger les formulaires contre les abus : notre intérêt légitime.

Combien de temps

• Demandes de démo, de contact et du Proposal Roaster : 3 ans après notre dernier échange, puis suppression automatique.
• Proposal Roaster : le PDF n’est jamais conservé ; le résultat de l’analyse est gardé 15 minutes au plus, le temps de vous l’envoyer ; l’empreinte de l’adresse IP est effacée le lendemain.
• Mesure d’audience : statistiques agrégées, sans donnée qui vous identifie.

Article 3 : Vous utilisez l’application Cuevr

Ce que nous traitons

• Votre compte : adresse e-mail, mot de passe (conservé sous forme d’empreinte, jamais en clair), prénom, nom, fonction, langue ; photo, téléphone et « comment nous avez-vous connus » si vous les donnez.
• Votre organisation : nom, site internet, taille, pays et, si vous les renseignez, coordonnées et informations légales (adresse, SIRET, TVA).
• Abonnement et facturation : formule, nombre de sièges, factures. Votre carte est saisie et conservée par Stripe ; nous n’avons jamais son numéro. Stripe reçoit l’adresse e-mail du compte, le nom et le pays de l’organisation.
• Vos contenus : ce que vous créez ou importez dans Cuevr (propositions, modèles, base de connaissance, fichiers, contacts). Pour ces contenus et les données de vos prospects, nous agissons pour votre compte, comme le prévoit l’accord de traitement des données annexé à nos conditions générales.
• Cuevr AI : les contenus que vous soumettez à Cuevr AI sont traités par notre fournisseur d’IA, Google (API Gemini), et suivis techniquement par Langfuse. Ils ne servent à entraîner aucun modèle.
• Support : sur la page Support, l’assistant et le formulaire de ticket sont fournis par Aidbase, qui reçoit votre identifiant, votre nom, votre adresse e-mail et le contenu de vos échanges.
• Sécurité : à l’inscription, Google reCAPTCHA reçoit votre adresse IP et des signaux de votre navigateur pour écarter les robots. Lors de vos connexions, nous enregistrons l’adresse IP et le navigateur de chaque session.
• Attribution publicitaire : si vous arrivez par une annonce Google Ads, l’identifiant de clic (« gclid ») est rattaché à votre compte et à votre fiche client chez Stripe, pour mesurer l’efficacité de nos annonces.
• Mesure d’usage : avec votre accord donné dans le bandeau de l’application, Google Analytics mesure l’usage de l’application (pages et actions, avec un identifiant de compte).

Pourquoi et sur quelle base

• Fournir le service, gérer votre compte et votre organisation, répondre au support : l’exécution du contrat.
• Facturer et tenir notre comptabilité : nos obligations légales.
• Sécuriser le service et prévenir la fraude (reCAPTCHA, journaux de connexion) : notre intérêt légitime.
• Vous envoyer les e-mails de prise en main pendant l’essai : notre intérêt légitime ; chaque e-mail permet de s’en désinscrire en un clic.
• Mesurer l’efficacité de nos annonces (gclid) : notre intérêt légitime.
• Mesurer l’usage de l’application (Google Analytics) : votre consentement, que vous pouvez retirer à tout moment depuis le bandeau.

Combien de temps

• Compte : tant qu’il existe. Après une demande de suppression, il est effacé 30 jours plus tard ; vous pouvez annuler la demande entre-temps.
• Organisation et contenus : pendant l’abonnement, puis 90 jours en lecture seule après sa fin, puis suppression définitive. Une organisation qui n’a jamais souscrit est conservée jusqu’à ce que vous la supprimiez, ou supprimée après 12 mois sans abonnement ni connexion, après un e-mail de prévenance.
• Factures et données de facturation : 10 ans (article L123-22 du Code de commerce).
• Traces techniques de Cuevr AI chez Langfuse : 90 jours au plus.
• Journaux de connexion et journaux techniques : 6 mois au plus.
• Données de Google Analytics : 14 mois au plus.
• Sauvegardes : écrasées au plus tard 30 jours après la suppression des données.

Article 4 : Vous lisez ou signez une proposition envoyée avec Cuevr

Cet article vous concerne si une entreprise vous a envoyé une proposition commerciale avec Cuevr, que vous l’ouvriez par un lien, avec un mot de passe ou sur invitation. Cette entreprise est appelée ici « le vendeur ».

Qui est responsable de vos données

Le vendeur est responsable du traitement : c’est lui qui décide de vous envoyer la proposition, de suivre sa lecture et de vous proposer de la signer. Cuevr, édité par Aetherly, agit comme son sous-traitant : nous hébergeons la proposition et traitons vos données pour son compte, selon ses instructions. Nous ne les utilisons pas pour nos propres besoins et ne les vendons pas.

Aetherly traite seulement pour son propre compte ce qu’exige la sécurité du service : limiter le nombre de codes envoyés ou de mots de passe essayés, et tenir les journaux techniques de ses serveurs.

Ce qui est enregistré

• Vous ouvrez la proposition : dates et heures de vos visites, temps de lecture active, temps passé sur chaque partie, version lue, mode d’accès. Sur un lien ouvert sans invitation, vous n’êtes pas identifié et Cuevr ne vous reconnaît pas d’une visite à l’autre.
• Vous avez été invité par e-mail : votre adresse e-mail, donnée par le vendeur ; vos lectures sont rattachées à votre invitation. Si vous demandez un code d’accès : l’adresse et le nombre d’essais ; le code n’est conservé que sous forme d’empreinte.
• Vous choisissez des options du devis : les options retenues et les montants correspondants. L’ouverture du formulaire de signature est aussi enregistrée.
• Vous transférez la proposition : l’adresse e-mail de la personne que vous invitez et le fait que l’invitation vient de vous ; l’e-mail qu’elle reçoit indique votre adresse.
• Vous déclinez la proposition : le motif et le nom, si vous choisissez de les indiquer, la date et la version lue.
• Vous signez la proposition : votre nom, votre fonction, votre entreprise et votre adresse e-mail, vérifiée par un code ; le texte du consentement ; la date, l’heure et votre fuseau horaire ; votre adresse IP et votre navigateur ; une empreinte du contenu signé et des options retenues ; l’image de votre signature si vous la tracez. Il s’agit d’une signature électronique simple.

Pour afficher la page, nos serveurs reçoivent votre adresse IP ; elle n’est pas enregistrée avec la mesure de lecture. Les images de la proposition sont servies par l’hébergement de Cuevr ou, si le vendeur a inséré une image venant d’un autre site, par ce site, qui reçoit alors votre adresse IP.

Pourquoi

• Vous donner accès à la proposition et protéger cet accès (mot de passe, code reçu par e-mail).
• Indiquer au vendeur quand sa proposition est lue, combien de temps et quelles parties, pour qu’il vous réponde mieux. Le vendeur voit aussi un indicateur d’intérêt de 0 à 3, calculé à partir de ces lectures, de vos transferts, de vos choix d’options et de l’ouverture du formulaire de signature : c’est une aide à son suivi, pas une décision vous concernant. Ces indicateurs ne prouvent ni une lecture attentive ni une intention d’achat.
• Recueillir et prouver votre acceptation ou votre refus, et vous remettre votre dossier signé.
• Vous envoyer les e-mails du parcours : invitation, code d’accès, code de signature et lien vers votre dossier signé.
• Si le vendeur l’a activé, transmettre ces informations à ses propres outils, par exemple son logiciel de gestion commerciale (CRM).
• Assurer la sécurité du service (traitement d’Aetherly pour son propre compte).

Ces données ne servent jamais à de la publicité ni à entraîner une intelligence artificielle.

Sur quelle base

Le vendeur, responsable du traitement, retient les bases suivantes, que Cuevr applique par défaut :

• Mesure de lecture : l’intérêt légitime du vendeur à savoir si sa proposition a été reçue et lue, pour adapter son suivi. Cette mesure est limitée : vous en êtes informé sur la page, aucun cookie de suivi n’est utilisé, aucun outil tiers n’est chargé, le détail est supprimé après 13 mois et vous pouvez vous y opposer.
• Accès, e-mails du parcours, acceptation et refus : les mesures précontractuelles prises à votre demande, puis l’exécution du contrat conclu avec le vendeur.
• Preuve de la signature : l’intérêt légitime du vendeur à pouvoir prouver l’accord conclu.
• Sécurité du service : l’intérêt légitime d’Aetherly à protéger le service contre les abus.
• Cookies d’accès : strictement nécessaires pour ouvrir un document protégé, ils ne demandent pas votre consentement.

Combien de temps

• Détail des lectures (visites, temps par partie, options, ouverture du formulaire de signature) : 13 mois après la dernière activité. Il ne reste ensuite qu’un total par proposition, sans aucun identifiant.
• Invitations, codes d’accès, transferts et refus : tant que la proposition et votre accès existent ; supprimés avec eux.
• Compteurs de sécurité (codes envoyés, essais de mot de passe) : effacés automatiquement après une heure à un jour selon le compteur.
• Dossier de signature : tant que le compte du vendeur existe ; il est supprimé avec lui, au plus tard 90 jours après la fin de son abonnement. Téléchargez votre dossier signé depuis le lien reçu par e-mail : ce lien cesse de fonctionner à cette suppression.
• Cookies d’accès : 12 heures.
• Mémoire des options choisies dans votre navigateur : 30 jours au plus.
• Journaux techniques des serveurs : 6 mois au plus.
• Sauvegardes : écrasées au plus tard 30 jours après la suppression des données.

Si le vendeur supprime la proposition, le détail de ses lectures est supprimé avec elle. À la fin de l’abonnement du vendeur, la proposition reste accessible par son lien pendant 90 jours ; toutes ses données, dossiers de signature compris, sont ensuite supprimées et le lien cesse de fonctionner.

Qui reçoit vos données

• Le vendeur et les personnes de son entreprise autorisées dans Cuevr.
• Le personnel autorisé d’Aetherly, seulement lorsque c’est nécessaire au service (assistance, sécurité).
• Nos sous-traitants : Scaleway (hébergement, en France) et Mailjet (envoi des e-mails, dans l’Union européenne).
• Les outils du vendeur, s’il a connecté Cuevr à son CRM ou à d’autres outils. Ils reçoivent les événements de lecture, les options choisies et le motif d’un refus. Votre nom, votre adresse e-mail, votre entreprise, votre fonction et, pour une signature, votre adresse IP ne leur sont transmis que si un administrateur du vendeur l’a expressément activé.
• Les services vidéo, seulement si vous cliquez sur une vidéo : elle se charge alors depuis le service choisi par le vendeur (YouTube en mode « nocookie », Vimeo, Loom ou autre), qui applique sa propre politique.
• Les autorités judiciaires ou administratives, sur réquisition légale.

Aucun outil de mesure d’audience ou de publicité n’est chargé sur la page de lecture, et ses polices de caractères ne viennent pas de Google.

Vos droits

Vous pouvez accéder à vos données, les faire rectifier ou effacer, en limiter l’usage, en obtenir une copie, et vous opposer à la mesure de lecture.

Adressez-vous de préférence au vendeur : son nom figure dans la proposition, et répondre à l’e-mail d’invitation lui écrit directement. Vous pouvez aussi nous écrire à dpo@cuevr.com : nous transmettons votre demande au vendeur sans délai et l’aidons à y répondre. Si vous vous opposez à la mesure de lecture, vos données de lecture sont supprimées, et le vendeur peut vous envoyer un lien sans invitation, dont la lecture n’est rattachée à aucun nom.

Article 5 : Nos sous-traitants

Chacun ne reçoit que ce qu’exige sa mission.

• Scaleway (France) : hébergement de l’application et de ses fichiers, en France.
• Cloudflare (États-Unis) : hébergement et diffusion du site, stockage des formulaires, protection contre les robots ; États-Unis et Union européenne.
• Hostinger : hébergement de notre instance de mesure d’audience, dans l’Union européenne.
• Resend (États-Unis) : envoi de nos notifications internes de formulaires (prénom, nom, e-mail, société, téléphone, message) ; États-Unis.
• Mailjet (France) : envoi des e-mails de l’application, dans l’Union européenne.
• Stripe : paiements et abonnements ; Union européenne et États-Unis.
• Google (États-Unis) : API Gemini (Cuevr AI et Proposal Roaster), reCAPTCHA, Google Analytics de l’application, tableau de suivi du Proposal Roaster, vidéos YouTube.
• Langfuse (Allemagne) : suivi technique de Cuevr AI, dans l’Union européenne.
• Aidbase, édité par Highware GmbH (Suisse) : assistant et tickets de la page Support ; Suisse, avec des traitements possibles aux États-Unis.
• Lemcal, édité par lempire SAS (France) : agenda de prise de rendez-vous ; données dans l’Union européenne.

Nos fournisseurs d’IA travaillent sous accord de traitement des données et n’utilisent pas vos données pour entraîner leurs modèles.

Vos données peuvent aussi être communiquées aux autorités judiciaires ou administratives, sur réquisition légale.

Article 6 : Transferts hors de l’Union européenne

Certains sous-traitants (Cloudflare, Resend, Stripe, Google et Aidbase) peuvent traiter des données hors de l’Union européenne, notamment aux États-Unis. Ces transferts reposent sur une décision d’adéquation de la Commission européenne (la Suisse en bénéficie, comme les entreprises américaines adhérant au cadre de protection des données UE-États-Unis, ou Data Privacy Framework) ou sur les clauses contractuelles types de la Commission européenne.

Article 7 : Cookies et stockage dans votre navigateur

Sur le site cuevr.com. Aucun cookie de mesure ni de publicité, donc aucun bandeau. Le site ne dépose rien avant que vous agissiez, sauf ce qui est nécessaire à son fonctionnement :

• vos choix, quand vous les faites : mode clair ou sombre, lecture sans mouvement, refus de la suggestion de langue, fermeture d’un bandeau d’annonce (stockage local du navigateur, sans date ni identifiant) ;
• quand vous utilisez un formulaire, Cloudflare Turnstile peut déposer un cookie technique de protection contre les robots.

Les contenus de tiers ne se chargent que si vous les demandez : une vidéo YouTube, lue depuis youtube-nocookie.com, quand vous cliquez sur sa vignette ; l’agenda Lemcal, quand vous l’affichez. Ces services appliquent alors leurs propres règles.

Dans l’application. Des cookies de session et de sécurité, nécessaires pour vous connecter. Google Analytics ne se charge qu’avec votre accord, recueilli par un bandeau où vous pouvez accepter, refuser et changer d’avis à tout moment.

Sur la page de lecture d’une proposition. Aucun cookie de suivi, aucun bandeau, et Cuevr ne dépose plus d’identifiant de visiteur dans votre navigateur. Seuls subsistent :

• les cookies d’accès, s’il y a lieu : proposal_public_password_session pour un document protégé par mot de passe, proposal_public_invitee_session pour un document sur invitation, après saisie du code. Ils durent 12 heures, ne sont lus que par Cuevr et ne sont pas accessibles aux scripts de la page ;
• la mémoire des options que vous choisissez dans un devis ouvert par un lien, pour les retrouver si vous rechargez la page. Elle ne contient aucun identifiant et s’efface au plus tard après 30 jours, ou dès que vous signez.

Article 8 : Sécurité

Nous protégeons vos données par des mesures adaptées : échanges chiffrés (TLS), séparation des données de chaque client, droits d’accès par rôle, mots de passe et codes conservés sous forme d’empreinte, limitation des tentatives d’accès, empreintes à la place des adresses IP quand c’est possible, durées de conservation limitées.

Article 9 : Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, notamment à la prospection, à tout moment. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Écrivez-nous à dpo@cuevr.com. Nous répondons dans un délai d’un mois. Si votre demande concerne une proposition reçue d’un vendeur, voyez l’article 4.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr) ou l’autorité de protection des données de votre pays.

Article 10 : Modification de cette politique

Nous pouvons modifier cette politique. La date de mise à jour figure en haut de la page. En cas de changement important, nous en informons nos clients par e-mail ou dans l’application.