En résumé. Vos données et celles de vos clients ne sont jamais vendues, ni partagées avec des tiers à des fins commerciales. Aucune publicité. Les données issues de Google ne servent qu'à faire fonctionner votre tableau de bord. Les clients d'un commerce ne reçoivent d'offres que s'ils ont coché la case prévue à cet effet — décochée par défaut — et peuvent se désinscrire à tout moment. Vous pouvez révoquer l'accès et demander la suppression de vos données à tout moment.
1 Qui sommes-nous
La plateforme Esmy (esmy.ai et app.esmy.ai) est éditée par Esmy, société par actions simplifiée à associé unique (SASU) au capital de 1 000 €, immatriculée au RCS de Paris sous le n° 130 411 739, dont le siège social est situé 47 rue Vivienne, 75002 Paris, représentée par son Président, Sébastien Viger.
Esmy est responsable du traitement des données de ses commerçants (section 2.1). Les données des clients d'un commerce (sections 2.2 et 2.3) sont collectées pour le compte de ce commerce, qui décide de leur usage — notamment de l'envoi de ses campagnes : Esmy les traite pour lui, afin de faire fonctionner le service.
Pour toute question sur vos données, quelle que soit votre situation : contact@esmy.ai.
2 Données collectées
2.1 Données des commerçants (utilisateurs du tableau de bord)
- Nom, prénom, adresse e-mail professionnelle
- Nom, adresse et logo de l'établissement
- Token OAuth Google Business Profile (chiffré, jamais exposé au navigateur)
- Données de facturation (traitées par Stripe — Esmy ne voit ni ne stocke jamais le numéro de carte)
- Logs d'utilisation de la plateforme
2.2 Données des clients finaux (visiteurs de la page de jeu)
Pour faire tourner la roue, le client remplit un court formulaire :
- Prénom (le nom de famille est facultatif)
- Adresse e-mail — c'est là que le bon gagné est envoyé
- Numéro de mobile — il permet au commerçant de retrouver le bon au moment du passage en caisse et, uniquement si la case ci-dessous est cochée, de recevoir ses offres par SMS
- Une case facultative, décochée par défaut, « Je souhaite recevoir les offres exclusives » du commerce : la participation au jeu n'en dépend jamais
- Le résultat du jeu : lot gagné, code du bon, date et heure de participation, puis la date d'utilisation du bon en caisse
- Le fait d'avoir ouvert, ou non, le lien vers la page d'avis Google du commerce, et l'heure
- L'adresse IP et le type de navigateur, conservés avec la participation pour prévenir les abus du jeu (limites de participation)
- Aucune donnée de localisation précise n'est collectée
2.3 Carte de fidélité
Si le commerçant active la fidélité, la carte d'un client est reliée aux coordonnées qu'il a déjà fournies (prénom, e-mail, mobile) et enregistre ses tampons et leurs dates. Le client peut, s'il le souhaite, ajouter sa carte au portefeuille de son téléphone (Apple Wallet ou Google Wallet) : Apple ou Google reçoivent alors le contenu de la carte (nom du commerce, tampons, récompense) pour l'afficher. Pour Apple Wallet, Esmy enregistre en plus un identifiant technique de l'appareil, qui sert uniquement à mettre la carte à jour. Rien d'autre n'est lu sur le téléphone.
2.4 Données issues de l'API Google Business Profile
- Avis Google publiés (texte, note, pseudo du rédacteur, date)
- Réponses aux avis (publiées uniquement avec votre accord explicite)
- Informations de l'établissement (nom, adresse, catégorie)
Ces données sont accédées via l'API officielle Google Business Profile, exclusivement après autorisation OAuth explicite du commerçant.
3 Intégration de l'API Google Business Profile
Conformité — Limited Use. L'utilisation et le transfert par Esmy, vers toute autre application, des informations reçues des API Google respectent la
Google API Services User Data Policy, y compris ses exigences de Limited Use.
Périmètre OAuth demandé
Esmy demande uniquement le périmètre (scope) suivant :
https://www.googleapis.com/auth/business.manage
Endpoints utilisés
- accounts.list — identifier le compte Google Business du commerçant
- locations.get — récupérer le nom et l'adresse de l'établissement
- reviews.list — lire les avis publiés (lecture seule)
- reviews.updateReply — publier une réponse (uniquement après approbation du commerçant)
Utilisation des données Google
- Afficher les avis dans le tableau de bord Esmy du commerçant concerné
- Générer puis publier des réponses aux avis, après approbation explicite du commerçant
- Produire des statistiques internes au seul compte de ce commerçant
Les données issues de l'API Google ne sont jamais : partagées entre différents commerçants, vendues ou transférées à des tiers, utilisées à des fins publicitaires, ni utilisées pour entraîner des modèles d'intelligence artificielle généralisés ou indépendants de l'humain.
Les données d'avis sont supprimées au plus tard 90 jours après la fin du contrat. Le commerçant peut révoquer l'accès à tout moment depuis son compte Google ou depuis son espace Esmy.
4 Finalités du traitement
- Fourniture du service Esmy (tableau de bord, réponses aux avis, jeu, fidélité)
- Envoi au client du bon qu'il a gagné, puis vérification de ce bon en caisse
- Campagnes e-mail et SMS du commerçant vers ses clients qui y ont consenti (section 5)
- Communication relative au compte (alertes, notifications, récapitulatifs)
- Facturation et gestion du compte
- Prévention des abus du jeu (limites de participation par client et par connexion)
- Amélioration du service (données agrégées et anonymisées)
Bases légales : exécution du contrat (Art. 6.1.b RGPD) ; consentement (Art. 6.1.a) pour les campagnes adressées aux clients finaux ; intérêt légitime (Art. 6.1.f) pour la prévention des abus et l'amélioration du service.
5 Campagnes e-mail et SMS
- Seuls les clients ayant coché la case « Je souhaite recevoir les offres exclusives » lors du jeu peuvent recevoir des campagnes — la case est décochée par défaut
- Les campagnes sont envoyées au nom du commerçant concerné, qui en choisit le contenu et les destinataires ; Esmy opère l'envoi pour son compte
- Chaque e-mail de campagne contient un lien de désinscription, valable pour le commerce concerné
- Chaque SMS de campagne indique comment ne plus en recevoir (« STOP au » numéro indiqué)
- Les e-mails partent par notre prestataire Resend, les SMS par Brevo (voir section 12)
6 Commerces préparés (démonstration)
Pour présenter Esmy à un commerçant, Esmy peut créer à l'avance l'espace de son commerce à partir d'informations publiques (nom de l'enseigne, lots types). Tant que ce commerce n'est pas activé, sa page de jeu tourne en simple démonstration : aucun formulaire n'est affiché et aucune donnée de client n'est collectée. Si le commerçant adopte Esmy, l'espace lui est remis et Esmy n'y a plus accès. S'il ne donne pas suite, il peut demander à tout moment la suppression de cet espace à contact@esmy.ai.
7 Conservation des données
- Données de compte commerçant : pendant la durée du compte, puis le temps des obligations légales (facturation, comptabilité)
- Données d'avis Google : supprimées au plus tard 90 jours après la fin du contrat
- Données des clients finaux (participations, bons, cartes de fidélité) : tant que le commerce utilise Esmy ; suppression sur demande à tout moment, et désinscription des campagnes à tout moment
- Logs techniques : courte durée, le temps du diagnostic et de la sécurité
8 Sécurité
- Communications chiffrées (HTTPS/TLS) sur toute la plateforme
- Données hébergées dans l'Union européenne (Supabase) et chiffrées au repos
- Tokens OAuth Google chiffrés côté serveur — jamais exposés au navigateur
- Paiements traités par Stripe (certifié PCI-DSS) : le numéro de carte ne transite jamais par Esmy
- Accès aux données limité aux seules personnes qui en ont besoin pour faire fonctionner le service
9 Vos droits (RGPD)
Que vous soyez commerçant ou client d'un commerce utilisant Esmy, vous disposez des droits suivants sur vos données personnelles :
- Accès — obtenir une copie de vos données
- Rectification — corriger des données inexactes
- Effacement — demander la suppression de vos données
- Portabilité — recevoir vos données dans un format structuré
- Opposition — vous opposer à certains traitements
- Retrait du consentement — à tout moment, pour les campagnes (lien de désinscription, STOP par SMS, ou simple e-mail)
Pour exercer ces droits : contact@esmy.ai. Réponse sous 30 jours. Vous pouvez également saisir la CNIL (cnil.fr).
10 Suppression des données et révocation d'accès
À tout moment, vous pouvez :
La suppression entraîne l'effacement des données associées sous 30 jours, hors obligations légales de conservation.
11 Cookies
Esmy utilise uniquement des cookies et un stockage local strictement nécessaires au fonctionnement de la plateforme (session, authentification). Aucun cookie publicitaire, aucun traceur tiers.
12 Sous-traitants
- Supabase — base de données et authentification (hébergée dans l'Union européenne)
- Vercel — hébergement de l'application web
- Stripe — traitement des paiements (certifié PCI-DSS)
- Resend — envoi des e-mails (bons gagnés, notifications, campagnes e-mail des commerçants)
- Brevo — envoi des SMS des campagnes des commerçants
- Google — connexion de la fiche d'établissement (API Business Profile) et, si le client l'ajoute, carte de fidélité dans Google Wallet
- Apple — si le client l'ajoute, carte de fidélité dans Apple Wallet
- Anthropic — génération des propositions de réponses aux avis et assistant d'aide. Les données transmises via l'API ne sont pas utilisées pour entraîner les modèles d'Anthropic
- fal.ai — génération des images de flyers demandées par le commerçant
Tous les sous-traitants sont liés par un accord de traitement des données (DPA) conforme au RGPD.
13 Contact
Pour toute question relative à cette politique : contact@esmy.ai.