Dernière mise à jour : 28 août 2026

Politique de confidentialité

Cette page décrit comment Bizleen collecte, traite et protège vos données personnelles. Nous appliquons le Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et la loi française Informatique et Libertés modifiée.

1. Responsable du traitement

Bizleen est un service exploité par Dan Nutu EI, qui est le responsable du traitement.
SIRET 83515065700012.
137 Rue des Landes, 78400 Chatou, France.
Contact : rgpd@bizleen.com
Site institutionnel : mindvisionstudio.com

2. Données que nous collectons

2.1 Données de compte

Adresse email : pour créer votre compte, vous identifier, et vous envoyer les messages de service (confirmation d'adresse, réinitialisation de mot de passe).
Mot de passe : il n'est jamais conservé en clair. Nous n'en gardons qu'une empreinte irréversible, calculée avec une fonction de hachage réputée résistante aux attaques par force brute. Personne, chez nous, ne peut relire votre mot de passe.
Statut de vérification de l'adresse email (vérifiée ou non).
Date de création du compte.

2.2 Contenu que vous publiez (carte accessible à l'adresse `/@votre-handle`)

Identité professionnelle : prénom, nom, titre, entreprise, slogan, monogramme, numéro de carte.
Coordonnées que vous choisissez d'afficher : téléphone, email de contact, site web, localisation, liens vers vos réseaux sociaux.
Images que vous envoyez : photo de profil, logo, fond personnalisé, photos de l'établissement, ainsi qu'un document PDF (carte, brochure) le cas échéant.
Pour une page d'établissement : description, adresse, horaires d'ouverture, menu et tarifs, prestations, événements, questions fréquentes, témoignages.
Apparence choisie : thème visuel et couleur d'accent.
Si vous activez d'autres langues : les traductions des champs correspondants.
Si vous reliez votre fiche Google : la note moyenne et le nombre d'avis (jamais le texte des avis), et les coordonnées géographiques déduites de votre adresse pour afficher le plan de situation.

Ces données sont publiques par design : votre carte est accessible à toute personne connaissant l'URL. C'est le but du service. Ne renseignez pas de données sensibles.

2.3 Abonnement et paiement

Si vous souscrivez une formule payante, le paiement est traité par Stripe. Votre numéro de carte bancaire est saisi chez Stripe : nous ne le voyons jamais et ne le conservons jamais.
De notre côté, nous conservons la formule souscrite, l'état de l'abonnement, sa date d'échéance, et les références de client et d'abonnement transmises par Stripe, afin de vous donner accès à ce que vous avez payé.
Stripe collecte par ailleurs, pour son propre compte et pour ses obligations légales, les informations de facturation nécessaires (nom, adresse, pays, moyen de paiement).

2.4 Messages envoyés depuis une carte publique

Lorsqu'une carte propose un formulaire de contact, le visiteur qui l'utilise nous transmet son nom, son adresse email et son message. Ce message est transmis par email au titulaire de la carte, qui peut répondre directement au visiteur. L'adresse email du titulaire n'est jamais affichée sur la carte. Nous ne conservons pas le contenu de ces messages après leur transmission.

2.5 Réservation et plan, chargés depuis un autre site

Certaines cartes affichent un module de réservation fourni par StaffClock et un plan de situation fourni par OpenStreetMap. Ces deux contenus ne viennent pas de nos serveurs : le navigateur du visiteur va les chercher directement chez le prestataire, et lui communique donc son adresse IP, comme lorsqu'il visite n'importe quelle page.

Réservation : le module ne se charge qu'au moment où le visiteur ouvre la fenêtre de réservation. Tant que personne ne touche le bouton, rien n'est demandé à StaffClock et aucune adresse IP ne lui est communiquée. Les informations saisies ensuite dans ce formulaire (identité, coordonnées, détail de la réservation) sont envoyées à StaffClock et traitées par lui pour l'établissement : elles ne passent pas par nos serveurs, nous ne les voyons pas et nous ne les conservons pas. De notre côté, nous enregistrons seulement qu'un bouton de réservation a été touché, sans identifiant de visiteur (voir 2.6).
Plan de situation : il se charge lorsqu'il arrive à l'écran, et transmet à ce moment-là l'adresse IP du visiteur à OpenStreetMap. Il ne dépose aucun cookie, et nous ne lui envoyons que les coordonnées du point à afficher.

2.6 Données techniques et statistiques de consultation

Adresse IP : utilisée pour limiter les tentatives de connexion, d'inscription et d'envoi de messages, afin de protéger les comptes contre les attaques automatisées. Conservée 24 heures au maximum, puis effacée.
Session : une fois connecté, un cookie technique garde votre session ouverte pendant 30 jours à compter de votre dernière visite ; passé ce délai, elle expire et vous vous reconnectez.
Préférence de langue : un cookie mémorise pendant un an la langue que vous choisissez via le sélecteur FR/EN.
Statistiques de consultation des cartes : à chaque affichage d'une carte publique et à chaque clic sur un de ses boutons (téléphone, email, site, itinéraire, menu, vCard, réservation), nous enregistrons la date, le pays approximatif communiqué par le réseau, l'origine de la visite (QR code, lien direct, réseau social), la langue dans laquelle la carte a été affichée, la langue de l'appareil du visiteur telle que son navigateur la déclare (sans la région : « fr », « es »), et, s'il figure dans l'adresse, le libellé de campagne. Aucun identifiant de visiteur n'est enregistré : ces statistiques ne permettent pas de reconnaître une personne d'une visite à l'autre. Elles sont visibles par le titulaire de la carte.

2.7 Alerte interne à l'éditeur

Bizleen est édité par une personne seule. Pour savoir qu'un compte vient d'être créé ou qu'un abonnement vient de changer, l'éditeur reçoit une alerte sur sa messagerie Telegram. Elle n'est adressée qu'à lui.

À l'inscription : prénom, nom, adresse email et, lorsque cette adresse n'est pas celle d'un fournisseur grand public, son domaine ; le handle de la carte créée, la langue du formulaire rempli, la date et l'heure, et un lien vers votre fiche dans notre outil d'administration.
Au changement d'abonnement (souscription, changement d'offre, résiliation, prélèvement refusé) : adresse email, offre avant et après le changement, périodicité de facturation, nombre de mensualités déjà encaissées, date et heure.

Ce traitement repose sur l'intérêt légitime de l'éditeur à savoir ce qui se passe sur son service et à pouvoir réagir vite : il n'est pas nécessaire à l'exécution du contrat, et vous pouvez vous y opposer en nous écrivant. Telegram est établi hors de l'Union européenne (voir section 4).

2.8 Bases légales

Traitement	Base légale (RGPD art. 6)
Création du compte, publication et hébergement de votre carte	Exécution du contrat (6.1.b)
Emails de service (confirmation d'adresse, réinitialisation de mot de passe)	Exécution du contrat (6.1.b)
Abonnements, paiements et facturation	Exécution du contrat (6.1.b) et obligations légales comptables (6.1.c)
Protection des comptes contre les tentatives automatisées	Intérêt légitime à sécuriser le service (6.1.f)
Transmission d'un message reçu via le formulaire de contact	Intérêt légitime du visiteur et du titulaire à entrer en relation (6.1.f)
Statistiques de consultation d'une carte, sans identifiant de visiteur	Intérêt légitime du titulaire à mesurer l'audience de sa carte (6.1.f)
Affichage du module de réservation et du plan de situation, chargés chez un tiers	Intérêt légitime du titulaire à proposer une réservation et un plan sur sa carte (6.1.f)
Alerte interne à l'éditeur lors d'une inscription ou d'un changement d'abonnement	Intérêt légitime de l'éditeur à suivre l'activité de son service (6.1.f)
Intervention de l'éditeur sur un compte, pour l'assistance et la maintenance	Intérêt légitime à dépanner un client et à maintenir le service (6.1.f)
Mesure d'audience Google Analytics	Consentement (6.1.a), révocable à tout moment

3. Cookies

Les cookies suivants peuvent être définis (les cookies de mesure d'audience uniquement après votre consentement) :

Nom	Finalité	Durée	Type
`mvc_session`	Garder votre session ouverte après connexion	30 jours après votre dernière visite	Strictement nécessaire (cookie technique, non lisible par les scripts de la page, transmis uniquement sur connexion chiffrée)
`mvc_locale`	Mémoriser votre langue choisie (FR ou EN)	1 an	Préférence (non sensible)
`mvc_admin_return`	Permettre à l'éditeur de revenir à sa propre session après une intervention d'assistance sur un compte (voir section 4)	4 heures	Strictement nécessaire
`mvc_invite`	Retenir une invitation à co-éditer une carte le temps que vous vous connectiez ou créiez un compte	1 heure	Strictement nécessaire
`mvc_demo_<identifiant de carte>`	Continuer à consulter une carte non publiée ouverte avec un lien privé, sans avoir à repasser par le lien à chaque page	30 jours	Strictement nécessaire
`mvc_demo_seen_<identifiant de carte>`	Éviter de compter plusieurs fois la même ouverture d'un lien privé. Ne contient aucun identifiant de visiteur	30 minutes	Strictement nécessaire
`_ga`, `_ga_<identifiant de mesure>`	Google Analytics : distinguer les visiteurs et maintenir l'état de session (mesure d'audience)	13 mois	Mesure d'audience, déposés uniquement après consentement

Cette liste est complète : ce sont les seuls cookies que le site pose. Seuls ceux de mesure d'audience demandent votre consentement. Tous les autres sont strictement nécessaires au service que vous venez de demander, ou mémorisent un choix que vous venez de faire : ils ne réclament donc pas de consentement et ne permettent de vous suivre sur aucun autre site.

Nous n'utilisons aucun cookie publicitaire et ne pratiquons aucune revente de données. Pour la mesure d'audience de notre site et de nos cartes publiques, nous utilisons Google Analytics 4. Ces cookies ne sont déposés qu'après votre consentement explicite via le bandeau (bouton « Accepter »). Si vous refusez, aucun script Google n'est chargé et aucune donnée n'est transmise à Google. Votre choix est mémorisé localement par votre navigateur (ce n'est pas un cookie) et vous pouvez en changer à tout moment avec le bouton ci-dessous.

4. Sous-traitants et destinataires

Nous ne faisons appel qu'aux prestataires nécessaires au fonctionnement du service. Chacun n'accède qu'aux données dont il a besoin pour la tâche qui lui est confiée. La dernière ligne de cette liste, StaffClock, fait exception : ce n'est pas un prestataire qui travaille pour nous, mais un service tiers qui traite pour son propre compte. Il est nommé ici parce que des données lui parviennent.

Cloudflare (Cloudflare, Inc., États-Unis / Cloudflare Switzerland GmbH, Suisse) : hébergement du site, conservation des données de compte et de carte, stockage des images et documents que vous envoyez, protection contre les attaques. Le réseau de Cloudflare est mondial : vos données peuvent être traitées hors de l'Union européenne, sous couvert des clauses contractuelles types. Politique Cloudflare.
Stripe (Stripe Payments Europe, Ltd., Irlande / Stripe, Inc., États-Unis) : encaissement des abonnements et gestion de la facturation. Reçoit votre adresse email ainsi que les informations de facturation et de paiement que vous saisissez chez lui. Politique Stripe.
Resend (Resend, Inc., États-Unis) : acheminement de nos emails (confirmation d'adresse, réinitialisation de mot de passe, invitation à co-éditer une carte, transmission d'un message reçu via le formulaire de contact). Reçoit l'adresse du destinataire et le contenu du message. Politique Resend.
Anthropic (Anthropic PBC, États-Unis) : traduction automatique de votre contenu et lecture d'une carte de menu que vous photographiez, uniquement lorsque vous déclenchez vous-même la fonction. Reçoit le texte ou l'image à traiter, jamais vos identifiants de connexion. Politique Anthropic.
Google (Google Ireland Limited, Irlande / Google LLC, États-Unis) : d'une part la mesure d'audience via Google Analytics 4, uniquement après votre consentement (pages vues, pays et type d'appareil approximatifs) ; d'autre part, si vous reliez votre fiche d'établissement, l'envoi du nom et de l'adresse de cet établissement pour retrouver la fiche et en lire la note moyenne et le nombre d'avis. Transferts hors UE encadrés par les clauses contractuelles types et le Data Privacy Framework. Politique Google.
Fondation OpenStreetMap (OpenStreetMap Foundation, Royaume-Uni) : deux usages distincts, à ne pas confondre. D'une part la conversion de l'adresse publiée de votre établissement en coordonnées, faite une fois depuis nos serveurs : seule cette adresse, déjà publique sur votre page, est transmise. D'autre part l'affichage du plan sur la carte publique : celui-ci est chargé par le navigateur du visiteur, qui communique alors son adresse IP à OpenStreetMap (voir 2.5). Politique OSMF.
Telegram (Telegram FZ-LLC, Dubaï, Émirats arabes unis) : acheminement des alertes internes décrites au 2.7, vers l'éditeur du service et vers lui seul. Reçoit le contenu de ces messages, donc votre nom et votre adresse email. Les Émirats arabes unis ne font l'objet d'aucune décision d'adéquation de la Commission européenne : ce transfert hors de l'Union européenne se limite à ces alertes, et vous pouvez vous y opposer. Politique Telegram.
StaffClock (staffclock.app) : module de réservation affiché sur les cartes qui l'activent. Ce n'est pas un sous-traitant : StaffClock traite pour son propre compte et pour celui de l'établissement ce que le visiteur saisit dans le formulaire de réservation, ainsi que l'adresse IP que le navigateur lui communique en chargeant le module. Nous ne recevons ni ces informations, ni la réservation.

Accès de l'éditeur à votre compte. Une fonction d'administration permet à l'éditeur d'ouvrir votre espace tel que vous le voyez, pour vous dépanner ou traiter une demande. Elle est réservée à l'éditeur du service et n'est utilisée que pour l'assistance et la maintenance.

Aucune donnée n'est vendue, partagée à des fins publicitaires, ou cédée à un tiers en dehors de ceux nommés ci-dessus, tous nécessaires au fonctionnement du service ou à une fonction que vous avez activée.

5. Durée de conservation

Compte, carte et contenus publiés : tant que votre compte existe. Suppression immédiate sur demande (voir section 6).
Session : 30 jours sans visite, puis suppression automatique.
Journal des tentatives de connexion (adresse IP) : 24 heures au maximum, purgé automatiquement.
Liens envoyés par email : un lien de confirmation d'adresse vaut 24 heures, un lien de réinitialisation de mot de passe 1 heure, et chacun ne sert qu'une fois. Passé ce délai le lien ne vaut plus rien ; la ligne qui le représente est effacée dès que vous demandez un nouveau lien, et en tout état de cause avec votre compte.
Invitations à co-éditer une carte : 14 jours. Passé ce délai le lien ne fonctionne plus, et l'invitation, qui porte l'adresse email de la personne invitée, est effacée au prochain envoi ou à la prochaine acceptation d'invitation.
Messages reçus via un formulaire de contact : non conservés après leur transmission au titulaire de la carte.
Alertes internes à l'éditeur (voir 2.7) : le message reste dans sa conversation Telegram tant qu'il ne l'efface pas.
Statistiques de consultation : conservées tant que la carte existe, et supprimées avec elle.
Données d'abonnement : pendant la durée de l'abonnement, puis le temps nécessaire à nos obligations comptables et fiscales.
Sauvegardes : notre hébergeur conserve des sauvegardes techniques selon ses propres cycles ; elles ne sont pas consultables à la demande.

6. Vos droits

Conformément au RGPD (articles 15-22) et à la loi Informatique et Libertés, vous disposez des droits suivants :

Accès et portabilité : téléchargez un export JSON complet de vos données depuis votre page Compte (bouton « Télécharger mon export JSON »).
Rectification : modifiez vos données à tout moment dans votre dashboard.
Suppression (droit à l'oubli) : supprimez votre compte instantanément depuis votre page Compte (zone Danger). La suppression emporte celle de votre carte, de vos contenus, de vos statistiques, de vos sessions et de tous vos fichiers : photo de profil, logo, fond, photos de l'établissement, affiches d'événements, photos des articles du menu, document PDF, ainsi que les images que le service a fabriquées à partir des vôtres (vignette de contact, QR de signature). Partent aussi le journal de vos appels aux fonctions d'intelligence artificielle, les invitations à co-éditer qui portaient votre adresse email, et les traces de vos tentatives de connexion. Votre handle redevient disponible.
Une seule condition : tant qu'un abonnement est en cours, la suppression est refusée. Résiliez-le d'abord, puis supprimez le compte. Nous préférons ces deux gestes clairs à une suppression de compte qui déciderait toute seule d'arrêter un abonnement payé.
Retrait du consentement : pour la mesure d'audience, changez votre choix avec le bouton de la section 3, à tout moment et sans justification.
Opposition : la suppression du compte est équivalente.
Limitation : pour limiter sans supprimer, contactez-nous.
Réclamation : vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr), autorité française de protection des données.

Nous répondons à toute demande adressée à rgpd@bizleen.com dans un délai d'un mois, conformément à l'article 12 du RGPD.

7. Sécurité

Votre mot de passe n'est jamais conservé en clair et n'est lisible par personne, y compris par nous.
Les échanges entre votre navigateur et le site sont chiffrés de bout en bout par HTTPS.
Le cookie qui maintient votre session n'est pas lisible par les scripts de la page et n'est transmis que sur une connexion chiffrée.
Les tentatives de connexion, d'inscription et d'envoi de messages sont limitées en nombre, pour freiner les attaques automatisées.
Les fichiers que vous envoyez sont contrôlés avant d'être acceptés : seuls certains formats d'image et de document sont admis, dans les limites de taille rappelées par l'éditeur au moment de l'envoi. Nous vérifions la nature réelle du fichier, pas seulement son extension.
Les actions sensibles (changement de mot de passe ou d'adresse email, suppression du compte) exigent de saisir à nouveau votre mot de passe.

Aucun service en ligne n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL et, si le risque est élevé, nous vous informerons directement, conformément aux articles 33 et 34 du RGPD.

8. Mineurs

Le service n'est pas destiné aux mineurs de moins de 16 ans. Si vous êtes parent ou tuteur et qu'un mineur a créé un compte, contactez-nous pour suppression immédiate.

9. Modifications

Cette politique peut être mise à jour. La date de dernière mise à jour est indiquée en haut de page. Pour les changements substantiels, nous vous informerons par email.

10. Contact

Pour toute question relative à vos données personnelles : rgpd@bizleen.com.