Politique de confidentialité

Dernière mise à jour : 04/08/2026

La présente politique décrit comment l'application TOPYMEDIA, éditée par l'agence TOPYMEDIA (« nous »), traite les données personnelles dans le cadre du service fourni à ses clients. Pour toute question, contactez-nous à contact@topymedia.com.

1. Données que nous traitons

Compte client : nom, adresse e-mail et identifiants de connexion.
Leads : coordonnées des prospects générés par le site web du client (appels téléphoniques et soumissions de formulaires), traitées pour le compte du client.
Documents contractuels mis à disposition du client.
Rendez-vous pris via l'application, et données techniques de connexion.

2. Accès aux données des API Google

L'application demande l'autorisation d'accéder à certaines données de votre compte Google. Voici, autorisation par autorisation, ce que nous demandons, pourquoi, et ce que nous en faisons. Nous ne demandons aucune autre autorisation Google.

2.1 Google Agenda — prise de rendez-vous

Concerne les conseillers de l'agence, ainsi que les clients qui choisissent de connecter leur propre agenda depuis l'application mobile.

.../auth/calendar.freebusy — lecture des disponibilités. Nous interrogeons uniquement le point d'accès freebusy, qui renvoie des plages occupées/libres, afin de ne proposer que des créneaux réellement disponibles. Ce point d'accès n'expose aucun contenu d'événement : nous ne voyons ni ne stockons les titres, participants, descriptions ou lieux. Les plages renvoyées sont éphémères (cache technique de quelques minutes) et ne sont jamais enregistrées en base.
.../auth/calendar.events — création et suppression de nos événements. Nous créons l'événement correspondant à un rendez-vous réservé via l'application, et nous le supprimons en cas d'annulation. Nous ne lisons, ne modifions, n'importons et ne synchronisons aucun autre événement de votre agenda. Seul l'identifiant de l'événement que nous avons créé est conservé, afin de pouvoir le supprimer ultérieurement.

Pourquoi les deux : l'autorisation calendar.events ne permet pas à elle seule d'interroger freebusy. Nous demandons donc la portée calendar.freebusy, qui est la plus restreinte permettant de lire des disponibilités, plutôt qu'une portée de lecture d'agenda complète.

2.2 Google Analytics — statistiques de fréquentation

.../auth/analytics.readonly — lecture seule. Un compte Google unique, opéré par TOPYMEDIA, est ajouté en « Lecteur » sur la propriété Google Analytics de chaque client. L'application lit, via ce compte, des indicateurs agrégés de fréquentation (visiteurs, sessions, pages vues) pour les afficher au client dans son tableau de bord. Cet accès est strictement en lecture seule : nous ne pouvons ni modifier ni supprimer quoi que ce soit dans Google Analytics. Nous ne lisons aucune donnée au niveau d'un visiteur individuel.

2.3 Identité du compte connecté

openid et email. Utilisées uniquement pour afficher quelle adresse Google a été connectée, afin que vous puissiez vérifier et révoquer la bonne connexion. Aucune autre donnée de profil n'est demandée ni conservée.

Usage limité (Limited Use). L'utilisation et le transfert par TOPYMEDIA des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use). En particulier, les données issues des API Google ne sont jamais : utilisées à des fins publicitaires ou de ciblage ; vendues, louées ou cédées ; transférées à des tiers en dehors des usages décrits ci-dessus ; utilisées pour entraîner des modèles d'intelligence artificielle généralisés ; ni lues par un humain, sauf accord explicite de votre part, pour des raisons de sécurité, ou lorsque la loi nous y oblige.

3. Comment nous protégeons ces données

Nous considérons les données issues des API Google et les jetons d'accès associés comme des données sensibles, et nous mettons en œuvre les mesures de sécurité suivantes pour en protéger la confidentialité et l'intégrité :

Chiffrement en transit. Tous les échanges — entre l'application mobile, notre serveur et les API Google — se font exclusivement en HTTPS/TLS. Aucun échange en clair n'est autorisé.
Chiffrement au repos. Les jetons d'accès et de rafraîchissement Google sont chiffrés en base de données (AES-256) avec une clé applicative distincte de la base. Ils ne sont déchiffrés qu'au moment d'appeler l'API Google, en mémoire, et ne sont jamais écrits en clair sur disque ni dans les journaux.
Aucune exposition des jetons. Les jetons ne sont jamais renvoyés par notre API, ni affichés dans l'interface, ni transmis à l'application mobile.
Minimisation. Nous ne demandons que les autorisations strictement nécessaires aux fonctionnalités décrites, et nous ne stockons pas les données Google que nous pouvons recalculer à la demande : les plages de disponibilité et les statistiques Analytics sont lues à la volée et non conservées.
Contrôle d'accès. L'accès aux systèmes de production est restreint au personnel technique autorisé de TOPYMEDIA, selon le principe du moindre privilège. Chaque client ne peut accéder qu'à ses propres données, un cloisonnement appliqué au niveau de chaque requête en base.
Révocation et suppression. Vous pouvez révoquer notre accès à tout moment depuis les paramètres de sécurité de votre compte Google, ou en déconnectant l'intégration depuis l'application. La déconnexion supprime immédiatement et définitivement les jetons correspondants de notre base. Les jetons sont également supprimés à la fin de la relation contractuelle.
Hébergement. Nos serveurs et sauvegardes sont situés dans l'Union européenne, chez un hébergeur professionnel disposant de mesures de sécurité physiques et logiques.
Incidents. En cas de violation de données susceptible d'affecter vos droits, nous notifions les personnes concernées et la CNIL dans les délais prévus par le RGPD.

4. Finalités et base légale

Les données sont traitées pour fournir le service (suivi des leads, accès aux documents, prise de rendez-vous, statistiques de fréquentation), sur la base de l'exécution du contrat qui nous lie à nos clients et de notre intérêt légitime à opérer le service. La connexion d'un compte Google repose sur votre consentement explicite, donné via l'écran d'autorisation Google, et révocable à tout moment.

5. Conservation

Les données sont conservées pendant la durée de la relation contractuelle, puis supprimées ou anonymisées, sauf obligation légale de conservation. Les données lues via les API Google (plages de disponibilité, statistiques Analytics) ne sont pas conservées. Les jetons Google sont supprimés dès la révocation ou la déconnexion, et au plus tard à la fin du contrat.

6. Partage des données

Nous ne vendons aucune donnée. Nous ne partageons les données qu'avec les sous-traitants techniques strictement nécessaires à l'exploitation du service (hébergement, envoi d'e-mails, notifications push), liés par contrat et tenus à des obligations de confidentialité équivalentes. Aucune donnée issue des API Google n'est transmise à ces sous-traitants.

7. Vos droits (RGPD)

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et de portabilité de vos données, ainsi que d'un droit d'opposition. Pour exercer ces droits, écrivez-nous à contact@topymedia.com. Vous pouvez également introduire une réclamation auprès de la CNIL.

8. Modifications

Cette politique peut être mise à jour. La date de dernière mise à jour figure en haut de page.