Politique de confidentialité

Woozi est une marque exploitée par Hashmi Tonmoy, entrepreneur individuel (EI), nom commercial extrakt.app, marque Woozi, 54 Rue Diderot, 92600 Asnières-sur-Seine, France (voir les mentions légales). Pour toute question ou demande sur vos données : tonmoy@woozi.cloud, ou par courrier à l'adresse ci-dessus.

• Responsable du traitement, pour les utilisateurs des comptes Woozi (le professionnel et son équipe), les visiteurs de www.woozi.cloud et les personnes inscrites sur la liste d'attente.
• Sous-traitant, pour les clients des entreprises qui utilisent Woozi : les personnes qui leur écrivent sur WhatsApp, Instagram ou Messenger ou qui réservent chez elles. L'entreprise est alors responsable du traitement, et nous agissons sur ses instructions, selon l'accord de traitement des données (DPA).

Si vous êtes client d'une entreprise qui utilise Woozi, adressez vos demandes à cette entreprise en priorité ; vous pouvez aussi nous écrire et nous l'aiderons à y répondre (voir Clients qui écrivent ou réservent).

• Compte : nom, adresse e-mail, mot de passe (stocké sous forme hachée par notre fournisseur d'authentification), photo de profil le cas échéant, rôle dans l'équipe, invitations (stockées sous forme d'empreinte du lien).
• Confirmation d'usage professionnel et acceptation des CGV et de cette politique, avec leur date et la version du document.
• Paramètres de l'entreprise : nom, fuseau horaire, contexte et règles données à Woozi AI, services, horaires, lieux, base de connaissances.
• Identifiants de connexion à Meta (identifiants du numéro WhatsApp, de la Page Facebook ou du compte Instagram, jetons d'accès) : les jetons sont chiffrés (AES-256-GCM) et ne sont jamais renvoyés au navigateur ni écrits dans les journaux.
• Facturation : offre, sièges, statut de l'abonnement et identifiants Stripe. Les données de carte sont saisies chez Stripe et ne nous parviennent jamais.
• Données techniques : adresse IP (limitation de débit et prévention des abus), journaux du serveur, rapports d'erreur.

• Contacts : nom ou nom de profil, numéro de téléphone ou identifiant Meta, e-mail, entreprise, étiquettes, champs personnalisés, notes, étape de pipeline, consentement marketing tel qu'enregistré par l'entreprise.
• Conversations : messages texte, images, vidéos, documents et messages vocaux, avec leurs dates et statuts de remise. Les médias reçus sur WhatsApp, y compris les messages vocaux, sont copiés dans notre stockage privé pour rester disponibles après leur expiration chez Meta. Les messages vocaux ne sont pas transcrits et ne sont pas envoyés à l'IA.
• Réservations : voir la section suivante.

Pour les diffusions, l'outil de l'application n'envoie qu'aux contacts que l'entreprise a marqués comme ayant consenti ; l'entreprise reste responsable de recueillir et de prouver ce consentement.

Cette section s'adresse aux personnes qui écrivent à une entreprise utilisant Woozi, ou qui réservent chez elle dans la conversation ou sur sa page de réservation (/b/…).

• Ce qui est collecté : votre nom, votre numéro de téléphone (celui de votre compte WhatsApp, ou celui saisi dans le formulaire), votre e-mail (obligatoire sur la page de réservation, facultatif dans la conversation), le service, le lieu, la date et l'heure choisis, vos messages (y compris vocaux) et tout ce que vous saisissez dans le formulaire de réservation, ainsi que l'état de la réservation (code, confirmation, présence).
• L'entreprise est responsable du traitement de ces données ; Woozi agit pour son compte. Lors de la première confirmation d'un rendez-vous dans la conversation, l'assistant vous indique que vos données servent à gérer la réservation.
• Des messages vous sont envoyés au nom de l'entreprise : confirmation de la réservation par e-mail (expéditeur « nom de l'entreprise via Woozi ») et dans la conversation, rappels 24 heures et 4 heures avant le rendez-vous par e-mail et, quand la conversation est ouverte, sur WhatsApp, offres de créneau si vous êtes sur liste d'attente, et, si l'entreprise l'a activé, une demande d'avis Google après le rendez-vous.
• Sur la page de réservation, un contrôle anti-robot Cloudflare Turnstile vérifie que la demande vient d'une personne ; Cloudflare reçoit pour cela votre adresse IP et un jeton technique. Votre adresse IP sert aussi à limiter le nombre de demandes (ces traces sont effacées après environ 2 heures). Vous confirmez votre réservation en envoyant un code sur WhatsApp ou en cliquant un lien reçu par e-mail.
• Une réservation passée ou annulée est supprimée automatiquement après la durée choisie par l'entreprise (24 mois par défaut).
• Pour exercer vos droits (accès, rectification, effacement, opposition), contactez l'entreprise, par exemple en répondant à son e-mail de confirmation ; vous pouvez aussi écrire à tonmoy@woozi.cloud, et nous transmettrons votre demande à l'entreprise et l'aiderons à y répondre.

Si vous vous inscrivez sur la liste d'attente de Woozi, nous enregistrons votre nom, votre e-mail, le nom et le type de votre entreprise, vos réponses facultatives sur votre usage de WhatsApp et Meta, votre éventuel accord pour être contacté sur WhatsApp, et la source de votre visite (paramètres utm de l'adresse). Nous vous envoyons un e-mail de bienvenue, puis un e-mail à l'ouverture. Ces données sont conservées jusqu'à ce que vous demandiez à être retiré de la liste (lien « Leave the list » dans l'e-mail, ou tonmoy@woozi.cloud).

• Fournir le service (boîte de réception, IA, réservations, automatisations, diffusions, notifications) : exécution du contrat.
• Sécurité, prévention des abus et de la fraude, y compris éviter qu'une même adresse e-mail obtienne plusieurs essais gratuits : intérêt légitime.
• Facturation et obligations comptables : obligation légale.
• Support et correction des incidents : exécution du contrat et intérêt légitime.
• E-mails de la liste d'attente et messages WhatsApp si vous l'avez accepté : votre demande et votre consentement, retirable à tout moment.

Pour les données traitées pour le compte des entreprises, la base légale est déterminée par l'entreprise. Nous ne vendons pas de données personnelles et n'utilisons pas le contenu des conversations pour entraîner un modèle d'IA.

Quand l'assistant IA est activé, les derniers messages de la conversation (texte, choix de boutons, légendes des médias ; pas les messages vocaux ni les localisations), le contexte de l'entreprise et les résultats des outils de réservation sont envoyés au fournisseur d'IA choisi par l'entreprise, Anthropic ou OpenAI, pour rédiger la réponse. Pour la plupart des comptes, ces appels passent par le compte de Woozi auprès du fournisseur ; un compte qui utilise sa propre clé passe par son propre compte. La recherche dans la base de connaissances de l'entreprise utilise OpenAI pour indexer les documents et le dernier message du client.

Les membres habilités de l'équipe Woozi peuvent consulter des informations sur les comptes pour le support. Ils ne peuvent ouvrir le contenu d'une conversation que pour le support ou la sécurité, et chaque ouverture est enregistrée (qui, quand, quelle conversation) ; si l'enregistrement échoue, la conversation ne s'ouvre pas.

Uniquement avec les prestataires nécessaires au service. La liste détaillée (rôle, pays, garanties) figure dans l'accord de traitement des données :

• Supabase : base de données, authentification (y compris les e-mails de confirmation d'inscription et de réinitialisation du mot de passe) et stockage des fichiers, hébergés dans l'Union européenne (Irlande).
• Vercel : hébergement de l'application (États-Unis).
• Meta : WhatsApp, Messenger et Instagram, par lesquels passent tous les messages ; et, lors de la connexion de WhatsApp, le SDK JavaScript de Meta, qui peut transmettre à Meta des événements techniques de cette session.
• Anthropic et OpenAI : réponses de l'IA et recherche dans la base de connaissances (États-Unis).
• Stripe : paiement et facturation.
• Resend : envoi des autres e-mails (invitations, changement d'adresse, alertes, e-mails de réservation aux clients des entreprises, liste d'attente) (États-Unis).
• Google : connexion avec Google, et recherche du nom de l'entreprise pour configurer les demandes d'avis.
• Sentry : suivi des erreurs, région Union européenne (Allemagne), avec les identifiants techniques de l'utilisateur et du compte, sans nom ni e-mail.
• Cloudflare : contrôle anti-robot Turnstile sur la page de réservation et le formulaire de liste d'attente.
• Services de notification des navigateurs (Google, Apple, Mozilla) : notifications push sur les appareils des membres de l'équipe qui les ont activées (nom du contact et début du message).

Nous pouvons aussi communiquer des données si la loi l'exige, ou pour établir ou défendre un droit en justice.

La base de données est hébergée dans l'Union européenne. Certains prestataires (Vercel, Anthropic, OpenAI, Resend, Cloudflare, Google, Meta, Stripe) peuvent traiter des données aux États-Unis ou ailleurs. Ces transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de la Commission européenne. Vous pouvez nous demander le mécanisme utilisé pour un prestataire donné.

• Contacts, conversations, messages, médias et paramètres : tant que le compte existe. Il n'y a pas de suppression automatique au bout d'un délai ; après la fin d'un abonnement ou d'un essai, le compte et ses données sont conservés jusqu'à ce que son propriétaire le supprime ou nous demande de le faire.
• Supprimer un contact efface ses conversations et messages, ses entrées sur liste d'attente et ses demandes d'avis. Ses réservations sont conservées sans lien avec lui, jusqu'à leur suppression automatique. Les fichiers médias de ses conversations restent dans le stockage jusqu'à la suppression du compte ; nous les effaçons sur demande.
• Réservations passées ou annulées : supprimées automatiquement après la durée choisie par l'entreprise (24 mois par défaut, réglable).
• Données brutes reçues de Meta (webhooks), conservées pour le diagnostic : 30 jours.
• Traces d'adresse IP pour la limitation de débit : environ 2 heures.
• Factures et données de facturation : 10 ans, durée imposée par le droit comptable français.
• Liste d'attente : jusqu'à votre demande de retrait.

Suppression du compte : quand le propriétaire supprime son compte (Paramètres), ses contacts, conversations, messages, réservations, automatisations et fichiers (médias, fichiers des automatisations, logos) sont effacés immédiatement. Sont conservés :

• les identifiants de connexion des utilisateurs (le mot de passe du propriétaire est invalidé ; il peut revenir uniquement en le réinitialisant depuis sa propre boîte e-mail) ;
• l'adresse e-mail ayant bénéficié d'un essai gratuit, sans autre donnée, sans limite de durée, pour empêcher les essais multiples, jamais utilisée à des fins marketing ;
• la liste des numéros WhatsApp professionnels déjà connectés à Woozi, sans limite de durée, pour la même raison ;
• les confirmations d'usage professionnel et d'acceptation des CGV, comme preuve ;
• les journaux d'accès du personnel et d'actions d'administration, et la notification interne de l'inscription (contenant l'e-mail) ;
• les photos de profil et les captures jointes aux signalements de bugs, que nous effaçons sur demande.

Les sauvegardes de nos hébergeurs sont effacées selon leur propre cycle.

• Jetons d'accès Meta et clés de fournisseur d'IA chiffrés (AES-256-GCM) avec une clé conservée hors de la base de données.
• Isolation des comptes au niveau de la base de données (sécurité au niveau des lignes).
• Clés d'API publiques stockées sous forme hachée, affichées une seule fois.
• Chiffrement des échanges (TLS) ; vérification de la signature des webhooks reçus.
• Stockage privé des médias des conversations.
• Accès du personnel au contenu des conversations enregistré, comme décrit ci-dessus.

En cas de violation de données vous concernant, nous informons les personnes concernées et la CNIL dans les conditions prévues par la loi, et les entreprises clientes comme prévu au DPA.

• Un cookie de session qui vous garde connecté (jusqu'à 400 jours sans déconnexion), et des cookies temporaires (10 minutes) pendant la connexion à Meta.
• Un cookie d'un an qui retient que vous avez passé l'assistant de configuration.
• Le stockage local du navigateur pour vos préférences d'interface (thème, barre latérale, colonnes, bandeaux masqués, dernière méthode de connexion).
• Le stockage de session pour la source de votre visite (paramètres utm de l'adresse), envoyée avec une inscription sur la liste d'attente, et pour détecter l'application installée.
• Cloudflare Turnstile sur la page de réservation et le formulaire de liste d'attente, et le SDK de Meta lors de la connexion de WhatsApp, comme indiqué plus haut.

Nous n'utilisons ni cookies publicitaires, ni outil de mesure d'audience tiers, ni pixel marketing.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, du droit de retirer votre consentement, et du droit de définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour les exercer : tonmoy@woozi.cloud. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe ; nous pouvons vous demander de justifier de votre identité. Pour les données d'une entreprise cliente, voir Clients qui écrivent ou réservent.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr, ou auprès de l'autorité de votre pays de résidence dans l'Espace économique européen.

Woozi est un outil professionnel qui ne s'adresse pas aux enfants. Si vous pensez que des données d'un mineur de moins de 15 ans nous sont parvenues, écrivez-nous et nous les supprimerons.

Nous pouvons mettre à jour cette politique. La date et la version figurent en haut de la page ; une modification substantielle est notifiée aux titulaires de compte et doit être acceptée à la connexion suivante.