Politique de confidentialité

Pour les données de compte et de facturation, l'éditeur — Mathieu Ceran (EI), entrepreneur individuel exerçant sous le nom commercial AJD Studio, 2 rue des Cartellets, 01000 Bourg-en-Bresse (SIREN 532 735 990) — agit en qualité de responsable de traitement.

Pour les données des sites déclarés par nos clients (pages publiques explorées, données Google Search Console, articles rédigés), l'éditeur agit en qualité de sous-traitant: c'est le client, propriétaire du site, qui décide de ce qui est connecté et qui en est responsable de traitement.

Contact : hello@whatswrong.io.

• Les pages publiques du site déclaré: le Service les lit comme le ferait un moteur de recherche (titres, textes, liens, images, temps de réponse) pour en déduire la marque, les sujets d'articles et la santé technique. Rien n'est installé sur le site.
• Les données Google Search Consoledu site, si le client connecte son compte Google : requêtes, pages, clics, impressions, positions, sitemaps. L'accès est en lecture seule (plus la soumission de sitemaps) et révocable à tout moment depuis la page Connexions ou depuis le compte Google.
• Les identifiants de publicationconfiés par le client : jeton de rafraîchissement Google, mot de passe d'application WordPress. Ils sont chiffrés (AES-256-GCM) avant d'être enregistrés et ne sont jamais réaffichés. Les clés d'API que le client crée sont conservées hachées.
• Les contenus produits: briefs, articles, rapports d'audit, analyses de concurrents et de liens, résultats des sondages de visibilité — attachés au site, lisibles par le seul compte qui le détient.
• Les données de compte décrites à la section 5.

Cette section engage l'éditeur. Chaque point est une propriété du code, pas une intention.

• Aucun visiteur des sites de nos clients. Le Service ne dépose aucun script, aucun cookie ni aucun identifiant sur les sites déclarés : il ne connaît pas leurs visiteurs, ni leurs adresses IP, ni leurs parcours.
• Aucune page privée. Seules les pages accessibles publiquement sont lues ; les pages exclues par robots.txt ou protégées par un mot de passe ne le sont pas.
• Aucune écriture sur Search Consoleen dehors de la soumission d'un sitemap demandée explicitement par le client.
• Aucune publication sans confirmation.Un article ne part vers WordPress qu'après un clic de confirmation ; par l'API, c'est le site du client qui vient le chercher.
• Aucune revente, aucun partage publicitaire.Les données d'un site servent exclusivement son propriétaire.

La connexion Search Console passe par le consentement OAuth de Google : le client choisit le compte, voit la portée demandée (lecture des données Search Console) et peut la retirer à tout moment. Retirer la connexion depuis WhatsWrong supprime le jeton chiffré ; la retirer depuis le compte Google le rend inutilisable et la page Connexions le signale.

L'usage des données Google par WhatsWrong respecte la Google API Services User Data Policy, y compris ses exigences d'usage limité : ces données ne servent qu'à afficher et analyser la visibilité du site connecté, ne sont jamais transmises à des fins publicitaires et ne sont lues par un humain qu'avec l'accord du client, pour le support.

Pour les personnes qui ouvrent un compte : nom, adresse e-mail, mot de passe (conservé sous forme hachée, jamais en clair), formule souscrite, compteurs d'usage, identifiant client Stripe et état de l'abonnement. Les données de carte bancaire ne transitent jamais par nos serveurs et ne sont jamais conservées : elles sont traitées directement par Stripe.

Un cookie de session strictement nécessaire au maintien de la connexion est déposé. Il ne sert à aucune mesure et est exempté de consentement à ce titre.

• Exécution du contrat (art. 6.1.b RGPD) : gestion du compte, fourniture du Service, facturation.
• Consentement (art. 6.1.a) : connexion du compte Google, retirable à tout moment (section 4).
• Intérêt légitime (art. 6.1.f) : lecture des pages publiques du site déclaré, dans les limites de la section 3.
• Obligation légale (art. 6.1.c) : conservation des pièces comptables.

L'éditeur ne vend ni ne partage vos données. Il recourt aux prestataires suivants, chacun lié par un accord de sous-traitance :

• Vercel Inc.— hébergement de l'application et acheminement des requêtes.
• Neon, LLC (société affiliée à Databricks, Inc.) — base de données, région AWS eu-west-2 (Londres, Royaume-Uni).
• Stripe Payments Europe, Ltd. — paiement et facturation (Irlande).
• Des fournisseurs de modèles d'intelligence artificielle — rédaction, analyses et sondages de visibilité dans les assistants conversationnels (États-Unis).
• Un fournisseur de données de référencement — métriques de mots-clés, de concurrents et de liens entrants, et lecture des réponses IA des moteurs de recherche ; reçoit les noms de domaine, les mots-clés étudiés et les requêtes dont la visibilité est sondée.
• Un service de génération d'images— images des articles (États-Unis), à partir d'une description de l'image à produire.
• Un réseau de sites partenaires— publication des liens commandés à l'unité (article 17 des CGUV) ; reçoit, pour chaque commande, l'adresse de la page à promouvoir, le mot-clé visé, le nom et la description de l'activité et, pour une Citation IA, la fiche Google Maps de l'établissement.
• Un prestataire d'envoi d'e-mails — envoi des e-mails transactionnels.

Ce qui est transmis aux fournisseurs de modèles d'IA, précisément : le contenu public des pages analysées, le contexte de marque déduit ou corrigé par le client, des agrégats Search Console (requêtes, positions, clics) et les requêtes dont la visibilité est sondée. Aucune donnée de compte, aucun identifiant de connexion n'y est transmis.

La liste nominative de ces prestataires est communiquée sur simple demande à hello@whatswrong.io.

Plusieurs prestataires impliquent un transfert de données hors de l'Union européenne :

• Royaume-Uni — base de données (Neon, région AWS eu-west-2, Londres).
• États-Unis— rédaction, analyses et sondages de visibilité (fournisseurs de modèles d'IA), qui reçoivent le contenu public des pages analysées, les agrégats Search Console et les requêtes sondées ; métriques de référencement et lecture des réponses IA des moteurs de recherche, qui reçoivent les noms de domaine, les mots-clés étudiés et les requêtes sondées ; génération d'images, qui reçoit la description de l'image à produire.

Pour toute question sur ces transferts, écrivez à hello@whatswrong.io.

Retirer un site du compte supprime tout ce qui s'y rattache (pages, audits, articles, données Search Console, connexions) en une seule opération.

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus aux articles 15 à 22 du RGPD. Ils s'exercent auprès de hello@whatswrong.io.

Si vous êtes propriétaire d'un site connecté : la déconnexion de Google, de WordPress ou la suppression d'une clé d'API agit sans délai depuis les pages Connexions et API ; la suppression du site emporte celle de ses données.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — cnil.fr.

Les échanges sont chiffrés en transit (HTTPS). Les mots de passe sont hachés. L'accès aux données d'un site est cloisonné par compte et vérifié à chaque requête. Les jetons Google et mots de passe d'application sont chiffrés au repos ; les clés d'API sont hachées et ne s'affichent qu'une fois.

Le site vitrine (page d'accueil, blog, pages publiques) peut utiliser le pixel Meta pour mesurer l'efficacité de nos campagnes publicitaires. Ce pixel dépose des cookies (notamment_fbp) — uniquement après votre accord via la bannière de consentement. Refuser est aussi simple qu'accepter, et aucun cookie publicitaire n'est déposé tant que vous n'avez pas choisi.

Ce pixel n'est jamais présent sur l'application connectée (tableau de bord, administration) ni sur les pages de bilan partagées : il ne concerne que la visite du site vitrine. Les sites de nos clients ne sont pas concernés : WhatsWrong n'y installe rien.

Par ailleurs, lors d'une inscription ou d'une souscription, nous pouvons transmettre à Meta (API Conversions) un identifiant haché(SHA-256) de l'adresse email — jamais l'adresse en clair — afin d'attribuer la conversion à la campagne qui l'a générée. Vous pouvez vous y opposer à tout moment en nous écrivant (voir « Vos droits »).

Meta Platforms Ireland Ltd agit alors en qualité de responsable de traitement distinct ; sa politique est consultable sur son site. Pour revenir sur votre choix :

Toute modification substantielle est portée à la connaissance des titulaires de compte au moins trente (30) jours avant son entrée en vigueur. La date de version figure en tête de page.

Les conditions contractuelles du Service figurent dans les Conditions Générales d'Utilisation et de Vente.