Confidentialité

Dernière mise à jour : 21 octobre 2026

Cette page explique quelles données à caractère personnel CitedBy (citedby.eu) traite, pourquoi, sur quelle base juridique, combien de temps nous les conservons, qui d'autre les reçoit et ce que vous pouvez faire à ce sujet. Elle est conforme au règlement général sur la protection des données (RGPD) de l'Union européenne.

1. Qui est responsable

CitedBy est exploité par Bilal Sbaiby, personne physique résidant en Espagne, qui est le responsable du traitement de vos données. Adresse postale : Travesia del Nuevo Alamin 11, 2D, 19005 Guadalajara, Espagne. E-mail : hello@citedby.eu. Voir également les mentions légales.

2. Ce que nous traitons, pourquoi et pendant combien de temps

Quoi	Pourquoi nous l'utilisons	Base juridique (RGPD, art. 6)	Durée de conservation
Contrôle gratuit : l'adresse web que vous saisissez, les pages publiques que nous en avons récupérées et le résultat. Votre adresse IP est transformée en un code unidirectionnel à clé, que nous utilisons pour compter les contrôles par réseau ; nous ne conservons pas l'adresse elle-même.	Pour effectuer le contrôle et vous en montrer le résultat. Pour limiter les abus (quelques contrôles gratuits par réseau et par jour).	Exécution du service que vous avez demandé (art. 6, paragraphe 1, point b)) ; notre intérêt légitime à prévenir les abus (art. 6, paragraphe 1, point f)).	7 jours, puis suppression.
Compte : votre adresse e-mail, la langue que vous avez choisie, l'heure de votre inscription. Si vous définissez un mot de passe, seulement son empreinte salée (scrypt), jamais le mot de passe. Si vous utilisez la connexion Google, seulement l'adresse e-mail vérifiée que Google nous transmet.	Pour créer votre compte, vous connecter et vous envoyer ce que vous avez commandé.	Exécution du contrat conclu avec vous (art. 6, paragraphe 1, point b)).	Jusqu'à la suppression de votre compte.
Liens de connexion et de confirmation : un lien est valable pour une seule utilisation et 15 minutes (un lien de réinitialisation du mot de passe également) et nous n'en conservons qu'une empreinte.	Pour prouver que l'adresse e-mail est la vôtre.	Art. 6, paragraphe 1, point b).	Supprimés avec votre compte.
Audits de sites : votre adresse e-mail, l'adresse web que vous auditez, les pages publiques que nous en avons récupérées (adresse, titre, intertitres, un court extrait de texte, et les vérifications réussies ou échouées) et le rapport. Nous ne récupérons que des pages publiques, ne nous connectons jamais et nous identifions sous le nom de CitedBot, sauf que nous chargeons votre page d'accueil une fois comme un navigateur et une fois comme chacun des principaux robots d'IA, pour voir ce que chacun reçoit.	Pour explorer votre site, produire le rapport et les corrections, et relancer l'analyse selon le calendrier que vous définissez.	Art. 6, paragraphe 1, point b).	Jusqu'à la suppression de votre compte. Un Audit unique reste accessible pendant 30 jours ; le rapport conservé n'est pas supprimé automatiquement à ce terme, mais seulement lorsque votre compte est supprimé ou que vous nous demandez de supprimer l'audit.
Paramètres de projet que vous ajoutez : calendrier, options de résumé par e-mail et d'alerte, adresse de webhook Slack, chiffres de Search Console que vous importez, nom de marque, logo et couleur, domaine personnalisé du rapport, mot de passe de partage (conservé uniquement sous forme d'empreinte), adresses e-mail des membres de l'équipe.	Pour fournir ces fonctionnalités.	Art. 6, paragraphe 1, point b).	Jusqu'à ce que vous les retiriez ou que vous supprimiez votre compte.
Paiements : votre offre, les numéros de client et d'abonnement Stripe, l'état du paiement. Nous ne voyons jamais votre numéro de carte : Stripe s'en charge. Les notifications que Stripe nous envoie (événements) contiennent votre adresse e-mail, votre offre et les montants.	Pour encaisser les paiements, gérer l'essai gratuit et les renouvellements, émettre les factures et effectuer les remboursements.	Art. 6, paragraphe 1, point b) ; conservation des pièces comptables (art. 6, paragraphe 1, point c)).	Les documents que Stripe et nous conservons comme pièces comptables sont conservés pendant six ans, comme l'exige le droit commercial espagnol (Código de Comercio, art. 30), puis supprimés. Ils ne sont pas supprimés lorsque vous supprimez votre compte.
Un essai gratuit par adresse e-mail et par carte : votre adresse e-mail, son domaine, les numéros de compte et d'abonnement, et l'empreinte (« fingerprint ») de votre carte chez Stripe (un code qui identifie la carte ; ce n'est pas le numéro de carte).	Pour faire respecter la règle de l'essai unique, afin que la suppression d'un compte suivie d'une nouvelle inscription ne permette pas d'obtenir un second essai gratuit.	Notre intérêt légitime à prévenir les abus (art. 6, paragraphe 1, point f)).	Conservé après la suppression de votre compte, aussi longtemps que la règle de l'essai unique s'applique. Vous pouvez vous opposer à cet enregistrement (voir la section 7).
Rétractation : si vous vous rétractez d'un contrat avec la fonction « Renoncer au contrat ici », votre nom, votre adresse e-mail, le numéro de contrat, la déclaration, l'heure à laquelle elle a été faite (UTC), et la suite que nous lui avons donnée.	Pour traiter votre rétractation, vous rembourser et pouvoir démontrer ultérieurement que nous l'avons fait.	Art. 6, paragraphe 1, point c), et art. 6, paragraphe 1, point f).	Six ans, avec les pièces comptables ci-dessus.
E-mails que nous vous envoyons : liens de connexion, confirmations, reçus et rappels d'essai (3 jours avant le premier prélèvement), rapports, ainsi que les résumés et alertes que vous activez. Nous tenons un journal de ce que nous avons envoyé : l'adresse, l'objet et le texte, sans les liens de connexion ni de mot de passe.	Pour fournir le service.	Art. 6, paragraphe 1, point b).	Supprimés avec votre compte.
Messages que vous nous envoyez à hello@citedby.eu : votre adresse et le message.	Pour vous répondre.	Art. 6, paragraphe 1, point b), si vous êtes client ou sur le point de le devenir ; sinon, notre intérêt légitime à vous répondre (art. 6, paragraphe 1, point f)).	Aussi longtemps que nécessaire pour vous répondre et donner suite, puis suppression.
Comptages de visites : quelle page a été consultée, dans quelle langue, si un bouton a été actionné, et des comptages anonymes d'étapes telles que l'inscription, la connexion, le paiement ou la rétractation (sans e-mail, nom ni numéro de compte), sans cookie et sans rien enregistrer sur votre appareil. Nos serveurs n'écrivent ni adresses IP ni chaînes de requête dans leurs propres journaux.	Pour savoir quelles pages fonctionnent et pour assurer le fonctionnement du service.	Notre intérêt légitime à améliorer le service et à en garantir la sécurité (art. 6, paragraphe 1, point f)).	Les comptages ne contiennent aucun identifiant ; le prestataire d'analyse les conserve dans son projet situé dans l'UE (voir la section 4).
Données d'hébergement et de sécurité : la couche d'hébergement (serveur, réseau) traite votre adresse IP et la page demandée afin de livrer la page et de bloquer les attaques.	Pour servir le site en toute sécurité.	Art. 6, paragraphe 1, point f).	Uniquement le temps nécessaire à ces finalités.
Sauvegardes : une copie nocturne de notre base de données.	Pour rétablir le service en cas de défaillance.	Art. 6, paragraphe 1, point f).	Nous conservons les 30 dernières copies nocturnes ; les plus anciennes sont écrasées. Un compte supprimé disparaît des sauvegardes sous 30 jours, à mesure que les copies plus anciennes sont remplacées.

Devez-vous nous communiquer vos données ? Une adresse e-mail est nécessaire pour créer un compte et recevoir les rapports ; sans elle, nous ne pouvons pas fournir le service. Le contrôle gratuit n'a besoin que de l'adresse web que vous saisissez. Tout le reste est facultatif. Pour souscrire une offre, il faut les données de paiement que Stripe recueille et que nous ne voyons jamais.

Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires. Nous ne prenons à votre sujet aucune décision fondée sur un traitement automatisé qui produirait des effets juridiques ou vous affecterait de manière significative de façon similaire (art. 22).

3. Cookies

Les pages publiques ne déposent aucun cookie et ne chargent aucun script tiers, et la balise d'analyse n'enregistre rien sur votre appareil. Nous ne déposons un cookie que lorsqu'une fonctionnalité en a besoin. Chacun est strictement nécessaire, HttpOnly, transmis uniquement en HTTPS, et jamais utilisé à des fins de suivi ou de publicité :

ci_session vous maintient connecté. Il est déposé lorsque vous vous connectez et dure 30 jours, ou jusqu'à votre déconnexion.
ci_gstate n'est déposé que si vous utilisez « Continuer avec Google ». Il dure 10 minutes et vérifie que la connexion à laquelle vous revenez est bien celle que vous avez lancée.
ci_share_<report id> est déposé lorsque vous ouvrez un rapport partagé protégé par mot de passe et saisissez ce mot de passe. Il dure 24 heures afin que vous n'ayez pas à ressaisir le mot de passe.

4. Qui reçoit vos données

Nous faisons appel aux prestataires de services suivants (sous-traitants) et à un responsable du traitement indépendant. Chacun ne reçoit que ce que sa fonction exige.

Stripe Payments Europe Ltd (Irlande) : paiements, abonnements, factures et remboursements. Il reçoit votre adresse e-mail, votre offre et les données de votre carte ; les données de carte ne nous parviennent jamais. Il peut traiter des données aux États-Unis au titre de clauses contractuelles types.
Resend (États-Unis) : envoie nos e-mails et reçoit donc votre adresse e-mail, l'objet et le texte de chaque message, y compris les liens de connexion, reçus, rapports, résumés et alertes. Clauses contractuelles types.
Anthropic Ireland, Limited (Irlande, UE), qui peut transférer des données à Anthropic, PBC (États-Unis) au titre de clauses contractuelles types : il reçoit le texte public des pages que nous avons explorées, afin que nous puissions évaluer chaque page et rédiger les corrections. Il ne reçoit ni votre adresse e-mail ni les données de votre compte.
OpenRouter (États-Unis ; clauses contractuelles types) : reçoit des questions générales que nous rédigeons nous-mêmes sur des catégories de produits, pour nos propres données de référence. Il ne reçoit aucune adresse e-mail, aucune donnée de compte et aucun contenu d'audit.
PostHog (cloud UE, Francfort, exploité par PostHog Inc., États-Unis ; clauses contractuelles types) : compte les visites de pages et ces étapes. Notre serveur lui transmet votre adresse IP et le type de votre navigateur à chaque page vue afin qu'il puisse distinguer les visites sur une journée ; il ne dépose aucun cookie, ne conserve ni l'adresse ni le type de navigateur, et n'est pas sollicité lorsque votre navigateur envoie le signal Do Not Track ou Global Privacy Control.
Forward Email (Forward Email LLC, États-Unis ; clauses contractuelles types) : reçoit chaque message envoyé à hello@citedby.eu (adresse de l'expéditeur et message) et le transfère vers la boîte Gmail de l'exploitant, fournie par Google Ireland Ltd (UE), qui peut transférer des données à Google LLC (États-Unis) au titre du cadre de protection des données UE-États-Unis.
Google Drive (Google Ireland Ltd, avec Google LLC au titre du cadre de protection des données UE-États-Unis) : conserve nos sauvegardes nocturnes de la base de données (voir le tableau ci-dessus).
Hetzner Online GmbH (Allemagne ; nos serveurs se trouvent à Helsinki, en Finlande, UE) : héberge notre site et notre base de données.
Cloudflare, Inc. (États-Unis, au titre du cadre de protection des données UE-États-Unis) : répond aux requêtes DNS que nous effectuons lorsque vous vérifiez un site par enregistrement DNS ou que nous contrôlons le domaine personnalisé de vos rapports à votre marque. Il reçoit l'adresse du site ou le domaine concerné ainsi que l'adresse IP de notre serveur, et aucune donnée de compte.
Slack (Salesforce, Inc., États-Unis, au titre du cadre de protection des données UE-États-Unis) : reçoit nos alertes de projet (l'adresse du site audité, son score, le nombre de problèmes nouveaux ou corrigés et ce qui s'est dégradé, ainsi qu'un lien vers le rapport) uniquement à l'adresse de webhook Slack que vous nous indiquez dans les paramètres de votre projet ; elles arrivent donc dans votre propre espace de travail Slack, dans le cadre de votre accord avec Slack. Si aucune adresse n'est définie, rien n'est envoyé à Slack.
Google (Google Ireland Ltd, avec Google LLC au titre du cadre de protection des données UE-États-Unis) est également un responsable du traitement indépendant pour la connexion « Continuer avec Google » : il voit que vous vous connectez à CitedBy et traite votre compte Google conformément à sa propre politique de confidentialité (policies.google.com/privacy), et il nous transmet votre adresse e-mail vérifiée. Nous demandons à Google votre adresse e-mail uniquement (les portées openid et email) et ne conservons ni nom, ni photo, ni contacts, ni jeton Google. Nous n'envoyons rien d'autre à Google à votre sujet. La connexion avec Google est facultative ; le lien de connexion par e-mail fonctionne sans elle. La base juridique est l'art. 6, paragraphe 1, point b).

Nous pouvons également communiquer des données lorsque la loi l'exige.

5. Transferts hors de l'UE

Lorsqu'un destinataire se trouve aux États-Unis (Resend, OpenRouter, PostHog Inc., Forward Email, Anthropic, Google, Cloudflare, Slack), le transfert repose soit sur le cadre de protection des données UE-États-Unis (lorsque nous l'indiquons ci-dessus), soit sur les clauses contractuelles types de la Commission européenne. Écrivez à hello@citedby.eu si vous souhaitez obtenir une copie des garanties.

6. Suppression de votre compte

Vous pouvez exporter les données de votre compte et supprimer votre compte depuis les paramètres de votre compte. La suppression s'effectue en une seule action et prend effet immédiatement :

Nous résilions d'abord chaque abonnement actif auprès de Stripe. Si cette étape échoue, nous ne supprimons rien et vous affichons une erreur, de sorte que vous n'êtes jamais facturé pour un compte supprimé. Réessayez, ou écrivez-nous.
Nous supprimons ensuite votre compte, vos liens de connexion, votre adresse de notre journal d'e-mails, et tout ce que contiennent vos audits : audits, pages récupérées, projets et leurs paramètres (y compris une adresse de webhook Slack), chiffres de Search Console, paramètres de marque, mots de passe de partage, calendriers et membres de l'équipe que vous avez invités. Une invitation envoyée à votre adresse par un autre compte est également supprimée. Les données des autres comptes ne sont jamais touchées.

Ce qui subsiste après la suppression, et pourquoi : les pièces de paiement, de facturation et de rétractation décrites dans le tableau ci-dessus (six ans, droit comptable), et l'enregistrement de l'essai unique (art. 6, paragraphe 1, point f)). Nos sauvegardes de base de données perdent vos données sous 30 jours, à mesure que les copies plus anciennes sont écrasées.

Pour faire supprimer un seul audit sans supprimer votre compte, écrivez à hello@citedby.eu.

7. Vos droits

En vertu du RGPD (art. 15 à 22), vous avez le droit :

d'accéder à vos données et d'en obtenir une copie (art. 15). Vous pouvez les télécharger depuis les paramètres de votre compte.
de faire rectifier les données inexactes (art. 16).
de faire effacer vos données (art. 17), sous réserve des exceptions mentionnées ci-dessus.
de limiter l'usage que nous en faisons (art. 18).
d'être informé lorsque nous rectifions, effaçons ou limitons des données que nous avons communiquées (art. 19).
de les recevoir dans un format portable (art. 20) : l'export disponible dans les paramètres de votre compte est un fichier JSON.
de vous opposer au traitement fondé sur notre intérêt légitime (art. 21), par exemple l'enregistrement de l'essai unique, les limites contre les abus et les comptages de visites. Nous cessons alors le traitement, sauf si nous avons des motifs légitimes impérieux ou si nous avons besoin des données pour la constatation, l'exercice ou la défense d'un droit en justice.
de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire (art. 22). Nous ne prenons aucune décision de ce type.

Pour exercer un droit, écrivez à hello@citedby.eu depuis l'adresse utilisée par votre compte. Nous répondons sous 2 jours ouvrés et, dans tous les cas, donnons suite à votre demande dans un délai d'un mois (art. 12, paragraphe 3). Nous pouvons vous demander de justifier de votre identité.

8. Réclamations

Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données. En Espagne, il s'agit de l'Agencia Española de Protección de Datos (AEPD) : aepd.es (réclamations via son siège électronique, sedeaepd.gob.es). Vous pouvez également introduire une réclamation auprès de l'autorité du pays de l'UE où vous vivez ou travaillez.

9. Modifications

Nous modifions cette page lorsque ce que nous faisons change, et nous mettons à jour la date en haut de page.