LégalLegal
Politique de confidentialitéPrivacy Policy
Dernière mise à jour : 25 septembre 2026 · Version 1.2Last updated: September 25, 2026 · Version 1.2
1. Responsable du traitement
Le responsable du traitement est ALTIORAT LLC, joignable à contact@vodoocrm.com. Cette politique s'applique à toutes les données collectées via www.vodoocrm.com ainsi que via la page de présentation try.vodoocrm.com, y compris son formulaire de liste d'attente.
2. Données collectées
2.1 Données que vous nous fournissez
- Données de compte : prénom, nom, email, mot de passe (chiffré), nom de l'organisation
- Données de facturation : coordonnées de facturation (traitées directement par Stripe — VODOO CRM ne stocke pas les données de carte)
- Données de profil : photo, numéro de téléphone, fuseau horaire
- Contenu utilisateur : contacts, messages envoyés et reçus (email et SMS), campagnes, workflows, pipelines, funnels, produits, notes
- Identifiants de vos services tiers : par exemple ceux de votre propre compte Twilio, conservés chiffrés et utilisés uniquement pour envoyer et recevoir vos SMS
2.2 Données collectées automatiquement
- Navigation : adresse IP, type de navigateur, pages visitées, durée de session
- Usage : fonctionnalités utilisées, actions dans l'interface
- Technique : logs de connexion, identifiants de session
- Performance email : ouvertures et clics sur les emails envoyés via la plateforme (tracking Resend)
2.3 Données de vos propres contacts
Lorsque vous importez vos contacts dans VODOO CRM, vous agissez en tant que responsable du traitement de ces données. VODOO CRM est votre sous-traitant. Vous êtes responsable de la légalité de leur collecte et de l'information de vos contacts.
À ce titre, VODOO CRM traite pour votre compte : les emails et SMS que vous envoyez à vos contacts (messages individuels, campagnes, workflows) ; les réponses qu'ils vous adressent — réponses email reçues sur l'adresse de réponse de votre organisation et SMS reçus sur votre numéro —, conservées dans votre boîte de réception et, si vous l'activez, transférées en copie vers l'adresse de votre choix ; et l'état de consentement de chaque contact (désinscription email ou SMS, avec sa date et son origine), afin qu'un contact désinscrit ne reçoive plus vos messages.
2.4 Liste d'attente (try.vodoocrm.com)
Si vous vous inscrivez sur la liste d'attente depuis try.vodoocrm.com, nous collectons uniquement :
- Votre adresse email — pour confirmer votre inscription et vous prévenir au lancement
- La langue d'affichage du site (français ou anglais) — pour vous écrire dans votre langue
- Votre adresse IP et votre navigateur — uniquement pour limiter les inscriptions automatisées abusives
La base légale est votre consentement, donné par l'envoi du formulaire. Chaque email comporte un lien de désabonnement en un clic, effectif immédiatement et sans justification à fournir. Ces données ne sont ni revendues, ni transmises à des tiers à des fins commerciales, ni utilisées pour de la publicité ciblée.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fourniture et gestion du service | Exécution du contrat |
| Facturation et gestion des abonnements | Exécution du contrat / Obligation légale |
| Support client | Intérêt légitime / Exécution du contrat |
| Emails transactionnels (factures, alertes) | Exécution du contrat |
| Envoi de vos emails et SMS à vos contacts, réception de leurs réponses et respect de leurs désinscriptions (pour votre compte, en qualité de sous-traitant) | Exécution du contrat, selon vos instructions |
| Communications marketing | Consentement |
| Liste d'attente : confirmation d'inscription et information au lancement | Consentement |
| Limitation des inscriptions automatisées abusives (IP) | Intérêt légitime |
| Amélioration du service et analyse d'usage | Intérêt légitime |
| Sécurité et prévention des fraudes | Intérêt légitime / Obligation légale |
4. Durée de conservation
- Données de compte actif : pendant toute la durée de la relation contractuelle, y compris les conversations et messages de vos contacts
- Désinscriptions de vos contacts : conservées tant que le contact existe dans votre espace, pour garantir qu'il ne reçoive plus de messages
- Après résiliation : 30 jours (export possible), puis suppression définitive
- Données de facturation : 10 ans (obligation légale)
- Logs de sécurité : 12 mois
- Cookies analytiques : 13 mois maximum
- Liste d'attente : jusqu'au lancement public de VODOO CRM ou jusqu'à votre désabonnement, selon ce qui intervient en premier. Une inscription désabonnée est conservée à l'état « désabonné » dans le seul but de garantir que nous ne vous écrirons plus ; sa suppression définitive peut être demandée à tout moment à contact@vodoocrm.com.
5. Destinataires et sous-traitants
Vos données sont traitées par des sous-traitants liés à VODOO CRM par des contrats (DPA) conformes au RGPD :
- Supabase — base de données et authentification, hébergée dans l'Union européenne (Irlande)
- Vercel — hébergement de l'application ; société américaine, exécution en Europe (Paris), certifiée SOC 2
- Stripe — paiement et facturation (certifié PCI-DSS niveau 1)
- Resend — envoi des emails de la plateforme et de vos emails, suivi des ouvertures et des clics, réception des réponses de vos contacts (réception hébergée dans l'Union européenne)
- Inngest — orchestration des workflows et des campagnes en arrière-plan
- Sentry — supervision des erreurs techniques, hébergé dans l'Union européenne
- Upstash — limitation du nombre de requêtes, protection contre les abus
- Cloudflare — DNS et CAPTCHA Turnstile sur les formulaires de connexion et d'inscription
- Zoho Mail — réception des emails adressés à contact@vodoocrm.com
SMS : vos SMS sont envoyés et reçus par l'intermédiaire de votre propre compte Twilio, dans le cadre de votre contrat avec Twilio. VODOO CRM n'y utilise que les identifiants que vous lui confiez, conservés chiffrés.
WhatsApp, Instagram et Messenger : leur intégration officielle via les API de Meta est en cours et ces canaux ne sont pas encore proposés. Lorsqu'ils le seront, Meta Platforms interviendra pour les seuls messages échangés sur un canal Meta que vous aurez connecté ; la présente politique sera mise à jour à cette date.
Aucune vente de vos données à des tiers à des fins commerciales n'est effectuée.
6. Transferts internationaux
Certains sous-traitants sont établis hors de l'UE (notamment aux États-Unis). Ces transferts sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne et/ou le Data Privacy Framework UE-US.
7. Sécurité des données
- Chiffrement des données en transit (TLS 1.3) et au repos
- Authentification sécurisée avec gestion des sessions JWT
- Contrôle d'accès par tenant (Row Level Security Supabase)
- Identifiants de vos services tiers (Twilio, intégrations) chiffrés au repos (AES-256-GCM), jamais renvoyés au navigateur
- Accès aux données de production limité aux employés habilités
8. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Accès : obtenir une copie des données vous concernant
- Rectification : corriger des données inexactes
- Effacement : demander la suppression de vos données
- Portabilité : recevoir vos données dans un format lisible par machine
- Opposition : vous opposer au traitement (ex. marketing)
- Limitation : restreindre le traitement dans certains cas
- Retrait du consentement : à tout moment pour les traitements fondés sur le consentement
Pour exercer ces droits : contact@vodoocrm.com. Réponse sous un mois.
9. Cookies
Pour en savoir plus sur notre usage des cookies, consultez notre Politique cookies.
10. Contact et réclamations
Pour toute question : contact@vodoocrm.com
Vous pouvez également déposer une réclamation auprès de la CNIL (www.cnil.fr) ou de l'autorité de contrôle de votre pays de résidence.
1. Data controller
The data controller is ALTIORAT LLC, reachable at contact@vodoocrm.com. This policy applies to all data collected via www.vodoocrm.com as well as via the presentation page try.vodoocrm.com, including its waitlist form.
2. Data we collect
2.1 Data you provide
- Account data: first name, last name, email, password (hashed), organization name
- Billing data: billing details (processed directly by Stripe — VODOO CRM does not store card data)
- Profile data: photo, phone number, time zone
- User content: contacts, sent and received messages (email and SMS), campaigns, workflows, pipelines, funnels, products, notes
- Credentials for your third-party services: for example your own Twilio account credentials, stored encrypted and used only to send and receive your text messages
2.2 Data collected automatically
- Browsing: IP address, browser type, pages visited, session duration
- Usage: features used, actions in the interface
- Technical: connection logs, session identifiers
- Email performance: opens and clicks on emails sent through the platform (Resend tracking)
2.3 Data about your own contacts
When you import your contacts into VODOO CRM, you act as the data controller of that data. VODOO CRM is your data processor. You are responsible for the lawfulness of its collection and for informing your contacts.
In that capacity, VODOO CRM processes on your behalf: the emails and text messages you send to your contacts (one-to-one messages, campaigns, workflows); the replies they send you — email replies received on your organization's reply address and texts received on your number — stored in your inbox and, if you enable it, forwarded as a copy to the address of your choice; and each contact's consent status (email or SMS unsubscribe, with its date and origin), so that an unsubscribed contact no longer receives your messages.
2.4 Waitlist (try.vodoocrm.com)
If you join the waitlist from try.vodoocrm.com, we collect only:
- Your email address — to confirm your signup and notify you at launch
- The site display language (French or English) — so we write to you in your language
- Your IP address and browser — solely to limit abusive automated signups
The legal basis is your consent, given by submitting the form. Every email carries a one-click unsubscribe link that takes effect immediately, with no reason required. This data is never sold, never passed to third parties for commercial purposes, and never used for targeted advertising.
3. Purposes and legal bases
| Purpose | Legal basis |
|---|---|
| Providing and managing the service | Performance of the contract |
| Billing and subscription management | Performance of the contract / Legal obligation |
| Customer support | Legitimate interest / Performance of the contract |
| Transactional emails (invoices, alerts) | Performance of the contract |
| Sending your emails and texts to your contacts, receiving their replies and honoring their unsubscribes (on your behalf, as a processor) | Performance of the contract, following your instructions |
| Marketing communications | Consent |
| Waitlist: signup confirmation and launch notification | Consent |
| Limiting abusive automated signups (IP) | Legitimate interest |
| Service improvement and usage analytics | Legitimate interest |
| Security and fraud prevention | Legitimate interest / Legal obligation |
4. Retention period
- Active account data: for the entire duration of the contractual relationship, including your contacts' conversations and messages
- Your contacts' unsubscribes: kept as long as the contact exists in your workspace, to guarantee they receive no further messages
- After termination: 30 days (export possible), then permanent deletion
- Billing data: 10 years (legal obligation)
- Security logs: 12 months
- Analytics cookies: 13 months maximum
- Waitlist: until the public launch of VODOO CRM or until you unsubscribe, whichever comes first. An unsubscribed signup is kept in an "unsubscribed" state for the sole purpose of guaranteeing we will not write to you again; permanent deletion can be requested at any time at contact@vodoocrm.com.
5. Recipients and processors
Your data is processed by subprocessors bound to VODOO CRM by GDPR-compliant data processing agreements (DPAs):
- Supabase — database and authentication, hosted in the European Union (Ireland)
- Vercel — application hosting; US company, running in Europe (Paris), SOC 2 certified
- Stripe — payment and billing (PCI-DSS Level 1 certified)
- Resend — sending platform emails and your emails, open and click tracking, receiving your contacts' replies (reception hosted in the European Union)
- Inngest — background orchestration of workflows and campaigns
- Sentry — technical error monitoring, hosted in the European Union
- Upstash — request rate limiting, abuse protection
- Cloudflare — DNS and Turnstile CAPTCHA on sign-in and sign-up forms
- Zoho Mail — receiving emails sent to contact@vodoocrm.com
Text messages: your texts are sent and received through your own Twilio account, under your own contract with Twilio. VODOO CRM only uses the credentials you entrust to it, stored encrypted.
WhatsApp, Instagram and Messenger: their official integration through Meta's APIs is in progress and these channels are not offered yet. Once they are, Meta Platforms will be involved only for messages exchanged on a Meta channel you have connected; this policy will be updated at that time.
No sale of your data to third parties for commercial purposes is performed.
6. International transfers
Some subprocessors are established outside the EU (notably in the United States). These transfers are governed by the European Commission's Standard Contractual Clauses (SCCs) and/or the EU-US Data Privacy Framework.
7. Data security
- Data encryption in transit (TLS 1.3) and at rest
- Secure authentication with JWT session management
- Tenant access control (Supabase Row Level Security)
- Credentials for your third-party services (Twilio, integrations) encrypted at rest (AES-256-GCM), never sent back to the browser
- Production data access restricted to authorized employees
8. Your rights
Under the GDPR, you have the following rights:
- Access: obtain a copy of data concerning you
- Rectification: correct inaccurate data
- Erasure: request deletion of your data
- Portability: receive your data in a machine-readable format
- Objection: object to processing (e.g. marketing)
- Restriction: restrict processing in certain cases
- Withdrawal of consent: at any time for processing based on consent
To exercise these rights: contact@vodoocrm.com. Response within one month.
9. Cookies
To learn more about our use of cookies, see our Cookie Policy.
10. Contact and complaints
For any question: contact@vodoocrm.com
You may also lodge a complaint with the CNIL (www.cnil.fr) or with the supervisory authority of your country of residence.