Politique de confidentialité

FirstSales (« nous » ou « notre ») exploite la plateforme FirstSales sur firstsales.io. C'est un produit de cold email entre entreprises (B2B) qui propose des séquences d'emails assistées par IA, le préchauffage automatique des boîtes et des domaines, des outils de délivrabilité, la gestion de listes de prospects et l'analyse des campagnes.

Cette Politique de confidentialité explique comment nous collectons, recevons, utilisons, stockons, partageons, transférons et protégeons les données personnelles quand vous utilisez le site et la plateforme FirstSales (ensemble, le « Service »). Elle s'applique à toute personne qui visite firstsales.io, à chaque titulaire de compte et utilisateur d'essai, et à toute personne dont les données passent par nos systèmes.

Pour les données personnelles de nos propres utilisateurs et visiteurs, FirstSales est responsable du traitement : nous décidons pourquoi et comment les données sont traitées. Pour les données personnelles que les utilisateurs importent sur leurs propres prospects et contacts (listes de destinataires, données d'enrichissement, imports CRM), FirstSales est sous-traitant. Nous agissons sur les instructions de l'utilisateur, qui est responsable du traitement de ces données.

Si vous avez reçu un cold email envoyé via FirstSales et voulez savoir pourquoi vous avez été contacté, ou être retiré de la liste de l'expéditeur, répondez à cet email ou contactez directement l'expéditeur. Vous pouvez aussi nous écrire à firstsales@support.communicate.so et nous aiderons à transmettre votre demande.

En créant un compte, en commençant un essai ou en utilisant une partie du Service, vous confirmez avoir lu et compris cette Politique de confidentialité. Si vous n'êtes pas d'accord avec une partie, n'utilisez pas le Service.

Les données personnelles que nous collectons dépendent de la façon dont vous utilisez FirstSales.

Données de compte et de profil : à l'inscription, nous collectons votre nom, votre adresse email et les informations de profil facultatives que vous ajoutez, comme le nom de l'entreprise, le poste ou le site web. Si vous invitez des membres d'équipe, nous collectons leurs adresses email pour envoyer les invitations.

Données de facturation et de paiement : quand vous commencez un abonnement payant ou l'essai à $1, vous fournissez des données de facturation comme le nom du titulaire et les informations de carte. Nos prestataires de paiement externes (actuellement Stripe) traitent les paiements. Nous ne recevons ni ne stockons jamais sur nos serveurs le numéro complet de votre carte, le CVV ou la date d'expiration complète. Nous recevons et stockons un jeton de paiement, les quatre derniers chiffres, la marque de la carte et le pays de facturation, pour gérer votre abonnement et prévenir la fraude.

Données des boîtes mail et domaines connectés : pour envoyer des emails en votre nom, vous autorisez FirstSales à accéder à votre compte email via OAuth (Google, Microsoft ou fournisseurs similaires) ou via des identifiants SMTP/IMAP. Cela nous permet d'envoyer des emails depuis votre adresse, de lire l'état de livraison des emails envoyés et, si vous activez le préchauffage, d'échanger des messages de préchauffage au sein de notre réseau. Nous stockons les jetons OAuth (chiffrés), votre adresse email, le nom affiché, l'identité du fournisseur et les réglages d'envoi. Nous accédons aux métadonnées des emails (objet, heure, message-id, adresses des destinataires) et, dans certains cas, à une partie limitée du corps des emails, uniquement pour faire le préchauffage, suivre les ouvertures et les clics, et vous fournir des analyses de délivrabilité.

Données de prospects et de contacts importées par les utilisateurs : vous pouvez importer des fichiers CSV, connecter des intégrations CRM ou ajouter des contacts à la main. Ces fiches peuvent contenir des noms, des adresses email professionnelles, des postes, des noms d'entreprises, des URLs LinkedIn et d'autres informations de prospection. Ces données vous appartiennent. Vous êtes responsable du traitement, et vous seul devez vous assurer d'avoir une base légale pour traiter et contacter chaque personne.

Données d'usage et du produit : nous collectons des informations sur votre usage du Service, comme les pages visitées, les fonctions activées, les séquences créées, les campagnes lancées, les emails envoyés et suivis, les ouvertures et les clics, et la durée des sessions. Ces données sont surtout liées à votre compte, et ne servent pas à vous suivre sur d'autres sites.

Données de l'appareil et journaux : nos serveurs enregistrent automatiquement votre adresse IP, le type et la version du navigateur, le système d'exploitation, l'URL de provenance et l'heure quand vous utilisez le Service. Nous utilisons ces journaux pour surveiller la sécurité, corriger les bugs et prévenir les abus.

• Cookies et outils similaires : nous utilisons des cookies essentiels pour vous garder connecté et vous protéger contre les attaques CSRF. Nous pouvons utiliser des cookies d'analyse pour comprendre l'usage global du produit. Les cookies de préférences retiennent des réglages comme le fuseau horaire et la langue. Pour tous les détails sur les cookies, les outils de suivi et la façon de les refuser, consultez notre Politique de cookies.

Nous utilisons les informations collectées pour ces finalités :

• Fournir le Service : vous connecter, envoyer des emails et faire le préchauffage pour vous, gérer les campagnes et les séquences, stocker et afficher vos listes de prospects, et afficher les tableaux de bord d'analyse.
• Gestion du compte et facturation : gérer les abonnements, les activations d'essai et les renouvellements, et vous informer des changements de forfait, des factures et des problèmes de paiement.
• Délivrabilité et préchauffage : analyser les habitudes d'envoi, les signaux de réputation, les taux de rebond et l'arrivée en boîte de réception pour vous conseiller et ajuster automatiquement les calendriers de préchauffage.
• Rédaction assistée par IA : utiliser le contexte de votre campagne (à qui vous écrivez, la description de votre produit, le ton choisi) pour rédiger des emails personnalisés. Nous n'entraînons pas de modèles d'IA partagés sur vos données privées de prospects ou le contenu de vos emails sans votre consentement explicite.
• Support client : répondre à vos demandes, résoudre les problèmes et vous aider à démarrer.
• Sécurité et prévention des abus : détecter les faux comptes, le spam envoyé depuis notre plateforme, les tentatives d'accès non autorisé et les violations de nos Conditions d'utilisation.
• Obligations légales et de conformité : conserver les registres exigés par la loi, répondre aux demandes légales valides et faire respecter nos accords.
• Améliorer le produit : étudier des tendances d'usage globales et anonymisées pour améliorer les fonctions, corriger les bugs et choisir les prochaines évolutions.

Nous ne vendons ni vos données personnelles, ni le contenu de vos boîtes connectées, ni vos listes de prospects à qui que ce soit à des fins publicitaires.

Si vous vous trouvez dans l'Espace économique européen (EEE), au Royaume-Uni ou en Suisse, nous traitons vos données personnelles sur une ou plusieurs de ces bases légales, selon le Règlement général sur la protection des données (RGPD) et la loi nationale applicable :

• Contrat (article 6(1)(b)) : le traitement nécessaire à l'exécution de notre contrat avec vous, comme gérer votre compte, envoyer des emails, gérer la facturation et vous apporter du support.
• Intérêt légitime (article 6(1)(f)) : le traitement pour nos intérêts commerciaux légitimes, quand vos droits ne prévalent pas. Par exemple la détection de la fraude, la surveillance de la sécurité, l'analyse du produit, l'information des clients existants sur des fonctions liées et l'amélioration des outils de délivrabilité.
• Consentement (article 6(1)(a)) : quand nous nous appuyons sur votre consentement, comme pour les cookies d'analyse facultatifs ou les emails marketing envoyés aux personnes que FirstSales contacte elle-même. Vous pouvez retirer votre consentement à tout moment. Cela n'affecte pas le traitement effectué avant.
• Obligation légale (article 6(1)(c)) : le traitement exigé par la loi, comme la conservation des documents fiscaux ou la réponse à des décisions de justice ou à des régulateurs.

Si des catégories particulières de données personnelles apparaissent par accident dans des listes de prospects importées, nous ne les traitons qu'avec un consentement explicite ou quand la loi le permet. Nous recommandons fortement aux utilisateurs de ne pas importer de données sensibles de ce type dans le Service.

Connecter votre boîte mail est ce qui permet à FirstSales d'envoyer des emails pour vous. Nous contrôlons strictement l'accès à votre compte email et ne l'utilisons que dans la mesure nécessaire aux fonctions que vous activez.

Quand vous connectez une boîte Google Workspace ou Microsoft 365 via OAuth, vous accordez à FirstSales des autorisations OAuth précises. Pour Google, nous demandons des autorisations pour envoyer des emails (gmail.send), pour lire les libellés et métadonnées nécessaires au suivi des livraisons (gmail.readonly ou équivalent) et, si le préchauffage est activé, pour ajouter et gérer les messages de préchauffage. Nous ne demandons pas l'accès à toute votre boîte de réception ou à vos contacts au-delà de ce que demandent les fonctions que vous activez.

Nous stockons les jetons OAuth chiffrés au repos avec un chiffrement standard du secteur. Les jetons d'accès se renouvellent automatiquement et ne sont gardés que tant que votre boîte reste connectée. Si vous révoquez l'autorisation OAuth dans les réglages de votre compte Google ou Microsoft, notre accès prend fin immédiatement.

• Nous lisons les métadonnées des emails (expéditeur, destinataire, objet, message-id, heure) pour relier les messages envoyés aux événements d'ouverture et de clic.
• Pour le préchauffage, notre système envoie et reçoit de courts messages d'allure humaine entre les comptes connectés de notre réseau de préchauffage. Ces messages sont clairement écrits par une machine pour le préchauffage et ne contiennent pas le vrai contenu de vos campagnes.
• Nous ne lisons, n'indexons ni n'analysons le contenu complet des emails de votre boîte de réception au-delà de ce que vous envoyez via le Service.
• Nous ne partageons ni ne vendons le contenu de vos emails, et nous ne l'utilisons pas pour la publicité, le courtage de données ou l'entraînement de modèles d'IA partagés, sans votre consentement explicite.
• Nous n'accédons à votre boîte que sur vos instructions. Vous restez responsable du respect des conditions d'utilisation de votre fournisseur email dans votre usage des boîtes connectées.

Si vous déconnectez une boîte de FirstSales, nous cessons immédiatement d'y accéder. Nous gardons les métadonnées liées à l'activité passée des campagnes (journaux d'envoi, événements d'analyse) selon nos règles de conservation, pour que vos rapports de campagne restent complets.

FirstSales est un outil de prospection entre entreprises. Les utilisateurs importent des listes de contacts professionnels, en général des personnes qui travaillent dans des entreprises, pour mener des campagnes de cold email. Quand vous importez des données de prospects, vous en êtes responsable du traitement et FirstSales est votre sous-traitant.

Vous seul devez vous assurer d'avoir une base légale pour traiter et contacter chaque personne de votre liste de prospects. Vous devez respecter toutes les lois applicables, dont CAN-SPAM, le RGPD, CASL et toute autre règle des pays de vos destinataires.

En tant que responsable des données de prospects, vous devez :

• Obtenir vos contacts par des moyens légitimes (par exemple des informations professionnelles publiques, des formulaires d'inscription ou des listes achetées à des fournisseurs conformes) et confirmer que vous avez une base légale pour la prospection B2B.
• Vous assurer que chaque campagne email identifie clairement l'expéditeur, a un objet honnête et contient une option de désinscription qui fonctionne, comme l'exigent CAN-SPAM et des lois similaires.
• Traiter rapidement les demandes de désinscription et de suppression. FirstSales propose des listes de suppression, et vous devez les utiliser quand un contact demande à être retiré.
• Ne pas importer de catégories particulières de données personnelles (santé, finances, opinions politiques, biométrie ou autres données sensibles) dans la base de prospects.
• Ne pas importer de données que vous n'avez pas le droit légal de traiter ou d'utiliser pour des emails commerciaux.

FirstSales traite les données de prospects uniquement pour exécuter vos campagnes, afficher les fiches dans votre tableau de bord et vous fournir des analyses de vos envois. Nous ne croisons pas vos listes de prospects avec celles d'autres clients, nous ne vendons pas de données de prospects et nous ne les utilisons pour rien d'autre que le travail de campagne que vous demandez.

Quand votre compte prend fin, nous supprimons les données de prospects selon le calendrier de conservation de la Section 8.

Nous ne vendons pas de données personnelles. Nous ne partageons des données personnelles que dans les cas limités ci-dessous.

Sous-traitants et prestataires : nous faisons appel à des entreprises externes choisies avec soin pour nous aider à faire fonctionner le Service. Ces sous-traitants peuvent traiter des données personnelles pour notre compte, mais leurs contrats les obligent à ne les utiliser que pour les finalités que nous fixons et à les protéger. Les principaux types de sous-traitants sont :

• Infrastructure cloud : services d'hébergement et de bases de données qui stockent les données de compte, de campagnes et les journaux dans des environnements cloud sécurisés.
• Infrastructure d'envoi d'emails : services de relais SMTP et de délivrabilité qui aident à acheminer et surveiller les emails sortants.
• Prestataires de paiement : Stripe (et services similaires) qui traitent les paiements par carte. Ces prestataires sont conformes PCI-DSS.
• Analyse et suivi des erreurs : outils qui collectent des données d'usage global du produit et des journaux d'erreurs de l'application, pour nous aider à améliorer la fiabilité et les performances.
• Outils de support client : plateformes de support et de chat que nous utilisons pour répondre à vos tickets et questions.
• Fournisseurs de connexion : fournisseurs d'identité OAuth (Google, Microsoft) dont vous utilisez les serveurs d'autorisation quand vous connectez des boîtes mail.

Divulgations légales et de sécurité : nous pouvons divulguer des données personnelles si la loi, un règlement, une procédure judiciaire ou une demande valide d'une autorité (comme une décision de justice ou une assignation) l'exige. Quand la loi le permet, nous vous préviendrons avant de transmettre des données en réponse à une telle demande. Nous pouvons aussi divulguer des données pour protéger les droits, les biens ou la sécurité de FirstSales, de nos utilisateurs ou du public.

Transferts d'entreprise : en cas de fusion, d'acquisition, de financement, de réorganisation, de faillite ou de vente de tout ou partie de nos actifs, les données personnelles que nous détenons peuvent passer au nouveau propriétaire. Nous vous informerons de tout transfert de ce type et des choix dont vous disposez.

Avec votre consentement : nous partageons vos données avec d'autres tiers quand vous nous le demandez clairement, par exemple quand vous autorisez une intégration native avec votre CRM.

Nous conservons les données personnelles tant que votre compte est actif et pendant une durée fixée ensuite, ou aussi longtemps que la loi l'exige.

• Comptes actifs : nous conservons votre profil, les documents de facturation, les données de campagnes et les métadonnées des boîtes connectées tant que votre compte existe.
• Après la fin de votre compte ou une résiliation : nous conservons les documents de base du compte et l'historique de facturation jusqu'à 7 ans pour respecter nos obligations financières et légales. Nous conservons les analyses de campagnes (métriques globales, journaux d'envoi) jusqu'à 2 ans après la fin du compte, pour régler les litiges.
• Données de prospects et de contacts : supprimées dans les 90 jours suivant la fin du compte, sauf si vous demandez une suppression plus tôt.
• Jetons OAuth : révoqués et supprimés immédiatement quand vous déconnectez une boîte ou supprimez votre compte.
• Journaux serveur et de sécurité : conservés jusqu'à 12 mois pour surveiller la sécurité et prévenir les abus, puis supprimés ou anonymisés.
• Sauvegardes : les sauvegardes chiffrées peuvent conserver des données jusqu'à 60 jours de plus après la durée normale de conservation avant d'être effacées.

Vous pouvez nous demander à tout moment de supprimer votre compte et ses données personnelles en écrivant à firstsales@support.communicate.so. Nous traitons les demandes de suppression sous 30 jours, sauf si la loi nous oblige à conserver certains documents.

La suppression de votre compte efface définitivement vos campagnes, séquences, listes de prospects, réglages de boîtes connectées et données de profil. C'est irréversible. Nous conservons les documents de facturation exigés par la loi fiscale, sous forme anonymisée ou minimale, pendant la durée fixée par la loi.

Protéger vos données et l'accès à vos boîtes mail est au cœur de notre produit. Nous appliquons des mesures de sécurité techniques et organisationnelles adaptées à la sensibilité des données.

• Chiffrement en transit : tout le trafic entre votre navigateur ou client email et nos serveurs utilise TLS 1.2 ou plus. Les points d'accès de l'API n'acceptent que HTTPS.
• Chiffrement au repos : les bases de données, le stockage de fichiers et les sauvegardes sont chiffrés au repos en AES-256 ou équivalent. Les jetons OAuth et les identifiants SMTP sont en plus chiffrés dans l'application avant d'être stockés.
• Contrôle des accès : seul le personnel autorisé peut accéder aux systèmes de production et aux données clients, et chaque personne reçoit le minimum d'accès nécessaire. Nous journalisons et vérifions tous les accès à la production. L'accès administrateur exige une authentification multifacteur.
• Gestion des jetons : nous ne journalisons ni n'affichons jamais les jetons OAuth en clair. Les jetons de rafraîchissement changent à chaque utilisation. Nous ne stockons que les autorisations minimales nécessaires à chaque intégration de boîte.
• Gestion des vulnérabilités : nous auditons régulièrement nos dépendances, appliquons rapidement les correctifs de sécurité et vérifions les changements de code sous l'angle de la sécurité.
• Réponse aux incidents : nous maintenons un plan de réponse aux incidents. En cas de violation de données personnelles, nous informerons les utilisateurs concernés et les autorités de contrôle compétentes dans les délais exigés par la loi.

Même avec ces mesures, aucune transmission sur internet ni aucun système de stockage n'est sûr à 100%. Si vous pensez que quelqu'un a accédé sans autorisation à votre compte FirstSales, écrivez tout de suite à firstsales@support.communicate.so et changez votre mot de passe et vos autorisations OAuth.

FirstSales opère dans le monde entier et peut traiter vos données personnelles dans d'autres pays que le vôtre. En particulier, notre infrastructure est hébergée principalement aux États-Unis. Si vous êtes dans l'EEE, au Royaume-Uni ou en Suisse, vos données personnelles peuvent être envoyées et traitées aux États-Unis ou dans d'autres pays qui ne protègent peut-être pas les données aussi bien que votre pays.

Quand nous envoyons des données personnelles depuis l'EEE, le Royaume-Uni ou la Suisse vers un pays sans décision d'adéquation, nous nous appuyons sur des garanties appropriées, notamment :

• Les clauses contractuelles types (CCT) approuvées par la Commission européenne, intégrées à nos accords avec les sous-traitants et les importateurs de données.
• L'accord britannique de transfert international de données (IDTA), ou l'avenant britannique aux CCT, pour les transferts depuis le Royaume-Uni.
• Des analyses d'impact des transferts quand elles sont obligatoires, avec des mesures techniques supplémentaires (chiffrement, pseudonymisation) quand c'est approprié.

En utilisant le Service, vous reconnaissez que vos données peuvent être transférées à l'étranger comme décrit ci-dessus. Pour toute question sur les garanties applicables à vos données, écrivez à firstsales@support.communicate.so.

Selon l'endroit où vous vous trouvez, vous pouvez avoir certains droits sur vos données personnelles. Nous respecterons ces droits rapidement et sans obstacle inutile.

Droits selon le RGPD (personnes dans l'EEE, au Royaume-Uni et en Suisse) :

• Droit d'accès : vous pouvez demander une copie des données personnelles que nous détenons sur vous et savoir comment nous les traitons.
• Droit de rectification : vous pouvez nous demander de corriger des données personnelles inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : vous pouvez nous demander de supprimer vos données personnelles quand nous n'en avons plus besoin pour la finalité de leur collecte, quand vous retirez votre consentement (et qu'aucune autre base légale ne s'applique) ou quand le traitement est illicite.
• Droit à la portabilité : vous pouvez demander vos données personnelles dans un format structuré, courant et lisible par machine pour les transmettre à un autre responsable, quand le traitement repose sur le consentement ou un contrat et qu'il est automatisé.
• Droit d'opposition : vous pouvez vous opposer au traitement fondé sur notre intérêt légitime, y compris la prospection directe. Nous arrêterons sauf si nous démontrons des motifs légitimes impérieux qui prévalent sur vos intérêts.
• Droit à la limitation du traitement : vous pouvez nous demander de limiter le traitement de vos données dans certains cas, par exemple pendant le règlement d'un litige sur leur exactitude.
• Droits liés aux décisions automatisées : nous ne prenons pas de décisions vous concernant ayant des effets juridiques ou d'importance similaire uniquement par des moyens automatisés, sans intervention humaine.

Droits selon le CCPA/CPRA (résidents de Californie) :

• Droit de savoir : vous pouvez nous demander les catégories et les éléments précis d'informations personnelles que nous avons collectés sur vous, leur origine, pourquoi nous les utilisons et avec quels tiers nous les partageons.
• Droit de suppression : vous pouvez nous demander de supprimer les informations personnelles que nous avons collectées, avec certaines exceptions.
• Droit de correction : vous pouvez nous demander de corriger des informations personnelles inexactes.
• Droit de refuser la vente ou le partage : nous ne vendons ni ne partageons d'informations personnelles pour la publicité comportementale intercontextuelle. Vous n'avez rien à refuser, mais vous pouvez nous contacter pour le confirmer.
• Droit à la non-discrimination : nous ne vous traiterons pas de façon injuste parce que vous exercez vos droits.

Comment exercer vos droits : envoyez une demande à firstsales@support.communicate.so avec l'objet « Privacy Rights Request ». Nous vérifierons votre identité avant de traiter votre demande et répondrons sous 30 jours (ou 45 jours quand la loi le permet et que nous vous prévenons). Une demande par période de 12 mois est gratuite.

Si vous êtes dans l'EEE ou au Royaume-Uni et pensez que nous n'avons pas traité vos données de façon licite, vous avez le droit de porter plainte auprès de votre autorité de contrôle locale (par exemple la Commission irlandaise de protection des données, l'ICO britannique ou l'autorité de votre État membre). Nous vous encourageons à nous contacter d'abord à firstsales@support.communicate.so pour que nous tentions de régler le problème directement.

Protection des mineurs : le Service est réservé aux professionnels et ne s'adresse pas aux enfants de moins de 16 ans (ou de l'âge du consentement numérique de votre pays). Nous ne collectons pas sciemment de données personnelles d'enfants. Si vous pensez qu'un enfant nous a fourni des données personnelles, écrivez à firstsales@support.communicate.so et nous les supprimerons rapidement.

Modifications de cette politique : nous pouvons mettre à jour cette Politique de confidentialité de temps en temps pour refléter des changements de nos pratiques, de la loi ou des fonctions du produit. Pour tout changement important, nous vous préviendrons par email (à l'adresse de votre compte) et par un avis bien visible dans le produit au moins 14 jours avant son entrée en vigueur. La date de « Dernière mise à jour » en haut de cette page indique toujours la date de la dernière version. Si vous continuez à utiliser le Service après l'entrée en vigueur d'une politique mise à jour, vous acceptez les changements.

Nous pouvons fournir les versions précédentes de cette Politique de confidentialité sur demande.

Nous contacter : pour toute question, préoccupation ou demande sur cette Politique de confidentialité ou sur notre gestion des données, contactez-nous :

• Email : firstsales@support.communicate.so
• Objet pour les questions de confidentialité : « Privacy Inquiry » ou « Privacy Rights Request »
• Nous visons une réponse à toute question de confidentialité sous 5 jours ouvrés et le traitement des demandes de droits sous 30 jours.

Si une question de protection des données ne peut pas être réglée par notre support, les personnes de l'EEE et du Royaume-Uni peuvent saisir leur autorité nationale de contrôle de la protection des données. Les résidents de Californie peuvent contacter la California Privacy Protection Agency (CPPA).