En résumé

Votre email est stocké en base pour l'authentification uniquement.
Les données GA4 / Meta de vos clients ne sont jamais stockées en base (cache Redis 6–24h maximum).
Google Analytics 4 (audience de narratiq.fr) ne se charge qu'avec votre consentement explicite.
Contact : dpo@narratiq.fr, réponse sous 30 jours.

Qui sommes-nous ?

NarratIQ est un service SaaS d'analyse et de reporting pour les freelances et agences digitales.

Responsable du traitement

Matheo Zimmer

Forme juridique

Micro-entrepreneur

SIRET

10504893800010

Adresse

10 Rue Carnot, 54550 Pont-Saint-Vincent, France

Contact DPO : dpo@narratiq.fr

Données que nous collectons

2.1 Données de compte

Adresse email (identifiant unique)
Nom (optionnel)
Date d'inscription et historique de connexion
Informations de facturation (traitées par Stripe, les numéros de carte ne nous parviennent jamais)

2.2 Données clients que vous nous confiez

Lorsque vous connectez des comptes Google Analytics 4 ou Meta Ads de vos clients, NarratIQ accède uniquement aux métriques agrégées (sessions, impressions, dépenses…).

Ces données ne sont jamais stockées en base de données. Elles transitent en cache Redis (TTL 6–24h) puis sont supprimées automatiquement. Les tokens OAuth sont chiffrés AES-256-GCM avant tout stockage.

2.3 Données techniques

Logs d'accès (adresse IP, user-agent, action), conservés 90 jours puis purgés automatiquement
Cookies de session et d'authentification (voir section 7)

Pourquoi nous traitons ces données

Finalité	Base légale
Fourniture du service (dashboard, rapports, alertes)	Exécution du contrat (Art. 6.1.b RGPD)
Facturation et gestion des abonnements	Exécution du contrat + obligation légale
Emails transactionnels (rapports, alertes, lien magique)	Exécution du contrat
Logs de sécurité et audit interne	Intérêt légitime (Art. 6.1.f RGPD)
Conformité RGPD (DPA, historique consentements)	Obligation légale (Art. 6.1.c RGPD)
Mesure d'audience de narratiq.fr (Google Analytics 4)	Consentement (Art. 6.1.a RGPD · Directive ePrivacy Art. 5.3)

Sous-traitants et transferts

Toutes nos données principales sont hébergées dans l'Union Européenne. Les services américains ci-dessous encadrent les transferts par des Clauses Contractuelles Types (SCC).

Service	Rôle	Localisation
Neon PostgreSQL	Base de données principale	EU · Francfort
Upstash Redis	Cache métriques (TTL court)	EU · Irlande (eu-west-1)
Cloudflare R2	Stockage PDFs	EU
Stripe	Paiements (PCI-DSS certifié)	EU
Resend	Emails transactionnels	EU
Vercel	Hébergement application	EU · Frankfurt, Allemagne (fra1)
Vercel Analytics	Mesure d'audience sans cookies (données anonymisées côté serveur)	EU · Vercel Edge
Google Analytics 4	Mesure d'audience narratiq.fr, avec consentement uniquement	USA (SCC Google)
Google (GA4 Data API)	Accès données analytiques clients, lecture seule	DPA Google · lecture seule
Meta (Marketing API)	Accès données publicitaires clients, lecture seule	DPA Meta · lecture seule

Durée de conservation

Données de compteDurée de l'abonnement + 30 jours après résiliation

Métriques GA4 / Meta clientsCache Redis uniquement · TTL 6–24h · jamais en base

Rapports PDFDurée de l'abonnement (stockés sur Cloudflare R2)

Logs d'accès90 jours maximum · purgés automatiquement

Données de facturation10 ans (obligation légale comptable)

Cookies Google Analytics (_ga)2 ans (gérés par Google) · supprimables via votre navigateur

Vos droits RGPD

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Art. 15Droit d'accès

Export JSON de toutes vos données via Paramètres.

Art. 16Droit de rectification

Modifier votre email ou nom dans les Paramètres.

Art. 17Droit à l'effacement

Suppression du compte depuis Paramètres → Zone dangereuse. Cascade sous 72h.

Art. 20Droit à la portabilité

Export JSON de toutes vos données via Paramètres.

Art. 21Droit d'opposition

Opposition à tout traitement fondé sur l'intérêt légitime via dpo@narratiq.fr.

Art. 77Droit de réclamation

Saisir la CNIL (cnil.fr) en cas de traitement non conforme.

Pour exercer vos droits : dpo@narratiq.fr. Réponse sous 30 jours.

Cookies

NarratIQ utilise deux catégories de cookies : les cookies strictement nécessaires au fonctionnement (déposés sans consentement, conformément à la Directive ePrivacy Art. 5.3) et les cookies de mesure d'audience déposés uniquement après votre accord explicite.

Cookie	Émis par	Finalité	Durée	Consentement
`next-auth.session-token`	NarratIQ	Session authentifiée	Session navigateur	Non requis
`__Host-next-auth.csrf-token`	NarratIQ	Protection CSRF formulaires	Session navigateur	Non requis
`cookie_consent`	NarratIQ	Mémorisation de votre choix	1 an	Non requis
`_ga`	Google Analytics	Identification visiteur (audience narratiq.fr)	2 ans	Requis
`_ga_[ID]`	Google Analytics	Données de session analytics	2 ans	Requis

Vercel Analytics ne dépose aucun cookie. Les données sont agrégées anonymement côté serveur (empreinte IP hashée, non stockée). Aucun consentement requis.

Vous pouvez modifier votre choix à tout moment : le bandeau de consentement réapparaît si vous supprimez le cookie cookie_consent de votre navigateur, ou via les paramètres de cookies de votre navigateur.

Sécurité et protection des données

8.1 Mécanismes de protection technique

Chiffrement au repos

Tous les tokens OAuth (Google, Meta) sont chiffrés en AES-256-GCM avant tout stockage en base. La clé de chiffrement est stockée exclusivement en variable d'environnement serveur, jamais en base de données.

Chiffrement en transit

Toutes les communications client–serveur et serveur–API tierces utilisent TLS 1.3 exclusivement. Les connexions HTTP non chiffrées sont refusées.

Authentification sans mot de passe

NarratIQ utilise exclusivement l'authentification par lien magique (magic link). Aucun mot de passe n'est jamais stocké ou transmis.

Isolation des données utilisateur

Chaque utilisateur n'accède qu'à ses propres données. Les requêtes API vérifient l'identité côté serveur à chaque appel via la session NextAuth chiffrée.

Absence de stockage persistant GA4/Meta

Les métriques GA4 et Meta ne transitent que dans un cache Redis à TTL court (6–24h). Elles ne sont jamais écrites en base de données relationnelle ni dans des fichiers permanents.

Tokens jamais journalisés

Les tokens d'accès OAuth ne sont jamais inclus dans les journaux applicatifs ni dans les traces Vercel. Les journaux ne contiennent que des identifiants opaques anonymisés.

8.2 Contrôle et limitation des accès

Les scopes OAuth Google sont limités au strict minimum nécessaire au service (lecture seule des données GA4, scope analytics.readonly). NarratIQ n’utilise jamais de scopes d’écriture.
Les tokens Meta sont limités aux permissions ads_read uniquement. Aucune action d'écriture n'est demandée ni exécutée.
L'accès aux données d'un compte client nécessite que l'utilisateur connecté soit propriétaire de ce compte dans NarratIQ (vérification en base à chaque requête).
Les secrets (clés API, tokens maîtres) ne sont accessibles qu'aux processus serveur via des variables d'environnement Vercel chiffrées, jamais exposés côté client.
La base de données est accessible uniquement depuis les serveurs Vercel en production (connection string privée Neon, non exposée publiquement).

8.3 Procédure en cas de violation de données

En cas de violation avérée ou suspectée de données personnelles, NarratIQ s'engage à :

72hNotification à la CNIL dans les 72h suivant la découverte (conformément à l'Art. 33 RGPD).
Sans délaiRévocation immédiate des tokens OAuth compromis et invalidation des sessions actives concernées.
48hInformation des utilisateurs affectés dans les 48h si la violation présente un risque élevé pour leurs droits (Art. 34 RGPD).
ContactSignalement possible à tout moment via dpo@narratiq.fr ou security@narratiq.fr.

Données Google : utilisation des scopes sensibles

NarratIQ utilise l'API Google Analytics Data (GA4) via OAuth 2.0. Les informations ci-dessous détaillent exactement comment les données Google sont traitées, conformément aux Règles d'utilisation des données API Google Services.

Scopes OAuth Google demandés

https://www.googleapis.com/auth/analytics.readonly

Lecture seule des métriques GA4 de vos propriétés (sessions, pages vues, sources de trafic, etc.) afin de générer vos rapports NarratIQ.

https://www.googleapis.com/auth/userinfo.email

Vérification de votre identité Google uniquement. Non stocké au-delà de l'authentification.

Engagements spécifiques aux données Google

Usage limité

Les données GA4 obtenues via les scopes Google sont utilisées exclusivement pour générer les rapports et tableaux de bord demandés par l'utilisateur authentifié, propriétaire du compte GA4 concerné.

Pas de transfert à des tiers

Les données GA4 ne sont jamais vendues, cédées ou partagées avec des tiers. Elles ne sont pas utilisées pour de la publicité, du profilage ou de l'apprentissage automatique externe.

Pas de stockage persistant

Les métriques GA4 ne sont jamais stockées en base de données. Seul un cache Redis chiffré (TTL 6–24h) est utilisé pour éviter des appels API répétés. Il expire automatiquement.

Révocation immédiate

Vous pouvez révoquer l'accès à tout moment depuis la page Paramètres → Intégrations, ou directement depuis votre compte Google (myaccount.google.com/permissions). Les tokens sont supprimés immédiatement.

Lecture seule

NarratIQ n'écrit jamais dans vos propriétés GA4. L'accès est strictement limité à la lecture des métriques agrégées. Aucune modification de configuration GA4 n'est possible depuis NarratIQ.

Tokens chiffrés

Vos tokens OAuth Google (access token et refresh token) sont chiffrés en AES-256-GCM avant tout stockage en base. Ils ne sont déchiffrés qu'au moment de l'appel API serveur.

Modifications

Toute modification substantielle sera signalée sur cette page via la date de mise à jour et, si possible, notifiée aux utilisateurs actifs. La version en vigueur est toujours accessible à cette URL.

Version actuelle : 1.3, mise à jour le 21 mai 2026.

Finalité

Base légale

Fourniture du service (dashboard, rapports, alertes)

Exécution du contrat (Art. 6.1.b RGPD)

Facturation et gestion des abonnements

Exécution du contrat + obligation légale

Emails transactionnels (rapports, alertes, lien magique)

Exécution du contrat

Logs de sécurité et audit interne

Intérêt légitime (Art. 6.1.f RGPD)

Conformité RGPD (DPA, historique consentements)

Obligation légale (Art. 6.1.c RGPD)

Mesure d'audience de narratiq.fr (Google Analytics 4)

Consentement (Art. 6.1.a RGPD · Directive ePrivacy Art. 5.3)

Service

Rôle

Localisation

Neon PostgreSQL

Base de données principale

EU · Francfort

Upstash Redis

Cache métriques (TTL court)

EU · Irlande (eu-west-1)

Cloudflare R2

Stockage PDFs

Stripe

Paiements (PCI-DSS certifié)

Resend

Emails transactionnels

Vercel

Hébergement application

EU · Frankfurt, Allemagne (fra1)

Vercel Analytics

Mesure d'audience sans cookies (données anonymisées côté serveur)

EU · Vercel Edge

Google Analytics 4

Mesure d'audience narratiq.fr, avec consentement uniquement

USA (SCC Google)

Google (GA4 Data API)

Accès données analytiques clients, lecture seule

DPA Google · lecture seule

Meta (Marketing API)

Accès données publicitaires clients, lecture seule

DPA Meta · lecture seule

Émis par

Finalité

Durée

Consentement

next-auth.session-token

NarratIQ

Session authentifiée

Session navigateur

Non requis

__Host-next-auth.csrf-token

NarratIQ

Protection CSRF formulaires

Session navigateur

Non requis

cookie_consent

NarratIQ

Mémorisation de votre choix

1 an

Non requis

_ga

Google Analytics

Identification visiteur (audience narratiq.fr)

2 ans

Requis

_ga_[ID]

Google Analytics

Données de session analytics

2 ans

Requis

Politique de confidentialité

Qui sommes-nous ?

Données que nous collectons

2.1 Données de compte

2.2 Données clients que vous nous confiez

2.3 Données techniques

Pourquoi nous traitons ces données

Sous-traitants et transferts

Durée de conservation

Vos droits RGPD

Cookies

Sécurité et protection des données

8.1 Mécanismes de protection technique

8.2 Contrôle et limitation des accès

8.3 Procédure en cas de violation de données

Données Google : utilisation des scopes sensibles

Scopes OAuth Google demandés

Engagements spécifiques aux données Google

Modifications

Politique de confidentialité

Qui sommes-nous ?

Données que nous collectons

2.1 Données de compte

2.2 Données clients que vous nous confiez

2.3 Données techniques

Pourquoi nous traitons ces données

Sous-traitants et transferts

Durée de conservation

Vos droits RGPD

Cookies

Sécurité et protection des données

8.1 Mécanismes de protection technique

8.2 Contrôle et limitation des accès

8.3 Procédure en cas de violation de données

Données Google : utilisation des scopes sensibles

Scopes OAuth Google demandés

Engagements spécifiques aux données Google

Modifications