Politique de confidentialité

1. Statut et périmètre

Version du 9 novembre 2026. Ce texte décrit les traitements de Magnetly v2 tels que le service les met en œuvre.

Cette notice concerne le site Magnetly, les comptes professionnels, l’assistance et le fonctionnement du service. Si vous répondez à un formulaire créé par un client de Magnetly, la notice de ce client précise également les raisons de sa collecte et l’utilisation de vos informations.

2. Qui est responsable de vos informations ?

Magnetly est un produit exploité par Jynhold, société par actions simplifiée (SAS) au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 992 428 581, dont le siège social est situé 50 avenue des Champs-Élysées, 75008 Paris, France.

Pour l’administration des comptes professionnels, sa propre relation client, l’assistance, ses documents de facturation et la sécurité du service, Jynhold détermine les finalités concernées et agit comme responsable de traitement. Contact : [email protected]. Jynhold n’a pas désigné de délégué à la protection des données (DPO), n’étant pas tenue de le faire ; les demandes relatives à la confidentialité sont traitées à cette adresse.

Pour les données personnelles recueillies par les formulaires d’un client, ce client agit normalement comme responsable de traitement et Jynhold traite les données sur ses instructions. Si le client agit lui-même pour un autre responsable de traitement, la chaîne contractuelle doit refléter ce rôle. Ces activités relèvent de l’accord de sous-traitance des données (DPA).

3. Informations concernées et sources

• Comptes professionnels : adresse email, nom et, en cas de connexion Google, photo de profil ; espaces de travail, membres et invitations (adresse invitée ; seul un condensé du lien d’invitation est conservé) ; assistants IA connectés par le serveur MCP (nom du client, consentement et jetons d’accès) ; pour chaque session de connexion, adresse IP et navigateur (user agent).
• Contenus des clients : conversations avec l’IA de Magnetly, outils et leurs versions, fichiers envoyés, catalogues de produits, marque et pages de sites importées à la demande du client.
• Abonnements et achats : offre, statut et périodes de l’abonnement, identifiants du client et de l’abonnement chez Stripe, crédits attribués et consommés. Les événements de paiement reçus de Stripe sont conservés sans nom, email, adresse ni lien signé ; les données de carte bancaire ne parviennent jamais à Magnetly.
• Assistance et correspondance : coordonnées, messages et pièces jointes que vous choisissez d’envoyer.
• Fonctionnement du service : journal des appels IA (modèle, fournisseur, volumes et coût ; pour une recherche web, ses requêtes et les adresses lues) ; compteurs de limitation des abus, dont certains sont indexés par adresse IP ; rapports d’erreur sans adresse IP, cookie, en-tête, corps de requête ni identité de l’utilisateur ; journaux d’exécution de l’hébergeur.
• Mesure d’usage de l’application : événements que le serveur de Magnetly enregistre quand un utilisateur connecté agit dans l’application (inscription et connexion, création, enregistrement, aperçu, publication et partage d’un outil, imports, cartes, offres payantes, achats, réglages), chacun avec l’identifiant interne de l’utilisateur, l’identifiant public et l’offre de l’espace de travail, la nature de l’action et des comptes (par exemple la longueur d’un message, par tranche) ; jamais le contenu des instructions, des outils, des produits ou des fichiers, ni une adresse email, un nom, une adresse IP ou une donnée des visiteurs. L’application ne dépose aucun cookie de mesure et ne charge aucun script de mesure dans le navigateur.
• Formulaires des clients : selon leur configuration, email, prénom, nom, téléphone, informations LinkedIn, consentement et réponses des visiteurs ; pour chaque session, sa provenance : canal, page d’intégration sans paramètres de requête, domaine du site référent, paramètres utm_* et type d’appareil, ainsi que les événements du parcours (affichage, écrans vus, clics sur le résultat), qui alimentent les statistiques du client. Aucune adresse IP ni aucun cookie n’est associé à la session d’un visiteur. Le client choisit ses questions et ses finalités.

Les informations proviennent directement des utilisateurs ou visiteurs, du client qui configure le service, des services de connexion ou de paiement choisis, ou du fonctionnement technique. Ne saisissez pas de données sensibles, de données relatives à des condamnations pénales ou de données personnelles inutiles dans les instructions IA ou les champs libres. Tout usage particulier autorisé nécessite une analyse et un accord écrit distincts.

4. Finalités et bases légales

Pour les prospects et réponses traités pour le compte d’un client, ce client détermine et communique la finalité et la base légale. L’utilisation de Magnetly ne vaut pas consentement à la prospection commerciale. La lecture de cette politique, la navigation ou l’acceptation des conditions du service ne constituent pas un consentement aux traceurs facultatifs ou à une prospection distincte.

5. Traitements IA et instructions

Les champs de coordonnées des prospects (email, prénom, nom, téléphone, LinkedIn, consentement) ne sont jamais envoyés à l’IA. Les réponses libres des visiteurs, les messages et instructions des clients ainsi que les pages, fichiers et catalogues importés peuvent en revanche contenir des données personnelles et sont transmis aux modèles lorsque l’opération le demande. Les clients et utilisateurs doivent éviter d’y introduire des données personnelles inutiles et restent responsables des questions et contenus qu’ils configurent.

Chaque requête IA passe par OpenRouter, qui ne l’achemine que vers des fournisseurs sans conservation des données (« zero data retention ») et qui en excluent la collecte. À la date de cette version : création et modification des outils avec DeepSeek V4.1 Flash (Together AI et Baseten en priorité) ; résultat présenté au visiteur avec gpt-oss-120b (Groq et Cerebras en priorité) ; recherche web de l’agent avec gpt-oss-20b et le moteur de recherche Exa ; dictée avec Whisper Large V3 Turbo (DeepInfra et Groq). D’autres fournisseurs sans conservation peuvent prendre le relais lorsque les premiers sont indisponibles. OpenRouter, ces fournisseurs et Exa sont établis aux États-Unis.

La dictée est transcrite sans être stockée : ni l’enregistrement ni sa transcription ne sont conservés par Magnetly, et le texte n’est enregistré que si vous l’envoyez ensuite comme message. Le ZDR est un paramétrage de prestataire et de routage, pas la garantie d’une absence de toute métadonnée ou de toute conservation légalement requise. Les fournisseurs de modèles et Exa sont engagés par OpenRouter, et non par Jynhold, et ne sont pas certifiés au titre du Data Privacy Framework. Les requêtes ne sont acheminées que vers les fournisseurs qu’OpenRouter classe sans conservation des données, et les champs de coordonnées des prospects n’y figurent jamais. Jynhold a demandé à OpenRouter la chaîne contractuelle de ces fournisseurs (article 28, paragraphe 4, du RGPD) et la base de leurs transferts. Cette notice ne donne pas de garantie générale sur tous les modèles tiers ou leurs pratiques d’entraînement.

6. Destinataires et prestataires

Les informations sont accessibles aux personnes autorisées de Jynhold dans la limite de leurs missions, aux membres autorisés de l’espace client pour les données du client, et aux prestataires concernés par la fourniture du service. Des autorités ou conseils peuvent recevoir des informations lorsqu’une obligation légale ou la défense de droits le justifie.

Sous-traitants de Jynhold : Railway Corporation (hébergement de l’application et du site de présentation, région EU West, Amsterdam) ; Databricks, Inc., pour Neon, LLC (base de données Postgres, région AWS eu-central-1, Francfort) ; Cloudflare, Inc. (DNS, réseau et protection, stockage des fichiers sur R2 en juridiction de l’Union européenne, diffusion du script d’intégration par Pages, domaines personnalisés des clients) ; Plus Five Five, Inc., sous le nom Resend (emails transactionnels, région d’envoi eu-west-1, sans suivi des ouvertures ni des clics) ; Modal Labs, Inc. (environnement isolé de l’import de catalogue, région UE) ; Functional Software, Inc., sous le nom Sentry (rapports d’erreur, région de données UE) ; PostHog, Inc. (mesure d’usage de l’application, événements envoyés par le serveur de Magnetly ; et, seulement avec l’accord du visiteur, mesure d’audience et relecture de session du site de présentation dans le navigateur ; région de données UE, Francfort) ; OpenRouter, Inc. (routage des requêtes IA vers les fournisseurs cités plus haut et Exa) ; Google Cloud France SARL (Google Workspace : messagerie de [email protected], dont l’assistance). Toutes ces sociétés, sauf Google Cloud France, sont établies aux États-Unis.

Agissent pour leurs propres finalités, comme responsables de traitement indépendants : Stripe, par Stripe Payments Europe, Limited (Irlande), cocontractant de Jynhold au titre du contrat Stripe, avec Stripe, LLC (États-Unis), pour le paiement, la fraude, la fiscalité et l’assistance transactionnelle ; selon la compréhension de Jynhold, sous Stripe Managed Payments, Link (Sold through Link, LLC), merchant of record sans être le vendeur du service (Jynhold fournit Magnetly), agit comme responsable de traitement indépendant pour les données de paiement des acheteurs ; Google pour la connexion facultative avec un compte Google, dont il est responsable : ce service tiers n’est pas un sous-traitant de Jynhold . Leurs propres notices s’appliquent ; la politique de confidentialité de Stripe détaille ses traitements. Magnetly n’utilise aucun outil de publicité. L’application ne charge aucun script de mesure dans le navigateur : sa seule mesure est celle, côté serveur, décrite plus haut. Seul le site de présentation mesure son audience dans le navigateur, avec PostHog, après acceptation dans son bandeau de cookies, comme le décrit la politique cookies.

Le DPA reprend ce registre pour les données des clients, avec la garantie de transfert de chaque prestataire et le lien vers la liste de ses propres sous-traitants.

7. Transferts internationaux

Les données de l’application sont hébergées dans l’Union européenne : application à Amsterdam, base de données à Francfort, fichiers dans des buckets R2 en juridiction de l’Union européenne, emails envoyés depuis la région eu-west-1, rapports d’erreur, mesure d’usage et environnement d’import dans des régions de l’Union européenne. Plusieurs prestataires sont toutefois des sociétés établies aux États-Unis, et les requêtes IA (OpenRouter, fournisseurs de modèles, Exa) sont traitées aux États-Unis : des transferts hors de l’Espace économique européen ont donc lieu.

Garanties de transfert, pour chaque prestataire établi aux États-Unis : Railway est certifié au titre du Data Privacy Framework (UE–États-Unis, avec ses extensions Royaume-Uni et Suisse), reconnu adéquat par la décision de la Commission européenne du 10 juillet 2023, avec les clauses contractuelles types de la décision 2021/914 (modules 2 et 3) en repli ; Databricks et Neon sont certifiés au titre du Data Privacy Framework, et le DPA de Neon comporte les clauses contractuelles types (modules 2 et 3) ; Cloudflare et Sentry sont certifiés au titre du Data Privacy Framework, avec les clauses contractuelles types en repli ; Resend est certifié au titre du Data Privacy Framework (UE et Royaume-Uni), avec les clauses contractuelles types (modules 2 et 3) ; PostHog transfère sous les clauses contractuelles types de son DPA ; Modal et OpenRouter, qui ne sont pas certifiés, transfèrent sous les clauses contractuelles types (module 2) ; pour Google Workspace, Google LLC est certifié au titre du Data Privacy Framework, avec les clauses contractuelles types de son Cloud Data Processing Addendum. Les fournisseurs de modèles et Exa, engagés par OpenRouter, ne sont pas certifiés : Jynhold a demandé à OpenRouter la base de leurs transferts. Stripe, LLC, qui reçoit des données de Stripe Payments Europe, est certifié au titre du Data Privacy Framework, avec les clauses contractuelles types du Data Transfer Addendum de Stripe.

Un accord de sous-traitance ne remplace pas ces garanties de transfert. Une copie des garanties applicables peut être demandée à [email protected].

8. Conservation et suppression

Les données personnelles ne sont conservées que pour la finalité qui le justifie, avec un archivage légal éventuel séparé de l’usage courant. Durées appliquées par Jynhold :

• Comptes : conservés pendant la durée du contrat. Un compte inactif, sans aucune connexion pendant 3 ans, est supprimé après un email de préavis. Un compte se supprime aussi à tout moment depuis Account settings ; ses sessions, méthodes de connexion, accès accordés aux assistants IA et appartenances aux espaces sont alors effacés aussitôt, avec les espaces dont il est le seul membre.
• Email d’un compte supprimé : un condensé à clé (HMAC) de l’adresse, jamais l’adresse en clair, est conservé aussi longtemps que nécessaire pour empêcher qu’un nouveau compte ouvert avec la même adresse reçoive un second essai gratuit.
• Données de connexion : adresse IP, navigateur et horodatage des connexions, avec les identifiants du compte, conservés 1 an, durée prévue pour les données permettant d’identifier les personnes qui créent des contenus en ligne (article 6 de la loi pour la confiance dans l’économie numérique et décret n° 2021-1362).
• Outils : un outil supprimé disparaît aussitôt et n’est plus servi ; 30 jours plus tard, ses sessions, réponses, prospects, événements, versions, catalogue, conversation et fichiers sont effacés définitivement.
• Espaces de travail : à la suppression d’un espace par son propriétaire, ses membres perdent l’accès et ses invitations sont révoquées aussitôt ; ses données sont effacées selon la même règle de 30 jours.
• Réponses et prospects (traités pour le compte du client) : conservés tant que le client garde l’outil ; effacés dans les 30 jours qui suivent la suppression de l’outil ou la fin du contrat (définie ci-dessous). Ils s’exportent en CSV. L’interface ne permet pas de supprimer un prospect isolé : une telle demande s’adresse à [email protected].
• Documents comptables et factures : 10 ans (article L123-22 du Code de commerce).
• Échanges d’assistance et preuves du contrat : pendant la relation, puis 5 ans en archive intermédiaire, durée de la prescription civile (article 2224 du Code civil).
• Journaux techniques (journaux de l’hébergeur Railway, rapports d’erreur Sentry) : le temps nécessaire à la sécurité et au diagnostic, 1 an au plus.
• Mesure d’usage (PostHog) : événements conservés pendant la durée prévue par l’offre PostHog, 1 an au plus ; les événements d’un compte supprimé sont effacés chez PostHog avec lui.
• Mesure d’audience du site de présentation (PostHog, avec accord seulement) : événements 1 an au plus, enregistrements de session 30 jours au plus ; cookie ph_* de PostHog 13 mois au plus et choix de cookies 6 mois sur l’appareil du visiteur, effacés dès que l’accord est refusé ou retiré.
• Données techniques : compteurs de limitation des abus effacés après 24 heures ; fichiers envoyés qui ne sont rattachés à aucun outil ni espace effacés après 24 heures ; sessions de connexion valables 7 jours ; liens d’invitation valables 7 jours.
• Journal des appels IA et événements de paiement : conservés, détachés de l’outil ou de l’espace supprimé, pour la facturation et le décompte des crédits.
• Sauvegardes : la base de données peut être restaurée à un instant des 7 derniers jours, restauration testée le 9 novembre 2026 ; une donnée effacée peut donc subsister jusqu’à 7 jours dans cet historique, hors de l’usage courant.

Fin du contrat : Le contrat prend fin à la suppression de l’espace, ou du compte qui le possède, par le client, ou à la suppression de ce compte après 3 ans sans connexion ; les données de l’espace sont alors effacées dans les 30 jours. Un espace dont l’abonnement ou l’essai a pris fin reste en lecture seule, ses données conservées, jusqu’à l’un de ces événements.

La validité de 12 mois des crédits achetés et le report d’un mois des crédits d’abonnement sont des règles commerciales, pas des durées de conservation des données personnelles.

9. Vos droits et leur exercice

Dans les conditions du RGPD, vous pouvez demander l’accès, la rectification, l’effacement ou la limitation, vous opposer aux traitements fondés sur l’intérêt légitime, et demander la portabilité des données éligibles traitées automatiquement sur la base du consentement ou du contrat. Un consentement peut être retiré sans remettre en cause les traitements licites antérieurs. Vous pouvez vous opposer à tout moment à la prospection directe lorsqu’elle est réalisée.

Pour les données dont Jynhold est responsable, contactez [email protected] avec les éléments permettant d’identifier votre demande. Des justificatifs supplémentaires ne sont demandés que si cela est raisonnablement nécessaire. Jynhold répond dans un délai de 30 jours ; ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre des demandes le justifie, avec information dans les 30 premiers jours.

Depuis l’application, vous pouvez supprimer votre compte (Account settings), un outil ou un espace, et exporter en CSV les réponses d’un outil et les prospects d’un espace. Il n’existe pas d’export complet d’un compte dans l’application : demandez-le à [email protected], il vous est fourni dans le même délai de 30 jours.

Pour un formulaire auquel vous avez répondu, contactez d’abord l’entreprise identifiée sur ce formulaire : elle détermine l’utilisation de vos réponses. Jynhold l’assiste dans le cadre du DPA et transmet ou coordonne, selon le cas, une demande reçue directement.

Vous pouvez introduire une réclamation auprès de la CNIL ou d’une autre autorité de contrôle compétente.

10. Informations nécessaires, décisions automatisées et sécurité

Les informations nécessaires à l’ouverture d’un compte, à l’authentification ou à un achat doivent être fournies pour permettre le service demandé. Les informations facultatives doivent être identifiées lors de la collecte. Chaque client doit également identifier les champs obligatoires et facultatifs de ses formulaires et expliquer les conséquences d’une absence de réponse.

Les recommandations et classifications produites par l’IA doivent être appréciées dans leur contexte. Ce document n’autorise pas un client à utiliser Magnetly pour une décision exclusivement automatisée produisant des effets juridiques ou des effets significatifs similaires sans les analyses, garanties et informations requises.

Jynhold applique des mesures techniques et organisationnelles adaptées aux risques et limite les accès aux personnes autorisées. Mesures en place, détaillées à l’annexe 3 du DPA :

• échanges chiffrés en TLS, HSTS en production et en-têtes de sécurité sur chaque réponse de l’application ; application joignable uniquement à travers Cloudflare ; base de données accessible uniquement en TLS avec vérification du certificat ;
• connexion sans mot de passe, par code à usage unique envoyé par email ou par Google, et sessions enregistrées côté serveur ;
• données de chaque espace accessibles à ses seuls membres, contrôle couvert par des tests d’intégration ; pour l’assistance, accès des administrateurs de Jynhold par une connexion tracée et limitée à 24 heures ;
• limites de débit contre les abus ; secrets conservés dans l’environnement de l’hébergeur, jamais dans le code ;
• chiffrement au repos assuré par les prestataires de stockage (Neon pour la base de données, Cloudflare R2 pour les fichiers) ; restauration de la base à un instant des 7 derniers jours, testée le 9 novembre 2026 ;
• import de catalogue exécuté dans un environnement isolé, limité en mémoire et qui ne joint que des adresses publiques d’Internet ; pages lues par le serveur limitées aux adresses publiques ;
• rapports d’erreur sans donnée personnelle ; requêtes IA acheminées uniquement vers des fournisseurs sans conservation des données ;
• suite de tests automatisés (unitaires, d’intégration et de bout en bout) exécutée avant l’intégration de chaque changement ; tâches quotidiennes de purge.

Jynhold ne détient aucune certification de sécurité (ISO 27001, SOC 2 ou autre). En cas de violation de données personnelles dont elle est responsable, Jynhold la notifie à la CNIL dans les 72 heures lorsque la loi l’exige et en informe les personnes concernées lorsque le risque est élevé.

11. Cookies, services externes et mises à jour

Les cookies, le stockage du navigateur et les technologies similaires doivent être décrits selon leur usage effectif. Les technologies strictement nécessaires à un service demandé par le visiteur peuvent relever d’un régime différent des statistiques facultatives, de la publicité ou du suivi par des tiers. Lorsqu’un consentement est requis, les technologies facultatives doivent rester inactives avant un choix valable, avec un refus aussi simple que l’acceptation et un moyen permanent de retirer ce choix.

Le site de présentation est décrit dans la politique cookies : il garde le choix du visiteur dans magnetly-lp-consent (6 mois), et ses cookies et stockages PostHog (ph_*) de mesure d’audience et de relecture de session ne sont déposés qu’après acceptation dans son bandeau de cookies, peuvent être refusés aussi simplement et sont effacés au retrait de l’accord depuis « Paramètres des cookies » en bas de chaque page. L’application Magnetly et les outils publiés n’utilisent que des stockages nécessaires au service demandé, déposés par Magnetly lui-même, sans traceur publicitaire, sans cookie de mesure ni script de mesure d’audience (la mesure d’usage décrite plus haut est enregistrée par le serveur de Magnetly) :

Les polices, images et fichiers des outils publiés sont servis depuis files.magnetly.co : le navigateur d’un visiteur ne charge aucune police depuis Google.

Les sites externes ouverts par un lien ont leurs propres notices. La version définitive de cette politique précisera sa date d’effet. Les changements importants seront communiqués par un moyen approprié avant l’introduction d’une nouvelle finalité incompatible, avec recueil du consentement lorsqu’il est requis.