Politique de confidentialité

AdPulse est l'outil de suivi des performances média de Adring. Il agrège, en lecture seule, les chiffres que les régies publicitaires produisent sur les campagnes que l'agence gère pour ses clients. Ce document décrit précisément quelles données il traite, et lesquelles il ne traite pas.

Données issues des API Google : ce qui est lu et comment il est traité

1. Qui est responsable du traitement

Adring, immatriculée sous le numéro 50907958800059. Siège : 5 rue de l'armée Patton, 54000 Nancy, France. Représentant légal : Benoit Harduin.

Pour toute question relative à vos données : alexis@adring.fr.

2. Qui utilise AdPulse

AdPulse n'est pas un service ouvert au public. C'est un outil interne, dont les comptes sont créés un par un par l'administrateur : il n'existe aucun formulaire d'inscription. Les utilisateurs sont les membres de l'équipe média de Adring.

Les clients de l'agence peuvent en outre consulter les chiffres de leurs propres campagnes depuis un cadre intégré à la plateforme adboard. Ce cadre ne crée aucun compte, ne pose aucun cookie et ne conserve rien : l'accès est autorisé par une signature à durée limitée émise par adboard.

3. Ce que nous traitons

Comptes des utilisateurs

• Nom et adresse électronique professionnelle.
• Mot de passe, jamais conservé en clair : seule une empreinte cryptographique (bcrypt) est enregistrée, dont le mot de passe ne peut pas être reconstitué.
• Adresse IP et identifiant du navigateur, attachés à la session de connexion, pour rattacher une session à un appareil et détecter un accès anormal.

Accès aux comptes publicitaires

• Les jetons d'accès et de rafraîchissement délivrés par chaque régie lors de l'autorisation. Ils sont chiffrés en base de données et ne sont jamais affichés, ni dans l'interface, ni dans les journaux, ni dans aucune sortie de l'application.
• Le nom et l'identifiant du compte publicitaire autorisé, ainsi que les permissions accordées — pour indiquer à l'écran quel compte est relié.

Données de campagne

• Nom du client de l'agence, son secteur d'activité et son budget média confié.
• Nom, période et budget des campagnes, et leurs identifiants chez chaque régie.
• Les mesures de performance, agrégées par jour et par campagne : impressions, clics, conversions, dépense et revenu. Pour la source d'attribution, les sessions et achats agrégés par canal d'acquisition.

4. Ce que nous ne traitons pas

Cette section est aussi importante que la précédente.

• Aucune donnée individuelle des internautes. Les régies exposent des audiences, des listes de clients et des identifiants publicitaires : AdPulse ne demande aucune de ces données et n'a pas les permissions pour les lire. Il ne récupère que des totaux journaliers.
• Aucun traceur. AdPulse ne pose ni cookie publicitaire, ni mesure d'audience, ni pixel de conversion. Il n'intègre aucun outil d'analyse tiers.
• Aucune écriture chez les régies. AdPulse lit des rapports. Il ne crée, ne modifie et n'interrompt aucune campagne, aucun budget, aucune annonce.
• Aucune revente, aucun partage commercial. Les données ne sont ni vendues, ni louées, ni transmises à des fins publicitaires ou de profilage.

5. Cookies

AdPulse pose trois cookies, tous strictement nécessaires à son fonctionnement.

Cookie	Rôle	Durée
Session	Maintenir la connexion d'un écran à l'autre	120 minutes d'inactivité
Jeton anti-falsification	Empêcher qu'un autre site déclenche une action en votre nom	Durée de la session
« Se souvenir de moi »	Ne pas redemander le mot de passe à chaque visite. Posé uniquement si vous cochez la case.	Jusqu'à la déconnexion

Aucun de ces cookies ne sert à la mesure d'audience ni à la publicité, ce qui les dispense du recueil de consentement. Le cadre intégré à adboard fonctionne sans session et ne pose donc aucun cookie.

6. Sur quel fondement

• Comptes et journaux de connexion : intérêt légitime de Adring à sécuriser l'accès à un outil professionnel contenant les données de ses clients.
• Données de campagne et mesures : exécution du contrat de prestation qui lie Adring à ses clients annonceurs.

7. Qui y a accès

• OVH SAS, hébergeur de l'application et de sa base de données (France).
• Les régies publicitaires — Google Ads, Google Analytics 4, Meta, TikTok, Snapchat, Pinterest, Amazon Ads et Amazon DSP. Les données circulent de la régie vers AdPulse ; les requêtes émises portent le jeton d'accès et les identifiants de campagne à consulter.
• adboard, pour l'affichage des chiffres d'une campagne dans le cadre intégré, à la demande d'un utilisateur d'adboard habilité.

Aucun autre destinataire. Les données ne sont transmises à aucun prestataire de publicité, de marketing ou d'analyse.

8. Transferts hors de l'Union européenne

Les interfaces de programmation des régies sont opérées par des sociétés établies aux États-Unis. Les interroger implique donc un transfert hors de l'Union européenne, limité aux éléments nécessaires à la requête : le jeton d'accès et les identifiants des campagnes concernées. Ces sociétés adhèrent au cadre de protection des données UE–États-Unis ou recourent aux clauses contractuelles types de la Commission européenne.

9. Combien de temps

• Comptes utilisateurs : le temps de la collaboration, puis supprimés au départ de la personne.
• Jetons d'accès : jusqu'à la déconnexion de la plateforme concernée, qui les supprime immédiatement, ou jusqu'à leur révocation par la régie.
• Sessions : purgées automatiquement après expiration.
• Mesures de performance : conservées 24 mois, puis supprimées.
• Sauvegardes : une sauvegarde quotidienne de la base est conservée sur une période glissante, puis écrasée.

10. Comment les données sont protégées

• Chiffrement des jetons d'accès en base de données.
• Mots de passe stockés sous forme d'empreinte bcrypt, jamais en clair.
• Transport chiffré (HTTPS) sur l'ensemble de l'application.
• Limitation des tentatives de connexion : cinq échecs bloquent l'adresse pendant cinq minutes, ce qui rend l'essai systématique de mots de passe impraticable.
• Les jetons sont exclus des sorties sérialisées de l'application, de sorte qu'aucune erreur ni aucun export ne peut les révéler.
• Sauvegarde quotidienne de la base de données.

11. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données qui vous concernent. Pour les exercer, écrivez à alexis@adring.fr ; une réponse vous sera apportée dans un délai d'un mois.

Si cette réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75334 Paris Cedex 07, ou déposer une plainte sur cnil.fr.

12. Modifications

Ce document peut être mis à jour, notamment lorsqu'une nouvelle régie est raccordée. La date de dernière révision figure en tête de page. Les utilisateurs sont informés de toute modification substantielle.

13. Données issues des API Google

AdPulse demande deux autorisations Google, toutes deux utilisées en lecture seule, par les membres de l'équipe média de Adring qui relient le compte Google Ads ou la propriété Google Analytics 4 d'un client.

Données consultées

• Google Ads (portée adwords) : la liste des comptes Google Ads accessibles à l'utilisateur, avec le nom, la devise et le fuseau horaire de chacun ; le nom, le statut et le type de canal des campagnes et des groupes d'annonces ; leurs impressions, clics, conversions, coût et valeur de conversion quotidiens.
• Google Analytics 4 (portée analytics.readonly) : la liste des propriétés accessibles à l'utilisateur ; pour la propriété choisie, les sessions, sessions engagées, durée d'engagement, nouveaux acheteurs, acheteurs, achats et chiffre d'affaires quotidiens, par groupe de canaux par défaut.
• AdPulse ne lit ni audiences, ni listes de clients, ni identifiants d'utilisateurs, ni aucune donnée sur un internaute en particulier. Il n'écrit rien dans Google Ads ni dans Google Analytics.

Usage

Ces données servent uniquement à montrer à Adring et à son client la performance quotidienne des campagnes de ce client, à côté des autres régies et du trafic et des ventes qu'elles apportent. Elles ne servent à rien d'autre.

Transmission

Elles sont stockées chez OVH SAS, hébergeur de l'application (France), et présentées au client auquel elles appartiennent, par l'intermédiaire de la plateforme adboard. Elles ne sont transmises à personne d'autre, et ne sont jamais vendues ni cédées à des annonceurs, des courtiers en données ou des services publicitaires.

Protection

Les jetons OAuth de Google sont chiffrés en base de données, et ne sont jamais affichés ni journalisés. Tous les échanges passent en HTTPS. L'accès à AdPulse est réservé aux comptes créés un par un par l'administrateur, avec des mots de passe stockés sous forme d'empreinte bcrypt et des tentatives de connexion limitées.

Conservation et suppression

• Déconnecter un compte Google dans AdPulse supprime immédiatement ses jetons OAuth. L'accès peut aussi être révoqué à tout moment depuis les paramètres de sécurité du compte Google.
• Les mesures quotidiennes sont conservées 24 mois, puis supprimées par une tâche automatique exécutée chaque nuit.
• Les sauvegardes de la base sont conservées sur une période glissante, puis écrasées.
• Toute autre suppression peut être demandée à alexis@adring.fr.

Utilisation limitée

L'utilisation par AdPulse des informations reçues des API Google, et leur transfert à toute autre application, respectent les règles de Google relatives aux données utilisateur des services d'API (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use). Les données des utilisateurs de Google ne servent ni à développer, ni à améliorer, ni à entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique.