Arkimoz accorde une grande importance à la protection de vos données personnelles. Vous trouverez ici, traitement par traitement, ce que nous recueillons à votre sujet, ce que nous en faisons, qui y a accès, pendant combien de temps, et les moyens dont vous disposez pour garder la main.
1. Responsable du traitement
Les traitements opérés sur engine.arkimoz.com (GTM Engine) relèvent de ALTO SERVI (SAS au capital de 1 000 euros, RCS Rennes 898 883 079, 28 rue Christian Bernon, 35000 Rennes), qui exploite la marque Arkimoz. Aucun DPO n'a été nommé : la taille de la structure ne l'impose pas. Pour toute question sur vos données : contact@arkimoz.com.
2. Données collectées, finalités et bases légales
| Contexte | Données | Finalité | Base légale |
|---|---|---|---|
| Compte utilisateur | Nom, e-mail professionnel, rôle, comptes auxquels vous avez été invité | Vous ouvrir l'accès à GTM Engine et aux comptes auxquels vous avez été invité | Exécution du contrat (art. 6.1.b RGPD) |
| Espace de travail | Contexte de votre entreprise (stratégie, offre, positionnement), documents déposés, prompts, réglages | Construire votre pré-audit et votre espace Go-To-Market | Exécution du contrat (art. 6.1.b RGPD) |
| Connecteurs | Clés API et jetons OAuth des outils que vous branchez, chiffrés au repos | Lire, dans ces outils, les données que vous nous avez demandé de lire | Exécution du contrat (art. 6.1.b RGPD) |
| Compte Google | Voir la section 3 | Voir la section 3 | Exécution du contrat (art. 6.1.b RGPD) |
| Compte LinkedIn Ads | Voir la section 3 | Voir la section 3 | Exécution du contrat (art. 6.1.b RGPD) |
| Compte Meta Ads | Voir la section 3 | Voir la section 3 | Exécution du contrat (art. 6.1.b RGPD) |
| Utilisation du service | Pages ouvertes, actions, jetons consommés | Sécurité, facturation et amélioration du service | Intérêt légitime (art. 6.1.f RGPD) |
| Navigation, pages publiques | Pages vues, parcours, interactions, type d'appareil | Comprendre l'usage des pages publiques (notre outil d'enregistrement de la navigation hébergé chez OVHcloud) | Votre consentement (art. 6.1.a RGPD et art. 82 de la loi Informatique et Libertés) |
| Fonctionnement du site | Adresse IP, date, page demandée, navigateur (journaux du serveur) | Sécurité et bon fonctionnement du site | Intérêt légitime (art. 6.1.f RGPD) |
Rien de ce que nous recueillons ne relève des catégories particulières de l'article 9 du RGPD (santé, opinions, origine, etc.). Aucune de ces informations n'est cédée à des tiers, ni gratuitement ni contre paiement. Arkimoz s'adresse à des entreprises : le site ne vise pas les moins de 18 ans.
3. Données issues de vos comptes Google, LinkedIn et Meta
Quand vous branchez un service Google, GTM Engine demande l'accès aux seuls services que vous choisissez, et ne fait que lire : il n'écrit jamais rien dans votre compte Google.
- Google Search Console (webmasters.readonly) : la liste de vos propriétés, et les requêtes, pages, clics, impressions, taux de clic et position moyenne.
- Google Analytics 4 (analytics.readonly) : la liste de vos propriétés, et les sessions, utilisateurs et événements clés par canal d'acquisition.
- Google Tag Manager (tagmanager.readonly) : la liste de vos conteneurs.
- Google Ads (adwords) : la liste des comptes publicitaires auxquels vous avez accès, et pour celui que vous choisissez, la dépense, les impressions, les clics, les conversions et leur valeur, au total et par campagne. Google ne propose pas d'accès en lecture seule pour Ads, mais GTM Engine ne fait que lire : il ne crée, ne modifie ni ne met en pause aucune campagne.
Ce que nous en faisons. Uniquement vous afficher ces chiffres dans GTM Engine, et répondre aux questions que vous posez à votre propre assistant Claude par le connecteur GTM Engine. Les rapports sont lus en direct chez Google quand vous ouvrez une page ou posez une question ; ils ne sont pas stockés. Les mêmes chiffres alimentent aussi les indicateurs de la semaine de votre compte dans le cockpit d'Arkimoz : ils restent au plus 15 minutes dans la mémoire du serveur, sans jamais être écrits sur disque. Nous ne conservons que le nom des propriétés auxquelles vous avez accès et celle que vous avez choisie par défaut.
Qui y a accès. Les membres du compte GTM Engine que vous avez branché et les consultants Arkimoz qui accompagnent ce compte, et personne d'autre. Les données issues de votre compte Google ne sont jamais vendues, jamais utilisées à des fins publicitaires, jamais transmises à des tiers sinon pour rendre le service que vous avez demandé (voir section 4), et jamais utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralistes.
Usage limité. L'utilisation et le transfert par GTM Engine d'informations reçues des API Google respectent les règles relatives aux données utilisateur des services d'API Google, y compris les exigences d'usage limité (Limited Use).
Votre contrôle. Vous pouvez débrancher un service Google à tout moment depuis sa fiche dans GTM Engine (« Supprimer les identifiants »). Une seule autorisation Google sert tous vos connecteurs Google : ses jetons sont effacés quand vous débranchez le dernier d'entre eux. Pour retirer l'accès d'un coup et définitivement, révoquez-le depuis votre compte Google sur myaccount.google.com/permissions.
Quand vous branchez LinkedIn Ads, GTM Engine demande à LinkedIn deux autorisations seulement, et ne fait que lire : il n'écrit jamais rien dans votre compte LinkedIn et ne publie rien en votre nom.
- LinkedIn Ads (r_ads) : la liste des comptes publicitaires Campaign Manager sur lesquels votre profil LinkedIn a un rôle, avec leur nom, leur devise et leur statut, et le nom et le statut de leurs campagnes.
- Rapports LinkedIn Ads (r_ads_reporting) : pour le compte publicitaire que vous choisissez, la dépense, les impressions, les clics, les leads des formulaires Lead Gen et les conversions du site, au total et par campagne, sur la période demandée. Le taux de clic, le coût par clic et le coût par lead sont calculés à partir de ces chiffres.
GTM Engine ne lit ni votre profil, ni vos relations, ni vos messages, ni vos publications, ni le contenu des leads (noms, e-mails) recueillis par vos formulaires : seulement leur nombre. Il ne crée, ne modifie ni ne met en pause aucune campagne.
Ce que nous en faisons. Uniquement vous afficher ces chiffres dans GTM Engine, et répondre aux questions que vous posez à votre propre assistant Claude par le connecteur GTM Engine. Les rapports sont lus en direct chez LinkedIn quand vous ouvrez une page ou posez une question ; ils ne sont pas stockés. Les mêmes chiffres alimentent aussi les indicateurs de la semaine de votre compte dans le cockpit d'Arkimoz : ils restent au plus 15 minutes dans la mémoire du serveur, sans jamais être écrits sur disque. Nous ne conservons que le nom et l'identifiant du compte publicitaire que vous avez choisi par défaut.
Qui y a accès. Les membres du compte GTM Engine que vous avez branché et les consultants Arkimoz qui accompagnent ce compte, et personne d'autre. Les données issues de LinkedIn ne sont jamais vendues, jamais utilisées à des fins publicitaires, jamais transmises à des tiers sinon pour rendre le service que vous avez demandé (voir section 4), et jamais utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralistes.
Combien de temps. L'accès accordé par LinkedIn dure 60 jours et ne se renouvelle pas tout seul : GTM Engine ne reçoit aucun jeton de rafraîchissement. Le jeton d'accès est chiffré au repos (AES-256-GCM) ; passé 60 jours, il ne permet plus aucune lecture, et il faut rebrancher LinkedIn Ads pour reprendre.
Votre contrôle. Vous pouvez débrancher LinkedIn Ads à tout moment depuis sa fiche dans GTM Engine (« Supprimer les identifiants ») : le jeton LinkedIn est effacé aussitôt. Pour retirer aussi l'accès côté LinkedIn, supprimez GTM Engine des services que vous avez autorisés sur linkedin.com/psettings/permitted-services.
Quand vous branchez Meta Ads (Facebook et Instagram), GTM Engine demande à Meta une seule autorisation, et ne fait que lire : il n'écrit jamais rien dans vos comptes Meta et ne publie rien en votre nom.
- Meta Ads (ads_read) : la liste des comptes publicitaires auxquels votre profil Facebook a accès, avec leur nom, leur identifiant, leur devise et leur statut ; et, pour le compte publicitaire que vous choisissez, la dépense, les impressions, les clics sur lien et les prospects (formulaires instantanés et prospects suivis), par campagne et par jour, sur la période demandée. Le taux de clic, le coût par clic et le coût par prospect sont calculés à partir de ces chiffres.
GTM Engine ne lit ni votre profil, ni vos amis, ni vos messages, ni les publications de vos Pages, ni le contenu des prospects (noms, e-mails) recueillis par vos formulaires : seulement leur nombre. Il ne crée, ne modifie ni ne met en pause aucune campagne, aucun ensemble de publicités ni aucune publicité.
Ce que nous en faisons. Uniquement vous afficher ces chiffres dans GTM Engine, et répondre aux questions que vous posez à votre propre assistant Claude par le connecteur GTM Engine. Les rapports sont lus en direct chez Meta quand vous ouvrez une page ou posez une question ; ils ne sont pas stockés. Les mêmes chiffres alimentent aussi les indicateurs de la semaine de votre compte dans le cockpit d'Arkimoz : ils restent au plus 15 minutes dans la mémoire du serveur, sans jamais être écrits sur disque. Nous ne conservons que le nom et l'identifiant du compte publicitaire que vous avez choisi par défaut.
Qui y a accès. Les membres du compte GTM Engine que vous avez branché et les consultants Arkimoz qui accompagnent ce compte, et personne d'autre. Les données issues de Meta ne sont jamais vendues, jamais utilisées à des fins publicitaires, jamais transmises à des tiers sinon pour rendre le service que vous avez demandé (voir section 4), et jamais utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralistes.
Combien de temps. L'accès accordé par Meta dure 60 jours et ne se renouvelle pas tout seul. Le jeton d'accès est chiffré au repos (AES-256-GCM) ; passé 60 jours, il ne permet plus aucune lecture, et il faut rebrancher Meta Ads pour reprendre.
Votre contrôle et la suppression. Vous pouvez débrancher Meta Ads à tout moment depuis sa fiche dans GTM Engine (« Supprimer les identifiants ») : le jeton Meta est effacé aussitôt. Pour retirer aussi l'accès côté Meta, supprimez GTM Engine de vos intégrations professionnelles sur facebook.com/settings?tab=business_tools. Pour faire effacer toutes les données que nous détenons sur votre branchement Meta, écrivez à contact@arkimoz.com : c'est fait sous 30 jours et nous vous le confirmons par e-mail.
4. Destinataires et sous-traitants
Chez Arkimoz, seuls les membres de votre compte GTM Engine et les consultants Arkimoz qui l'accompagnent voient ces informations. Cinq prestataires interviennent pour notre compte, sur nos instructions :
- OVHcloud (France) : hébergement de GTM Engine, de sa base de données et de notre outil d'enregistrement de la navigation (clics, défilement, mouvements de souris, uniquement après votre accord ; le contenu des champs n'apparaît jamais dans les enregistrements). Sans accord, seule une mesure anonyme est faite : pages vues, temps, défilement et position des clics, sans cookie ni identifiant, sans conserver l'adresse IP (intérêt légitime).
- Clerk (États-Unis) : connexion et sécurité des comptes.
- Anthropic (États-Unis) : les modèles Claude qui rédigent votre pré-audit et vos analyses, et l'assistant Claude que vous reliez à GTM Engine. Anthropic n'entraîne pas ses modèles sur les données envoyées par son API commerciale.
- Resend (États-Unis) : acheminement des e-mails de notification.
- Google (Irlande et États-Unis) : les API Google que vous branchez (voir section 3), et les polices de caractères du site, chargées depuis les serveurs de Google.
La politique de confidentialité du site arkimoz.com est distincte et consultable sur arkimoz.com/confidentialite.
5. Transferts hors de l'Union européenne
Une partie des traitements de Clerk, d'Anthropic, de Resend et de Google a lieu outre-Atlantique. Lorsque le prestataire est certifié, le Data Privacy Framework adopté par la Commission européenne couvre ce passage ; sinon, ce sont les modèles de clauses que la Commission a publiés pour ce cas qui s'appliquent, signés avec chacun d'eux.
6. Durées de conservation
- Clients : le temps de la mission, puis 5 ans (délai de prescription en matière commerciale) ; les pièces comptables, 10 ans comme l'exige le Code de commerce.
- Espace de travail et identifiants des connecteurs : tant que le compte est ouvert ; à sa clôture, ils sont effacés, sauf ce que la loi oblige à garder.
- Rapports Google et LinkedIn Ads : non stockés, lus en direct.
- Jeton d'accès LinkedIn : chiffré, utilisable 60 jours au plus, effacé dès que vous débranchez LinkedIn Ads.
- Enregistrements de navigation et parcours anonymes (outil hébergé chez OVHcloud) : 90 jours après la dernière visite, puis effacés automatiquement.
- Journaux techniques du serveur : 12 mois au plus.
7. Vos droits
Le RGPD et la loi Informatique et Libertés vous ouvrent un droit d'accès, de rectification, d'effacement, de limitation, d'opposition (notamment à la prospection, à tout moment et sans justification) et de portabilité de vos données. Un accord donné se reprend quand vous le souhaitez ; ce qui a été fait avant ce retrait reste valable. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Pour exercer ces droits, écrivez à contact@arkimoz.com. Vous recevez une réponse sous un mois au plus tard. Si notre réponse ne vous convient pas, la CNIL peut être saisie d'une plainte (cnil.fr).
8. Cookies
GTM Engine dépose les cookies nécessaires à son fonctionnement : votre session de connexion, le compte que vous consultez et votre langue. Sur les pages publiques, aucun cookie d'enregistrement de la navigation n'est déposé avant votre choix : un bandeau vous propose d'accepter ou de refuser, avec la même facilité. Si vous refusez, le site fonctionne normalement.
9. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : hébergement en France chez OVHcloud, connexions chiffrées (HTTPS), identifiants et jetons des connecteurs chiffrés au repos (AES-256-GCM), accès aux données limité aux personnes qui en ont besoin, et outils internes protégés par authentification.
10. Mise à jour de cette politique
Nous révisons ce texte dès que nos outils, notre organisation ou le droit applicable changent. Dernière mise à jour : 21 octobre 2026.