Sécurité & confidentialité

Dernière mise à jour : avril 2026

Odzy est un outil utilisé par des commerciaux et des équipes sales pour analyser leurs deals. Nous traitons des données potentiellement sensibles : interactions clients, notes de calls, contenu CRM. Cette page documente précisément comment nous gérons vos données — où elles sont stockées, qui y a accès, et quels engagements nous prenons.

Hébergement UE Conforme RGPD Stack certifié SOC 2 OAuth lecture seule

1. Où sont stockées vos données

L'intégralité de vos données structurées (compte, profil, deals analysés, debriefs, playbook) est stockée chez Supabase, sur leurs instances PostgreSQL hébergées par Amazon Web Services en Irlande (région eu-west-1). Ces serveurs sont physiquement situés à Dublin et soumis à la juridiction de l'Union Européenne.

L'application web Odzy est servie par Vercel depuis leurs serveurs européens. Aucune donnée structurée ne quitte l'Union Européenne pour être stockée.

En clair : votre profil, vos analyses, vos debriefs et vos tokens CRM restent en Irlande. Ils ne sont pas répliqués hors UE.

2. Qu'est-ce qui est stocké exactement

Voici la liste complète et exhaustive de ce que contient notre base de données :

Type de donnée	Détail
Compte	Email, prénom, mot de passe (chiffré de manière irréversible via Supabase Auth)
Profil commercial	Produit vendu, secteur, ICP, taille moyenne de deal, cycle de vente, méthodologie
Deals analysés	Société, contact, montant, stage, et le résultat de l'analyse IA (résumé, closing rate, conseils, objections détectées)
Debriefs post-call	Notes de debrief que vous écrivez vous-même après vos calls
Tokens d'intégration CRM	Tokens OAuth HubSpot (access + refresh), chiffrés au repos par Supabase
Crédits	Solde de crédits restants pour les analyses

Ce qui n'est PAS stocké

Aucun email brut de votre CRM
Aucun transcript d'appel
Aucune note brute HubSpot, Salesforce ou LinkedIn
Aucune information sur vos autres deals ou contacts non analysés
Aucun numéro de carte bancaire (paiements traités par notre prestataire dédié)

Lors d'une analyse, nous lisons à la demande les informations du contact concerné dans votre CRM, nous les utilisons immédiatement pour construire le prompt de l'IA, et nous ne les conservons pas. Nous gardons le résultat de l'analyse, pas la matière première qui a servi à la produire.

3. Qui a accès à vos données

Vous, et vous seul

Vos données sont strictement isolées par votre identifiant utilisateur via les Row Level Security policies de Supabase. Aucun autre utilisateur de Odzy ne peut accéder à vos analyses.

L'équipe Odzy (admin)

L'administrateur de Odzy a techniquement accès à la base pour des besoins de support et de maintenance. Engagement écrit : aucune consultation sans demande explicite de votre part.

Nos sous-traitants techniques

Supabase, Vercel, Anthropic et HubSpot dans leurs périmètres respectifs, encadrés par leur propre conformité (voir section 4).

Personne d'autre

Aucune revente de données. Aucun cookie tiers de tracking marketing. Aucun outil d'analytics qui voit le contenu de vos deals.

4. Sous-traitants techniques et leurs certifications

Odzy s'appuie sur un stack composé exclusivement d'infrastructures cloud certifiées et conformes RGPD. Voici la liste exhaustive de nos sous-traitants :

Sous-traitant	Rôle	Localisation	Certifications
Supabase	Base de données et authentification	Irlande (UE)	SOC 2 Type II, HIPAA, RGPD
Amazon Web Services	Infrastructure physique de Supabase	Irlande (eu-west-1)	ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3
Vercel	Hébergement de l'application web	Frankfurt (UE)	SOC 2 Type II, RGPD
Anthropic	Inférence IA (modèle Claude)	États-Unis	SOC 2 Type II, RGPD via SCC
HubSpot	CRM source (lecture seule via OAuth)	UE / US (selon votre compte)	SOC 2 Type II, ISO 27001, RGPD

5. L'exception : l'inférence IA et le transfert hors UE

Soyons transparents sur le seul point qui sort de l'Union Européenne. Quand vous lancez une analyse, le contenu suivant est envoyé à Anthropic (créateur du modèle Claude) sur leurs serveurs aux États-Unis :

Les informations du deal courant (société, contact, montant, stage)
Votre playbook commercial
Le contexte CRM extrait pour cette analyse précise (notes, mails, calls, meetings du contact concerné)
Vos debriefs Odzy associés à ce deal

Ce transfert est encadré par les Clauses Contractuelles Types (SCC) validées par la Commission européenne en 2021, qui constituent le cadre légal officiel pour les transferts UE → US depuis l'invalidation du Privacy Shield. C'est exactement le même mécanisme utilisé par OpenAI, Notion, Slack, Linear, GitHub, et la grande majorité des outils SaaS modernes.

Selon les Conditions d'Utilisation API commerciales d'Anthropic :

Aucune donnée envoyée n'est utilisée pour entraîner les modèles Claude
Aucun stockage des données au-delà du traitement de la requête
Conservation maximale pour audit de sécurité : 30 jours puis suppression automatique

6. Sécurité de l'intégration HubSpot

Quand vous connectez votre compte HubSpot à Odzy, voici exactement ce qui se passe :

Connexion via OAuth 2.0 standard, vous donnez explicitement votre accord scope par scope
Les scopes demandés sont strictement en lecture seule : Odzy ne peut rien modifier dans votre HubSpot
Les tokens reçus sont chiffrés au repos dans notre base Supabase
Vous pouvez révoquer la connexion à tout moment, soit depuis Odzy, soit directement depuis votre HubSpot
Lors d'une analyse, nous lisons uniquement les données du contact et du deal concernés — pas votre CRM entier

Liste des scopes HubSpot demandés :

crm.objects.contacts.read — lire les contacts
crm.objects.companies.read — lire les sociétés
crm.objects.deals.read — lire les deals
crm.objects.owners.read — lire les propriétaires de deals
sales-email-read — lire les emails consignés
timeline — accéder à la timeline d'engagements
conversations.read — lire les conversations

7. Vos droits RGPD

Conformément au Règlement Général sur la Protection des Données (UE 2016/679), vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie complète des données vous concernant
Droit de rectification : corriger des données inexactes
Droit à l'effacement : supprimer définitivement votre compte et toutes vos données
Droit à la portabilité : récupérer vos données dans un format structuré
Droit d'opposition : refuser certains traitements
Droit de limitation : restreindre temporairement certains traitements
Droit de réclamation auprès de la CNIL

Pour exercer l'un de ces droits, écrivez à hello@revlineapp.io. Nous nous engageons à répondre dans un délai maximum de 30 jours.

8. Notre approche des certifications

Odzy est aujourd'hui en phase de premiers tests utilisateurs. Comme la plupart des outils SaaS à ce stade (Lemlist, Resend, Cal.com, et beaucoup d'autres l'ont fait avant nous), nous n'avons pas encore obtenu nos propres certifications formelles type SOC 2 ou ISO 27001. Notre stack technique est cependant déjà composé exclusivement d'infrastructures certifiées, ce qui assure un haut niveau de sécurité de fait.

Pour les acheteurs ayant besoin d'un cadre contractuel renforcé (NDA, DPA bilatéral, questionnaire de sécurité), contactez-nous à hello@revlineapp.io — nous y répondons généralement sous 48h.

9. Signaler un incident ou poser une question

Pour toute question relative à la sécurité ou à la confidentialité, ou pour signaler un incident ou une vulnérabilité, contactez-nous directement à hello@revlineapp.io.

Pour les acheteurs B2B ayant besoin d'un Data Processing Agreement (DPA) bilatéral, ou de compléter un questionnaire de sécurité, écrivez-nous à la même adresse — nous répondons généralement sous 48h.

Cette page est mise à jour à chaque évolution significative de notre infrastructure ou de nos pratiques. Pour la politique de confidentialité formelle, consultez notre Politique de confidentialité.