Politique de confidentialité

Cette page explique quelles données personnelles MINHAJ (marques xklic, xkelo, xkontact) traite, pourquoi, combien de temps, avec quels prestataires, et quels sont vos droits. Elle s’adresse à cinq publics : les visiteurs de nos sites, nos clients, les utilisateurs de nos trois applications, les clients de nos clients, et les entreprises contactées par nos clients grâce à xkontact. Nous traitons le minimum nécessaire, nous ne vendons jamais de données et nous ne déposons de cookie publicitaire qu’avec votre accord. L’assistant de xkelo utilise une intelligence artificielle (section 4 bis), seulement avec votre accord. Pour toute question : contact@xklic.com.

Le responsable de traitement est MINHAJ, SAS au capital de 1 000 €, 17 rue de Moscou, 95520 Osny, 106 303 944 R.C.S. Pontoise, représentée par son président Chabib El Malki, président. Contact données personnelles : contact@xklic.com (objet « Données personnelles »). MINHAJ n’a pas l’obligation de désigner un délégué à la protection des données et n’en a pas désigné ; un référent données est nommé en interne.

Quand nous ne sommes pas responsables. Les données que nos clients traitent dans nos outils (leurs propres clients, leurs factures, leur carnet) sont sous leur responsabilité ; nous les traitons pour leur compte selon l’annexe D des Conditions générales. Si vous êtes client d’un artisan qui utilise nos services, adressez-vous d’abord à lui (section 7).

Ce que nous collectons. Rien qui vous identifie, sauf si vous remplissez un formulaire. La mesure d’audience est faite avec Umami, un outil que nous hébergeons nous-mêmes à Paris : aucun cookie, adresse IP non conservée (elle sert quelques instants à situer la visite et à calculer un identifiant anonyme renouvelé chaque jour), pas de suivi d’un site à l’autre. Nous mesurons les pages vues, la provenance, le type d’appareil, le pays et la ville approximative. Ce dispositif entre dans l’exemption de consentement de la CNIL pour la mesure d’audience : il ne dépend donc pas de votre choix dans le bandeau cookies. Nous respectons le signal « Do Not Track » de votre navigateur.

Publicité dans ChatGPT (OpenAI). Nous diffusons aussi des annonces dans ChatGPT. Pour savoir combien de contacts et de commandes viennent d’une de ces annonces, xklic.com peut charger le pixel de mesure d’OpenAI, mais seulement si vous acceptez les cookies dans le bandeau. Sans votre accord, le pixel n’est pas chargé du tout et rien n’est envoyé à OpenAI. Avec votre accord, le pixel dépose deux cookies (__oppref, __obref) qui retiennent que vous êtes arrivé par une annonce ChatGPT, et signale à OpenAI une prise de contact (WhatsApp, appel, formulaire, demande de rappel) ou un paiement de commande, sans votre nom ni vos coordonnées. Base légale : votre consentement. Vous pouvez retirer votre accord à tout moment avec le lien « Gérer les cookies » en bas de chaque page ; ces cookies sont alors effacés. OpenAI agit ici pour son propre compte ; voir sa politique de confidentialité.

Formulaires. Le formulaire de contact et le parcours « Créer mon site » sont protégés par Cloudflare Turnstile, qui vérifie qu’un humain est à l’origine de l’envoi (adresse IP et caractéristiques techniques du navigateur transmises à Cloudflare, sans cookie de suivi). Les données saisies (identité, coordonnées, activité, fichiers) servent à traiter votre demande et à vous recontacter. Base légale : mesures précontractuelles à votre demande. Conservation : 3 ans après le dernier contact si la demande n’aboutit pas.

Anti-spam. Les demandes reçues font l’objet d’un tri automatique contre le démarchage et le spam (analyse du contenu et de la provenance). Une demande écartée à tort peut toujours nous parvenir par e-mail. Base légale : intérêt légitime (protection du service). Ce tri ne produit aucune décision juridique à votre égard.

Cookies. Sans votre accord, seuls des cookies strictement nécessaires peuvent être déposés (session lors du paiement chez notre prestataire de paiement, préférence de langue). Les seuls cookies soumis à votre accord sont ceux d’OpenAI décrits plus haut, sous un seul choix dans le bandeau ; aucun pixel de réseau social.

Ce que nous collectons. Identité et coordonnées du signataire et des utilisateurs invités ; identité légale de l’entreprise (raison sociale, SIREN/SIRET, adresse, TVA) ; e-mails échangés et demandes de modification ; historique de commande, factures, statut des paiements ; référence de transaction chez notre prestataire de paiement, Stripe ou Mollie selon la date de souscription (jamais votre numéro de carte, saisi et conservé chez ce prestataire) ; preuve de votre accord à la commande (texte accepté, version des conditions générales, date et heure, adresse IP et navigateur utilisés) ; journaux de connexion et d’action dans l’espace client ; journal des interventions en mode assistance.

Pourquoi. Exécuter le contrat (créer et héberger le site, fournir les applications, facturer) ; répondre à vos demandes ; vous informer des évolutions du service ; assurer la sécurité et la preuve de nos échanges ; respecter nos obligations comptables et fiscales. Nous pouvons vous adresser des informations sur nos propres services, en tant que client, avec un lien de désinscription à chaque envoi.

Bases légales. Contrat ; obligation légale (comptabilité, facturation) ; intérêt légitime (sécurité, preuve, information sur des services analogues).

Connexion sans mot de passe. Vous vous connectez par un lien envoyé à votre adresse e-mail (connexion commune aux trois services). Nous ne stockons donc aucun mot de passe. Une session est ouverte pour une durée limitée.

Au-delà de la section 3, les applications traitent :

• xklic (espace client) : contenus de votre site, médias, catalogue, commandes, rendez-vous, demandes reçues ; si vous nous confiez votre fiche Google ou vos réseaux sociaux : identifiants de fiche ou de page et jetons d’accès (chiffrés, jamais affichés), références des publications faites en votre nom. Nous ne lisons ni vos messages privés ni votre liste d’abonnés. L’usage des données issues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’usage limité : ces données ne servent qu’à fournir le service souscrit, ne sont jamais vendues ni utilisées pour de la publicité, et aucun humain n’y accède hors nécessité du service, sécurité ou obligation légale. Vous pouvez révoquer l’accès à tout moment depuis votre compte Google ou Facebook.
• xkelo : réglages de facturation, séquence de numérotation, documents émis et reçus, identifiants chiffrés de vos comptes de paiement, accord horodaté au raccordement à la plateforme agréée (date, adresse IP, navigateur) ; si vous utilisez l’assistant IA, vos conversations avec lui et votre accord (section 4 bis).
• xkontact : carnet, notes, demandes, réglages Radar (zone, métiers), historique des fiches consultées et des recherches payantes, journal.
• Statistiques d’usage : les trois applications remontent au service central des faits d’usage réduits à un identifiant d’organisation, un nom d’événement, un identifiant d’utilisateur et un identifiant d’objet — jamais un contenu, un montant ou le nom d’un client final. Ils servent à comprendre ce qui est utilisé et à repérer une option payée mais inutilisée pour vous le signaler.
• Mode assistance : lorsque vous nous demandez d’intervenir dans votre espace, un bandeau l’indique et chaque écriture est journalisée (qui, quand, quoi). Le journal est consultable sur demande.

Installation sur l’écran d’accueil. Nos applications peuvent être installées comme une application (PWA). Aucune donnée supplémentaire n’est collectée de ce fait ; seule la coquille de l’application est mise en cache sur votre appareil, jamais vos données métier.

Applications mobiles (iOS et Android). Les applications xkontact et xkelo publiées sur l’App Store et Google Play traitent les mêmes données que leur version web, et en plus :

• Notifications : un identifiant d’appareil propre à l’application, le jeton de notification attribué par Apple (iPhone) ou Google (Android), la langue et la version de l’application. Ils servent uniquement à vous envoyer les notifications que vous avez activées (nouvelle demande, facture payée…), désactivables type par type dans l’application ou dans les réglages du téléphone. Le texte d’une notification transite par Apple ou Google pour être affiché. L’appareil est retiré à la déconnexion, et effacé après 9 mois sans utilisation.
• Sur votre téléphone : les données consultées sont gardées en cache pour fonctionner hors connexion, et vos jetons de connexion dans le coffre sécurisé du système (Trousseau iOS, Keystore Android). Tout est effacé à la déconnexion.
• Connexion avec Apple ou Google : nous ne recevons que votre nom et votre adresse e-mail — ou l’adresse relais d’Apple si vous choisissez de masquer la vôtre.
• Les applications n’accèdent ni à votre position, ni à vos contacts, ni à votre appareil photo.

Supprimer votre compte. Depuis l’application (Compte → Supprimer mon compte) ou, sans l’application, sur accounts.minhajgroup.com/compte/suppression. Votre accès à tous nos services est fermé et vos données personnelles effacées ; les factures déjà émises restent conservées le temps exigé par la loi.

xkelo propose un assistant qui prépare des brouillons de devis et de factures et répond à vos questions de suivi. Il repose sur le modèle d’intelligence artificielle Claude, fourni par Anthropic. La page Intelligence artificielle explique en détail ce qu’il fait et ne fait pas.

Ce qui est traité. Vos messages à l’assistant, les pièces que vous y joignez (photos, captures, PDF), les données de votre compte nécessaires à chaque demande (clients, documents, prix), les réponses de l’assistant, le journal de ses actions (ce qu’il a préparé, ce que vous avez confirmé ou refusé), et votre accord (date et version du texte accepté).

Pourquoi. Vous fournir l’assistant ; tenir le compteur de votre offre ; assurer la sécurité et la preuve des actions confirmées ; améliorer l’assistant, par la relecture de conversations par des membres habilités de notre équipe (accès restreint, chaque lecture journalisée) et par l’ajout de cas anonymisés à notre jeu d’essai (pièces jointes exclues).

Bases légales. L’exécution du contrat qui vous lie à MINHAJ pour la fourniture de xkelo, et votre consentement pour l’usage de l’assistant : il vous est demandé avant la première utilisation, dans l’application comme sur le web, et vous pouvez le retirer à tout moment, sans effet sur le reste de xkelo ni sur ce qui a été fait avant le retrait. Les données de vos propres clients que l’assistant manipule restent sous votre responsabilité ; nous les traitons pour votre compte selon l’annexe D et l’article B.10 des Conditions.

Sous-traitant. Anthropic (Anthropic Ireland, Limited, avec qui nous avons contracté, et Anthropic, PBC, aux États-Unis) traite ces données pour notre compte, selon son accord de traitement des données. Ses conditions commerciales lui interdisent d’entraîner ses modèles sur les contenus que nous lui transmettons. Selon ses règles publiées, il efface les demandes et réponses reçues par son API dans un délai de 30 jours, sauf contenus signalés pour non-respect de sa politique d’utilisation ou obligation légale.

Transferts. Ces données peuvent être traitées aux États-Unis, sous les clauses contractuelles types de la Commission européenne (section 9).

Conservation. Chez xkelo, conversations, pièces jointes et journal des actions : 6 mois, puis effacement automatique (section 6). Les cas anonymisés du jeu d’essai ne permettent plus de vous identifier.

Vos droits. Ceux de la section 11, dont l’effacement anticipé de vos conversations et l’opposition à leur relecture. Le retrait de votre accord se fait depuis l’application ou le site xkelo (Réglages, « Assistant IA », « Retirer mon accord »), ou par e-mail à contact@xklic.com.

Cette section reprend, en détail, l’information résumée sur la page Prospection : d’où viennent vos coordonnées.

Qui nous sommes pour vous. Vous avez été contacté par un artisan ou une petite entreprise, cliente de MINHAJ, qui utilise notre outil xkontact et sa fonction « Radar ». Radar lui propose des entreprises à contacter dans sa zone. Pour constituer cette liste, MINHAJ est responsable de traitement. Pour l’appel ou le message que vous avez reçu, l’entreprise qui vous a contacté est responsable : c’est elle qui a décidé de vous écrire, avec ses mots, depuis ses propres outils.

D’où viennent vos coordonnées. Exclusivement de sources publiques : le répertoire Sirene de l’INSEE (via l’API Recherche d’entreprises de la DINUM, licence ouverte Etalab), le BODACC (DILA, licence ouverte), OpenStreetMap (licence ODbL), des jeux de données publics sectoriels (FINESS, Annuaire Santé, centres de contrôle technique), le site internet de votre entreprise pour le téléphone et les adresses e-mail que vous y publiez, et, ponctuellement, Google Places pour un numéro de téléphone. Nous n’achetons aucun fichier et ne lisons aucun annuaire tiers.

Ce que nous détenons. Raison sociale, SIREN/SIRET, code d’activité, adresse de l’établissement, date de création, tranche d’effectif, téléphone et site publiés, jusqu’à cinq adresses e-mail publiées sur votre site. Nous ne détenons ni nom de dirigeant, ni date de naissance, ni donnée sur une personne physique autre qu’une adresse e-mail nominative que vous auriez vous-même publiée. Les entreprises en nom propre sont écartées par défaut, et toujours dans les activités sans local ; leur adresse e-mail n’est jamais conservée. Les fiches non diffusibles au sens du répertoire Sirene sont écartées. Le téléphone et le site issus de Google Places sont effacés après 30 jours.

Pourquoi. Permettre à nos clients, des professionnels, de proposer leurs services à d’autres professionnels de leur zone : de la prospection commerciale entre entreprises.

Base légale. L’intérêt légitime de MINHAJ et de ses clients à développer leur activité par la prospection entre professionnels (article 6.1.f du RGPD, considérant 47), mis en balance avec vos droits par des garde-fous : sources publiques uniquement, aucune donnée sur les personnes au-delà d’une adresse e-mail professionnelle publiée, exclusion des entrepreneurs individuels par défaut, un seul contact par entreprise et par mois pour l’ensemble de nos clients, opposition simple et définitive.

Qui voit vos coordonnées. L’artisan à qui votre fiche est proposée, un à la fois, pendant 30 jours. Elles ne sont jamais vendues, louées ni transmises à d’autres fins. Nos prestataires techniques (hébergement à Paris) y ont accès dans les limites de l’annexe D.

Combien de temps. Une fiche Radar est conservée tant que l’entreprise existe dans les registres publics et au plus 3 ans après le dernier contact avec l’un de nos clients ; passé ce délai, elle est supprimée puis, le cas échéant, reconstituée à partir des seules données publiques du moment. Les données issues de Google Places : 30 jours. Votre opposition : sans limite, car elle doit durer.

Vous opposer. Répondez « stop » au message reçu, passez par la page Prospection ou écrivez à contact@xklic.com en indiquant votre SIRET ou votre raison sociale. Votre entreprise sort alors de Radar pour tous nos clients, définitivement, sous 72 heures. Vous pouvez aussi demander l’accès aux données détenues et leur rectification.

Si vous êtes client, prospect ou fournisseur d’une entreprise qui utilise xklic, xkelo ou xkontact, vos données (identité, coordonnées, factures, demandes, rendez-vous, commandes) sont traitées par cette entreprise, qui en est responsable ; MINHAJ agit comme sous-traitant, selon l’annexe D des Conditions. Adressez vos demandes à cette entreprise ; si elle ne répond pas ou si vous ne parvenez pas à la joindre, écrivez-nous et nous lui transmettrons votre demande.

Vos données sont destinées à l’équipe de MINHAJ. Pour fournir les services, elles peuvent être traitées par les prestataires suivants, liés par contrat et tenus à la confidentialité :

• Scaleway SAS — Hébergement en France de xklic.com, des sites internet de nos clients, des applications (espace client, xkelo, xkontact), des bases de données, des médias que vous nous envoyez, des journaux et de la mesure d'audience. (France (UE) — données hébergées à Paris — politique de confidentialité)
• OVH SAS (OVHcloud) — Enregistrement et renouvellement des noms de domaine des sites clients, redirections e-mail. (France (UE) — politique de confidentialité)
• Stripe Payments Europe, Ltd. — Prélèvement des abonnements souscrits avant le 26 septembre 2026 et, pour les clients concernés, compte de paiement ouvert à votre nom (Stripe Connect). Vos données de carte sont saisies et conservées chez Stripe — nous n'y avons jamais accès. (Irlande (UE), avec transferts vers Stripe Inc. aux États-Unis — politique de confidentialité)
• Mollie B.V. — Paiement des commandes et prélèvement des abonnements souscrits depuis le 26 septembre 2026, paiements ponctuels ; et encaissement au nom de nos clients (boutique, factures xkelo), lorsqu'ils choisissent ce prestataire. Vos données de carte sont saisies et conservées chez Mollie — nous n'y avons jamais accès. (Pays-Bas (UE) — politique de confidentialité)
• Stancer SAS — Encaissement au nom de nos clients xkelo, lorsqu'ils choisissent ce prestataire de paiement. (France (UE) — politique de confidentialité)
• SumUp Limited — Encaissement au nom de nos clients xkelo, lorsqu'ils choisissent ce prestataire de paiement. (Irlande (UE) — politique de confidentialité)
• Flatpay ApS (connecteur Frisbii) — Encaissement au nom de nos clients xkelo, lorsqu'ils choisissent ce prestataire de paiement. (Danemark (UE) — politique de confidentialité)
• Anthropic (Anthropic Ireland, Limited et Anthropic, PBC) — Fournisseur du modèle d'intelligence artificielle Claude utilisé par l'assistant de xkelo, seulement si vous lui avez donné votre accord : vos messages à l'assistant, les pièces que vous y joignez et les données de votre compte utiles à la demande (clients, documents, prix). Anthropic s'engage par contrat à ne pas entraîner ses modèles sur ces données. Détails sur la page Intelligence artificielle (xklic.com/ia). (Irlande (UE) et États-Unis — clauses contractuelles types — politique de confidentialité)
• Resend Inc. — Envoi des e-mails de service : liens de connexion, devis et factures, notifications, demandes d'avis. (États-Unis — clauses contractuelles types — politique de confidentialité)
• Super PDP — Plateforme agréée de facturation électronique : réception des factures de vos fournisseurs dans xkelo. (France (UE) — politique de confidentialité)
• Google (Google Ireland Ltd. / Google LLC) — Pour les clients concernés : gestion de leur fiche Google Business Profile, campagnes Google Ads, et Places API pour retrouver, à la demande et une fiche à la fois, le numéro de téléphone d'une entreprise dans xkontact. Acheminement des notifications des applications xkontact et xkelo vers les téléphones Android (Firebase Cloud Messaging), et connexion « avec Google » si vous la choisissez. (Irlande (UE), avec transferts vers les États-Unis sous Data Privacy Framework — politique de confidentialité)
• OpenAI — Pour les visiteurs de xklic.com : mesure de l'efficacité de nos propres annonces dans ChatGPT (contacts et commandes venus d'une annonce), par un cookie déposé seulement avec votre accord. (Irlande (UE) et États-Unis — politique de confidentialité)
• Apple Distribution International Ltd. — Acheminement des notifications des applications xkontact et xkelo vers les iPhone (Apple Push Notification service), et connexion « avec Apple » si vous la choisissez. (Irlande (UE), avec transferts vers Apple Inc. aux États-Unis sous Data Privacy Framework — politique de confidentialité)
• Meta Platforms Ireland Ltd — Publication, en votre nom, sur vos pages Facebook et Instagram lorsque vous nous en confiez la gestion. (Irlande (UE), avec transferts vers les États-Unis sous Data Privacy Framework — politique de confidentialité)
• Serper — Recherche du site internet d'une entreprise dans xkontact (la requête envoyée se limite à un nom et une ville). (États-Unis — clauses contractuelles types — politique de confidentialité)
• Cloudflare, Inc. — DNS de nos domaines et protection anti-robot des formulaires (widget Turnstile) : un jeton est vérifié à l'envoi du formulaire de contact et du tunnel de commande. (États-Unis — Data Privacy Framework — politique de confidentialité)

Ne sont pas des sous-traitants : l’INSEE, la DINUM, la DILA et les autres producteurs de données publiques que nous consultons sans leur transmettre de données ; OpenStreetMap ; Umami et DocuSeal, outils que nous hébergeons nous-mêmes. Nous ne vendons ni ne louons jamais vos données. Nous ne les communiquons à une autorité que sur réquisition régulière.

Certains prestataires (Resend, Google, Meta, Serper, Cloudflare, Stripe Inc., Anthropic) peuvent traiter des données aux États-Unis. Ces transferts s’appuient sur les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, sur la décision d’adéquation relative au Data Privacy Framework. Les sites, les applications, les bases de données et les médias restent hébergés en France, chez Scaleway SAS à Paris. Vous pouvez obtenir copie des garanties en nous écrivant.

Chiffrement des échanges (TLS), secrets et jetons chiffrés au repos, une base de données par service, connexion sans mot de passe par lien à usage unique, journalisation des actions et des interventions d’assistance, sauvegardes automatiques, contrôle du contenu réel des fichiers téléversés, surveillance et alertes. Le détail figure à l’annexe D des Conditions. Nous ne revendiquons aucune certification.

Vous disposez d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, et du droit de définir des directives sur le sort de vos données après votre décès. Pour la prospection (section 5), le droit d’opposition s’exerce sans motif et à tout moment.

Pour les exercer : contact@xklic.com (objet « Données personnelles »), ou par courrier au siège. Indiquez votre nom, l’entreprise concernée et l’adresse e-mail ou le SIRET qui nous permet de vous retrouver. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, et pouvons vous demander un élément de vérification si un doute existe sur l’identité du demandeur. La marche à suivre pour l’effacement est détaillée sur la page Suppression de vos données.

Vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard. Le tri anti-spam des formulaires et les règles d’exclusion de Radar sont des filtres techniques sans effet juridique ; Radar n’établit aucun score ni profil des personnes. L’assistant IA de xkelo prépare des brouillons et des réponses ; il ne prend aucune décision : chaque document est relu et validé par une personne.

Nos services s’adressent à des professionnels ; nous ne collectons pas sciemment de données de mineurs.

Cette politique peut évoluer avec nos services ou la réglementation. La date de mise à jour figure en haut de page ; en cas de changement important, nos clients en sont informés par e-mail. Voir aussi nos mentions légales et nos conditions générales — site xklic.com.