La prospection touche à des données personnelles : cette page est écrite pour être vérifiée, pas admirée. Elle expose la base légale sur laquelle nous nous appuyons, qui est responsable de quoi, où vos données sont physiquement hébergées, comment elles sont supprimées, et les certifications que nous ne détenons pas.
La prospection B2B dans l'UE ne repose pas sur le consentement. Elle repose sur l'intérêt légitime, article 6.1.f du RGPD : contacter un professionnel, à son adresse professionnelle, au sujet de quelque chose de plausiblement lié à son poste, d'une manière qu'il peut arrêter à tout moment.
Cette base n'est pas un chèque en blanc. Elle tient tant que trois conditions tiennent — l'intérêt est réel, le traitement lui est proportionné, et les droits du destinataire ne sont pas écrasés. XP One est construit pour que ces conditions restent vraies : données professionnelles uniquement, ciblage par signal plutôt que volume indiscriminé, et une possibilité de refus dans chaque message.
| Rôle | Qui | Ce que ça veut dire en pratique |
|---|---|---|
| Responsable de traitement | Vous, l'utilisateur | Vous décidez qui contacter, pourquoi, et avec quel message. La finalité du traitement est la vôtre, donc la responsabilité aussi. |
| Sous-traitant | LEADSMIND AI LTD | Nous traitons ces données sur vos instructions documentées, pour fournir la plateforme, et pour rien d'autre. Nous ne les vendons pas, ne les partageons pas entre comptes, et ne les utilisons pas pour bâtir une base à nous. |
| Contrat | DPA | Un accord de sous-traitance (DPA) est annexé aux CGU-CGV et s'applique automatiquement dès le jour de votre abonnement — aucun formulaire à demander, aucun cycle de négociation. Lisez-le : le DPA. |
Parce que vous êtes le responsable de traitement, certaines obligations sont les vôtres et ne peuvent pas être déléguées à un fournisseur. Nous préférons les écrire ici plutôt que vous les laisser découvrir dans une plainte.
Chaque communication que vous envoyez doit donner au destinataire un moyen clair et simple de refuser tout nouveau contact — sur chaque canal, dans chaque template, y compris le premier message. Écrire cette ligne dans vos templates relève de votre responsabilité.
Si quelqu'un demande à ne plus être contacté, cette demande doit être honorée immédiatement et définitivement, sur toutes vos campagnes et tous vos canaux — pas seulement celui où la personne a répondu.
Utilisez la plateforme pour une prospection B2B réellement pertinente pour le poste du destinataire. Le marketing grand public, et les messages sans lien plausible avec le travail de la personne, sortent de la base légale et de nos CGU-CGV.
Les demandes d'accès, de rectification, d'effacement et d'opposition des personnes figurant dans vos listes vous reviennent en tant que responsable de traitement. Nous vous soutenons sur le plan technique et agissons sur vos instructions, dans les termes du DPA.
Cette page est un résumé en langage clair. Le texte qui fait foi est la politique de confidentialité et le DPA.
C'est la liste annexée au DPA. Les localisations sont indiquées comme un fait sur l'endroit où chaque fournisseur opère, pas comme une promesse marketing de résidence des données — nous n'avons aucun programme formel de résidence, et nous n'allons pas en laisser entendre un.
| Sous-traitant ultérieur | Rôle | Où il opère |
|---|---|---|
| Amazon Web Services | Hébergement de la base de données | Francfort, Allemagne |
| DigitalOcean | Hébergement de l'application | Londres, Royaume-Uni |
| Stripe | Paiements et facturation | Selon le DPA |
| Sentry | Suivi des erreurs | Selon le DPA |
| Mailjet | Envoi des emails transactionnels | Selon le DPA |
| Unipile | Connectivité messagerie | Selon le DPA |
| FullEnrich | Enrichissement des données de contact | Selon le DPA |
| Checknumber | Vérification des numéros de téléphone | Selon le DPA |
Liste des sous-traitants ultérieurs telle qu'annexée au DPA. Les transferts, les garanties et la notification des changements sont régis par ce document.
Le trafic entre votre navigateur, l'extension Chrome et nos serveurs passe en HTTPS. Le stockage, les sauvegardes et l'isolation réseau reposent sur l'infrastructure managée des deux sous-traitants d'hébergement ci-dessus. L'accès aux données de production au sein de l'entreprise est limité aux personnes qui en ont besoin pour exploiter le service et en assurer le support.
La prospection WhatsApp dans XP One fonctionne en pilotant une session navigateur sur votre propre compte. Ce n'est pas une intégration officielle, nous ne sommes pas partenaire WhatsApp, et aucune certification ne se cache derrière. Quiconque vous affirme le contraire à propos d'un outil de cette catégorie vous vend un mot qui n'a aucun sens ici.
Ce qui en découle, clairement : votre compte WhatsApp reste soumis aux conditions et aux sanctions de WhatsApp, le comportement d'envoi relève de votre responsabilité autant que de la nôtre, et nous ne décrirons jamais ce canal comme certifié ou approuvé. Ce que nous faisons à la place : le cadencer, le restreindre aux numéros vérifiés comme actifs, et garder les volumes assez bas pour qu'il ressemble à la conversation humaine qu'il est censé être.
Si ce compromis n'est pas acceptable pour votre activité, utilisez uniquement LinkedIn et l'email — ce sont des canaux complets dans la plateforme, chacun de leur côté.
La sécurité ne concerne pas que nos serveurs. Pour une plateforme de prospection, le dommage le plus probable est un compte LinkedIn restreint ou perdu — le moteur anti-ban est donc un contrôle de sécurité, pas une fonctionnalité marketing, et il ne peut pas être désactivé pour aller plus vite.
Plafonds stricts sur les invitations — 100 par 7 jours glissants, environ 14 par jour — et sur les prospects par campagne (200 ; 100 pour une campagne de messages LinkedIn). Délais aléatoires entre les actions. Un cooldown entre les campagnes. Des heures calmes dans les deux fuseaux horaires. Un watchdog sur les tâches bloquées, un heartbeat qui met tout en pause si l'extension se tait, et un circuit breaker qui s'arrête après cinq échecs consécutifs.
Le vrai test d'une politique de données, c'est ce qui se passe quand quelqu'un part. La nôtre est volontairement ennuyeuse :
La résiliation se fait dans l'app. Pas d'appel de rétention, pas de « êtes-vous sûr », pas de ticket support à ouvrir, pas de formulaire à envoyer.
Vos prospects, vos listes et l'historique de vos campagnes sont exportés en CSV et JSON, dans des formats que vous ouvrez avec n'importe quel outil.
La suppression côté serveur intervient sous 7 jours après la demande — pas « un jour », pas « au prochain cycle de nettoyage ».
Un reçu de suppression signé est émis pour que l'effacement soit documenté — exactement ce dont vous aurez besoin si un prospect vous demande de le prouver.
Les durées de conservation des documents que nous devons garder — factures et pièces comptables, par exemple — sont fixées dans la politique de confidentialité.
Les pages sécurité gonflent d'habitude. Celle-ci dégonfle, parce qu'une affirmation que vous ne pouvez pas prouver lors d'un audit de due diligence est pire qu'aucune affirmation.
Tout ce sur quoi nous travaillons apparaît sur la roadmap, étiqueté avec son vrai statut.
Envoyez les détails à contact@xp-one.io. Laissez-nous un délai raisonnable pour corriger avant de publier, n'accédez pas aux données d'autrui et ne les modifiez pas pendant vos tests, et nous vous créditerons publiquement si vous le souhaitez.
XP One