Politique de confidentialité

RankMeFast (https://rankme.fast) est exploité par Abderrahim Selmi. Contact : privacy@rankme.fast

Cette Politique de confidentialité explique ce que RankMeFast collecte, pourquoi, comment ces données sont protégées, et les choix qui s'offrent à vous. Elle s'applique au Service hébergé à rankme.fast et aux instances auto-hébergées exécutant le même logiciel.

Pour les déploiements auto-hébergés, RankMeFast en tant qu'organisation n'a pas accès à vos données — tout s'exécute sur votre propre infrastructure. Les informations ci-dessous décrivent le Service hébergé.

Données de compte. Nom, adresse e-mail, mot de passe (hachage scrypt uniquement), langue préférée, rôle et état de vérification de l'e-mail. Si vous vous connectez avec Google : identifiant de compte Google, nom, adresse e-mail et photo de profil. Voir Données utilisateur Google

Données de session. Jeton de session, adresse IP et user-agent stockés avec chaque session pour la sécurité et la prévention des abus.

Données d'usage. Compteurs mensuels par compte pour les mots-clés suivis, les audits, les pages d'audit, les lignes de backlinks, les résumés IA et les sièges. Ces compteurs appliquent les limites du plan.

Données produit. Domaines que vous ajoutez, mots-clés suivis, historique de classement, rapports d'audit, lignes de backlinks, ensembles de concurrents et résultats de recherche de mots-clés. C'est la donnée de travail que le Service produit pour vous.

Données de facturation. Palier d'abonnement, factures et entrées du grand livre de crédits. Les détails de carte sont gérés par Polar ; RankMeFast ne stocke pas les numéros de carte complets.

Identifiants fournisseurs. Les jetons de renouvellement Google OAuth (pour Search Console et Analytics) et les identifiants DataForSEO configurés sont chiffrés au repos avec AES-256-GCM sous une clé principale. Voir Données utilisateur Google

Messages du formulaire de contact. Si vous utilisez le formulaire de contact, le contenu du message et votre adresse e-mail sont livrés à notre boîte de support via Resend.

Nous utilisons les données ci-dessus pour :

• Provisionner et exploiter votre compte, vos sites et vos audits.
• Appliquer les limites de plan et prévenir les abus via la limitation de débit et l'isolation multi-comptes.
• Traiter les paiements via Polar et maintenir un historique des factures et du grand livre de crédits.
• Envoyer des e-mails transactionnels : vérification, réinitialisation de mot de passe, fin d'audit, alertes de chute de classement et avertissements de suppression. Les e-mails marketing sont en opt-out et envoyés uniquement si la préférence correspondante est activée.
• Générer des résumés IA lorsque la fonctionnalité est activée. Seul le texte des règles généré et le domaine du site sont envoyés au modèle IA — jamais le HTML brut, les payloads fournisseurs ou vos données personnelles.
• Maintenir des journaux d'audit pour la sécurité. Les journaux d'audit n'enregistrent jamais d'adresses e-mail, de corps de requête, d'en-têtes ou de paramètres sensibles.

Cette section explique comment RankMeFast accède aux informations des API Google, les utilise, les stocke, les partage et les supprime. Elle s’applique au Service hébergé sur rankme.fast.

Données consultées

• Connexion Google : identifiant de compte, adresse e-mail, nom et photo de profil. Autorisations : openid, email, profile.
• Google Search Console, uniquement si vous le connectez : propriétés accessibles, statistiques de recherche (requêtes, pages, pays, appareils, apparence dans les résultats, clics, impressions, CTR et position moyenne), sitemaps et inspections d’un échantillon d’URL publiques des propriétés liées. Autorisation : https://www.googleapis.com/auth/webmasters.readonly.
• Google Analytics, uniquement si vous l’activez : propriétés GA4 et flux Web accessibles, rapports de trafic, d’engagement et de conversion (événements clés) des propriétés liées. Les propriétés peuvent être associées automatiquement à votre site ou choisies par vous. Autorisation : https://www.googleapis.com/auth/analytics.readonly.

Vous pouvez retirer l’accès sur myaccount.google.com/permissions. Pour demander une suppression, contactez privacy@rankme.fast. Consultez Vos droits pour la suppression du compte.

Déclaration d’utilisation limitée

L’utilisation et le transfert par RankMeFast à toute autre application des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris les exigences d’utilisation limitée (Limited Use).

Cookie de session. Un unique cookie httpOnly, SameSite=Lax (better-auth.session_token) vous garde connecté. Il est marqué Secure en production.

Cookie CSRF. Un jeton double-submit (x-csrf-token par défaut) protège les formulaires. Il est SameSite=Strict et Secure en production.

Cookie de langue. Un cookie lang stocke votre préférence de langue d'interface pendant un an.

Lorsque le site hébergé est configuré avec Google Analytics, Google reçoit des informations sur le navigateur et l’usage et peut définir des identifiants de mesure. RankMeFast n’utilise pas de cookies publicitaires.

RankMeFast ne partage les données qu'avec les sous-traitants nécessaires à l'exploitation du Service :

• Polar — traitement des paiements et gestion des abonnements. Reçoit les IDs de produits, les références client et les événements webhook. Ne reçoit pas vos données d'audit ou de classement.
• DataForSEO — signaux de mots-clés, classement, backlinks, concurrents et vitesse Lighthouse en laboratoire. Reçoit les domaines, mots-clés et URL publiques d’audit que vous envoyez.
• Google APIs (OAuth, Search Console et Analytics ; PageSpeed Insights et CrUX facultatifs lorsqu’ils sont configurés) — reçoit les données des propriétés connectées. L’inspection d’URL de Search Console envoie un échantillon d’URL publiques du site lorsqu’une propriété est connectée ; PageSpeed n’envoie les URL publiques d’audit que si Google est choisi pour la vitesse de page. PageSpeed Insights et CrUX utilisent des clés API de service pour les URL publiques et les performances réelles, sans accéder à votre compte Google. Voir Données utilisateur Google pour le traitement des informations reçues de Google.
• Firecrawl (Cloud) — crawl de pages publiques pour audit, surveillance et Content Intelligence. Ne reçoit que les URLs publiques que vous sélectionnez.
• Fournisseurs IALes données Google ne sont pas exclues de tout traitement d’IA. Les résumés d’audit demandés peuvent inclure des constats issus de Google. La génération de schémas peut envoyer des faits Search Console sur les résultats enrichis à un fournisseur d’IA, et l’Assistant IA peut recevoir des données Google via les outils autorisés de rapports d’audit. Content Intelligence utilise aussi des données Search Console stockées pour l’analyse déterministe. La conservation et l’utilisation par les fournisseurs dépendent des accords et de la configuration applicables ; cette politique ne garantit pas que tous leurs traitements excluent l’entraînement. Fournisseurs approuvés : GLM, DeepSeek, Kimi, OpenAI, Gemini et Anthropic Claude.
• Resend — livraison des e-mails transactionnels et de notification.

Chaque sous-traitant est lié par ses propres conditions de protection des données. RankMeFast ne vend pas vos données.

Content Intelligence est opt-in pour chaque analyse. Lors de son exécution, nous traitons les éléments suivants :

• Firecrawl Cloud crawle les URLs publiques que vous choisissez — votre page détenue et jusqu’à trois pages concurrentes publiques que vous acceptez. Aucune page authentifiée n’est lue, aucune capture d’écran n’est prise.
• Des extraits assainis et bornés ainsi que les faits dérivés sont stockés pour bâtir la scorecard, le brief et les citations.
• Les extraits assainis sont envoyés uniquement si vous acceptez le brief ou le brouillon IA, via la liste de fournisseurs approuvée par l'opérateur : GLM, DeepSeek, Kimi, OpenAI, Gemini et Anthropic Claude. Cette liste provient d'une autorité juridique statique, jamais de la configuration d'exécution.
• Aucun HTML brut n'est conservé. Les extraits assainis expirent après 7 jours. Les faits dérivés, hachages, briefs, brouillons, citations et usages suivent la politique de rétention du compte.
• Le contenu concurrent public sert de preuve courte et citée et n'est pas reproduit de manière substantielle. Les conditions d'utilisation des données dépendent des accords actuels de l'opérateur; cette politique ne formule pas de promesse plus large sur l'entraînement.

Rien n’est publié automatiquement. Briefs et brouillons vivent dans RankMeFast comme versions de travail modifiables ; exportez-les ou supprimez-les à tout moment.

Les données Google ne sont pas exclues de tout traitement d’IA. Les résumés d’audit demandés peuvent inclure des constats issus de Google. La génération de schémas peut envoyer des faits Search Console sur les résultats enrichis à un fournisseur d’IA, et l’Assistant IA peut recevoir des données Google via les outils autorisés de rapports d’audit. Content Intelligence utilise aussi des données Search Console stockées pour l’analyse déterministe. La conservation et l’utilisation par les fournisseurs dépendent des accords et de la configuration applicables ; cette politique ne garantit pas que tous leurs traitements excluent l’entraînement.

• Les secrets fournisseurs et les jetons de renouvellement Search Console et Analytics utilisent AES-256-GCM sous une clé principale. Les jetons de connexion utilisent le chiffrement authentifié distinct de Better Auth.
• Les mots de passe sont hachés avec scrypt via Better Auth ; les mots de passe en clair ne sont jamais stockés.
• Isolation multi-comptes : chaque route produit vérifie la propriété et renvoie 404 (et non 403) pour les ressources d'autrui, pour que l'existence ne fuite jamais.
• Les limites de débit sur les routes d'authentification et de webhook réduisent la force brute et l'abus volumétrique.
• L'authentification à deux facteurs (TOTP + codes de secours) est disponible sur tous les comptes et requise pour les admins.
• Le CSRF est appliqué via les vérifications Origin et trusted-origins ainsi que le cookie double-submit.

Aucun système n'est parfaitement sécurisé. Si vous pensez avoir découvert une vulnérabilité, veuillez contacter security@rankme.fast avant toute divulgation publique.

Les faits dérivés, hachages, scorecards, briefs, brouillons, citations, historiques de recommandations, résultats de suivi et données d'usage restent soumis à la politique de rétention du compte jusqu'à leur export ou suppression. Aucun HTML brut n'est conservé et les extraits assainis expirent après 7 jours.

Les enregistrements de facturation (factures, grand livre de crédits) sont conservés pendant la période exigée par la loi fiscale de la juridiction d'exploitation.

Les journaux d'audit qui portent des métadonnées liées à la sécurité sont conservés en roulement et ne contiennent jamais d'adresses e-mail ni de corps de requête.

Selon votre juridiction (UE/EEE, Royaume-Uni, Californie, etc.), vous pouvez avoir le droit de :

• Accéder à une copie de vos données personnelles.
• Corriger les données inexactes.
• Exporter les données du compte, notamment les audits, historiques de classement, analyses Content Intelligence, inventaires, analyses concurrentes, moniteurs, historiques de recommandations, résultats et événements d'usage associés.
• Supprimer votre compte. La suppression entre dans une période de grâce de 30 jours pendant laquelle vous pouvez l'annuler. Un e-mail d'avertissement final est envoyé 24 heures avant la purge. Une conservation légale peut retarder la suppression lorsque la loi l'exige.
• Vous opposer à ou restreindre certains traitements, et retirer votre consentement pour les e-mails marketing à tout moment via les préférences de notification.
• Déposer une plainte auprès de votre autorité de contrôle si vous estimez que le traitement viole la loi applicable.

Pour exercer l'un de ces droits, utilisez les points de terminaison de droits sur les données dans l'application (/api/legal/*) ou contactez privacy@rankme.fast.

Vos données peuvent être traitées par RankMeFast et ses sous-traitants dans des juridictions hors de votre pays de résidence. Lorsque l'UE/EEE est concernée, les transferts s'appuient sur des garanties appropriées telles que les Clauses Contractuelles Types ou un autre mécanisme de transfert licite.

Les déploiements auto-hébergés conservent toutes les données sur votre propre infrastructure ; aucun transfert vers RankMeFast n'a lieu.

Le Service n'est pas destiné aux enfants de moins de 16 ans. RankMeFast ne collecte pas sciemment de données personnelles auprès d'enfants. Si vous pensez qu'un mineur s'est inscrit, contactez privacy@rankme.fast et le compte sera supprimé.

Sur une instance auto-hébergée, vous contrôlez l'infrastructure, les clés de chiffrement et les intégrations fournisseurs. RankMeFast en tant qu'organisation ne reçoit pas de données de votre instance. Vous êtes responsable de la conformité aux obligations de cette Politique (y compris les demandes des personnes concernées) pour les données que vous traitez sur votre propre déploiement.

Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Les changements matériels seront annoncés par e-mail (aux comptes vérifiés) ou dans l'application au moins 30 jours avant leur prise d'effet. La date « Dernière mise à jour » en haut de cette page reflète la révision la plus récente.

Des questions sur cette Politique de confidentialité ou une demande de personne concernée ? Contactez privacy@rankme.fast.