1. Responsable du traitement et rôles

MEYIA est le nom commercial de Romain Arnaud, entrepreneur individuel (EI), dont l'établissement est situé 60 rue François 1^er, 75008 Paris, France. SIRET 102 099 603 00015. Contact : contact@meyia.fr.

Pour la gestion de votre compte, de la relation commerciale et du site, MEYIA agit en tant que responsable de traitement.

Pour le traitement des avis de votre fiche Google, des avis que vous saisissez manuellement dans le service, et des réponses que vous publiez, MEYIA agit en tant que sous-traitant pour votre compte : vous, gérant de l'établissement, êtes responsable de traitement. Ce traitement est encadré par notre Annexe de traitement des données (DPA).

Pour le module de veille concurrentielle (« Radar »), qui traite des informations publiquement accessibles relatives à des établissements tiers, MEYIA agit en tant que responsable de traitement autonome. Ce traitement n'est pas réalisé pour votre compte ni sur vos instructions : il ne relève donc pas du DPA, et il est décrit à l'article 2.d ci-dessous.

2. Données que nous collectons

a) Données de compte et de contact. Prénom, nom, adresse email, nom et adresse de l'établissement, fournis lors de la création de votre compte.

b) Données issues des API Google (Google Business Profile). Lorsque vous connectez votre fiche via Google (OAuth), MEYIA accède, dans la limite des autorisations que vous accordez, aux données suivantes :

• les comptes et fiches Google Business Profile que vous gérez (nom, adresse, identifiants de la fiche) ;
• les avis de vos clients (texte de l'avis, note, date, langue, le nom d'auteur affiché par Google, ainsi que la photo de profil publique de l'auteur lorsqu'elle existe) ;
• lorsqu'un rapprochement fiable est possible à partir de l'identifiant public de l'avis, certains indicateurs publics du profil de son auteur fournis par DataForSEO (nombre d'avis et de photos publiés, statut Local Guide et lien vers le profil public). Ces indicateurs peuvent être absents ou différés ; ils ne remplacent jamais l'avis reçu directement de Google ;
• les réponses aux avis, existantes ou publiées via MEYIA ;
• les statistiques de performance de votre fiche.

Le nom d'auteur d'un avis, sa photo de profil et les éventuels indicateurs publics de son profil constituent des données à caractère personnel. Le nom d'auteur, tel qu'il est affiché publiquement par Google, est transmis au moteur de génération afin que la réponse s'adresse correctement à son destinataire : selon le type et le standing de l'établissement, la formule d'adresse retenue est le prénom seul ou le nom complet. La photo de profil n'est jamais transmise au moteur de génération. Les indicateurs DataForSEO servent uniquement à contextualiser la lecture de l'avis et ne sont pas utilisés pour alimenter Radar. Le nom figure ensuite dans la réponse que vous choisissez de publier.

Conservation du format d'origine. Pour chaque avis, MEYIA conserve la réponse brute transmise par l'API Google, à seule fin de contrôle d'intégrité et de correction d'éventuelles erreurs de traitement. Elle ne contient aucune donnée autre que celles énumérées ci-dessus.

c) Données de preuve de l'acceptation. Quel que soit le mode de création du compte, par adresse électronique et mot de passe ou par connexion Google, et lors de toute nouvelle acceptation ultérieure, MEYIA enregistre la date et l'heure, la version de chaque document accepté, l'adresse IP et l'agent utilisateur du navigateur, afin de conserver la preuve de votre acceptation. Aucune autre donnée n'est enregistrée à cette fin.

d) Données de veille concurrentielle (module Radar). Pour vous permettre de vous situer dans votre zone, MEYIA traite des informations publiquement accessibles relatives à des établissements tiers de votre secteur : nom, adresse, catégorie, note moyenne, nombre d'avis, ainsi que les avis publiés sur leurs fiches (texte, note, date, langue) et les mentions publiques les concernant (presse, web, vidéos). Ces données proviennent de fournisseurs de données tiers et de sources publiques, jamais des API Google auxquelles vous nous donnez accès.

Minimisation des avis d'établissements tiers. Pour ces avis, MEYIA ne conserve ni le nom de l'auteur, ni sa photo de profil : ces champs sont écartés dès la collecte et ne sont jamais enregistrés. Les auteurs d'avis trouveront l'information qui leur est due à l'article 11 ci-dessous.

e) Avis que vous saisissez manuellement. Lorsque vous saisissez vous-même, depuis votre compte, le contenu d'un avis reçu en dehors de votre fiche Google (voir nos conditions générales d'utilisation, article 5 bis), MEYIA traite le texte de l'avis, la note que vous indiquez, la date, et tout nom d'auteur que vous choisissez de renseigner. Cette donnée est déclarative : elle repose sur votre saisie et sur la garantie, que vous apportez, que l'avis correspond à un avis réel. MEYIA ne la collecte pas auprès de Google et ne la vérifie pas auprès de son auteur. Elle n'est jamais publiée sur votre fiche Google et n'entre dans aucune de vos statistiques d'avis.

f) Recherche d'établissements avec Google Places. Lorsque vous saisissez une recherche d'établissement, le texte recherché est transmis à Google Maps Platform / Places API afin de fournir les résultats correspondants. MEYIA ne conserve pas ce texte dans sa base de données. Google peut toutefois conserver des journaux techniques liés aux requêtes selon ses propres règles, décrites dans sa politique de confidentialité.

3. Pourquoi nous collectons ces données (finalités)

Les données issues des API Google sont utilisées uniquement pour vous permettre, en tant que gérant, de lire les avis de votre fiche et d'y répondre de manière centralisée depuis MEYIA : affichage des avis, génération de propositions de réponses par intelligence artificielle, publication de la réponse que vous validez, et mise à jour des informations de votre fiche lorsque vous le demandez.

Les avis que vous saisissez manuellement (article 2.e) sont utilisés pour la même finalité : vous permettre de préparer et de conserver une réponse à un avis reçu hors de votre fiche Google. Cette réponse ne peut pas être publiée sur votre fiche : elle vous est remise pour que vous la transmettiez par le canal de votre choix.

Les données de compte servent à gérer votre accès, la relation commerciale et le support.

Veille concurrentielle (Radar). Les données publiques d'établissements tiers sont rapprochées entre plusieurs sources afin de produire, à votre seul usage, des indicateurs comparatifs, des synthèses et des alertes (évolution des notes, volume d'avis, signaux d'activité de votre zone). Elles ne sont ni revendues, ni utilisées pour démarcher les établissements concernés ou leurs clients. Ces rapprochements peuvent être incomplets ou comporter des erreurs ; MEYIA indique la source et la date d'observation lorsqu'elles sont disponibles.

Étanchéité des sources. Les données issues des API Google obtenues via votre connexion OAuth servent exclusivement à la lecture et à la réponse aux avis de votre propre fiche. Elles ne sont jamais utilisées pour alimenter le module de veille concurrentielle.

4. Base légale

Données	Finalité	Base légale	Durée
Compte et contact	Gestion de l'accès et de la relation	Exécution du contrat	Durée du contrat + 6 mois
Avis, réponses, statistiques (API Google)	Lecture et réponse aux avis	Exécution du contrat (pour le compte du gérant)	Conservées pendant la durée du contrat. En cas de révocation de l'accès Google : accès coupé immédiatement, puis suppression irréversible des systèmes actifs sous 30 jours calendaires au plus tard. Suppression sans attendre ce délai lors de la suppression du compte, sous réserve des seules obligations légales de conservation décrites ci-dessous.
Avis saisis manuellement par vous	Préparer une réponse à un avis reçu hors de votre fiche Google	Exécution du contrat (pour le compte du gérant)	Conservés pendant la durée du contrat. Supprimés à la suppression de l'établissement concerné, à la suppression du compte, ou à la fin du contrat. Vous pouvez également supprimer un avis saisi à tout moment, individuellement, depuis votre compte.
Preuve du consentement (horodatage, version, IP, agent utilisateur)	Prouver l'acceptation des conditions	Obligation légale / intérêt légitime	Durée du contrat + 5 ans (prescription)
Données publiques d'établissements tiers et de leurs avis (module Radar)	Veille concurrentielle locale	Intérêt légitime (art. 6.1.f RGPD)	24 mois maximum à compter de la collecte
Données de facturation (factures, identifiant de paiement)	Facturation et obligations comptables	Obligation légale	10 ans (art. L123-22 du Code de commerce)
Registre d'audit de génération (preuve de contrôle humain)	Traçabilité, preuve de non-publication automatique	Intérêt légitime ; conservation art. 17.3.e	5 ans après suppression du compte

Pour le traitement fondé sur l'intérêt légitime (module Radar), MEYIA a mis en balance cet intérêt, permettre à un gérant indépendant de se situer dans sa zone, avec les droits et libertés des personnes concernées. Les données traitées sont publiques, limitées au nécessaire, non revendues, et toute personne peut s'y opposer à tout moment (articles 10 et 11).

5. Comment nous stockons et protégeons vos données

Le stockage principal des données issues de votre fiche Google est situé dans l'Union européenne (base de données Supabase, région Paris). Certains prestataires peuvent néanmoins traiter ou faire transiter des données hors de l'Espace économique européen dans les conditions décrites aux articles 6 et 9. Nous mettons en œuvre les mesures suivantes :

• chiffrement des données en transit (TLS/HTTPS) et au repos ;
• accès restreint, limité aux personnes strictement nécessaires, avec contrôle d'accès par rôle ;
• gestion sécurisée des secrets et des jetons d'accès (jamais transmis à des tiers non autorisés) ;
• journalisation des accès et des opérations de traitement ;
• conservation des avis et réponses limitée au temps nécessaire à leur gestion par vos soins ; suppression sur révocation de l'accès ou fin du contrat.

Le détail des mesures figure à l'article 4 de notre DPA.

6. Avec qui nous partageons vos données (sous-traitants)

Nous ne vendons aucune donnée et ne partageons vos données qu'avec les prestataires techniques strictement nécessaires au fonctionnement du service :

Prestataire	Rôle	Localisation / Garanties
Google LLC	Fourniture des API Google Business Profile (source des avis, publication des réponses) et de Google Maps Platform / Places API (recherche d'établissements)	États-Unis, Data Privacy Framework (certification active) et CCT
Anthropic, PBC	Moteur d'intelligence artificielle : génération des propositions de réponse, et analyse des avis publics pour les synthèses du module Radar	États-Unis, clauses contractuelles types (CCT, art. 46.2 du RGPD) intégrées au DPA d'Anthropic. Pour l'API commerciale, les entrées et sorties sont supprimées par défaut sous 30 jours et ne sont pas utilisées pour entraîner les modèles sans autorisation expresse, sous réserve des exceptions publiées par Anthropic.
Supabase Pte. Ltd.	Base de données et stockage, données hébergées en région Union européenne (Paris)	Singapour, clauses contractuelles types (CCT) intégrées au DPA de Supabase ; stockage principal du projet en région Paris
Vercel, Inc.	Hébergement du site et de l'application	États-Unis, Data Privacy Framework (certification active) et CCT
Plus Five Five, Inc. (Resend)	Envoi d'emails transactionnels	États-Unis, Data Privacy Framework (certification active) et CCT
DataForSEO OÜ	Fourniture de données publiquement accessibles pour le module Radar et, lorsqu'un rapprochement par identifiant public d'avis réussit, de certains indicateurs publics du profil de l'auteur d'un avis du propre établissement. Le contenu, la note, la date et la réponse de cet avis continuent de provenir de Google Business Profile.	Société établie en Estonie. Son DPA est intégré à ses conditions lorsque le RGPD s'applique ; sa liste de sous-traitants et les garanties annoncées pour les transferts figurent dans sa politique de confidentialité.
Functional Software, Inc. (Sentry)	Prestataire de journaux d'erreurs et de supervision technique de l'application. La configuration actuelle désactive les informations utilisateur et la collecte des corps de requêtes HTTP ; les traces techniques peuvent néanmoins contenir des données incidentes, qui doivent être minimisées et filtrées.	Données stockées dans l'Union européenne (Francfort) ; éditeur établi aux États-Unis, Data Privacy Framework (certification active) et CCT
Stripe Payments Europe, Limited	Traitement des paiements et facturation	Entité contractante européenne (Irlande) ; transferts vers les États-Unis encadrés par le Data Privacy Framework (certification active) et les CCT

La liste à jour des sous-traitants et le mécanisme d'opposition figurent dans notre DPA.

7. Conformité aux API Google (Limited Use)

8. Utilisation de l'intelligence artificielle

MEYIA génère des propositions de réponses aux avis à l'aide d'un moteur d'intelligence artificielle. Aucune réponse n'est publiée sans votre validation explicite. Le détail de nos garde-fous et de notre conformité (AI Act, article 50) figure sur notre page Transparence IA.

9. Transferts hors Union européenne

Certains prestataires sont établis hors de l'Union européenne (voir tableau ci-dessus). Lorsque le prestataire est certifié au Data Privacy Framework (Google, Vercel, Resend, Stripe, Sentry), le transfert repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023. Pour les autres prestataires (Anthropic, Supabase), MEYIA fonde le transfert sur les clauses contractuelles types (CCT) adoptées par la Commission européenne en application de l'article 46, paragraphe 2, du RGPD.

Les mesures appliquées comprennent le chiffrement en transit, la limitation des données transmises à ce qui est nécessaire à la finalité poursuivie et, pour l'API commerciale d'Anthropic, l'absence d'utilisation pour l'entraînement sans autorisation expresse. Les éventuelles exceptions de conservation liées à la sécurité ou à une obligation légale restent celles publiées par le prestataire.

10. Vos droits et la révocation de l'accès

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition.

Révocation à tout moment : vous pouvez couper l'accès de MEYIA à votre fiche directement depuis votre compte Google, à tout instant, sans nous prévenir. Sur révocation, ou sur simple demande à contact@meyia.fr, les données issues de votre fiche Google (avis, réponses, statistiques) sont supprimées de nos systèmes sous 30 jours calendaires au plus tard, sauf obligation légale de conservation.

Effacement et conservation légale. Lorsque vous demandez la suppression de votre compte, MEYIA efface les données personnelles opérationnelles (avis, réponses, statistiques, données de veille rattachées à votre compte) et neutralise vos données d'identification. Certaines données restent toutefois conservées lorsqu'une obligation légale l'impose, sur le fondement de l'article 17.3.b du RGPD : les factures pendant 10 ans (article L123-22 du Code de commerce) et les preuves de consentement jusqu'à l'expiration des délais de prescription. Ces données sont archivées à accès restreint, ne sont plus utilisées pour le service, et sont supprimées à l'échéance.

Registre d'audit et conservation probatoire. MEYIA tient un registre technique permettant de documenter les générations et les validations humaines. Cette conservation n'est pas présentée comme une obligation générale de l'article 50 du règlement (UE) 2024/1689. Elle repose sur l'intérêt légitime de MEYIA à établir, exercer ou défendre ses droits. Le registre est conservé pendant 5 ans après la suppression du compte, avec un accès strictement restreint, puis supprimé. Son contenu est limité aux éléments nécessaires à cette finalité et peut inclure un extrait de la proposition ainsi que, lorsque cela est nécessaire, le prénom de l'auteur de l'avis.

Pour exercer vos droits, y compris demander l'effacement de certaines données sans supprimer votre compte : contact@meyia.fr (réponse sous 30 jours). En cas de litige, vous pouvez saisir la CNIL.

11. Information des auteurs d'avis

Cette section s'adresse aux personnes ayant publié un avis sur une fiche Google, qu'il s'agisse d'un établissement client de MEYIA ou d'un établissement tiers suivi par le module Radar, ainsi qu'aux personnes dont un avis est saisi manuellement par un établissement client de MEYIA. Elle constitue l'information prévue à l'article 14 du RGPD, lorsque les données n'ont pas été collectées directement auprès de la personne concernée.

• Données concernées : pour un avis publié sur la fiche d'un établissement client de MEYIA, le nom d'auteur affiché publiquement par Google, la photo de profil publique lorsqu'elle existe, le texte de l'avis, la note, la date et la langue, ainsi que, lorsqu'ils sont disponibles par rapprochement d'identifiant public, le nombre d'avis et de photos publiés par l'auteur, son statut Local Guide et le lien vers son profil public. Pour un avis publié sur la fiche d'un établissement tiers suivi par le module Radar, le texte de l'avis, la note, la date et la langue uniquement : ni le nom d'auteur, ni la photo de profil ne sont conservés.
• Données concernées, avis saisi manuellement : pour un avis saisi par un établissement client de MEYIA, le texte de l'avis, la note et la date indiqués par le gérant, et tout nom d'auteur qu'il choisit de renseigner. Source : saisie déclarative du gérant, non vérifiée par MEYIA.
• Source : les API Google Business Profile (avis des fiches de nos clients) ou des fournisseurs de données tiers agrégeant des informations publiquement accessibles (avis des fiches d'établissements tiers).
• Finalités et bases légales : permettre au gérant de l'établissement concerné de répondre à votre avis, ce gérant est alors le responsable de traitement, MEYIA agit pour son compte ; produire des indicateurs de veille locale à l'usage exclusif d'un gérant, MEYIA est alors responsable de traitement, sur le fondement de l'intérêt légitime (art. 6.1.f).
• Information générale : pour un avis publié sur une fiche Google, MEYIA ne dispose pas de vos coordonnées et ne peut vous informer individuellement. Conformément à l'article 14.5.b du RGPD, cette information générale se substitue à une information individuelle, dont la fourniture exigerait un effort disproportionné. Pour un avis saisi manuellement, l'information vous est due par le gérant qui l'a saisi : il en est le responsable de traitement, MEYIA agissant pour son compte.
• Vos droits : vous pouvez demander l'accès, la rectification ou l'effacement de vos données, ou vous opposer à leur traitement, en écrivant à contact@meyia.fr. MEYIA répond sous 30 jours. Lorsque la demande porte sur un avis publié sur la fiche d'un établissement client, ou sur un avis saisi manuellement par un établissement client, MEYIA la transmet sans délai à ce gérant, qui en est le responsable de traitement.
• Suppression à la source : vous pouvez également supprimer ou modifier votre avis depuis votre compte Google. MEYIA répercute cette suppression lors d'une synchronisation complète ultérieure. Si la liste transmise par Google est incomplète ou vide, la suppression locale est différée jusqu'à une synchronisation complète, afin d'éviter l'effacement erroné de données. Cette suppression à la source ne s'applique pas à un avis saisi manuellement par un gérant : n'ayant pas été publié sur une fiche Google, il ne peut être retiré que par le gérant lui-même ou en nous écrivant.

12. Cookies

Ce site ne dépose aucun cookie publicitaire, de traçage ou de mesure d'audience. Il conserve une seule information dans le stockage local de votre navigateur : la langue d'affichage que vous choisissez. Cette préférence est strictement nécessaire à l'affichage demandé et peut être effacée avec les données du site. Comme tout service en ligne, l'hébergeur peut traiter des journaux techniques strictement nécessaires à la sécurité, à la disponibilité et au diagnostic du service, par exemple l'adresse IP, la date et l'heure, l'URL demandée et le type de navigateur. Ces journaux ne sont pas utilisés à des fins publicitaires ou de suivi intersites et sont conservés pendant la durée strictement nécessaire à ces finalités.

13. Modifications

Cette politique peut être mise à jour pour refléter les évolutions légales ou techniques. La version publiée et sa date d'effet sont indiquées sur cette page.

Régime des modifications. Les modifications sont classées selon les règles suivantes. Une correction rédactionnelle, telle qu'une coquille, un lien ou une clarification sans effet sur les droits, est inscrite au journal des versions et prend effet sans préavis ni nouvelle acceptation. Un changement exclusivement favorable au Client, notamment l'allongement d'un préavis, suit ce régime et fait l'objet d'une simple information. Une modification substantielle, notamment une nouvelle finalité, une nouvelle catégorie de données, un nouveau destinataire ou sous-traitant, un transfert hors de l'Union européenne, ou un changement de droits, d'obligations, de prix, de quotas, de responsabilité, de résiliation ou de périmètre, est annoncée par un courrier électronique dédié, sans contenu marketing, et par une notification persistante dans l'application, au moins trente (30) jours avant sa prise d'effet. Pendant ce délai, le Client peut consulter l'ancienne et la nouvelle version, exporter ses données et résilier sans frais. Lorsqu'un sous-traitant ultérieur est ajouté ou remplacé, le Client peut aussi s'y opposer pour un motif légitime pendant ce même délai. Une nouvelle acceptation est requise si la modification substantielle change les droits ou obligations contractuels du Client. Lorsqu'une modification est imposée par la loi ou la réglementation, ou répond à une urgence de sécurité, MEYIA informe le Client par courrier électronique et dans l'application dès que possible, avant sa prise d'effet lorsque cela est possible ; une nouvelle acceptation est demandée si la nature du changement l'exige.

14. Langue du document

La présente politique est rédigée en français et traduite en anglais pour votre commodité. En cas de divergence entre les deux versions, la version française prévaut.

15. Journal des versions

MEYIA, Romain Arnaud (EI), 60 rue François 1^er, 75008 Paris, SIRET 102 099 603 00015

1. Data controller and roles

MEYIA is the trade name of Romain Arnaud, sole trader (entrepreneur individuel, EI), whose place of business is 60 rue François 1^er, 75008 Paris, France. SIRET 102 099 603 00015. Contact: contact@meyia.fr.

For your account, the commercial relationship and the website, MEYIA acts as a data controller.

For processing the reviews on your Google Business Profile, the reviews you enter manually in the service, and the replies you publish, MEYIA acts as a data processor on your behalf: you, the business owner, are the controller. This processing is governed by our Data Processing Agreement (DPA).

For the competitive intelligence module ("Radar"), which processes publicly accessible information about third-party businesses, MEYIA acts as an independent data controller. That processing is not carried out on your behalf or on your instructions: it therefore falls outside the DPA, and is described in article 2.d below.

2. Data we collect

a) Account and contact data. First name, last name, email address, business name and address, provided when you create your account.

b) Data from Google APIs (Google Business Profile). When you connect your profile via Google (OAuth), MEYIA accesses, within the scope you grant, the following:

• the Google Business Profile accounts and locations you manage (name, address, profile identifiers);
• your customers' reviews (review text, rating, date, language, the author name displayed by Google, and the author's public profile picture where one exists);
• where a reliable match can be made using the review's public identifier, certain public indicators about its author's profile supplied by DataForSEO (number of reviews and photos posted, Local Guide status and link to the public profile). These indicators may be unavailable or delayed; they never replace the review received directly from Google;
• review replies, whether existing or published through MEYIA;
• your profile's performance statistics.

A review author's name, profile picture and any public profile indicators are personal data. The author name, as publicly displayed by Google, is sent to the generation engine so that the reply addresses its recipient correctly: depending on the type and standing of the business, the form of address used is the first name alone or the full name. The profile picture is never sent to the generation engine. DataForSEO indicators are used only to provide context when reading the review and are not used to feed Radar. The name then appears in the reply you choose to publish.

Retention of the original format. For each review, MEYIA retains the raw response returned by the Google API, for the sole purpose of integrity checks and correcting any processing errors. It contains no data other than that listed above.

c) Acceptance proof data. Regardless of whether the account is created using an email address and password or Google sign-in, and on any later renewed acceptance, MEYIA records the date and time, the version of each document accepted, the IP address and the browser user agent, in order to retain proof of your acceptance. No other data is recorded for this purpose.

d) Competitive intelligence data (Radar module). To let you benchmark yourself within your area, MEYIA processes publicly accessible information about third-party businesses in your sector: name, address, category, average rating, review count, together with the reviews published on their listings (text, rating, date, language) and public mentions concerning them (press, web, video). This data comes from third-party data providers and public sources, never from the Google APIs you grant us access to.

Minimisation of third-party reviews. For those reviews, MEYIA retains neither the author's name nor their profile picture: these fields are discarded at collection and are never stored. Review authors will find the information owed to them in article 11 below.

e) Reviews you enter manually. When you enter yourself, from your account, the content of a review received outside your Google Business Profile (see our Terms of Use, article 5 bis), MEYIA processes the review text, the rating you indicate, the date, and any author name you choose to provide. This data is self-declared: it relies on your input and on your guarantee that the review is genuine. MEYIA does not collect it from Google and does not verify it with its author. It is never published on your Google Business Profile and is excluded from all of your review statistics.

f) Business search with Google Places. When you enter a business search, the search text is sent to Google Maps Platform / Places API to provide the corresponding results. MEYIA does not store that text in its database. Google may nevertheless retain technical logs relating to the requests under its own rules, described in its Privacy Policy.

3. Why we collect this data (purposes)

Data from Google APIs is used solely to let you, as the business owner, read your profile's reviews and reply to them centrally from MEYIA: displaying reviews, generating AI reply suggestions, publishing the reply you approve, and updating your profile information when you request it.

Reviews you enter manually (article 2.e) are used for the same purpose: to let you prepare and keep a reply to a review received outside your Google Business Profile. That reply cannot be published on your profile: it is provided to you so that you may pass it on through the channel of your choice.

Account data is used to manage your access, the commercial relationship and support.

Competitive intelligence (Radar). Public data about third-party businesses is cross-referenced across multiple sources to produce, for your sole use, comparative indicators, summaries and alerts (rating trends, review volume, activity signals in your area). It is neither resold nor used to solicit the businesses concerned or their customers. These cross-references may be incomplete or contain errors; MEYIA identifies the source and observation date where available.

Separation of sources. Data obtained from Google APIs through your OAuth connection is used solely to read and reply to the reviews on your own profile. It is never used to feed the competitive intelligence module.

4. Legal basis

Data	Purpose	Legal basis	Retention
Account and contact	Managing access and relationship	Performance of contract	Contract term + 6 months
Reviews, replies, statistics (Google APIs)	Reading and replying to reviews	Performance of contract (on the owner's behalf)	Retained for the term of the contract. If Google access is revoked: access is disabled immediately, followed by irreversible deletion from active systems within no more than 30 calendar days. Deleted without waiting for that period when the account is deleted, subject only to the legal retention duties described below.
Reviews you enter manually	Preparing a reply to a review received outside your Google Business Profile	Performance of the contract (on behalf of the business owner)	Kept for the duration of the contract. Deleted when the relevant business is deleted, when the account is deleted, or at the end of the contract. You may also delete a review you entered at any time, individually, from your account.
Consent proof (timestamp, version, IP, user agent)	Proving acceptance of the terms	Legal obligation / legitimate interest	Contract term + 5 years (limitation period)
Public data about third-party businesses and their reviews (Radar module)	Local competitive intelligence	Legitimate interest (art. 6(1)(f) GDPR)	Maximum 24 months from collection
Billing data (invoices, payment identifier)	Billing and accounting obligations	Legal obligation	10 years (art. L123-22 French Commercial Code)
Generation audit log (proof of human control)	Traceability, proof of no automatic publication	Legitimate interest; retention art. 17(3)(e)	5 years after account deletion

For processing based on legitimate interest (Radar module), MEYIA has balanced that interest, allowing an independent operator to benchmark itself within its area, against the rights and freedoms of data subjects. The data processed is public, limited to what is necessary, not resold, and any person may object at any time (articles 10 and 11).

5. How we store and protect your data

The primary storage of data from your Google Business Profile is located in the European Union (Supabase database, Paris region). Some providers may nevertheless process or transmit data outside the European Economic Area under the safeguards described in articles 6 and 9. We apply the following measures:

• encryption in transit (TLS/HTTPS) and at rest;
• restricted access, limited to strictly necessary personnel, with role-based access control;
• secure management of secrets and access tokens (never shared with unauthorised third parties);
• logging of access and processing operations;
• reviews and replies retained only as long as needed for you to manage them; deleted on access revocation or contract end.

Full details are in article 4 of our DPA.

6. Who we share your data with (sub-processors)

We do not sell any data and only share it with the technical providers strictly necessary to run the service:

Provider	Role	Location / Safeguards
Google LLC	Google Business Profile APIs (source of reviews, publishing of replies) and Google Maps Platform / Places API (business search)	United States, Data Privacy Framework (active certification) and SCCs
Anthropic, PBC	AI engine: generating reply suggestions, and analysing public reviews for the Radar module's summaries	United States, Standard Contractual Clauses (SCCs, art. 46(2) GDPR) incorporated into Anthropic's DPA. For the commercial API, inputs and outputs are deleted by default within 30 days and are not used to train models without express permission, subject to Anthropic's published exceptions.
Supabase Pte. Ltd.	Database and storage, data hosted in a European Union region (Paris)	Singapore, Standard Contractual Clauses (SCCs) incorporated into Supabase's DPA; primary project data stored in the Paris region
Vercel, Inc.	Website and application hosting	United States, Data Privacy Framework (active certification) and SCCs
Plus Five Five, Inc. (Resend)	Transactional email delivery	United States, Data Privacy Framework (active certification) and SCCs
DataForSEO OÜ	Supply of publicly accessible data for the Radar module and, where matching by public review identifier succeeds, certain public profile indicators about the author of a review of the Client's own business. The review content, rating, date and reply continue to come from Google Business Profile.	Company established in Estonia. Its DPA is incorporated into its terms where the GDPR applies; its list of sub-processors and stated transfer safeguards are set out in its privacy policy.
Functional Software, Inc. (Sentry)	Error logging and application monitoring provider. The current configuration disables user information and HTTP request-body collection; technical traces may nevertheless contain incidental data, which must be minimised and filtered.	Data stored in the European Union (Frankfurt); provider established in the United States, Data Privacy Framework (active certification) and SCCs
Stripe Payments Europe, Limited	Payment processing and billing	European contracting entity (Ireland); transfers to the United States covered by the Data Privacy Framework (active certification) and SCCs

The current list of sub-processors and the objection mechanism are in our DPA.

7. Google API compliance (Limited Use)

8. Use of artificial intelligence

MEYIA generates review reply suggestions using an AI engine. No reply is ever published without your explicit approval. Details of our safeguards and compliance (AI Act, article 50) are on our AI Transparency page.

9. Transfers outside the European Union

Some providers are located outside the EU (see table above). Where the provider is certified under the Data Privacy Framework (Google, Vercel, Resend, Stripe, Sentry), the transfer relies on the European Commission adequacy decision of 10 July 2023. For the other providers (Anthropic, Supabase), MEYIA bases the transfer on the Standard Contractual Clauses (SCCs) adopted by the European Commission under article 46(2) GDPR.

The measures applied include encryption in transit, limiting transmitted data to what is necessary for the purpose pursued and, for Anthropic's commercial API, no use for training without express permission. Any retention exceptions for safety or legal obligations remain those published by the provider.

10. Your rights and revoking access

Under the GDPR, you have the rights of access, rectification, erasure, restriction, portability and objection.

Revoke at any time: you can cut MEYIA's access to your profile directly from your Google account, at any time, without notifying us. On revocation, or on simple request to contact@meyia.fr, data from your Google Business Profile (reviews, replies, statistics) is deleted from our systems within no more than 30 calendar days, unless a legal retention obligation applies.

Erasure and legal retention. When you request deletion of your account, MEYIA erases the operational personal data (reviews, replies, statistics, intelligence data attached to your account) and neutralises your identifying data. Some data is nevertheless retained where a legal obligation requires it, on the basis of article 17(3)(b) GDPR: invoices for 10 years (article L123-22 of the French Commercial Code) and consent proof until the applicable limitation periods expire. This data is archived with restricted access, is no longer used for the service, and is deleted when the period ends.

Audit log and evidentiary retention. MEYIA keeps a technical log to document generations and human approvals. This retention is not presented as a general requirement of article 50 of Regulation (EU) 2024/1689. It relies on MEYIA's legitimate interest in establishing, exercising or defending legal claims. The log is kept for 5 years after account deletion, with strictly restricted access, and is then deleted. Its content is limited to what is necessary for this purpose and may include an excerpt of the suggestion and, where necessary, the review author's first name.

To exercise your rights, including requesting erasure of specific data without deleting your account: contact@meyia.fr (reply within 30 days). In case of dispute, you may contact the French data protection authority, the CNIL.

11. Information for review authors

This section is addressed to people who have published a review on a Google Business Profile, whether that of a MEYIA client or of a third-party business monitored by the Radar module, as well as to people whose review is manually entered by a MEYIA client. It constitutes the information required by article 14 GDPR, where data has not been collected directly from the data subject.

• Data concerned: for a review published on a MEYIA client's profile, the author name publicly displayed by Google, the public profile picture where one exists, the review text, rating, date and language and, where available through matching a public identifier, the author's public review and photo counts, Local Guide status and public profile link. For a review published on a third-party business profile monitored by Radar, only the review text, rating, date and language: neither the author name nor the profile picture is retained.
• Data concerned, manually entered review: for a review entered by a MEYIA client, the review text, the rating and the date indicated by the business owner, and any author name they choose to provide. Source: self-declared input by the business owner, not verified by MEYIA.
• Source: the Google Business Profile APIs (reviews on our clients' profiles) or third-party data providers aggregating publicly accessible information (reviews on third-party business profiles).
• Purposes and legal bases: enabling the operator of the business concerned to reply to your review, that operator is then the controller and MEYIA acts on their behalf; producing local intelligence indicators for the exclusive use of one operator, MEYIA is then the controller, on the basis of legitimate interest (art. 6(1)(f)).
• General information notice: for a review published on a Google Business Profile, MEYIA does not hold your contact details and cannot inform you individually. Pursuant to article 14(5)(b) GDPR, this general notice replaces individual information, which would require disproportionate effort. For a review entered manually, the information is owed to you by the business owner who entered it: they are the controller, MEYIA acting on their behalf.
• Your rights: you may request access to, rectification or erasure of your data, or object to its processing, by writing to contact@meyia.fr. MEYIA replies within 30 days. Where the request concerns a review published on a client's profile, or a review entered manually by a client, MEYIA forwards it without delay to that operator, who is the controller.
• Deletion at source: you may also delete or edit your review from your Google account. MEYIA reflects that deletion during a later complete synchronisation. If the list returned by Google is incomplete or empty, local deletion is deferred until a complete synchronisation, in order to prevent data from being deleted incorrectly. This deletion at source does not apply to a review entered manually by a business owner: as it was not published on a Google Business Profile, it can only be removed by the owner themselves or by writing to us.

12. Cookies

This site sets no advertising, tracking or audience-measurement cookies. It stores one item in your browser's local storage: the display language you select. This preference is strictly necessary to provide the display you request and can be erased with the site's data. Like any online service, the hosting provider may process technical logs strictly necessary for security, availability and diagnostics, such as the IP address, date and time, requested URL and browser type. These logs are not used for advertising or cross-site tracking and are retained only for as long as necessary for those purposes.

13. Changes

This policy may be updated to reflect legal or technical developments. The published version and its effective date are indicated on this page.

Amendment Regime. Amendments are classified under the following rules. An editorial correction, such as a typo, a link or a clarification with no effect on rights, is entered in the version history and takes effect without notice or renewed acceptance. A change that is exclusively favourable to the Client, including an extended notice period, follows this regime and is subject to simple information. A substantial amendment, including a new purpose, a new category of data, a new recipient or sub-processor, a transfer outside the European Union, or a change to rights, obligations, prices, allowances, liability, termination or scope, is announced by a dedicated email containing no marketing content and by a persistent in-application notice at least thirty (30) days before it takes effect. During that period, the Client may consult the old and new versions, export its data and terminate free of charge. Where a sub-processor is added or replaced, the Client may also object on legitimate grounds during the same period. Renewed acceptance is required if the substantial amendment changes the Client's contractual rights or obligations. Where an amendment is required by law or regulation, or responds to a security emergency, MEYIA informs the Client by email and in the application as soon as possible, before it takes effect where possible; renewed acceptance is requested if required by the nature of the change.

14. Language of this document

This policy is drafted in French and translated into English for your convenience. In the event of any divergence between the two versions, the French version prevails.

15. Version history

MEYIA, Romain Arnaud (EI), 60 rue François 1^er, 75008 Paris, SIRET 102 099 603 00015