1. Responsable du traitement et rôles

MEYIA est le nom commercial de Romain Arnaud, entrepreneur individuel (EI), dont l'établissement est situé 60 rue François 1^er, 75008 Paris, France. SIRET 102 099 603 00015. Contact : contact@meyia.fr.

Pour la gestion de votre compte, de la relation commerciale et du site, MEYIA agit en tant que responsable de traitement.

Pour le traitement des avis de votre fiche Google, des avis que vous saisissez manuellement dans le service, et des réponses que vous publiez, MEYIA agit en tant que sous-traitant pour votre compte : vous, gérant de l'établissement, êtes responsable de traitement. Ce traitement est encadré par notre Annexe de traitement des données (DPA).

Pour le module de veille concurrentielle (« Radar »), qui traite des informations publiquement accessibles relatives à des établissements tiers, MEYIA agit en tant que responsable de traitement autonome. Ce traitement n'est pas réalisé pour votre compte ni sur vos instructions : il ne relève donc pas du DPA, et il est décrit à l'article 2.d ci-dessous.

2. Données que nous collectons

a) Données de compte et de contact. Prénom, nom, adresse email, nom et adresse de l'établissement — fournis lors de la création de votre compte.

b) Données issues des API Google (Google Business Profile). Lorsque vous connectez votre fiche via Google (OAuth), MEYIA accède, dans la limite des autorisations que vous accordez, aux données suivantes :

• les comptes et fiches Google Business Profile que vous gérez (nom, adresse, identifiants de la fiche) ;
• les avis de vos clients (texte de l'avis, note, date, langue, le nom d'auteur affiché par Google, ainsi que la photo de profil publique de l'auteur lorsqu'elle existe) ;
• les réponses aux avis, existantes ou publiées via MEYIA ;
• les statistiques de performance de votre fiche.

Le nom d'auteur d'un avis et sa photo de profil constituent des données à caractère personnel. Le nom d'auteur, tel qu'il est affiché publiquement par Google, est transmis au moteur de génération afin que la réponse s'adresse correctement à son destinataire : selon le type et le standing de l'établissement, la formule d'adresse retenue est le prénom seul ou le nom complet. La photo de profil n'est jamais transmise au moteur de génération. Le nom figure ensuite dans la réponse que vous choisissez de publier.

Conservation du format d'origine. Pour chaque avis, MEYIA conserve la réponse brute transmise par l'API Google, à seule fin de contrôle d'intégrité et de correction d'éventuelles erreurs de traitement. Elle ne contient aucune donnée autre que celles énumérées ci-dessus.

c) Données de preuve du consentement. Lors de l'acceptation des documents contractuels à la création du compte, et lors de toute ré-acceptation ultérieure, MEYIA enregistre la date et l'heure, la version des documents acceptés, l'adresse IP et le type de navigateur, afin de conserver la preuve de votre consentement.

d) Données de veille concurrentielle (module Radar). Pour vous permettre de vous situer dans votre zone, MEYIA traite des informations publiquement accessibles relatives à des établissements tiers de votre secteur : nom, adresse, catégorie, note moyenne, nombre d'avis, ainsi que les avis publiés sur leurs fiches (texte, note, date, langue) et les mentions publiques les concernant (presse, web, vidéos). Ces données proviennent de fournisseurs de données tiers et de sources publiques, jamais des API Google auxquelles vous nous donnez accès.

Minimisation des avis d'établissements tiers. Pour ces avis, MEYIA ne conserve ni le nom de l'auteur, ni sa photo de profil : ces champs sont écartés dès la collecte et ne sont jamais enregistrés. Les auteurs d'avis trouveront l'information qui leur est due à l'article 11 ci-dessous.

e) Avis que vous saisissez manuellement. Lorsque vous saisissez vous-même, depuis votre compte, le contenu d'un avis reçu en dehors de votre fiche Google (voir nos conditions générales d'utilisation, article 5 bis), MEYIA traite le texte de l'avis, la note que vous indiquez, la date, et tout nom d'auteur que vous choisissez de renseigner. Cette donnée est déclarative : elle repose sur votre saisie et sur la garantie, que vous apportez, que l'avis correspond à un avis réel. MEYIA ne la collecte pas auprès de Google et ne la vérifie pas auprès de son auteur. Elle n'est jamais publiée sur votre fiche Google et n'entre dans aucune de vos statistiques d'avis.

3. Pourquoi nous collectons ces données (finalités)

Les données issues des API Google sont utilisées uniquement pour vous permettre, en tant que gérant, de lire les avis de votre fiche et d'y répondre de manière centralisée depuis MEYIA : affichage des avis, génération de propositions de réponses par intelligence artificielle, publication de la réponse que vous validez, et mise à jour des informations de votre fiche lorsque vous le demandez.

Les avis que vous saisissez manuellement (article 2.e) sont utilisés pour la même finalité : vous permettre de préparer et de conserver une réponse à un avis reçu hors de votre fiche Google. Cette réponse ne peut pas être publiée sur votre fiche : elle vous est remise pour que vous la transmettiez par le canal de votre choix.

Les données de compte servent à gérer votre accès, la relation commerciale et le support.

Veille concurrentielle (Radar). Les données publiques d'établissements tiers sont traitées pour produire, à votre seul usage, des indicateurs comparatifs, des synthèses et des alertes (évolution des notes, volume d'avis, signaux d'activité de votre zone). Elles ne sont ni revendues, ni utilisées pour démarcher les établissements concernés ou leurs clients, ni enrichies par recoupement avec d'autres sources.

Étanchéité des sources. Les données issues des API Google obtenues via votre connexion OAuth servent exclusivement à la lecture et à la réponse aux avis de votre propre fiche. Elles ne sont jamais utilisées pour alimenter le module de veille concurrentielle.

4. Base légale

Données	Finalité	Base légale	Durée
Compte et contact	Gestion de l'accès et de la relation	Exécution du contrat	Durée du contrat + 6 mois
Avis, réponses, statistiques (API Google)	Lecture et réponse aux avis	Exécution du contrat (pour le compte du gérant)	Conservées pendant la durée du contrat. Rendues inaccessibles en cas de révocation de l'accès Google. Supprimées à la fin du contrat ou à la suppression du compte.
Avis saisis manuellement par vous	Préparer une réponse à un avis reçu hors de votre fiche Google	Exécution du contrat (pour le compte du gérant)	Conservés pendant la durée du contrat. Supprimés à la suppression de l'établissement concerné, à la suppression du compte, ou à la fin du contrat. Vous pouvez également supprimer un avis saisi à tout moment, individuellement, depuis votre compte.
Preuve du consentement (horodatage, version, IP, navigateur)	Prouver l'acceptation des conditions	Obligation légale / intérêt légitime	Durée du contrat + 5 ans (prescription)
Données publiques d'établissements tiers et de leurs avis (module Radar)	Veille concurrentielle locale	Intérêt légitime (art. 6.1.f RGPD)	24 mois maximum à compter de la collecte
Données de facturation (factures, identifiant de paiement)	Facturation et obligations comptables	Obligation légale	10 ans (art. L123-22 du Code de commerce)
Registre d'audit de génération (preuve de contrôle humain)	Traçabilité, preuve de non-publication automatique	Intérêt légitime ; conservation art. 17.3.e	5 ans après suppression du compte

Pour le traitement fondé sur l'intérêt légitime (module Radar), MEYIA a mis en balance cet intérêt — permettre à un gérant indépendant de se situer dans sa zone — avec les droits et libertés des personnes concernées. Les données traitées sont publiques, limitées au strict nécessaire, non enrichies, non revendues, et toute personne peut s'y opposer à tout moment (articles 10 et 11).

5. Comment nous stockons et protégeons vos données

Les données issues de votre fiche Google sont hébergées dans l'Union européenne (base de données Supabase, région UE). Nous mettons en œuvre les mesures suivantes :

• chiffrement des données en transit (TLS/HTTPS) et au repos ;
• accès restreint, limité aux personnes strictement nécessaires, avec contrôle d'accès par rôle ;
• gestion sécurisée des secrets et des jetons d'accès (jamais transmis à des tiers non autorisés) ;
• journalisation des accès et des opérations de traitement ;
• conservation des avis et réponses limitée au temps nécessaire à leur gestion par vos soins ; suppression sur révocation de l'accès ou fin du contrat.

Le détail des mesures figure à l'article 4 de notre DPA.

6. Avec qui nous partageons vos données (sous-traitants)

Nous ne vendons aucune donnée et ne partageons vos données qu'avec les prestataires techniques strictement nécessaires au fonctionnement du service :

Prestataire	Rôle	Localisation / Garanties
Google LLC	Fourniture des API Google Business Profile (source des avis, publication des réponses)	États-Unis — Data Privacy Framework (certification active) et CCT
Anthropic, PBC	Moteur d'intelligence artificielle : génération des propositions de réponse, et analyse des avis publics pour les synthèses du module Radar	États-Unis — transfert encadré par les clauses contractuelles types (CCT, art. 46.2 du RGPD) et une analyse d'impact des transferts (TIA). Engagement contractuel de non-réutilisation des données pour l'entraînement des modèles.
Supabase Pte. Ltd.	Base de données et stockage — données hébergées en région Union européenne (Paris)	Singapour — transfert encadré par les clauses contractuelles types (CCT) et une analyse d'impact des transferts (TIA)
Vercel, Inc.	Hébergement du site et de l'application	États-Unis — Data Privacy Framework (certification active) et CCT
Plus Five Five, Inc. (Resend)	Envoi d'emails transactionnels	États-Unis — Data Privacy Framework (certification active) et CCT
DataForSEO OÜ	Fourniture de données publiquement accessibles pour le module Radar	Union européenne (Estonie)
Functional Software, Inc. (Sentry)	Supervision technique des erreurs de l’application — traces d’exécution, à l’exclusion des données d’avis et des adresses IP	Données stockées dans l’Union européenne (Francfort) ; éditeur établi aux États-Unis — Data Privacy Framework (certification active) et CCT
Stripe Payments Europe, Limited	Traitement des paiements et facturation	Entité contractante européenne (Irlande) ; transferts vers les États-Unis encadrés par le Data Privacy Framework (certification active) et les CCT

La liste à jour des sous-traitants et le mécanisme d'opposition figurent dans notre DPA.

7. Conformité aux API Google (Limited Use)

8. Utilisation de l'intelligence artificielle

MEYIA génère des propositions de réponses aux avis à l'aide d'un moteur d'intelligence artificielle. Aucune réponse n'est publiée sans votre validation explicite. Le détail de nos garde-fous et de notre conformité (AI Act, article 50) figure sur notre page Transparence IA.

9. Transferts hors Union européenne

Certains prestataires sont établis hors de l'Union européenne (voir tableau ci-dessus). Lorsque le prestataire est certifié au Data Privacy Framework (Google, Vercel, Resend, Stripe, Sentry), le transfert repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023. Pour les autres prestataires (Anthropic, Supabase), MEYIA fonde le transfert sur les clauses contractuelles types (CCT) adoptées par la Commission européenne en application de l'article 46, paragraphe 2, du RGPD.

Pour les transferts vers les États-Unis, MEYIA complète ces clauses, lorsque cela est nécessaire, par une analyse d'impact des transferts (Transfer Impact Assessment) et par des mesures supplémentaires : chiffrement en transit, limitation des données transmises à ce qui est nécessaire à la finalité poursuivie, et engagement contractuel de non-réutilisation des données pour l'entraînement de modèles d'intelligence artificielle.

10. Vos droits et la révocation de l'accès

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition.

Révocation à tout moment : vous pouvez couper l'accès de MEYIA à votre fiche directement depuis votre compte Google, à tout instant, sans nous prévenir. Sur révocation — ou sur simple demande à contact@meyia.fr — les données issues de votre fiche Google (avis, réponses, statistiques) sont supprimées de nos systèmes sous 30 jours, sauf obligation légale de conservation.

Effacement et conservation légale. Lorsque vous demandez la suppression de votre compte, MEYIA efface les données personnelles opérationnelles (avis, réponses, statistiques, données de veille rattachées à votre compte) et neutralise vos données d'identification. Certaines données restent toutefois conservées lorsqu'une obligation légale l'impose, sur le fondement de l'article 17.3.b du RGPD : les factures pendant 10 ans (article L123-22 du Code de commerce) et les preuves de consentement jusqu'à l'expiration des délais de prescription. Ces données sont archivées à accès restreint, ne sont plus utilisées pour le service, et sont supprimées à l'échéance.

Registre d'audit et conservation probatoire. MEYIA tient un registre technique attestant que chaque proposition de réponse a été générée sous contrôle humain, sans publication automatique (article 50 du règlement (UE) 2024/1689 sur l'intelligence artificielle). Ce registre est conservé pendant 5 ans après la suppression du compte, sur le fondement de l'article 17.3.e du RGPD (constatation, exercice ou défense d'un droit en justice), à accès strictement restreint. Il peut contenir un extrait des propositions générées, incluant le cas échéant le prénom de l'auteur de l'avis, nécessaire à la valeur probante de la trace. Il est supprimé à l'échéance des 5 ans.

Pour exercer vos droits : contact@meyia.fr (réponse sous 30 jours). En cas de litige, vous pouvez saisir la CNIL.

11. Information des auteurs d'avis

Cette section s'adresse aux personnes ayant publié un avis sur une fiche Google, qu'il s'agisse d'un établissement client de MEYIA ou d'un établissement tiers suivi par le module Radar, ainsi qu'aux personnes dont un avis est saisi manuellement par un établissement client de MEYIA. Elle constitue l'information prévue à l'article 14 du RGPD, lorsque les données n'ont pas été collectées directement auprès de la personne concernée.

• Données concernées : pour un avis publié sur la fiche d'un établissement client de MEYIA, le nom d'auteur affiché publiquement par Google, la photo de profil publique lorsqu'elle existe, le texte de l'avis, la note, la date et la langue. Pour un avis publié sur la fiche d'un établissement tiers suivi par le module Radar, le texte de l'avis, la note, la date et la langue uniquement : ni le nom d'auteur, ni la photo de profil ne sont conservés.
• Données concernées, avis saisi manuellement : pour un avis saisi par un établissement client de MEYIA, le texte de l'avis, la note et la date indiqués par le gérant, et tout nom d'auteur qu'il choisit de renseigner. Source : saisie déclarative du gérant, non vérifiée par MEYIA.
• Source : les API Google Business Profile (avis des fiches de nos clients) ou des fournisseurs de données tiers agrégeant des informations publiquement accessibles (avis des fiches d'établissements tiers).
• Finalités et bases légales : permettre au gérant de l'établissement concerné de répondre à votre avis — ce gérant est alors le responsable de traitement, MEYIA agit pour son compte ; produire des indicateurs de veille locale à l'usage exclusif d'un gérant — MEYIA est alors responsable de traitement, sur le fondement de l'intérêt légitime (art. 6.1.f).
• Information générale : pour un avis publié sur une fiche Google, MEYIA ne dispose pas de vos coordonnées et ne peut vous informer individuellement. Conformément à l'article 14.5.b du RGPD, cette information générale se substitue à une information individuelle, dont la fourniture exigerait un effort disproportionné. Pour un avis saisi manuellement, l'information vous est due par le gérant qui l'a saisi : il en est le responsable de traitement, MEYIA agissant pour son compte.
• Vos droits : vous pouvez demander l'accès, la rectification ou l'effacement de vos données, ou vous opposer à leur traitement, en écrivant à contact@meyia.fr. MEYIA répond sous 30 jours. Lorsque la demande porte sur un avis publié sur la fiche d'un établissement client, ou sur un avis saisi manuellement par un établissement client, MEYIA la transmet sans délai à ce gérant, qui en est le responsable de traitement.
• Suppression à la source : vous pouvez également supprimer ou modifier votre avis depuis votre compte Google. Il disparaît alors de nos systèmes lors de la synchronisation suivante. Cette suppression à la source ne s'applique pas à un avis saisi manuellement par un gérant : n'ayant pas été publié sur une fiche Google, il ne peut être retiré que par le gérant lui-même ou en nous écrivant.

12. Cookies

Ce site n'utilise aucun cookie de traçage, d'analyse ou publicitaire, ni aucun outil de mesure d'audience. Il conserve une seule information dans le stockage local de votre navigateur : la langue d'affichage que vous choisissez. Il s'agit d'une préférence que vous exprimez vous-même, exemptée de consentement (recommandation CNIL), et que vous pouvez effacer à tout moment en supprimant les données de site de votre navigateur. Aucune donnée de navigation n'est collectée.

13. Modifications

Cette politique peut être mise à jour pour refléter les évolutions légales ou techniques. La version en vigueur est toujours accessible sur cette page, avec sa date d'entrée en vigueur en tête de document.

Ce qui vous est notifié par courrier électronique, avant ou au moment de sa prise d'effet : l'ajout d'une catégorie de données collectées sans action de votre part, l'ajout d'une finalité nouvelle, l'ajout d'un destinataire ou d'un sous-traitant, et tout transfert hors de l'Union européenne. Ces modifications ne sont pas soumises à un préavis : l'information vous est due au moment du traitement, non trente jours avant.

Ce qui ne fait pas l'objet d'une notification : l'ajout d'une donnée que vous fournissez vous-même par une action volontaire — l'information correspondante vous est alors présentée au moment où vous la fournissez — ainsi que les corrections rédactionnelles sans effet sur vos droits.

Les modifications de nos conditions générales d'utilisation et de nos conditions générales de vente obéissent à un régime distinct : elles sont contractuelles et font l'objet d'un préavis de trente (30) jours.

14. Langue du document

La présente politique est rédigée en français et traduite en anglais pour votre commodité. En cas de divergence entre les deux versions, la version française prévaut.

15. Journal des versions

MEYIA — Romain Arnaud (EI) — 60 rue François 1^er, 75008 Paris — SIRET 102 099 603 00015

1. Data controller and roles

MEYIA is the trade name of Romain Arnaud, sole trader (entrepreneur individuel, EI), whose place of business is 60 rue François 1^er, 75008 Paris, France. SIRET 102 099 603 00015. Contact: contact@meyia.fr.

For your account, the commercial relationship and the website, MEYIA acts as a data controller.

For processing the reviews on your Google Business Profile, the reviews you enter manually in the service, and the replies you publish, MEYIA acts as a data processor on your behalf: you, the business owner, are the controller. This processing is governed by our Data Processing Agreement (DPA).

For the competitive intelligence module ("Radar"), which processes publicly accessible information about third-party businesses, MEYIA acts as an independent data controller. That processing is not carried out on your behalf or on your instructions: it therefore falls outside the DPA, and is described in article 2.d below.

2. Data we collect

a) Account and contact data. First name, last name, email address, business name and address — provided when you create your account.

b) Data from Google APIs (Google Business Profile). When you connect your profile via Google (OAuth), MEYIA accesses, within the scope you grant, the following:

• the Google Business Profile accounts and locations you manage (name, address, profile identifiers);
• your customers' reviews (review text, rating, date, language, the author name displayed by Google, and the author's public profile picture where one exists);
• review replies, whether existing or published through MEYIA;
• your profile's performance statistics.

A review author's name and profile picture are personal data. The author name, as publicly displayed by Google, is sent to the generation engine so that the reply addresses its recipient correctly: depending on the type and standing of the business, the form of address used is the first name alone or the full name. The profile picture is never sent to the generation engine. The name then appears in the reply you choose to publish.

Retention of the original format. For each review, MEYIA retains the raw response returned by the Google API, for the sole purpose of integrity checks and correcting any processing errors. It contains no data other than that listed above.

c) Consent proof data. When you accept the contractual documents at account creation, and on any later re-acceptance, MEYIA records the date and time, the version of the documents accepted, the IP address and the browser type, in order to keep proof of your consent.

d) Competitive intelligence data (Radar module). To let you benchmark yourself within your area, MEYIA processes publicly accessible information about third-party businesses in your sector: name, address, category, average rating, review count, together with the reviews published on their listings (text, rating, date, language) and public mentions concerning them (press, web, video). This data comes from third-party data providers and public sources, never from the Google APIs you grant us access to.

Minimisation of third-party reviews. For those reviews, MEYIA retains neither the author's name nor their profile picture: these fields are discarded at collection and are never stored. Review authors will find the information owed to them in article 11 below.

e) Reviews you enter manually. When you enter yourself, from your account, the content of a review received outside your Google Business Profile (see our Terms of Use, article 5 bis), MEYIA processes the review text, the rating you indicate, the date, and any author name you choose to provide. This data is self-declared: it relies on your input and on your guarantee that the review is genuine. MEYIA does not collect it from Google and does not verify it with its author. It is never published on your Google Business Profile and is excluded from all of your review statistics.

3. Why we collect this data (purposes)

Data from Google APIs is used solely to let you, as the business owner, read your profile's reviews and reply to them centrally from MEYIA: displaying reviews, generating AI reply suggestions, publishing the reply you approve, and updating your profile information when you request it.

Reviews you enter manually (article 2.e) are used for the same purpose: to let you prepare and keep a reply to a review received outside your Google Business Profile. That reply cannot be published on your profile: it is provided to you so that you may pass it on through the channel of your choice.

Account data is used to manage your access, the commercial relationship and support.

Competitive intelligence (Radar). Public data about third-party businesses is processed to produce, for your sole use, comparative indicators, summaries and alerts (rating trends, review volume, activity signals in your area). It is neither resold, nor used to solicit the businesses concerned or their customers, nor enriched by cross-referencing with other sources.

Separation of sources. Data obtained from Google APIs through your OAuth connection is used solely to read and reply to the reviews on your own profile. It is never used to feed the competitive intelligence module.

4. Legal basis

Data	Purpose	Legal basis	Retention
Account and contact	Managing access and relationship	Performance of contract	Contract term + 6 months
Reviews, replies, statistics (Google APIs)	Reading and replying to reviews	Performance of contract (on the owner's behalf)	Retained for the term of the contract. Made inaccessible where Google access is revoked. Deleted at the end of the contract or on account deletion.
Reviews you enter manually	Preparing a reply to a review received outside your Google Business Profile	Performance of the contract (on behalf of the business owner)	Kept for the duration of the contract. Deleted when the relevant business is deleted, when the account is deleted, or at the end of the contract. You may also delete a review you entered at any time, individually, from your account.
Consent proof (timestamp, version, IP, browser)	Proving acceptance of the terms	Legal obligation / legitimate interest	Contract term + 5 years (limitation period)
Public data about third-party businesses and their reviews (Radar module)	Local competitive intelligence	Legitimate interest (art. 6(1)(f) GDPR)	Maximum 24 months from collection
Billing data (invoices, payment identifier)	Billing and accounting obligations	Legal obligation	10 years (art. L123-22 French Commercial Code)
Generation audit log (proof of human control)	Traceability, proof of no automatic publication	Legitimate interest; retention art. 17(3)(e)	5 years after account deletion

For processing based on legitimate interest (Radar module), MEYIA has balanced that interest — allowing an independent operator to benchmark itself within its area — against the rights and freedoms of the data subjects. The data processed is public, limited to what is strictly necessary, not enriched, not resold, and any person may object at any time (articles 10 and 11).

5. How we store and protect your data

Data from your Google Business Profile is hosted in the European Union (Supabase database, EU region). We apply the following measures:

• encryption in transit (TLS/HTTPS) and at rest;
• restricted access, limited to strictly necessary personnel, with role-based access control;
• secure management of secrets and access tokens (never shared with unauthorised third parties);
• logging of access and processing operations;
• reviews and replies retained only as long as needed for you to manage them; deleted on access revocation or contract end.

Full details are in article 4 of our DPA.

6. Who we share your data with (sub-processors)

We do not sell any data and only share it with the technical providers strictly necessary to run the service:

Provider	Role	Location / Safeguards
Google LLC	Google Business Profile APIs (source of reviews, publishing of replies)	United States — Data Privacy Framework (active certification) and SCCs
Anthropic, PBC	AI engine: generating reply suggestions, and analysing public reviews for the Radar module's summaries	United States — transfer covered by the Standard Contractual Clauses (SCCs, art. 46(2) GDPR) and a Transfer Impact Assessment (TIA). Contractual commitment that data is not reused to train models.
Supabase Pte. Ltd.	Database and storage — data hosted in a European Union region (Paris)	Singapore — transfer covered by the Standard Contractual Clauses (SCCs) and a Transfer Impact Assessment (TIA)
Vercel, Inc.	Website and application hosting	United States — Data Privacy Framework (active certification) and SCCs
Plus Five Five, Inc. (Resend)	Transactional email delivery	United States — Data Privacy Framework (active certification) and SCCs
DataForSEO OÜ	Supply of publicly accessible data for the Radar module	European Union (Estonia)
Functional Software, Inc. (Sentry)	Application error monitoring — execution traces, excluding review data and IP addresses	Data stored in the European Union (Frankfurt); provider established in the United States — Data Privacy Framework (active certification) and SCCs
Stripe Payments Europe, Limited	Payment processing and billing	European contracting entity (Ireland); transfers to the United States covered by the Data Privacy Framework (active certification) and SCCs

The current list of sub-processors and the objection mechanism are in our DPA.

7. Google API compliance (Limited Use)

8. Use of artificial intelligence

MEYIA generates review reply suggestions using an AI engine. No reply is ever published without your explicit approval. Details of our safeguards and compliance (AI Act, article 50) are on our AI Transparency page.

9. Transfers outside the European Union

Some providers are located outside the EU (see table above). Where the provider is certified under the Data Privacy Framework (Google, Vercel, Resend, Stripe, Sentry), the transfer relies on the European Commission adequacy decision of 10 July 2023. For the other providers (Anthropic, Supabase), MEYIA bases the transfer on the Standard Contractual Clauses (SCCs) adopted by the European Commission under article 46(2) GDPR.

For transfers to the United States, MEYIA supplements these clauses, where necessary, with a Transfer Impact Assessment and additional measures: encryption in transit, limitation of the data transmitted to what is necessary for the purpose pursued, and a contractual commitment that data is not reused to train artificial intelligence models.

10. Your rights and revoking access

Under the GDPR, you have the rights of access, rectification, erasure, restriction, portability and objection.

Revoke at any time: you can cut MEYIA's access to your profile directly from your Google account, at any time, without notifying us. On revocation — or on simple request to contact@meyia.fr — data from your Google Business Profile (reviews, replies, statistics) is deleted from our systems within 30 days, unless a legal retention obligation applies.

Erasure and legal retention. When you request deletion of your account, MEYIA erases the operational personal data (reviews, replies, statistics, intelligence data attached to your account) and neutralises your identifying data. Some data is nevertheless retained where a legal obligation requires it, on the basis of article 17(3)(b) GDPR: invoices for 10 years (article L123-22 of the French Commercial Code) and consent proof until the applicable limitation periods expire. This data is archived with restricted access, is no longer used for the service, and is deleted when the period ends.

Audit log and evidentiary retention. MEYIA keeps a technical log attesting that every reply suggestion was generated under human control, with no automatic publication (article 50 of Regulation (EU) 2024/1689 on artificial intelligence). This log is retained for 5 years after account deletion, on the basis of article 17(3)(e) GDPR (establishment, exercise or defence of legal claims), with strictly restricted access. It may contain an excerpt of the generated suggestions, including where applicable the first name of the review author, necessary to the evidentiary value of the record. It is deleted at the end of the 5-year period.

To exercise your rights: contact@meyia.fr (reply within 30 days). In case of dispute, you may contact the French data protection authority, the CNIL.

11. Information for review authors

This section is addressed to people who have published a review on a Google Business Profile, whether that of a MEYIA client or of a third-party business monitored by the Radar module, as well as to people whose review is manually entered by a MEYIA client. It constitutes the information required by article 14 GDPR, where data has not been collected directly from the data subject.

• Data concerned: for a review published on the profile of a MEYIA client, the author name publicly displayed by Google, the public profile picture where one exists, the review text, the rating, the date and the language. For a review published on the profile of a third-party business monitored by the Radar module, only the review text, the rating, the date and the language: neither the author name nor the profile picture is retained.
• Data concerned, manually entered review: for a review entered by a MEYIA client, the review text, the rating and the date indicated by the business owner, and any author name they choose to provide. Source: self-declared input by the business owner, not verified by MEYIA.
• Source: the Google Business Profile APIs (reviews on our clients' profiles) or third-party data providers aggregating publicly accessible information (reviews on third-party business profiles).
• Purposes and legal bases: enabling the operator of the business concerned to reply to your review — that operator is then the controller and MEYIA acts on their behalf; producing local intelligence indicators for the exclusive use of one operator — MEYIA is then the controller, on the basis of legitimate interest (art. 6(1)(f)).
• General information notice: for a review published on a Google Business Profile, MEYIA does not hold your contact details and cannot inform you individually. Pursuant to article 14(5)(b) GDPR, this general notice replaces individual information, which would require disproportionate effort. For a review entered manually, the information is owed to you by the business owner who entered it: they are the controller, MEYIA acting on their behalf.
• Your rights: you may request access to, rectification or erasure of your data, or object to its processing, by writing to contact@meyia.fr. MEYIA replies within 30 days. Where the request concerns a review published on a client's profile, or a review entered manually by a client, MEYIA forwards it without delay to that operator, who is the controller.
• Deletion at source: you may also delete or edit your review from your Google account. It then disappears from our systems at the next synchronisation. This deletion at source does not apply to a review entered manually by a business owner: as it was not published on a Google Business Profile, it can only be removed by the owner themselves or by writing to us.

12. Cookies

This site uses no tracking, analytics or advertising cookies, and no audience measurement tool. It stores a single item in your browser's local storage: the display language you select. This is a preference you express yourself, exempt from consent (CNIL guidance), which you can erase at any time by clearing the site's data in your browser. No browsing data is collected.

13. Changes

This policy may be updated to reflect legal or technical developments. The current version is always available on this page, with its effective date at the top of the document.

What is notified to you by email, before or when it takes effect: the addition of a category of data collected without any action on your part, the addition of a new purpose, the addition of a recipient or sub-processor, and any transfer outside the European Union. These changes are not subject to a notice period: the information is owed to you at the time of processing, not thirty days beforehand.

What is not notified: the addition of data you provide yourself through a voluntary action — the corresponding information is then presented to you at the point where you provide it — as well as editorial corrections with no effect on your rights.

Changes to our Terms of Use and our Terms of Sale follow a distinct regime: they are contractual and subject to a thirty (30) day notice period.

14. Language of this document

This policy is drafted in French and translated into English for your convenience. In the event of any divergence between the two versions, the French version prevails.

15. Version history

MEYIA — Romain Arnaud (EI) — 60 rue François 1^er, 75008 Paris — SIRET 102 099 603 00015