Politique de Confidentialité d'Orova

1. Champ d'application et responsable du traitement

Le responsable du traitement est Orova, la société qui exploite la plateforme sur orova.vn. Cette Politique de Confidentialité décrit comment Orova («nous») collecte, utilise et protège vos informations lorsque vous utilisez notre plateforme sur orova.vn (le «Service»). Elle décrit également les droits dont vous disposez sur vos données et la manière de les exercer.

La présente Politique de Confidentialité couvre la plateforme Orova ainsi que l'application "OROVA VN" — le nom sous lequel Orova est enregistrée sur les plateformes pour développeurs tierces, dont TikTok for Developers — que vous utilisez lorsque vous connectez votre compte TikTok à Orova.

2. Données que nous collectons

Nous collectons exactement les six groupes d'informations ci-dessous, et rien de plus :

Nous ne collectons pas sciemment de données personnelles de catégories particulières (sensibles).

3. Comment nous utilisons vos données et nos bases légales

Chaque finalité de traitement est rattachée à une base légale précise :

Nous ne vendons pas vos données et n'utilisons pas votre contenu pour entraîner des foundation models.

4. Cookies et technologies de suivi

Orova utilise exactement deux types de cookies :

• Des cookies strictement nécessaires : pour vous garder connecté et sécuriser le Service.
• Un ensemble limité de cookies analytiques : pour comprendre l'usage et ainsi améliorer le Service.
• Nous n'utilisons pas de cookies publicitaires ni de suivi inter-sites.
• Vous pouvez gérer ou supprimer les cookies dans votre navigateur ; désactiver les cookies strictement nécessaires peut casser des fonctions essentielles comme la connexion.

5. Décisions automatisées et IA

Orova utilise l'IA pour analyser vos données marketing et suggérer ou exécuter des optimisations — par exemple ajuster budgets, enchères et ciblage, ou activer et mettre en pause des campagnes. Vous gardez le contrôle :

• Vous choisissez quels assistants et quelles actions sont activés.
• Vous pouvez mettre toute action en mode « conseil uniquement » pour qu'elle recommande sans agir.
• Les actions qui modifient vos campagnes actives nécessitent votre autorisation.
• Vous pouvez les examiner, les suspendre ou les annuler à tout moment.

Nous ne prenons pas de décisions produisant des effets juridiques ou similairement importants à votre égard sans supervision humaine significative.

6. Prestataires et sous-traitants

Nous faisons appel à un petit ensemble de partenaires vérifiés, chacun pour une tâche :

Chaque partenaire ne reçoit que les données nécessaires à sa tâche et est lié par des obligations de confidentialité et de protection des données. Anthropic et OpenAI sont utilisés selon leurs conditions commerciales d'API standard, qui interdisent d'entraîner leurs modèles sur les données clients, et nous appelons leurs API directement, jamais via un agrégateur, une passerelle ou une plateforme de modèles.

Nous n'exécutons aucun modèle auto-hébergé ou hors ligne, et aucune donnée utilisateur Google n'est utilisée pour développer, améliorer ou entraîner des modèles d'IA/ML généralisés ou fondamentaux. Une liste à jour des sous-traitants est disponible sur demande.

7. Quand nous partageons des informations

Nous ne partageons des données personnelles que dans cinq cas :

• Avec les prestataires indiqués à la section 6.
• Lorsque vous nous le demandez — par exemple les campagnes et comptes que vous connectez.
• Pour respecter la loi applicable, des procédures légales ou des demandes gouvernementales exécutoires.
• Pour protéger les droits, la sécurité d'Orova, de nos utilisateurs ou du public.
• Dans le cadre d'une fusion, acquisition ou vente d'actifs, avec préavis.

Nous ne vendons jamais vos données personnelles.

8. Services d'API Google — Utilisation Limitée

L'utilisation et le transfert par Orova vers toute autre application des informations reçues des API Google respecteront la Politique relative aux données utilisateur des services d'API Google, y compris les exigences d'Utilisation Limitée.

• Plus précisément : (a) nous utilisons les données Google Search Console uniquement pour afficher des informations de mots-clés, de trafic et d'indexation dans le tableau de bord Orova SEO visible par l'utilisateur ; (b) nous utilisons les données Google Analytics uniquement pour produire des rapports de trafic et de conversion dans le tableau de bord Orova SEO ; (c) nous utilisons les données Google Ads uniquement pour suivre et optimiser les campagnes que l'utilisateur nous autorise à gérer, dans le tableau de bord Orova Ads ; (d) nous utilisons les données Google Drive uniquement fichier par fichier (scope drive.file) — Orova ne lit que les documents que l'utilisateur sélectionne via le Google Picker.
• (e) Orova Social utilise les Services d'API YouTube : avec votre autorisation, nous téléversons sur votre propre chaîne YouTube les vidéos que vous composez dans Orova (youtube.upload) et nous lisons le nom et l'image de votre chaîne ainsi que le lien de chaque vidéo que nous avons publiée (youtube.readonly).
• Le jeton OAuth est stocké chiffré et conservé uniquement tant que la chaîne reste connectée ; lorsque vous cliquez sur Disconnect dans Orova, nous révoquons le jeton auprès de Google et le supprimons.
• En connectant YouTube, vous acceptez également les Conditions d'utilisation de YouTube (https://www.youtube.com/t/terms) et les Règles de confidentialité de Google (https://policies.google.com/privacy).
• Vous pouvez révoquer l'accès d'Orova à tout moment depuis les paramètres de sécurité de votre compte Google : https://security.google.com/settings/security/permissions.
• Nous ne transférons pas les données utilisateur Google à des tiers, sauf pour fournir/améliorer des fonctionnalités visibles par l'utilisateur, respecter la loi applicable, ou lors d'une fusion/acquisition avec préavis.
• Nous n'utilisons pas les données utilisateur Google pour la publicité (reciblage, personnalisée ou par centres d'intérêt).
• Nous n'utilisons pas les données utilisateur Google pour développer ou entraîner des modèles d'IA/ML généralisés.
• L'accès humain est interdit sauf (i) avec le consentement explicite de l'utilisateur, (ii) pour des enquêtes de sécurité ou le respect de la loi, ou (iii) lorsque les données sont agrégées et anonymisées.
• Lorsque des données Google Workspace — une feuille Google Sheets ou un fichier Drive que vous sélectionnez vous-même — sont traitées par l'IA pour produire le résultat demandé, elles sont transmises uniquement à Anthropic et OpenAI, selon des conditions commerciales d'API qui interdisent l'entraînement des modèles ; jamais à un autre fournisseur d'IA, ni via un agrégateur, une passerelle ou une plateforme de modèles.

9. API Marketing de Meta et TikTok — utilisation des données

Lorsque vous connectez un compte publicitaire Meta (Facebook/Instagram) ou TikTok, Orova accède à ces données uniquement via les API Marketing officielles et uniquement dans les limites des autorisations que vous accordez via OAuth.

• Nous utilisons les données publicitaires Meta et TikTok uniquement pour : (a) lire les données de campagnes, d'ensembles/groupes d'annonces, d'annonces, d'audiences et de rapports/insights afin d'afficher des tableaux de bord de performance et des analyses dans l'expérience Orova Ads visible par l'utilisateur ; et (b) gérer les campagnes que vous nous autorisez à gérer — ajuster budgets, enchères et ciblage, activer ou désactiver des campagnes, et créer ou actualiser audiences et créations — en votre nom.
• Nous ne vendons ni ne partageons les données Meta ou TikTok avec des tiers, ne les utilisons pas pour de la publicité étrangère à vos propres comptes, ni pour entraîner des modèles d'IA/ML généralisés.
• Vous pouvez révoquer l'accès à tout moment depuis le fournisseur ; Orova cesse alors d'accéder à vos données.
• Notre utilisation est conforme aux Conditions de la Plateforme et Politiques pour développeurs de Meta, ainsi qu'aux Conditions de l'API Marketing et politiques de données de TikTok.

10. Données de la plateforme Meta — Pages Facebook, Instagram et Threads (Orova Social)

Orova Social connecte votre Page Facebook, votre compte Instagram Business et votre profil Threads uniquement lorsque vous le demandez, via le flux OAuth officiel de Meta et uniquement dans les limites des autorisations que vous accordez.

• Ces connexions nous transmettent l'id, le nom et la photo de profil de la Page ou du compte, ainsi qu'un jeton d'accès.
• Nous les utilisons dans un seul but : publier le contenu que vous rédigez dans Orova et vous montrer le résultat de chaque publication.
• Nous ne lisons pas vos messages privés, nous ne vendons ni ne partageons ces données avec des tiers, et nous ne les utilisons ni pour la publicité ni pour entraîner des modèles d'IA/ML généralisés.
• Les jetons d'accès sont stockés chiffrés sur les serveurs d'Orova et ne sont conservés que tant que le canal reste connecté.
• Vous pouvez vous déconnecter à tout moment : utilisez le bouton Disconnect dans Orova, qui révoque également l'accès du côté de Meta, ou supprimez Orova dans les paramètres d'applications de Facebook, Instagram ou Threads — dans les deux cas, Orova supprime le canal et son jeton.
• Pour demander la suppression de vos données, écrivez à contact@orova.vn ou utilisez nos pages de statut de suppression : https://orova.vn/u/social/meta/delete-status, https://orova.vn/u/social/instagram/delete-status et https://orova.vn/u/social/threads/delete-status.
• Notre utilisation de ces API respecte les Conditions de la Plateforme Meta et les Politiques pour les développeurs de Meta.

11. LinkedIn, Telegram et Zalo (Orova Social)

Orova Social se connecte également à LinkedIn, Telegram et Zalo, uniquement lorsque vous le demandez et uniquement dans les limites des autorisations que vous accordez.

• (a) LinkedIn : avec votre autorisation, Orova connecte votre compte LinkedIn pour publier les posts que vous rédigez dans Orova sur votre profil personnel et/ou sur les Pages entreprise (Company Pages) que vous administrez, via les LinkedIn Marketing et Community Management APIs (avec les autorisations w_member_social et w_organization_social).
• De cette connexion, nous traitons votre nom, votre photo de profil et votre email principal, et — pour une Company Page — ses statistiques d'abonnés.
• Le jeton d'accès est stocké chiffré et utilisé uniquement pour publier ou lire en votre nom selon vos demandes ; la déconnexion révoque le jeton.
• Nous ne vendons, ne partageons ni n'utilisons ces données pour entraîner des modèles d'IA.
• Politique de confidentialité de LinkedIn : https://www.linkedin.com/legal/privacy-policy.
• (b) Telegram : Orova publie votre contenu sur le bot, le canal ou le groupe que vous avez créé vous-même, via la Telegram Bot API ; Orova ne stocke que le bot token et le chat id que vous fournissez, et ne lit aucune autre donnée personnelle Telegram.
• (c) Zalo (Official Account) : Orova publie votre contenu sur votre Zalo Official Account via la Zalo API ; le jeton d'accès de l'OA est stocké chiffré et utilisé uniquement pour publier selon vos demandes.
• Pour les trois, les jetons d'accès ne sont conservés que tant que le canal reste connecté, et vous pouvez vous déconnecter à tout moment dans Orova, ce qui révoque et supprime le jeton.

12. TikTok — l'application "OROVA VN" (Orova Social et Insight)

Orova se connecte à TikTok via notre application enregistrée sur TikTok for Developers sous le nom "OROVA VN".

• Lorsque vous choisissez de connecter un compte TikTok, vous êtes redirigé vers l'écran d'autorisation officiel de TikTok, où l'application apparaît sous le nom "OROVA VN", et Orova ne reçoit un accès que dans la limite des permissions (scopes) que vous approuvez.
• (a) Ce à quoi "OROVA VN" accède : votre profil de base — open ID, nom affiché, photo de profil, lien du profil, biographie et statut de vérification (user.info.basic, user.info.profile) ; les statistiques de votre compte — nombre d'abonnés, d'abonnements, de mentions J'aime et de vidéos (user.info.stats) ; la liste de vos vidéos publiques avec leurs métriques publiques (video.list) ; et, uniquement si vous utilisez la publication, la possibilité de téléverser et de publier sur votre compte TikTok les vidéos ou photos que vous créez ou programmez dans Orova Social (video.upload, video.publish).
• (b) Comment nous l'utilisons : uniquement pour vous montrer les performances de votre propre compte TikTok dans Orova et pour publier le contenu que vous nous demandez explicitement de publier, à l'heure et avec la légende, le niveau de confidentialité et les options d'interaction (commentaires, Duo, Stitch, déclaration de contenu de marque et confirmation d'utilisation de la musique) que vous choisissez sur l'écran de rédaction ; sans cette confirmation, Orova ne publie pas.
• Nous ne publions, modifions ni supprimons jamais quoi que ce soit sur TikTok sans votre instruction.
• (c) Ce que nous ne faisons pas : nous ne vendons pas les données TikTok, ne les utilisons pas à des fins publicitaires ou de profilage, ne les partageons avec aucun tiers autre que les prestataires indiqués à la section 6 agissant pour notre compte, et ne les utilisons pas pour entraîner des modèles d'IA généralistes.
• (d) Conservation et sécurité : les jetons d'accès et de rafraîchissement sont stockés chiffrés sur les serveurs d'Orova, isolés par espace de travail et par canal, et conservés uniquement tant que le canal reste connecté ; votre profil TikTok, vos statistiques et les données de vos vidéos publiques ne sont conservés dans votre espace de travail que pendant la durée de la connexion, puis supprimés ou anonymisés comme indiqué à la section 14.
• (e) Votre contrôle : vous pouvez vous déconnecter à tout moment dans Orova — le bouton Disconnect demande à TikTok de révoquer l'accès accordé à "OROVA VN", puis supprime le canal et les jetons stockés chez Orova ; vous pouvez aussi retirer "OROVA VN" vous-même dans l'application TikTok via Settings and privacy ▸ Security & permissions ▸ Manage app permissions ; et vous pouvez demander la suppression de vos données en écrivant à contact@orova.vn, avec les droits décrits à la section 16.
• L'utilisation des données TikTok par Orova respecte les TikTok Developer Terms of Service et les politiques de plateforme de TikTok.

13. Transferts internationaux de données

Orova est conçu pour un usage global. Vos données peuvent être traitées dans la région la plus proche de votre workspace, y compris en dehors de votre pays de résidence. Lorsque des données sont transférées à l'international, nous les protégeons par des garanties appropriées telles que les clauses contractuelles standard, et prenons des mesures pour assurer un niveau de protection adéquat.

14. Conservation des données

Chaque type de données a sa propre durée de conservation :

Lorsque les données ne sont plus nécessaires, nous les supprimons ou les anonymisons.

15. Sécurité des données et notification de violation

Sécurité : Les données sont chiffrées en transit et au repos. Les identifiants des connexions tierces sont stockés sous forme protégée et les jetons d'accès sont isolés par compte. L'accès interne est limité au strict nécessaire et journalisé. Aucune méthode de transmission ou de stockage n'est totalement sûre, mais nous travaillons en continu à protéger vos données.

Notification de violation : En cas de violation de données personnelles susceptible d'affecter vos droits, nous notifierons l'autorité de contrôle compétente et, lorsque requis, les utilisateurs concernés sans retard injustifié, en décrivant ce qui s'est passé et les mesures que nous prenons.

16. Vos droits et contrôles

Selon votre lieu de résidence, vous disposez des droits suivants sur vos données personnelles :

• Accéder, corriger, supprimer ou recevoir une copie portable de vos données personnelles.
• Vous opposer à certains traitements ou les limiter, et retirer votre consentement.
• Révoquer toute connexion tierce depuis le fournisseur à tout moment — Orova cesse alors d'y accéder, sans impact sur votre compte.
• Exporter vos données, demander leur suppression ou fermer votre compte depuis les Paramètres.
• Pour exercer un droit : envoyez une demande via la section Assistance de l'application, ou écrivez à contact@orova.vn.
• Introduire une réclamation auprès de votre autorité locale de protection des données.

Données des mineurs : Le Service s'adresse aux entreprises et aux professionnels et non aux enfants. Nous ne collectons pas sciemment de données personnelles de personnes de moins de 16 ans. Si vous pensez qu'un mineur nous a fourni des données, contactez-nous et nous les supprimerons.

17. Orova Bot and public contact data

Orova Bot is a tool that helps Orova customers find businesses, shops and professionals that match their criteria.

What the tool collects. Only contact details that a business, shop or professional has published themselves on their own website, about page, contact page or public social media channel:

Every row in a list always carries the link to the source page where the details were published, so both the customer and the person contacted can check it.

What the tool does NOT collect: anything behind a login, in closed groups or private messages, or on pages that block crawling (robots.txt); sensitive personal data as defined by Vietnam's Law on Personal Data Protection and Decree 356/2025/ND-CP: health, religion, political views, sex life, biometric data, ID document numbers or bank accounts; photos, post content, or friend and follower lists.

Orova does not keep or sell the data. A list exists only in the workspace of the customer who ran the tool. Orova keeps no separate copy, does not merge lists across workspaces, and does not sell, rent or use them for Orova's own purposes — Article 7 of Vietnam's Law on Personal Data Protection No. 91/2025/QH15 prohibits buying and selling personal data. When the customer deletes a row, a list or the workspace, the related Orova Bot data (lists, run history, block list) is deleted with it. Bot configurations (keywords, source types, countries) contain no personal data, and Orova reuses them to serve many customers.

Moving rows into Contacts in the same workspace. When the customer clicks "To contacts" or turns on "Automation", the details in that row are copied from Orova Bot into Orova Connect Contacts in that same workspace. The data does not leave the workspace and is not passed to any other workspace or third party. The customer decides which rows are moved, by hand or through rules they set themselves. Once moved, the data is part of the customer's Contacts and is deleted with the workspace.

Who is responsible. The Orova customer decides who to search for and how to use the list, so they are the data controller for their list. Orova provides the tool and processes data on the customer's instructions. The customer must use the list lawfully where they operate and where the people they contact live — for example, Vietnam's Law on Personal Data Protection No. 91/2025/QH15 and Decree 356/2025/ND-CP, the GDPR in the European Union, and CAN-SPAM in the United States (see Terms of Service section 13).

AI assessments. Customers can set criteria for AI to assess based on public information (for example, whether there is negative public news). The result is a suggestion only, may be wrong, and always comes with its reasoning and sources. It must not be used for decisions with legal or similarly significant effects on a person (employment, credit, insurance, housing).

AI scoring cache. To avoid scoring the same business again and again, Orova stores scoring results by the business's website domain and the set of criteria. This cache holds no personal data: only the domain, a code for the criteria set, and the result with quotes and sources from the business's public pages. It holds no emails, phone numbers or contact names, no lists, and no record of which workspace ran the scoring. A result is reused only within 30 days of scoring; when it is reused, the customer is not charged quota for that scoring.

If a business contacts you using data from Orova Bot. The email or call comes from that business itself, not from Orova. Emails sent through Orova Connect go out from the business's own connected mailbox, so when you reply, your request goes straight to that business. You can ask them where they got your details, and ask them to correct or delete your details or stop contacting you — just reply to that email or tell them directly. The business must handle your request under Vietnam's Law on Personal Data Protection No. 91/2025/QH15 (or the law where you live, such as the GDPR), and has a "Delete and block" button in Orova that removes you and prevents you from being collected into their workspace again. Orova keeps no copy of the list, so it cannot look up or delete your details on the business's behalf — please send your request to the business that contacted you.

Legal basis: Law on Personal Data Protection No. 91/2025/QH15 (https://mps.gov.vn/chinh-sach-phap-luat/co-so-du-lieu-van-ban/luat-bao-ve-du-lieu-ca-nhan-1753688803) · GDPR (EU) 2016/679 (https://eur-lex.europa.eu/eli/reg/2016/679/oj)

18. Modifications de cette politique et contact

Modifications : Nous pouvons mettre à jour cette Politique de Confidentialité de temps à autre. En cas de changements importants, nous mettrons à jour la date ci-dessus et, le cas échéant, vous informerons par email ou via le Service. Votre utilisation continue après une mise à jour vaut acceptation de la politique révisée.

Contact : Pour toute question de confidentialité ou pour exercer vos droits, utilisez la section Assistance de l'application ou écrivez à contact@orova.vn. Nous répondons sous cinq jours ouvrés.