Sécurité et traitement des données

Pour les données des visiteurs d’une boutique (« acheteurs »), le marchand est le responsable du traitement et OneSite Agency son sous-traitant. Pour les comptes des marchands eux-mêmes et pour notre site, nous sommes le responsable du traitement. Nos Conditions d’utilisation tiennent lieu de contrat de sous-traitance ; il n’y a pas d’autre document à signer.

Données des acheteurs, conservées par boutique et uniquement pour cette boutique :

• Conversations : ce que l’acheteur a tapé ou dicté, ainsi que les produits affichés et choisis (tables queries, events). La dictée est transcrite sur nos propres serveurs ; l’audio n’est pas conservé.
• Visites : référent, balises UTM, type d’appareil, navigateur, système d’exploitation, fuseau horaire, ainsi qu’un pays et une ville approximatifs déduits de l’adresse IP (table visits). L’adresse IP elle-même n’est pas conservée.
• Coordonnées qu’un acheteur choisit de laisser après une demande à laquelle la boutique n’a pas pu répondre (table misses) : conservées chiffrées en AES-GCM, la clé étant gardée hors de la base, avec une empreinte à clé servant uniquement à les retrouver pour une demande d’effacement ou d’accès. Les demandes de contact avec une personne — « Parler à une personne », une question de commande à laquelle l’assistant n’a pas pu répondre, « prévenez-moi quand ce sera disponible » (table handoffs) — sont conservées de la même façon, les mots de l’acheteur étant nettoyés de tout autre contact ; seules les personnes de la boutique les voient, dans la boîte de réception de leur tableau de bord, et elles sont supprimées selon le même calendrier.
• Notes de commande et demandes de données d’un acheteur (tables checkout_notes, data_exports).
• Enregistrements de commandes de la boutique (tables purchase_orders, purchase_lines, purchase_discounts, purchase_cart) : totaux, lignes et codes de réduction. Ils ne contiennent aucune identité d’acheteur ; leur lien avec une conversation est supprimé à l’expiration des données de l’acheteur.

Données du marchand et de la boutique :

• Catalogue, plongements et enrichissement des produits, informations du marchand sur la livraison, le paiement et les retours, pages de vitrine et images téléversées, dépense mensuelle du modèle et actions du marchand dans le tableau de bord (tables products, embeddings, product_enrichment, facts, pages, storefront_*, budget_month, cabinet_deeds et similaires, toutes rattachées à la boutique).
• Comptes des marchands qui se connectent sur notre site : adresse e-mail, mot de passe conservé uniquement sous forme de hachage Argon2id, langue, ainsi que l’heure, l’adresse IP et le navigateur de chaque connexion (tables accounts, memberships, sessions).
• Connexion à la plateforme : le domaine de la boutique, l’état de l’abonnement et les clés d’accès nécessaires pour appeler l’API de la plateforme ; pour les clients directs, les identifiants client et abonnement de Stripe. Les données de carte ne nous parviennent jamais.
• Demandes envoyées depuis notre site et, pour les boutiques amenées par un partenaire de parrainage, la commission accumulée (tables applications, partner_accruals).

Connaissances qui ne sont liées à aucune boutique et, par construction, sans identifiant de boutique : notes tirées de classements d’autres sites, une table de correspondance IP-lieu, attributs par titre déduits des titres, et notes et avis publics sur des livres lus sur des pages publiques d’autres sites. Les avis comprennent le nom affiché et le texte de leur auteur et ne sont conservés que tant que la source les montre encore (voir plus bas).

Nous n’entraînons ni n’affinons aucun modèle de langage avec des données de marchands ou d’acheteurs, et nous ne vendons pas de données. Les données des boutiques installées via Shopify ne servent à aucune forme d’apprentissage.

• Données des acheteurs (conversations, événements, visites, contacts, notes de commande, demandes de données) : supprimées 395 jours (13 mois) après leur enregistrement, par une tâche nocturne. Cette durée est un choix de produit : les rapports du propriétaire comparent un mois au même mois de l’année précédente.
• Avis copiés d’autres sites : supprimés 30 jours après que la source les a montrés pour la dernière fois. Les notes restent, car elles ne contiennent aucune personne.
• Une boutique après désinstallation : les données sont conservées pour qu’une réinstallation les restaure, jusqu’à ce que Shopify envoie son avis d’effacement (shop/redact) 48 heures plus tard ; tout ce qui concerne la boutique est alors supprimé. Pour un abonnement direct, la boutique est supprimée 30 jours après la fin de l’abonnement.
• Un compte marchand : tant que le compte existe, et supprimé dans les 30 jours suivant une demande.
• Sauvegardes de la base de données : nocturnes, chiffrées, conservées 14 jours sur le même serveur, de sorte que les données supprimées disparaissent des sauvegardes en 14 jours.

• Le marchand voit dans le tableau de bord les données de sa propre boutique. Chaque enregistrement est stocké sous la boutique à laquelle il appartient et n’est lu que pour le compte de cette boutique ; une boutique ne voit jamais les données d’une autre, et un registre de toutes les tables et de tous les caches indique lesquels appartiennent à une boutique et lesquels sont des connaissances partagées, ce que vérifie un test.
• Notre opérateur a accès aux systèmes de production ; l’accès lui est réservé.
• Un partenaire de parrainage qui a amené une boutique voit le domaine de la boutique, si elle paie et la commission accumulée.
• Les sous-traitants ultérieurs ci-dessous, uniquement ce qui est décrit pour chacun.

Tout ce que nous conservons se trouve sur nos serveurs chez Hetzner Online GmbH à Nuremberg, en Allemagne. La recherche, les plongements de texte et la reconnaissance vocale tournent sur ces serveurs, sans tiers. Sous-traitants ultérieurs :

• Hetzner Online GmbH, Allemagne : hébergement.
• DeepSeek (Chine) : le modèle de langage (pour les boutiques hors UE, EEE et Royaume-Uni). Pour rédiger une réponse, il reçoit le texte de la conversation, les données produits du catalogue de la boutique, les textes d’avis publics sur des livres, sans le nom de leurs auteurs et une photo que l’acheteur choisit de joindre, dans les boutiques qui ont activé la recherche par photo (nous ne la conservons pas). Il ne reçoit jamais noms d’acheteurs, coordonnées, adresses IP et données de commande. Les requêtes sont envoyées par une connexion chiffrée.
• Pour les boutiques de l’UE, de l’EEE et du Royaume-Uni : les réponses sont établies sans modèle de langage, sur nos propres serveurs ; aucune donnée d’acheteur n’est transmise à un fournisseur de modèle.
• Shopify : la plateforme sur laquelle l’application fonctionne et la facturation des installations. Stripe : facturation des marchands qui s’abonnent directement chez nous.
• PostHog, cloud UE : analyses d’usage sur notre site et notre tableau de bord, pas dans l’assistant sur une vitrine.
• Telegram : lorsqu’il est activé, notifications internes à notre équipe sur les nouvelles demandes de marchands.

Quel fournisseur sert quelles boutiques se décide en un seul endroit de notre code, selon la zone de données de la boutique, et les entrées du modèle de langage ci-dessus sont générées à partir de cet endroit : cette page ne peut donc pas dire ce que le code ne fait pas. Nous ajoutons ou changeons un sous-traitant ultérieur dans la Politique de confidentialité, avec sa date, avant qu’il ne commence.

Le marchand décide du sort des données des acheteurs ; ceux-ci écrivent donc d’abord à la boutique ; s’ils nous écrivent, nous transmettons la demande et aidons le marchand à y répondre. Via Shopify, les trois demandes standard sont traitées automatiquement :

• Demande d’accès (customers/data_request) : sous 30 jours, nous envoyons au propriétaire de la boutique les données que nous détenons sur ce client, sous forme de fichier lisible par machine.
• Effacement d’un client (customers/redact) : nous supprimons le contact laissé par ce client, les conversations qui y sont liées et les commandes listées dans la demande.
• Effacement d’une boutique (shop/redact) : nous supprimons tout ce que nous détenons sur la boutique.

Les marchands écrivent à l’adresse ci-dessous et nous répondons sous 30 jours. Acheteurs et marchands peuvent aussi saisir une autorité de protection des données.

Un seul chemin sert à la fois pour un avis d’effacement de la plateforme et pour une suppression par l’opérateur. Chaque table propre à une boutique référence la boutique par une clé en cascade : supprimer l’unique ligne de la boutique supprime tout ce qui lui appartient en une seule transaction, tout ou rien. Les images téléversées dans le constructeur de vitrine sont sur disque et supprimées d’abord ; une suppression échouée est répétée. Les marchands qui n’ont plus de boutique sont supprimés après la boutique.

Ce qui subsiste après la suppression d’une boutique, par conception :

• Commissions dues à un partenaire de parrainage : montant et domaine, l’identifiant de boutique étant effacé. Elles ne contiennent aucun acheteur.
• Le journal des actions de l’opérateur, qui doit survivre à son objet comme preuve de qui a activé, désactivé ou supprimé une boutique, y compris la suppression elle-même.
• Les connaissances indépendantes des boutiques décrites plus haut, qui ne contiennent aucun identifiant de boutique ou d’acheteur. Les sauvegardes expirent en 14 jours.

• Le trafic vers et depuis nos serveurs est chiffré en TLS. Les sauvegardes sont chiffrées (AES-256) et lisibles uniquement par le compte administrateur du serveur.
• Les mots de passe ne sont conservés que sous forme de hachages Argon2id et les jetons de connexion que sous forme d’empreintes SHA-256. Les contacts des acheteurs sont conservés chiffrés (AES-GCM), la clé étant gardée hors de la base.
• Les notifications de Shopify et de Stripe ne sont acceptées qu’avec une signature valide. Les données de chaque boutique sont cloisonnées et lues uniquement pour le compte de cette boutique.
• L’accès aux systèmes de production est réservé à notre opérateur. Quand l’opérateur ouvre le tableau de bord d’un marchand pour une question de support, l’ouverture est consignée avec qui a ouvert quelle boutique.

Les questions de sécurité, les signalements de vulnérabilité et les demandes de données vont à l’adresse ci-dessous ; nous répondons généralement sous un jour ouvré. Si une violation touche des données personnelles que nous détenons, nous prévenons les marchands concernés dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance.