Politique de confidentialité

1. Responsable du traitement

2. Données collectées

• Compte : nom, email, mot de passe (hashé), préférences
• Boutique Shopify : commandes, produits, clients, métriques (via OAuth — Shopify ne facture pas notre abonnement)
• Publicité : dépenses et performances Meta, TikTok, Google et Klaviyo (si connectés)
• Commandes de la boutique : montant, produits, date, et pour la livraison ville, code postal et pays. L'email, le nom et le téléphone de l'acheteur sont chiffrés au repos ; aucune rue ni numéro de voie n'est demandé à Shopify, aucun moyen de paiement n'est conservé.
• Adresse IP : l'adresse IP du visiteur est enregistrée avec chaque événement de mesure, et celle de l'acheteur est reçue de Shopify avec la commande. Elle sert à la détection de fraude, à l'exclusion du trafic interne du marchand et à l'appariement des conversions chez les régies. Les événements bruts sont supprimés au bout de 90 jours. L'empreinte technique décrite plus bas n'utilise, elle, qu'une IP tronquée de son dernier octet.
• Paiement : identifiant d'abonnement Shopify et statut d'abonnement — pas de numéro de carte stocké chez nous. Un identifiant d'un paiement antérieur, s'il en reste un, est conservé le temps de clôturer ce contrat.
• Support : messages envoyés via le formulaire contact ou le chat
• Mesure d'audience : événements anonymisés ou pseudonymisés (PostHog), si vous acceptez les cookies analytics

2.1 Sécurité

Les PII clients (email, nom, téléphone) et les tokens API (Shopify, Meta, etc.) sont chiffrés au repos (AES-256-GCM). Les recherches par e-mail utilisent des empreintes cryptographiques, sans index en clair.

2.2 Empreinte technique du navigateur

Sur les boutiques de nos clients, notre script de mesure peut calculer une empreinte technique du navigateur : une valeur dérivée de caractéristiques de l'appareil (rendu graphique, résolution d'écran, fuseau horaire, langue, plateforme). Elle sert uniquement à reconnaître un visiteur dont les cookies ont été effacés, afin de ne pas compter deux fois la même visite. Le marchand est responsable du traitement sur sa boutique.

• Refus honoré : si le visiteur ou la bannière du marchand refuse le suivi (ppp.consentPii(false) ou Consent Mode ad_user_data: denied), l'empreinte n'est ni calculée ni envoyée. L'événement peut être enregistré sans identifiant pour les statistiques de la boutique, mais rien n'est transmis aux régies publicitaires (Meta, TikTok, Google) : ni l'événement, ni l'achat qui suit. Un achat n'est transmis à une régie que si l'accord marketing du visiteur a été enregistré sur le navigateur qui a payé, au moment du paiement (dans les 24 heures qui le précèdent) : un accord plus ancien, ou donné sur un autre appareil, ne suffit pas. Un refus donné en cours de visite est enregistré (le seul identifiant du navigateur et la date, rien d'autre) pour être respecté au moment de l'achat ; les cookies de mesure et de publicité sont alors effacés.
• Engagement des pages : la profondeur de défilement (25, 50, 75, 100 %) et les clics sur les boutons et liens sont mesurés anonymement, sans cookie, sans identifiant de visiteur, sans adresse IP ni paramètre d'URL, avec l'accord de mesure ou par la mesure d'audience anonyme quand le marchand l'a activée. Ils ne sont jamais transmis aux régies et sont conservés 90 jours.
• Boutique Shopify : le pixel attend l'API Customer Privacy de Shopify. Tant que le marketing n'est pas accepté, rien ne part vers les régies publicitaires, et l'email, le téléphone, l'adresse IP et l'empreinte ne sont pas collectés pour elles. Si le suivi analytique est aussi refusé, aucun cookie visiteur n'est déposé. Dans l'Espace économique européen, au Royaume-Uni et en Suisse, seul un choix exprimé par le visiteur compte : l'accord que Shopify applique par défaut quand la boutique n'affiche pas de bannière ne vaut pas consentement, et rien n'est alors suivi. Les cookies visiteur (identifiant, campagne d'arrivée) expirent au plus tard 13 mois après la première visite, sans prolongation au-delà ; sans accord marketing, aucun identifiant de clic publicitaire (fbclid, gclid, ttclid…) n'est gardé, ni dans ces cookies, ni dans les événements envoyés, ni dans l'adresse de la page enregistrée.
• Opposition à la vente ou au partage des données (bouton « Ne pas vendre » ou signal Global Privacy Control, que Shopify applique) : aux États-Unis, Meta et TikTok ne reçoivent l'événement qu'en « usage limité » (Limited Data Use), dans les seuls États où ils le proposent ; ailleurs, et chez Google, rien ne leur est transmis. Hors des États-Unis, ce refus vaut refus du marketing : rien n'est transmis aux régies.
• Hors de Shopify (installation manuelle) : aucune API ne donne la région ni le choix du visiteur, la règle européenne s'applique partout. Rien n'est suivi, aucun cookie visiteur n'est déposé tant que la bannière du marchand n'a pas transmis un accord : ppp.consent(true) pour la mesure, ppp.consentPii(true) pour le marketing (ou Consent Mode ad_user_data: granted). Ce choix est gardé dans le cookie _ppp_consent pour les pages suivantes.
• Signal probabiliste : elle rattache une session, elle n'identifie jamais une personne à elle seule.
• Stockage : uniquement sous forme de valeur dérivée. Les caractéristiques brutes ne sont jamais conservées.
• Conservation : 13 mois maximum, puis suppression automatique. Les sessions de navigation sont, elles, supprimées au bout de 90 jours.
• Effacement : une demande de suppression efface l'empreinte et tous les liens d'identité associés, en même temps que les autres données. Ces liens comprennent, haché, l'identifiant de navigateur que Shopify joint aux événements du paiement (avec l'accord de mesure) et le paramètre _kx d'un lien d'e-mail Klaviyo : avec l'accord marketing, il est envoyé au compte Klaviyo du marchand pour retrouver le profil, puis seul son hachage est gardé. Avec un domaine de suivi vérifié, l'identifiant du visiteur est aussi reposé par notre serveur (cookie _ppp_vid inaccessible aux scripts), aux mêmes conditions et pour la même durée.

3. Finalités

• Fourniture du tableau de bord et calculs de rentabilité
• Facturation et gestion des abonnements via Shopify (facture de la boutique)
• Support client et amélioration du produit
• Mesure d'audience et diagnostics techniques (avec consentement pour PostHog)
• Emails transactionnels (confirmation, alertes, waitlist)

4. Bases légales (RGPD)

• Exécution du contrat — fourniture du SaaS souscrit
• Intérêt légitime — sécurité, amélioration du service, support
• Consentement — cookies analytics (PostHog), newsletter waitlist
• Obligation légale — conservation comptable des factures

5. Durée de conservation

Données de compte : durée du compte actif, puis suppression ou anonymisation selon votre plan et paramètres (rétention configurable — voir Tableau de bord → Paramètres). Données de facturation : durée légale (10 ans). Suppression de compte traitée par notre équipe (demande d'effacement, suppression par l'administrateur) : l'adresse e-mail et la date de suppression sont gardées 5 ans (prescription civile, art. 2224 du Code civil), pour attester que la suppression a été faite, puis effacées. Une suppression faite depuis votre compte n'en garde aucune trace. Logs techniques et Sentry : durée limitée selon nos paramètres de rétention.

6. Sous-traitants

Données transmises uniquement pour fournir le service :

• Shopify — paiements et abonnements (l'abonnement est porté sur la facture Shopify de la boutique)
• Stripe — conservation et clôture des abonnements antérieurs encore actifs. Aucune nouvelle souscription n'y est ouverte.
• Resend — emails transactionnels
• OVHcloud (OVH SAS, serveurs au Canada) — hébergement de l'application
• Sentry — monitoring d'erreurs (données techniques, pas de PII volontaire)
• PostHog — analytics produit (avec consentement)
• Shopify, Meta, TikTok, Google, Klaviyo — APIs connectées par vous (OAuth). Ces plateformes sont également destinataires de données de conversion lorsqu'un pixel est configuré : voir la section 6.1.
• Cloudflare R2 — sauvegardes chiffrées de la base
• Upstash — limitation de débit et cache (pas de PII)

6.1 Transmission aux régies publicitaires (API de conversion)

Lorsqu'un marchand configure un pixel de régie, les conversions mesurées sur sa boutique sont transmises depuis notre serveur à la plateforme concernée — Meta, TikTok ou Google — afin qu'elle puisse attribuer la vente à sa publicité. Cette transmission sort de notre infrastructure : elle mérite d'être décrite précisément.

• Hachés en SHA-256 avant l'envoi, donc jamais lisibles par la régie sous forme claire : email, téléphone, prénom, nom, ville, région, code postal, pays ; pour Meta, aussi la date de naissance et le genre quand la fiche client Shopify les porte.
• Exception Google (GA4) : la ville, la région, le code postal et le pays partent en clair, le format de Google l'exige ; l'email, le téléphone, le prénom et le nom y restent hachés.
• Transmis en clair : l'adresse IP et le user-agent du navigateur. Les spécifications de ces API les exigent sous cette forme pour l'appariement — ils ne peuvent pas être hachés.
• Également transmis : identifiants de clic publicitaire (fbclid, gclid, ttclid, etc.), identifiant de visiteur, montant, devise, produits et numéro de commande. Si le marchand l'active, l'achat envoyé à Meta porte aussi la lecture ProfitPilotPro de la commande : palier et pourcentage de marge, canal d'acquisition, présence d'un clic Meta (aucune donnée personnelle en plus).
• Condition : sur une boutique Shopify, l'email, le téléphone, l'adresse IP et les identifiants de clic ne partent que si le marketing est accepté (bannière Shopify, ou refus explicite du marchand) ; dans l'EEE, au Royaume-Uni et en Suisse, seulement après un accord exprimé. Hors de cette bannière, ils partent tant qu'un refus n'a pas été envoyé : le marchand doit donc refuser par défaut jusqu'au oui.

6.1 bis Envoi à Klaviyo (si le marchand l'active)

Un marchand qui a connecté Klaviyo peut activer l'envoi de deux événements : un visiteur identifié sur la boutique, et un paiement commencé (pour ses e-mails de panier abandonné). Désactivé par défaut.

• Transmis : l'e-mail en clair (Klaviyo l'exige pour retrouver le profil), le téléphone s'il est connu, et pour un paiement : les articles, le montant, la devise et le lien vers le panier de la boutique. Le lien de reprise du paiement Shopify n'est jamais transmis.
• Condition : seulement pour un visiteur dont l'accord marketing a été relevé. Un refus, ou l'absence de choix, bloque l'envoi.

6.2 Transferts hors Union européenne

L'application et sa base de données sont hébergées sur des serveurs situés au Canada par OVHcloud (OVH SAS). PostHog (hébergement UE) reste dans l'Union européenne. D'autres sous-traitants sont établis aux États-Unis ou peuvent y traiter des données : Stripe (abonnements antérieurs), Sentry, Cloudflare (sauvegardes R2), Resend, et, lorsque vous les connectez, Meta, Google, TikTok et Klaviyo.

Ces transferts s'appuient sur les clauses contractuelles types de la Commission européenne, incluses dans le contrat de traitement de chaque prestataire, ou sur une décision d'adéquation lorsque ce prestataire l'offre.

7. Vos droits

Accès, rectification, effacement, limitation, portabilité, opposition — contactez contact@profitpilotpro.fr.

Réclamation auprès de la CNIL (cnil.fr). Suppression Meta Login : callback /api/auth/meta/data-deletion. Une demande d'accès client transmise par Shopify est envoyée par e-mail au marchand de la boutique, avec le dossier que nous détenons. Une demande d'effacement retire la fiche, l'adresse de livraison, l'adresse IP et les traces de navigation rattachées.

8. Cookies et traceurs

Détail complet, avec la liste des cookies que notre traceur pose sur la boutique d'un marchand : politique cookies.

• Essentiels : session NextAuth, sécurité CSRF — pas de consentement requis
• Analytics : PostHog (UE) — uniquement après acceptation via bannière
• Affiliation : cookie pp_aff_ref (60 jours) si vous arrivez par un lien partenaire — même acceptation, pas avant
• Marketing : aucun cookie pub/reciblage sur profitpilotpro.fr

Gérez vos préférences : bannière cookies, Tableau de bord → Paramètres → Sécurité, ou paramètres navigateur.

9. Réclamations

Réclamation : contact@profitpilotpro.fr. KALMIE SASU est en cours d'inscription auprès d'un médiateur de la consommation agréé. Les coordonnées complètes seront publiées ici dès validation. En attendant, contactez-nous à contact@profitpilotpro.fr pour toute réclamation.

10. Contact

contact@profitpilotpro.fr