3.1. Données des utilisateurs de la Plateforme

Lors de l’inscription et de l’utilisation de la Plateforme, nous collectons :

• Données d’identification : prénom, nom, adresse e-mail
• Données de l’entreprise : raison sociale, numéro d’identification fiscale, adresse
• Données de connexion : mot de passe (conservé uniquement sous forme de hachage cryptographique), jetons de session
• Données techniques : adresse IP, informations sur le navigateur, système d’exploitation
• Données relatives à l’abonnement et aux paiements

3.2. Données issues des plateformes e-commerce connectées

Depuis les systèmes e-commerce (WooCommerce, Magento, Shoper, Shopify, IdoSell, RedCart, PrestaShop, SkyShop) :

• Données de transaction : numéro de commande, date, statut, montant de la commande
• Données produits : ID produit, nom, prix, catégorie, niveau de stock, variantes
• Données des clients finaux sous forme pseudonymisée, dans les limites décrites au point 3.6
• Informations sur les modes de paiement et de livraison (sans données d’authentification)
• Codes de réduction et informations sur les promotions

Depuis les marketplaces :

• Données des offres et des produits
• Données de transaction et de commande
• Données sur les coûts, frais, commissions et bonus
• Informations sur les catégories et les prix

3.3. Données issues des plateformes publicitaires

Google Ads :

• Statistiques de campagne : impressions, clics, conversions
• Coûts publicitaires et données de performance des campagnes
• Termes de recherche et données des groupes d’annonces

La description détaillée des données issues des services Google figure à la Section 4 (Données des utilisateurs Google).

Meta Ads (Facebook, Instagram) :

• Statistiques des campagnes publicitaires
• Données d’engagement et de portée
• Coûts et résultats de conversion

TikTok Ads :

• Données des campagnes publicitaires
• Statistiques de lecture et d’engagement
• Informations sur les coûts et les conversions

Criteo et Tradetracker :

• Données sur les commissions d’affiliation
• Statistiques des campagnes de remarketing

3.4. Données issues de Google Analytics

• Statistiques de sessions
• Événements e-commerce
• Parcours de navigation et sources de trafic

La description complète des données issues des services Google figure à la Section 4 (Données des utilisateurs Google).

3.5. Données NON collectées par la Plateforme

L’adresse e-mail et le numéro de téléphone du client final sont enregistrés uniquement sous forme de hachage cryptographique (voir point 3.6).

3.6. Données des clients finaux des boutiques (sous-traitance)

Pour le compte du Client, en tant que sous-traitant, nous traitons les éléments suivants rattachés aux commandes :

• l’identifiant client attribué par la plateforme de la boutique
• le hachage cryptographique de l’adresse e-mail et du numéro de téléphone
• les marqueurs de campagnes marketing (par ex. UTM, gclid, fbclid)

Il s’agit de données personnelles pseudonymisées, traitées uniquement pour fournir le Service d’analyse au Client (par ex. analyse des nouveaux clients et des clients récurrents), selon les modalités définies au § 9 des Conditions générales. Le responsable du traitement de ces données est le Client.

4.1. Données des utilisateurs Google auxquelles nous accédons

Une fois votre autorisation accordée (OAuth 2.0), nous accédons uniquement en lecture seule (read-only) aux données suivantes de vos comptes Google :

• Google Ads : statistiques de campagne (impressions, clics, conversions), coûts publicitaires, termes de recherche, données des groupes d’annonces et performances des campagnes
• Google Analytics (GA4) : données de sessions, événements e-commerce, sources de trafic et parcours de navigation
• Google Merchant Center : données des produits du flux, statut d’approbation des offres, visibilité et compétitivité des prix
• Google Search Console : données de performance dans le moteur de recherche (requêtes, pages, clics, impressions)

4.2. Utilisation des données des utilisateurs Google

Nous utilisons les données des utilisateurs Google uniquement pour fournir et améliorer les fonctionnalités de la Plateforme visibles par l’utilisateur, c’est-à-dire l’analyse et la visualisation des résultats marketing et commerciaux sur vos tableaux de bord DataOrganizer.

4.3. Destinataires des données des utilisateurs Google (partage, transfert, divulgation)

Les données des utilisateurs Google peuvent être partagées uniquement avec les catégories de destinataires suivantes :

• Sous-traitants (sous-processeurs) indispensables à la fourniture du Service, notamment le fournisseur d’infrastructure cloud Google Cloud Platform qui héberge la Plateforme, agissant uniquement sur nos instructions documentées, sur la base de contrats de sous-traitance conformes à l’art. 28 du RGPD.
• Fournisseur de services d’IA : les fonctionnalités d’analyse fondées sur l’intelligence artificielle s’appuient sur Anthropic (modèle Claude) en tant que sous-traitant, via l’API Anthropic, avec un traitement sur des serveurs situés aux États-Unis sur la base des clauses contractuelles types. Les données transmises à ce fournisseur, qui peuvent inclure des données issues des services Google, ne sont pas utilisées pour entraîner des modèles d’IA.
• Autorités publiques, uniquement lorsque la législation applicable ou une demande juridiquement contraignante l’exige impérativement (par ex. autorités judiciaires ou policières).
• Collaborateurs habilités au sein de notre organisation, selon le principe d’accès restreint (« need to know »), tenus à une obligation de confidentialité.

4.4. Conformité à la Règles relatives aux données utilisateur des services d’API Google (Limited Use)

Dans la version originale (en) : DataOrganizer’s use and transfer to any other app of information received from Google APIs will adhere to the Règles relatives aux données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée.

4.5. Accès minimal (portées minimales / OAuth scopes)

Nous demandons uniquement les portées d’autorisation minimales (OAuth scopes) nécessaires au fonctionnement de la Plateforme, et uniquement en lecture seule (read-only). Nous ne demandons pas l’accès à des données ni des autorisations allant au-delà de ce qui est nécessaire à l’analyse des données marketing et commerciales. Nous ne demandons pas de portées « par précaution » ni pour des fonctionnalités pas encore déployées.

4.6. Protection des données des utilisateurs Google

Les données des utilisateurs Google bénéficient des mêmes mesures de sécurité que celles décrites à la Section 9, notamment le chiffrement en transit (TLS) et au repos (AES-256), le contrôle des accès et la journalisation des opérations d’administration. Les jetons d’accès (OAuth) sont conservés dans une base de données sécurisée au sein de l’infrastructure Google Cloud, chiffrée au repos.

4.7. Conservation et suppression des données des utilisateurs Google

• Nous conservons les données des utilisateurs Google uniquement pendant la durée de l’intégration active.
• Après la déconnexion de l’intégration (révocation de l’autorisation) ou sur votre demande, les données sont supprimées dans un délai de 30 jours, et des sauvegardes dans un délai de 90 jours.
• Vous pouvez révoquer l’autorisation à tout moment dans les paramètres de votre compte DataOrganizer ou sur la page des autorisations de votre compte Google : myaccount.google.com/permissions.

4.8. Module complémentaire Google Workspace (Google Apps Script)

Le module complémentaire DataOrganizer pour Google Workspace repose sur Google Apps Script et utilise les portées d’autorisation suivantes :

• script.scriptapp : permet au module complémentaire d’agir en votre nom, notamment de créer et gérer des déclencheurs (par ex. actualisation automatique et périodique des données) ;
• script.container.ui : permet d’afficher l’interface du module complémentaire (panneau latéral, boîtes de dialogue) dans l’application Google ;
• script.external_request : permet au module complémentaire de se connecter à l’API externe de DataOrganizer afin de récupérer vos données analytiques et de les afficher dans le module.

Le module complémentaire ne lit aucun autre de vos fichiers ou documents Google au-delà de ce qui est nécessaire au fonctionnement des fonctionnalités décrites ci-dessus.

5.1. Fourniture du service d’analyse

Finalité : analyse et visualisation des données e-commerce pour permettre aux utilisateurs de suivre leurs résultats commerciaux.

Base légale :

• Art. 6, par. 1, point b) du RGPD : exécution du contrat (fourniture du service DataOrganizer)
• Art. 6, par. 1, point f) du RGPD : intérêt légitime consistant à assurer le fonctionnement de la Plateforme

Les données des clients finaux (point 3.6) sont traitées sur instruction du Client, en sa qualité de responsable du traitement, sur la base d’un accord de sous-traitance (art. 28 du RGPD, § 9 des Conditions générales).

5.2. Gestion du compte utilisateur

Finalité : création et gestion du compte utilisateur, authentification, communication.

Base légale : art. 6, par. 1, point b) du RGPD : exécution du contrat.

5.3. Facturation et paiements

Finalité : gestion des abonnements, facturation, traitement des paiements.

Base légale :

• Art. 6, par. 1, point b) du RGPD : exécution du contrat
• Art. 6, par. 1, point c) du RGPD : obligation légale (réglementation fiscale et comptable)

5.4. Support technique

Finalité : assistance technique, résolution des problèmes, communication avec les utilisateurs.

Base légale : art. 6, par. 1, points b) et f) du RGPD.

5.5. Sécurité et détection des abus

Finalité : garantir la sécurité de la Plateforme, détecter et prévenir les abus.

Base légale : art. 6, par. 1, point f) du RGPD : intérêt légitime (sécurité des systèmes).

5.6. Analyse et amélioration du service

Finalité : analyse de l’utilisation de la Plateforme, développement des fonctionnalités, optimisation des performances.

Base légale : art. 6, par. 1, point f) du RGPD : intérêt légitime.

5.7. Marketing (avec votre consentement)

Finalité : envoi de la newsletter, d’informations sur les nouvelles fonctionnalités et d’offres promotionnelles.

Base légale : art. 6, par. 1, point a) du RGPD : consentement libre (que vous pouvez retirer à tout moment).

Nos actions marketing reposent uniquement sur les coordonnées des utilisateurs de la Plateforme. Nous n’utilisons pas les données des utilisateurs Google à des fins marketing (voir section 4.2).

6.1. Données des utilisateurs de la Plateforme

Pendant la durée du contrat : les données sont conservées pendant toute la période d’utilisation de la Plateforme.

Après la fin du contrat :

• Données nécessaires à la facturation : 5 ans (conformément à la réglementation fiscale)
• Échanges avec le support : 3 ans
• Autres données : 30 jours après la désactivation du compte

6.2. Données issues des plateformes connectées

• Pendant l’intégration active : données synchronisées une fois par jour
• Après la déconnexion de l’intégration ou la fermeture du compte : données supprimées sous 30 jours
• L’utilisateur peut demander une suppression anticipée des données
• Sauvegardes : données supprimées des sauvegardes au plus tard sous 90 jours

Les règles détaillées de conservation et de suppression des données des utilisateurs Google sont décrites à la section 4.7.

6.3. Interactions avec les fonctionnalités d’IA

Les interactions avec les fonctionnalités d’IA (historique des conversations) sont conservées pour fournir le service, le développer et l’améliorer, pendant 12 mois au maximum à compter de leur création, puis supprimées automatiquement. Elles sont supprimées plus tôt avec les données du compte lors de sa fermeture.

7.1. Infrastructure principale

Google Cloud Platform (GCP), région Europe :

• Données analytiques : région europe-west1 (Belgique)
• Données de l’application : région europe-central2 (Varsovie)
• Sauvegardes : dans les mêmes régions
• Une partie des données d’utilisation de la Plateforme peut être stockée dans la multirégion UE, exclusivement sur le territoire de l’Union européenne

7.2. Conformité au RGPD

Toutes les données principales sont stockées sur le territoire de l’Union européenne, dans une infrastructure certifiée ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2/SOC 3.

7.3. Transferts de données hors EEE

Dans une mesure limitée, des données peuvent être transférées en dehors de l’Espace économique européen :

• dans le cadre des fonctionnalités d’IA : vers Anthropic (États-Unis), sur la base des clauses contractuelles types approuvées par la Commission européenne
• par Google et ses sous-traitants (par exemple dans le cadre du support technique), sur la base des clauses contractuelles types
• dans le cadre du traitement des paiements : vers Stripe, Inc. (États-Unis), sur la base du EU-US Data Privacy Framework et des clauses contractuelles types

Liste des pays bénéficiant d’une décision d’adéquation : commission.europa.eu

8.1. Sous-traitants

• Fournisseur d’infrastructure cloud : Google Cloud Platform
• Fournisseur de services d’IA : Anthropic (modèle Claude), pour les fonctionnalités d’analyse basées sur l’IA ; le fournisseur reçoit le contenu de la requête et les résultats des tableaux traités, dans lesquels les clients finaux n’apparaissent que sous forme d’empreinte cryptographique ; les données ne sont pas utilisées pour entraîner des modèles
• Prestataire de paiement : Stripe (dans la mesure nécessaire à la gestion des abonnements)
• Fournisseur de messagerie électronique et d’outils bureautiques : Google Workspace
• Collaborateurs de DATADIARY liés par des accords de confidentialité

La liste à jour des sous-traitants ultérieurs figure à l’annexe n° 1 des Conditions générales.

8.2. Destinataires habilités par la loi

Les données peuvent être communiquées aux autorités publiques lorsque la loi l’exige (par exemple administration fiscale, autorités judiciaires et policières).

8.3. Aucune vente ni transfert à des fins publicitaires

8.4. Sources de données

8.5. Accords de sous-traitance

Nous concluons avec tous les sous-traitants qui traitent des données pour notre compte des accords de sous-traitance de données personnelles conformes à l’art. 28 du RGPD.

9.1. Mesures techniques

Chiffrement :

• Transmission des données : TLS
• Stockage des données : AES-256
• Mots de passe des utilisateurs : stockés uniquement sous forme d’empreinte cryptographique, dans un service d’authentification sécurisé (nous ne conservons pas les mots de passe en clair)
• Jetons d’accès aux intégrations : stockés dans une base de données sécurisée sur l’infrastructure Google Cloud, chiffrée au repos

Contrôle d’accès :

• Authentification à deux facteurs (2FA) obligatoire pour les comptes de l’équipe DATADIARY ayant accès à l’infrastructure
• Authentification à deux facteurs (2FA) pour les utilisateurs de la Plateforme : prévue
• Blocage temporaire de la connexion après plusieurs tentatives échouées
• Principe du moindre privilège
• Journaux d’accès et audit des actions

Sécurité de l’infrastructure :

• Séparation des données de chaque Client dans des bases distinctes
• Infrastructure gérée Google Cloud
• Notifications automatiques en cas d’erreurs et d’anomalies de fonctionnement du service
• Sauvegardes automatiques quotidiennes et tests de restauration réguliers

9.2. Mesures organisationnelles

• Politique de sécurité de l’information
• Engagement des collaborateurs à respecter la politique de sécurité de l’information
• Procédures de réponse aux incidents
• Accès restreint aux données personnelles (selon le principe du « besoin d’en connaître »)
• Accords de confidentialité avec les collaborateurs

9.3. Certifications et audits

L’infrastructure repose sur Google Cloud Platform, certifiée ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II.

10.1. Droit d’accès (art. 15 du RGPD)

• Confirmation que nous traitons ou non vos données personnelles
• Copie des données personnelles traitées
• Informations sur les finalités du traitement, les catégories de données et les destinataires

Comment l’exercer : contact@dataorganizer.io

10.2. Droit de rectification (art. 16 du RGPD)

Vous pouvez demander la correction de données inexactes ou le complément de données incomplètes directement dans les paramètres de votre compte ou en écrivant à contact@dataorganizer.io.

10.3. Droit à l’effacement, « droit à l’oubli » (art. 17 du RGPD)

Vous pouvez demander l’effacement de vos données lorsque : les données ne sont plus nécessaires aux finalités du traitement, le consentement a été retiré, une opposition a été formulée ou les données font l’objet d’un traitement illicite.

10.4. Droit à la limitation du traitement (art. 18 du RGPD)

Vous pouvez demander la limitation du traitement de vos données dans certaines situations (par exemple pendant la vérification de l’exactitude des données).

10.5. Droit à la portabilité des données (art. 20 du RGPD)

Vous avez le droit de recevoir vos données dans un format structuré et couramment utilisé (CSV ou Parquet), selon les modalités définies au § 14 des Conditions générales.

10.6. Droit d’opposition (art. 21 du RGPD)

Vous pouvez vous opposer au traitement de vos données pour des raisons tenant à votre situation particulière, ou au traitement à des fins de prospection commerciale (à tout moment et sans condition).

10.7. Droit de retirer votre consentement (art. 7, par. 3 du RGPD)

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause la licéité du traitement effectué auparavant. Vous pouvez révoquer l’autorisation d’accès aux services Google dans les paramètres de votre compte DataOrganizer ou sur la page myaccount.google.com/permissions.

10.8. Droit d’introduire une réclamation (art. 77 du RGPD)

10.9. Exercice des droits

Délai de traitement : 30 jours maximum à compter de la réception de la demande (prolongation possible de 60 jours supplémentaires, avec notification). L’exercice des droits est en principe gratuit.

10.10. Données des clients finaux des boutiques

Les demandes concernant les données des clients finaux des boutiques (point 3.6) doivent être adressées au propriétaire de la boutique, en sa qualité de responsable du traitement de ces données. DATADIARY aide le responsable du traitement à y donner suite.

11.1. Qu’est-ce qu’un cookie ?

Les cookies sont de petits fichiers texte envoyés par le serveur et stockés sur l’appareil de l’utilisateur, qui permettent de reconnaître le navigateur lors des visites suivantes.

11.2. Quels cookies utilisons-nous ?

Cookies strictement nécessaires (sans consentement requis) :

• Authentification et gestion de session
• Sécurité (protection CSRF)
• Fonctionnalités de base de la Plateforme

Cookies statistiques (soumis à consentement) :

• Google Analytics (mesure du trafic, statistiques d’utilisation)
• Analyse des performances de la Plateforme

Cookies de préférences (soumis à consentement) :

• Mémorisation des paramètres de l’utilisateur
• Langue de l’interface, préférences d’affichage

Cookies marketing (soumis à consentement) :

• Suivi des conversions issues des campagnes publicitaires
• Remarketing, personnalisation des contenus marketing

11.3. Base juridique

• Cookies strictement nécessaires : art. 6, paragraphe 1, point f) du RGPD (intérêt légitime)
• Autres cookies : art. 6, paragraphe 1, point a) du RGPD (consentement de l’utilisateur)

11.4. Gestion des cookies

Lors de votre arrivée sur le site, un panneau s’affiche pour vous permettre d’accepter tous les cookies, de tous les refuser (à l’exception des cookies strictement nécessaires) ou de personnaliser les paramètres par catégorie. Vous pouvez modifier ces paramètres à tout moment en cliquant sur l’icône située en bas à gauche de la page.

11.5. Durée de conservation

• Cookies de session : jusqu’à la fermeture du navigateur
• Cookies persistants : selon leur date d’expiration (24 mois maximum)

13.1. Intégration Shopify

Données concernées : données de commandes (montant, statut, date), données produits (ID, nom, prix, variantes, catégories), données des clients finaux uniquement sous forme pseudonymisée, dans les limites décrites au point 3.6.

Autorisation : OAuth 2.0 par le propriétaire de la boutique. Suppression des données : après désinstallation de l’application ou sur demande, sous 30 jours. Conformité : Shopify API Terms of Service et GDPR Requirements.

13.2. Intégration WooCommerce

Données transactionnelles et produits ainsi que données des clients finaux sous forme pseudonymisée (point 3.6), récupérées via l’API REST de WooCommerce. Autorisation : clés API générées par le propriétaire de la boutique dans le panneau d’administration WooCommerce.

13.3. Intégration Google Ads, Google Analytics, Google Merchant Center et Google Search Console

Données des campagnes publicitaires, statistiques de trafic, données du flux produits et performances dans le moteur de recherche. Autorisation : OAuth 2.0 en lecture seule. Conformité avec les Google Ads API Terms, les Google Analytics Terms of Service et la Règles relatives aux données utilisateur des services d’API Google (y compris les exigences Limited Use). Description complète à la Section 4.

13.4. Intégration Meta Ads

Statistiques des campagnes Facebook et Instagram. Autorisation : OAuth via Facebook Business Manager. Conformité avec les Meta Platform Terms et les Business Tools Terms.

13.5. Autres intégrations

Des règles similaires s’appliquent aux intégrations avec : Magento, Shoper, IdoSell, RedCart, PrestaShop, SkyShop, marketplaces, TikTok Ads, Criteo, Tradetracker.

14.1. Droits des résidents de Californie (CCPA)

Si vous résidez en Californie, vous bénéficiez de droits supplémentaires en vertu du California Consumer Privacy Act :

• Droit d’être informé des données collectées
• Droit à la suppression des données
• Droit de s’opposer à la « vente » des données (nous ne vendons pas de données)
• Droit à la non-discrimination

Contact : contact@dataorganizer.io avec l’objet « CCPA Request »

14.2. Droits des résidents du Royaume-Uni (UK GDPR)

Nous appliquons des normes de protection des données conformes au UK GDPR. Autorité de contrôle : Information Commissioner’s Office (ICO), ico.org.uk.

16.1. Mises à jour

Nous nous réservons le droit de mettre à jour la présente Politique de confidentialité afin de refléter les évolutions de la législation, des fonctionnalités de la Plateforme ou de nos pratiques de traitement des données. Toute modification de l’utilisation des données des utilisateurs Google sera annoncée aux utilisateurs à l’avance.

16.2. Notifications

Nous vous informerons de toute modification importante par e-mail (30 jours à l’avance), par un message dans la Plateforme et par la mise à jour de la date « Dernière mise à jour » en haut du document. Les versions précédentes de la Politique sont disponibles dans nos archives, avec leurs périodes de validité.

16.3. Acceptation des modifications

La poursuite de l’utilisation de la Plateforme après l’entrée en vigueur des modifications vaut acceptation de la Politique mise à jour. En cas de modifications importantes, nous pouvons demander un nouveau consentement.

18.1. Langue

La Politique de confidentialité est disponible en polonais et en anglais. En cas de divergence, la version polonaise fait foi.

18.2. Droit applicable

La présente Politique et toutes les questions qui s’y rapportent sont régies par le droit polonais.

18.3. Divisibilité des dispositions

Si l’une des dispositions de la Politique est jugée nulle ou inapplicable, les autres dispositions restent pleinement en vigueur.

18.4. Documents associés

La présente Politique de confidentialité doit être lue conjointement avec :

• les Conditions générales de la Plateforme DataOrganizer, en particulier le § 9 (sous-traitance du traitement des données), le § 13 (sécurité) et le § 14 (export et suppression des données)
• les Conditions de prestation des services (Terms of Service)