Politique de confidentialité

Le responsable du traitement sur ce site est l'éditeur indiqué dans les mentions légales. Pour les données que le produit collecte sur les visiteurs de nos clients, c'est le client concerné qui est responsable ; nous y agissons en qualité de sous-traitant.

Responsable du traitement

Kokolorum GmbH
Industriering Ost 66
47906 Kempen

Délégué à la protection des données

heyData GmbH
Schützenstraße 5
10117 Berlin
www.heydata.eu
datenschutz@heydata.eu

Point de contact pour la protection des données

privacy@metrunio.com

Autorité de contrôle compétente

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Metrunio traite des données dans deux rôles distincts. Comme responsable, pour ce site et pour les comptes de nos clients. Comme sous-traitant, pour les données de mesure collectées pour le compte de nos clients sur leurs sites — là, c'est le client qui détermine les finalités et les moyens, pas nous. Les deux rôles ont des bases juridiques, des destinataires et des délais différents ; ils sont donc exposés séparément.

L’art. 6.1.b RGPD ne s’applique que si vous êtes vous-même, en tant que personne physique, notre cocontractant et que le traitement est nécessaire au contrat. Si vous agissez pour le compte d’une entreprise, par exemple en tant que dirigeant, salarié ou agence mandatée, le traitement repose sur l’art. 6.1.f RGPD. Notre intérêt légitime réside dans la création et la gestion du compte client professionnel, la connexion et la sécurité de votre accès, la facturation et la communication nécessaire à l’exécution du contrat. Vous pouvez vous opposer au traitement fondé sur le point f pour des raisons tenant à votre situation particulière au titre de l’art. 21 RGPD.

Création via l’app Shopify

Lors de la création via notre app Shopify, Shopify nous transmet les données de la boutique nécessaires au rattachement (identifiant, nom, langue, devise, fuseau horaire et domaines de la boutique), le nom du titulaire de la boutique et l’adresse e-mail enregistrés dans les données de base de la boutique — cette adresse devient l’adresse de contact du compte — ainsi que l’adresse de facturation de la boutique. Nous ne proposons l’adresse de facturation que comme raison sociale et adresse pour le contrat de sous-traitance ; est enregistré ce que la personne agissante confirme. De la personne qui utilise l’app et crée le compte, nous recevons son identifiant utilisateur Shopify, son nom, son adresse e-mail et l’indication de si Shopify la désigne comme titulaire de la boutique. Cette personne devient titulaire du compte Metrunio, et ses données attestent qui a accepté les conditions générales et le contrat de sous-traitance. Nous utilisons ces informations pour créer et gérer le compte Metrunio et pour le relier à la boutique.

Dans la mesure où la personne concernée est elle-même partie au contrat et où le traitement est nécessaire, celui-ci repose sur l’art. 6.1.b RGPD. Pour les interlocuteurs d’une entreprise, il repose sur l’art. 6.1.f RGPD ; notre intérêt légitime réside dans la gestion du compte client professionnel et dans la communication liée à l’exécution du contrat. Vous pouvez vous opposer à un traitement fondé sur le point f pour des raisons tenant à votre situation particulière (art. 21 RGPD) ; vos autres droits figurent sous « Ce que vous pouvez exiger ». Nous conservons ces informations comme les données du compte de la première ligne du tableau ci-dessus : pendant la durée du contrat, ensuite selon les délais du droit commercial. La preuve de l’acceptation et de la conclusion du contrat est conservée sous forme minimisée après la fin du contrat pendant la durée indiquée à la dernière ligne du tableau – en règle générale six ans à compter de l’année de conclusion du contrat (§ 257 du code de commerce allemand, HGB). Si l’adresse du titulaire enregistrée dans la boutique diffère de celle de la personne agissante — par exemple parce qu’une employée ou une agence a installé l’app —, le titulaire de la boutique reçoit ces informations par e-mail conformément à l’art. 14 RGPD.

Connexion avec Google Ads et Meta

Lorsqu'un client connecte son compte publicitaire en se connectant avec Google ou Meta, la plateforme nous remet un identifiant d'accès : un jeton d'actualisation chez Google, un jeton d'accès de longue durée chez Meta. Nous le conservons chiffré (AES-256-GCM) et rattaché à l'espace du client. Il n'est jamais affiché ni journalisé.

Grâce à cet accès, nous lisons dans le compte publicitaire choisi :

• la liste des comptes accessibles avec nom, identifiant et devise, afin de choisir le bon ;
• les coûts, impressions et clics par campagne et par jour.

Si le client active le renvoi des conversions, nous transmettons en outre des conversions à son compte : l'identifiant de clic de la plateforme, le type, la date, la valeur et la devise de la conversion, selon la plateforme un identifiant d'événement permettant à la plateforme de reconnaître les doublons (Meta, TikTok, LinkedIn), le numéro de commande (Google, Meta, TikTok) et l'adresse de la page sur laquelle le clic est arrivé (Meta, TikTok). Comme valeur, nous transmettons le chiffre d'affaires de la conversion ou, si le client le paramètre ainsi pour une destination, pour les commandes la marge sur coûts variables (valeur nette moins coût des marchandises). Si le client limite une destination aux premières commandes, elle ne transmet que celles-ci ; la plateforme apprend ainsi indirectement qu'une commande était une première commande. Nous ne transmettons ni adresses e-mail, ni numéros de téléphone, ni adresses IP, ni caractéristiques du navigateur, ni nos propres identifiants de personne ou de terminal. La transmission n'a lieu qu'avec un consentement marketing et, chez Google, en outre uniquement avec le consentement `ad_user_data` ou la catégorie de consentement que le client lui a attribuée. Nous ne modifions ni campagnes, ni annonces, ni enchères, ni budgets.

Ces données servent uniquement à présenter au client ses propres coûts à côté de ses propres conversions et à renvoyer ses conversions vers son propre compte. À la demande du client, l'assistant de données du portail peut lire ces mêmes chiffres de coûts. Il fonctionne sur Vertex AI dans la région europe-west3, et ses entrées ne servent pas à entraîner des modèles. Nous ne vendons pas ces données, ne les utilisons pas à des fins publicitaires et ne les croisons pas entre clients. Nous ne les communiquons à des tiers que si le client connecte lui-même un outil d’IA ou un programme à son compte et nous donne ainsi l’instruction d’y transmettre ses données (voir « Connexion d’outils d’IA d’autres fournisseurs »).

L'utilisation et le transfert des informations reçues via les API Google respectent la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (« Limited Use »).

Si la connexion est supprimée dans Metrunio, nous effaçons immédiatement l'identifiant. L'accès peut aussi être révoqué à tout moment auprès de la plateforme, sur myaccount.google.com/permissions ou dans les paramètres de Meta, rubrique « Intégrations professionnelles ». Les coûts importés sont conservés tant que le compte Metrunio existe et sont supprimés avec lui. La suppression de données particulières peut être demandée à tout moment à privacy@metrunio.com.

Connexion d’outils d’IA d’autres fournisseurs

Si vous connectez à votre compte, via la page d’autorisation du portail, un outil d’IA d’un autre fournisseur, par exemple Claude d’Anthropic ou ChatGPT d’OpenAI, ou si vous créez une clé de lecture, cet outil ou programme reçoit une autorisation de lecture permanente sur les données de mesure du compte. Dans les limites de l’autorisation accordée, l’outil connecté peut demander des données pour vos analyses ; il décide des requêtes qu’il effectue dans le cadre de ses propres processus. Seule l’administration du compte peut accorder l’autorisation ou créer des clés, et seulement après une notice expliquant ce que signifie l’autorisation.

Sont accessibles les indicateurs et ventilations, y compris les coûts publicitaires importés de Google Ads, de Meta et d’autres comptes publicitaires connectés, les conversions individuelles avec date, valeur et numéro de commande en clair, ainsi que les parcours clients pseudonymes avec identifiant, dates et canaux. Les indicateurs sont agrégés ; des déductions sur des opérations individuelles peuvent néanmoins être possibles. La connexion ne fournit ni noms, ni adresses e-mail, ni adresses IP, ni identifiants de navigateur, ni identifiants de clic des plateformes publicitaires, ni les pages visitées. Les commandes sans consentement au suivi n’apparaissent que sous forme de nombre.

Nous communiquons les données de mesure des visiteurs et acheteurs de nos clients en tant que sous-traitant, sur instruction de notre client ; la base juridique de cette communication est déterminée par notre client en tant que responsable du traitement. Le fournisseur de l’outil n’est pas notre sous-traitant ultérieur. Il traite les données qu’il obtient selon les conditions du compte que notre client détient chez lui, le cas échéant aussi hors de l’Union européenne. Notre client s’assure du contrat avec le fournisseur, d’un contrat de sous-traitance si nécessaire et des conditions d’un transfert vers des pays tiers ; nos propres obligations de sous-traitant demeurent. Nous sommes responsables des données relatives à l’autorisation elle-même ; elles figurent dans le tableau ci-dessus.

Les mesures de protection propres à notre assistant de données dans le portail ne s’appliquent pas à cette connexion : les numéros de commande et identifiants de parcours ne sont pas remplacés par des codes courts, la limite de lignes individuelles par question ne s’applique pas, et la conservation, l’entraînement et la suppression chez le fournisseur relèvent de ses conditions, et non de celles de Google Cloud pour Vertex AI.

Vous pouvez déconnecter une autorisation à tout moment dans le portail, sous « Exports et connexions IA » ; vous y révoquez aussi une clé de lecture. À partir de sa requête suivante, l’outil ne reçoit plus de données. La déconnexion ne supprime pas chez le fournisseur les données que l’outil a déjà obtenues ; cela dépend de votre contrat avec lui.

Les partenaires recommandent Metrunio et perçoivent une commission en contrepartie. Pour les partenaires personnes physiques et les personnes de contact d'une entreprise partenaire, nous traitons le nom, l'adresse, l'adresse e-mail de facturation, le numéro fiscal ou le numéro de TVA, le statut fiscal et la date de l'accord de partenariat, ainsi que, pour chaque client apporté, le montant net payé et le mois du paiement. La finalité est l'attribution des clients apportés au partenaire, le calcul de la commission, l'autofacturation (§ 14, al. 2, phrase 2 UStG) et la comptabilité.

La base juridique est l'art. 6.1.b RGPD (accord de partenariat) ; pour les personnes de contact d'une entreprise partenaire, l'art. 6.1.f RGPD (exécution de l'accord de partenariat avec l'entreprise ; vous pouvez vous y opposer au titre de l'art. 21 RGPD) ; pour la conservation, l'art. 6.1.c RGPD en lien avec le § 147 AO et le § 257 HGB. Nous conservons les autofactures comme pièces comptables pendant huit ans à compter de la fin de l'année civile ; les données de base jusqu'à la fin du partenariat et au-delà, tant qu'une autofacture qui les mentionne doit être conservée. Les destinataires sont notre conseiller fiscal et, pour l'exploitation, les sous-traitants mentionnés sous « Destinataires ».

Si un client s'inscrit avec le code de recommandation d'un partenaire, nous enregistrons sur le compte à quel partenaire il est rattaché et, pour la commission, les montants payés par mois. Le partenaire ne reçoit aucune ventilation par client : son autofacture n'indique, pour chaque taux de commission, que le total et le nombre de clients. Pour de petits groupes, par exemple lorsqu'un seul client relève d'un taux de commission, des déductions sur le montant de clients individuels peuvent être possibles. La base juridique est l'art. 6.1.f RGPD (décompte du programme partenaires) ; les montants par client sont conservés comme base de l'autofacture aussi longtemps que celle-ci.

• Identifiants pseudonymes de session et de terminal, sous réserve d'un consentement. Avant la décision dans la bannière de consentement, le script ne conserve les événements que dans la mémoire de la page ; après un consentement, il les envoie avec ce consentement, après un refus ou à la sortie de la page, il les écarte.
• Données de campagne issues des créations. Les identifiants individuels de clic et d'impression, les nôtres comme ceux des plateformes publicitaires (par exemple gclid ou fbclid), uniquement avec un consentement marketing ; avec un consentement limité aux statistiques, seule subsiste l'indication de la plateforme d'où provient un clic.
• Données d'événements telles que pages vues, interactions et conversions avec valeur et devise.
• Caractéristiques techniques tronquées ou hachées ; aucune conservation d'adresses IP brutes.
• Aucune adresse e-mail ni numéro de téléphone en clair dans les événements analytiques. Les événements rejetés à la réception (format invalide, horodatage hors de la plage autorisée ou adresse e-mail/numéro de téléphone en clair) ne sont pas enregistrés. Pour le diagnostic, seuls sont consignés le motif du rejet, la date, la source, le site, le type d’événement et les noms des champs concernés avec le type et la longueur de la valeur, sans contenu des champs ni identifiants. Ces informations sont supprimées selon la durée de conservation des données brutes de notre cliente (180 jours par défaut).
• L'état du consentement est enregistré et évalué pour chaque événement. Sans le consentement adéquat, aucun événement publicitaire n'est enregistré, pas même brut ; seul est consigné, sans aucun identifiant, le fait qu'un événement n'a pas été enregistré pour cette raison.
• Un identifiant de vue pour le post-view : un cookie sur l'adresse de mesure de notre cliente (`metrunio_view`, 30 jours, pour cette adresse uniquement). Il n'est déposé qu'avec un consentement marketing, par le pixel d'impression et le tag de visibilité sur le site publicitaire ou par le script de mesure dans la boutique ; le navigateur le renvoie lors de la visite de la boutique. Si le navigateur le rejette, rien ne le remplace : ni empreinte numérique, ni calcul probabiliste. Si la personne retire son consentement marketing, l'adresse de mesure supprime le cookie lors de la transmission du retrait ; si elle retire entièrement son consentement, le script efface en outre l'identifiant pseudonyme et la session dans le navigateur. Les contacts publicitaires déjà enregistrés qui sont liés à ce navigateur sont supprimés ; un consentement ultérieur repart sans eux.
• Pour les commandes qu'une boutique transmet avec consentement, un identifiant client pseudonyme : le numéro client de la boutique ou une somme de contrôle (SHA-256) de l'adresse e-mail, telle que la transmettent notre app Shopify et notre plugin Shopware. À la réception, nous combinons chacune de ces valeurs avec une clé différente pour chaque cliente et n'enregistrons que le résultat ; une même personne donne deux valeurs différentes chez deux clientes. L'identifiant relie les achats d'une même personne entre plusieurs appareils et n'est transmis à aucune plateforme publicitaire.
• Une redirection pour les clics sur les créations : notre adresse de mesure redirige vers le site de notre cliente. En l'absence de signal de consentement du site publicitaire, elle n'ajoute à l'adresse de destination que l'identifiant de la campagne (`metrunio_camp`, identique pour tous les clics d'une même campagne) et n'enregistre aucun clic ; seul est consigné, sans aucun identifiant, le fait qu'un clic n'a pas été enregistré pour cette raison.

La base juridique des identifiants et des événements issus du navigateur est le consentement de la personne concernée au sens de l'art. 6.1.a RGPD et du § 25.1 TDDDG. Sur le site de notre cliente, sa plateforme de gestion du consentement le recueille. Pour les contacts publicitaires sur des sites tiers, le serveur publicitaire qui diffuse l'annonce transmet le signal de consentement ; nous ne recevons pas de preuve propre de celui-ci. Si notre cliente importe des conversions depuis un fichier, elle indique pour chaque ligne l'origine, la date et une référence à la preuve du consentement ; nous vérifions que ces indications sont complètes et non contradictoires, et non le consentement lui-même. Sans consentement, seul a lieu ce que décrivent les paragraphes suivants ; la base juridique en est déterminée par notre cliente en tant que responsable. La durée de conservation est fixée par le client dans le cadre de sa formule ; la valeur par défaut est de 180 jours pour les données brutes.

Un retrait dans la bannière de consentement vaut pour le navigateur dans lequel il est déclaré. Si la personne retire uniquement son consentement marketing, nous supprimons les événements publicitaires de ce navigateur et les contacts publicitaires qui lui sont liés, et retirons les identifiants de clic et d’impression de ses autres événements ; ce qui repose sur son consentement aux statistiques est conservé. Si elle retire entièrement son consentement, nous supprimons tous les événements de ce navigateur, y compris les commandes que la boutique a transmises avec son identifiant. Les transmissions aux plateformes publicitaires non encore envoyées sont arrêtées. Celles déjà envoyées se trouvent chez la plateforme et nous ne pouvons pas les récupérer ; nous indiquons les destinataires à notre cliente afin qu’elle puisse remplir son obligation de les informer au titre de l’art. 19 RGPD. Nous enregistrons l’état du consentement avec la date du retrait, rattaché à l’identifiant pseudonyme du navigateur, pour prouver que le retrait a été exécuté et pour rejeter les événements ultérieurs de ce navigateur ; il est conservé jusqu’à la suppression du site ou du compte de notre cliente. Un retrait dans la bannière n’est pas une demande au titre des art. 15 à 21 RGPD : toute personne souhaitant un accès, l’effacement de toutes les données la concernant sur tous ses appareils ou formuler une opposition doit s’adresser à notre cliente, qui la met en œuvre dans l’espace confidentialité du produit.

Depuis le 29 septembre 2026, la mesure de portée pour les visites sans consentement ne peut plus être activée. Pour les sites sur lesquels notre cliente l’avait activée auparavant : aucun identifiant de personne ou de terminal n’est enregistré en l’absence de consentement. Chaque vue génère un événement comportant la date, la page sans paramètres de requête, le titre de la page, l’origine du lien et les données de campagne, qui est agrégé en un comptage par jour, site, canal et source. Ni l’événement ni le comptage ne contiennent d’identifiant par lequel une demande d’accès ou d’effacement pourrait retrouver une personne. La base légale est déterminée par notre cliente en tant que responsable ; nous traitons sur ses instructions. Les sources totalisant moins de cinq vues apparaissent regroupées plutôt qu’individuellement, et les événements comme le comptage expirent selon le même délai que les autres données brutes.

Si la boutique de notre cliente transmet des commandes et des remboursements côté serveur sans consentement au suivi, nous les traitons pour son compte uniquement à des fins de rapprochement du chiffre d’affaires : rapprocher ses recettes, détecter les opérations en double et rattacher les remboursements. Cette finalité est distincte du suivi. Nous enregistrons à cet effet le numéro de commande comme clé de commande nécessaire, le type d’opération, le montant, la devise et le jour de la commande sans l’heure, mais aucun identifiant de navigateur, de client ni publicitaire : l’identifiant anonyme, la session, l’identifiant client pseudonyme, l’identifiant de clic, la caractéristique IP, la page consultée, les données de campagne et les articles sont supprimés avant l’enregistrement. Les données restent en principe des données personnelles, car notre cliente peut rattacher le numéro de commande à une personne. La commande n’est reliée à aucune visite ni à aucun contact publicitaire et n’est transmise à aucune plateforme publicitaire. Seule exception, lorsque notre cliente l’a activée séparément : si vous avez consenti, lors du même passage en caisse, à la mesure de suivi dont la portée inclut le rattachement des commandes aux visites et aux contacts publicitaires, et que ce consentement existait déjà au moment de l’achat, nous rattachons la commande à votre visite sur cette base. À cette fin, nous traitons en outre une somme de contrôle de l’identifiant du passage en caisse et l’heure exacte de la commande, pendant 24 heures au plus. Si vous retirez votre consentement, nous supprimons le rattachement et la commande. Cela vaut lorsqu’aucune décision sur le consentement n’a été prise et que la boutique n’en transmet donc aucune. Si la boutique transmet un refus, cela ne vaut que si notre cliente nous a donné une instruction distincte à cet effet ; sans cette instruction, nous n’enregistrons pas une telle commande. La base légale est déterminée par notre cliente en tant que responsable ; son intérêt légitime à disposer de chiffres d’affaires complets peut s’appliquer (art. 6.1.f RGPD). Il appartient à notre cliente d’informer de ce traitement, de sa base légale et de la manière de s’y opposer dans sa propre politique de confidentialité. Le refus du suivi ne constitue pas en soi une opposition au rapprochement du chiffre d’affaires. Veuillez adresser une opposition au sens de l’art. 21 RGPD à notre cliente ; si elle la met en œuvre dans l’espace confidentialité du produit, nous supprimons les données relatives à votre commande et bloquons le numéro de commande pour les transmissions ultérieures. Le retrait de votre consentement au suivi entraîne la suppression des commandes transmises avec ce consentement ; elles ne sont pas transférées dans le rapprochement du chiffre d’affaires.

L’application, la base de données, le miroir d’analyse et le modèle de langue de la fonction de questions du portail fonctionnent dans l’Union européenne, en région europe-west3 (Francfort). La partie contractante est dans chaque cas une société établie dans l’UE.

Cela seul ne serait pas une réponse complète. Pour l’administration et l’assistance, une société du groupe de notre fournisseur peut accéder aux systèmes depuis l’extérieur de l’UE ; la base est constituée des clauses contractuelles types de l’UE et de la décision d’adéquation. Quel destinataire traite où, avec qui le contrat est conclu et quels accès sont possibles figure pour chaque entrée dans la liste des sous-traitants ultérieurs.

Nous faisons appel à des prestataires qui exploitent des serveurs, acheminent des e-mails et traitent les paiements pour nous. Le rôle dans lequel ils traitent les données n’est pas le même partout, et il détermine quel contrat s’applique et à quelles instructions ils sont tenus.

• Sous-traitants au sens de l’art. 28 RGPD : exploitation de l’application, boîte aux lettres et envoi d’e-mails. Ils traitent uniquement sur instruction.
• Le prestataire de paiement, dans un double rôle : pour les données contractuelles que nous lui transmettons, il est sous-traitant. Pour le paiement lui-même, il est responsable de traitement, car le droit des services de paiement et la lutte contre le blanchiment lui imposent des obligations propres — et qui a ses propres obligations ne suit pas d’instructions à cet égard.
• Les plateformes publicitaires ne sont pas des sous-traitants. Elles ne reçoivent quelque chose que si notre cliente active le renvoi des conversions, et traitent alors les données en tant que responsables propres ou conjoints, à leurs propres fins.

Nous ne transmettons rien aux plateformes publicitaires, sauf si notre client active expressément le renvoi des conversions. Même alors, seuls les identifiants de clic de la plateforme concernée sont envoyés comme identifiants, et non nos propres identifiants de personne ou de terminal. Ce qui est transmis en outre est décrit plus haut, sous « Connexion avec Google Ads et Meta ».

Documents pour l'examen

• Accès aux données traitées vous concernant (art. 15 RGPD).
• Rectification des données inexactes (art. 16 RGPD).
• Effacement (art. 17 RGPD).
• Limitation du traitement (art. 18 RGPD).
• Portabilité des données (art. 20 RGPD).
• Opposition à un traitement fondé sur des intérêts légitimes (art. 21 RGPD).
• Retrait d'un consentement donné, avec effet pour l'avenir (art. 7.3 RGPD).
• Réclamation auprès d'une autorité de contrôle (art. 77 RGPD).

Si votre demande porte sur des données de mesure issues du site de l'un de nos clients, adressez-vous à ce client : c'est lui le responsable. Nous l'y aidons : le produit dispose d'un espace dédié à l'accès, à l'effacement et à l'opposition, et un effacement continue de produire effet via une liste de blocage, afin que le même identifiant ne soit pas de nouveau collecté la minute suivante.

• Pas de fingerprinting à partir des caractéristiques du terminal.
• Pas d’attribution probabiliste fondée sur des probabilités.
• Aucune liaison au-delà des frontières entre clients.
• Aucune vente ni transmission à nos propres fins publicitaires.
• Aucune conservation d'adresses IP brutes.

Les modifications de cette déclaration figurent dans le journal des changements, sous Statut.

Chaque version reste consultable sous sa date, de façon permanente et sans modification ; l’e-mail de confirmation envoyé lors de la conclusion du contrat dans le portail ou via l’app Shopify renvoie à ces adresses, et le portail conserve le texte convenu lui-même.

• Version du 17 octobre 2026 · en vigueur
• Version du 16 octobre 2026
• Version du 15 octobre 2026
• Version du 14 octobre 2026
• Version du 13 octobre 2026
• Version du 12 octobre 2026
• Version du 11 octobre 2026
• Version du 10 octobre 2026
• Version du 7 octobre 2026
• Version du 4 octobre 2026
• Version du 3 octobre 2026
• Version du 2 octobre 2026
• Version du 1 octobre 2026
• Version du 30 septembre 2026
• Version du 26 septembre 2026
• Version du 25 septembre 2026
• Version du 24 septembre 2026