Politique de confidentialité

Le responsable du traitement sur ce site est l'éditeur indiqué dans les mentions légales. Pour les données que le produit collecte sur les visiteurs de nos clients, c'est le client concerné qui est responsable ; nous y agissons en qualité de sous-traitant.

Responsable du traitement

Kokolorum GmbH
Industriering Ost 66
47906 Kempen

Délégué à la protection des données

heyData GmbH
Schützenstraße 5
10117 Berlin
www.heydata.eu
datenschutz@heydata.eu

Point de contact pour la protection des données

privacy@metrunio.com

Autorité de contrôle compétente

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf

Metrunio traite des données dans deux rôles distincts. Comme responsable, pour ce site et pour les comptes de nos clients. Comme sous-traitant, pour les données de mesure collectées pour le compte de nos clients sur leurs sites — là, c'est le client qui détermine les finalités et les moyens, pas nous. Les deux rôles ont des bases juridiques, des destinataires et des délais différents ; ils sont donc exposés séparément.

L’art. 6.1.b RGPD ne s’applique que si vous êtes vous-même, en tant que personne physique, notre cocontractant et que le traitement est nécessaire au contrat. Si vous agissez pour le compte d’une entreprise, par exemple en tant que dirigeant, salarié ou agence mandatée, le traitement repose sur l’art. 6.1.f RGPD. Notre intérêt légitime réside dans la création et la gestion du compte client professionnel, la connexion et la sécurité de votre accès, la facturation et la communication nécessaire à l’exécution du contrat. Vous pouvez vous opposer au traitement fondé sur le point f pour des raisons tenant à votre situation particulière au titre de l’art. 21 RGPD.

Création via l’app Shopify

Lors de la création via notre app Shopify, Shopify nous transmet les données de la boutique nécessaires au rattachement (identifiant, nom, langue, devise, fuseau horaire et domaines de la boutique), le nom du titulaire de la boutique et l’adresse e-mail enregistrés dans les données de base de la boutique — cette adresse devient l’adresse de contact du compte — ainsi que l’adresse de facturation de la boutique. Nous ne proposons l’adresse de facturation que comme raison sociale et adresse pour le contrat de sous-traitance ; est enregistré ce que la personne agissante confirme. De la personne qui utilise l’app et crée le compte, nous recevons son identifiant utilisateur Shopify, son nom, son adresse e-mail et l’indication de si Shopify la désigne comme titulaire de la boutique. Cette personne devient titulaire du compte Metrunio, et ses données attestent qui a accepté les conditions générales et le contrat de sous-traitance. Nous utilisons ces informations pour créer et gérer le compte Metrunio et pour le relier à la boutique.

Dans la mesure où la personne concernée est elle-même partie au contrat et où le traitement est nécessaire, celui-ci repose sur l’art. 6.1.b RGPD. Pour les interlocuteurs d’une entreprise, il repose sur l’art. 6.1.f RGPD ; notre intérêt légitime réside dans la gestion du compte client professionnel et dans la communication liée à l’exécution du contrat. Vous pouvez vous opposer à un traitement fondé sur le point f pour des raisons tenant à votre situation particulière (art. 21 RGPD) ; vos autres droits figurent sous « Ce que vous pouvez exiger ». Nous conservons ces informations comme les données du compte de la première ligne du tableau ci-dessus : pendant la durée du contrat, puis jusqu’à la suppression du compte 30 jours après la fin du contrat. La preuve de l’acceptation et de la conclusion du contrat est conservée sous forme minimisée après la fin du contrat pendant la durée indiquée à la ligne « Preuve de la conclusion du contrat » du tableau, en règle générale six ans à compter de l’année de conclusion du contrat (§ 257 du code de commerce allemand, HGB). Si l’adresse du titulaire enregistrée dans la boutique diffère de celle de la personne agissante — par exemple parce qu’une employée ou une agence a installé l’app —, le titulaire de la boutique reçoit ces informations par e-mail conformément à l’art. 14 RGPD.

Connexion avec Google Ads et Meta

Lorsqu'un client connecte son compte publicitaire en se connectant avec Google ou Meta, la plateforme nous remet un identifiant d'accès : un jeton d'actualisation chez Google, un jeton d'accès de longue durée chez Meta. Nous le conservons chiffré (AES-256-GCM) et rattaché à l'espace du client. Il n'est jamais affiché ni journalisé.

Grâce à cet accès, nous lisons dans le compte publicitaire choisi :

• la liste des comptes accessibles avec nom, identifiant et devise, afin de choisir le bon ;
• les coûts, impressions et clics par campagne et par jour.

Si le client active le renvoi des conversions, nous transmettons en outre des conversions à son compte : l'identifiant de clic de la plateforme, le type, la date, la valeur et la devise de la conversion, selon la plateforme un identifiant d'événement permettant à la plateforme de reconnaître les doublons (Meta, TikTok, LinkedIn), le numéro de commande (Google, Meta, TikTok) et l'adresse de la page sur laquelle le clic est arrivé (Meta, TikTok). Comme valeur, nous transmettons le chiffre d'affaires de la conversion ou, si le client le paramètre ainsi pour une destination, pour les commandes la marge sur coûts variables (valeur nette moins coût des marchandises). Si le client limite une destination aux premières commandes, elle ne transmet que celles-ci ; la plateforme apprend ainsi indirectement qu'une commande était une première commande. Nous ne transmettons ni adresses e-mail, ni numéros de téléphone, ni adresses IP, ni caractéristiques du navigateur, ni nos propres identifiants de personne ou de terminal. La transmission n'a lieu qu'avec un consentement marketing et, chez Google, en outre uniquement avec le consentement `ad_user_data` ou la catégorie de consentement que le client lui a attribuée. Nous ne modifions ni campagnes, ni annonces, ni enchères, ni budgets.

Ces données servent uniquement à présenter au client ses propres coûts à côté de ses propres conversions et à renvoyer ses conversions vers son propre compte. À la demande du client, l'assistant de données du portail peut lire ces mêmes chiffres de coûts. Il fonctionne sur Vertex AI dans la région europe-west3, et ses entrées ne servent pas à entraîner des modèles. Nous ne vendons pas ces données, ne les utilisons pas à des fins publicitaires et ne les croisons pas entre clients. Nous ne les communiquons à des tiers que si le client connecte lui-même un outil d’IA ou un programme à son compte et nous donne ainsi l’instruction d’y transmettre ses données (voir « Connexion d’outils d’IA d’autres fournisseurs »).

L'utilisation et le transfert des informations reçues via les API Google respectent la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (« Limited Use »).

Si la connexion est supprimée dans Metrunio, nous effaçons immédiatement l'identifiant. L'accès peut aussi être révoqué à tout moment auprès de la plateforme, sur myaccount.google.com/permissions ou dans les paramètres de Meta, rubrique « Intégrations professionnelles ». Les coûts importés sont conservés tant que le compte Metrunio existe et sont supprimés avec lui. La suppression de données particulières peut être demandée à tout moment à privacy@metrunio.com.

Connexion d’outils d’IA d’autres fournisseurs

Si vous connectez à votre compte, via la page d’autorisation du portail, un outil d’IA d’un autre fournisseur, par exemple Claude d’Anthropic ou ChatGPT d’OpenAI, ou si vous créez une clé de lecture, cet outil ou programme reçoit une autorisation de lecture permanente sur les données de mesure du compte. Dans les limites de l’autorisation accordée, l’outil connecté peut demander des données pour vos analyses ; il décide des requêtes qu’il effectue dans le cadre de ses propres processus. Seule l’administration du compte peut accorder l’autorisation ou créer des clés, et seulement après une notice expliquant ce que signifie l’autorisation.

Sont accessibles les indicateurs et ventilations, y compris les coûts publicitaires importés de Google Ads, de Meta et d’autres comptes publicitaires connectés, les conversions individuelles avec date, valeur et numéro de commande en clair, ainsi que les parcours clients pseudonymes avec identifiant, dates et canaux. Les indicateurs sont agrégés ; des déductions sur des opérations individuelles peuvent néanmoins être possibles. La connexion ne fournit ni noms, ni adresses e-mail, ni adresses IP, ni identifiants de navigateur, ni identifiants de clic des plateformes publicitaires, ni les pages visitées. Les commandes que la boutique a transmises sans consentement au suivi ne sont pas fournies sous forme d’enregistrements individuels ; elles sont incluses dans les indicateurs autorisés, comme les nombres et les totaux de chiffre d’affaires, et avec de petits nombres, des déductions sur des commandes individuelles peuvent en être possibles.

Nous communiquons les données de mesure des visiteurs et acheteurs de nos clients en tant que sous-traitant, sur instruction de notre client ; la base juridique de cette communication est déterminée par notre client en tant que responsable du traitement. Le fournisseur de l’outil n’est pas notre sous-traitant ultérieur. Il traite les données qu’il obtient selon les conditions du compte que notre client détient chez lui, le cas échéant aussi hors de l’Union européenne. Notre client s’assure du contrat avec le fournisseur, d’un contrat de sous-traitance si nécessaire et des conditions d’un transfert vers des pays tiers ; nos propres obligations de sous-traitant demeurent. Nous sommes responsables des données relatives à l’autorisation elle-même ; elles figurent dans le tableau ci-dessus.

Les mesures de protection propres à notre assistant de données dans le portail ne s’appliquent pas à cette connexion : les numéros de commande et identifiants de parcours ne sont pas remplacés par des codes courts, la limite de lignes individuelles par question ne s’applique pas, et la conservation, l’entraînement et la suppression chez le fournisseur relèvent de ses conditions, et non de celles de Google Cloud pour Vertex AI.

Vous pouvez déconnecter une autorisation à tout moment dans le portail, sous « Exports et connexions IA » ; vous y révoquez aussi une clé de lecture. À partir de sa requête suivante, l’outil ne reçoit plus de données. La déconnexion ne supprime pas chez le fournisseur les données que l’outil a déjà obtenues ; cela dépend de votre contrat avec lui.

Les partenaires recommandent Metrunio et perçoivent une commission en contrepartie. Pour les partenaires personnes physiques et les personnes de contact d'une entreprise partenaire, nous traitons le nom, l'adresse, l'adresse e-mail de facturation, le numéro fiscal ou le numéro de TVA, le statut fiscal et la date de l'accord de partenariat, ainsi que, pour chaque client apporté, le montant net payé et le mois du paiement. La finalité est l'attribution des clients apportés au partenaire, le calcul de la commission, l'autofacturation (§ 14, al. 2, phrase 2 UStG) et la comptabilité.

La base juridique est l'art. 6.1.b RGPD (accord de partenariat) ; pour les personnes de contact d'une entreprise partenaire, l'art. 6.1.f RGPD (exécution de l'accord de partenariat avec l'entreprise ; vous pouvez vous y opposer au titre de l'art. 21 RGPD) ; pour la conservation, l'art. 6.1.c RGPD en lien avec le § 147 AO et le § 257 HGB. Nous conservons les autofactures comme pièces comptables pendant huit ans à compter de la fin de l'année civile ; les données de base jusqu'à la fin du partenariat et au-delà, tant qu'une autofacture qui les mentionne doit être conservée. Les destinataires sont notre conseiller fiscal et, pour l'exploitation, les sous-traitants mentionnés sous « Destinataires ».

Si un client s'inscrit avec le code de recommandation d'un partenaire, nous enregistrons sur le compte à quel partenaire il est rattaché et, pour la commission, les montants payés par mois. Le partenaire ne reçoit aucune ventilation par client : son autofacture n'indique, pour chaque taux de commission, que le total et le nombre de clients. Pour de petits groupes, par exemple lorsqu'un seul client relève d'un taux de commission, des déductions sur le montant de clients individuels peuvent être possibles. La base juridique est l'art. 6.1.f RGPD (décompte du programme partenaires) ; les montants par client sont conservés comme base de l'autofacture aussi longtemps que celle-ci.

• Identifiants pseudonymes de session et de terminal, sous réserve d'un consentement. Avant la décision dans la bannière de consentement, le script ne conserve les événements que dans la mémoire de la page ; après un consentement, il les envoie avec ce consentement, après un refus ou à la sortie de la page, il les écarte.
• Données de campagne issues des créations. Les identifiants individuels de clic et d'impression, les nôtres comme ceux des plateformes publicitaires (par exemple gclid ou fbclid), uniquement avec un consentement marketing ; avec un consentement limité aux statistiques, seule subsiste l'indication de la plateforme d'où provient un clic.
• Données d'événements telles que pages vues, interactions et conversions avec valeur et devise.
• Nous traitons les adresses IP lors de la transmission et pour limiter les requêtes, mais ne les conservons pas brutes. Les données d’événements contiennent, uniquement avec consentement, un hachage tronqué (HMAC) formé avec une clé secrète et l’identifiant de notre cliente ; la même adresse donne deux valeurs différentes chez deux clientes. L’adresse est protégée par la clé secrète et cette séparation, non par la troncature. La valeur est un pseudonyme, pas une anonymisation. Les autres caractéristiques techniques sont conservées tronquées ou hachées.
• Aucune adresse e-mail ni numéro de téléphone en clair dans les événements analytiques. Les événements rejetés à la réception (format invalide, horodatage hors de la plage autorisée ou adresse e-mail/numéro de téléphone en clair) ne sont pas enregistrés. Pour le diagnostic, seuls sont consignés le motif du rejet, la date, la source, le site, le type d’événement et les noms des champs concernés avec le type et la longueur de la valeur, sans contenu des champs ni identifiants. Ces informations sont supprimées selon la durée de conservation des données brutes de notre cliente (180 jours par défaut).
• L'état du consentement est enregistré et évalué pour chaque événement. Sans le consentement adéquat, aucun événement publicitaire n'est enregistré, pas même brut ; seul est consigné, sans aucun identifiant, le fait qu'un événement n'a pas été enregistré pour cette raison.
• Un identifiant de vue pour le post-view : un cookie sur l'adresse de mesure de notre cliente (`metrunio_view`, 30 jours, pour cette adresse uniquement). Il n'est déposé qu'avec un consentement marketing, par le pixel d'impression et le tag de visibilité sur le site publicitaire ou par le script de mesure dans la boutique ; le navigateur le renvoie lors de la visite de la boutique. Si le navigateur le rejette, rien ne le remplace : ni empreinte numérique, ni calcul probabiliste. Si la personne retire son consentement marketing, l'adresse de mesure supprime le cookie lors de la transmission du retrait ; si elle retire entièrement son consentement, le script efface en outre l'identifiant pseudonyme et la session dans le navigateur. Les contacts publicitaires déjà enregistrés qui sont liés à ce navigateur sont supprimés ; un consentement ultérieur repart sans eux.
• Pour les commandes qu'une boutique transmet avec consentement, un identifiant client pseudonyme : le numéro client de la boutique ou une somme de contrôle (SHA-256) de l'adresse e-mail, telle que la transmettent notre app Shopify et notre plugin Shopware. À la réception, nous combinons chacune de ces valeurs avec une clé différente pour chaque cliente et n'enregistrons que le résultat ; une même personne donne deux valeurs différentes chez deux clientes. L'identifiant relie les achats d'une même personne entre plusieurs appareils et n'est transmis à aucune plateforme publicitaire.
• Une redirection pour les clics sur les créations : notre adresse de mesure redirige vers le site de notre cliente. En l'absence de signal de consentement du site publicitaire, elle n'ajoute à l'adresse de destination que l'identifiant de la campagne (`metrunio_camp`, identique pour tous les clics d'une même campagne) et n'enregistre aucun clic ; seul est consigné, sans aucun identifiant, le fait qu'un clic n'a pas été enregistré pour cette raison.
• Si notre cliente utilise son propre domaine de mesure sous son domaine, nous déposons en outre l’identifiant pseudonyme du visiteur sous forme de cookie sur ce domaine (`metrunio_aid`), uniquement avec consentement à l’analyse. Le cookie rend le même identifiant lisible sur tous les sous-domaines de ce domaine, par exemple dans la boutique et lors du paiement, et reconnaît un navigateur même après l’effacement du stockage du site. La finalité est de relier les visites et les commandes d’un même navigateur. Il dure 13 mois ; Safari le limite à sept jours. Le retrait du consentement le supprime.
• Si notre cliente a activé la question après achat, la page qui suit l’achat vous demande comment vous avez connu notre cliente, avec une liste fixe de réponses et sans texte libre. La question n’est posée qu’avec consentement à l’analyse. Nous enregistrons la réponse avec le numéro de commande et l’identifiant pseudonyme du navigateur et la relions à la commande et à l’historique des visites ; il ne s’agit donc pas d’une enquête anonyme. Elle n’est transmise à aucune plateforme publicitaire et est supprimée avec les autres événements.
• Si notre cliente a activé l’origine dans les formulaires, le script inscrit des données d’origine dans des champs masqués de ses formulaires : un identifiant de la demande, la source, le support, la campagne et la plateforme publicitaire et, avec consentement marketing, en outre l’identifiant de clic. Par défaut, cela n’a lieu qu’avec consentement à l’analyse ; sans lui, le script n’inscrit rien dans les formulaires et ne lit pas non plus l’adresse de la page à cette fin. Pour certains sites, notre cliente peut l’activer sans consentement ; seuls la source, le support et la campagne de l’adresse de la page consultée sont alors repris, et notre cliente doit justifier elle-même ce réglage. Les champs sont transmis avec votre demande, c’est-à-dire avec votre nom et votre adresse e-mail, au système de notre cliente, par exemple son CRM, et non à nous. Elle peut y relier votre demande à son origine et, si elle importe ultérieurement la conclusion dans Metrunio, à l’historique pseudonyme des visites. Cela se fait sur son instruction et sous sa responsabilité ; son système ne devient pas pour autant notre sous-traitant.

La base juridique des identifiants et des événements issus du navigateur est le consentement de la personne concernée au sens de l'art. 6.1.a RGPD et du § 25.1 TDDDG. Sur le site de notre cliente, sa plateforme de gestion du consentement le recueille. Pour les contacts publicitaires sur des sites tiers, le serveur publicitaire qui diffuse l'annonce transmet le signal de consentement ; nous ne recevons pas de preuve propre de celui-ci. Si notre cliente importe des conversions depuis un fichier, elle indique pour chaque ligne l'origine, la date et une référence à la preuve du consentement ; nous vérifions que ces indications sont complètes et non contradictoires, et non le consentement lui-même. Sans consentement, seul a lieu ce que décrivent les paragraphes suivants ; la base juridique en est déterminée par notre cliente en tant que responsable. La durée de conservation est fixée par le client dans le cadre de sa formule ; la valeur par défaut est de 180 jours pour les données brutes.

Un retrait dans la bannière de consentement vaut pour le navigateur dans lequel il est déclaré. Si la personne retire uniquement son consentement marketing, nous supprimons les événements publicitaires de ce navigateur et les contacts publicitaires qui lui sont liés, et retirons les identifiants de clic et d’impression de ses autres événements ; ce qui repose sur son consentement aux statistiques est conservé. Si elle retire entièrement son consentement, nous supprimons tous les événements de ce navigateur, y compris les commandes que la boutique a transmises avec son identifiant. Les transmissions aux plateformes publicitaires non encore envoyées sont arrêtées. Celles déjà envoyées se trouvent chez la plateforme et nous ne pouvons pas les récupérer ; nous indiquons les destinataires à notre cliente afin qu’elle puisse remplir son obligation de les informer au titre de l’art. 19 RGPD. Nous enregistrons l’état du consentement avec la date du retrait, rattaché à l’identifiant pseudonyme du navigateur, pour prouver que le retrait a été exécuté et pour rejeter les événements ultérieurs de ce navigateur ; il est conservé jusqu’à la suppression du site ou du compte de notre cliente. Un retrait dans la bannière n’est pas une demande au titre des art. 15 à 21 RGPD : toute personne souhaitant un accès, l’effacement de toutes les données la concernant sur tous ses appareils ou formuler une opposition doit s’adresser à notre cliente, qui la met en œuvre dans l’espace confidentialité du produit.

Depuis le 29 septembre 2026, la mesure de portée pour les visites sans consentement ne peut plus être activée. Pour les sites sur lesquels notre cliente l’avait activée auparavant : aucun identifiant de personne ou de terminal n’est enregistré en l’absence de consentement. Chaque vue génère un événement comportant la date, la page sans paramètres de requête, le titre de la page, l’origine du lien et les données de campagne, qui est agrégé en un comptage par jour, site, canal et source. Ni l’événement ni le comptage ne contiennent d’identifiant par lequel une demande d’accès ou d’effacement pourrait retrouver une personne. La base légale est déterminée par notre cliente en tant que responsable ; nous traitons sur ses instructions. Les sources totalisant moins de cinq vues apparaissent regroupées plutôt qu’individuellement, et les événements comme le comptage expirent selon le même délai que les autres données brutes.

Si la boutique de notre cliente transmet des commandes et des remboursements côté serveur sans consentement au suivi, nous les traitons pour son compte uniquement à des fins de rapprochement du chiffre d’affaires : rapprocher ses recettes, détecter les opérations en double et rattacher les remboursements. Cette finalité est distincte du suivi. Nous enregistrons à cet effet le numéro de commande comme clé de commande nécessaire, le type d’opération, le montant, la devise et le jour de la commande sans l’heure, mais aucun identifiant de navigateur, de client ni publicitaire : l’identifiant anonyme, la session, l’identifiant client pseudonyme, l’identifiant de clic, la caractéristique IP, la page consultée, les données de campagne et les articles sont supprimés avant l’enregistrement. Les données restent en principe des données personnelles, car notre cliente peut rattacher le numéro de commande à une personne. La commande n’est reliée à aucune visite ni à aucun contact publicitaire et n’est transmise à aucune plateforme publicitaire ; la seule exception figure au paragraphe suivant. Cela vaut pour les commandes pour lesquelles la boutique ne transmet aucune décision sur le consentement, faute de décision prise. Si la boutique transmet un refus, nous n’enregistrons la commande dans cette mesure que si notre cliente nous a donné une instruction distincte à cet effet ; sans cette instruction, nous ne l’enregistrons pas. Une telle commande n’est jamais rattachée à une visite. La base légale est déterminée par notre cliente en tant que responsable ; son intérêt légitime à disposer de chiffres d’affaires complets peut s’appliquer (art. 6.1.f RGPD). Il appartient à notre cliente d’informer de ce traitement, de sa base légale et de la manière de s’y opposer dans sa propre politique de confidentialité. Le refus du suivi ne constitue pas en soi une opposition au rapprochement du chiffre d’affaires. Veuillez adresser une opposition au sens de l’art. 21 RGPD à notre cliente ; si elle la met en œuvre dans l’espace confidentialité du produit, nous supprimons les données relatives à votre commande et bloquons le numéro de commande pour les transmissions ultérieures. Le retrait de votre consentement au suivi entraîne la suppression des commandes transmises avec ce consentement ; elles ne sont pas transférées dans le rapprochement du chiffre d’affaires.

Rattachement via le passage en caisse. Il ne concerne que les commandes pour lesquelles la boutique n’a transmis aucune décision, jamais les commandes après un refus, et seulement si notre cliente l’a activé séparément. Si vous avez consenti, lors du même passage en caisse, à la mesure de suivi dont la portée inclut le rattachement des commandes aux visites et aux contacts publicitaires, et que ce consentement existait déjà au moment de l’achat, nous rattachons la commande à votre visite sur cette base. À cette fin, nous traitons en outre une somme de contrôle, formée avec une clé, de l’identifiant du passage en caisse et l’heure exacte de la commande. Nous supprimons les deux de tous les lieux de stockage au plus tard 24 heures après la commande, même si aucun rattachement n’a lieu ; la somme de contrôle sur les événements du navigateur au plus tard 24 heures après leur réception. Si vous retirez votre consentement, nous supprimons le rattachement et la commande.

Sorties vers des destinataires que notre cliente détermine. Sur son instruction, nous transmettons des données à des destinations qu’elle saisit elle-même : webhooks vers son propre système avec l’identifiant de la commande ou de la demande, la valeur et l’heure de commandes, demandes ou remboursements individuels ; résumés de rapports et d’alertes vers un canal Slack ou Teams ; exports et consultations via l’interface de lecture ou un outil connecté. Les destinataires ne deviennent pas pour autant nos sous-traitants. Si un effacement, une opposition ou un retrait du consentement concerne un message pas encore remis, nous ne l’envoyons plus. Nous ne pouvons pas récupérer des données déjà remises ; nous communiquons les destinataires à notre cliente afin qu’elle puisse remplir son obligation au titre de l’art. 19 RGPD. Des sorties sans nom ni adresse e-mail peuvent elles aussi être des données personnelles, et il en va de même du miroir d’analyse dans BigQuery que nous exploitons à la demande de notre cliente : les numéros de commande et les clés d’enregistrements et d’historiques de visites peuvent être reliés, et avec de petits nombres, même des totaux permettent des déductions sur des personnes individuelles.

Le traitement principal a lieu dans l’Union européenne : l’application, la base de données, le miroir d’analyse, les journaux de l’application et le modèle de langue de la fonction de questions du portail fonctionnent en région europe-west3 (Francfort). La partie contractante est dans chaque cas une société établie dans l’UE.

Cela seul ne serait pas une réponse complète. Il existe des exceptions. Les journaux d’administration et de système de la plateforme cloud sont conservés dans des espaces de journalisation mondiaux du fournisseur, qui ne peuvent pas être déplacés dans une région, jusqu’à 400 jours. Pour l’administration et l’assistance, des sociétés du groupe et des prestataires de nos fournisseurs peuvent accéder aux systèmes depuis l’extérieur de l’UE ; la base est constituée des clauses contractuelles types de l’UE et de la décision d’adéquation. Les outils et canaux que notre cliente connecte elle-même sont exploités par leur fournisseur, le cas échéant hors de l’UE. Quel destinataire traite où, avec qui le contrat est conclu et quels accès sont possibles figure pour chaque entrée dans la liste des sous-traitants ultérieurs et dans l’aperçu « Prestataires et destinataires ».

Nous faisons appel à des prestataires qui exploitent des serveurs, acheminent des e-mails et traitent les paiements pour nous. Le rôle dans lequel ils traitent les données n’est pas le même partout, et il détermine quel contrat s’applique et à quelles instructions ils sont tenus.

• Sous-traitants au sens de l’art. 28 RGPD : exploitation de l’application, boîte aux lettres et envoi d’e-mails. Ils traitent uniquement sur instruction.
• Le prestataire de paiement, dans un double rôle : pour les données contractuelles que nous lui transmettons, il est sous-traitant. Pour le paiement lui-même, il est responsable de traitement, car le droit des services de paiement et la lutte contre le blanchiment lui imposent des obligations propres — et qui a ses propres obligations ne suit pas d’instructions à cet égard.
• Les plateformes publicitaires ne sont pas des sous-traitants. Elles ne reçoivent quelque chose que si notre cliente active le renvoi des conversions, et traitent alors les données en tant que responsables propres ou conjoints, à leurs propres fins.

Nous ne transmettons rien aux plateformes publicitaires, sauf si notre client active expressément le renvoi des conversions. Même alors, seuls les identifiants de clic de la plateforme concernée sont envoyés comme identifiants, et non nos propres identifiants de personne ou de terminal. Ce qui est transmis en outre est décrit plus haut, sous « Connexion avec Google Ads et Meta ».

Documents pour l'examen

• Accès aux données traitées vous concernant (art. 15 RGPD).
• Rectification des données inexactes (art. 16 RGPD).
• Effacement (art. 17 RGPD).
• Limitation du traitement (art. 18 RGPD).
• Portabilité des données (art. 20 RGPD).
• Opposition à un traitement fondé sur des intérêts légitimes (art. 21 RGPD).
• Retrait d'un consentement donné, avec effet pour l'avenir (art. 7.3 RGPD).
• Réclamation auprès d'une autorité de contrôle (art. 77 RGPD).

Si votre demande porte sur des données de mesure issues du site de l'un de nos clients, adressez-vous à ce client : c'est lui le responsable. Nous l'y aidons : le produit dispose d'un espace dédié à l'accès, à l'effacement et à l'opposition, et un effacement continue de produire effet via une liste de blocage, afin que le même identifiant ne soit pas de nouveau collecté la minute suivante.

• Pas de fingerprinting à partir des caractéristiques du terminal.
• Pas d’attribution probabiliste fondée sur des probabilités.
• Aucune liaison au-delà des frontières entre clients.
• Aucune vente ni transmission à nos propres fins publicitaires.
• Aucune conservation d'adresses IP brutes.

Les modifications de cette déclaration figurent dans le journal des changements, sous Statut.

Chaque version reste consultable sous sa date, de façon permanente et sans modification ; l’e-mail de confirmation envoyé lors de la conclusion du contrat dans le portail ou via l’app Shopify renvoie à ces adresses, et le portail conserve le texte convenu lui-même.

• Version du 17 octobre 2026 · en vigueur
• Version du 16 octobre 2026
• Version du 15 octobre 2026
• Version du 14 octobre 2026
• Version du 13 octobre 2026
• Version du 12 octobre 2026
• Version du 11 octobre 2026
• Version du 10 octobre 2026
• Version du 7 octobre 2026
• Version du 4 octobre 2026
• Version du 3 octobre 2026
• Version du 2 octobre 2026
• Version du 1 octobre 2026
• Version du 30 septembre 2026
• Version du 26 septembre 2026
• Version du 25 septembre 2026
• Version du 24 septembre 2026