Politique de confidentialité

Cette politique explique comment [à compléter] (« nous ») traite les données personnelles (1) des visiteurs de ce site et des prospects, et (2) des clients finaux des marques pour lesquelles nous assurons le service client.

1. Visiteurs et prospects

• Données : nom, e-mail professionnel, société, URL de la boutique, volume de demandes, message.
• Finalité : répondre à votre demande et vous proposer nos services. Base légale : votre consentement et notre intérêt légitime.
• Durée : 3 ans après le dernier contact.
• Ce site n’utilise pas de cookies publicitaires ni de traceurs tiers. Des cookies techniques servent uniquement à maintenir la session des utilisateurs connectés au portail et à mémoriser la langue choisie. Le formulaire de contact peut utiliser Cloudflare Turnstile pour bloquer les robots.
• Mesure d’audience anonyme : nous comptons certaines actions sur le site (clics sur les boutons d’appel à l’action, début et envoi des formulaires). Seuls le type d’action, la page et le bouton sont enregistrés : aucun cookie, aucune adresse IP, aucun identifiant. Rien n’est envoyé si votre navigateur demande à ne pas être suivi (Do Not Track ou Global Privacy Control). Ces compteurs sont conservés 13 mois.

2. Clients finaux des marques (sous-traitance)

Lorsque nous traitons les messages des clients d’une marque, nous agissons en tant que sous-traitant au sens de l’article 28 du RGPD, pour le compte de la marque (responsable de traitement), dans le cadre d’un accord de traitement des données (DPA).

• Données : nom, e-mail, contenu des messages et pièces jointes, informations de commande (numéro, statut, suivi) lues dans la boutique.
• Finalité : répondre aux demandes, assurer la qualité du service, établir les statistiques et la facturation de la marque.
• Intelligence artificielle : les messages peuvent être analysés par un modèle d’IA (via OpenRouter, avec uniquement des fournisseurs de modèles qui ne conservent pas les données des requêtes) pour proposer ou envoyer des réponses. Les données personnelles sont masquées et les numéros de carte et IBAN retirés avant tout envoi au modèle. Nous n’utilisons pas ces données pour entraîner des modèles. L’IA ne peut effectuer aucune action (remboursement, annulation, modification de commande) : elle propose, une personne décide.
• Durée : pendant la durée du contrat avec la marque, puis suppression ou restitution à sa demande (voir la section 5).
• Accès à la boutique : pour Shopify, uniquement la lecture des commandes (autorisation read_orders) ; nous ne pouvons rien modifier dans la boutique.

3. Destinataires et transferts

Nos équipes support (situées au Maroc) et nos sous-traitants techniques, dont la liste à jour, avec leur rôle et leur localisation, figure sur la page Sous-traitants : hébergement de l’application et de la base de données (Vercel, Dublin, Ireland ; Supabase (AWS eu-west-1, Ireland)), envoi d’e-mails, fournisseur d’IA (OpenRouter et les fournisseurs de modèles qu’il sollicite), paiement en ligne (Stripe, qui traite les données de carte sans que nous y ayons accès). Les transferts hors de l’Union européenne, notamment vers le Maroc, sont encadrés par les clauses contractuelles types de la Commission européenne. Nos traitements respectent également la loi marocaine n° 09-08.

4. Sécurité

Isolation des données par marque au niveau de la base de données, accès limité par rôle, authentification à deux facteurs, connexions chiffrées (HTTPS), base de données et fichiers chiffrés au repos par notre hébergeur, secrets d’intégration chiffrés par nos soins (AES-256-GCM), journal d’audit. Le détail, y compris ce que nous n’avons pas encore (certifications, audit externe), figure sur notre page sécurité.

5. Conservation et suppression

• Conversations, clients, commandes, connaissances et fichiers : pendant la durée du contrat avec la marque.
• Effacement d’un client final à la demande de la marque ou de Shopify : immédiat, avec ses fichiers et ses commandes.
• Fin du contrat : l’organisation est masquée immédiatement et entièrement supprimée (données et fichiers) 30 jours plus tard ; la marque peut exporter ses données avant.
• Journal des connexions (avec adresse IP) : 1 an. Notifications lues : 180 jours. Données techniques (tâches, webhooks, télémétrie) : de 14 à 90 jours.
• Prospects : 3 ans après le dernier contact. Mesure d’audience anonyme : 13 mois.
• Sauvegardes : les données supprimées restent dans les sauvegardes de la base jusqu’à leur expiration ; après une restauration, les effacements effectués depuis sont appliqués à nouveau.

6. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité. Écrivez à contact@aiactivesupport.com. Si vous êtes client d’une marque, nous transmettons votre demande à la marque concernée. Vous pouvez saisir la CNIL (France) ou la CNDP (Maroc).