Données et confidentialité

Les textes qui vous engagent juridiquement sont la politique de confidentialité et le contrat de sous-traitance (DPA). Cette page en donne la version opérationnelle : ce qui se passe, où, et selon quel calendrier.

Durées de conservation

Deux de ces durées méritent une explication.

La trace comptable d'un scan survit à son contenu, parce que le plafond de dépense du scanner public se calcule sur le mois calendaire, et qu'un mois doit rester comptable une fois terminé. Les captures et l'adresse IP hachée de la personne qui a soumis le scan sont supprimées à 30 jours ; il ne reste ensuite que la comptabilité.

La conservation des documents de facturation est une obligation légale, pas un choix produit : elle découle de l'article L123-22 du Code de commerce.

Chaque durée est mise en œuvre par une tâche planifiée (cron), et un contrôle fait échouer le build dès qu'un chiffre publié ne correspond plus au code qui l'applique. Avant ce contrôle, la politique publiait trois durées de conservation, toutes les trois fausses.

Les pièces jointes du chat, sans détour

Un fichier joint dans le chat est stocké sur Vercel Blob à une URL publique, sans date d'expiration propre. La purge à 30 jours limite la durée de cette exposition ; elle ne rend pas le fichier confidentiel entre-temps. Considérez une pièce jointe du chat comme un document dont vous auriez distribué le lien.

Exporter

Vous pouvez exporter une organisation ou une boutique depuis ses paramètres. Par conception, l'export couvre ce que détient l'organisation, et jamais les données d'une autre organisation.

Supprimer votre compte

/account → supprimer. L'opération efface le compte, ses conversations et les faits mémorisés qui s'y rattachent. Les documents de facturation sont conservés, parce que la loi l'exige.

Les trois webhooks obligatoires de Shopify

Shopify impose à chaque app trois endpoints d'effacement. Les trois sont en place, et leur comportement mérite d'être connu : « répond 200 » et « les données ont disparu » sont deux affirmations différentes.

customers/redact : une barrière est posée avant la réponse 200, puis la tâche planifiée gdpr-erasure exécute l'effacement proprement dit : vecteurs, liens client, attribution, contenus archivés dans le journal d'audit.

shop/redact : la demande est enregistrée comme demande de conformité, que la même tâche traite ensuite : identifiants d'accès, espaces de noms vectoriels, contenus bruts archivés, texte libre des commandes.

customers/data_request : traitement entièrement manuel. Une personne marque la demande comme traitée ; rien ne l'automatise. Au-delà de 30 jours, une demande non traitée inscrit une erreur dans les logs au lieu d'attendre en silence, car une obligation que personne ne voit est une obligation que personne ne remplit.

L'horodatage de fin fait foi de l'exécution. Une ligne qui n'en a pas correspond à une obligation non remplie, et elle apparaît comme telle.

Sous-traitants

La liste complète est publiée et dérivée du code, pas saisie à la main : /legal/subprocessors. Elle en a un temps affiché 7 sur une trentaine.

Modèles et entraînement

Les prompts, les conversations et les données de boutique parviennent à un modèle via l'AI Gateway de Vercel, vers Anthropic, OpenAI ou Google. Nous n'entraînons aucun modèle sur vos contenus et n'en concédons de licence à personne ; les fournisseurs les traitent pour produire une réponse, dans le cadre de conditions commerciales qui excluent l'entraînement sur le trafic API.