Politique de confidentialité

Cette politique de confidentialité décrit comment Commerçants Connectés collecte, utilise et protège vos données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD - règlement UE 2016/679) et à la loi Informatique et Libertés.

1. Responsable du traitement

Le responsable du traitement des données est :

• Société : [À COMPLÉTER : nom société]
• Siège social : [À COMPLÉTER : adresse]
• SIRET : [À COMPLÉTER]
• Contact RGPD : rgpd@commercants-connectes.fr
• DPO : [À COMPLÉTER : nom du DPO ou "Non désigné (PME exemptée)"]

2. Données collectées

2.1 Données fournies directement par vous

• Compte utilisateur : nom, prénom, adresse email, mot de passe (chiffré, jamais stocké en clair).
• Informations du commerce : nom commercial, type de commerce, adresse, ville, téléphone, horaires, photos, descriptions.
• Contenus créés : textes de la vitrine, affiches générées, réponses à vos avis, calculs de marge.
• Paiement : IBAN et mandat SEPA, traités exclusivement par notre prestataire GoCardless (vos coordonnées bancaires ne transitent jamais par nos serveurs).

2.2 Données collectées automatiquement

• Données de connexion : adresse IP, navigateur, système d'exploitation, date/heure des accès. Conservées 12 mois en base de logs.
• Données d'usage : outils utilisés, fréquence d'usage, génération d'affiches/vitrines (pour le bon fonctionnement du service et l'amélioration produit).

3. Finalités du traitement

Finalité	Base légale	Durée de conservation
Fourniture du service (compte, outils, vitrine)	Exécution du contrat	Pendant toute la durée de l'abonnement + 60 jours après résiliation
Facturation et paiement	Obligation légale	10 ans (Code de commerce)
Support client	Exécution du contrat	3 ans après dernier contact
Sécurité, prévention de la fraude	Intérêt légitime	12 mois (logs)
Amélioration du service (analyse d'usage anonymisée)	Intérêt légitime	3 ans (sous forme agrégée)
Communications produit (nouveautés)	Intérêt légitime (opt-out facile)	Pendant l'abonnement + 6 mois

4. Destinataires des données

Vos données sont accessibles uniquement à :

• L'équipe technique de Commerçants Connectés, dans le strict cadre du fonctionnement du service.
• Nos sous-traitants techniques, contractuellement engagés au respect du RGPD :
  • GoCardless SAS (Paris, France) — prestataire de paiement SEPA, certifié PCI-DSS
  • [À COMPLÉTER : hébergeur] — hébergement infrastructure (France)
  • Anthropic / OpenAI (selon les modules IA utilisés) — génération de textes par IA. Les requêtes IA sont anonymisées (pas d'identifiant utilisateur transmis).
  • Postmark / Sendgrid [À COMPLÉTER : prestataire email] — envoi des emails transactionnels

Nous ne vendons, ne louons et ne cédons jamais vos données à des tiers à des fins commerciales.

5. Transferts hors UE

Nos données sont hébergées en France (UE). Toutefois, certains de nos sous-traitants IA (Anthropic, OpenAI) peuvent opérer aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (CCT) et le Data Privacy Framework. Aucune donnée nominative n'est transmise à ces sous-traitants : seules les requêtes (textes de prompts) le sont, sans identifiant utilisateur.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir une copie de toutes les données que nous détenons sur vous
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit à l'effacement (« droit à l'oubli ») : supprimer vos données (sous réserve des obligations légales)
• Droit à la limitation : suspendre certains traitements
• Droit d'opposition : refuser certains traitements (notamment la prospection)
• Droit à la portabilité : récupérer vos données dans un format structuré (JSON) pour les transférer à un autre service
• Droit de retrait du consentement à tout moment
• Droit de définir des directives relatives au sort de vos données après votre décès

Pour exercer ces droits, écrivez à rgpd@commercants-connectes.fr. Nous vous répondons dans un délai maximum d'1 mois.

Vous pouvez également déposer une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

7. Sécurité des données

• Connexions HTTPS obligatoires (TLS 1.3) sur tout le site.
• Mots de passe hachés avec bcrypt (jamais stockés en clair).
• Données bancaires jamais stockées chez nous (GoCardless est le seul à les détenir).
• Sauvegardes quotidiennes chiffrées, conservées 30 jours.
• Accès aux serveurs limité à l'équipe technique, par authentification SSH avec clés.
• Audit interne de sécurité [À COMPLÉTER : annuel / semestriel].

8. Cookies

L'utilisation de cookies est décrite dans la Politique cookies.

9. Modifications

Cette politique peut être amenée à évoluer. Toute modification substantielle vous sera notifiée par email au moins 30 jours avant son entrée en vigueur, vous laissant la possibilité de résilier votre abonnement si elle ne vous convient pas.