Politique de confidentialité

Dernière mise à jour : 21 octobre 2026. Elle s'applique à aki Tracker (ci-après « l'application »), logiciel de pilotage de la rentabilité publicitaire des marques e-commerce, et à ses connecteurs : l'app Shopify « aki Tracker », l'app Meta « aki Tracker », le client OAuth Google Ads « aki Tracker » et l'app TikTok for Business « aki Tracker ». An English summary is provided at the end of this page.

1. Qui traite vos données

L'éditeur : Aki (Dylan Guille, micro-entreprise), 32 boulevard Bajon, 86000 Poitiers, France, SIRET 900 557 687 00010. Contact : contact@aki-tracker.com.

• Pour les comptes utilisateurs de l'application (identité, connexion, rôle), l'éditeur est responsable du traitement.
• Pour les données d'une boutique ou d'un compte publicitaire qu'une marque connecte, la marque reste responsable du traitement ; l'éditeur agit comme sous-traitant (article 28 du RGPD) et ne traite ces données que pour fournir l'application à cette marque.

2. Ce que l'application lit, et pourquoi

Chaque connexion est ouverte par un utilisateur habilité de la marque, depuis l'écran « Accès & Tracking », par la procédure d'autorisation officielle de la plateforme (OAuth). Elle peut être retirée à tout moment (voir Suppression des données).

Shopify (app « aki Tracker ») — lecture seule

Portées demandées : read_orders, read_customers, read_products, read_inventory. L'application lit :

• les commandes : date, montants (total, remises, taxes, livraison, remboursements), articles, codes promo, canal de vente, source et paramètres UTM de la visite, moyen de paiement et mode de livraison ;
• pour chaque commande, le client : son identifiant Shopify, son nom, son adresse e-mail, sa ville, sa région et son pays, et le rang de la commande dans son historique ;
• les paniers abandonnés : montant, articles, nom, e-mail et pays du client ;
• le catalogue : produits, variantes, prix, coûts et niveaux de stock.

Finalité : calculer pour le marchand son chiffre d'affaires réel, sa marge, ses nouveaux et anciens clients, la valeur de ses clients dans le temps, la répartition géographique de ses ventes et l'état de son stock, et les rapprocher de ses dépenses publicitaires. Les données client ne servent qu'à afficher au marchand ses propres clients ; elles ne sont jamais utilisées pour contacter, cibler ou profiler qui que ce soit. L'application ne modifie jamais une commande, un produit, un client ni un réglage de la boutique.

Meta (app « aki Tracker »)

Permissions demandées : ads_read, ads_management, business_management, pages_show_list, pages_read_engagement. L'application lit les statistiques publicitaires (dépense, impressions, clics, achats attribués, par campagne, ensemble de publicités, publicité et jour), la structure du compte (campagnes, ensembles, publicités, budgets, statuts) et les créations (textes, visuels, miniatures) des comptes publicitaires que l'utilisateur a choisi de partager. Les écritures (mettre en pause ou relancer, modifier un budget, créer une campagne ou une publicité) ne partent que sur une action volontaire d'un utilisateur et sont journalisées. Pour la veille concurrentielle, l'application interroge la Bibliothèque publicitaire de Meta, qui ne contient que des publicités publiques. Ces données décrivent des campagnes, pas des personnes : l'application ne lit ni ne conserve aucune donnée sur les utilisateurs de Facebook ou d'Instagram.

Google Ads (client OAuth « aki Tracker »)

Périmètre demandé : https://www.googleapis.com/auth/adwords, et aucun autre (ni e-mail, ni contacts, ni Drive, ni Gmail). L'application liste les comptes Google Ads auxquels l'utilisateur a accès pour qu'il choisisse celui de sa marque, puis lit les campagnes, groupes d'annonces, annonces, mots-clés, termes de recherche et leurs statistiques. Les écritures (statut, budget, enchères, mots-clés, mots-clés à exclure) ne partent que sur une action volontaire d'un utilisateur et sont journalisées.

TikTok (app TikTok for Business « aki Tracker »)

L'application lit les comptes annonceurs autorisés, leurs campagnes, groupes d'annonces, annonces et statistiques. Les écritures (statut, budget, coût maximal) ne partent que sur une action volontaire d'un utilisateur et sont journalisées.

Les utilisateurs de l'application

Adresse e-mail, nom d'affichage, photo de profil facultative, rôle dans l'organisation, et le journal des actions faites depuis le gestionnaire publicitaire. Le mot de passe est haché par notre prestataire d'authentification : l'éditeur ne le voit jamais.

3. Ce que nous ne faisons jamais

• Vendre, louer ou céder des données, à quiconque.
• Utiliser les données d'une marque pour une autre marque, ou les agréger entre clients.
• Diffuser de la publicité ou profiler des personnes à partir de ces données.
• Entraîner un modèle d'intelligence artificielle avec ces données.
• Installer un pixel ou un traceur sur la boutique ou le site de la marque.

4. Utilisation limitée des données Google

L'utilisation et le transfert, vers toute autre application, des informations reçues des API Google par aki Tracker respectent la Règle relative aux données utilisateur des services API Google, y compris les exigences d'utilisation limitée (Limited Use). Les données Google Ads ne servent qu'à afficher et piloter, pour l'utilisateur, les comptes qu'il a connectés ; aucun humain de l'équipe ne les consulte, sauf à la demande explicite de l'utilisateur (support), pour la sécurité ou pour une obligation légale.

5. Analyse des créations par intelligence artificielle (facultative)

Lorsque cette fonction est activée, le texte d'une publicité et sa miniature peuvent être transmis à Anthropic PBC (API Claude) pour classer la création (angle, format, accroche) ou rédiger une synthèse des performances. Aucune donnée de client de la boutique n'est transmise. Selon ses conditions commerciales, Anthropic n'utilise pas les données reçues par son API pour entraîner ses modèles.

6. Base légale

L'exécution du contrat qui lie l'éditeur à la marque cliente (article 6.1.b du RGPD) ; pour la sécurité, la journalisation et la prévention des abus, l'intérêt légitime de l'éditeur (article 6.1.f).

7. Durées de conservation

• Données d'une marque (boutique, régies, réglages, rapports) : tant que la marque existe dans l'application. La suppression de la marque efface immédiatement l'ensemble de ses données.
• Jetons d'accès : effacés immédiatement à la déconnexion depuis l'application, à la désinstallation de l'app Shopify, ou à la suppression de la marque.
• Shopify : à la désinstallation, la boutique est déconnectée et ses jetons effacés ; à la réception de shop/redact (48 heures après), toutes ses données sont effacées. À la réception de customers/redact, le nom, l'e-mail et la ville du client sont effacés de ses commandes et paniers.
• Compte utilisateur : jusqu'à sa suppression, sur demande, sous 30 jours.
• Les sauvegardes techniques de l'hébergeur sont écrasées par rotation : une donnée effacée en disparaît sous 30 jours au plus.

8. Comment les données sont protégées

• Hébergement en France : application et base de données dans la région de Paris (Union européenne).
• Jetons chiffrés : les jetons d'accès aux plateformes sont chiffrés en base (AES-256-GCM, clé hors base) et ne transitent jamais par le navigateur.
• Cloisonnement : chaque organisation ne voit que ses marques ; chaque requête vérifie l'appartenance de la marque à l'organisation de la personne connectée, et la base applique en plus une isolation par organisation (Row Level Security). L'interface publique d'accès aux données de la base est fermée : seul le serveur de l'application la lit.
• Connexions vérifiées : chaque autorisation OAuth est liée au navigateur qui l'a demandée (état chiffré à usage unique) ; les notifications de Shopify sont authentifiées par signature (HMAC).
• Chiffrement en transit : HTTPS uniquement (HSTS), protections contre l'intégration dans un cadre et le détournement de clic.
• Moindre privilège : lecture seule sur Shopify ; sur les régies, aucune écriture sans action volontaire d'un utilisateur, et chacune est journalisée.
• Mots de passe : hachés par le prestataire d'authentification, jamais visibles de l'éditeur ; réinitialisation par lien à usage unique.

Une faille ou une suspicion de faille se signale à contact@aki-tracker.com. En cas de violation de données, les marques concernées sont prévenues dans les meilleurs délais, et la CNIL sous 72 heures lorsque la loi l'exige.

9. Sous-traitants

• Vercel Inc. — hébergement de l'application (région de Paris) et mesure d'audience du site public, sans cookie.
• Supabase Inc. — base de données et authentification (région de Paris).
• Anthropic PBC — analyse des créations, seulement si la fonction est activée.

Ces sociétés sont établies aux États-Unis ; les données sont hébergées dans l'Union européenne, et tout transfert éventuel est encadré par les clauses contractuelles types de la Commission européenne ou le cadre de protection des données UE–États-Unis (Data Privacy Framework).

10. Partage

Les données d'une marque ne sont visibles que des membres de l'organisation à laquelle elle appartient. Elles ne sont communiquées à aucun tiers, hors sous-traitants ci-dessus et obligation légale.

11. Vos droits

Accès, rectification, effacement, limitation, opposition et portabilité : écrivez à contact@aki-tracker.com, objet « Données personnelles ». Réponse sous 30 jours. Un client d'une boutique peut aussi s'adresser au marchand, qui transmet la demande par Shopify. Vous pouvez saisir la CNIL (cnil.fr).

12. Cookies

Uniquement des cookies strictement nécessaires : la session de connexion, et des cookies chiffrés de courte durée (de dix minutes à six heures) qui sécurisent une connexion à Shopify, Meta, Google ou TikTok. Aucun cookie publicitaire ni de mesure d'audience.

La fréquentation du site public (accueil, produit, tarifs, ressources) est mesurée par Vercel Web Analytics, sans cookie : pages vues, provenance, pays et type d'appareil, sans adresse IP conservée ni suivi d'un visiteur d'un jour à l'autre. L'application, une fois connecté, n'est pas mesurée.

13. Conformité aux plateformes

L'application respecte les exigences de protection des données de Shopify (dont les webhooks customers/data_request, customers/redact et shop/redact), les Conditions de la plateforme Meta et ses Politiques pour les développeurs, les Conditions de l'API Google Ads et la Règle relative aux données utilisateur des services API Google, et les conditions de TikTok for Business Developers. Les données obtenues par ces API ne servent qu'aux fonctions décrites ici.

14. Évolutions

Toute modification substantielle est datée en tête de cette page et signalée aux utilisateurs connectés.

English summary