1. Champ d'application
La présente politique s'applique au site vitrine www.colistech.com et à l'application ColisTech accessible à l'adresse app.colistech.com (ensemble, « le Service »).
Elle décrit le traitement de deux catégories de données bien distinctes : celles qui vous concernent en tant qu'utilisateur du Service, et celles que le Service récupère pour votre compte auprès des places de marché sur lesquelles vous vendez, notamment via l'API Selling Partner d'Amazon. Le régime applicable à ces dernières est précisé à l'article 9.
2. Responsable du traitement
Le responsable du traitement est COLISTECH, société par actions simplifiée au capital de 100 €, immatriculée au RCS de Belfort sous le n° 108 541 780, dont le siège social est situé 21 rue du Monument, 25550 Dung, France.
Pour toute question relative à vos données : contact@colistech.com.
Pour les données que vous nous confiez en tant que vendeur - en particulier celles issues de vos comptes de vente - ColisTech agit en qualité de sous-traitant au sens de l'article 28 du RGPD, sur vos seules instructions. Un accord de sous-traitance (DPA) est disponible sur simple demande.
3. Données que nous traitons
3.1 Compte et abonnement
- Adresse électronique, mot de passe sous forme d'empreinte cryptographique, langue et préférences d'affichage.
- Formule souscrite, période en cours, quotas d'analyse consommés.
- Sessions actives : identifiant de session, jeton de rafraîchissement sous forme d'empreinte, libellé de l'appareil, date d'expiration.
Aucune donnée de carte bancaire n'est collectée ni stockée par ColisTech. Lorsqu'un prestataire de paiement est mis en œuvre, il est ajouté à la liste des sous-traitants de l'article 7 et les données de paiement sont traitées directement par lui.
3.2 Données de vente issues des places de marché
Lorsque vous autorisez ColisTech à accéder à votre compte vendeur, le Service récupère pour votre compte : vos commandes, votre stock, vos données financières (frais, remboursements) et les fiches catalogue des produits concernés. Ces données servent exclusivement à produire les analyses qui vous sont restituées dans votre espace.
3.3 Données de marché de source tierce
Le Service interroge des sources de données produit et d'historique de prix, notamment Keepa, ainsi que les pages publiques des enseignes suivies. Ces données portent sur des produits et des prix, et ne contiennent aucune donnée personnelle.
3.4 Journaux techniques
- Pour chaque appel à l'API du Service : date, route appelée, méthode, code de réponse, durée, adresse IP et identifiant de compte.
- Finalité : sécurité, détection d'abus, diagnostic d'incident et dimensionnement du Service.
4. Finalités et bases légales
- Fournir le Service (compte, analyses, alertes, suivi de stock) - exécution du contrat, art. 6.1.b du RGPD.
- Facturer l'abonnement et gérer les quotas - exécution du contrat, art. 6.1.b.
- Assurer la sécurité et l'intégrité du Service (journaux, limitation de débit, détection d'abus) - intérêt légitime, art. 6.1.f.
- Répondre à vos demandes adressées par courriel - intérêt légitime ou mesures précontractuelles, art. 6.1.f et 6.1.b.
- Respecter nos obligations légales, comptables et fiscales - art. 6.1.c.
ColisTech ne procède à aucune prospection commerciale par voie électronique sans votre consentement préalable, et ne réalise aucun profilage produisant des effets juridiques à votre égard.
5. Durées de conservation
- Compte et données associées : pendant toute la durée de l'abonnement. Après résiliation, les données du compte sont conservées 30 jours pour vous permettre d'en demander l'export, puis supprimées.
- Données personnelles issues des places de marché : supprimées au plus tard 30 jours après leur réception, ou immédiatement après la révocation de votre autorisation si celle-ci intervient avant. Voir l'article 9.
- Journaux techniques : 90 jours au maximum, puis suppression automatique.
- Échanges par courriel : 3 ans à compter du dernier contact pour les prospects ; durée de la relation contractuelle augmentée des délais de prescription pour les clients.
- Pièces comptables : 10 ans, conformément à l'article L. 123-22 du code de commerce.
À l'expiration de ces durées, les données sont supprimées de nos bases de production et de nos sauvegardes selon le cycle de rotation de ces dernières.
6. Sécurité des données
Les mesures suivantes sont mises en œuvre et revues régulièrement :
- Chiffrement en transit : l'intégralité des échanges, entre votre navigateur et le Service comme entre le Service et les API tierces, emprunte des canaux TLS. Le protocole HTTP en clair n'est jamais accepté.
- Chiffrement au repos : les données sont stockées chiffrées sur l'infrastructure Cloudflare. Les jetons d'accès aux places de marché sont conservés chiffrés et ne sont jamais exposés dans une interface ni dans un journal.
- Cloisonnement : chaque compte client dispose de son propre périmètre de données. Aucune requête ne peut atteindre les données d'un autre compte ; cette règle est vérifiée par des tests automatisés à chaque modification du code.
- Moindre privilège : l'accès aux systèmes de production est limité aux personnes qui en ont besoin, nominatif, protégé par authentification à double facteur et journalisé.
- Secrets : les identifiants et clés d'API sont stockés dans un coffre de secrets, hors du code source et hors du dépôt de versions.
- Journalisation et supervision : chaque appel à l'API du Service est enregistré, ce qui permet de détecter tout accès anormal.
- Gestion des incidents : en cas de violation de données à caractère personnel, ColisTech notifie la CNIL dans les 72 heures conformément à l'article 33 du RGPD et informe sans délai les personnes concernées lorsque l'article 34 l'exige. Les places de marché concernées sont informées dans les délais prévus par leurs politiques respectives.
7. Destinataires et sous-traitants
Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales ou publicitaires. Elles sont accessibles aux personnes habilitées au sein de ColisTech, tenues à une obligation de confidentialité, et aux sous-traitants techniques suivants :
- Cloudflare, Inc. (États-Unis / Allemagne)
- Hébergement du site et de l'application, base de données, cache, journaux techniques et protection contre les attaques.
- Amazon Services Europe S.à r.l. (Luxembourg)
- Fourniture des données de votre compte vendeur via l'API Selling Partner, sur votre autorisation.
- Keepa GmbH (Allemagne)
- Données produit et historiques de prix. Aucune donnée personnelle ne lui est transmise.
- Prestataire de messagerie électronique
- Acheminement des courriels de service et des réponses à vos demandes.
Chacun de ces prestataires est lié par un contrat conforme à l'article 28 du RGPD. Vos données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l'impose.
8. Transferts hors Union européenne
L'hébergement est assuré par Cloudflare, Inc., société de droit américain. Certains traitements techniques peuvent donc intervenir en dehors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021, complétées par les mesures techniques décrites à l'article 6, au premier rang desquelles le chiffrement en transit et au repos.
9. Données issues des places de marché
Cet article détaille le traitement des données auxquelles ColisTech accède en votre nom sur les places de marché, et en particulier via l'API Selling Partner d'Amazon.
Autorisation
ColisTech n'accède à votre compte vendeur qu'après votre autorisation explicite, donnée par le mécanisme d'autorisation officiel de la place de marché. ColisTech ne demande jamais vos identifiants de connexion vendeur et n'y a jamais accès.
Usage strictement limité
- Les données de votre compte vendeur sont utilisées exclusivement pour produire les analyses qui vous sont restituées dans votre espace.
- Elles ne sont jamais agrégées, mutualisées ni rendues visibles, même sous forme anonymisée ou statistique, au bénéfice d'un autre utilisateur du Service.
- Elles ne sont utilisées ni pour entraîner des modèles, ni à des fins publicitaires, ni pour alimenter les listes d'opportunités proposées aux autres clients, lesquelles reposent uniquement sur des sources publiques et des données de marché tierces.
Données personnelles d'acheteurs
Lorsque les données de commande contiennent des informations relatives à des acheteurs, celles-ci ne sont traitées que le temps nécessaire au calcul demandé et ne sont pas conservées au-delà de 30 jours. Elles ne sont jamais affichées dans une interface qui n'en a pas l'usage, ni exportées vers un tiers, ni conservées dans les journaux techniques.
Révocation
Vous pouvez retirer votre autorisation à tout moment depuis votre espace vendeur sur la place de marché concernée, ou depuis votre compte ColisTech. Le retrait interrompt immédiatement tout nouvel accès. Le jeton d'accès est détruit et les données personnelles déjà récupérées sont supprimées dans un délai maximal de 30 jours.
10. Vos droits
Conformément au règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.
Ces droits s'exercent par courriel à contact@colistech.com ou par courrier au siège social, accompagné le cas échéant d'un justificatif d'identité. ColisTech répond dans un délai d'un mois, prorogeable de deux mois en cas de demande complexe.
ColisTech n'a pas désigné de délégué à la protection des données, sa situation ne relevant pas des cas de désignation obligatoire prévus à l'article 37 du RGPD.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - www.cnil.fr.
12. Modifications de la politique
La présente politique peut être modifiée pour tenir compte de l'évolution du Service ou de la réglementation. La date de dernière mise à jour figure en tête de page. Toute modification substantielle est portée à votre connaissance par courriel ou par une information dans votre espace, au moins 30 jours avant son entrée en vigueur.
13. Nous contacter
Pour toute question sur la présente politique ou sur le traitement de vos données :
- Courriel
- contact@colistech.com
- Adresse postale
- COLISTECH, 21 rue du Monument, 25550 Dung, France
Voir aussi la page Contact et les mentions légales.