Légal
Politique de confidentialité : chatcommerce.io
Dernière mise à jour : 13 novembre 2026.
1. Qui est responsable ?
Le responsable de traitement des données collectées par ChatCommerce (chatcommerce.io, l'application et l'audit gratuit) est : AGENTIK, société par actions simplifiée à associé unique au capital de 1 000 €, RCS Paris 988 418 802, 60 rue François Ier, 75008 Paris, représentée par sa présidente, HODL, elle-même représentée par Jérémy André. Contact pour toute question sur vos données : [email protected]. AGENTIK n'a pas désigné de délégué à la protection des données.
Le service s'adresse à des professionnels (voir les CGV). Les données concernées sont celles de personnes physiques agissant pour une entreprise (dirigeant, contact).
2. Données collectées, finalités, bases légales, durées
| Traitement | Données | Finalité | Base légale | Durée de conservation |
|---|---|---|---|---|
| Audit gratuit : rapport | Adresse de la boutique analysée ; le résultat (note, priorités) est transmis au visiteur. Compteurs de visites et de conversions : seulement le jour (UTC) et le nom de l'événement, sans IP, e-mail ni URL | Fournir l'audit, mesurer l'usage global | Mesures précontractuelles prises à la demande du visiteur (fournir le rapport). Les compteurs ne contiennent aucune donnée personnelle. | Compteurs : sans donnée personnelle, sans limite |
| Audit gratuit : e-mail de prospect | Adresse e-mail, adresse de la boutique, preuve et date du consentement (cases cochées, non précochées) | Envoyer le rapport et recontacter au sujet de cet audit (première case) ; envoyer les offres de ChatCommerce (seconde case, facultative) | Consentement (deux cases distinctes) | 3 ans à compter de la date du consentement, puis suppression. Retrait du consentement ou désinscription à tout moment : suppression immédiate. |
| Compte utilisateur | Adresse e-mail, date de création et de dernière connexion ; rôle dans l'organisation | Se connecter, gérer l'organisation | Exécution du contrat | Durée du compte. Un utilisateur qui n'appartient plus à aucune organisation est supprimé |
| Connexion | Code à usage unique (stocké sous forme d'empreinte, jamais en clair, valable 10 minutes, 5 essais) ; session (jeton stocké sous forme d'empreinte, 30 jours, renouvelée à l'usage) | Authentifier | Exécution du contrat ; sécurité | Code : 10 minutes. Session : 30 jours, ou fermeture du compte |
| Boutique et catalogue | Adresse de la boutique, catalogue produit (titres, descriptions, prix, images, GTIN : données commerciales), accès à la source du catalogue (jeton chiffré, jamais renvoyé) | Fournir le suivi et le flux hébergé | Exécution du contrat | Durée du compte ; supprimés avec l'organisation |
| Suivi de la présence dans les assistants IA | Requêtes d'achat et produits validés par le Marchand ; textes des réponses des assistants ; citations ; observations (citée ou non, moteur, date, position) ; coût mesuré | Mesurer et rapporter | Exécution du contrat | Textes des réponses : 90 jours. Observations : tant que le compte existe, supprimées avec l'organisation |
| Recommandations, rapports, alertes | Actions classées, preuves, rapports mensuels, adresses de destinataires d'alerte (confirmées par un code) | Fournir le service | Exécution du contrat | Durée du compte |
| Commande, paiement et facturation | Nom, fonction, raison sociale, SIREN, n° de TVA, adresse de facturation, e-mail, contenu de la commande, identifiants de paiement Stripe, montants, dates. Aucun numéro de carte : il est traité par Stripe | Conclure et exécuter le contrat, facturer, prélever | Exécution du contrat ; obligation légale | Pièces comptables et de facturation : 10 ans |
| Trace de facturation après suppression du compte | Identifiants Stripe, montants, dates, aucune donnée de mesure (archive qui survit à la suppression de l'organisation) | Obligation comptable, preuve en cas de litige | Obligation légale | 10 ans à compter de la clôture de l'exercice de la pièce, puis suppression |
| Suivi du service et support | Échanges par e-mail, notes d'installation et de suivi | Installer, aider | Exécution du contrat ; intérêt légitime : garder la trace des échanges pour répondre à une réclamation | Durée du contrat, puis 12 mois |
| E-mails transactionnels | E-mail, contenu (codes, confirmations, alertes, rapports) | Envoyer les messages du service | Exécution du contrat | Selon le prestataire d'envoi (section 3) |
| Journaux techniques | Adresse IP (journaux de Cloudflare et du reverse proxy) ; méthode, chemin, statut et durée de la requête (journal de l'API, sans adresse IP) ; l'IP n'est utilisée par l'application que pour une limite de débit en mémoire | Sécurité, diagnostic | Intérêt légitime : assurer la sécurité du service et diagnostiquer les pannes | 6 mois |
Audit gratuit. L'adresse e-mail n'est pas nécessaire pour voir le rapport. Le formulaire comporte deux cases distinctes, non précochées : la première pour recevoir le rapport et être recontacté au sujet de cet audit, la seconde, facultative, pour recevoir les offres de ChatCommerce. Chaque message envoyé comporte un lien de désinscription.
Audit gratuit IA. Les assistants IA interrogés par l'intermédiaire de DataForSEO ne reçoivent que des questions construites à partir de ce que vous vendez (le secteur) et le nom de domaine de votre boutique, jamais votre adresse e-mail ; le contenu du rapport (réponses des assistants) est supprimé au bout de 90 jours. Pour pré-remplir l'inscription, le site garde 7 jours dans le stockage local de votre navigateur l'adresse e-mail et la boutique saisies (aucune donnée envoyée à AGENTIK par ce biais) et ne les transmet à l'application, dans la partie de l'adresse qui suit le signe # et que le navigateur n'envoie à aucun serveur, que si vous cliquez sur « Créer mon compte ».
Suppression de compte. L'owner peut exporter puis supprimer son organisation depuis son compte (CGV 8.5). La suppression efface les données de mesure, de catalogue et d'accès ; seule l'archive de facturation de la ligne ci-dessus subsiste.
3. Destinataires et sous-traitants
Les données sont accessibles à AGENTIK et, dans la mesure nécessaire, aux prestataires suivants.
| Prestataire | Rôle | Données | Lieu et garanties |
|---|---|---|---|
| OVH SAS (Roubaix, France) | Hébergement du service | Toutes les données du service | France |
| Stripe | Paiement par carte, abonnements, calcul de la TVA | Identité et e-mail du payeur, carte (traitée par Stripe seul), montants | Union européenne et États-Unis. Transferts encadrés par le Data Privacy Framework et par les clauses contractuelles types de la Commission européenne. Stripe agit aussi pour son propre compte pour la lutte contre la fraude et ses obligations légales |
| Brevo (France) | Envoi des e-mails du service | Adresse du destinataire, contenu du message | Union européenne |
| DataForSEO OÜ (Estonie) | Interrogation des assistants IA pour le suivi | Requêtes d'achat, noms de marque et de produit du Marchand. Aucune donnée de ses clients | Union européenne ; prestataires techniques aux États-Unis, encadrés par des clauses contractuelles types |
| Cloudflare, Inc. (États-Unis) | Protection et acheminement du trafic | Adresse IP, en-têtes techniques | Réseau mondial. Transferts encadrés par le Data Privacy Framework et par les clauses contractuelles types |
| Banque et expert-comptable d'AGENTIK | Encaissements, comptabilité | Pièces de facturation | France |
Les données peuvent aussi être communiquées aux autorités sur demande légale. Aucune donnée n'est vendue ni cédée. Vous pouvez demander une copie des garanties encadrant les transferts à [email protected].
4. Cookies et traceurs
Le site et l'application déposent les cookies strictement nécessaires : le cookie de session (HttpOnly, Secure, SameSite=Lax) après connexion. Le site garde dans le stockage local du navigateur (hors cookie, aucune donnée envoyée à AGENTIK) le choix clair ou sombre et, le temps de la consultation, le dernier rapport d'audit. Aucun outil de mesure d'audience ni cookie publicitaire n'est utilisé ; les compteurs de visites ne contiennent aucune donnée personnelle. Aucun bandeau de consentement n'est donc affiché.
5. Le connecteur AgentCart sur la boutique d'un marchand
Cette section concerne les données traitées lorsque le connecteur est installé sur la boutique d'un client, pas la navigation sur chatcommerce.io.
- La clé d'accès (Webservice PrestaShop) fournie est limitée au catalogue : les clients, commandes, adresses, paniers et invités ne sont pas lisibles (réponse « non autorisé » vérifiée sur une démo). Aucun paiement ne passe par AgentCart.
- Le connecteur ne stocke pas de donnée d'acheteur. Le module installé sur la boutique enregistre, dans la base de la boutique, des statistiques sans donnée d'acheteur (type d'événement, heure, identifiant de lien, montant d'une commande attribuée, numéro de panier), purgées après 90 jours.
- Les données susceptibles d'être personnelles sont : (i) les mots de la recherche saisis par l'acheteur, qui apparaissent dans le journal d'accès de la boutique du marchand ; (ii) l'adresse IP de l'appelant, visible dans les journaux de Cloudflare et du reverse proxy d'AGENTIK. Le connecteur écarte les mots contenant le caractère
@, mais ne peut pas détecter sûrement un téléphone ou un nom. - Ce que l'acheteur écrit à l'assistant d'IA est traité par le fournisseur de cet assistant selon ses propres conditions, hors du contrôle d'AGENTIK.
- Le flux produit hébergé ne contient que des données de catalogue (titre, description, prix, images, disponibilité, GTIN) : aucune donnée d'acheteur.
- Le marchand reste responsable de traitement pour les données de ses clients et doit publier la mention relative aux assistants d'IA qui lui est remise à l'installation.
- AGENTIK est responsable de traitement pour les journaux techniques de sa propre infrastructure, conservés 6 mois. Pour les requêtes des acheteurs traitées par le connecteur, AGENTIK agit comme sous-traitant du marchand.
6. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et, lorsque le traitement repose sur le contrat ou sur votre consentement, de portabilité (articles 15 à 21 du RGPD). Lorsque le traitement repose sur votre consentement (adresse déposée lors de l'audit gratuit, messages d'offres), vous pouvez le retirer à tout moment, par le lien de désinscription de chaque message ou en écrivant à [email protected] ; le retrait ne remet pas en cause ce qui a été fait avant. Vous pouvez vous opposer à tout moment à l'utilisation de vos données à des fins de prospection. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Un owner exporte et supprime les données de son organisation depuis son compte. Pour tout autre cas : [email protected] ; nous répondons dans un délai d'un mois.
L'adresse e-mail est nécessaire pour créer un compte, et les informations de facturation sont nécessaires pour conclure le contrat : sans elles, le service ne peut pas être fourni. L'adresse déposée lors de l'audit gratuit est facultative : le rapport s'affiche sans elle. Aucune décision produisant des effets juridiques n'est prise de façon entièrement automatisée.
Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).
7. Sécurité
AGENTIK ne garantit pas une sécurité absolue. Mesures en place : codes de connexion et jetons de session stockés sous forme d'empreinte ; accès aux boutiques chiffrés (AES-256-GCM) ; cookie de session HttpOnly, Secure, SameSite=Lax ; une boutique d'une autre organisation n'est jamais visible ; limites de débit sur les routes publiques.
8. Modifications
La politique peut évoluer ; la date de mise à jour figure en tête de page.