Politique de confidentialité de Custodian

Responsable du traitement

Custodian (aussi appelé Custodian AI ou Custodian Commerce) est exploité par Adrien Belhomme, en France. Pour toute question sur vos données personnelles ou pour exercer vos droits, écrivez à adrien@custodiancommerce.com. Cette politique couvre l’application Custodian et ses intégrations Meta, TikTok, Pinterest, Google Ads et Merchant Center. Le marchand qui utilise Custodian reste responsable des données de ses clients qu’il nous confie et de la politique de confidentialité de sa propre boutique.

Données traitées et finalités

Nous traitons les informations d’identité et d’accès à l’espace de travail, les informations sur l’activité et les produits fournies par le marchand, les contenus, médias, messages et instructions, afin de fournir les fonctionnalités que vous utilisez. Lorsque vous utilisez les fonctionnalités de vente ou de messagerie, il peut s’agir de données de clients, de commandes et de correspondance fournies par votre activité. Les informations techniques et de sécurité liées aux requêtes servent à faire fonctionner et à protéger le service.

Sur le site public de Custodian, le Pixel Meta se charge automatiquement. Il enregistre les pages vues et des étapes nommées du parcours, comme le démarrage de la création d’une boutique, l’affichage d’un aperçu généré et la création du compte, avec les paramètres de campagne et des informations élémentaires sur l’appareil ou le navigateur. Nous n’envoyons pas à Meta le texte du produit, les fichiers importés ni les photos. L’adresse e-mail du compte n’est envoyée que sous forme hachée (SHA-256), et seulement une fois la publicité autorisée comme indiqué ci-dessous. Un refus dans le lien « Cookies » n’empêche pas son chargement.

Une fois la publicité autorisée, Custodian mesure aussi ces mêmes étapes pour sa propre publicité avec Google Ads (dont YouTube, la recherche, le Réseau Display, Discover et Gmail), Pinterest, Snapchat, X, Reddit, LinkedIn et Microsoft Advertising, et garde l’identifiant de clic de l’annonce qui vous a amené (comme gclid, ttclid ou msclkid) dans un cookie propre nommé cust_ck, 90 jours au plus. L’inscription, l’essai, la formule et le premier paiement sont aussi envoyés depuis nos serveurs aux réseaux autorisés, avec le même identifiant d’événement que votre navigateur pour qu’ils ne soient comptés qu’une fois ; ces envois peuvent contenir votre e-mail et votre nom hachés, votre pays de facturation, votre adresse IP et votre navigateur, et les cookies des réseaux eux-mêmes (comme _fbp, _ttp, _scid ou _epik). Dans l’Espace économique européen, au Royaume-Uni, en Suisse et au Québec, et chaque fois que nous ne savons pas où vous êtes, la publicité attend votre accord : sans choix de votre part, vous ne recevez rien de tout cela, hormis le Pixel Meta décrit plus haut, dont l’envoi serveur ne contient alors ni e-mail ni nom. Ailleurs, la publicité est autorisée par défaut tant que vous ne refusez pas. Nous estimons votre pays, et au Canada votre province, d’après votre adresse réseau, que nous ne gardons pas. Un refus, ou le signal Global Privacy Control de votre navigateur, arrête l’ensemble.

Si vous acceptez la mesure TikTok, le Pixel TikTok enregistre les pages vues et les mêmes étapes nommées du parcours : création de boutique, inscription, essai, paiement et paiement confirmé par Stripe. Il peut recevoir des paramètres limités sur l’étape, la formule, la devise et le montant payé, ainsi que des informations sur le navigateur et la campagne. Les paramètres des événements que nous envoyons ne contiennent ni le texte du produit, ni les fichiers importés, ni les photos, ni l’adresse e-mail du compte. La correspondance avancée automatique est activée pour ce Pixel : TikTok peut repérer des identifiants dans les formulaires ou sur les pages, comme l’e-mail, le téléphone, le nom, la localisation ou un identifiant de compte, les hacher dans votre navigateur et les recevoir pour associer les événements à ses utilisateurs, mesurer et optimiser les publicités et créer des audiences. Le Pixel suit la même règle régionale : il attend votre accord là où il est demandé d’abord et se charge par défaut ailleurs, tant que vous ne refusez pas. Vous pouvez changer ce choix avec le lien « Cookies » en bas de la page d’accueil.

Lorsque vous connectez Meta, nous traitons les identifiants de compte et les autorisations renvoyés par Meta, les Pages et comptes publicitaires auxquels vous avez accès, leurs noms et identifiants, ainsi que les jetons d’accès. Selon la fonctionnalité choisie, nous traitons le texte, les liens et les médias des publications ; les identifiants de campagne, d’ensemble de publicités, de publicité et de pixel ; les paramètres de ciblage et de budget ; les accusés de publication ; et les données de performance publicitaire telles que les dépenses, les impressions et les clics.

Si vous connectez TikTok via Custodian, nous traitons les informations de compte et les autorisations renvoyées par TikTok, ainsi que les médias, légendes, choix de confidentialité, instructions de publication, statuts et identifiants nécessaires pour envoyer une publication en brouillon ou publier une publication que vous avez approuvée. Nous utilisons ces informations uniquement pour fournir la fonctionnalité TikTok que vous choisissez. Connecter TikTok ne publie rien en soi.

Si vous connectez un compte professionnel Pinterest, nous recevons l’autorisation OAuth, les autorisations que vous accordez, les jetons d’accès et de renouvellement, l’identifiant et le nom d’utilisateur de votre compte Pinterest, ainsi que les noms et identifiants de vos propres tableaux. Pour publier les Épingles de votre plan marketing, nous envoyons à Pinterest l’image du produit, son titre, sa description, le lien vers votre boutique et le tableau choisi, et nous conservons l’identifiant de l’Épingle créée, son statut de publication et les résultats agrégés de ces Épingles (impressions, enregistrements, clics sortants, par exemple) pour vous montrer ce qu’elles apportent. Nous n’accédons qu’aux tableaux et aux Épingles du compte Pinterest que vous avez connecté ; nous ne lisons pas les données d’autres utilisateurs de Pinterest. Connecter Pinterest ne publie aucune Épingle en soi : les Épingles ne sont publiées que pour les produits et le calendrier que vous avez approuvés, et vous pouvez suspendre la publication ou vous déconnecter à tout moment. Nous ne vendons pas les données Pinterest, ne les utilisons pas pour de la publicité en dehors de la fonctionnalité que vous utilisez et ne les utilisons pas pour entraîner des modèles d’IA.

Si vous connectez Google, nous recevons l’autorisation OAuth, les périmètres Google Ads et Merchant Center accordés, les jetons d’accès et de renouvellement, ainsi que les identifiants des comptes Google Ads et Merchant Center directement accessibles à l’utilisateur Google connecté. Les jetons sont chiffrés avant leur stockage et rattachés uniquement à l’espace de travail Custodian concerné. La découverte des comptes se fait en lecture seule : connecter Google ne crée ni ne modifie aucune campagne, ne change aucun budget, ne dépense aucun fonds publicitaire et ne crée ni ne modifie aucune fiche produit. Si vous demandez ensuite une action Merchant Center, Custodian utilise l’autorisation uniquement pour effectuer cette action dans l’espace de travail choisi.

Ces données vous permettent de choisir les comptes de votre activité, de préparer des contenus, de confirmer une publication, de créer ou de gérer les opérations publicitaires autorisées, de vérifier les résultats et de consulter les performances. Connecter un compte ne publie aucun contenu et ne lance aucune publicité en soi. L’outil de préparation de publicités en pause crée des objets au statut PAUSED et ne peut pas lancer leur diffusion.

Le suivi de votre parcours dans l’application

Pour réparer ce qui coince, Custodian garde ce que son serveur fait pour vous : les pages et les actions demandées (l’adresse sans identifiant, le résultat et sa durée), les étapes de construction de votre boutique, les e-mails qui vous sont envoyés, les étapes de paiement, les limites de votre formule et les erreurs. Cette journalisation repose sur notre intérêt légitime à fournir un service qui fonctionne et à le sécuriser ; vous pouvez vous y opposer en nous écrivant.

Une fois connecté à l’application, ce que seul votre navigateur voit (les écrans ouverts, vos clics, les temps d’attente, les messages d’erreur affichés, les coupures réseau) est envoyé à Custodian, et l’écran est enregistré : chaque champ y est masqué, comme ce que vous écrivez dans une zone de texte et les zones privées (messages, clients, commandes) ; jamais ce que vous tapez, jamais vos paiements. Vous l’arrêtez à tout moment dans Réglages › Mon compte › Voir où ça coince, en entier ou pour l’écran seul ; ce que le navigateur avait envoyé est alors effacé.

Avant la création d’un compte, sur la page d’accueil, /start et l’ouverture de votre boutique, Custodian mesure lui-même chaque visite, sans outil d’analyse extérieur : la ville, la région et le pays lus dans l’adresse IP grâce à une base hors ligne (IP Geolocation by DB-IP), l’adresse elle-même n’étant jamais gardée ; l’appareil, le navigateur ou l’application et l’écran ; le temps passé page affichée, les sections et les films vus, les boutons et liens touchés, les erreurs et la vitesse de chargement. Un identifiant tiré au hasard, gardé 13 mois dans votre navigateur (stockage local, pas un cookie), reconnaît une visite de retour. L’écran de ces pages est aussi enregistré, chaque champ et tout ce que vous tapez masqués, les photos que vous choisissez écartées, jamais les pages de paiement ; ces enregistrements sont gardés 30 jours. Rien de tout cela ne tourne sur les boutiques des marchands de Custodian. Le signal Global Privacy Control de votre navigateur arrête l’identifiant et l’enregistrement. La campagne publicitaire d’origine (les paramètres utm_source, utm_medium, utm_campaign, utm_content, utm_id et utm_term du lien) est gardée avec la visite pour nos propres statistiques, avec ou sans votre accord, pendant 13 mois ; elle n’est pas envoyée à Meta ni à Google à ce titre, et l’identifiant de clic fbclid n’est pas gardé. Les visites d’un même navigateur à moins de 30 minutes d’écart sont comptées sous la première publicité qui l’a amené. Si vous acceptez le suivi, la visite qui vous a amené est rattachée à votre compte.

Durées : 3 mois pour les requêtes, 6 mois pour les autres faits, 24 heures pour un enregistrement d’écran sans incident et 30 jours au plus s’il y en a eu un ; pour une visite avant tout compte, 13 mois pour ses mesures et 30 jours pour son enregistrement. Seules les personnes de Custodian qui maintiennent l’application y ont accès, et chaque consultation est notée (gardée un an). Ces données restent dans notre base de données, chez notre hébergeur, et ne sont transmises à aucun outil d’analyse tiers. Tout est effacé avec votre compte.

Bases légales

Nous traitons les données nécessaires pour fournir le service que vous demandez sur la base de l’exécution de ce contrat de service. Notre intérêt légitime à sécuriser le service, à diagnostiquer les pannes et à prévenir les abus fonde les traitements techniques nécessaires. Les connexions de comptes facultatives requièrent votre autorisation et peuvent être retirées. Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer. Nous pouvons conserver ou communiquer des informations lorsque la loi applicable l’exige.

Prestataires et destinataires

Railway Corporation fournit l’hébergement de l’application, de la base de données PostgreSQL et du stockage de fichiers. L’application et la base de données sont déployées aux Pays-Bas ; Railway opère aussi aux États-Unis. Les opérateurs et prestataires autorisés peuvent traiter des informations dans la mesure nécessaire pour faire fonctionner, sécuriser et assister le service.

Meta, TikTok et Pinterest reçoivent les requêtes d’API ainsi que les contenus ou instructions publicitaires que vous autorisez pour leurs services respectifs. Les publications et les publicités que vous activez par une opération autorisée sont soumises aux paramètres et aux règles de la plateforme concernée. Révoquer l’accès dans Custodian ne supprime pas les contenus déjà détenus par Meta, TikTok ou Pinterest.

Meta Platforms Ireland Limited reçoit les événements de page et de parcours décrits ci-dessus afin de mesurer et d’attribuer les publicités dès le chargement du Pixel, sans accord préalable recueilli par Custodian.

TikTok reçoit les événements du site et du parcours décrits ci-dessus uniquement après votre accord pour la mesure TikTok sur Custodian.

Google reçoit les requêtes OAuth, Google Ads API et Merchant API lorsque vous choisissez de connecter un compte. Nous utilisons les données d’utilisateur Google uniquement pour fournir la fonctionnalité Google Ads ou Merchant Center que vous demandez. Nous ne les vendons pas, ne les utilisons pas pour de la publicité en dehors de cette fonctionnalité et ne les utilisons pas pour entraîner des modèles d’IA ou d’apprentissage automatique généralistes. Notre utilisation des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée (Limited Use).

D’autres fonctionnalités de Custodian font appel à des prestataires externes lorsqu’elles sont utilisées : OpenRouter et les fournisseurs de modèles d’IA sélectionnés, dont OpenAI, traitent les requêtes d’IA ; Resend traite l’envoi et la réception des e-mails. Les informations contenues dans les instructions, le contexte de votre activité ou les e-mails peuvent être transmises à ces prestataires. L’outil manuel de publication Meta et l’outil de préparation de publicités en pause ne nécessitent ni génération par IA ni envoi d’e-mail. N’incluez pas d’informations sensibles inutiles dans vos contenus ou instructions.

Les prestataires peuvent traiter des données hors de France et de l’Espace économique européen. Les informations sur leurs traitements et les garanties contractuelles encadrant les transferts figurent dans les conditions de traitement des données de Railway, la politique de confidentialité d’OpenRouter, la politique de confidentialité d’OpenAI et la politique de confidentialité de Resend. Contactez-nous pour connaître les garanties applicables à votre utilisation de Custodian.

Stockage, sécurité et conservation

Les jetons d’accès Meta, TikTok et Pinterest sont chiffrés avant leur stockage en base de données et ne sont jamais affichés sur les pages publiques de l’application. L’accès à un espace de travail est authentifié et limité à cet espace. Aucun service ne peut garantir une sécurité absolue.

Nous conservons les contenus de l’espace de travail, les données d’intégration et l’historique des opérations tant qu’ils sont nécessaires pour fournir votre espace et les fonctionnalités demandées. Les critères de conservation sont l’utilisation continue de l’espace, votre demande de suppression, la nécessité de régler une opération ou un litige, et les obligations légales applicables. Déconnecter un réseau social supprime les jetons d’accès enregistrés pour ce projet et annule les aperçus non envoyés ; cela n’efface pas l’historique des publications. Annuler un aperçu ne supprime pas son contenu enregistré.

Vous pouvez demander la suppression des contenus enregistrés, des données d’intégration ou de tout votre espace de travail selon la procédure ci-dessous. Si des informations limitées doivent être conservées pour une obligation légale ou un litige en cours, notre réponse l’expliquera. La durée de conservation des sauvegardes chez nos prestataires peut différer de la suppression dans l’application ; demandez-nous les détails applicables à votre demande.

Vos choix et vos droits

Dans les conditions prévues par la loi, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données personnelles, vous opposer à un traitement fondé sur l’intérêt légitime, ou retirer votre consentement. Envoyez votre demande à adrien@custodiancommerce.com. Nous pouvons vous demander des informations proportionnées pour vérifier que la demande concerne bien votre espace de travail ; n’envoyez jamais de jeton d’accès ni de mot de passe.

Consultez les instructions de suppression des données pour la déconnexion des comptes et la suppression de l’espace de travail. Nous répondons aux demandes d’exercice de droits dans le délai légal applicable, en principe un mois. Vous pouvez introduire une réclamation auprès de l’autorité de contrôle française, la CNIL, ou de votre autorité locale compétente.

Microsoft Clarity sur le site public

Hors de l’Espace économique européen, du Royaume-Uni, de la Suisse et du Québec, Microsoft Clarity recueille par défaut les clics, le défilement et des enregistrements de session masqués sur les pages d’accueil publiques en français et en anglais, et peut utiliser les cookies de mesure _clck et _clsk tant que vous ne refusez pas. Dans ces régions, et chaque fois que nous ne savons pas où vous êtes, Clarity ne démarre qu’après votre accord. Pour les visites identifiées comme venant des États-Unis, un refus coupe les cookies de Clarity, qui enregistre alors les visites masquées sans cookie de mesure ou de publicité. Ces enregistrements nous aident à comprendre les problèmes d’utilisation. Clarity ne fonctionne pas dans le Studio, le chat, la connexion, le paiement ou les boutiques des marchands. Les formulaires et leurs aperçus sont masqués. Nous ne lui envoyons pas l’identité des comptes et refusons toujours son stockage publicitaire. Le pays est estimé d’après l’adresse réseau ; s’il est inconnu, Clarity attend votre accord. Un refus garde les cookies de Clarity désactivés aux États-Unis et arrête Clarity ailleurs. Le signal Global Privacy Control l’arrête partout. Vous pouvez modifier votre choix avec le lien Cookies. Consultez aussi la politique de confidentialité de Microsoft.

Cookies et mises à jour

Custodian utilise des cookies de session et de préférence de langue pour authentifier l’accès et mémoriser vos choix d’affichage. Le Pixel Meta peut déposer des cookies de mesure comme _fbp et _fbc. Si vous l’acceptez, le Pixel TikTok peut déposer un cookie de mesure comme _ttp. Google Analytics 4 reçoit les étapes nommées du parcours, l’essai et les paiements confirmés par Stripe lorsque l’acheteur revient sur Custodian, ainsi que les paramètres de campagne. Hors de l’Espace économique européen, du Royaume-Uni, de la Suisse et du Québec, le stockage analytique et publicitaire de Google est activé par défaut tant que vous ne refusez pas. Dans ces régions, et chaque fois que nous ne savons pas où vous êtes, il reste désactivé jusqu’à votre accord explicite (le réglage de Google l’active tout de même pour les visiteurs qu’il situe aux États-Unis) ; le tag peut alors envoyer des signaux sans cookies. Le signal Global Privacy Control du navigateur maintient ces usages désactivés. Vous pouvez modifier vos choix à tout moment avec le lien Cookies en bas de la page d’accueil. Nous n’envoyons pas à Google Analytics les descriptions de produits, fichiers importés, photos ou adresses e-mail des comptes. Les services connectés appliquent leurs propres politiques de cookies et de confidentialité sur leurs sites. Nous mettons cette page à jour lorsque les traitements décrits changent ; la date ci-dessus identifie cette version.