Données, confidentialité et sécurité

Quelles données cette application stocke, où elles sont conservées et comment elles sont protégées. Si vous avez besoin de ces informations dans le cadre d'un contrôle de conformité, cette page, ainsi que notre Policy et notre Accord sur le traitement des données, devraient vous fournir toutes les informations nécessaires.

Quelles données Shopify l'application peut-elle lire ?

L'application est installée sans aucun droit d'accès. Elle ne peut pas consulter vos produits, vos commandes, vos clients ni aucune autre donnée de votre boutique. Les données clients ne sont transmises par e-mail que parce que vous les transmettez depuis Shopify Flow, via les champs de l'étape et le champ « Variables (JSON) ». Shopify Flow lit les données de votre boutique ; c’est vous qui décidez de ce que vous souhaitez transmettre. Si vous n’envoyez qu’un numéro de commande, c’est tout ce que nous verrons.

Depuis la version 1.17, quatre autorisations facultatives sont disponibles, correspondant à deux fonctionnalités : joindre le fichier vers lequel pointe un métachamp de commande ou de client (par exemple, un PDF de facture enregistré par une autre application sur la commande) et créer un code de réduction unique pour un e-mail dont le modèle le requiert. Aucune n'est accordée lors de l'installation. L'application demande l'autorisation la première fois que vous configurez une telle fonctionnalité ; Shopify affiche alors sa propre boîte de dialogue de consentement, et la page « Autorisations » de l'application répertorie toutes les autorisations accordées, accompagnées d'un bouton « Révoquer ».

Autorisation	Utilisé pour
Lire les commandes	Le métachamp mentionné dans la mise en page, sur la commande à laquelle se rapporte l'étape « Shopify Flow »
Consulter la liste des clients	Il en va de même pour un métachamp client
Lire des fichiers	Convertir la référence de fichier d'un métachamp en fichier lui-même
Indiquez les réductions	Création d'une réduction à usage unique lors de l'envoi d'un e-mail contenant un bloc « Créer un code unique ». Aucune donnée n'est lue ; les autres réductions ne sont jamais modifiées ni supprimées.

Même si l'autorisation est accordée, l'application ne lit toujours rien de son propre chef : ce n'est que lorsqu'un e-mail comportant une telle pièce jointe est envoyé qu'elle accède uniquement à ce métachamp sur cette ressource, et uniquement au fichier auquel il renvoie. Elle ne lit ni les noms, ni les adresses, ni les adresses e-mail, ni les articles ; le fichier est téléchargé pour cet envoi, joint, puis supprimé. Un code de réduction créé ne contient aucune donnée à caractère personnel et est conservé avec l'envoi dans l'historique. Vous trouverez les détails et les périmètres exacts sur Autorisations : les informations que l'application peut lire dans votre boutique.

Quelles sont les données enregistrées ?

Données	Pourquoi	Combien de temps
Mises en page d'e-mails, requêtes HTTP, préréglages	Votre configuration	Jusqu'à ce que vous les supprimiez ou que vous les désinstalliez
Configuration de l'expéditeur	Hôte SMTP / port / identifiants, ou jetons OAuth	Tant que vous n'aurez pas supprimé l'expéditeur ou désinstallé l'application
Secrets	Les valeurs que vous enregistrez délibérément	Jusqu'à ce que vous les supprimiez ou que vous les désinstalliez
Historique des actions	Statut, délai, demande traitée et réponse pour chaque exécution	Supprimé automatiquement au bout de 30 jours
Liste de désabonnement	Destinataires ayant choisi de ne plus recevoir vos e-mails marketing : un hachage de l'adresse à des fins de recoupement, ainsi que l'adresse elle-même chiffrée	Tant que vous ne les avez pas réabonnés, qu’Shopify n’a pas envoyé de demande de suppression concernant ce client ou que vous n’avez pas désinstallé l’application,
Fichiers téléchargés	Images et pièces jointes utilisées dans les mises en page	Jusqu'à sa suppression ou sa désinstallation
Historique des achats	Votre domaine MyShopify, l'adresse e-mail de votre boutique et votre forfait	Jusqu'à ce que vous le désinstalliez

C'est l'historique des actions qu'il convient de prendre en compte. Il consigne ce qui a effectivement été envoyé ; pour un e-mail, cela comprend les adresses des destinataires et les variables résolues ; quant à l'action HTTP Request, cela inclut la requête et la réponse. C'est ce qui permet le dépannage ; il s'agit également de données à caractère personnel, vous devez donc traiter cet historique comme des données clients dans le cadre de vos propres démarches de conformité. L'historique est automatiquement effacé au bout de 30 jours.

Les valeurs confidentielles sont masquées dans l'historique avant que celui-ci ne soit enregistré ; ainsi, aucun jeton stocké n'apparaît jamais dans vos journaux.

Où vit-il ?

Au sein de l'Union européenne, l'ensemble de nos services fonctionne sur Google Cloud, dans la région « europe-west1 » (Belgique). Les bases de données, les caches, le stockage de fichiers et les journaux d'application sont hébergés dans cette région et bénéficient d'un chiffrement au repos. Nous n'utilisons pas le traçage des requêtes.

Comment les identifiants sont-ils protégés ?

Tout ce qui pourrait être utilisé pour effectuer des envois bénéficie d'un deuxième niveau de chiffrement, en plus de celui appliqué au niveau du disque :

• Noms d'utilisateur et mots de passe SMTP
• Jetons d'accès et de renouvellement OAuth pour Microsoft 365 et Google
• Vos secrets bien gardés
• Jetons de session Shopify

Ces données sont chiffrées individuellement à l'aide d'un service dédié de gestion des clés et ne sont déchiffrées qu'en mémoire, au moment où une action est exécutée. Le texte en clair n'est jamais enregistré sur le disque.

Chaque opération de déchiffrement d'une valeur protégée est consignée dans une piste d'accès interne.

Ce que reçoivent les destinataires

Les e-mails sont envoyés via votre boîte mail, et non la nôtre : votre tenant Microsoft 365, votre compte Google Workspace ou votre fournisseur SMTP. Nous transmettons le message à votre fournisseur et celui-ci est acheminé sous votre domaine. Les nouvelles étapes d'e-mail sont toujours envoyées via une boîte de réception ou un serveur SMTP que vous connectez. Les étapes enregistrées avant la suppression de l'expéditeur par défaut partagé continuent de l'utiliser jusqu'à ce que vous choisissiez votre propre expéditeur. Voir Délivrabilité des e-mails.

Le code HTML des e-mails est nettoyé avant l'envoi : les scripts, les gestionnaires d'événements, les URL de type javascript:, les iframes et les éléments de formulaire sont supprimés, afin qu'une valeur transmise depuis Shopify Flow ne puisse pas se transformer en contenu actif dans la boîte de réception d'un destinataire.

Les e-mails marketing et la liste de désabonnement

Un modèle marketing envoie un e-mail par destinataire, chacun comportant son propre lien de désabonnement. Ce lien contient un jeton crypté qui identifie votre boutique, le destinataire, le modèle et la langue de l'e-mail ; l'adresse n'est pas lisible dans le lien, ce qui empêche son extraction des journaux de messagerie, des proxys ou d'un e-mail transféré, et tout lien modifié est rejeté. L'ouverture du lien affiche une page de confirmation sur laquelle l'adresse apparaît sous une forme masquée ; seul le bouton de cette page, ou le bouton de désabonnement en un clic du client de messagerie du destinataire, enregistre la demande de désabonnement.

La liste de désabonnement stocke chaque adresse deux fois : sous forme de hachage, afin qu'un expéditeur puisse vérifier ses destinataires sans rien déchiffrer, et chiffrée à l'aide du même service de gestion des clés que vos identifiants, afin que la page « Désabonnements » et l'export au format CSV puissent vous la présenter. L'adresse n'est déchiffrée que sur nos serveurs, pour cette page et cette exportation. Les adresses ne sont jamais consignées dans les journaux de l'application. Voir E-mails marketing et désabonnements.

Demandes sortantes

Les requêtes HTTP que vous configurez sont vérifiées avant la connexion. Les requêtes vers des adresses réseau internes ou privées (loopback, link-local, points de terminaison de métadonnées cloud, plages privées) sont refusées, y compris via une redirection. Les redirections sont plafonnées et la taille des réponses est limitée. Toute donnée à caractère personnel renvoyée dans une réponse est transmise à Shopify Flow et peut être enregistrée dans l’historique d’exécution (qui est effacé au bout de 30 jours). Les mêmes vérifications s’appliquent à un fichier que l’application récupère pour une pièce jointe, qu’il provienne d’une URL transmise par votre workflow ou d’un métachamp.

IA et apprentissage des modèles

Vos données ne sont jamais utilisées pour entraîner des modèles d'IA. Cela concerne le contenu de vos e-mails, les adresses et noms des destinataires, les pièces jointes, les variables que vous transmettez depuis Shopify Flow, l'historique, ainsi que toutes les données relatives aux clients ou aux boutiques Shopify. Cette règle s'applique aussi bien à nos propres systèmes qu'à tout autre tiers : nous n'entraînons aucun modèle et nous ne partageons ni ne vendons jamais vos données à cette fin.

L'application dispose d'une fonctionnalité d'IA facultative, l'assistant de mise en page (Créez, modifiez et traduisez des mises en page grâce à l'IA). Celle-ci est désactivée tant que vous n'avez pas associé votre propre clé API provenant d'Anthropic, d'OpenAI, de Google Gemini ou d'OpenRouter sur la page « Développeurs ». Lorsque vous l'utilisez, seules la mise en page que vous modifiez (y compris les exemples de valeurs de test que vous avez saisis) et votre instruction sont transmises à ce fournisseur, conformément aux conditions d'utilisation de votre propre compte auprès de celui-ci. Les e-mails envoyés, les destinataires, l'historique et les pièces jointes ne sont jamais transmis à ce fournisseur.

Si votre personnel utilise Shopify Sidekick, il peut consulter l'historique de l'application à l'aide d'outils en lecture seule lorsqu'on le lui demande. Il s'agit de l'assistant propre à Shopify, qui fonctionne conformément aux conditions générales de Shopify. Voir Sidekick et assistants IA.

Suppression

L'historique est effacé au bout de 30 jours. L'historique des envois et des exécutions datant de plus de 30 jours est supprimé automatiquement, que le logiciel soit désinstallé ou non.

La désinstallation supprime tout. Les mises en page, les expéditeurs, les secrets, l'historique, la liste de désabonnement et les fichiers téléchargés sont supprimés. Cette opération est immédiate et irréversible ; veuillez donc d'abord exporter tout ce que vous souhaitez conserver.

Les demandes relatives au RGPD provenant d'Shopify sont traitées automatiquement. Shopify envoie des webhooks obligatoires concernant les demandes de données, la suppression des données client et la suppression des données de la boutique ; l'application les traite et supprime les données correspondantes, y compris l'inscription du client sur la liste de désabonnement.

La suppression d'enregistrements individuels prend effet immédiatement et est irréversible.

Sous-traitants

• Google Cloud (europe-west1, Belgique) - hébergement, bases de données, stockage, gestion des clés
• Votre fournisseur de messagerie connecté : Microsoft 365, Google Workspace ou votre propre serveur SMTP, utilisé uniquement lorsque vous le connectez pour envoyer des e-mails
• Shopify : la plateforme avec laquelle l'application échange des données et, si les autorisations optionnelles sont accordées, à partir de laquelle elle lit le métachamp sélectionné et crée des codes de réduction dans
• Amazon Web Services (Francfort, Allemagne) - envoi vers votre adresse e-mail des alertes générées par l'application, ainsi que des étapes enregistrées par e-mail sans que vous ayez à indiquer d'expéditeur

Pour consulter la liste complète et officielle, veuillez vous reporter à l'annexe 3 de notre DPA.

Questions

Pour toute question concernant un accord de traitement des données (DPA), un questionnaire de sécurité ou un sujet spécifique lié à la conformité, veuillez nous contacter via le Centre d'aide ou à l'adresse support@codecreationlabs.com.

À ce sujet

• Autorisations : les informations que l'application peut lire dans votre boutique : les autorisations facultatives, ce qu'elles permettent de consulter et comment les retirer.
• Secrets : fonctionnement des identifiants enregistrés.
• Historique et dépannage - Ce que l'historique enregistre.
• E-mails marketing et désabonnements : le lien de désabonnement, le pied de page et la page « Désabonnements ».
• Sidekick et assistants IA : ce qu'un assistant IA peut et ne peut pas lire.