Politique de confidentialité
Dernière mise à jour : 2026-09-24
1. Responsable de traitement
Haksi — Entrepreneur individuel (EI), immatriculation en cours auprès de l’INPI, dont les coordonnées figurent dans les mentions légales, est responsable du traitement des données des utilisateurs du service Haksi.
Pour les données des clients finaux des boutiques connectées, Haksi agit en qualité de sous-traitant pour le compte du marchand, qui reste responsable de traitement. Les conditions de cette sous-traitance figurent dans l' Accord de sous-traitance.
Contact pour toute question relative aux données : privacy@haksi.app.
2. Données traitées
Données de compte : nom, email, mot de passe (haché), préférences, données de facturation (via Stripe). Données de boutique : commandes, produits, et coordonnées des clients finaux (nom, email, ville, pays) importées en lecture seule depuis WooCommerce ou Shopify. Données publicitaires et analytiques : statistiques de campagnes (Meta, Google Ads, Klaviyo) et de trafic (Google Analytics), sans données individuelles de navigation. Données techniques : journaux d'accès et d'erreurs, adresse IP, horodatage des actions dans l'application, journal des exports de données clients et des interventions sur les serveurs de production.
Aucune donnée de carte bancaire n'est collectée ni stockée par Haksi : les paiements sont traités directement par Stripe.
3. Finalités et bases légales
Fourniture du service et calcul des indicateurs (exécution du contrat) ; emails de service et rapports (exécution du contrat) ; emails produit optionnels (consentement, désactivable) ; statistiques agrégées et anonymisées pour l'amélioration du service (intérêt légitime, avec droit d'opposition depuis les réglages) ; sécurité, prévention des abus et journalisation technique (intérêt légitime) ; facturation et obligations comptables (obligation légale).
4. Sous-traitants et transferts hors UE
La base de données de production est hébergée dans l'Union européenne (Amsterdam, Pays-Bas). Certains prestataires sont toutefois établis aux États-Unis et peuvent accéder aux données dans le cadre de l'exploitation ou du support. Ces transferts sont encadrés soit par la certification de l'importateur au titre du EU-US Data Privacy Framework, soit par les clauses contractuelles types de la Commission européenne, assorties des mesures techniques complémentaires décrites à l'article 8.
| Sous-traitant | Finalité | Localisation | Encadrement du transfert |
|---|---|---|---|
| Railway Corp. | Hébergement du backend et de la base de données | Base de données dans l’UE (Amsterdam) ; société établie aux États-Unis | Clauses contractuelles types (CCT) ou Data Privacy Framework selon le destinataire, conformément au DPA Railway |
| Vercel Inc. | Hébergement et diffusion de l’interface web | États-Unis / réseau mondial | EU-US Data Privacy Framework (certification Vercel) |
| Stripe, Inc. / Stripe Payments Europe, Ltd. | Encaissement des abonnements et facturation | Irlande et États-Unis | EU-US Data Privacy Framework et clauses contractuelles types |
| Resend | Acheminement des emails transactionnels et des rapports | États-Unis | EU-US Data Privacy Framework |
| Functional Software, Inc. (Sentry) | Détection et diagnostic des erreurs applicatives | États-Unis (ou région UE de Sentry si activée) | Clauses contractuelles types |
| PostHog, Inc. | Mesure d’audience de l’application, uniquement après consentement ; aucune donnée des clients finaux | Union européenne (Francfort, Allemagne) ; société établie aux États-Unis | Clauses contractuelles types (DPA PostHog) |
Cette liste est maintenue à jour sur la page Sous-traitants. Tout ajout est notifié aux clients au moins 30 jours avant sa mise en œuvre.
Sont distincts des sous-traitants les services connectés à l'initiative du client, dont Haksi se contente de lire les données : WooCommerce / WordPress (boutique du client) · Shopify (boutique du client) · Meta Ads, Google Ads, Google Analytics (comptes publicitaires du client). Leur usage relève des conditions et politiques de confidentialité de ces éditeurs.
Aucune donnée n'est vendue, louée ni cédée à des tiers à des fins publicitaires.
5. Durées de conservation
- Données de compte et de boutique : pendant la durée d'accès au service, puis suppression automatique 30 jours après la fin de l'accès (fin de l'essai sans abonnement ou fin de l'abonnement). Une demande de suppression de compte est exécutée immédiatement.
- Boutiques Shopify : suppression 30 jours après la désinstallation de l'application, ou plus tôt à réception de la demande d'effacement transmise par Shopify.
- Journaux techniques et d'erreurs : 90 jours.
- Journal des accès aux données personnelles (exports, interventions en production) : 12 mois.
- Sauvegardes chiffrées : 30 jours au plus ; elles ne sont utilisées que pour restaurer le service après un incident.
- Données de facturation et pièces comptables : 10 ans (obligation légale, article L.123-22 du Code de commerce).
- Statistiques anonymisées, ne permettant plus la ré-identification : sans limite de durée.
6. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Dans l'application : export de vos données et suppression de compte depuis les réglages ; opposition aux statistiques anonymisées depuis Réglages → Confidentialité. Pour toute autre demande : privacy@haksi.app — réponse sous un mois conformément à l'article 12 du RGPD. Vous pouvez saisir la CNIL (cnil.fr, 3 place de Fontenoy, 75007 Paris) si vous estimez que vos droits ne sont pas respectés.
Si vous êtes client final d'une boutique utilisant Haksi, adressez votre demande au marchand concerné, qui est responsable de traitement ; Haksi l'assiste dans le traitement de cette demande.
7. Cookies et mesure d'audience
Traceurs strictement nécessaires (authentification, préférences d'affichage) : exemptés de consentement au sens des lignes directrices de la CNIL.
Mesure d'audience (PostHog) : déposée uniquement si vous l'acceptez dans le bandeau affiché à la première visite. Elle mesure l'utilisation de l'application (pages visitées, clics) avec un identifiant interne, sans enregistrement d'écran et sans le texte des éléments cliqués ; elle ne concerne aucune donnée de votre boutique ni de vos clients. Les données sont hébergées dans l'Union européenne (Francfort). Vous pouvez retirer votre consentement à tout moment depuis Réglages → Données & confidentialité.
Aucun traceur publicitaire n'est déposé par Haksi.
8. Sécurité
Connexions chiffrées (HTTPS avec HSTS), clés API et tokens des boutiques chiffrés au repos, mots de passe hachés, accès en lecture seule aux boutiques, cloisonnement strict des données par compte, limitation du nombre de tentatives d'authentification, et masquage des données personnelles dans les outils de diagnostic d'erreurs.
En cas de violation de données susceptible d'engendrer un risque, la CNIL sera notifiée dans les 72 heures et les personnes concernées informées conformément aux articles 33 et 34 du RGPD. Les clients marchands sont informés dans un délai de 48 heures après la prise de connaissance de l'incident.
9. Modifications
Cette politique peut être mise à jour. Toute modification substantielle est notifiée par email aux utilisateurs actifs. La date de dernière mise à jour figure en tête de page.