Politique de confidentialité

1. Responsable de traitement

Bertrand GAKIZA, entrepreneur individuel (EI), exerçant sous le nom commercial « Kuvastack », immatriculation en cours auprès de l’INPI, dont les coordonnées figurent dans les mentions légales, est responsable du traitement des données des utilisateurs du service Haksi.

Pour les données des clients finaux des boutiques connectées, Haksi agit en qualité de sous-traitant pour le compte du marchand, qui reste responsable de traitement. Les conditions de cette sous-traitance figurent dans l' Accord de sous-traitance.

Contact pour toute question relative aux données : privacy@haksi.app.

2. Données traitées

Données de compte : nom, email, mot de passe (haché), préférences, données de facturation (via Stripe). Données de boutique : commandes, produits, et coordonnées des clients finaux (nom, email, ville, pays) importées en lecture seule depuis WooCommerce ou Shopify. Données publicitaires et analytiques : statistiques de campagnes (Meta, Google Ads, Klaviyo) et de trafic (Google Analytics), sans données individuelles de navigation. Données techniques : journaux d'accès et d'erreurs, adresse IP, horodatage des actions dans l'application, journal des exports de données clients et des interventions sur les serveurs de production.

Aucune donnée de carte bancaire n'est collectée ni stockée par Haksi : les paiements sont traités directement par Stripe.

3. Finalités et bases légales

Fourniture du service et calcul des indicateurs (exécution du contrat) ; emails de service et rapports (exécution du contrat) ; emails produit optionnels (consentement, désactivable) ; mesure d'audience de l'application (consentement, retirable à tout moment, voir section 7) ; statistiques agrégées et anonymisées pour l'amélioration du service et, à terme, des repères sectoriels (intérêt légitime, avec droit d'opposition depuis les réglages ; aucun traitement de ce type n'est mis en œuvre à ce jour) ; sécurité, prévention des abus et journalisation technique (intérêt légitime) ; facturation et obligations comptables (obligation légale).

4. Sous-traitants et transferts hors UE

La base de données de production est hébergée dans l'Union européenne (Amsterdam, Pays-Bas). Certains prestataires sont toutefois établis aux États-Unis et peuvent accéder aux données dans le cadre de l'exploitation ou du support. Ces transferts sont encadrés soit par la certification de l'importateur au titre du EU-US Data Privacy Framework, soit par les clauses contractuelles types de la Commission européenne, assorties des mesures techniques complémentaires décrites à l'article 8.

Cette liste est maintenue à jour sur la page Sous-traitants. Tout ajout est notifié aux clients au moins 30 jours avant sa mise en œuvre.

Sont distincts des sous-traitants les services connectés à l'initiative du client, dont Haksi se contente de lire les données : WooCommerce / WordPress (boutique du client) · Shopify (boutique du client) · Meta Ads, Google Ads, Google Analytics (comptes publicitaires du client). Leur usage relève des conditions et politiques de confidentialité de ces éditeurs.

Aucune donnée n'est vendue, louée ni cédée à des tiers à des fins publicitaires.

5. Durées de conservation

• Données de compte et de boutique : pendant la durée d'accès au service, puis suppression automatique 30 jours après la fin de l'accès (fin de l'essai sans abonnement ou fin de l'abonnement). Une demande de suppression de compte est exécutée immédiatement.
• Boutiques Shopify : suppression 30 jours après la désinstallation de l'application, ou plus tôt à réception de la demande d'effacement transmise par Shopify.
• Journaux techniques et d'erreurs : 90 jours.
• Journal des accès aux données personnelles (exports, interventions en production) : 12 mois.
• Sauvegardes chiffrées : 30 jours au plus ; elles ne sont utilisées que pour restaurer le service après un incident.
• Données de facturation et pièces comptables : 10 ans (obligation légale, article L.123-22 du Code de commerce).
• Mesure d'audience : événements conservés 12 mois par PostHog ; votre choix (accepté ou refusé) est conservé 6 mois dans votre navigateur, puis vous est redemandé.
• Statistiques anonymisées, ne permettant plus la ré-identification : sans limite de durée.

6. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Dans l'application : export de vos données, suppression de compte et opposition aux statistiques anonymisées depuis Paramètres → Données & RGPD. Pour toute autre demande : privacy@haksi.app — réponse sous un mois conformément à l'article 12 du RGPD. Vous pouvez saisir la CNIL (cnil.fr, 3 place de Fontenoy, 75007 Paris) si vous estimez que vos droits ne sont pas respectés.

Si vous êtes client final d'une boutique utilisant Haksi, adressez votre demande au marchand concerné, qui est responsable de traitement ; Haksi l'assiste dans le traitement de cette demande.

7. Cookies et mesure d'audience

Traceurs strictement nécessaires (authentification, préférences d'affichage, mémorisation de votre choix sur la mesure d'audience, partagée entre haksi.app et app.haksi.app) : exemptés de consentement au sens des lignes directrices de la CNIL.

Mesure d'audience (PostHog) : activée uniquement si vous l'acceptez dans le bandeau affiché à la première visite ; rien n'est déposé dans votre navigateur ni envoyé avant. Elle mesure l'utilisation de l'application (pages vues, clics) avec un identifiant pseudonyme, sans enregistrement d'écran, sans le texte des éléments cliqués et sans les paramètres des adresses de pages. Si vous êtes connecté, ces mesures sont rattachées à votre identifiant de compte interne (avec votre formule et votre date d'inscription) et à celui de votre boutique (avec sa plateforme et sa catégorie) ; PostHog ne reçoit ni votre nom, ni votre email, ni aucune commande, aucun chiffre de vente ou donnée de vos clients. Les données sont hébergées dans l'Union européenne (Francfort).

Votre choix est conservé 6 mois, puis vous est redemandé. Vous pouvez le modifier à tout moment via le lien « Gérer les cookies » en bas des pages publiques, ou depuis Paramètres → Données & RGPD ; le retrait efface l'identifiant PostHog de votre navigateur.

Aucun traceur publicitaire n'est déposé par Haksi.

8. Sécurité

Connexions chiffrées (HTTPS avec HSTS), clés API et tokens des boutiques chiffrés au repos, mots de passe hachés, accès en lecture seule aux boutiques, cloisonnement strict des données par compte, limitation du nombre de tentatives d'authentification, et masquage des données personnelles dans les outils de diagnostic d'erreurs.

En cas de violation de données susceptible d'engendrer un risque, la CNIL sera notifiée dans les 72 heures et les personnes concernées informées conformément aux articles 33 et 34 du RGPD. Les clients marchands sont informés dans un délai de 48 heures après la prise de connaissance de l'incident.

9. Modifications

Cette politique peut être mise à jour. Toute modification substantielle est notifiée par email aux utilisateurs actifs. La date de dernière mise à jour figure en tête de page.