Conformité RGPD

Données des clients de votre boutique (conversations, recherches, demandes de rappel) : vous êtes responsable du traitement, Parcel est votre sous-traitant au sens de l’article 28 du RGPD. Parcel ne traite ces données que selon vos instructions, fixées par le contrat et par vos réglages dans l’Espace Marchand.

Données de votre compte (utilisateurs de l’Espace Marchand, facturation, échanges commerciaux) : Parcel est responsable du traitement.

Outils que vous connectez (chat en direct, WhatsApp, Slack, Gorgias…) : ils reçoivent les données que vos réglages leur adressent et restent vos propres prestataires.

• Messages et recherches : ce que le client écrit dans l’assistant ou dans la recherche, et les réponses de l’assistant.
• Contexte de navigation : page et produit consultés, contenu du panier, recherche en cours, langue.
• Interactions : produits cliqués ou ajoutés au panier depuis l’assistant.
• Commandes attribuées : numéro et montant des commandes passées après une conversation, rattachés à l’identifiant de session, sans nom ni adresse, pour mesurer le chiffre d’affaires généré.
• Ce que le client dit de lui : une taille, un niveau, la personne pour qui il achète, lorsqu’il le précise, pour la suite de la même conversation.
• Coordonnées, uniquement si le client les donne : nom et téléphone pour être rappelé par un conseiller, adresse email ou numéro de commande pour suivre une commande. Ces fonctions ne sont actives que si vous les activez.
• Catalogue et contenus de la boutique : produits, prix, stocks, pages et documents que vous déposez.

L’application Parcel n’enregistre pas l’adresse IP des visiteurs. Les journaux techniques des hébergeurs peuvent la contenir temporairement, pour la sécurité du service.

• Aucune donnée de paiement.
• Aucun cookie, aucune empreinte du navigateur, aucun suivi d’une visite à l’autre.
• Aucun profil publicitaire et aucun croisement entre boutiques : les données de chaque marchand sont isolées.
• Aucune donnée sensible au sens de l’article 9 n’est recherchée. Si un client en écrit spontanément, elle reste dans la conversation et suit les mêmes règles de conservation et d’effacement.

Pour vous aider à tenir votre registre des traitements, voici les finalités du service et les bases légales qui s’y rattachent le plus souvent :

• Conseiller le client et lui recommander des produits : mesures précontractuelles prises à sa demande (article 6.1.b) ou intérêt légitime du marchand (article 6.1.f).
• Mettre le client en relation avec un conseiller, suivre une commande : demande du client (article 6.1.b).
• Mesurer la performance de l’assistant (statistiques, chiffre d’affaires attribué) : intérêt légitime du marchand (article 6.1.f).
• Assurer la sécurité du service et prévenir les abus : intérêt légitime (article 6.1.f).

Le choix de la base légale vous appartient en tant que responsable du traitement.

• Pas d’entraînement. Les modèles sont appelés via les API professionnelles de leurs fournisseurs, dont les conditions excluent l’utilisation des données transmises pour entraîner leurs modèles. Parcel n’entraîne pas non plus de modèle sur vos conversations. OpenAI peut conserver ces échanges jusqu’à 30 jours pour détecter les abus, puis les supprime.
• Le strict nécessaire. Seuls le message, l’échange récent et le contexte utile à la réponse sont transmis. Pour le suivi de commande, l’adresse email et le téléphone sont masqués avant d’atteindre le modèle (j***@exemple.fr, ***1234).
• Messages isolés des consignes. Ce qu’écrit le client est transmis dans un bloc délimité, séparé des instructions de l’assistant, pour qu’un message ne puisse pas les détourner.
• Transparence. L’assistant se présente comme une intelligence artificielle, comme le prévoit l’article 50 du règlement européen sur l’IA.
• Aucune décision automatisée au sens de l’article 22 : l’assistant recommande, le client décide. Si vous activez le relais conseiller, il peut demander un humain à tout moment.
• Maintenance. Pour corriger un défaut signalé ou vérifier une nouvelle version de l’assistant, l’équipe Parcel peut relire ou rejouer des conversations de votre boutique. Elles restent dans l’infrastructure de Parcel.

Parcel fait appel aux prestataires suivants. Chacun est lié par un contrat qui reprend les obligations de l’article 28.

Shopify, PrestaShop, Magento et votre plateforme sur mesure ne sont pas des sous-traitants de Parcel : ce sont vos outils, d’où Parcel lit le catalogue et les commandes. Toute modification de cette liste vous est annoncée avant sa prise d’effet, avec la possibilité de vous y opposer.

Les données sont stockées dans l’Union européenne. Les appels aux modèles d’IA et à la recherche web entraînent un traitement aux États-Unis. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis (décision d’adéquation de la Commission européenne du 10 juillet 2023) lorsque le prestataire y est certifié, et à défaut par les clauses contractuelles types de la Commission européenne.

• Identifiant de session : jusqu’à la fermeture de l’onglet du navigateur.
• Conversations, recherches, statistiques et demandes de rappel : pendant la durée de l’abonnement, pour vos statistiques et le suivi de vos clients. Une durée plus courte peut être fixée dans l’accord de sous-traitance.
• À la fin de l’abonnement : sur Shopify, effacement automatique à la réception de la demande shop/redact que Shopify envoie après la désinstallation. Sur PrestaShop, Magento et les sites sur mesure, effacement sur demande, sous 30 jours.
• Comptes de l’Espace Marchand : pendant la relation contractuelle.
• Échanges avec les prospects : trois ans au plus après le dernier contact, comme le recommande la CNIL.
• Factures : dix ans, comme l’impose le Code de commerce.

• Tous les échanges sont chiffrés en HTTPS (TLS), et les données sont chiffrées au repos par l’hébergeur de la base.
• Isolation par marchand : chaque donnée est rattachée à sa boutique et les tables exposées sont protégées par des règles d’accès ligne par ligne (Row Level Security).
• Espace Marchand réservé aux comptes authentifiés, avec des droits par boutique et des invitations nominatives.
• Clés d’API et secrets conservés côté serveur, jamais exposés au navigateur. Points d’accès internes protégés par jeton, webhooks Shopify vérifiés par signature.
• Accès aux données de production limité aux membres de l’équipe qui en ont besoin pour le service.

Vos clients exercent leurs droits auprès de vous. Parcel vous aide à y répondre :

• Shopify : les trois webhooks de conformité obligatoires sont traités automatiquement. customers/data_request exporte les messages et recherches qui mentionnent l’adresse email du client. customers/redact efface ces messages, recherches et conversations, ainsi que l’attribution des commandes concernées. shop/redact efface les données de la boutique.
• PrestaShop, Magento et sites sur mesure : transmettez la demande à vianney@parcel-ia.com. Elle est traitée dans un délai qui vous permet de répondre sous un mois, comme le prévoit l’article 12.

Une conversation est anonyme. Parcel ne peut la rattacher à une personne que par un élément que celle-ci y a laissé : adresse email, téléphone, numéro de commande, ou la référence d’une demande de rappel. C’est la limite de toute recherche, et la conséquence d’une collecte réduite au minimum.

En cas de violation de données personnelles, Parcel vous en informe sans délai injustifié, avec les éléments connus, pour vous permettre de notifier la CNIL dans les 72 heures et, le cas échéant, d’informer les personnes concernées.

L’assistant ne dépose aucun cookie. Il conserve dans le stockage de session du navigateur un identifiant aléatoire qui relie les messages d’une même conversation et disparaît à la fermeture de l’onglet. Ce traceur est strictement nécessaire au service demandé par le client : il n’exige pas de consentement au titre de l’article 82 de la loi Informatique et Libertés. Il ne demande donc aucune case à cocher dans votre bandeau : il suffit de le mentionner dans votre politique de cookies.

Sur simple demande, Parcel vous transmet :

• l’accord de sous-traitance (DPA) conforme à l’article 28 ;
• la liste à jour des sous-traitants ultérieurs ;
• une description des mesures de sécurité ;
• les éléments utiles à votre analyse d’impact (AIPD) si vous en menez une.

Pour toute question sur la protection des données : vianney@parcel-ia.com. Vous pouvez aussi introduire une réclamation auprès de la CNIL.