Politique de confidentialité
La présente politique explique comment Clawdya SARL (« Clawdya », « nous ») traite les données à caractère personnel lorsque vous visitez clawdya.com, remplissez l’un de nos formulaires ou utilisez Clawdya Flow : notre application web, notre application mobile, notre point de vente (« Caisse »), l’assistant Copilot, notre API et notre serveur MCP, ainsi que les pages de vente (landing pages) que les commerçants publient avec celui-ci.
Elle est rédigée conformément à la loi algérienne n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel et, lorsqu’il s’applique, au Règlement général sur la protection des données de l’Union européenne (RGPD). Elle précise également comment nous traitons les données que nous recevons de Meta, TikTok, Google et des autres plateformes que vous connectez.
1. Qui sommes-nous
Clawdya SARL, société à responsabilité limitée immatriculée en Algérie au registre du commerce (RC) sous le n° 16/00-1055215 B 26, dont le siège social est situé au Centre d’affaires d’Alger, zone d’activités, lots 43, 44 et 45, 4e étage, Bab Ezzouar, Alger, Algérie.
Contact pour la protection des données : privacy@clawdya.com. Contact général : contact@clawdya.com.
2. Notre rôle
Clawdya en tant que responsable du traitement. Nous déterminons les finalités et les moyens du traitement des données de nos propres utilisateurs (comptes commerçants et membres de leurs équipes), des visiteurs et candidats sur clawdya.com, ainsi que des données de facturation, de sécurité et d’assistance du service.
Clawdya en tant que sous-traitant. Lorsqu’un commerçant utilise Clawdya Flow pour gérer son activité, il est le responsable du traitement des données de ses propres clients (les personnes qui passent commande), de ses employés et de ses fournisseurs. Nous ne traitons ces données que sur instruction du commerçant, afin de fournir le service. Si vous avez commandé auprès d’une boutique qui utilise Clawdya Flow, adressez-vous d’abord à cette boutique ; nous l’aiderons à répondre à votre demande.
3. Données que nous collectons
Données de compte. Nom, adresse e-mail, mot de passe (conservé uniquement sous forme d’empreinte cryptographique), langue, rôle et autorisations au sein d’un espace de travail, sessions de connexion et adresse IP utilisée pour se connecter.
Données d’activité saisies ou importées par les commerçants. Produits, stock, fournisseurs, boutiques, commandes, livraisons, retours, paiements et coûts.
Clients des commerçants. Nom, numéro de téléphone, adresse e-mail si elle est communiquée, adresse de livraison (wilaya, commune, adresse), historique des commandes, résultats de livraison, ainsi que les notes ou signalements ajoutés par le commerçant. Les commandes passées sur une page de vente comportent également les balises de campagne (UTM) du lien qui a amené le visiteur.
Personnel des commerçants. Pour les agents de confirmation des commandes : leur taux de rémunération et le coût de confirmation de chaque commande. Avec le module RH optionnel : nom, fonction, dates d’embauche et de fin de contrat, montants de rémunération, avances, primes et justificatifs de paiement. Nous ne collectons ni numéro d’identification nationale, ni numéro de sécurité sociale, ni numéro de compte bancaire, ni données familiales.
Point de vente. Noms des opérateurs et codes PIN (conservés uniquement sous forme d’empreinte salée et poivrée), tickets de vente et journal fiscal.
Copilot. Les messages que vous envoyez (jusqu’à 4 000 caractères chacun), les images que vous joignez pour l’extraction de champs et les fichiers que Copilot produit pour vous.
Fichiers. Images de produits, logos, étiquettes d’expédition, exports et autres fichiers que vous téléversez ou générez.
Facturation. Formule d’abonnement, factures et état des paiements. Les paiements par carte ou en ligne sont traités par notre prestataire de paiement ; nous ne conservons pas les numéros de carte.
Données techniques. Journaux de sécurité et d’erreurs (les numéros de téléphone, jetons et valeurs similaires en étant retirés avant leur enregistrement), ainsi qu’une empreinte à clé de l’adresse IP des visiteurs des pages de vente, utilisée pour limiter le nombre de requêtes. Nous ne conservons pas en clair les adresses IP des visiteurs des pages de vente.
Formulaires du site. Pré-inscription : nom et prénom, e-mail, téléphone, nombre de boutiques, wilaya, transporteurs utilisés, langue. Candidatures : nom, e-mail, téléphone, poste, wilaya, expérience, un lien, un message et votre CV. Pour les deux : pays (déduit de l’adresse IP), une empreinte salée de l’adresse IP, l’agent utilisateur du navigateur et des signaux anti-spam.
4. Données provenant des plateformes que vous connectez
Les connexions sont établies par le commerçant, depuis son espace de travail, et peuvent être supprimées à tout moment. Les jetons d’accès sont chiffrés au repos (AES-256-GCM) et ne sont plus jamais affichés après la connexion.
Meta (publicités Facebook et Instagram). Avec la seule autorisation ads_read, nous lisons, pour les comptes publicitaires que vous choisissez : l’identifiant, le nom, la devise et le fuseau horaire du compte ; les identifiants et noms des campagnes, ensembles de publicités et publicités ; leur objectif ; ainsi que leurs dépenses, impressions, clics et nombres de conversions, par heure et par jour. Nous lisons également votre identifiant d’utilisateur Meta et les autorisations que vous avez accordées, afin de vérifier la connexion. Nous utilisons ces données uniquement pour vous présenter le coût et la rentabilité de vos propres campagnes et produits au sein de votre espace de travail. Nous ne créons, ne modifions ni ne suspendons jamais de publicités, et nous n’accédons ni aux Pages, ni aux publications, ni aux messages, ni aux audiences, ni à vos amis. Par ailleurs, si vous connectez Meta Lead Ads, les prospects soumis via vos formulaires sont importés sous forme de commandes.
TikTok for Business. Avec un accès aux rapports en lecture seule, nous lisons le même type de données (identifiants et noms du compte annonceur, des campagnes, des groupes d’annonces et des annonces, dépenses, impressions, clics, conversions) dans le même but unique.
Google. Si vous connectez Google Sheets, nous lisons la feuille de calcul que vous choisissez afin d’importer des commandes et nous installons le script nécessaire pour être informés des nouvelles lignes. L’utilisation et le transfert par Clawdya des informations reçues des API Google respectent la Règle relative aux données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée (Limited Use).
Boutiques en ligne (Shopify, WooCommerce, YouCan, Lightfunnels, Dukaan) : nous lisons les commandes de votre boutique (nom du client, téléphone, adresse, articles, montants) afin de les importer. Nous donnons suite aux demandes d’accès et d’effacement des données clients transmises par Shopify.
Transporteurs (par exemple ZR Express, Yalidine et les transporteurs accessibles via notre passerelle de livraison) : nous transmettons le nom, le téléphone et l’adresse du destinataire avec chaque envoi et récupérons les statuts de suivi, les frais et les règlements.
Ce que nous ne faisons jamais avec les données des plateformes. Nous ne les vendons pas, ne les louons pas, ne les partageons pas avec des courtiers en données, ne les utilisons pas à des fins publicitaires, n’établissons pas de profils de personnes à partir de celles-ci, ne les combinons pas entre commerçants et ne les utilisons pas pour entraîner des modèles d’intelligence artificielle. Les données de chaque commerçant restent dans l’espace de travail de ce commerçant.
5. Finalités et bases légales
Fournir Clawdya Flow (commandes, confirmation, expédition, stock, point de vente, RH, rentabilité, Copilot, intégrations) : exécution de notre contrat avec le commerçant.
Sécuriser le service (protection des connexions, anti-spam, prévention de la fraude et des abus, limitation du nombre de requêtes, surveillance des erreurs, journaux d’audit) : notre intérêt légitime à assurer la sécurité du service.
Facturer et tenir les registres comptables et fiscaux, y compris le journal fiscal du point de vente : obligations légales.
Répondre aux pré-inscriptions, aux candidatures et aux demandes d’assistance : votre consentement, donné dans le formulaire, et les mesures prises à votre demande.
Envoyer des e-mails et notifications de service (vérification du compte, réinitialisation du mot de passe, invitations, alertes que vous configurez) : exécution du contrat. Nous n’envoyons pas de communications commerciales aux clients des commerçants.
Nous ne prenons à votre égard aucune décision produisant des effets juridiques ou des effets similaires significatifs sur le seul fondement d’un traitement automatisé.
6. Copilot et intelligence artificielle
Copilot répond aux questions portant sur votre propre espace de travail (par exemple les commandes, le stock ou les dépenses publicitaires) en lisant ces données au moyen d’outils contrôlés, dans la limite de vos autorisations. Pour générer les réponses, la requête et les données nécessaires pour y répondre sont transmises à l’API Gemini de Google dans le cadre des conditions des services payants de Google, en vertu desquelles Google n’utilise pas le contenu pour entraîner ou améliorer ses modèles. Les données RH et de rémunération ne sont jamais transmises à Copilot. Copilot ne modifie jamais de données sur une plateforme publicitaire. Les fichiers que vous joignez à Copilot sont supprimés au bout de 60 minutes, et les fichiers qu’il génère au bout de 24 heures.
8. Transferts internationaux
Clawdya est établie en Algérie. Nos serveurs sont hébergés dans l’Union européenne (Pays-Bas), et certains prestataires (Cloudflare, Google, Sentry) peuvent traiter des données dans d’autres pays. Nous effectuons ces transferts dans le cadre de la loi n° 18-07 et, pour les données relevant de l’UE, avec des garanties appropriées telles que les clauses contractuelles types de la Commission européenne.
9. Durée de conservation
- Données de l’espace de travail (commandes, clients, produits, conversations Copilot…) : pendant toute la durée d’existence de l’espace de travail. Lorsqu’un espace de travail est supprimé, ses données sont effacées dans un délai de 30 jours, les jetons de connexion sont détruits et les enregistrements d’audit sont anonymisés et conservés pendant au moins un an.
- Données des plateformes publicitaires : chiffres horaires pendant 13 mois, puis conservés sous forme de totaux journaliers tant que l’espace de travail existe ; supprimées lorsque vous retirez l’application du côté de la plateforme ou nous le demandez (voir la section 11), ainsi qu’avec l’espace de travail.
- Fichiers Copilot : 60 minutes pour les pièces jointes, 24 heures pour les fichiers générés.
- Exports : 24 heures.
- Journaux des webhooks et des intégrations : 7 à 90 jours.
- Réponses d’interrogation des transporteurs : 30 jours.
- Empreintes de détection des abus de la période d’essai (empreintes cryptographiques uniquement) : 6 mois.
- Journal fiscal du point de vente et factures : au moins la durée exigée par la législation fiscale (6 ans ou plus).
- Pré-inscriptions et candidatures : jusqu’à la fin de la campagne de lancement ou du recrutement, et au plus 24 mois, sauf si vous nous demandez de les supprimer plus tôt.
10. Sécurité
Les données sont chiffrées en transit (TLS). Les identifiants et jetons d’accès des plateformes connectées sont chiffrés au repos avec AES-256-GCM. Chaque espace de travail est isolé des autres, l’accès est limité par des rôles et des autorisations, les actions sensibles sont journalisées et les données à caractère personnel sont retirées des rapports d’erreur. Aucun système n’est parfaitement sûr ; si une violation affecte vos données, nous vous en informerons, ainsi que l’autorité compétente, conformément à la loi.
11. Suppression de vos données et déconnexion des plateformes
Compte commerçant ou espace de travail. Le propriétaire de l’espace de travail peut en demander la suppression en écrivant à privacy@clawdya.com. Les données sont effacées dans un délai de 30 jours, à l’exception de celles que la loi nous oblige à conserver.
Meta. Pour mettre fin à notre accès, ouvrez Paramètres › Rentabilité › Publicités dans Clawdya Flow et cliquez sur Déconnecter : nous révoquons l’autorisation auprès de Meta et détruisons le jeton d’accès. Pour supprimer également les données publicitaires déjà lues, retirez l’application dans Facebook : ouvrez Paramètres et confidentialité › Paramètres › Intégrations professionnelles (ou Applications et sites web), sélectionnez ClawdyaFlow Ads et supprimez-la. Meta nous en informe alors et nous supprimons les données publicitaires conservées pour cette connexion ainsi que son jeton d’accès. Vous pouvez également écrire à privacy@clawdya.com depuis l’adresse de votre compte Clawdya ; nous confirmons la suppression dans un délai de 30 jours et vous communiquons un code de confirmation que vous pouvez vérifier.
TikTok. Déconnectez-vous dans Paramètres › Rentabilité › Publicités, ou révoquez l’application dans TikTok for Business ; écrivez-nous ensuite si vous souhaitez également la suppression des données publicitaires passées.
Autres connexions (boutiques, transporteurs, Google Sheets) : déconnectez-les dans les paramètres de l’espace de travail. Pour Google, vous pouvez également révoquer l’accès sur myaccount.google.com/permissions.
12. Vos droits
En vertu de la loi n° 18-07, vous disposez du droit à l’information, du droit d’accès à vos données, du droit de les faire rectifier ou effacer et du droit de vous opposer à leur traitement pour des motifs légitimes. Si le RGPD vous est applicable, vous disposez également du droit à la limitation du traitement, du droit à la portabilité des données et du droit de retirer votre consentement à tout moment.
Écrivez à privacy@clawdya.com. Nous répondons dans un délai d’un mois et pouvons vous demander de justifier de votre identité. Si vous êtes client d’une boutique qui utilise Clawdya Flow, nous transmettons votre demande à cette boutique, qui statue en sa qualité de responsable du traitement.
Vous pouvez également introduire une réclamation auprès de l’autorité algérienne de protection des données, l’Autorité nationale de protection des données à caractère personnel (ANPDP), ou auprès de l’autorité de contrôle de votre pays.
14. Mineurs
Clawdya Flow est un service professionnel destiné aux entreprises. Il ne s’adresse pas aux personnes de moins de 18 ans, et nous ne collectons pas sciemment leurs données en tant qu’utilisateurs.
15. Modifications de la présente politique
Nous pouvons mettre à jour la présente politique. La date figurant en haut de page indique la version la plus récente. Si une modification affecte de manière significative l’utilisation que nous faisons de vos données, nous en informerons les commerçants dans l’application ou par e-mail avant son entrée en vigueur.