Politique de confidentialité — OTS Stock Planner
Dernière mise à jour : 14 septembre 2026
1. Qui sommes-nous
L'application OTS Stock Planner (ci-après « l'Application ») est éditée par OTS, société par actions simplifiée (SAS), SIREN 884 159 971, dont le siège est situé 1010 D Chemin de Berre, 13760 Saint-Cannat, France.
Contact pour toute question relative aux données personnelles : apps@ots.tech.
L'Application est distribuée via le Shopify App Store et aide les commerçants Shopify à piloter leur réassort : alertes de stock, prévisions de demande, plans de réassort, bons de commande fournisseurs et transferts de stock entrants.
2. Champ d'application
Cette politique décrit les données traitées lorsqu'un commerçant (« le Marchand ») installe et utilise l'Application sur sa boutique Shopify. Elle complète, sans la remplacer, la politique de confidentialité de Shopify et celle du Marchand vis-à-vis de ses propres clients.
3. Données que nous traitons
Données de la boutique — lors de l'installation et de l'utilisation, nous collectons et stockons :
- Identifiants de boutique : domaine
*.myshopify.com, jeton d'accès API délivré par Shopify (stocké de manière sécurisée, utilisé uniquement pour les appels API autorisés) ; - Préférences de l'Application : paramètres de réassort (délais, couverture cible, algorithme, rythme), réglages des transferts ;
- Données de réassort : plans de réassort, seuils et règles par article, bons de commande et leurs lignes, réceptions, transferts liés ;
- Données saisies par le Marchand : fiches fournisseurs (nom, adresse email professionnelle, délais, conditions, notes) et notes libres sur les commandes ;
- Paramètres d'envoi des emails : mode d'envoi choisi et, si le Marchand utilise son propre serveur d'envoi (SMTP), hôte, port, identifiant, adresse d'expéditeur et mot de passe — ce dernier est chiffré au repos (AES-256-GCM, clé conservée hors de la base de données) et n'est jamais réaffiché ;
- Adresse email de contact de la boutique (telle que renseignée dans Shopify) : destinataire des comptes-rendus de l'Application et adresse de réponse proposée aux fournisseurs.
Données produits, inventaire et ventes — l'Application lit, via l'API Shopify et avec les autorisations accordées par le Marchand (read_products, read_inventory, write_inventory, read_locations, read_orders et read_all_orders — ce dernier pour lire jusqu'à 12 mois de commandes au lieu des 60 derniers jours, ainsi que les autorisations de transferts d'inventaire) : le catalogue produits (titres, variantes, SKU, coûts d'achat), les niveaux de stock, les emplacements et les commandes clients. Les commandes clients sont utilisées uniquement pour agréger les quantités vendues par article, par jour et par emplacement, afin de calculer la demande et les suggestions de réassort.
Données que nous ne stockons pas — l'Application ne conserve aucune donnée nominative des clients finaux de la boutique : ni noms, ni adresses, ni emails, ni données de paiement. Seuls des agrégats anonymes de ventes (article, jour, emplacement, quantité) sont enregistrés. Les identifiants de commandes ne sont conservés que sous forme d'empreinte (HMAC-SHA-256, clé hors base de données), pendant 30 jours, pour ne pas compter deux fois une même commande.
4. Finalités et base légale
| Traitement | Finalité | Base légale |
|---|---|---|
| Authentification OAuth et jetons | Fournir le service | Exécution du contrat |
| Agrégats de ventes et niveaux de stock | Prévisions et suggestions de réassort | Exécution du contrat |
| Plans, bons de commande, transferts | Fonctionnalité cœur de l'Application | Exécution du contrat |
| Envoi d'emails aux fournisseurs | Sur action ou règle configurée par le Marchand | Exécution du contrat |
| Comptes-rendus par email au Marchand | L'informer des commandes générées, envoyées ou à valider | Exécution du contrat |
| Email de support | Assistance | Exécution du contrat / intérêt légitime |
Aucune donnée n'est utilisée à des fins publicitaires, ni vendue, ni transmise à des tiers à des fins commerciales.
5. Durée de conservation
- Pendant l'utilisation : les données sont conservées tant que l'Application est installée, pour permettre l'historique des ventes analysé, des plans et des commandes.
- À la désinstallation : dès réception de la notification de désinstallation envoyée par Shopify, les jetons d'accès sont supprimés et l'intégralité des données de la boutique est définitivement effacée de nos systèmes : agrégats de ventes, plans, bons de commande, fournisseurs, préférences, paramètres d'envoi.
- Filet de sécurité : conformément au programme de conformité Shopify, le webhook
shop/redact(envoyé par Shopify environ 48 heures après la désinstallation) rejoue la même suppression, au cas où la première notification n'aurait pas été reçue. - Les sauvegardes techniques sont purgées selon leur cycle de rotation (14 jours maximum).
6. Webhooks de conformité RGPD/Shopify
L'Application implémente les trois webhooks de conformité obligatoires de Shopify :
customers/data_request: l'Application ne stockant aucune donnée nominative de client final, la réponse à une demande d'accès est « aucune donnée détenue » ; la demande est journalisée.customers/redact: sans objet (aucune donnée nominative de client stockée) ; la demande est journalisée.shop/redact: suppression définitive de toutes les données de la boutique, déjà effectuée à la désinstallation (voir §5).
7. Hébergement et sous-traitants
L'Application et sa base de données sont hébergées sur l'infrastructure propre de l'éditeur, située en France.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Shopify Inc. | Plateforme, authentification, facturation le cas échéant | Canada / UE (clauses contractuelles types) |
| Resend, Inc. | Relais d'envoi des emails (bons de commande, emails de test, comptes-rendus) lorsque le Marchand n'a pas configuré son propre serveur d'envoi | États-Unis ; envois traités en région UE (Irlande) ; clauses contractuelles types |
Les données traitées par l'éditeur sont hébergées dans l'Union européenne. Aucun transfert hors UE n'est réalisé par l'éditeur en dehors de ceux opérés par Shopify dans le cadre de la plateforme et par Resend pour l'acheminement des emails. Un email expédié contient au plus : l'adresse du fournisseur, l'adresse de contact de la boutique, le nom de la boutique et le bon de commande (articles, quantités, emplacements de livraison). Si le Marchand configure son propre serveur d'envoi, les emails partent par ce serveur et ne transitent pas par Resend.
8. Sécurité
- Chiffrement des échanges en transit (HTTPS/TLS) ;
- Jetons d'accès stockés en base de données à accès restreint ;
- Identifiants SMTP fournis par le Marchand chiffrés au repos (AES-256-GCM, clé hors base de données) ; identifiants de commandes pseudonymisés (empreinte HMAC-SHA-256) : aucune donnée rattachable à un client n'est stockée en clair ;
- Authentification de chaque requête embarquée via les session tokens Shopify ;
- Vérification cryptographique (HMAC) de tous les webhooks entrants ;
- Accès à l'infrastructure limité aux personnels habilités de l'éditeur.
9. Vos droits
Conformément au RGPD, le Marchand dispose de droits d'accès, de rectification, d'effacement, de limitation et de portabilité sur les données le concernant. Pour les exercer : apps@ots.tech. Réponse sous 30 jours au plus. Le Marchand peut également introduire une réclamation auprès de la CNIL (www.cnil.fr).
La suppression des données peut aussi être obtenue simplement en désinstallant l'Application (voir §5).
10. Cookies
L'interface embarquée de l'Application utilise uniquement des cookies techniques de session nécessaires à son fonctionnement au sein de l'admin Shopify. Aucun cookie publicitaire ou de suivi tiers n'est utilisé.
11. Modifications
Cette politique peut être mise à jour pour refléter les évolutions de l'Application ou de la réglementation. La date de dernière mise à jour figure en tête de document. En cas de changement substantiel, les Marchands installés en seront informés.
12. Contact
OTS (SAS) — 1010 D Chemin de Berre, 13760 Saint-Cannat, France
Email : apps@ots.tech