Ce que Norma conserve, pourquoi, et pendant combien de temps.

Responsable de traitement

[[A COMPLETER : raison sociale]]

Siège social

[[A COMPLETER : adresse du siege]]

Contact

bonjour@normah.io

Hébergement

Francfort, eu-central-1 (UE)

Mise à jour

[[A COMPLETER : date d'entree en vigueur]]

Compte

L’adresse e-mail que vous saisissez pour recevoir un lien de connexion, la date de vos connexions, et le jeton de session déposé après l’ouverture du lien.

Catalogue

Pour chaque variante surveillée : identifiant de variante, SKU, GTIN, prix, stock, URL d’image, ainsi que l’historique des états relevés sur chaque canal.

Intégrations

Les jetons d’accès délivrés par Shopify et par les canaux que vous connectez. Ils sont chiffrés au repos en AES-256-GCM et ne sont jamais réaffichés après leur enregistrement.

Alertes

Les destinations que vous configurez pour recevoir vos rapports : adresse e-mail, canal Slack ou Telegram selon votre plan.

Journaux techniques

Les traces produites par le service pour diagnostiquer une panne : horodatage, route appelée, code de réponse. Elles ne servent pas à établir un profil.

Finalités et bases légales

Aucun traitement ne repose sur votre consentement, parce qu’aucun ne sort de ce qui est nécessaire au service. Il n’y a donc rien à cocher, et rien à révoquer.

1. 01Aucun mot de passe

   Norma ne crée pas de mot de passe et n’en conserve aucun, ni en clair, ni sous forme d’empreinte. La connexion se fait par un lien envoyé à votre adresse, valable une heure et utilisable une seule fois.

   Il n’y a donc rien à réinitialiser, rien à faire fuiter, et aucune réutilisation de mot de passe à craindre. En contrepartie, l’accès à votre compte suit l’accès à votre boîte e-mail : protégez-la avec le soin que vous auriez accordé à un mot de passe.

2. 02Ce qui n’est pas lu

   La portée relative aux commandes n’est pas demandée à Shopify. Aucune donnée de vos acheteurs finaux n’est lue : ni nom, ni adresse, ni e-mail, ni moyen de paiement, ni historique d’achat.

   Les autorisations accordées à Norma sont en lecture seule. Aucune permission d’écriture n’est demandée, sur aucune plateforme.

   Aucune donnée n’est vendue, louée, ni transmise à un tiers à des fins publicitaires.

3. 03Durées de conservation

   Tant que votre compte est ouvert, les données nécessaires au service sont conservées.

   À la résiliation, l’ensemble des données du compte, catalogue et historique compris, est supprimé sous trente jours.

   L’historique des états par canal est conservé pour la durée annoncée par votre plan, indiquée sur la page d’accueil, section Tarifs.

   Les jetons d’intégration sont détruits dès le retrait de l’autorisation, sans attendre la résiliation du compte.

   Les journaux techniques ne sont pas conservés au-delà de ce qui est nécessaire au diagnostic et à la sécurité du service. Les pièces comptables le sont pendant la durée imposée par la loi, indépendamment de la clôture du compte.

4. 04Cookies

   Le seul cookie déposé maintient votre session après l’ouverture d’un lien de connexion. Il est strictement nécessaire au fonctionnement du service et ne requiert donc pas votre consentement.

   Aucun cookie publicitaire, aucune mesure d’audience tierce, aucun partage avec une régie. Il n’y a pas de bandeau à accepter parce qu’il n’y a rien à refuser.

5. 05Destinataires et sous-traitants

   Vos données ne sont communiquées qu’aux prestataires nécessaires au fonctionnement du service. Ils sont quatre, et sont nommés, avec leur rôle et leur région d’hébergement, sur la page des sous-traitants.

   La base de données et l’authentification sont opérées par Supabase, dans la région de Francfort (eu-central-1). Les e-mails partent de Resend, région d’Irlande (eu-west-1). Les données du produit restent donc dans l’Union européenne.

   Les pages du site sont servies par Vercel Inc., société de droit américain. Ce recours emporte un transfert hors de l’Union européenne pour les seules données de navigation, encadré par l’accord de sous-traitance conclu avec ce prestataire.

6. 06Sécurité

   Les échanges avec le service sont chiffrés en transit. Les jetons d’intégration sont chiffrés au repos en AES-256-GCM.

   Les portées demandées étant limitées à la lecture, un accès Norma compromis ne permettrait pas de modifier un catalogue, un stock ou une fiche produit.

   En cas de violation de données susceptible d’engendrer un risque pour vos droits, l’autorité de contrôle est notifiée dans les soixante-douze heures, et vous êtes informé directement lorsque le risque est élevé.

7. 07Vos droits

   Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition sur les données qui vous concernent.

   Ces droits s’exercent auprès de bonjour@normah.io, depuis l’adresse e-mail du compte. Une pièce d’identité n’est demandée qu’en cas de doute sérieux sur l’identité du demandeur.

   Une réponse vous parvient dans un délai d’un mois. Ce délai peut être porté à trois mois si la demande est complexe, auquel cas vous en êtes informé avant son expiration.

   Si la réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, sur cnil.fr.

8. 08Modification de la politique

   Toute modification substantielle de la présente politique est notifiée par e-mail avant sa prise d’effet. La version applicable est celle publiée sur cette page.