Politique de confidentialité

1. Responsable du traitement et contact

Lusca est exploité par Yanis FAHEM, entrepreneur individuel, Tour Ariane, 5 Place de la Pyramide, 92800 Puteaux – La Défense, France, SIREN 920 580 404. L’exploitant est responsable de ses traitements de compte, sécurité et administration du service. Directeur de la publication : Yanis FAHEM.

Contact confidentialité et droits : support@getlusca.com. Téléphone professionnel : +33 7 83 88 19 47.

2. Portée du service

Lusca est une bêta publique expérimentale destinée à des utilisateurs professionnels majeurs agissant pour un marchand ou une organisation. Elle relie un espace autorisé à Shopify, Google Ads, Merchant Center, Search Console et Google Analytics 4 et fournit diagnostics, rapports et analyses prises en charge depuis l’interface web ou un client IA autorisé.

Les nouveaux comptes publics peuvent utiliser un fournisseur d’identité pris en charge qui fournit un identifiant stable et un e-mail vérifié, ou un e-mail/mot de passe avec vérification Lusca. Google, GitHub et Apple sont pris en charge lorsqu’ils sont configurés ; l’écran public actuel expose Google et GitHub. L’inscription e-mail/mot de passe crée seulement un compte, une organisation et une appartenance non opérationnels en attente. Lusca envoie un lien court par son expéditeur transactionnel Brevo dédié ; Brevo transporte le message, mais Lusca seul valide le jeton à usage unique et active le compte. Aucune session opérationnelle ni aucun accès à l’espace n’existe avant confirmation. La bêta actuelle autorise un seul espace par organisation.

Les lectures prises en charge couvrent l’identité de boutique Shopify, le catalogue, les produits, variantes, prix, statut, stock et, lorsque Shopify accorde la lecture des commandes pendant l’installation, les ventes dérivées des 60 derniers jours ; la configuration, les campagnes, budgets, statuts, diagnostics PMax et performances Google Ads ; les offres, disponibilités, destinations, états d’approbation, problèmes et données Free Listings Merchant ; les requêtes, pages et performances quotidiennes Search Console ; et les performances agrégées GA4.

Lusca prend aussi en charge six modifications fournisseur étroites uniquement par le parcours de carte humaine protégée décrit ci-dessous. Elle crée ses propres données de compte, authentification, jetons chiffrés, caches, consentements, revues et audits nécessaires au service et à sa sécurité.

3. Données traitées

• Compte et accès : e-mail ; nom et organisation définitifs requis lors de la confirmation d’un compte par mot de passe (ou informations de profil du fournisseur pour un compte IdP) ; hash du mot de passe, état et date de vérification de l’e-mail, identifiant stable du fournisseur d’identité et signal d’e-mail vérifié, rôle, appartenance, session et état de sécurité. Les comptes historiques ne sont pas marqués silencieusement comme vérifiés.
• Preuve d’acceptation : Conditions v2.4.0 et Politique v2.4.0, horodatage serveur, méthode, langue et référence du compte ; cette preuve n’inclut ni adresse IP ni user-agent.
• Espace et connexions : identité de boutique/espace, domaines, devise, fuseau, fournisseur, compte ou propriété sélectionné, scopes accordés, statut, identifiants OAuth chiffrés et état OAuth borné.
• Shopify : catalogue, produits, variantes, prix, statut, disponibilité et stock. Les commandes sont limitées aux 60 jours précédents et aux identifiants, dates, statut financier, montants, devise et lignes nécessaires aux agrégats pris en charge. Les profils clients et champs Protected Customer Data de niveau 2 ne sont ni demandés ni intentionnellement stockés ; aucune table de commandes n’est maintenue.
• Google : configuration et métriques Ads, Merchant Center, Search Console et GA4 listées à la section 2. Les réponses fournisseur sont généralement traitées en mémoire ; les caches Merchant et Shopify conservent les données produit documentées nécessaires à leurs fonctions.
• Actions protégées : contexte exact espace/fournisseur, ressource, valeurs actuelle et cible, limites, état, hashes des capacités, décision, compteur de tentative limité à zéro ou un, résultat et événements append-only. Les identifiants d’authentification et secrets fournisseur, capacités privées brutes, adresses IP et user-agents sont exclus des événements d’action.
• Activation de l’analyse ChatGPT : utilisateur, tenant, client/ressource/scopes, espace exact, périmètre fermé Shopify, Google Ads, Merchant Center, Search Console et GA4, catégories couvertes, finalité, destinataire ChatGPT/OpenAI, politiques de conservation et destinataire versionnées, langue, activation et retrait. Aucun identifiant brut de compte fournisseur ne fait partie de ce reçu de politique. Lusca ne lit ni ne modifie les réglages Données, Mémoire et synchronisation ChatGPT de l’utilisateur.
• Vérification et récupération e-mail : finalité, langue, dates de création, expiration et consommation, liaison aux versions juridiques, résultat de livraison et seulement le hash cryptographique de chaque jeton aléatoire à usage unique. Les jetons de vérification et de réinitialisation sont distincts. Les jetons et liens bruts sont exclus des métriques et audits Lusca.
• Opérations et support : éléments bornés de synchronisation, erreur, prévention des abus et sécurité, notamment des compteurs durables indexés par des références HMAC privacy-safe dérivées de l’e-mail et de l’adresse de requête ; adresse d’expéditeur et informations fournies volontairement à la boîte support. Ces références pseudonymes ne sont pas anonymes. Des cookies/états strictement nécessaires de session, CSRF et OAuth sont utilisés ; la bêta publique n’utilise pas de cookie publicitaire.

4. Sources, autorisations et accès aux commandes Shopify

Les données viennent de l’utilisateur, des membres autorisés de l’espace, du fournisseur d’identité choisi et des comptes commerce ou Google explicitement connectés. Les connexions sont facultatives ; leur déconnexion rend les fonctions associées indisponibles ou incomplètes.

Shopify demande exactement read_orders, write_products et write_inventory pour cette release ; les scopes write incluent les lectures produit et stock correspondantes. read_all_orders, write_orders et les champs client de niveau 2 sont exclus.

Installer Lusca et accorder read_orders autorise techniquement Lusca à lire les commandes de cette boutique exacte vérifiée. L’accès échoue de façon fermée si l’application est désinstallée, si le scope manque ou est retiré, ou si l’identité de la boutique et de la connexion n’est pas prouvée. Une connexion historique sans cette preuve complète doit se reconnecter une fois par le parcours Shopify officiel. Les lectures sont limitées à 60 jours, minimisées aux champs listés ci-dessus, traitées en mémoire et protégées par chiffrement en transit et au repos ; Lusca ne demande aucun champ client de niveau 2, ne maintient aucune table de commandes et n’effectue aucune écriture fournisseur automatique.

Cette autorisation Shopify enregistre l’autorisation technique du marchand pour le service demandé. Elle ne remplace aucun accord de traitement des données ni aucune autre obligation de protection des données éventuellement applicable lorsque Lusca agit comme sous-traitant selon les instructions documentées du marchand.

5. Finalités et bases juridiques

Les données de compte, espace et comptes connectés servent à créer et sécuriser le compte, vérifier le contrôle de l’adresse e-mail, récupérer l’accès, fournir les fonctions demandées, connecter les fournisseurs sélectionnés et renvoyer les résultats demandés au titre des Conditions. Une inscription e-mail/mot de passe en attente et une étape Shopify pré-installation limitée reposent sur les mesures demandées avant conclusion du contrat.

La sécurité, la prévention des abus, l’intégrité du service et des éléments opérationnels étroits reposent sur les intérêts légitimes de Lusca mis en balance avec les droits. Les preuves légales et demandes de droits répondent aux obligations applicables. Le support repose selon la demande sur les Conditions, une obligation légale ou l’intérêt légitime.

La transmission séparée de résultats marchand et Google à ChatGPT suit l’instruction affirmative, propre à l’espace et révocable d’activation du service décrite à la section 6. Lusca ne vend pas les données personnelles, ne réalise pas de profilage marketing et n’utilise pas les données connectées pour une publicité sans rapport.

6. Activation séparée de l’analyse ChatGPT

Connecter un fournisseur ou accepter les Conditions n’active pas la transmission de ses résultats à ChatGPT. Dans le parcours ChatGPT, la création de l’espace exige une activation du service séparée, initialement non cochée, affirmative et versionnée. C’est une instruction unique pour le périmètre fermé de la politique, pas une matrice de consentements optionnels par fournisseur.

Le reçu lie l’utilisateur, le tenant, le client/ressource/scopes et l’espace exact à Shopify, Google Ads, Merchant Center, Search Console et GA4, aux catégories publiées, à la finalité visible, au destinataire ChatGPT/OpenAI et aux politiques de conservation/destinataire versionnées. Un espace vide peut être activé. Connecter ensuite l’un de ces cinq fournisseurs couverts ne redemande pas l’activation et n’invalide pas la connexion ChatGPT.

La notice est affichée avant le premier transfert. L’utilisateur doit vérifier ses réglages Données et Personnalisation ChatGPT avant d’activer. Lusca transmet uniquement les résultats minimisés demandés pour la fonction visible ; jamais les jetons OAuth, mots de passe, secrets client, capacités privées de carte ou données d’un autre espace.

Une revalidation est exigée seulement si la politique change par l’ajout d’un fournisseur, d’une catégorie, d’une finalité, d’un destinataire ou d’une politique de conservation. Le retrait bloque les transmissions futures pour le contexte exact client/espace/ressource/scope et révoque ses familles actives de refresh tokens Lusca. Il n’efface pas un contenu déjà conservé dans ChatGPT : l’utilisateur le gère dans ChatGPT.

Cette activation n’autorise jamais une écriture fournisseur. Toute écriture prise en charge reste soumise à la carte protégée séparée, à un clic humain frais et à une tentative fournisseur au plus.

Les jetons OAuth, mots de passe, secrets client, capacités privées de carte et données sans rapport ne font jamais partie du résultat IA. L’utilisateur professionnel doit être autorisé à divulguer les données marchand/fournisseur sélectionnées.

7. Données Google API et Limited Use

Lusca accède aux données Google uniquement pour les fonctions visibles demandées par un utilisateur autorisé. Merchant Center, Search Console et GA4 restent en lecture seule. Le scope Google Ads adwords n’est pas intrinsèquement read-only, mais Lusca limite les écritures aux trois actions Ads protégées, au compte client Google Ads exact lié à l’espace et à une décision humaine fraîche dans la carte ; aucun fallback global n’est admis pour une action marchand.

Une écriture Google Ads en production échoue aussi de façon fermée tant qu’une évaluation actuelle ne lie pas le client exact à un niveau d’accès de jeton développeur éligible, à la finalité autorisée de création/gestion d’annonces et au statut Required Minimum Functionality applicable. La simple possession d’une chaîne de jeton développeur n’ouvre jamais une écriture.

L’utilisation et le transfert par Lusca des informations reçues des API Google vers toute autre application respectent la Google API Services User Data Policy, notamment ses exigences Limited Use.

Les données utilisateur Google ne sont ni vendues, ni utilisées pour une publicité sans rapport, ni divulguées à des courtiers. Un résultat dérivé de Google n’est envoyé à ChatGPT que pour la fonction visible demandée par l’utilisateur et après le choix séparé de la section 6. Une fois transmis, ChatGPT traite ce résultat selon les réglages du compte ChatGPT et les conditions OpenAI applicables.

8. Actions fournisseur protégées

Les actions Shopify sont limitées à un prix de variante, une quantité disponible exacte à une location explicitement sélectionnée ou un statut produit. Les actions Google Ads sont limitées à un statut de campagne, un budget journalier ou un statut d’asset group. Merchant Center, Search Console et GA4 n’ont aucune opération d’écriture Lusca.

Pour ce pilote, les changements de prix Shopify et de budget journalier Google Ads ne sont disponibles que si la devise live du fournisseur est EUR. Lusca n’effectue aucune conversion ; les actions de stock et de statut ne réinterprètent aucune devise monétaire.

Chaque revue couvre une action et dure 15 minutes. Lusca résout côté serveur l’espace et le compte fournisseur, lit l’état live actuel et affiche le passage actuel-vers-cible. Seul un owner/admin actif authentifié peut approuver ou rejeter avec les contrôles de la carte. Un texte de chat tel que « j’approuve » ne vaut jamais décision.

En production, les décisions de la carte restent indisponibles tant qu’une évaluation actuelle et étayée ne prouve pas, pour le client cible et la ressource OAuth exacts, que les métadonnées privées du widget et la capacité de décision sont isolées du modèle et que seul le contrôle de la carte soumet la décision. Le simple libellé widget-only ne constitue pas une preuve.

L’approbation revérifie l’état live et réserve l’effet avant de tenter au plus une écriture fournisseur. Un double clic ne produit pas de seconde tentative. Un timeout ou résultat ambigu n’est jamais retenté automatiquement ; le contrôle Recheck effectue seulement une réconciliation read-only. Une autre écriture exige une nouvelle revue et une nouvelle décision humaine.

9. Destinataires, hébergement et transferts

Les membres autorisés de l’espace et les personnes ayant besoin d’un accès minimal pour le support, la sécurité ou le respect du droit peuvent accéder aux données utiles. Scalingo SAS (RCS Strasbourg 808 665 483), 13 rue Jacques Peirotes, 67000 Strasbourg, France, héberge l’application et la base dans la région osc-fr1, France sélectionnée. Contact : support@scalingo.com. Lusca ne publie aucun téléphone d’hébergeur non vérifié car les mentions Scalingo utilisées ici n’en fournissent pas.

Brevo, opéré par Sendinblue SAS (RCS Paris 498 019 298), 9–17 rue Salneuve, 75017 Paris, France, est le sous-traitant prévu de Lusca pour livrer les messages transactionnels de vérification et récupération depuis un expéditeur getlusca.com dédié. Son DPA article 28 publié constitue l’annexe 3 des Conditions générales Brevo. Brevo reçoit l’adresse destinataire, la langue, l’objet et le corps contenant le lien opaque Lusca, ainsi que des métadonnées de livraison bornées. Il n’est pas autorisé pour le marketing et ne décide jamais de l’activation.

Brevo documente un hébergement principal par OVH en France et Google Cloud en Belgique. Sa liste de sous-traitants ultérieurs nécessaires couvre aussi des services d’infrastructure, sécurité, support et reporting, ainsi que des entités de support du groupe Brevo ; lorsqu’un destinataire est hors EEE, les garanties publiées comprennent selon le cas le cadre UE–États-Unis de protection des données, les clauses contractuelles types ou des règles d’entreprise contraignantes. L’expéditeur Brevo, le domaine et les réglages de confidentialité Lusca destinés à la production ont été vérifiés le 12 août 2026. L’e-mail par mot de passe échoue encore de façon fermée dès que sa configuration runtime, son budget de livraison, la pause globale ou les contrôles d’admission ne l’autorisent pas.

Les messages support sont traités par le service de boîte configuré. Cette revue de code ne prouve ni localisation fixe de la boîte, ni durée de rétention fournisseur, ni calendrier d’accès ; aucune promesse plus précise n’est formulée. L’utilisateur ne doit fournir aucun identifiant ni donnée client inutile.

Sur instruction de l’utilisateur, les services Shopify, Google et d’identité connectés traitent les données de connexion selon leurs propres conditions. ChatGPT/OpenAI est un destinataire distinct seulement après satisfaction de la section 6. L’entité OpenAI, son rôle, les lieux et les garanties de transfert applicables dépendent du contrat et de la configuration réels du compte ; l’utilisateur doit consulter les informations OpenAI applicables et ses réglages ChatGPT avant d’accepter la notice.

10. Rétention et copies de reprise

• Cookies de session web et CSRF : jusqu’à 7 jours. État OAuth identité : 10 minutes. Intention/réservation d’installation Shopify : 15 à 30 minutes. État OAuth fournisseur : valide 10 minutes ; les lignes expirées ou consommées depuis plus d’une heure supplémentaire sont purgées opportunément au démarrage d’une nouvelle autorisation fournisseur.
• Les liens de vérification d’e-mail et de réinitialisation du mot de passe expirent après environ 20 minutes, sont à usage unique et ne sont stockés par Lusca que sous hash. Un renvoi invalide les anciens jetons de vérification. Une réinitialisation réussie révoque les sessions et familles de jetons Lusca actives concernées. Un balayage de rétention s’exécute après le démarrage du service puis chaque heure : il vise les comptes e-mail en attente sans boutique après 24 heures dès qu’aucun lien de vérification ne reste actif ; les lignes de jeton 24 heures après expiration, consommation ou invalidation ; les compteurs anti-abus durables après 3 jours ; et l’audit de résultats à références HMAC après 30 jours. Quand le service est sain, la suppression peut donc survenir jusqu’à environ une heure après l’échéance ; une indisponibilité la reporte au prochain démarrage ou balayage réussi.
• Pour le parcours mot de passe de production, le compte Brevo live a été vérifié le 12 août 2026 avec des logs transactionnels limités à un mois et les aperçus de contenu désactivés. Le consentement de suivi par contact est activé sur ce compte partagé. Le défaut pour les contacts au consentement inconnu reste activé pour les autres messages du compte, tandis que chaque requête Lusca refuse explicitement le suivi par destinataire. Brevo ne conserve donc les ouvertures et clics Lusca que sous forme d’agrégats anonymisés, sans les rattacher au destinataire. Lusca utilise dans ce compte son propre domaine authentifié, son expéditeur, sa clé et ses tags.
• Code d’autorisation MCP : 10 minutes ; les codes expirés et codes consommés depuis plus d’une heure sont purgés opportunément à la création d’un autre code. Access token MCP : 1 heure. Famille de refresh tokens : 30 jours par défaut, configurable vers une valeur plus courte vérifiée, avec rotation et révocation.
• Les réponses de commandes Shopify sont limitées à la fenêtre de 60 jours demandée et traitées en mémoire ; aucune table de commandes n’est maintenue. Les réponses fournisseur brutes ne sont pas copiées durablement sauf cache borné requis par une fonction documentée.
• Les rapports quotidiens multi-sources sont générés et renvoyés en mémoire en production ; le runtime de production ne lit ni n’écrit de fichier de rapport sur le disque local.
• Revue d’action et capacités privées : 15 minutes. La capacité de décision est à usage unique et n’est stockée côté serveur que sous hash. Aucune durée de purge générale n’est encore prouvée pour les revues terminées ou événements d’action append-only.
• Le code ne fixe aucune durée calendaire générale pour comptes, espaces, métadonnées fournisseur, caches produit, lignes de synchronisation/erreur, reçus IA ou messages support. Des remplacements, révocations et suppressions ciblés existent, mais toute durée supplémentaire reste à documenter et vérifier avant d’être promise.
• Les snapshots applicatifs chiffrés conservent par défaut les 10 dernières générations, nombre configurable et non durée calendaire. La revue de code ne prouve pas la rotation ni le délai de suppression des sauvegardes de plateforme Scalingo séparées. Une demande de droits ou fermeture inclut donc systèmes actifs, snapshots et backups dans l’inventaire manuel ; aucun délai universel de suppression des sauvegardes n’est promis.

11. Droits, export, déconnexion et suppression

Selon le traitement, une personne peut demander accès et copie, rectification, effacement, limitation, portabilité, s’opposer à un intérêt légitime et retirer son consentement pour l’avenir. Les demandes commencent par l’Assistance. Lusca convient d’une preuve proportionnée d’identité et d’autorité et d’une frontière exacte utilisateur/tenant/espace avant action.

La bêta ne promet aucun export ni effacement global en libre-service. Le code contient des contrôles locaux bornés d’export, retrait et suppression, mais le parcours complet réunissant vérification manuelle d’identité, canal de remise sécurisé, révocation fournisseur, dépôt d’actions externe, snapshots et sauvegardes de plateforme n’est pas encore vérifié opérationnellement. Toute action destructive échoue donc de façon fermée tant que l’autorité, la portée, l’état des identifiants actifs et chaque système concerné ne sont pas prouvés pour la demande. Aucun achèvement universel non vérifié de 30 jours n’est promis.

Après réussite de son chemin ciblé, déconnecter un fournisseur bloque les nouveaux appels fournisseur et invalide les caches Lusca actifs associés. Cela ne prouve pas à lui seul la révocation chez le fournisseur ni l’effacement des snapshots ou sauvegardes de plateforme. L’utilisateur doit aussi révoquer l’accès dans les contrôles du fournisseur. Lusca répond normalement à une demande RGPD dans un délai d’un mois et explique toute prolongation légale dans ce premier mois. Une réclamation peut être adressée à la CNIL.

12. Sécurité et décisions automatisées

Les mesures proportionnées au risque comprennent HTTPS/TLS, chiffrement des jetons fournisseur et snapshots, liaison tenant/espace, moindre privilège, état OAuth signé, limites durables, capacités privées et jetons e-mail hashés côté serveur, consommation atomique à usage unique, révocation des sessions après changement de mot de passe et contrôles visant à ne pas journaliser les secrets. Aucun service internet ne peut garantir une sécurité absolue.

Lusca ne prend aucune décision exclusivement automatisée produisant des effets juridiques ou similaires. Diagnostics et recommandations restent informatifs ; chaque modification fournisseur prise en charge exige la décision humaine séparée par carte décrite à la section 8.

13. Modifications, langue faisant foi et contact

Les modifications substantielles imposent une nouvelle acceptation ou reconnaissance avant reprise de l’accès lorsque le service l’exige. La version française fait foi ; la version anglaise est une traduction de commodité. Demandes confidentialité, droits et suppression : support@getlusca.com.

Exercer un droit · CNIL · Politique Google API Services · Mentions Scalingo · Confidentialité OpenAI (EEE)