Politique de confidentialité

1. Qui sommes-nous ?

Skoup est un service en ligne de mesure et d'amélioration de la visibilité des produits e-commerce dans les réponses des assistants d'intelligence artificielle (le « Service »). Skoup est le nom commercial du Service, édité par :

Lunify SAS, société par actions simplifiée au capital de 3 000,00 €, immatriculée au RCS de Paris sous le numéro 949 599 062, dont le siège social est situé 155 avenue de Choisy, 75013 Paris, France (« Lunify », « nous »).

Référent données personnelles : Lunify n'a pas désigné de délégué à la protection des données ; Emile Lepetit, Directeur général, est le référent données personnelles — hello@skoup.ai — ou par courrier : Lunify SAS — Données personnelles, 155 avenue de Choisy, 75013 Paris, France.

2. Champ d'application : responsable de traitement ou sous-traitant ?

La présente politique décrit les traitements pour lesquels Lunify est responsable de traitement, c'est-à-dire ceux qui concernent :

• les Utilisateurs du Service (propriétaires d'Espace, analystes, lecteurs, y compris les clients d'agence invités, et les développeurs qui utilisent l'API publique) ;
• les représentants du Client dans le cadre de la relation commerciale (souscription, facturation) ;
• les prospects et visiteurs des sites skoup.ai et app.skoup.ai ;
• les destinataires externes de rapports, pour la gestion de leur désabonnement.

Lorsque Lunify traite des données pour le compte d'un Client dans son Espace (catalogue, commandes de la boutique, données issues des intégrations, contenus, organisation de l'équipe), Lunify agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Ces traitements sont régis par l'accord de sous-traitance (DPA) conclu avec le Client. Pour exercer vos droits sur ces données, adressez-vous en priorité au Client concerné ; nous lui transmettrons toute demande qui nous parviendrait directement.

Les termes « Client », « Utilisateur », « Compte », « Espace », « Marque » et « Crédit » ont le sens défini dans les Conditions générales de vente (CGV) et d'utilisation (CGU).

3. Quelles données traitons-nous, pourquoi et sur quelle base ?

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD et aucune décision produisant des effets juridiques n'est prise à votre égard sur le seul fondement d'un traitement automatisé.

Données provenant de tiers. Lorsque vous vous connectez avec Google ou Shopify, nous recevons de ce fournisseur votre identifiant, votre adresse e-mail et, le cas échéant, votre nom et le domaine de votre boutique. Lorsque vous vous connectez par SSO, nous recevons du fournisseur d'identité de votre organisation (choisi et configuré par le Client) votre identifiant chez ce fournisseur, votre adresse e-mail et, s'il les transmet, vos prénom et nom ; si le Client l'a décidé, votre Compte est alors créé et vous rejoignez son Espace automatiquement. Lorsque vous êtes invité, nous recevons votre adresse e-mail de la personne qui vous invite.

Caractère obligatoire. L'adresse e-mail est indispensable à la création d'un Compte. Les autres informations sont facultatives sauf mention contraire au moment de la collecte.

4. Ce que Skoup n'envoie pas aux fournisseurs d'intelligence artificielle

Le cœur du Service consiste à poser des requêtes d'achat génériques à des assistants d'IA (ChatGPT, Claude, Gemini, Perplexity, Grok, Mistral, DeepSeek, Qwen) et à analyser leurs réponses au regard du catalogue produits du Client. Les éléments transmis aux fournisseurs d'IA sont : les requêtes (formulées de manière neutre, sans nommer la marque), des extraits du catalogue (noms, descriptions, attributs, prix des produits) et les fiches d'identité produit, ainsi que le pays, la langue et la devise du marché.

Vos données de Compte (nom, e-mail, identifiants) ne sont pas transmises aux fournisseurs d'IA. Les CGU interdisent d'insérer des données personnelles dans les requêtes et les fiches produit.

5. Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes qui en ont besoin :

• les membres habilités de l'équipe Lunify (administration, support), dans la limite de leurs attributions ;
• les autres Utilisateurs de l'Espace auquel vous appartenez, selon les rôles définis par le Client (par exemple, votre nom apparaît dans le journal d'activité et sur les tâches qui vous sont assignées) ;
• nos sous-traitants, listés ci-dessous, qui agissent sur nos instructions et sont tenus contractuellement à la confidentialité et à la sécurité ;
• les autorités administratives ou judiciaires, lorsque la loi l'exige.

Nous ne vendons ni ne louons vos données.

Mesure d'audience. Lunify mesure la fréquentation du Service avec Umami, un logiciel libre qu'elle héberge elle-même chez OVH, à Gravelines (France), sur analytics.skoup.ai : aucun éditeur d'outil d'analyse ne reçoit de données (voir article 10).

Fournisseurs de connexion et d'intégration. Google (connexion sociale, Search Console, Google Analytics 4), Shopify (connexion sociale, boutique) et Slack (webhook d'alertes configuré par le Client) ne sont pas nos sous-traitants : ils agissent en qualité de responsables de traitement distincts, selon leurs propres politiques, et vous les utilisez à votre initiative ou à celle du Client.

Fournisseurs finaux des modèles d'IA. Pour servir chaque requête, OpenRouter fait appel à des fournisseurs de modèles d'IA et d'infrastructure qu'il désigne (éditeurs ou hébergeurs des modèles), qui interviennent comme sous-traitants de rang suivant, engagés par OpenRouter sous des obligations de protection équivalentes. Chaque requête n'est routée que vers des fournisseurs qui n'utilisent pas les données pour entraîner leurs modèles ; les requêtes contenant des extraits de votre catalogue ne vont qu'à des fournisseurs à rétention nulle. Pour les modèles DeepSeek et Qwen, la requête va à l'hébergeur le moins cher qui respecte ces conditions, qui peut être établi hors de l'Union européenne, y compris en Chine ; ces modèles ne reçoivent que la requête d'achat neutre et le pays, la langue et la devise du marché — jamais d'extrait de votre catalogue ni de donnée personnelle. Anthropic n'entraîne pas ses modèles sur les requêtes de son API et les supprime sous 30 jours.

6. Transferts hors de l'Union européenne

Certains sous-traitants sont établis aux États-Unis ou y ont accès aux données (Vercel, Stripe, OpenRouter, Anthropic, et le groupe Amazon pour AWS). Ces transferts sont encadrés :

• par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au EU-U.S. Data Privacy Framework, pour les destinataires certifiés ;
• à défaut, par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), complétées le cas échéant de mesures supplémentaires.

Vercel, Amazon Web Services et Stripe sont certifiés au titre du Data Privacy Framework ; leurs accords de traitement prévoient aussi les clauses contractuelles types. OpenRouter et Anthropic sont liés par les clauses contractuelles types incorporées à leurs accords de traitement ; pour ces transferts, nous avons documenté une analyse d'impact des transferts et appliquons des mesures supplémentaires (minimisation des données transmises, absence de données de Compte, fournisseurs sans entraînement sur les données, chiffrement en transit). Vous pouvez obtenir une copie des garanties applicables en nous écrivant à l'adresse indiquée à l'article 1.

7. Durées de conservation

À l'issue de ces durées, les données sont supprimées ou anonymisées. Elles peuvent être conservées plus longtemps en archive intermédiaire lorsque la loi l'impose ou pour la défense de nos droits, pendant la durée de prescription applicable.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées, notamment : chiffrement des communications (HTTPS), hachage des mots de passe, des codes à usage unique et des liens d'invitation, chiffrement au repos des jetons d'accès aux services tiers (Google, Shopify, Slack), authentification par clé d'accès (passkey), isolation des données de chaque Espace dans un schéma de base de données distinct, fichiers privés servis par des liens signés à durée limitée (60 minutes), limitation de débit et blocage temporaire en cas d'échecs d'authentification répétés, journalisation des accès de l'équipe interne. Le détail figure en annexe du DPA.

9. Vos droits

Conformément au RGPD et à la loi « Informatique et Libertés » du 6 janvier 1978 modifiée, vous disposez des droits suivants :

• accès à vos données et obtention d'une copie ;
• rectification des données inexactes ou incomplètes (la plupart sont modifiables directement dans votre profil) ;
• effacement (vous pouvez supprimer votre Compte depuis votre profil, sauf si vous êtes le seul propriétaire d'un Espace) ;
• limitation du traitement ;
• opposition au traitement fondé sur notre intérêt légitime, et à tout moment à la prospection ;
• portabilité des données que vous nous avez fournies, lorsque le traitement repose sur le contrat ;
• directives relatives au sort de vos données après votre décès.

Vous pouvez aussi, à tout moment, régler vos préférences de notification dans votre profil ou vous désabonner d'une catégorie d'e-mails par le lien présent dans chaque message, sans avoir à vous connecter.

Pour exercer vos droits, écrivez à hello@skoup.ai (à l'attention d'Emile Lepetit, référent données personnelles) ou par courrier à l'adresse indiquée à l'article 1. Nous pourrons vous demander de justifier de votre identité en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes.

Si les données concernées sont traitées pour le compte d'un Client (voir article 2), nous transmettons votre demande au Client, qui y répond en sa qualité de responsable de traitement.

Réclamation. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

10. Cookies et traceurs

10.1 Ce que nous utilisons

Skoup n'utilise aucun cookie publicitaire ni de réseau social, et n'intègre aucun outil d'analyse tiers. Les cookies et stockages locaux déposés sont strictement nécessaires au fonctionnement du Service ou mémorisent un choix que vous avez fait ; conformément à l'article 82 de la loi « Informatique et Libertés » et aux lignes directrices de la CNIL (délibération n° 2020-091 du 17 septembre 2020), ils sont exemptés de consentement. La mesure d'audience décrite ci-dessous a deux niveaux : un niveau anonyme, exempté de consentement, et un niveau rattaché à votre Compte, qui n'a lieu qu'avec votre accord, recueilli par un bandeau à votre première visite.

Cookies (posés sur le domaine .skoup.ai, pour être partagés entre app.skoup.ai et l'adresse de votre Espace) :

Stockage local du navigateur (non transmis à nos serveurs) : thème clair/sombre, filtres d'affichage (modèles d'IA, marché, période), éléments récents de la palette de commandes, mode développeur, fermeture du bandeau annonçant une nouvelle version des CGU, et votre refus de la mesure d'audience (umami.disabled) ; le temps d'une connexion par Google, Shopify ou SSO, le mode de connexion choisi (skoup-auth-method, effacé au retour). Ces informations restent sur votre appareil.

Mesure d'audience. Pour savoir quelles pages et quelles étapes du Service sont utilisées, et d'où viennent nos visiteurs, Lunify utilise Umami, auto-hébergé chez OVH en France (analytics.skoup.ai). Il ne dépose aucun cookie et lit les informations envoyées par tout navigateur (adresse de la page, site d'origine, langue, taille d'écran, navigateur et système). Il fonctionne à deux niveaux :

1. Mesure anonyme, pour tous (article 3, ligne 15). Elle respecte les conditions d'exemption de la CNIL :
   • elle sert uniquement à produire des statistiques de fréquentation pour le compte de Lunify, jamais à vous suivre sur d'autres sites ni à vous proposer de la publicité ;
   • elle n'est jamais recoupée avec votre Compte ou d'autres traitements : aucun identifiant de Compte, d'Espace ou de Marque, aucun nom, aucune adresse e-mail et aucun contenu saisi n'est envoyé, les identifiants présents dans les adresses sont masqués et le nom de votre Espace n'apparaît pas ;
   • vous pouvez la refuser à tout moment (voir 10.2).
2. Mesure rattachée à votre Compte, avec votre accord (article 3, ligne 16). Si vous cliquez sur « Accepter » dans le bandeau, les statistiques de vos visites sont reliées à votre Compte (identifiant et adresse e-mail) et à l'Espace consulté, pour que nous comprenions votre parcours et l'origine des inscriptions et des souscriptions. Si vous cliquez sur « Refuser », ou tant que vous n'avez pas répondu, seule la mesure anonyme a lieu. Votre choix vaut pour tous les sous-domaines de Skoup et est conservé 6 mois (cookie skoup-consent).

Dans les deux cas : l'adresse IP n'est pas conservée (seuls le pays et la ville en sont déduits), les données restent en France chez notre hébergeur et ne sont transmises à aucun tiers, elles sont conservées 25 mois au plus, et rien n'est mesuré pendant une session d'assistance du support, ni sur le panel interne de l'équipe Lunify, ni si votre navigateur envoie le signal « Do Not Track ».

Polices de caractères. Les polices de l'interface sont servies par nos propres serveurs ; aucune requête n'est faite à un service tiers de polices lors de votre navigation.

10.2 Gérer les cookies

Vous pouvez supprimer ou bloquer les cookies depuis les réglages de votre navigateur. Le blocage du cookie skoup-session empêche la connexion au Service.

Changer d'avis sur la mesure d'audience. Les deux niveaux se règlent à tout moment avec les interrupteurs en bas de cette page (sans être connecté, lien « Cookies » en pied de page) ou dans Mon profil → Préférences :

• retirer votre accord à la mesure rattachée à votre Compte est aussi simple que de l'avoir donné : l'interrupteur « Statistiques rattachées à votre compte » ; le retrait vaut pour l'avenir, dès la page suivante ;
• refuser aussi la mesure anonyme : l'interrupteur « Mesure d'audience », mémorisé sur votre appareil (umami.disabled) et à renouveler sur chaque navigateur. Activer « Do Not Track » dans votre navigateur a le même effet.

Aucun de ces choix n'a de conséquence sur l'utilisation du Service. Pour faire effacer les statistiques déjà rattachées à votre Compte, écrivez-nous (article 9).

10.3 Évolution

Si un nouveau traceur est ajouté ou si la finalité d'un traceur existant change, la présente section sera mise à jour et, lorsqu'il est soumis à consentement, votre accord vous sera demandé à nouveau avant tout dépôt.

11. Modification de la présente politique

Nous pouvons modifier la présente politique pour tenir compte de l'évolution du Service ou de la réglementation. La date de mise à jour figure en tête du document. En cas de modification substantielle, nous vous en informerons par e-mail ou dans le Service.