Politique de confidentialité

1. Qui sommes-nous ?

Skoup est un service en ligne de mesure et d'amélioration de la visibilité des produits e-commerce dans les réponses des assistants d'intelligence artificielle (le « Service »). Skoup est le nom commercial du Service, édité par :

Lunify SAS, société par actions simplifiée au capital de 3 000,00 €, immatriculée au RCS de Paris sous le numéro 949 599 062, dont le siège social est situé 155 avenue de Choisy, 75013 Paris, France (« Lunify », « nous »).

Référent données personnelles : Lunify n'a pas désigné de délégué à la protection des données ; Emile Lepetit, Directeur général, est le référent données personnelles — hello@skoup.ai — ou par courrier : Lunify SAS — Données personnelles, 155 avenue de Choisy, 75013 Paris, France.

2. Champ d'application : responsable de traitement ou sous-traitant ?

La présente politique décrit les traitements pour lesquels Lunify est responsable de traitement, c'est-à-dire ceux qui concernent :

• les Utilisateurs du Service (propriétaires d'Espace, analystes, lecteurs, y compris les clients d'agence invités, et les développeurs qui utilisent l'API publique) ;
• les représentants du Client dans le cadre de la relation commerciale (souscription, facturation) ;
• les prospects et visiteurs des sites skoup.ai et app.skoup.ai ;
• les destinataires externes de rapports, pour la gestion de leur désabonnement.

Lorsque Lunify traite des données pour le compte d'un Client dans son Espace (catalogue, commandes de la boutique, données issues des intégrations, visites du site du Client mesurées par le script que le Client y installe, contenus, organisation de l'équipe), Lunify agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Ces traitements sont régis par l'accord de sous-traitance (DPA) conclu avec le Client. Pour exercer vos droits sur ces données, adressez-vous en priorité au Client concerné ; nous lui transmettrons toute demande qui nous parviendrait directement.

Les termes « Client », « Utilisateur », « Compte », « Espace », « Marque » et « Mesure » ont le sens défini dans les Conditions générales de vente (CGV) et d'utilisation (CGU).

3. Quelles données traitons-nous, pourquoi et sur quelle base ?

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD et aucune décision produisant des effets juridiques n'est prise à votre égard sur le seul fondement d'un traitement automatisé : la clôture d'une conversation ou la suspension de l'Assistant Skoup pendant 24 heures (ligne 24) ne porte que sur l'assistant, laisse le reste du Service et l'accès à l'équipe intacts, et l'équipe peut la lever à votre demande.

E-mails de prospection. Nos e-mails de prospection (article 3, ligne 12) partent du domaine getskoup.com, qui appartient à Lunify et ne sert qu'à cela : adresses de la forme prénom@getskoup.com, réponses reçues sur reply.getskoup.com, liens et désinscription servis par go.getskoup.com. Un e-mail de ce domaine vient donc bien de Skoup ; vos droits s'exercent comme indiqué à l'article 9, et le lien de désinscription de chaque e-mail suffit à vous opposer à la prospection.

Données provenant de tiers. Lorsque vous vous connectez avec Google ou Shopify, nous recevons de ce fournisseur votre identifiant, votre adresse e-mail et, le cas échéant, votre nom et le domaine de votre boutique. Lorsque vous vous connectez par SSO, nous recevons du fournisseur d'identité de votre organisation (choisi et configuré par le Client) votre identifiant chez ce fournisseur, votre adresse e-mail et, s'il les transmet, vos prénom et nom ; si le Client l'a décidé, votre Compte est alors créé et vous rejoignez son Espace automatiquement. Lorsque vous êtes invité, nous recevons votre adresse e-mail de la personne qui vous invite.

Caractère obligatoire. L'adresse e-mail est indispensable à la création d'un Compte. Les autres informations sont facultatives sauf mention contraire au moment de la collecte.

4. Ce que Skoup n'envoie pas aux fournisseurs d'intelligence artificielle

Le cœur du Service consiste à poser des requêtes d'achat génériques à des assistants d'IA (ChatGPT, Claude, Gemini, Perplexity, Grok, Mistral, DeepSeek, Qwen) et à analyser leurs réponses au regard du catalogue produits du Client. Les éléments transmis aux fournisseurs d'IA sont : les requêtes (formulées de manière neutre, sans nommer la marque), des extraits du catalogue (noms, descriptions, attributs, prix des produits) et les fiches d'identité produit, ainsi que le pays, la langue et la devise du marché. Pour rédiger un plan de correction à la demande, s'y ajoutent les éléments mesurés par Skoup pour le correctif : extraits des réponses des assistants, pages du site concernées et, pour un établissement, sa fiche publique (adresse, téléphone, horaires).

Lorsque vous écrivez à l'Assistant Skoup (article 3, ligne 24), vos messages et les données de l'Espace qu'il lit pour vous répondre, dans la limite de vos droits, sont transmis au modèle Claude d'Anthropic : mesures, extraits du catalogue, alertes et correctifs, état des intégrations et de l'abonnement, votre prénom et votre rôle, et les prénoms, noms et rôles des membres de l'Espace lorsqu'ils figurent dans ces données (responsable d'un correctif, liste des membres).

Votre adresse e-mail et vos identifiants ne sont jamais transmis aux fournisseurs d'IA ; votre nom ne l'est que dans les cas décrits ci-dessus (support, Assistant Skoup). Les CGU interdisent d'insérer des données personnelles dans les requêtes et les fiches produit.

5. Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes qui en ont besoin :

• les membres habilités de l'équipe Lunify (administration, support), dans la limite de leurs attributions ;
• les autres Utilisateurs de l'Espace auquel vous appartenez, selon les rôles définis par le Client (par exemple, votre nom apparaît dans le journal d'activité et sur les correctifs qui vous sont assignés) ;
• nos sous-traitants, listés ci-dessous, qui agissent sur nos instructions et sont tenus contractuellement à la confidentialité et à la sécurité ;
• les autorités administratives ou judiciaires, lorsque la loi l'exige.

Nous ne vendons ni ne louons vos données.

Mesure d'audience. Lunify mesure la fréquentation du Service avec Umami, un logiciel libre qu'elle héberge elle-même chez OVH, à Gravelines (France), sur analytics.skoup.ai : aucun éditeur d'outil d'analyse ne reçoit de données (voir article 10). Sur skoup.ai, Vercel, qui héberge le site, en compte aussi les pages vues de façon agrégée.

Publicité (Meta). Avec votre accord seulement (article 3, ligne 20), le pixel de Meta Platforms Ireland Limited (4 Grand Canal Square, Dublin 2, Irlande) est chargé sur skoup.ai et nos serveurs lui transmettent les mêmes événements. Meta n'est pas notre sous-traitant : pour la collecte et la transmission de ces données, Lunify et Meta sont responsables conjoints (Cour de justice de l'Union européenne, 29 juillet 2019, Fashion ID, C-40/17), dans les conditions de l'addendum « responsable du traitement » des Conditions des outils professionnels de Meta ; Meta est seule responsable de ce qu'elle fait ensuite de ces données, décrit dans sa propre politique de confidentialité (facebook.com/privacy/policy). Vous pouvez exercer vos droits auprès de Lunify ou de Meta. L'application (app.skoup.ai, les Espaces) ne charge jamais de script de Meta.

Fournisseurs de connexion et d'intégration. Google (connexion sociale, Search Console, Analytics), Shopify (connexion sociale, boutique, facturation d'un Espace créé depuis le Shopify App Store), Microsoft (Bing Webmaster Tools, par une clé API fournie par le Client), Stripe lorsque le Client y connecte son propre compte (lecture de ses abonnements, par une clé restreinte en lecture seule qu'il fournit), GitHub lorsque le Client y connecte le dépôt de son site (correctifs proposés par demande de fusion), le site WordPress du Client lorsqu'il le connecte (pages créées à l'état de brouillon) et Slack (webhook d'alertes configuré par le Client) ne sont pas nos sous-traitants : ils agissent en qualité de responsables de traitement distincts, selon leurs propres politiques, et vous les utilisez à votre initiative ou à celle du Client. Les données reçues des API de Google (Search Console, Analytics) servent uniquement à fournir le Service au Client qui les a connectées : leur utilisation respecte les règles de Google relatives aux données des utilisateurs des services d'API (Google API Services User Data Policy), y compris ses exigences d'utilisation limitée.

Fiches publiques des établissements. Pour un Client dont l'activité est un commerce ou un cabinet de proximité, Skoup lit chaque semaine la page publique des fiches que le Client déclare pour ses établissements sur des plateformes tierces (Google Maps, annuaires et plateformes de réservation) et en conserve les informations de l'établissement et les agrégats d'avis (note, nombre, date du dernier avis), jamais le texte ni l'auteur d'un avis. Ces plateformes ne sont pas nos sous-traitants : nous lisons des pages publiques, sans compte ni jeton, à l'initiative du Client.

Fournisseurs finaux des modèles d'IA. Pour servir chaque requête, OpenRouter fait appel à des fournisseurs de modèles d'IA et d'infrastructure qu'il désigne (éditeurs ou hébergeurs des modèles), qui interviennent comme sous-traitants de rang suivant, engagés par OpenRouter sous des obligations de protection équivalentes. Chaque requête n'est routée que vers des fournisseurs qui n'utilisent pas les données pour entraîner leurs modèles ; les requêtes contenant des extraits de votre catalogue ne vont qu'à des fournisseurs à rétention nulle. Pour les modèles DeepSeek et Qwen, la requête va à l'hébergeur le moins cher qui respecte ces conditions, qui peut être établi hors de l'Union européenne, y compris en Chine ; ces modèles ne reçoivent que la requête d'achat neutre et le pays, la langue et la devise du marché — jamais d'extrait de votre catalogue ni de donnée personnelle. Anthropic n'entraîne pas ses modèles sur les requêtes de son API et les supprime sous 30 jours ; c'est le cas des plans de correction, rédigés par Claude chez Anthropic directement à partir des extraits de catalogue, des réponses des assistants et des pages du site concernés — sans rétention nulle. C'est aussi le cas des messages adressés au support ou au chat de skoup.ai : Claude les lit pour les trier et préparer un brouillon de réponse, sans votre adresse e-mail. C'est encore le cas des conversations avec l'Assistant Skoup : Claude lit vos messages et les données de l'Espace nécessaires à la réponse, sans votre adresse e-mail.

6. Transferts hors de l'Union européenne

Certains sous-traitants sont établis aux États-Unis ou y ont accès aux données (Vercel, Stripe, OpenRouter, Anthropic, Sentry, Slack, et le groupe Amazon pour AWS), de même que Meta Platforms, Inc. pour les données de mesure publicitaire que Meta Platforms Ireland reçoit avec votre accord (article 5). Ces transferts sont encadrés :

• par la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au EU-U.S. Data Privacy Framework, pour les destinataires certifiés ;
• à défaut, par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), complétées le cas échéant de mesures supplémentaires.

Vercel, Amazon Web Services, Stripe, Slack (groupe Salesforce) et Meta Platforms, Inc. sont certifiés au titre du Data Privacy Framework, auquel Sentry déclare adhérer ; leurs accords de traitement prévoient aussi les clauses contractuelles types. OpenRouter et Anthropic sont liés par les clauses contractuelles types incorporées à leurs accords de traitement ; pour ces transferts, nous avons documenté une analyse d'impact des transferts et appliquons des mesures supplémentaires (minimisation des données transmises, absence de données de Compte hormis le prénom joint à une demande de support et les prénoms, noms et rôles que l'Assistant Skoup lit dans l'Espace pour répondre, jamais d'adresse e-mail, fournisseurs sans entraînement sur les données, chiffrement en transit). Vous pouvez obtenir une copie des garanties applicables en nous écrivant à l'adresse indiquée à l'article 1.

7. Durées de conservation

À l'issue de ces durées, les données sont supprimées ou anonymisées. Elles peuvent être conservées plus longtemps en archive intermédiaire lorsque la loi l'impose ou pour la défense de nos droits, pendant la durée de prescription applicable.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées, notamment : chiffrement des communications (HTTPS), hachage des mots de passe, des codes à usage unique et des liens d'invitation, chiffrement au repos des jetons d'accès aux services tiers (Google, Shopify, Bing Webmaster, Slack), authentification par clé d'accès (passkey), isolation des données de chaque Espace dans un schéma de base de données distinct, fichiers privés servis par des liens signés à durée limitée (60 minutes), limitation de débit et blocage temporaire en cas d'échecs d'authentification répétés, journalisation des accès de l'équipe interne. Le détail figure en annexe du DPA.

9. Vos droits

Conformément au RGPD et à la loi « Informatique et Libertés » du 6 janvier 1978 modifiée, vous disposez des droits suivants :

• accès à vos données et obtention d'une copie ;
• rectification des données inexactes ou incomplètes (la plupart sont modifiables directement dans votre profil) ;
• effacement (vous pouvez supprimer votre Compte depuis votre profil, sauf si vous êtes le seul propriétaire d'un Espace) ;
• limitation du traitement ;
• opposition au traitement fondé sur notre intérêt légitime, et à tout moment à la prospection ;
• portabilité des données que vous nous avez fournies, lorsque le traitement repose sur le contrat ;
• directives relatives au sort de vos données après votre décès.

Vous pouvez aussi, à tout moment, régler vos préférences de notification dans votre profil ou vous désabonner d'une catégorie d'e-mails (alertes, digests, rapports, e-mails d'accompagnement et d'information) par le lien présent dans chaque message, sans avoir à vous connecter ; un prospect qui n'a pas de Compte se désabonne par le même lien, et son adresse n'est plus jamais contactée.

Pour exercer vos droits, écrivez à hello@skoup.ai (à l'attention d'Emile Lepetit, référent données personnelles) ou par courrier à l'adresse indiquée à l'article 1. Nous pourrons vous demander de justifier de votre identité en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois compte tenu de la complexité ou du nombre de demandes.

Si les données concernées sont traitées pour le compte d'un Client (voir article 2), nous transmettons votre demande au Client, qui y répond en sa qualité de responsable de traitement.

Réclamation. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

10. Cookies et traceurs

10.1 Ce que nous utilisons

L'application Skoup (app.skoup.ai et les Espaces) n'utilise aucun cookie publicitaire ni de réseau social, et n'intègre aucun outil d'analyse tiers. Seul le site skoup.ai dépose, si vous l'acceptez, les cookies publicitaires de Meta, et, avec ce même accord, le cookie skoup-attribution (lu par app.skoup.ai) qui mesure nos propres campagnes (voir ci-dessous). Les cookies et stockages locaux déposés sont strictement nécessaires au fonctionnement du Service ou mémorisent un choix que vous avez fait ; conformément à l'article 82 de la loi « Informatique et Libertés » et aux lignes directrices de la CNIL (délibération n° 2020-091 du 17 septembre 2020), ils sont exemptés de consentement. La mesure d'audience décrite ci-dessous a deux niveaux : un niveau anonyme, exempté de consentement, et un niveau rattaché à vous, qui n'a lieu qu'avec votre accord, recueilli par un bandeau à votre première visite.

Cookies (posés sur le domaine .skoup.ai, pour être partagés entre app.skoup.ai et l'adresse de votre Espace) :

Stockage local du navigateur (non transmis à nos serveurs) : thème clair/sombre, filtres d'affichage (modèles d'IA, marché, période), éléments récents de la palette de commandes, mode développeur, fermeture du bandeau annonçant une nouvelle version des CGU, et votre refus de la mesure d'audience (umami.disabled) ; le temps d'une connexion par Google, Shopify ou SSO, le mode de connexion choisi (skoup-auth-method, effacé au retour). Sur skoup.ai, une fois que vous avez écrit dans le chat : le fait qu'une conversation existe (skoup-chat, sans contenu), pour la rouvrir. Ces informations restent sur votre appareil. Sur skoup.ai, seulement si vous acceptez la mesure rattachée à vous : l'adresse e-mail laissée pour un audit gratuit, le site audité et l'audit (skoup-visitor), joints à la mesure d'audience de vos visites suivantes et effacés si vous retirez votre accord.

Code de parrainage (cookie skoup-referral) : lorsque vous ouvrez un lien de parrainage, son code est gardé 30 jours au plus, le temps de créer votre Espace ou de vous réabonner ; il est alors transmis une fois à nos serveurs pour rattacher l'Espace au parrain, puis effacé. Ce stockage sert uniquement le service que vous demandez en suivant le lien : il ne nécessite pas de consentement. Le code n'est pas transmis à l'outil de mesure d'audience.

Site de l'audit gratuit (cookie skoup-signup-site) : lorsque vous suivez le lien d'un audit gratuit pour créer votre compte, l'adresse du site audité et le nom de la marque sont gardés 30 jours au plus, puis effacés à la création de votre Espace. Ce stockage sert uniquement à pré-remplir le formulaire de création que vous demandez en suivant le lien : il ne nécessite pas de consentement. Ces informations ne sont pas transmises à l'outil de mesure d'audience.

Mesure d'audience. Pour savoir quelles pages et quelles étapes de skoup.ai et du Service sont utilisées, et d'où viennent nos visiteurs, Lunify utilise Umami, auto-hébergé chez OVH en France (analytics.skoup.ai). Il ne dépose aucun cookie et lit les informations envoyées par tout navigateur (adresse de la page, site d'origine, langue, taille d'écran, navigateur et système). Il fonctionne à deux niveaux :

1. Mesure anonyme, pour tous (article 3, ligne 15). Elle respecte les conditions d'exemption de la CNIL :
   • elle sert uniquement à produire des statistiques de fréquentation pour le compte de Lunify, jamais à vous suivre sur d'autres sites ni à vous proposer de la publicité ;
   • elle n'est jamais recoupée avec votre Compte ou d'autres traitements : aucun identifiant de Compte, d'Espace ou de Marque, aucun nom, aucune adresse e-mail et aucun contenu saisi n'est envoyé, les identifiants présents dans les adresses sont masqués et le nom de votre Espace n'apparaît pas ;
   • vous pouvez la refuser à tout moment (voir 10.2).
2. Mesure rattachée à vous, avec votre accord (article 3, ligne 16). Si vous acceptez dans le bandeau (« Tout accepter », ou « Choisir »), les statistiques de vos visites sont reliées à votre Compte (identifiant et adresse e-mail) et à l'Espace consulté, et, sur skoup.ai, à l'adresse e-mail laissée pour un audit gratuit et au site audité, pour que nous comprenions votre parcours et l'origine des audits, des inscriptions et des souscriptions. Si vous continuez sans accepter, ou tant que vous n'avez pas répondu, seule la mesure anonyme a lieu. Votre choix vaut pour tous les sous-domaines de Skoup et est conservé 6 mois (cookie skoup-consent).

Dans les deux cas : l'adresse IP n'est pas conservée (seuls le pays et la ville en sont déduits), les données restent en France chez notre hébergeur (sur skoup.ai, elles transitent par Vercel, qui héberge le site) et ne sont transmises à aucun tiers, elles sont conservées 25 mois au plus, et rien n'est mesuré pendant une session d'assistance du support, ni sur le panel interne de l'équipe Lunify, ni si votre navigateur envoie le signal « Do Not Track ».

Statistiques de l'hébergeur, sur skoup.ai. Vercel, qui héberge le site, en compte aussi les pages vues (Vercel Web Analytics) : sans cookie, de façon agrégée, une visite n'étant reconnue que par une empreinte hachée renouvelée chaque jour, pour le seul compte de Lunify. Cette mesure relève de la même exemption que la mesure anonyme.

Publicité (Meta), sur skoup.ai seulement. Le bandeau de skoup.ai vous demande aussi si vous acceptez la mesure de nos publicités, par Meta et par nous-mêmes ; « Choisir » permet de répondre à chaque question séparément. Sans réponse ou en cas de refus, aucun script de Meta n'est chargé et rien ne lui est transmis, ni par votre navigateur ni par nos serveurs. Avec votre accord, le pixel de Meta enregistre les pages vues et la demande d'un audit gratuit, et nos serveurs envoient à Meta l'audit gratuit demandé et le début d'un essai, avec votre adresse e-mail hachée : Meta s'en sert pour mesurer nos campagnes et montrer nos publicités aux visiteurs qui n'ont pas encore essayé Skoup. Avec ce même accord (donné sur skoup.ai ou dans l'application), nous retenons dans le cookie skoup-attribution (30 jours) la campagne, le site d'origine ou la publicité qui vous a mené à nous, pour le rattacher à l'Espace que vous créerez (article 3, ligne 21) ; un refus l'efface. Votre réponse est gardée 6 mois dans le cookie skoup-consent ; si vous avez un Compte, elle y est recopiée pour que le début de votre essai, connu de nos serveurs après votre départ du site, suive votre choix.

Polices de caractères. Les polices de l'interface sont servies par nos propres serveurs ; aucune requête n'est faite à un service tiers de polices lors de votre navigation.

10.2 Gérer les cookies

Vous pouvez supprimer ou bloquer les cookies depuis les réglages de votre navigateur. Le blocage du cookie skoup-session empêche la connexion au Service.

Le bandeau. « Tout accepter » vaut accord à la mesure rattachée à vous et à la mesure de nos publicités par Meta ; « Choisir » permet de répondre à chacune séparément ; « Continuer sans accepter » les refuse toutes deux. Sans réponse, seule la mesure anonyme a lieu.

Changer d'avis sur la mesure d'audience. Les deux niveaux se règlent à tout moment sur la page Cookies (lien « Cookies » en pied de page, et dans Mon profil → Préférences) ; sur skoup.ai, le lien « Cookies » en pied de page rouvre le bandeau, dont « Choisir » règle chacun de ces choix pour ce site :

• retirer votre accord à la mesure rattachée à vous est aussi simple que de l'avoir donné : l'interrupteur « Statistiques personnalisées » ; le retrait vaut pour l'avenir, dès la page suivante ;
• refuser aussi la mesure anonyme : l'interrupteur « Statistiques anonymes », mémorisé sur votre appareil (umami.disabled) et à renouveler sur chaque navigateur. Activer « Do Not Track » dans votre navigateur a le même effet.

Changer d'avis sur la publicité (Meta). Le lien « Cookies » en pied de page de skoup.ai rouvre son bandeau ; l'interrupteur « Publicités » de la page Cookies fait de même. Le retrait vaut pour l'avenir : le pixel n'est plus chargé à la page suivante, et plus aucun événement n'est envoyé par nos serveurs. Vous pouvez aussi régler vos préférences publicitaires dans votre compte Facebook ou Instagram.

Aucun de ces choix n'a de conséquence sur l'utilisation du Service. Pour faire effacer les statistiques déjà rattachées à votre Compte, écrivez-nous (article 9).

10.3 Le script de mesure installé par nos Clients

Le cookie skp_vid que dépose Skoup Analytics, le script de mesure de Skoup, ne concerne que les sites de nos Clients qui l'installent, jamais skoup.ai, app.skoup.ai ni les Espaces : il y relève du Client, responsable de traitement, et de son propre bandeau. Lunify y agit en sous-traitant, dans les conditions du DPA (article 3.3 et annexe 2) : identifiant aléatoire, pays déduit de l'adresse IP puis adresse écartée, aucune donnée de navigateur, conservation de 25 mois au plus.

10.4 Évolution

Si un nouveau traceur est ajouté ou si la finalité d'un traceur existant change, la présente section sera mise à jour et, lorsqu'il est soumis à consentement, votre accord vous sera demandé à nouveau avant tout dépôt.

11. Modification de la présente politique

Nous pouvons modifier la présente politique pour tenir compte de l'évolution du Service ou de la réglementation. La date de mise à jour figure en tête du document. En cas de modification substantielle, nous vous en informerons par e-mail ou dans le Service.