Skyfense est conçu pour que les marchands qui utilisent notre service puissent respecter leurs obligations au titre du Règlement général sur la protection des données (RGPD) de l’UE et du UK GDPR. Cette page explique nos rôles, les garanties en place aujourd’hui et le traitement des demandes. Elle décrit nos engagements et notre pratique actuelle ; ce n’est pas un conseil juridique.
1. Rôles de responsable du traitement et de sous-traitant
Pour les données de boutique et de commande recueillies via la boutique d’un marchand, le marchand est le responsable du traitement et Skyfense est un sous-traitant qui agit sur les instructions documentées du marchand. Pour notre site, les comptes marchands, l’authentification et la facturation, Skyfense est le responsable du traitement.
2. Bases légales
3. Minimisation des données et limitation des finalités
Nous ne recueillons que ce dont les fonctions de détection et de prévention de la fraude ont besoin, et nous limitons dès la conception les champs sensibles. Pour les commandes Shopify en particulier, Skyfense conserve un hachage à sens unique de l’e-mail du client et le domaine de l’e-mail, et ne conserve ni nom du client, ni adresse postale ou de facturation, ni numéro de téléphone, ni adresse e-mail en clair, ni donnée de carte bancaire. Les signaux servent à évaluer le risque et ne sont pas réutilisés pour d’autres publicités.
4. Identification des appareils et décisions de sécurité automatisées
Skyfense utilise l’empreinte des appareils et des navigateurs, des signaux de comportement et la réputation des IP pour produire des scores de risque automatiques qui orientent les décisions d’autoriser, vérifier ou bloquer. Comme l’empreinte et l’évaluation des IP portent sur des données personnelles, il revient au marchand (responsable du traitement) de déterminer la base légale appropriée, de fournir l’information ou le consentement requis et, lorsqu’une décision automatisée pourrait avoir un effet juridique ou similaire important, de proposer des garanties appropriées comme une vérification humaine. Skyfense fournit le paramétrage (règles, seuils et processus de vérification) pour l’y aider.
5. Droits des personnes
Les personnes situées dans l’EEE et au Royaume-Uni ont le droit d’accéder à leurs données, de les rectifier, de les effacer, d’en limiter le traitement ou de s’y opposer, ainsi qu’un droit à la portabilité. Les visiteurs d’une boutique doivent contacter le marchand dont ils ont utilisé la boutique, car ce marchand est le responsable du traitement. Pour les boutiques Shopify, Skyfense traite pour le marchand les demandes de confidentialité obligatoires de Shopify : une demande d’accès d’un client produit un export des données minimisées que nous détenons, et une demande d’effacement d’un client supprime les commandes correspondantes et les visites qui y sont liées. Les titulaires de compte peuvent exercer leurs droits directement à hello@skyfense.com.
6. Conservation et suppression
Les visites, événements de session, appareils, empreintes et commandes sont supprimés automatiquement une fois la durée de conservation choisie par le marchand dépassée (30, 90, 180, 365 ou 730 jours ; 365 par défaut). Les données d’IP expirent selon leur propre calendrier. Lorsqu’une boutique est désinstallée ou qu’une demande d’effacement de boutique est reçue, Skyfense supprime les données de ce marchand, y compris les utilisateurs du compte et le jeton d’accès Shopify enregistré.
7. Transferts internationaux
Lorsque nous traitons des données personnelles hors de l’EEE ou du Royaume-Uni, nous nous appuyons sur des garanties appropriées comme les clauses contractuelles types de la Commission européenne, avec des mesures techniques et organisationnelles complémentaires.
8. Sous-traitants ultérieurs et accord de traitement des données
Skyfense fait appel à un nombre limité de prestataires d’infrastructure et de services, chacun lié par des clauses de protection des données. Les marchands qui ont besoin d’un accord de traitement des données ou de la liste actuelle des sous-traitants ultérieurs peuvent les demander à hello@skyfense.com. Nous prévenons dans un délai raisonnable de tout changement important de sous-traitant ultérieur.
9. Sécurité et notification des violations
Nous appliquons les mesures décrites sur notre page Sécurité, dont le TLS en transit, le hachage salé des mots de passe, l’isolation des espaces de travail et la vérification des webhooks signés. Si nous avons connaissance d’une violation de données personnelles touchant des données de marchands, nous prévenons le marchand concerné dans les meilleurs délais pour qu’il puisse remplir ses propres obligations de notification.
10. Contact et réclamations
Les questions sur le RGPD, les demandes d’accord de traitement et de liste des sous-traitants, et les demandes des personnes concernées peuvent être envoyées à hello@skyfense.com. Si vous êtes dans l’EEE ou au Royaume-Uni, vous pouvez aussi déposer une réclamation auprès de votre autorité de contrôle (en France, la CNIL).