Ce que Whence enregistre, et ce qu’il refuse d’enregistrer

Deux relations distinctes

Whence traite deux types de données, sous deux responsabilités différentes, qu’il ne faut pas confondre.

Les données de votre propre compte sont celles que nous détenons à votre sujet en tant que client : votre adresse e-mail, le nom de votre organisation, vos boutiques, votre dossier de facturation. Pour ces données, nous sommes le responsable du traitement, et cette page décrit ce que nous en faisons. Nous les utilisons pour fournir le service en exécution de notre contrat avec vous, et nous conservons les documents de facturation pour respecter nos obligations fiscales et comptables.

Les données de vos visiteurs et de vos clients sont traitées sur vos instructions lorsque vous installez Whence sur votre boutique. Pour ces données, vous êtes le responsable du traitement et nous sommes votre sous-traitant : nous agissons sur vos instructions, pas pour notre propre compte. Les conditions qui régissent cette relation figurent dans l’accord de traitement des données (DPA), qui fait partie de notre contrat avec vous.

Ce que collecte le script d’enregistrement

Lorsqu’un visiteur charge une page portant le script Whence, et après l’avoir accepté comme décrit ci-dessous, nous collectons :

• Ce qui a été affiché et ce qui a été fait. La structure de la page, les clics, le défilement, les mouvements de souris, les changements de page et les erreurs du navigateur, sous une forme qui permet de rejouer la visite.
• D’où vient la visite. L’adresse de provenance, les balises utm et tout identifiant de clic publicitaire présent dans l’adresse de la page, afin que la source puisse être nommée plutôt que devinée.
• Le contexte technique. Le user agent du navigateur, le type d’appareil, la taille de la fenêtre et le pays du visiteur tel qu’indiqué par notre fournisseur réseau. Si votre boutique transmet la région et la ville au script, nous les conservons également. Nous ne conservons pas l’adresse réseau.
• Un identifiant du visiteur, généré aléatoirement, afin de reconnaître les visites répétées. Il est conservé dans le stockage local du visiteur et dans un cookie propriétaire nommé cvb_vid sur le domaine de votre boutique, qui expire au bout de 365 jours. Il n’est pas partagé entre boutiques et ne signifie rien en dehors de votre boutique.

Cartes de chaleur, formulaires, vitesse des pages et événements

À partir des mêmes visites, et uniquement après le même consentement, le script mesure également les éléments suivants, afin que vous puissiez consulter des cartes de chaleur, des analyses de formulaires, des rapports de vitesse des pages et d’événements :

• Les clics. Pour chaque clic : sa position sur la page et à l’intérieur de l’élément cliqué, la largeur de la fenêtre, une courte description technique de l’élément (sa balise, son id et ses classes) et le libellé visible de l’élément, dans la limite de 60 caractères. Le libellé est omis lorsqu’il ressemble à une adresse e-mail ou à un numéro de téléphone, ainsi que sur les pages de compte.
• Le défilement et les mouvements de souris. Jusqu’où le visiteur a fait défiler chaque page. Sur ordinateur uniquement, l’endroit où la souris s’est déplacée, échantillonné quelques fois par seconde et comptabilisé par zone de la page.
• L’utilisation des formulaires, jamais ce qui est saisi. Pour chaque formulaire avec lequel un visiteur interagit, et pour chacun de ses champs, désigné par le nom, l’id ou l’attribut autocomplete du champ : combien de fois le champ a été sélectionné, combien de temps il a été utilisé, s’il a été laissé vide, s’il a été rempli plusieurs fois, quel champ a été utilisé en dernier et si le formulaire a été envoyé. Pour cela, le script vérifie seulement si un champ est vide. Il ne lit ni n’envoie jamais la valeur d’un champ.
• La vitesse des pages. Pour chaque page vue, les mesures fournies par le navigateur : first contentful paint, largest contentful paint, interaction to next paint et cumulative layout shift.
• Les événements. Pages vues, clics sur les boutons et les liens, envois de formulaires, recherches, longueur du texte sélectionné par un visiteur (jamais le texte lui-même), allers-retours rapides de la souris, rechargements de page, sortie de la souris hors de la fenêtre de la page, ajout au panier ou début du paiement. Un terme de recherche n’est conservé que tel qu’il apparaît dans l’adresse de la page, après suppression des informations sensibles décrites ci-dessous. Sur Shopify, les étapes de paiement et d’achat proviennent du web pixel Whence décrit ci-dessous.
• Les événements que vous définissez. Une visite sur une adresse de page, un clic sur un élément que vous choisissez ou un événement que votre boutique envoie avec window.whence.track, avec les données que vous y joignez. Les données jointes sont limitées à 20 valeurs courtes ; les valeurs qui ressemblent à une adresse e-mail ou à un numéro de téléphone, ainsi que les champs dont le nom renvoie à des données personnelles ou secrètes, comme email, phone, address, password, token ou card, sont écartés avant de quitter le navigateur, puis à nouveau à leur réception par Whence. Un événement peut porter une valeur monétaire que vous définissez ; seuls les membres de votre équipe ayant accès au chiffre d’affaires peuvent la voir.

Ces mesures sont conservées avec la visite dont elles proviennent, et Whence conserve également des décomptes quotidiens par page (clics par zone de la page, clics par élément, profondeur de défilement) qui ne sont liés à aucune visite ni à aucun visiteur. Aucune adresse réseau n’est conservée, et les adresses de pages sont nettoyées comme décrit ci-dessous.

Sondages et annonces

Si vous créez des sondages ou des annonces dans Whence, un script distinct les affiche sur votre boutique. Comme le script d’enregistrement, il n’affiche rien, ne stocke rien dans le navigateur du visiteur et n’envoie rien à Whence tant que le consentement du visiteur ne le permet pas.

• Lorsqu’un visiteur répond à un sondage, Whence conserve les réponses avec l’heure, le chemin de la page et les identifiants de la visite et du visiteur lorsque le script d’enregistrement est actif, afin que vous puissiez regarder la visite et que les réponses puissent être exportées ou effacées avec le reste des données de cette personne. Les réponses sont également enregistrées comme un événement « Survey answered » de la visite.
• Les réponses rédigées sont limitées à 1 000 caractères. Tout ce qui ressemble à une adresse e-mail ou à un numéro de téléphone est remplacé par « [removed] » dans le navigateur du visiteur, puis à nouveau à la réception par Whence. Les réponses rédigées peuvent néanmoins contenir des informations personnelles qu’un visiteur choisit de partager ; seuls les membres de votre équipe ayant accès aux informations clients peuvent les lire.
• Pour chaque sondage et chaque annonce, Whence compte chaque jour le nombre d’affichages, de clics et de fermetures. Ces décomptes ne sont liés à aucune visite ni à aucun visiteur.

Coordonnées saisies par un visiteur

Whence peut relier une visite à la personne qui en est à l’origine. Lorsque ce réglage est activé, le script lit l’adresse e-mail, le numéro de téléphone, le prénom et le nom qu’un visiteur saisit dans les champs de formulaire de votre boutique, y compris lorsque le formulaire n’est pas envoyé. Si votre boutique utilise Klaviyo, il lit également l’adresse e-mail stockée dans le cookie __kla_id de Klaviyo dans le navigateur du visiteur.

• Cette lecture n’a lieu qu’après le consentement du visiteur, lu dans la bannière de cookies ou l’outil de consentement de votre boutique, sauf si vous activez « Enregistrer sans attendre le consentement » ou « Enregistrer même si le visiteur refuse » (voir « Consentement » plus bas).
• Ce réglage est activé par défaut. Vous pouvez le désactiver à tout moment dans vos paramètres Whence ; le script cesse alors de lire ces champs.
• Ces informations sont conservées comme champs de la visite, afin que vous puissiez voir quelles visites appartiennent à la même personne. Dans le replay lui-même, ce que le visiteur a saisi reste masqué.

Envoi des contacts capturés vers vos clients Shopify

Cette fonction est facultative et désactivée par défaut. Seul un membre de l’équipe disposant à la fois des autorisations « Store settings » (paramètres de la boutique) et « Customer data » (données clients) peut l’activer, dans vos paramètres Whence. Lorsqu’elle est activée, Whence ajoute les contacts capturés comme décrit ci-dessus aux clients de votre propre boutique Shopify, sur vos instructions : l’adresse e-mail, le numéro de téléphone, le prénom et le nom.

• Seuls les contacts capturés après le consentement du visiteur, et après que vous avez activé le réglage, sont envoyés. Les contacts capturés auparavant, ou pendant que le réglage était désactivé, ne le sont pas.
• Un contact n’est envoyé qu’avec une adresse e-mail ou un numéro de téléphone valide. Les mots de passe et les numéros de carte ne sont jamais lus, ils ne sont donc jamais envoyés.
• Chaque nouveau client reçoit le tag whence-captured et une note indiquant que le contact a été capturé sur votre vitrine et qu’il ne s’agit pas d’une inscription à la newsletter. Personne n’est abonné à vos e-mails ni à vos SMS : son statut marketing reste « non abonné ».
• Un client qui existe déjà dans votre boutique avec la même adresse e-mail ou le même numéro de téléphone n’est jamais modifié. Tout au plus, le tag est ajouté.
• Désactiver le réglage arrête l’envoi et ne supprime rien. Les clients déjà créés appartiennent à votre boutique et restent dans Shopify.

Shopify est votre propre plateforme de boutique, pas un sous-traitant ultérieur de Whence : les clients qui y sont créés sont traités dans le cadre de votre contrat avec Shopify.

Ce qu’il ne collecte pas

Une partie de ces garanties est imposée par le script lui-même plutôt que laissée aux bonnes intentions.

• Les mots de passe et les numéros de carte bancaire ne sont jamais lus. Dans l’enregistrement, le texte saisi dans les champs de formulaire est masqué avant de quitter le navigateur. Les seules valeurs saisies que Whence lit sont les coordonnées décrites ci-dessus, et uniquement tant que ce réglage est activé. Les analyses de formulaires enregistrent la façon dont les champs sont utilisés, jamais leurs valeurs.
• Tout élément que vous marquez avec la classe cvb-replay-block n’est pas enregistré du tout. Utilisez-la sur tout ce que vous ne voulez pas capturer, y compris un contenu qui n’est pas un champ de formulaire.
• Les pages de paiement ne sont jamais rejouées. Sur Shopify, Whence ne reçoit que les étapes de paiement décrites dans les sections suivantes.
• Les informations sensibles sont retirées des adresses de pages. Avant de conserver les adresses de pages, l’adresse de provenance et les paramètres d’adresse d’une visite, Whence en retire : les paramètres dont le nom renvoie à des données personnelles ou secrètes, comme email, phone, name, address, password, token, key, signature ou card, ainsi que tout paramètre dont la valeur ressemble à une adresse e-mail ; les identifiants de clic publicitaire comme gclid, fbclid, msclkid et ttclid, lorsque le visiteur a refusé le marketing ; et la partie de l’adresse située après « # ». Les autres paramètres, comme les balises utm, sont conservés.
• Whence ne vend pas les données des visiteurs, ne les utilise pas pour sa propre publicité et ne combine pas les données de boutiques différentes. Les données ne vont de Whence vers une plateforme publicitaire ou d’e-mailing que lorsque vous connectez cette plateforme, comme décrit dans « Envoi des ventes à vos plateformes publicitaires et d’e-mailing ».

Ce qui est stocké dans le navigateur du visiteur

Le script et le web pixel Whence utilisent les éléments suivants sur le domaine de votre boutique. Mentionnez-les dans votre propre politique en matière de cookies.

• cvb_vid (cookie, 365 jours, et stockage local) : l’identifiant aléatoire du visiteur.
• _shopify_y (le cookie de Shopify, posé par les serveurs de Shopify) : sur les boutiques Shopify, lu mais jamais écrit, après consentement, pour reconnaître un visiteur qui revient après que Safari a vidé le stockage du script (7 jours). Whence n'en garde qu'une empreinte, salée par boutique.
• whence_vid (cookie, 390 jours, HttpOnly, seulement avec le suivi first-party de l'extension WordPress de Whence) : un identifiant de visiteur aléatoire posé par votre propre serveur, seulement pour une visite que vos réglages de consentement permettent. Il n'est jamais prolongé.
• cvb_rid, cvb_rid_t, cvb_smp, cvb_seq_*, cvb_vid_bridged (stockage de session) : la visite en cours, l’échantillonnage et le rattachement du panier à la visite.
• cvb_clic (stockage local, 90 jours) : le dernier identifiant de clic Google Ads, afin qu’une commande ultérieure puisse lui être attribuée.
• whence_off (stockage local) : défini lorsque quelqu’un ouvre la boutique avec ?whence=off, afin que ce navigateur ne soit pas enregistré.
• cvb_replay_consent (stockage local) : le consentement du visiteur à l’enregistrement, lorsqu’un outil de consentement l’y inscrit.
• whence_engage (stockage local) et whence_engage_v (stockage de session), uniquement lorsque vous diffusez des sondages ou des annonces et après consentement : ceux que le visiteur a déjà vus, auxquels il a déjà répondu ou qu’il a déjà fermés, et un décompte des visites, afin que chacun ne s’affiche qu’aussi souvent que vous l’avez choisi.
• whence_clics (stockage local, 90 jours, uniquement avec consentement marketing) : les identifiants de clic publicitaire lus par le web pixel Whence.
• Attributs de panier cvb_vid, gclid, gbraid, wbraid et balises utm : ajoutés au panier Shopify afin que la commande puisse être reliée à la visite.

Avec le suivi first-party, le script et tout ce qu'il envoie passent par le domaine de votre boutique : sur Shopify, par le proxy d'application de Whence à l'adresse /apps/whence, signé par Shopify ; sur WordPress, par l'extension Whence de votre site. Les données et les règles de consentement restent les mêmes ; seule l'adresse change. Si cette adresse ne répond pas, le script utilise le domaine de Whence.

Consentement

Par défaut, Whence lit le consentement que votre boutique recueille déjà : sur Shopify, la bannière de cookies de Shopify et toute app de consentement connectée à la Customer Privacy API de Shopify ; ailleurs, Google Consent Mode, Cookiebot, OneTrust, ou votre propre bannière grâce à la fonction whence.consent(). Whence n’affiche pas de bannière de cookies propre. L’enregistrement, la lecture des coordonnées et l’envoi aux plateformes publicitaires ne commencent qu’une fois ce consentement obtenu. Un visiteur qui refuse n’est pas enregistré et ses coordonnées ne sont pas lues, sauf si vous activez « Enregistrer même si le visiteur refuse » (voir plus bas), et rien le concernant n’est jamais envoyé à vos plateformes publicitaires.

Vous pouvez activer « Enregistrer sans attendre le consentement » dans vos paramètres Whence. Whence enregistre alors toutes les visites, lit les coordonnées saisies et envoie les événements à vos plateformes publicitaires sans attendre de consentement ; un visiteur qui refuse explicitement reste respecté, sauf si vous activez aussi « Enregistrer même si le visiteur refuse », et les mots de passe et numéros de carte ne sont toujours jamais lus. Dans l’UE, au Royaume-Uni et dans certains États américains, enregistrer les visiteurs et recueillir leur e-mail sans consentement est illégal : vous êtes responsable de ce choix. Chaque changement est consigné avec son auteur et sa date, et chaque visite enregistrée ainsi porte la mention « enregistrée sans demande de consentement », y compris dans les données exportées pour une personne.

« Enregistrer même si le visiteur refuse » est désactivé par défaut, et une boutique ne peut l’activer qu’en confirmant qu’elle en prend la responsabilité. Whence enregistre alors aussi les visiteurs qui refusent dans la bannière de cookies de la boutique, et lit les coordonnées qu’ils saisissent, comme pour toute autre visite. Enregistrer un visiteur qui a refusé est interdit par le RGPD dans l’UE, l’EEE, au Royaume-Uni et en Suisse : la boutique est responsable de ce choix. Chaque changement est consigné avec son auteur et sa date, et chaque visite enregistrée ainsi est marquée comme enregistrée malgré un refus, y compris dans les données exportées pour une personne. Un visiteur qui a refusé n’est jamais envoyé aux plateformes publicitaires : ni son adresse réseau, ni ses identifiants de clic, et aucun consentement marketing n’est présumé pour lui.

Événements de panier, de paiement et d’achat (Shopify)

Lorsque l’application Whence est installée, un web pixel Shopify s’exécute sur les pages de votre vitrine, de panier et de paiement. Pour chacune de ces étapes (page vue, produit vu, produit ajouté au panier, paiement commencé, informations de paiement envoyées, paiement finalisé), le pixel envoie à Whence l’étape, les produits concernés (identifiants de produit et de variante, SKU, titre, quantité et prix), les identifiants de paiement et de commande, le total et la devise, l’adresse de la page, le user agent du navigateur, l’identifiant client Shopify, l’identifiant de visiteur Whence et les choix de consentement du visiteur tels que transmis par Shopify.

Uniquement lorsque le visiteur a accepté le marketing, et uniquement si votre boutique envoie des événements à au moins une plateforme publicitaire par l’intermédiaire de Whence, Whence conserve également l’adresse IP d’où provient la requête du pixel, afin que la plateforme puisse faire correspondre l’événement à la publicité qui a amené le visiteur. Elle est effacée au bout de 7 jours.

Uniquement lorsque le visiteur a accepté le marketing, le pixel lit également les identifiants de clic publicitaire présents dans l’adresse de la page ainsi que les cookies publicitaires suivants : _fbp, _fbc, _ttp, _scid, _epik, _uetmsclkid, _uetvid, _rdt_uuid, _gcl_aw, _gcl_gb, _pin_unauth, twclid et _tt_enable_cookie.

Shopify ne charge pas le pixel pour un visiteur qui n’a pas accepté les cookies d’analyse, ou qui s’est opposé à la vente ou au partage de ses données personnelles.

Commandes et clients de votre boutique

Lorsque vous connectez une boutique Shopify, via l’application Whence ou avec vos propres identifiants d’application, Whence y lit, sur vos instructions et en tant que votre sous-traitant :

• Les commandes : numéro de commande, date, montants et devise, produits achetés, page d’arrivée et provenance indiquées par Shopify, attributs de panier ajoutés par notre script (identifiant de visiteur, identifiant de clic publicitaire, balises utm), adresse e-mail et numéro de téléphone du client, ainsi que la ville, le code postal, l’État ou la région et le pays de l’adresse de livraison de la commande (ou de son adresse de facturation en l’absence d’adresse de livraison).
• Les paiements abandonnés : l’adresse e-mail, la date et les produits laissés dans le panier.

Si vous connectez plutôt WooCommerce ou BigCommerce, Whence lit les mêmes champs de commande via leurs API, avec des clés en lecture seule que vous créez : numéro de commande, date, montants et devise, produits achetés, adresse e-mail et numéro de téléphone du client, ainsi que la ville, le code postal, l’État ou la région et le pays de la commande. L’identifiant de visiteur Whence rattache la commande à sa visite : sur WooCommerce, le plugin Whence le copie depuis le cookie cvb_vid dans la commande ; sur BigCommerce, un script de la page de confirmation de commande envoie le numéro de commande à Whence sous forme d’événement, après le consentement du visiteur.

Si vous connectez Klaviyo, Whence lit également l’adresse e-mail, le prénom et la date d’inscription des profils de votre compte Klaviyo.

Ces données servent à rattacher une vente ou un panier abandonné à la visite qui y a conduit, à lister ces personnes comme contacts dans votre compte et, si vous l’activez, à envoyer vos ventes aux plateformes que vous connectez. Elles ne sont jamais partagées entre boutiques. Whence ne lit que les champs Shopify que votre boutique a approuvés pour l’application : les numéros de téléphone et les codes postaux sont des champs protégés dans Shopify, et lorsque l’un d’eux n’est pas approuvé, Whence lit les commandes sans ce champ. Whence ne lit pas les noms, les lignes d’adresse postale ni les coordonnées géographiques des commandes.

Envoi des ventes à vos plateformes publicitaires et d’e-mailing

Si vous connectez une plateforme publicitaire ou d’e-mailing dans Whence, Whence envoie chaque nouvelle commande au compte que vous avez connecté, sur vos instructions. Vous pouvez également choisir, pour chaque plateforme, d’envoyer les étapes qui précèdent la commande : produit vu, produit ajouté au panier, paiement commencé, informations de paiement envoyées et, si vous l’activez, page vue. Les plateformes disponibles sont Meta, Google, TikTok, Snapchat, Pinterest, Microsoft, Reddit, Taboola et Klaviyo.

Une commande ou une étape n’est envoyée que si le web pixel Whence a enregistré que le visiteur a accepté le marketing et ne s’est pas opposé à la vente ou au partage de ses données. Dans le cas contraire, elle n’est pas envoyée.

Ce qui est envoyé : pour une commande, l’identifiant et le numéro de commande, la date, le total, la devise et les produits, ainsi que l’adresse e-mail, le numéro de téléphone, la ville, le code postal et le pays du client ; pour une étape, son nom, l’heure, la valeur, la devise et les produits ; pour les deux, l’adresse de la page, le user agent du navigateur, l’adresse IP lorsque Whence l’a conservée (voir ci-dessus), les identifiants de clic publicitaire et les cookies publicitaires, l’identifiant de visiteur Whence et, pour une étape, l’adresse e-mail, le numéro de téléphone et le nom saisis par le visiteur sur votre boutique si la capture d’identité est activée et autorisée.

Si vous demandez à Whence d’exécuter le pixel d’une plateforme dans le navigateur (le pixel personnalisé que vous ajoutez à Shopify, ou le script de pixels Whence sur les autres boutiques), le propre script de cette plateforme est chargé sur votre boutique, uniquement après que le visiteur a accepté le marketing, et reçoit les mêmes étapes avec le même identifiant d’événement, afin que la plateforme ne compte chacune qu’une seule fois. Ce script appartient à la plateforme et relève de ses propres conditions.

Whence tient un journal de ce qu’il a envoyé à chaque plateforme (l’étape, le statut, la réponse de la plateforme et les noms des clés de correspondance, jamais leurs valeurs) : 7 jours pour les étapes et les tests, 90 jours pour les commandes.

Pour les plateformes publicitaires, l’adresse e-mail, le numéro de téléphone, la localisation et l’identifiant de visiteur Whence sont normalisés et hachés en SHA-256 avant de quitter Whence, lorsque la plateforme l’exige. Les identifiants de clic, les cookies publicitaires et le user agent sont envoyés tels quels, car les plateformes en ont besoin sous cette forme. Le hachage n’est pas une anonymisation : la plateforme peut faire correspondre le résultat à ses propres utilisateurs. Pour Klaviyo, les données sont envoyées non hachées, dans votre propre compte Klaviyo. Envoyer une commande à Klaviyo n’abonne personne aux e-mails ; le fait qu’un flux envoie un e-mail au client dépend de son consentement aux e-mails dans Klaviyo.

Ces plateformes ne sont pas des sous-traitants ultérieurs de Whence. Vous avez votre propre contrat avec chacune d’elles, et chacune utilise les données selon ses propres conditions conclues avec vous. Vous choisissez quelles plateformes reçoivent des données et pouvez désactiver chacune d’elles à tout moment. Les commandes déjà envoyées restent chez la plateforme.

Envoi d’événements à vos outils d’analyse et d’automatisation

Si vous connectez Google Analytics 4, HubSpot ou Zapier dans Whence, Whence envoie les événements que vous choisissez au compte que vous avez connecté, sur vos instructions :

• Google Analytics 4 : le nom de l’événement, l’heure, le chemin de la page et la valeur, avec l’identifiant client Google Analytics lu dans le cookie _ga et le numéro de session Google Analytics lu dans le cookie _ga_ de votre propriété, afin que l’événement rejoigne la session Google Analytics du visiteur. Un événement n’est envoyé que si le visiteur a explicitement accepté les cookies de statistiques ; sans ce consentement, l’identifiant n’est pas lu et rien n’est envoyé. Les champs de consentement publicitaire de Google ne sont marqués comme accordés que si le visiteur a également accepté le marketing. Lorsque l’import Google Analytics est activé, les événements que vos pages envoient déjà à Google Analytics sont également enregistrés dans Whence, sous le même consentement que tous les autres événements Whence.
• HubSpot : le nom de l’événement, l’heure et le chemin de la page, avec l’adresse e-mail du visiteur, afin que HubSpot puisse ajouter l’événement à ce contact. Un événement n’est envoyé que si le visiteur a accepté les cookies marketing et que Whence connaît son adresse e-mail. Lorsque la capture des formulaires est activée, Whence enregistre qu’un formulaire HubSpot a été envoyé et lequel, jamais les réponses ; l’adresse e-mail qui y est saisie n’est conservée que selon les mêmes règles que toute adresse e-mail saisie sur votre boutique.
• Zapier : lorsqu’une visite présente des signes de frustration, est classée parmi celles à regarder ou déclenche un événement clé, Whence appelle l’adresse Zapier que vous avez saisie avec les identifiants de la visite et du visiteur, la page, les signaux et le nom de l’événement. Jamais d’adresse e-mail, de numéro de téléphone, de nom ni de montant.

Ces outils ne sont pas des sous-traitants ultérieurs de Whence. Ce sont des destinataires que vous choisissez : vous avez votre propre contrat avec chacun d’eux, et chacun utilise les données selon ses propres conditions conclues avec vous. Vous pouvez désactiver chacun d’eux à tout moment. Les données déjà envoyées restent chez l’outil, et les demandes d’effacement doivent y être adressées.

Résumés IA

Si vous demandez à Whence un résumé IA d’un visiteur, des faits issus des visites de ce visiteur dans votre boutique (adresses de pages, sources, appareils, pays, montants des commandes et événements sur la page, comme le libellé d’un bouton cliqué) sont envoyés au fournisseur de modèles d’IA indiqué sur la page des sous-traitants ultérieurs. Whence n’envoie ni les adresses e-mail, numéros de téléphone ou noms qu’il détient, ni le texte saisi dans les champs de formulaire. Aucun résumé n’est rédigé avant la fin de la période de préavis de ce fournisseur.

Si un membre de votre équipe pose une question à Whence, ou utilise une action IA rapide (comme « Performance summary » (synthèse des performances), « Frustration summary » (synthèse des frustrations) ou « Conversion changes » (évolution des conversions)), le même fournisseur reçoit la question, ou le libellé fixe de l’action, ainsi que les éléments que Whence a déjà calculés pour votre boutique : les problèmes ouverts qu’il a détectés (leur type, leur page, leur gravité, le nombre de visites concernées et les identifiants de quelques-unes de ces visites), le dernier rapport quotidien (nombre de visites analysées et de chaque signal de frustration) et, pour les actions liées au trafic, les visites par source sur les deux dernières semaines (visites, paniers, paiements commencés, temps passé sur le site, pages, pays et appareils). Aucune adresse e-mail, aucun numéro de téléphone, aucun nom, aucun texte saisi dans les champs de formulaire ni aucun montant de commande n’est envoyé. Lorsque la personne qui pose la question ne dispose pas de l’autorisation « Revenue & orders » (chiffre d’affaires et commandes), aucune donnée issue des commandes n’est envoyée non plus : ni décompte de paiements abandonnés ou de paniers, ni score tenant compte des achats.

Où les données sont stockées

Les enregistrements et les données de compte sont hébergés sur une infrastructure exploitée par nos sous-traitants ultérieurs, dont la liste complète et les emplacements figurent sur la page des sous-traitants ultérieurs. La base de données fonctionne à Francfort, en Allemagne. Les enregistrements sont stockés par Cloudflare dans un bucket limité à l’Union européenne. Le site web et la couche réseau sont servis depuis le réseau mondial de Cloudflare.

Frondia LLC est une société établie aux États-Unis. Son personnel et certains de ses sous-traitants ultérieurs accèdent aux données depuis les États-Unis. Pour les données provenant de l’Espace économique européen, du Royaume-Uni et de la Suisse, ces transferts reposent sur les clauses contractuelles types intégrées à notre accord de traitement des données (DPA).

Durée de conservation

• Les enregistrements et les visites sont supprimés automatiquement à la fin de la durée de conservation de votre formule, indiquée sur la page des tarifs et dans vos paramètres, ou plus tôt si vous choisissez une durée plus courte. La suppression porte sur l’enregistrement stocké et sur les entrées de la base de données qui y renvoient.
• Les événements de panier et de paiement issus du web pixel Whence, avec les cookies publicitaires qu’ils contiennent, sont supprimés au bout de 90 jours.
• Visiteurs reconnus : l'empreinte salée de l'identifiant posé par le serveur de la boutique, et les identifiants de clic et balises utm de la première et de la dernière visite payante, qui servent à rattacher une commande au clic publicitaire qui a amené le visiteur, dans la fenêtre d'attribution que vous choisissez (de 7 à 90 jours, 30 par défaut). L'empreinte est supprimée 13 mois après la première visite, les identifiants de clic au bout de 90 jours.
• Les résumés IA sont supprimés selon le même calendrier que vos enregistrements.
• Les notifications dans l’application (la cloche) sont conservées 90 jours, puis supprimées. Elles ne sont jamais conservées plus longtemps que vos enregistrements, et celles qui décrivent une visite sont exportées et effacées avec les données du visiteur.
• Les clics, la profondeur de défilement, les analyses de formulaires, la vitesse des pages et les événements sont supprimés selon le même calendrier que vos enregistrements, de même que les décomptes quotidiens par page établis à partir d’eux. Les événements que vous définissez dans Whence sont des réglages : ils sont conservés jusqu’à ce que vous les supprimiez ou que la boutique soit supprimée.
• Les réponses aux sondages et les décomptes quotidiens des sondages et des annonces sont supprimés selon le même calendrier que vos enregistrements, et une réponse est supprimée avec la visite à laquelle elle appartient. Les sondages et annonces que vous rédigez sont des réglages : ils sont conservés jusqu’à ce que vous les supprimiez ou que la boutique soit supprimée.
• Les commandes, paiements abandonnés et contacts importés de votre boutique sont conservés tant que la boutique est connectée à Whence. Lorsque vous déconnectez la boutique ou désinstallez l’application Shopify, ils sont supprimés dans un délai d’un jour.
• Les demandes relatives à la confidentialité et la suite qui leur a été donnée sont conservées 12 mois, afin que vous puissiez démontrer qu’une demande a reçu une réponse.
• Les traces de consentement sont conservées 24 mois, puis supprimées. Whence n’en recueille plus de nouvelles, puisqu’il lit le consentement que votre boutique recueille ; chaque trace déjà recueillie consigne le choix d’un visiteur : le choix lui-même, comment et quand il a été fait, la présentation de bannière affichée, la région et le pays, le chemin de la page, la version des textes et l’identifiant du visiteur. Les conserver plus longtemps que la durée de validité du choix lui-même vous permet de prouver le consentement d’un visiteur s’il venait à être contesté. Elles ne contiennent ni l’adresse réseau ni le user agent du navigateur.
• Lorsque votre compte est résilié, nous conservons ses données 30 jours afin de pouvoir restaurer un compte fermé par erreur, puis nous les supprimons intégralement : boutiques, visites, enregistrements, commandes, contacts, réglages, ainsi que les identifiants de connexion de chaque utilisateur qui n’appartient à aucun autre compte Whence.
• Lorsque vous désinstallez l’application Shopify, Shopify nous demande également, 48 heures plus tard, d’effacer les données de la boutique, ce que nous faisons.
• Votre compte et vos documents de facturation sont conservés aussi longtemps que vous avez un compte. Les factures et justificatifs de paiement sont ensuite conservés uniquement pendant la durée exigée par la législation fiscale et comptable.

Répondre à vos visiteurs et à vos clients

Si l’un de vos visiteurs ou clients vous demande ses données ou leur effacement, vous pouvez répondre depuis la section « Privacy requests » (demandes de confidentialité) de vos paramètres Whence. Recherchez la personne par adresse e-mail, numéro de téléphone, prénom et nom, identifiant de visiteur ou numéro de commande : Whence affiche ce qu’il détient à son sujet dans cette boutique, vous permet de le télécharger sous forme de fichier JSON ou CSV et vous permet de l’effacer. L’effacement porte sur ses visites et enregistrements, les clics, analyses de formulaires, mesures de vitesse des pages et événements mesurés pendant ces visites, les événements de paiement, la fiche contact, le résumé IA, les traces de consentement, les notifications dans l’application qui décrivent ses visites et le lien entre ses commandes et ses visites ; les montants des commandes restent dans vos chiffres, sans rien qui permette d’identifier le client. Un effacement qui ne peut pas supprimer toutes les données échoue de façon visible au lieu d’indiquer une réussite.

Si vous avez activé l’envoi des contacts capturés vers vos clients Shopify, effacer une personne dans Whence efface également la trace de l’envoi de son contact, mais ne supprime pas le client que Whence a créé dans votre boutique Shopify : ce client appartient à votre boutique. Effacez-le aussi dans Shopify si la personne le demande.

Lorsqu’un client Shopify demande ses données ou leur effacement, Shopify en informe Whence. Une demande d’accès apparaît dans votre section « Privacy requests » avec sa date d’échéance ; une demande d’effacement est exécutée automatiquement dans cette boutique. Répondez à chaque demande dans un délai d’un mois. Les données déjà envoyées à une plateforme publicitaire ou d’e-mailing doivent être effacées auprès de cette plateforme.

Pour les données que nous détenons à votre sujet en tant que client, écrivez à contact@usewhence.com.

Vos droits

Selon votre lieu de résidence, vous pouvez avoir le droit d’accéder aux données que nous détenons à votre sujet, de les rectifier, de les faire supprimer, de vous opposer à leur utilisation ou de les recevoir dans un format portable. Écrivez à contact@usewhence.com et nous vous répondrons dans un délai d’un mois. Si vous vous trouvez dans l’Espace économique européen ou au Royaume-Uni et que notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de votre autorité nationale de protection des données.

Si vous êtes visiteur d’une boutique qui utilise Whence plutôt que l’un de nos clients, c’est la boutique qui est responsable du traitement de vos données. Contactez directement la boutique ; si vous ne parvenez pas à la joindre, écrivez-nous et nous lui transmettrons votre demande.

Sécurité

Le trafic est chiffré en transit. Les enregistrements sont stockés dans un bucket privé, et non à une adresse publique. L’accès de votre équipe passe par des règles de base de données qui limitent chaque compte à ses propres boutiques. Les tâches de fond qui nécessitent un accès plus large s’exécutent uniquement sur nos serveurs, avec des identifiants jamais transmis à un navigateur. L’accès aux systèmes de production est réservé aux personnes qui en ont besoin.

Si vous pensez avoir découvert une vulnérabilité, écrivez à contact@usewhence.com avant de la divulguer publiquement. Nous n’engagerons pas de poursuites contre quiconque signale de bonne foi un problème réel.

Modifications

Si nous modifions cette page d’une manière qui affecte sensiblement ce que nous faisons de vos données, nous vous en informerons par e-mail avant l’entrée en vigueur de la modification. La date indiquée en haut de page correspond toujours à la version en vigueur.

Contact

Frondia LLC, Nouveau-Mexique, États-Unis. contact@usewhence.com.