Politique de confidentialité

Responsable de traitement

FASTOCHE, société par actions simplifiée dont le siège est situé 1004 route de Coudoux, 13122 Ventabren, France, éditeur de Heylio, est responsable du traitement des données personnelles décrites ci-dessous, notamment dans le cadre de l'exploitation du site https://heylio.io. Contact : hello@heylio.io.

Données collectées

• Données de l'entreprise : nom, domaine de la boutique, adresse e-mail, membres de l'équipe.
• Authentification : jetons OAuth des services connectés (Shopify, Gmail, Outlook…), conservés côté serveur et jamais envoyés au navigateur.
• Configuration : réglages de l'application, scénarios et règles, base de connaissances, préférences de l'IA.
• Conversations traitées pour le compte du client : e-mails de support synchronisés, messages du chat, messages directs Instagram et WhatsApp, réponses générées et actions exécutées.
• Données de navigation et cookies (voir notre politique de cookies).
• Données transmises par le formulaire de contact du site : nom, adresse e-mail, entreprise, plateforme e-commerce, outil concerné et contenu du message.

Données des clients de la boutique

Lorsqu'un marchand connecte sa boutique et ses canaux à Heylio, nous traitons pour son compte les messages de ses clients et les données nécessaires pour y répondre.

• Identité et coordonnées : nom, adresse e-mail, et selon le canal numéro de téléphone ou nom d'utilisateur.
• Commandes (boutiques Shopify) : consultées à l'unité, quand une demande les concerne, pour répondre ou exécuter une action autorisée par le marchand (remboursement, annulation, changement d'adresse…).
• Contenu des échanges : e-mails, messages du chat, messages directs, et les réponses produites.

Ces données servent exclusivement à répondre aux demandes des clients du marchand. Nous ne les vendons pas, ne les utilisons pas à des fins publicitaires et ne les utilisons pas pour entraîner des modèles d'IA.

Le marchand est le responsable de traitement ; Heylio agit comme sous-traitant, sur ses instructions (article 28 du RGPD). L'accord de traitement des données figure dans nos CGV.

Intelligence artificielle

Les réponses sont rédigées par des modèles d'IA (Claude d'Anthropic, via OpenRouter ; l'API d'Anthropic en secours). Ces fournisseurs reçoivent le contenu de la conversation, le contexte client utile à la réponse (prénom, adresse e-mail, adresse de livraison, détail de la commande) et les extraits utiles de la base de connaissances, le temps de produire la réponse. Lorsque l'IA n'est pas sûre, ou qu'une règle du marchand l'exige, la réponse est préparée pour relecture humaine au lieu d'être envoyée.

Durée de conservation

• Utilisation active : les données sont conservées tant que l'entreprise utilise le service.
• Après désinstallation de l'app Shopify : la désinstallation n'efface rien à elle seule ; Shopify nous envoie une demande shop/redact 48 heures plus tard et les données sont supprimées à sa réception (sauf si une autre app de notre suite reste installée sur la boutique et s'en sert encore). Autres comptes : suppression sur demande.
• Sauvegardes : export quotidien de la base (sans jetons d'accès ni sessions), conservé 90 jours comme artefact d'un dépôt privé à accès restreint.
• Demandes relatives aux données des clients (accès, effacement), y compris celles transmises par Shopify : traitées sous 30 jours.

Sécurité

Chiffrement en transit (TLS) ; jetons d'accès Shopify, identifiants des boîtes mail et clés d'API des helpdesks et boutiques connectés chiffrés en AES-256-GCM avant stockage ; isolation de chaque compte côté serveur ; journal de toutes les actions de l'IA et de chaque consultation de données clients par notre équipe (conservé un an).

Finalités et bases légales

• Exécution du contrat : fourniture du service, gestion de l'abonnement et de la facturation.
• Intérêt légitime : réponse aux demandes de contact, amélioration du produit, sécurité, prévention de la fraude, support client.
• Consentement : envoi de communications marketing et cookies de mesure d'audience non essentiels.
• Obligation légale : conservation des données de facturation à des fins comptables et fiscales.

Durée de conservation

Les données de compte sont conservées pendant toute la durée de l'abonnement, puis archivées ou supprimées à l'issue de la durée de prescription applicable après la résiliation, sauf obligation légale de conservation plus longue (données de facturation : 10 ans).

Les messages envoyés par le formulaire de contact, et les coordonnées qui les accompagnent, sont conservés trois (3) ans à compter du dernier contact avec la personne concernée, puis supprimés.

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données personnelles. Vous pouvez exercer ces droits en nous écrivant à hello@heylio.io. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Délégué à la protection des données

Contact DPO : rgpd@fastoche.tech — ou par courrier : DPO — FASTOCHE, 1004 route de Coudoux, 13122 Ventabren.

Sous-traitants

Nous faisons appel aux sous-traitants suivants, chacun engagé contractuellement à respecter le RGPD et situé dans l'Union européenne ou couvert par un cadre de transfert conforme :

• Vercel, Inc. — hébergement de l'application et de l'API (fonctions dans l'UE, Dublin).
• Convex, Inc. — base de données et stockage de fichiers (région UE, Irlande).
• Trigger.dev — tâches de fond (synchronisation des e-mails, base de connaissances, rapports, export et effacement des données).
• OpenRouter — génération des réponses par IA et vecteurs de texte (modèles Claude d'Anthropic, embeddings d'OpenAI).
• Google (Vertex AI) — sert les modèles Claude d'Anthropic quand OpenRouter y route une requête.
• Cohere — classement des résultats de recherche, seulement s'il est activé (inactif aujourd'hui).
• Twilio — SMS d'alerte de retour en stock, seulement s'il est activé et que le client l'a accepté (inactif aujourd'hui).
• Anthropic — fournisseur d'IA de secours (API Claude).
• OpenAI — fournisseur de secours pour les vecteurs de texte.
• Voyage AI — classement des résultats de recherche dans la base de connaissances.
• TypeSafe — contrôles automatiques des brouillons de l'IA.
• Resend — e-mails transactionnels et notifications.
• PostHog (région UE) — mesure d'usage du produit et signalement des erreurs.
• GitHub — sauvegarde quotidienne de la base (artefact d'un dépôt privé, 90 jours).
• ipinfo.io — pays des visiteurs du widget de chat.
• Stripe — paiement des abonnements des comptes hors Shopify.
• Telegram — rapport quotidien facultatif, quand le marchand relie un chat Telegram.
• Services connectés par le marchand, pour son compte : Shopify, Google (Gmail, connexion Google), Microsoft (Outlook), Meta (Instagram, WhatsApp), Zendesk.
• Google Ads (Google Ireland) — mesure des conversions publicitaires sur nos pages web, après votre consentement.

Liste détaillée disponible sur demande à hello@heylio.io.