# Avenant relatif au traitement des données

> https://storelift.net/fr/legal/dpa/

Dernière mise à jour : 2026-10-11

Le présent avenant prend effet lorsque vous acceptez les Conditions d'utilisation pour un usage professionnel.

Cette traduction est fournie à titre informatif. En cas de divergence, la [version anglaise](https://storelift.net/legal/dpa/) prévaut.

## Champ d'application

Le présent avenant relatif au traitement des données (« DPA ») fait partie des [Conditions d'utilisation](https://storelift.net/fr/terms/) dès lors que votre utilisation de Storelift implique des données personnelles protégées par le RGPD de l'UE, le UK GDPR ou la loi turque n° 6698 (KVKK).

Les clients Enterprise qui ont besoin d'un exemplaire contresigné peuvent le demander à [hello@storelift.net](mailto:hello@storelift.net) ; son texte est identique à celui de cette page.

## Rôles

Vous êtes le responsable du traitement des données personnelles que vous apportez dans Storelift : les membres de votre équipe, les avis de vos apps et les rapports des comptes que vous connectez. Storelift, exploité par Volkan Günay (personne physique établie en Turquie), traite ces données pour votre compte en qualité de sous-traitant.

Pour les données dont nous avons besoin pour gérer votre compte lui-même (votre e-mail de connexion, la facturation et les journaux de sécurité), Storelift est un responsable du traitement indépendant, comme décrit dans la [Politique de confidentialité](https://storelift.net/fr/privacy/).

## Personnes concernées et finalités

Nous traitons ces données pour fournir les fonctionnalités que vous utilisez : mesurer vos apps et en rendre compte, rédiger des brouillons de réponses et des suggestions lorsque vous utilisez les fonctionnalités IA, envoyer les alertes et les rapports que vous configurez, et répondre à vos demandes d'assistance. Cela implique de stocker, de lire, de combiner, d'envoyer aux destinataires nommés dans le présent DPA et de supprimer les données.

Les personnes auxquelles ces données peuvent se rapporter :

- Votre équipe : les personnes que vous invitez dans votre espace de travail.
- Les auteurs d'avis : les personnes qui ont publié un avis public sur vos apps sur l'App Store ou Google Play.
- Les utilisateurs finaux de vos apps : les personnes dont les événements d'abonnement ou d'achat nous parviennent par un webhook RevenueCat ou Adapty que vous avez configuré.
- Toute personne dont des informations personnelles figurent dans un texte que vous nous envoyez, par exemple une question posée aux fonctionnalités IA ou un message d'assistance.

## Ce que nous traitons

- Membres de l'équipe : nom, adresse e-mail, rôle et journal d'audit de leurs modifications.
- Avis des stores : texte de l'avis, note et nom d'affichage public de son auteur, ainsi que les réponses que vous rédigez.
- Comptes connectés (App Store Connect, Google Play, Apple Ads, RevenueCat, Google Analytics, AdMob, Adapty) : rapports agrégés tels que les téléchargements, les revenus, les sessions et les dépenses de campagne.
- Les webhooks RevenueCat et Adapty comprennent aussi des événements d'abonnement et d'achat ainsi que des identifiants d'utilisateur ou de profil pouvant être associés à un utilisateur final de l'app, avec des informations sur le produit, le store, le pays, le montant et la source ou la cohorte. Les enregistrements d'événements normalisés reçoivent une durée de conservation configurée de 400 jours et les enregistrements d'utilisateur ou de cohorte une durée de 800 jours ; certaines mises à jour d'enregistrements d'utilisateur renouvellent ce délai. Les enregistrements expirés sont supprimés en arrière-plan.
- Fonctionnalités IA : questions, contexte de conversation et de page, texte des avis et données de rapport pertinentes consultées dans la limite des autorisations de l'utilisateur. Les informations personnelles contenues dans ces saisies peuvent être transmises au fournisseur d'IA. Les questions et réponses Ask, les noms des outils, l'utilisateur à l'origine de la demande, les informations du modèle et les retours sont conservés dans l'historique de l'espace de travail avec une durée de conservation configurée de 90 jours ; l'accès dépend des rôles et des autorisations d'accès aux données. Cette durée est distincte de la conservation dans les systèmes propres au fournisseur.
- Assistance : les messages que vous nous envoyez.
- Durée : les durées spécifiques ci-dessus s'appliquent à ces enregistrements ; les autres données du compte sont conservées tant que le compte reste ouvert, puis la suppression suit la procédure décrite ci-dessous.

## Nos engagements

- Nous ne traitons les données que sur vos instructions documentées : les présentes conditions, vos réglages et les actions que vous effectuez dans le produit.
- Toute personne qui y a accès est tenue à la confidentialité.
- Nous vous aidons à répondre aux demandes des personnes concernées : les membres de l'équipe et les connexions peuvent être modifiés et retirés dans Réglages, et nous envoyons une copie des données ou les supprimons sur demande.
- Nous vous aidons, à votre demande, pour les analyses d'impact relatives à la protection des données et les consultations des autorités, avec les informations dont nous disposons.
- À la fin du service, nous supprimons les données comme décrit ci-dessous.

## Mesures de sécurité

- Les données sont stockées chez AWS à Francfort (eu-central-1) et chiffrées au repos ; chaque connexion utilise TLS.
- Les clés de connexion nouvellement enregistrées sont scellées avec AWS KMS et liées à votre compte. Les enregistrements chiffrés plus anciens peuvent encore utiliser le contexte précédent jusqu'à leur prochain enregistrement ; l'achèvement de cette migration n'a pas été vérifié. Les services de traitement autorisés qui ont besoin des clés pour fournir les fonctionnalités connectées peuvent les déchiffrer. Aucun écran ni aucune réponse de l'API ne renvoie les clés de connexion stockées.
- Les clés API ne sont stockées que sous forme de hash SHA-256 et ne sont affichées qu'une seule fois.
- Les rôles de l'espace de travail (lecteur, membre, admin, propriétaire) limitent qui peut modifier quoi ; chaque modification est conservée dans un journal d'audit pendant 365 jours.
- Les sauvegardes continues avec restauration à un instant donné et la rotation des clés KMS sont activées.
- Plus de détails : [Confiance et sécurité](https://storelift.net/fr/trust/).

## Sous-traitants ultérieurs

La liste à jour se trouve sur la page [Sous-traitants ultérieurs](https://storelift.net/fr/legal/subprocessors/). Nous prévenons les abonnés de cette page au moins 30 jours avant qu'un nouveau sous-traitant ultérieur ne commence à traiter des données personnelles.

Pendant ce délai, vous pouvez vous y opposer pour des motifs raisonnables tenant à la protection des données. Si nous ne parvenons pas à lever l'objection, vous pouvez mettre fin au service concerné avant que le changement ne prenne effet.

Nous imposons à chaque sous-traitant ultérieur des conditions de protection des données au moins aussi protectrices que le présent DPA, et nous restons responsables de son travail.

## Transferts internationaux

Les données propres à Storelift restent dans l'UE (Francfort). Lorsqu'un sous-traitant ultérieur traite des données personnelles en dehors de l'EEE, du Royaume-Uni ou de la Turquie, le transfert repose sur une décision d'adéquation ou sur les clauses contractuelles types de la Commission européenne et, pour la Turquie, sur les contrats types prévus à l'article 9 de la KVKK.

## Violations de données personnelles

Nous vous informons dans les meilleurs délais, et au plus tard dans les 72 heures après avoir pris connaissance d'une violation touchant vos données, avec ce que nous savons à ce moment-là : la nature de la violation, les catégories et le nombre approximatif d'enregistrements, les conséquences probables et les mesures prises. Nous complétons ces informations à mesure que nous en apprenons davantage.

## Audits

Nous répondons une fois par an, sans frais, à un questionnaire de sécurité raisonnable ; envoyez-le à [hello@storelift.net](mailto:hello@storelift.net). Les clients Enterprise peuvent convenir de conditions d'audit supplémentaires dans leur contrat.

## Suppression à la fin du service

La suppression du compte comporte un délai de récupération de 30 jours. Passé ce délai, une tâche planifiée nettoie les enregistrements du compte et des apps dans la base de données principale et demande le retrait des enregistrements d'authentification. Un marqueur minimal de compte supprimé a un réglage d'expiration de 30 jours supplémentaires ; les enregistrements expirés sont supprimés de manière asynchrone. Les sauvegardes expirent selon leur propre politique de conservation. Les totaux anonymes et les caches partagés de données publiques des stores sont distincts.

Les écritures financières nécessaires à la comptabilité sont conservées séparément par Storelift et Polar pendant les durées imposées par leurs obligations applicables. Les enregistrements de blocage d'e-mails sont conservés pour éviter que des e-mails indésirables ne soient envoyés de nouveau. Les copies déjà envoyées vers les destinations que vous connectez suivent les réglages de conservation de ces destinataires. Consultez la [Politique de confidentialité](https://storelift.net/fr/privacy/) pour la procédure de suppression du compte et la manière de nous contacter au sujet de vos données.

Si vous souhaitez une copie des données avant leur suppression, demandez-la à [hello@storelift.net](mailto:hello@storelift.net) tant que le compte est ouvert ou pendant le délai de récupération.

## Contact

Questions sur le présent DPA : [hello@storelift.net](mailto:hello@storelift.net).

## Ce qui a changé

- 2026-10-11 — Précision : le chiffrement lié au compte s'applique aux clés de connexion nouvellement enregistrées ; la migration des enregistrements plus anciens n'est pas vérifiée.
- 2026-10-10 — Ajout des personnes dont les données sont traitées et de la finalité du traitement, ainsi que de la manière de demander une copie avant la suppression.
- 2026-10-09 — Précisions sur les identifiants des webhooks, les saisies et l'historique de l'IA, l'accès autorisé aux clés et les exceptions à la suppression du compte.
- 2026-09-28 — Publication de la première version.