# Où vivent vos clés, et qui peut les lire.

URL: https://storelift.net/fr/trust/
Language: fr
Updated: 2026-10-13

Storelift demande des clés App Store Connect, Google Play, RevenueCat et Apple Ads. Cette page dit exactement ce qu'il advient de chacune, où vos données sont stockées, qui dans votre équipe peut modifier quoi, et ce que la suppression de votre compte efface.

## Comment mes clés App Store Connect et RevenueCat sont-elles conservées ?

Les clés de connexion sont chiffrées avant d'être stockées. Les services ont besoin d'une autorisation de déchiffrement distincte ; le tableau de bord n'affiche pas les clés enregistrées.

- **Chiffrées avant que la base de données ne les voie** — Chaque clé est scellée avec une clé AWS KMS avant d'être écrite. Ouvrir une clé demande une autorisation de déchiffrement distincte, en plus de l'accès à la table.
- **Les nouvelles clés sont liées à votre compte** — Le contexte de chiffrement inclut votre compte quand une clé de connexion vient d'être enregistrée. Les enregistrements plus anciens peuvent encore utiliser le contexte précédent jusqu'à leur prochain enregistrement ; l'achèvement de cette migration n'a pas été vérifié.
- **Autorisations d'écriture et de déchiffrement séparées** — L'API chiffre les identifiants enregistrés. Les services de collecte autorisés les déchiffrent pour lire les rapports connectés, notamment le collecteur et le lecteur des rapports du jour.
- **Testée une fois, en direct, à la connexion** — Avant d'être enregistrée, une clé est testée auprès de sa source. Un rôle manquant est nommé aussitôt sur la carte.
- **Scellée après l'enregistrement** — Les écrans, les exports et les réponses de l'API indiquent qu'une clé est connectée ; la clé elle-même reste scellée. Pour en changer, vous la remplacez.
- **Disparue quand vous la retirez** — Retirer une connexion supprime ses identifiants enregistrés et l'enregistrement d'accès au webhook ou à la feuille de calcul qui lui est associé. Révoquez aussi la clé d'origine dans la console du fournisseur. Les rapports déjà collectés sont distincts de la connexion.

## Où mes données sont-elles stockées, et qui d'autre les traite ?

Le stockage des comptes se fait chez AWS, dans l'UE. Le traitement et l'envoi dépendent des fonctionnalités et des destinations que vous utilisez ; des fournisseurs externes peuvent traiter des données ailleurs.

| | |
|---|---|
| Données du compte | AWS, Francfort (eu-central-1) : base de données, authentification, API et collecteur. Sauvegardes continues avec restauration à un instant donné ; rotation des clés KMS activée |
| E-mail | AWS SES, Stockholm (eu-north-1) : codes de connexion, alertes, rapports et e-mails de compte |
| Paiements | Polar, vendeur officiel (merchant of record). Les données de carte vont directement chez Polar et y restent |
| Connexion avec Google | Google, uniquement si vous la choisissez |
| Fonctionnalités IA | Anthropic reçoit le contexte nécessaire aux questions, aux brouillons de réponse aux avis et aux suggestions de texte. La visibilité IA peut aussi appeler OpenAI et Google Gemini. Le contenu envoyé peut inclure des informations de la fiche, des mots-clés, le texte d'avis et votre question ; les informations personnelles que vous mettez dans une question font partie de ce contenu. |
| Statistiques du site public | Microsoft Clarity, sur les pages publiques uniquement, et seulement après votre premier clic ou votre première frappe au clavier |
| Destinations que vous connectez | Slack, Telegram, Discord, Google Sheets et la destination de votre webhook reçoivent les rapports ou les événements activés pour cette connexion. Les données exportées vers une destination sont aussi soumises à ses réglages de conservation. |

## Qui dans mon équipe peut modifier quoi ?

Quatre rôles, vérifiés côté serveur à chaque requête : c'est le serveur qui tient le verrou, pas le bouton.

- **Lecteur** — Lit tous les écrans de l'espace de travail et interroge Storelift AI ; les modifications restent aux rôles ci-dessous.
- **Membre** — Travaille en plus dans les apps existantes : mots-clés, pays, concurrents, brouillons et localisation.
- **Admin** — Peut en plus ajouter et retirer des apps, connecter les sources de données, les canaux d'alerte et les clés API, et voit les revenus et les dépenses publicitaires.
- **Propriétaire** — Peut en plus inviter et retirer des utilisateurs, et détient le plan, la facturation et le compte lui-même.

- **Journal d'audit** — Les modifications enregistrées de l'espace de travail indiquent qui les a faites (compte et e-mail), quand, depuis quelle adresse IP et ce qui a été fait, avec une durée de conservation réglée sur 365 jours. Une adresse e-mail contenue dans la modification elle-même, par exemple celle d'une personne invitée, est masquée. Les propriétaires et les admins peuvent lire le journal.
- **Clés API** — Stockées uniquement sous forme de hash SHA-256 et affichées une seule fois. Chaque clé a son propre scope, et une nouvelle clé démarre avec tous les scopes d'écriture décochés. Les clés de test fonctionnent sur un jeu de données sandbox, sur tous les plans.

## Que se passe-t-il quand je demande la suppression de mon compte ?

Écrivez-nous depuis l'adresse de votre compte : nous supprimons le compte sous 30 jours. La suppression retire les enregistrements du compte et des apps de la base de données principale.

| | |
|---|---|
| Demande | Écrivez à hello@storelift.net depuis l'adresse e-mail de votre compte. Nous vérifions que la demande vient bien de cette adresse. |
| Avant la suppression | Un abonnement actif est d'abord résilié : la facturation s'arrête donc. Un abonnement résilié n'est pas relancé automatiquement. |
| Sous 30 jours | Nous supprimons le compte : l'historique du compte et des apps, les avis, les brouillons et les connexions sont effacés, et le retrait des enregistrements d'authentification est demandé. |
| Ensuite | Un marqueur minimal de compte supprimé a un réglage d'expiration de 30 jours supplémentaires ; le traitement de l'expiration est asynchrone. Les sauvegardes expirent selon leur politique de conservation. Les totaux anonymes et les enregistrements détenus par les fournisseurs, dont les enregistrements de paiement de Polar, sont à part. |

## La confiance, c'est aussi les chiffres à l'écran

Trois règles que suit chaque écran, parce que le chiffre à l'écran est celui sur lequel vous agissez.

- **Une source pour chaque chiffre** — Les téléchargements issus du rapport de ventes d'Apple le disent ; tout autre chiffre nomme Hive et le jour où il a été mesuré.
- **Chaque point est un jour mesuré** — Un jour non mesuré reste un trou sur chaque graphique.
- **Vos propres chiffres viennent de vos clés** — Revenus, téléchargements et conversion n'apparaissent qu'une fois connecté le compte auquel ils appartiennent ; pour les positions et les concurrents, le lien du store suffit.

## Questions

### Vendez-vous ou partagez-vous mes données ?

Nous ne vendons pas les données des comptes. Les fournisseurs traitent le contenu nécessaire aux fonctionnalités que vous utilisez ; les destinations d'envoi connectées reçoivent les rapports ou les événements que vous activez.

### Mes données servent-elles à entraîner des modèles d'IA ?

L'API commerciale d'Anthropic et l'API d'OpenAI excluent l'entraînement par défaut, sauf si le client choisit d'y participer. Gemini distingue les conditions du service payant et celles du service non payant. La conservation chez le fournisseur est distincte de l'entraînement ; interrogez-nous sur la configuration d'une fonctionnalité précise avant d'envoyer du contenu sensible.

### Le personnel de Storelift peut-il voir ma clé App Store Connect ?

Les clés enregistrées ne sont pas renvoyées aux écrans du tableau de bord. Déchiffrer des clés chiffrées demande une autorisation KMS distincte, détenue par les services de collecte autorisés. Les clés nouvellement enregistrées utilisent un contexte propre au compte ; les enregistrements plus anciens peuvent encore utiliser le contexte précédent. Un accès privilégié à l'infrastructure n'est pas techniquement impossible.

### Storelift modifie-t-il quelque chose dans mon compte App Store Connect ou Apple Ads ?

Ce que vous confirmez : une réponse à un avis que vous envoyez, un texte de fiche que vous envoyez vers une version modifiable après un aperçu (il y attend à l'état de brouillon ; la soumission à App Review reste entre vos mains), ou une modification Apple Ads pour laquelle vous cliquez sur Appliquer ou définissez une règle.

### Comment exercer mes droits au titre du RGPD ou de la KVKK ?

Écrivez à hello@storelift.net pour l'accès, la rectification, la suppression, l'opposition ou la portabilité. Pour une suppression, écrivez depuis l'adresse e-mail de votre compte.

### Comment signaler un problème de sécurité ?

Envoyez les détails par e-mail à hello@storelift.net. La même adresse figure dans /.well-known/security.txt.

## Commencez par le lien du store.

Pour les positions, les concurrents et les avis, le lien du store suffit. Ajoutez une clé quand un écran vous la demande, et vous savez où elle va.