Politique de confidentialité

1. Qui nous sommes

Codit est un service de gestion de commandes destiné aux vendeurs e-commerce en paiement à la livraison au Maroc. Codit est un produit de SteinStack LLC, société à responsabilité limitée de droit du Wyoming (EIN 98-1982079), située 30 N Gould St Ste R, Sheridan, WY 82801, États-Unis (« SteinStack », « nous »). SteinStack LLC est responsable des données personnelles décrites dans cette politique. Cette politique explique ce que nous collectons, pourquoi, et ce que vous pouvez nous demander à ce sujet. Elle couvre l'application web Codit, l'application mobile Codit et ce site. Pour toute question : contact@codit.ma.

2. Données que nous collectons

Données de compte : votre nom, votre adresse e-mail, votre numéro de téléphone, le nom de votre entreprise et le rôle que vous occupez dans votre espace de travail. Si vous vous connectez avec Google ou Apple, nous recevons l'identifiant du compte et les informations de profil qu'ils nous transmettent. Si vous utilisez une clé d'accès (passkey) ou l'authentification à deux facteurs, nous conservons la clé publique ou le secret chiffré nécessaire pour vous authentifier, jamais votre clé privée. Nous enregistrons également la date de votre dernière connexion.

Données de connexion aux plateformes : les jetons d'accès et identifiants d'API que vous autorisez lors de la connexion d'une plateforme de vente (Shopify, YouCan, WooCommerce, Lightfunnels, Storeep), d'un compte transporteur (Sendit, OzonExpress, Coliix, ForceLog, Ameex), d'un numéro WhatsApp Business ou d'un compte publicitaire Meta ou TikTok. Pour un numéro WhatsApp, nous conservons également le code PIN de vérification en deux étapes défini lors de la connexion. L'ensemble de ces données est stocké sous forme chiffrée.

Données de commandes issues de vos boutiques et canaux connectés : références de commande, produits, quantités, prix, statut de la commande, ainsi que le nom, le numéro de téléphone, l'adresse e-mail lorsqu'elle est disponible et l'adresse de livraison de votre client final. Lorsque votre boutique les fournit, nous recevons également les informations sur la manière dont le client est arrivé sur votre boutique : page d'atterrissage et site référent, balises de campagne (UTM), identifiants de clic publicitaire (tels que fbclid ou ttclid), adresse IP et user agent du navigateur.

Données publicitaires : lorsque vous connectez un compte publicitaire, nous importons quotidiennement les dépenses, impressions et clics au niveau des campagnes, afin que vos rapports puissent afficher votre bénéfice réel. Ces données portent sur vos campagnes, et non sur des personnes individuelles.

Données de paiement : pour les paiements par carte, traités par notre prestataire de paiement Stripe, vous saisissez vos coordonnées bancaires sur la page sécurisée de Stripe, et nous ne recevons que le statut du paiement, son montant et sa référence ; nous ne voyons ni ne conservons jamais de numéro de carte. Pour les virements bancaires, nous conservons le montant, votre référence de paiement, le justificatif que vous téléversez et la date.

Données d'usage : pages consultées, actions effectuées dans l'application, type de navigateur et d'appareil, adresse IP et rapports d'erreur, collectés via PostHog pour comprendre l'utilisation du produit et corriger les anomalies.

3. Utilisation de vos données

Nous utilisons vos données pour fournir le service auquel vous avez souscrit : importer vos commandes, permettre à vos agents de les confirmer, envoyer des messages de confirmation sur WhatsApp lorsque vous activez cette fonction, créer les expéditions chez vos transporteurs, suivre les livraisons, gérer votre stock, calculer les commissions des agents, remonter les conversions aux plateformes publicitaires que vous connectez et produire vos tableaux de bord et rapports. Nous utilisons vos données de compte et de paiement pour gérer votre essai gratuit et votre abonnement, vérifier les paiements et vous informer des renouvellements, des échéances et des messages de service. Nous utilisons les données d'usage et d'erreur pour maintenir le service en état de marche, diagnostiquer les pannes et améliorer le produit. Nous n'utilisons pas les données personnelles de vos clients finaux à des fins de prospection pour notre compte, et nous ne vendons aucune donnée personnelle à quiconque.

4. Données de vos clients finaux

Lorsque Codit importe ou reçoit une commande, nous traitons les données personnelles de votre client pour votre compte. Vous restez responsable de ces données vis-à-vis de vos clients, de l'existence d'un fondement licite pour les détenir et de l'information de vos clients sur leur utilisation, y compris la messagerie WhatsApp et la mesure publicitaire que vous activez. Nous agissons en qualité de sous-traitant et ne les utilisons que pour vous fournir le service. Les coordonnées des clients sont chiffrées au repos et ne sont visibles que par les utilisateurs de votre espace de travail dont le rôle et l'affectation le permettent : un agent de confirmation voit les commandes qui lui sont assignées, pas l'ensemble de votre fichier client. Les numéros de téléphone sont comparés, pour la détection des doublons et le contrôle de la liste noire, au moyen d'un hachage à clé, et non sous forme lisible. Lorsqu'une plateforme connectée nous transmet une demande de suppression ou d'anonymisation concernant un client (par exemple un webhook de confidentialité Shopify), nous supprimons ou anonymisons les données personnelles correspondantes. Les commandes de test sont conservées séparément et ne sont jamais transmises aux transporteurs, aux plateformes publicitaires ni aux fournisseurs d'IA.

5. Messagerie WhatsApp

Cette section s'applique uniquement si vous connectez un numéro WhatsApp Business. Codit se connecte à la WhatsApp Business Platform (Cloud API) exploitée par Meta, en qualité de Meta Tech Provider. Vous pouvez continuer à utiliser l'application WhatsApp Business sur le même numéro.

Lorsque vous activez la confirmation des commandes sur WhatsApp, Codit envoie à votre client un message modèle contenant son nom, la référence de la commande, le nom de votre boutique, les produits, le montant à payer et l'adresse de livraison. Les réponses et les conversations avec vos clients sont conservées dans votre espace de travail, le contenu des messages et le nom de profil WhatsApp du client étant chiffrés. Si vous acceptez la proposition de Meta lors de la connexion, jusqu'à 180 jours de vos discussions et contacts existants sont importés afin que votre boîte de réception soit complète.

Les messages transitent par les systèmes de Meta, selon les conditions d'utilisation et la politique de confidentialité propres à Meta. Il vous appartient d'obtenir l'autorisation de vos clients pour les contacter sur WhatsApp et de respecter les politiques WhatsApp Business et Commerce. Meta vous facture directement les messages ; Codit n'y ajoute aucun frais.

6. Plateformes publicitaires

Cette section s'applique uniquement si vous connectez un compte publicitaire Meta ou TikTok. Lorsqu'une commande est confirmée puis lorsqu'elle est livrée, Codit transmet l'événement à Meta (Conversions API) ou à TikTok (Events API) afin que vos campagnes puissent s'optimiser sur des ventes réelles. Chaque événement comprend la valeur de la commande et la devise. Le numéro de téléphone, l'adresse e-mail du client et l'identifiant de la commande sont hachés en SHA-256 avant de quitter Codit. L'identifiant de clic publicitaire, l'adresse IP et le user agent du navigateur sont transmis tels que reçus, car les plateformes en ont besoin pour rattacher l'événement à une publicité. Le nom et l'adresse du client ne sont jamais transmis.

Lorsque vous activez les listes de clients (audiences), Codit transmet les numéros de téléphone hachés des clients livrés pour constituer une audience, et ceux des clients ayant refusé ou retourné leur commande pour les exclure. Les plateformes publicitaires traitent ces données selon leurs propres conditions et politiques de confidentialité. Il vous appartient d'informer vos clients de la mesure publicitaire et de disposer d'un fondement licite pour celle-ci.

7. Fonctionnalités d'IA

Les fonctionnalités d'IA sont désactivées tant qu'elles ne sont pas activées pour votre espace de travail. Lorsqu'elles sont activées, Codit utilise des modèles d'IA tiers, actuellement Claude d'Anthropic, avec OpenAI et Google Gemini comme alternatives possibles, pour répondre aux clients sur WhatsApp, prendre des commandes à partir de conversations WhatsApp, faire correspondre les noms de villes saisis librement aux villes des transporteurs et assister votre équipe dans l'application.

Nous ne transmettons au fournisseur d'IA que ce dont la tâche a besoin : pour une conversation de confirmation, les produits commandés, les quantités, le total, la ville, l'adresse, le prénom du client, la fiche d'information de votre boutique et la conversation en cours ; pour la prise de commande, la partie pertinente de votre catalogue. Le numéro de téléphone du client n'est jamais transmis. L'assistant IA indique aux clients qu'il s'agit d'un assistant automatisé. Les requêtes contenant des noms ou des numéros de téléphone ne sont pas inscrites dans nos journaux, les transcriptions des conversations IA sont chiffrées, et nous conservons un relevé d'utilisation (jetons et coût, jamais le contenu) pendant 13 mois. Nous utilisons les services API professionnels des fournisseurs, dont les conditions ne les autorisent pas à entraîner leurs modèles sur les données que nous leur transmettons.

8. Application mobile

L'application mobile Codit utilise votre appareil photo uniquement pour scanner les codes de suivi des colis, et seulement lorsque vous ouvrez le scanner. Elle envoie des notifications push via le service de notifications push d'Expo, Google Firebase Cloud Messaging et Apple Push Notification service, et conserve votre jeton de connexion dans le stockage sécurisé de l'appareil. Elle n'accède ni à votre localisation, ni à vos contacts, ni à votre photothèque. Vous pouvez demander la suppression de votre compte depuis l'application ; le compte est supprimé au bout de 30 jours, puis anonymisé.

9. Destinataires des données

Nous ne partageons des données que lorsque le fonctionnement du service l'exige, et uniquement avec les services que vous connectez ou que nous utilisons pour exploiter Codit :

Les plateformes de vente et les transporteurs que vous connectez, pour importer les commandes et créer et suivre les expéditions. Meta (WhatsApp Business Platform, Conversions API, statistiques publicitaires et audiences) et TikTok (Events API, rapports et audiences), lorsque vous les connectez. Les fournisseurs d'IA (Anthropic, et OpenAI ou Google le cas échéant), lorsque les fonctionnalités d'IA sont activées. Stripe, pour les paiements par carte. PostHog, pour l'analyse produit et le suivi des erreurs. Google Maps Platform, pour les suggestions d'adresse lors de la saisie d'une adresse dans l'application. Expo, Google Firebase et Apple, pour les notifications push. Google et Apple, lorsque vous choisissez de vous connecter avec eux. Nos prestataires d'hébergement et d'envoi d'e-mails, qui traitent les données sur nos instructions et sous contrat.

Chacun de ces destinataires agit selon ses propres conditions ou en vertu d'un contrat conclu avec nous. Nous pouvons communiquer des données lorsque la loi l'impose, ou pour établir ou défendre nos droits en justice. Nous ne vendons jamais vos données ni celles de vos clients.

10. Transferts internationaux

SteinStack LLC étant établie aux États-Unis, nous y traitons vos données. Certains des prestataires ci-dessus, notamment PostHog, Stripe, Meta, TikTok, Google, Apple et les fournisseurs d'IA, traitent également des données en dehors du Maroc, en particulier aux États-Unis et dans l'Union européenne. Nous ne transférons que les données nécessaires à chaque service, et nous le faisons conformément à la loi marocaine 09-08 et aux exigences de la CNDP.

11. Durée de conservation

Nous conservons vos données de compte et de commandes tant que votre espace de travail est actif. Après la fin d'un abonnement, nous conservons vos données 12 mois afin que vous puissiez revenir sans perdre votre historique, puis nous les supprimons ou les anonymisons. Lorsque vous supprimez votre compte, celui-ci est supprimé au bout de 30 jours et anonymisé ; si vous êtes le dernier administrateur d'un espace de travail, l'espace de travail et ses données sont supprimés en même temps. Les relevés d'utilisation de l'IA sont conservés 13 mois. Les pièces de paiement et factures sont conservées pendant la durée exigée par la législation fiscale et comptable marocaine. Vous pouvez demander la suppression anticipée de votre espace de travail ; nous y procéderons, à l'exception des documents que la loi nous impose de conserver.

12. Sécurité

Les coordonnées des clients, le contenu des messages ainsi que l'ensemble des identifiants et jetons de connexion sont chiffrés au repos. Les mots de passe sont stockés sous forme de hachage, jamais en clair. L'accès aux données de votre espace de travail est limité par rôle et par affectation, les espaces de travail sont isolés les uns des autres, et chaque changement de statut d'une commande est enregistré avec son auteur et son horodatage. Nous prenons en charge l'authentification à deux facteurs et les clés d'accès (passkeys), et nous vous recommandons d'activer l'une d'elles. Les données transitent par des connexions chiffrées. Aucun système n'est parfaitement sûr : en cas de violation affectant vos données personnelles, nous vous en informerons ainsi que l'autorité compétente, conformément à la loi.

13. Vos droits

En application de la loi marocaine 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, vous pouvez nous demander une copie des données personnelles que nous détenons à votre sujet, leur rectification si elles sont inexactes, leur suppression, et vous opposer à certains traitements. Écrivez à contact@codit.ma ; nous répondons dans un délai de 30 jours. Nous pouvons vous demander de justifier votre identité au préalable. Si vous êtes le client final d'un vendeur qui utilise Codit, veuillez d'abord contacter ce vendeur, puisque c'est lui qui décide de l'utilisation de vos données ; nous l'aiderons à vous répondre. Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP).

14. Cookies

Nous utilisons des cookies nécessaires au fonctionnement du service : un cookie de session qui vous maintient connecté, un jeton de sécurité qui protège les formulaires contre la falsification de requêtes, et des cookies de préférence qui mémorisent votre langue et le thème clair ou sombre. Nous utilisons également des cookies d'analyse PostHog pour comprendre l'usage du produit ; PostHog peut enregistrer la manière dont les pages sont utilisées afin de nous aider à corriger les problèmes, le contenu que vous saisissez dans les champs de formulaire étant masqué. Vous pouvez bloquer les cookies dans votre navigateur, mais le service ne fonctionnera pas correctement sans les cookies nécessaires.

15. Modifications et contact

Nous pouvons faire évoluer cette politique en même temps que le service. En cas de modification substantielle, nous mettrons à jour la date en haut de cette page et informerons les titulaires de comptes par e-mail. Pour toute question relative à cette politique ou à vos données : contact@codit.ma.