Politique de confidentialité

1. Responsable du traitement

Korvus, dont l'éditeur est identifié dans les mentions légales, est responsable du traitement des données personnelles collectées via le site korvus.fr et l'application app.korvus.fr.

Pour toute question relative à la protection de vos données : contact@korvus.fr.

2. Ce que Korvus traite

Korvus traite deux catégories de données distinctes :

2.1 Comptes clients du service Korvus

Nom, prénom, adresse email professionnelle, informations de facturation, données de connexion (adresse IP au moment de la connexion, user agent). Ces données sont collectées pour la gestion du compte, la facturation, la sécurité et la communication d'alertes.

2.2 Visiteurs des sites clients (via le snippet)

Korvus est une solution de mesure d'audience et de détection de problèmes techniques. Les données collectées sur les sites clients sont décrites de manière exhaustive, champ par champ, dans notre documentation publique : Données collectées par le snippet Korvus. La liste des sous-traitants ultérieurs auxquels Korvus fait appel est publiée sur la page dédiée.

En synthèse : aucun cookie n'est posé en fonctionnement normal, les sessions sont identifiées viasessionStorageet meurent à la fermeture de l'onglet, aucune donnée personnelle identifiante n'est collectée (pas de nom, pas d'email, pas de contenu de formulaire, pas de session replay, pas de fingerprinting). L'adresse IP n'est jamais stockée : elle est utilisée une seule fois côté serveur pour dériver le pays, puis supprimée.

Données sensibles (article 9 RGPD). Sur certains sites clients (ex : e-commerce floral avec catégories liées au deuil, aux condoléances ou à des événements religieux), le snippet peut temporairement recevoir en transit des libellés de boutons ou des messages d'erreur visibles contenant des termes potentiellement sensibles. Ces données sont neutralisées côté serveur (remplacées par [sensitive]) avant toute écriture en base, via un dictionnaire multilingue (français, italien, espagnol, anglais, allemand). Aucune donnée de santé, de religion ou d'orientation n'est donc conservée.

2.3 Boutiques Shopify (via l'application Korvus)

Lorsqu'un marchand installe l'application Korvus sur sa boutique Shopify, celle-ci s'abonne à l'événement de création de commande et installe un pixel de checkout. Les autorisations demandées sont read_orders, write_pixels et read_customer_events. Korvus ne demande aucune des autorisations granulaires ouvrant l'accès au nom, à l'adresse électronique, au numéro de téléphone ou à l'adresse postale des clients du marchand.

Ce qui est conservé. À la réception d'une commande, Korvus retient uniquement l'identifiant de la commande, le montant total, la devise, le statut de paiement, le nombre de lignes de la commande, les codes promotionnels appliqués, et le jeton technique du checkout. Le pixel de checkout transmet le montant, la devise, le nombre d'articles, le jeton de checkout et un identifiant de session Korvus anonyme.

Ce qui n'est jamais conservé. Shopify transmet à l'application la commande complète, qui contient des données personnelles. Korvus les écarte avant toute écriture : nom, adresse électronique, numéro de téléphone, adresse de livraison, adresse de facturation et adresse IP ne sont ni stockés, ni journalisés. Le filtrage est appliqué côté serveur par une liste blanche de champs, et non par une simple politique déclarative. Le pixel s'exécute quant à lui dans un environnement isolé imposé par Shopify : il ne peut ni lire le contenu de la page de paiement, ni accéder aux coordonnées bancaires, ni au détail du panier.

Finalité et rôle des parties. Ces données servent exclusivement à détecter les défaillances du tunnel d'achat et à en estimer l'impact financier pour le marchand. Elles ne sont ni revendues, ni utilisées à des fins publicitaires, ni croisées entre marchands. Le marchand demeure responsable de traitement ; Korvus agit en qualité de sous-traitant au sens de l'article 28 du RGPD, dans le cadre de l'accord de traitement des données conclu avec lui.

Consentement et effacement. Le pixel de checkout vérifie, avant chaque transmission, que le visiteur a consenti à la mesure d'audience, en interrogeant l'interface de gestion du consentement fournie par Shopify. À défaut de consentement, aucune donnée n'est émise. L'application traite les demandes d'accès et d'effacement transmises par Shopify ; n'ayant conservé aucune donnée personnelle de client, elle n'a rien à restituer ni à effacer à ce titre. La désinstallation de l'application entraîne la suppression des données de la boutique et des événements associés.

3. Finalités et bases légales

• Fourniture du service (détection d'anomalies, calcul d'impact, alertes) — exécution du contrat
• Facturation et gestion du compte — exécution du contrat et obligations légales
• Mesure d'audience et détection de problèmes techniques sur les sites clients — intérêt légitime, exemptée de consentement au titre de l'article 82 de la loi Informatique et Libertés (voir classification CNIL détaillée dans la documentation)
• Mesure à visée marketing (UTM, identifiants de clic, valeurs de transaction) — consentement du visiteur

4. Hébergement et transferts

Toutes les données du service Korvus sont hébergées en France, sur des serveurs Scaleway situés en région parisienne. Aucun sous-traitant non-européen n'a accès aux données du service et aucune donnée ne fait l'objet d'un transfert hors de l'Union européenne. Consultez la liste exhaustive de nos sous-traitants.

4.1 Diagnostic IA

Lorsqu'une alerte de type recherches sans résultatest créée pour l'un de nos clients, Korvus transmet à Mistral AI (société française, infrastructure UE) un résumé agrégé des requêtes de recherche concernées (top 10 avec compteur de fréquence) ainsi que des métriques techniques associées (volumes et taux de recherches sans résultat, plateforme e-commerce). Les requêtes de recherche ne sont incluses que pour les visiteurs ayant donné leur consentement ; sans consentement, seules les métriques agrégées sont transmises.

Aucune adresse IP, aucun identifiant de session, aucun user agent et aucune donnée personnelle identifiante n'est transmise à Mistral AI. L'appel est effectué une seule fois à la création de l'alerte. Mistral AI ne conserve aucune donnée au-delà du traitement de la requête.

4.2 Sous-traitants

Les principaux sous-traitants ultérieurs de Korvus sont :

• Scaleway — hébergement applicatif et base de données, France (Paris)
• Stripe — traitement des paiements d'abonnement, UE (Irlande)
• Mistral AI — diagnostic IA pour les alertes de type recherches sans résultat, société française, infrastructure UE

La liste exhaustive, incluant les finalités, les données traitées et les garanties applicables, est disponible sur la page Sous-traitants.

5. Durée de conservation

• Données de compte client : durée de l'abonnement + 3 ans
• Données collectées par le snippet : 13 mois maximum, suppression automatique par partitionnement mensuel
• Données de facturation : 10 ans (obligation légale française)
• Logs de connexion : 12 mois

6. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation du traitement. Pour les exercer, écrivez à contact@korvus.fr.

Droit d'opposition pour les visiteurs des sites clients : même pour les données exemptées de consentement, les visiteurs peuvent refuser la collecte Korvus en posant le cookie korvus_optout=1. Quand ce cookie est présent, le snippet ne s'initialise pas du tout.

7. Cookies sur korvus.fr

7.1 Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du site. Ils ne nécessitent pas votre consentement.

Korvus ne dépose aucun cookie analytique ou publicitaire sur korvus.fr. Aucune donnée de navigation n'est transmise à un service tiers. Vous pouvez néanmoins revoir votre choix à tout moment en cliquant sur « Paramètres cookies » dans le pied de page du site.