Politique de confidentialité

Données que nous stockons

Lorsque vous installez LabelCraft, nous stockons :

Informations sur la boutique. Le domaine .myshopify.com de votre boutique, votre forfait, le nombre d’étiquettes utilisées dans le mois et les réglages de l’application (quantités par défaut, préfixe GS1, la marque et le modèle d’imprimante que vous déclarez, et les éventuels réglages de calibration). Depuis le 4 septembre 2026, nous conservons aussi l’adresse e-mail du propriétaire de la boutique, celle que Shopify utilise pour communiquer avec lui, lue auprès de Shopify quand nous rafraîchissons le nom de votre boutique (environ une fois par mois). Nous y écrivons, en tant qu’adresse du propriétaire : un message de bienvenue le jour de l’installation ; les nouveautés du mardi, une fois que ce message de bienvenue les a annoncées, à l’adresse où il est parti ; et, si vous n’avez laissé aucune adresse dans l’application, tous les autres e-mails décrits sous Où les données sont hébergées : l’e-mail d’aide, la question unique que nous posons quand vous résiliez votre forfait payant, les messages sur la mise en route et sur des étiquettes qui ne sortent plus, la question unique sur ce que vous pensez de l’application, et la note hebdomadaire sur les problèmes de codes-barres de votre catalogue. La note hebdomadaire y part aussi quand la case que vous avez cochée à côté de votre adresse ne la nomme pas. Chaque message porte un lien de désabonnement en un clic, et l’adresse part avec le reste à la désinstallation, sauf si vous nous avez demandé de ne plus vous écrire : elle reste alors dans notre liste d’opposition pour que nous la respections, comme le dit la section sur la conservation. Retirer l’adresse que vous avez laissée dans l’application va moins loin qu’un désabonnement : l’adresse du propriétaire n’est pas touchée, chacun de ces e-mails y part désormais, et les nouveautés du mardi partent à l’adresse où est parti votre message de bienvenue, si celui-ci les a annoncées. La page de désabonnement vers laquelle renvoie chacun de ces e-mails peut tous les arrêter, à l’adresse qui l’a reçu comme aux autres adresses de votre boutique.

Connexion imprimante et réglages de poste. Si vous connectez une imprimante via PrintNode, nous stockons la clé d’API PrintNode que vous collez, l’imprimante que vous choisissez et son nom, afin que l’application puisse lui envoyer les impressions. Cette clé sert uniquement côté serveur à dialoguer avec PrintNode et n’est jamais renvoyée à votre navigateur. Si vous configurez des postes d’impression par emplacement, nous stockons aussi, pour chaque emplacement Shopify, le modèle d’étiquette et la règle de copies utilisés en dernier par ce poste. Les deux figurent dans le même enregistrement de réglages que les informations sur la boutique ci-dessus.

Instantanés de données produit. Les modèles d’étiquettes que vous créez et l’historique de vos impressions, qui contient les détails produit imprimés sur les étiquettes (titres, variantes, SKU, prix, codes-barres). Les données produit sont lues via l’API de Shopify uniquement pour générer vos étiquettes.

Détails du compte du personnel. L’application accède à votre boutique avec une clé d’accès que Shopify délivre à la boutique, pas à une personne. La connexion Shopify ne nous transmet ni le nom ni l’adresse e-mail d’un membre du personnel (l’adresse décrite sous « Informations sur la boutique » est lue séparément, par l’API de Shopify). Chaque écran de l’application porte en revanche l’identifiant Shopify du membre du personnel qui l’utilise. Cet identifiant est un numéro sans nom ni adresse e-mail, et nous ne nous en servons que pour la langue de l’interface d’administration décrite au paragraphe suivant.

La langue choisie pour votre interface d’administration. Shopify ne nous indique la langue de votre interface qu’au premier écran ouvert ; pour que l’application reste dans cette langue au fil de votre navigation, nous conservons cette langue avec l’identifiant Shopify du membre du personnel concerné. Cet identifiant, que Shopify place dans la session de connexion, est un numéro sans nom ni adresse e-mail. Nous n’en gardons qu’un seul à la fois par boutique, jamais une liste des personnes qui y travaillent.

Les retours que vous nous écrivez. Les notes que vous tapez dans la boîte de retour de l’application sont conservées avec votre boutique, lues par nous, publiées nulle part, et supprimées avec le reste quand vous désinstallez. Sous cette boîte, vous pouvez ajouter une adresse pour que nous vous répondions et cocher la case à côté. Si vous le faites, deux choses se produisent : nous gardons cette adresse sur cette note-là, et nous nous envoyons aussi cette note et cette adresse par e-mail, via Resend, pour pouvoir vous répondre. Cet e-mail reste ensuite dans notre boîte d’assistance comme tout message que nous recevons, et la désinstallation supprime votre note de l’application mais n’efface pas un e-mail qui nous a déjà été envoyé. L’adresse ne reçoit rien d’autre que notre réponse, elle n’entre dans aucune liste de diffusion, et elle ne sert jamais à vous contacter pour autre chose. Quand nous répondons dans l’application, notre réponse est conservée avec votre note et supprimée avec elle, et la première fois que vous ouvrez vos commentaires ensuite, nous notons que la réponse vous a été montrée, pour savoir qu’elle est arrivée et cesser de vous la signaler.

Données que nous ne collectons PAS

LabelCraft ne demande jamais l’identité de vos clients et n’en garde rien : aucun nom, e-mail, numéro de téléphone, adresse ni information de paiement de client. Si une demande de données client en contient, nous les écartons (voir RGPD). Des commandes et des retours, l’application ne lit que les lignes produit, le numéro, la date, l’identifiant que Shopify leur donne et, pour un retour, son statut, et seulement si vous lui en donnez l’accès. Elle n’en garde, dans votre historique d’impression et pour le compte de votre boutique, que les lignes produit imprimées, le numéro de la commande ou du retour et l’identifiant que Shopify donne à la commande (voir Accès aux commandes et aux retours).

Accès aux commandes et aux retours

Deux fonctionnalités - imprimer des étiquettes directement depuis une commande, et réétiqueter un retour - nécessitent les autorisations read_orders et read_returns de Shopify. Elles sont facultatives : l’installation de base ne demande que vos produits et votre inventaire. Vous accordez l’accès aux commandes ou aux retours de façon contextuelle, uniquement lorsque vous ouvrez ces pages, et vous pouvez révoquer chaque autorisation depuis la page qui l’utilise : l’accès aux commandes depuis « Étiquettes de commande », l’accès aux retours depuis « Réétiqueter des retours ». Le réétiquetage d’un retour nécessite LES DEUX, car dans Shopify un retour appartient à une commande : la page des retours demande donc les deux, et c’est depuis la page des commandes que l’autorisation « commandes » se retire.

Une fois accordé, nous ne lisons que les champs d’étiquette. Pour chaque ligne de commande ou de retour, nous lisons les informations produit et variante nécessaires à l’impression d’une étiquette - titre, variante, SKU, code-barres, prix, prix comparé, fournisseur et poids - ainsi que la quantité (et, pour un retour, la quantité remise en stock et le statut du retour) et le numéro et la date de la commande ou du retour.

Nous ne lisons jamais l’identité du client. Aucun nom, e-mail, numéro de téléphone ni adresse de livraison ou de facturation du client n’est jamais demandé, lu ou stocké. L’écran d’installation de Shopify nomme une large catégorie données de commande, mais LabelCraft ne sélectionne que les lignes produit d’une commande - jamais l’acheteur. Voir Données que nous ne collectons PAS ci-dessus.

Lues en direct, jamais accumulées. Les données de commande et de retour sont lues au moment de l’impression ; pour un travail d’impression antérieur à la conservation de l’identifiant de commande, Shopify est interrogé, par le numéro de commande déjà enregistré, sur l’identifiant et la date de création de cette commande, et seul l’identifiant est conservé. Rien n’en est conservé, hormis les détails produit et le numéro de commande ou de retour enregistrés dans votre historique d’impression, afin de réimprimer la même étiquette (voir Données que nous stockons). À côté de ce numéro, l’identifiant que Shopify donne à la commande est conservé aussi, pour la raison donnée sous RGPD.

Hébergées dans l’UE, effacées à la désinstallation. Ces lectures s’exécutent sur nos serveurs situés dans l’UE (voir Où les données sont hébergées) et, comme toutes vos données, sont supprimées lorsque vous désinstallez (voir Conservation et suppression des données).

Comment nous utilisons les données

Pour fournir le service : générer les PDF d’étiquettes, mémoriser vos modèles et réglages, appliquer les quotas de forfait et répondre aux demandes d’assistance. Au-delà, et seulement comme le décrivent les sections ci-dessous, pour trouver où la configuration et l’impression bloquent, comprendre pourquoi une boutique part, voir comment les boutiques utilisent l’application et ce qu’elle rapporte, décider à qui écrire, et remettre l’application debout après une panne. Nous ne vendons pas les données, ne les partageons pas avec des tiers à des fins marketing et ne les utilisons pas pour la publicité.

Mesure d’usage dans l’application

Certaines boutiques installent LabelCraft et n’impriment jamais la moindre étiquette. Vu de l’extérieur, nous ne pouvons pas savoir si le bouton était introuvable, si l’imprimante n’a pas voulu se connecter, ou si l’application a été ouverte une fois puis refermée. L’application enregistre donc quels écrans, parmi les siens, vous ouvrez, et uniquement dans l’admin Shopify. C’est tout.

Ce qui est envoyé. Ce que nous y mettons : le nom de l’écran ouvert, votre forfait, et un pseudonyme de votre boutique. Rien d’autre. Aucun titre de produit, aucun SKU, aucun prix, aucun code-barres, aucun contenu d’étiquette, aucune donnée de commande ou de client, aucun nom ni e-mail de membre du personnel. Le script de PostHog ajoute de lui-même à ces deux événements une description technique de votre navigateur, décrite plus bas.

Votre domaine ne sort pas. Le pseudonyme est la même empreinte stable et à sens unique de votre domaine .myshopify.com que celle utilisée par l’enregistrement de départ décrit plus bas. C’est un pseudonyme et non une anonymisation, et nous l’écrivons ici plutôt que de faire semblant.

Ce qui rend cela vrai. L’outil que nous utilisons, PostHog, peut être réglé pour capter tout seul chaque clic et chaque texte d’une page, et pour enregistrer la session en vidéo. Les deux sont désactivés. Deux événements partent : la vue d’écran que nous avons nommée à la main, et celui que PostHog envoie quand l’application lui dit à quel pseudonyme cette vue d’écran appartient, qui porte ce pseudonyme et votre forfait. Sur les deux, le script de PostHog appose ses propres propriétés techniques, que nous ne retirons pas : le navigateur et sa version, le système d’exploitation, le type d’appareil, la taille de votre écran et de la fenêtre, votre fuseau horaire et la version de la bibliothèque de PostHog. L’adresse de la page en est retirée avant l’envoi, mais la connexion elle-même montre aux serveurs de PostHog l’adresse internet d’où vient votre navigateur, et nous ne désactivons pas la déduction de pays que PostHog en tire. Le texte affiché sur votre écran n’est jamais lu, et votre écran n’est jamais filmé.

PostHog traite ces événements sur des serveurs situés dans l’Union européenne, la même région que les nôtres. Ils servent à trouver où l’installation se bloque. Ils ne servent pas à la publicité et ne sont partagés avec personne, sauf le dernier écran vu par boutique, que garde notre dépôt de code (voir Où les données sont hébergées).

La base légale est notre intérêt légitime à rendre l’application utilisable par ceux qui l’installent. Comme ces événements sont stockés sous le pseudonyme et non sous votre domaine, la purge automatique décrite plus bas ne les atteint pas. Écrivez à support@labelcraft.tech et nous les supprimons, ou nous excluons votre boutique de cette mesure.

Ce n’est pas Google Analytics. Google Analytics ne se charge toujours jamais dans l’admin Shopify ni pendant la connexion, exactement comme décrit sous Le site labelcraft.tech. L’un mesure le site public, l’autre mesure l’application, et aucun des deux ne se charge là où l’autre tourne.

Où les données sont hébergées

Nos serveurs et notre base de données sont hébergés chez Fly.io à Paris, France (Union européenne). Tout le trafic entre votre navigateur, Shopify et LabelCraft est chiffré en TLS.

Dix sorties, dont une seulement si vous la configurez. Si vous connectez une imprimante via PrintNode, l’étiquette finalisée est envoyée au service PrintNode pour atteindre votre imprimante. Le contenu même de l’étiquette - ce que votre modèle imprime : titres, SKU, prix, codes-barres - quitte donc nos serveurs européens vers PrintNode, hors UE, le temps que le travail soit remis. Rien n’y est envoyé tant que vous n’avez pas enregistré une clé PrintNode et choisi une imprimante, et déconnecter PrintNode dans les réglages y met fin.

Les e-mails partent par Resend. Six sortes d’e-mails passent par Resend, notre prestataire d’e-mail (ses serveurs, pas les nôtres) : le message de bienvenue que l’application envoie le jour de l’installation ; l’e-mail d’aide que nous pouvons envoyer, pour l’une de quatre raisons (des avertissements sur vos impressions, un essai qui se termine, des impressions sur une seule journée, ou aucune impression depuis un moment), à l’adresse que vous laissez dans l’application ou, à défaut, à l’adresse du propriétaire ; la question unique que nous posons quand vous résiliez votre forfait payant, à la même adresse que l’e-mail d’aide ; les autres messages à l’adresse que vous laissez dans l’application, chacun nommé par la case que vous cochez à côté (la mise en route, des étiquettes qui ne sortent plus, une note hebdomadaire sur les problèmes de codes-barres trouvés dans votre catalogue quand il y en a, les nouveautés du mardi, et une question sur ce que vous pensez de l’application), ou, si vous n’en avez laissé aucune, tous sauf les nouveautés du mardi à l’adresse du propriétaire, la note hebdomadaire aussi quand la case que vous avez cochée ne la nomme pas ; les quelques messages que nous envoyons à une adresse de contact publiée par une boutique, quand nous n’avons ni l’une ni l’autre adresse ; et, quand vous cochez la case de réponse sous le formulaire de retour, la copie de votre note que nous nous envoyons pour pouvoir vous répondre. Resend reçoit l’adresse et le message, garde son journal de remise, et conserve les adresses qui se désabonnent, rebondissent ou se plaignent pour que nous ne leur écrivions plus jamais ; cette liste est vérifiée, avec la nôtre, avant chaque message qui vous est destiné. La copie d’un retour est celle qui va dans l’autre sens, vers notre propre boîte d’assistance : aucune liste d’opposition ne s’y applique. Quand Resend est indisponible, tous ces messages sauf le message de bienvenue et la copie d’un retour peuvent partir à la place par le serveur de notre propre boîte aux lettres, Namecheap Private Email ; ceux-là ne sont alors vérifiés que contre notre propre liste.

Les nouveautés du mardi, et comment les arrêter. Un court e-mail vous dit le mardi ce qui a changé dans LabelCraft, et seulement les semaines où quelque chose a changé. Il part à l’adresse que vous laissez dans l’application en cochant la case qui les nomme, ou à l’adresse du propriétaire que Shopify nous transmet une fois que votre e-mail de bienvenue l’a annoncé, avec un lien qui l’arrête avant le premier. Il part par le même chemin que les messages ci-dessus et il est vérifié contre les mêmes listes. Son propre lien arrête cet e-mail seul ; tout ce que nous vous envoyons d’autre reste tel quel. Une boutique dont la bienvenue ne l’a pas annoncé, et qui n’a pas coché cette case, ne le reçoit jamais.

Les rapports d’erreur partent chez Sentry. Quand un écran de l’application casse, l’application envoie l’erreur à Sentry, notre prestataire de suivi des erreurs (ses serveurs, pas les nôtres), pour que nous soyons au courant de la panne sans attendre que vous nous la signaliez. Sentry reçoit le message d’erreur, la trace technique de l’endroit où le code s’est arrêté et l’adresse de l’écran amputée de tout ce qui suit le point d’interrogation. Ce qui s’y attache comme étiquette dépend de l’endroit où la panne a eu lieu. Dans votre navigateur : votre domaine .myshopify.com, votre forfait et les deux en-têtes que le navigateur joint de lui-même, à savoir le navigateur et le système que vous utilisez et l’adresse de la page d’où vous venez, coupée elle aussi au point d’interrogation. Ce rapport part de votre navigateur directement vers les serveurs de Sentry, donc la connexion elle-même leur montre l’adresse internet d’où vient votre navigateur. Sur nos serveurs : l’adresse de l’écran et, sur certains d’entre eux, un numéro de référence qui relie le rapport à notre propre journal serveur. Depuis le 15 septembre 2026, aucun rapport ne porte l’identifiant Shopify du membre du personnel qui a rencontré la panne, ni les cookies, ni aucun autre en-tête de la requête, ni le contenu de ce qui était en train d’être envoyé au moment de la casse : tout cela est coupé avant que le rapport ne parte. Aucun titre de produit, SKU, prix, code-barres ni contenu d’étiquette n’y est joint. Sentry conserve ces rapports dans sa région européenne, sur des serveurs situés à Francfort, en Allemagne, et nous avons accepté ses conditions de sous-traitance le 15 septembre 2026.

Le chat en direct passe par Crisp. Quand l’application affiche un bouton de chat, la fenêtre de chat dans l’admin Shopify est tenue par Crisp, notre prestataire de chat (ses serveurs, pas les nôtres). La bulle de chat des pages de labelcraft.tech est aussi celle de Crisp, et ce qu’elle voit là est décrit sous Le site labelcraft.tech. Dans l’admin, le script de Crisp se charge sur les écrans de l’application : la connexion montre donc à Crisp l’adresse internet d’où vient votre navigateur, et le script peut lire, comme tout script d’une page, le navigateur et le système que vous utilisez et l’adresse de l’écran où vous êtes. Avant qu’il se charge, l’application retire de cette adresse les informations de connexion que Shopify y place, identifiant Shopify du membre du personnel compris. Le reste de cette adresse est conservé tel quel : il peut donc contenir ce que vous avez demandé à voir sur cet écran, comme les mots tapés dans l’un des champs de recherche de l’application (un titre de produit ou un SKU, par exemple) ou un code-barres. Dès le chargement de l’application, elle transmet à Crisp le nom de votre boutique et votre domaine .myshopify.com, pour que la personne de permanence voie quelle boutique est là. Quand vous ouvrez le chat, l’application ajoute, quand elle les connaît, le code du dernier avertissement qu’une de vos impressions a levé et le nom du modèle sur lequel vous avez imprimé en dernier. Elle peut aussi ajouter, à côté du domaine de votre boutique, une courte clé signée par notre serveur, pour que nous puissions distinguer une conversation ouverte depuis l’admin de votre boutique d’une conversation à laquelle quelqu’un d’autre a mis votre domaine. Si vous répondez aux deux questions que le chat pose d’abord, la marque de votre imprimante et la taille de vos étiquettes partent aussi. Quand l’application vous montre dans le chat un message de notre équipe, elle note chez Crisp de quel message il s’agit et sa langue et, pour un message qui propose de l’aide, sa raison (des avertissements sur vos impressions, un essai qui se termine, des impressions sur une seule journée, ou aucune impression depuis un moment). Crisp reçoit ensuite ce que vous écrivez, et l’adresse que vous tapez si vous en laissez une. Pour retrouver cette conversation d’un écran à l’autre, son script garde un identifiant de celle-ci dans votre navigateur. Cette adresse sert à répondre à cette conversation et à rien d’autre : elle ne vous inscrit jamais à nos e-mails, ce que seule fait la case séparée de l’application, jamais cochée d’avance. En dehors de cette adresse, l’application elle-même n’envoie à Crisp aucun titre de produit, SKU, prix, code-barres ni contenu d’étiquette. Quand l’un de nous marque votre problème de support comme résolu, notre serveur lit votre conversation dans Crisp, messages compris, et les autres conversations de votre boutique, messages compris aussi. Pour les trouver, il parcourt la liste de nos conversations dans Crisp, avec les détails que chacune porte, et ne garde rien de celles des autres boutiques ni des visiteurs du site. De tout cela, il n’utilise que le canal de votre conversation, si une adresse e-mail y est attachée, la clé signée, qui a écrit chaque message et quand, et si l’un de nos propres messages contient déjà le lien vers nos avis sur l’App Store. Il peut ensuite écrire dans votre conversation un seul message qui demande un avis sur le Shopify App Store. Nous n’en gardons que la date et le résultat, jamais ce que dit la conversation. Quand l’application a pour vous un message de notre équipe (un mot de bienvenue, une relance, un mot après votre première impression, une offre d’aide ou, une seule fois sur une offre payante, une question sur ce qui vous l’a fait choisir), votre navigateur envoie à notre serveur l’identifiant de votre conversation Crisp ; notre serveur vérifie que cette conversation nomme votre boutique et, quand elle porte la clé signée, que cette clé est valide, puis y écrit le message, pour qu’il reste dans votre historique et que nous le voyions. Pour vérifier, il lit dans Crisp les informations de votre conversation et, avant le mot qui suit votre première impression, ses derniers messages, les vôtres compris. De tout cela, il n’utilise que la boutique que nomme votre conversation, la clé signée, le canal de la conversation, si une adresse e-mail y est attachée, et si l’un de nos propres messages contient déjà le lien vers nos avis sur l’App Store. Il n’écrit jamais le message quand une adresse e-mail est attachée à la conversation, ni quand la vérification échoue ou que Crisp refuse le message : l’application affiche alors le message sur votre écran seulement, comme avant. Nous n’en gardons que le message concerné, la date et le résultat. Quand un membre de notre équipe ouvre votre conversation dans Crisp, notre serveur affiche directement dans son navigateur l’état de votre boutique (installation, forfait, impressions, avertissements, messages de notre équipe déjà montrés, contacts de notre équipe), sans l’envoyer à Crisp. Pour cela, quand le chat se charge dans l’application, votre navigateur envoie à notre serveur l’identifiant de votre conversation Crisp, que notre serveur relie à votre boutique ; cet identifiant est conservé avec les données de votre boutique et supprimé avec elles. Chaque fois qu’un message part de notre côté de votre conversation dans Crisp (une réponse de l’un de nous, un message automatique ou une note entre nous), Crisp l’envoie à notre serveur, texte compris ; pour trouver votre boutique, notre serveur se sert de cet identifiant ou, à défaut, lit les détails de votre conversation dans Crisp. De tout cela, il ne garde, pour une réponse de l’un de nous et comme un contact de notre équipe avec votre boutique, que la date, lequel de nous a répondu et le canal, jamais ce que dit un message. Chaque fois que vous écrivez dans votre conversation dans Crisp, Crisp envoie aussi votre message à notre serveur, texte compris, pour que nous soyons prévenus quand personne ne vous a répondu au bout de 15 minutes pendant les heures du chat. Notre serveur n’en garde que l’identifiant de votre conversation, l’heure de votre message et, une fois connue, votre boutique, jusqu’à ce que l’un de nous réponde, ou une semaine après l’alerte au plus, et les supprime avec les données de votre boutique ; pour trouver votre boutique, il se sert de cet identifiant ou lit les détails de votre conversation dans Crisp. L’alerte que nous recevons sur Telegram ne porte jamais ce que vous avez écrit, ni le nom ni le domaine de votre boutique.

Les événements de la boutique arrivent sur notre téléphone par Telegram. Des moments de la vie de votre boutique nous envoient un message d’une ligne le jour où ils arrivent : une installation, un changement de forfait, une désinstallation, un pouce baissé à la question de satisfaction, une demande de données et une note laissée dans la boîte de retour. Cette liste nomme les plus courants, pas la totalité : tout ce qui demande notre attention le jour même peut envoyer une ligne. Ces lignes partent par Telegram (ses serveurs, pas les nôtres). Elles ne portent ni le nom ni le domaine de votre boutique, seulement un code de huit caractères calculé à partir de son domaine et, selon l’événement, son forfait, le nombre d’étiquettes qu’elle a imprimées ou le nombre de commandes visées par une demande de données. Ce qui ne voyage jamais, c’est le texte que vous tapez : une note envoie le fait qu’elle est arrivée et ce code, pendant que la note elle-même reste dans l’application et nous parvient par e-mail. Aucun contenu de produit, de client ou d’étiquette ne s’y trouve jamais.

Une copie de sauvegarde de la base part chaque nuit chez GitHub. Chaque nuit, toute notre base de données est copiée sur une machine que GitHub fait tourner, vérifiée là, chiffrée là, puis déposée chez GitHub, où elle reste 90 jours et est ensuite supprimée. Cette copie contient tout : les modèles, l’historique d’impression et les réglages de chaque boutique, la vôtre comprise. La base passe donc en clair sur le matériel de GitHub le temps que durent la vérification et le chiffrement, et la clé qui ouvre le fichier chiffré est gardée en secret dans le compte GitHub qui stocke ce fichier, ce qui veut dire que GitHub détient le fichier et la clé. Deux autres copies arrivent chez GitHub en dehors de cette sauvegarde. La première est une page de notre tableau de bord client interne, avec une ligne par boutique, que nous fabriquons à la main quand nous en avons besoin et que GitHub supprime au bout de 30 jours. La seconde est un travail qui tourne chaque matin et qui dépose ses résultats sur une branche de notre code, sous la forme d’un lot de fichiers. Ces fichiers sont un recensement de toutes les boutiques, pas seulement de celles qu’un contrôle signale : une ligne par boutique avec son domaine, le nombre de travaux d’impression et d’étiquettes qu’elle a lancés, combien d’entre eux ont rencontré un avertissement, la date de son installation, jusqu’où elle est allée dans la configuration et la date de sa dernière impression, plus une ligne pour chaque boutique partie, avec le motif qu’elle a choisi et le jour. Deux de ces fichiers désignent une boutique par une empreinte raccourcie de son domaine plutôt que par le domaine lui-même, et la note écrite à l’intérieur qualifie cette empreinte de corrélable plutôt que d’anonyme. La même branche garde aussi les paiements d’abonnement que Shopify nous déclare pour l’application, chacun avec le domaine de la boutique, un identifiant, la date, le montant net, sa devise, et s’il a été facturé au mois ou à l’année ; un journal de chaque e-mail que nous envoyons à une boutique, avec le domaine de la boutique, lequel de nos messages c’était, le jour, s’il est parti, et l’adresse réduite à sa première lettre et à son domaine, plus, quand nous avons trouvé cette adresse sur le site de la boutique, la page où nous l’avons trouvée ; les mêmes informations pour chaque boutique à laquelle serait parti un e-mail que nous n’avons pas encore activé, avec, pour un e-mail d’aide, son objet ; une copie des rapports d’erreur non résolus que garde Sentry, chacun avec son titre, le texte de l’erreur coupé à 300 caractères et les domaines des boutiques qu’il a touchées ; et les adresses que Resend n’a pas pu joindre ou auxquelles il n’écrira plus, réduites de la même façon. Pour chaque nouvelle boutique encore installée quand notre passage du matin la lit, elle garde aussi une courte fiche tirée de l’application et du site public de la boutique : son domaine et son nom, son pays, ce que son site dit qu’elle vend, son forfait, combien d’étiquettes elle a imprimées, si son message de bienvenue est parti, si elle a annulé un essai Pro, et si nous lui avons trouvé un compte Instagram. Quand nous enquêtons sur un problème d’impression rencontré par une boutique, la branche garde aussi nos fichiers de travail à son sujet : le domaine ou le nom de la boutique, les titres, variantes et leurs identifiants Shopify, marques, SKU, codes-barres, prix et poids des produits concernés, combien d’exemplaires de chacun ont été imprimés, et le modèle avec lequel elle imprimait, y compris le fichier de police qu’elle avait téléversé. Certains de ces titres et modèles ont aussi été recopiés dans les tests de notre code ; nous les y avons depuis remplacés par des titres inventés et par des modèles de notre cru, si bien qu’ils ne restent que dans l’historique de notre code et dans ses demandes de fusion sur GitHub. Au-delà des fichiers nommés plus haut, cette branche et notre dépôt de code lui-même, c’est-à-dire son code, les fichiers de données qu’il contient, ses tests et ses commentaires, et les notes de travail que nous tenons à côté (notre liste de tâches, nos plans, nos rapports, nos audits, nos notes et notre journal de travail), désignent certaines boutiques par leur domaine ou par une empreinte raccourcie de celui-ci, parfois avec leur nom, leur site, leur pays et ce qu’elles vendent, en regard de ce que nous savions ou avions mesuré à leur sujet à l’époque : comment elles nous ont trouvés, y compris par l’une de nos publicités ; quand elles ont installé l’application, commencé ou terminé un essai, changé de forfait, fermé ou rouvert leur boutique, ou sont parties, et le motif choisi ; leur forfait, leurs événements de facturation et leurs paiements ; leur forfait Shopify, l’âge de leur boutique, la taille de leur catalogue, leur nombre d’emplacements et la fréquence à laquelle elles reçoivent du stock dans Shopify ; combien de travaux d’impression et d’étiquettes elles ont lancés et quels avertissements sont apparus ; jusqu’où elles sont allées dans l’application, jusqu’au dernier écran où elles ont été vues ; leur imprimante et leur rouleau d’étiquettes, si elles ont connecté une imprimante, et quelles offres de l’application leur ont été montrées et lesquelles elles ont acceptées ; leur réponse à notre question de satisfaction ; l’état de leurs codes-barres et leur préfixe d’entreprise GS1 ; ce que nos propres contrôles ont relevé ; le navigateur et la langue d’une erreur qu’elles ont rencontrée ; le prénom, parfois le nom complet, d’une personne qui nous a écrit, et ce qu’elle a écrit ou signalé, parfois mot pour mot ; lesquels de nos e-mails et de nos demandes d’avis leur sont parvenus, à quelle adresse, quand, et ce qu’il en est advenu ou pourquoi l’un d’eux a été retenu ; quand l’un de nous les a contactées pour la dernière fois ; l’avis qu’elles ont laissé sur l’App Store ; et ce que nous avons décidé quant à les contacter. Ces mentions figurent dans la version actuelle du dépôt, pas seulement dans son historique : elles y restent jusqu’à ce que nous les en retirions, et l’historique les garde tant que le dépôt existe. Une branche garde ce qu’on y écrit tant que nous ne l’en retirons pas, et l’historique du dépôt garde chaque version antérieure tant que ce dépôt existe. Le dépôt appartient à notre organisation, sur le forfait Team de GitHub, et nous avons signé son Customer Agreement. Une sauvegarde sert à remettre l’application debout après une panne : une copie prise avant votre désinstallation garde donc vos données jusqu’à la fin de ses 90 jours, et l’effacement décrit plus bas ne l’atteint pas. Pourquoi nous gardons tout cela, sur la base de notre intérêt légitime (RGPD, article 6(1)(f)) : la sauvegarde, pour remettre l’application debout après une panne ; le recensement, la page du tableau de bord, les paiements, les journaux d’e-mails, les copies d’erreurs et les fiches des nouvelles boutiques, pour voir comment les boutiques utilisent l’application, où l’impression échoue, ce que rapporte l’application, quels e-mails sont partis et à qui écrire ; les fichiers de travail sur un problème d’impression et les mentions dans notre dépôt, pour corriger ce qu’une boutique a rencontré et garder ce correctif testé. Vous pouvez vous y opposer (RGPD, article 21), comme décrit sous RGPD plus bas.

Ce qu’une boutique a tapé en partant, et qui lit notre code. Jusqu’au 6 octobre 2026, la branche décrite plus haut gardait aussi les mots qu’une boutique avait pu taper en partant : Shopify présente une courte enquête à une boutique qui désinstalle et nous transmet sa réponse, le motif choisi dans sa liste et, s’il y en a un, le texte tapé à côté. Quelques-uns de ces mots ont aussi été cités dans nos notes de travail, dans des commentaires de notre code et dans la description de l’une de nos demandes de fusion (pull requests). Nous avons cessé de les recopier ce jour-là ; ceux déjà écrits restent dans l’historique de notre dépôt et dans ses demandes de fusion sur GitHub, parfois à côté du domaine de la boutique, tant que ce dépôt existe. Notre équipe lit ce dépôt, GitHub l’héberge, un serveur que nous louons chez Hetzner, dans l’Union européenne, en garde une copie avec la branche, et les assistants de code que nous y faisons travailler le lisent aussi : Claude, d’Anthropic, et Codex, d’OpenAI. Nous avons recueilli ces mots sur la base de notre intérêt légitime à comprendre pourquoi une boutique part, pour corriger l’application (RGPD, article 6, paragraphe 1, f). Nous avons cessé de nous en servir à cette fin le 6 octobre 2026. Le 7 octobre 2026, nous les avons relus une dernière fois, seulement pour les compter en vue de cette déclaration et pour remplacer leurs citations dans notre code et nos notes actuels par nos propres mots ; ces reformulations y restent, et les mots eux-mêmes restent seulement parce que nous ne réécrivons pas cet historique. Vous pouvez vous y opposer (RGPD, article 21), ou demander que les mots de votre boutique soient retirés de tout ce que nous utilisons encore : écrivez à support@labelcraft.tech. Cela les retire de ce que nous utilisons, pas de l’historique de notre dépôt, que nous ne réécrivons pas : c’est plus étroit qu’un effacement (RGPD, article 17).

Où GitHub, Anthropic et OpenAI gardent ce qu’ils lisent, et à quelles conditions. GitHub, Inc., aux États-Unis, garde le dépôt, la branche, la sauvegarde nocturne et les autres copies décrites plus haut comme notre sous-traitant, selon l’accord de protection des données de GitHub (Data Protection Agreement), que fait jouer le Customer Agreement que nous avons signé : GitHub traite ces données sur nos instructions, sauf pour les quelques finalités propres que cet accord énumère (comme la facturation, ses obligations légales, la détection des abus et la sécurité, et des statistiques agrégées), et ne peut s’en servir pour rien d’autre, entraînement de modèles compris. Leur transfert vers les États-Unis repose sur les clauses contractuelles types de la Commission européenne, que cet accord intègre, et sur l’auto-certification de GitHub au cadre de protection des données UE-États-Unis, le Data Privacy Framework (RGPD, articles 45 et 46). Claude et Codex, eux, lisent notre dépôt et la branche par les comptes individuels de nos fondateurs, et non dans le cadre d’un contrat professionnel. Anthropic et OpenAI traitent donc chacune ce que lit son assistant, comme responsable du traitement à part entière, selon sa propre politique de confidentialité et non sur nos instructions. Comme nos fondateurs vivent dans l’Union européenne, les sociétés auxquelles ils ont affaire sont Anthropic Ireland, Limited et OpenAI Ireland Limited, qui l’envoient ensuite vers des serveurs aux États-Unis et dans d’autres pays hors de l’Union européenne, en s’appuyant sur les clauses contractuelles types de la Commission européenne (et, pour certains pays, sur une décision d’adéquation ; Anthropic, dans certains cas, aussi sur les dérogations que prévoit le RGPD). Pour les données sur des personnes qui vivent hors de l’Espace économique européen, du Royaume-Uni et de la Suisse, Anthropic nomme responsable sa société américaine, Anthropic, PBC : ce transfert ne repose sur aucune décision d’adéquation dont Anthropic se réclame, ni sur aucun accord de notre part. Chacune peut aussi se servir de ce qu’elle lit pour améliorer ses modèles, sauf si les réglages d’entraînement du compte le refusent, et même alors quand l’un de nous donne son avis sur une réponse et, chez Anthropic, quand elle signale un contenu pour un examen de sécurité.

Conservation et suppression des données

Lorsque vous désinstallez LabelCraft, Shopify nous envoie une demande de suppression et nous effaçons toutes les données de votre boutique - modèles, historique d’impression, réglages (y compris toute clé PrintNode enregistrée) et sessions de connexion. Nous lançons cet effacement dès que Shopify nous confirme la désinstallation, ce que les conditions de protection des données de Shopify fixent à 48 heures ; cette confirmation dépend de Shopify, elle peut donc parfois nous parvenir plus tard.

Quatre enregistrements restreints survivent à cet effacement. Ce qui est déjà parti chez les prestataires nommés plus haut y survit aussi : la sauvegarde nocturne pendant ses 90 jours, la page du tableau de bord pendant ses 30, la branche tant que nous ne l’en retirons pas et son historique tant que notre dépôt de code existe (elle garde notamment le journal des e-mails envoyés à une boutique, avec la date à laquelle nous lui avons envoyé notre question sur ce qu’elle pense de l’application, pour qu’une boutique qui réinstalle ne reçoive pas cet e-mail une seconde fois ; elle garde aussi les paiements décrits plus haut et, pour une boutique partie avant le 6 octobre 2026, les mots qu’elle a pu taper en partant), notre dépôt de code lui-même et son historique, où figurent certaines boutiques avec ce que nous savions d’elles, comme décrit plus haut (dans notre code, les titres de produits et les modèles que nous y avions recopiés ont été remplacés par des titres inventés et des modèles de notre cru et restent dans son historique et dans ses demandes de fusion, tandis que nos fichiers de travail sur la branche les gardent encore), les rapports d’erreur, les messages d’une ligne et les conversations du chat aussi longtemps que ces prestataires les gardent, ce qu’ont lu les assistants de code nommés plus haut, aussi longtemps que les entreprises qui les font tourner le gardent selon leurs propres règles, le journal de remise d’un message chez notre prestataire d’e-mail, un e-mail que vous nous avez déjà envoyé, et les événements d’usage sous votre pseudonyme jusqu’à ce que vous nous demandiez de les supprimer. Rien d’autre qui vienne de votre boutique ne survit à cet effacement. Deux sont des marqueurs d’une ligne chacun : si votre boutique a commencé un essai gratuit Pro, nous conservons votre domaine .myshopify.com avec la date d’utilisation de l’essai ; et si votre boutique s’est désinstallée alors qu’elle était encore enregistrée comme installée, nous conservons le domaine avec la date à laquelle l’installation a été annoncée pour la première fois. Ils servent à empêcher qu’une même boutique enchaîne indéfiniment les essais gratuits en se réinstallant, et à éviter qu’une boutique qui revient soit annoncée comme nouvelle. Le troisième est un enregistrement de départ, écrit une seule fois lors d’une désinstallation : la durée de l’installation, les étapes de configuration atteintes, le nombre de modèles, de listes enregistrées, d’impressions et d’étiquettes, et les codes d’avertissement rencontrés - et, pour chacun de ces codes, le nombre d’impressions concernées chaque jour, ce qui nous permet de savoir si un correctif publié a vraiment réglé le problème pour les boutiques qu’il laissait tomber. Il note aussi le forfait de la boutique à son départ, s’il était payant, facturé au mois ou à l’année, et si la boutique était encore dans sa période d’essai gratuite - nous le conservons pour distinguer un essai qui se termine d’un abonnement résilié. Et il porte, lorsque vous les avez données, les deux réponses courtes choisies dans nos propres listes : pourquoi vous partiez, si vous nous l’avez dit en résiliant, et pourquoi vous n’aviez pas encore imprimé, si vous avez répondu à cette question dans l’application. Seule l’option choisie voyage, jamais ce que vous avez tapé dans le champ à côté : ce texte reste sur la fiche de votre boutique et disparaît avec elle. Il est stocké sous une empreinte à sens unique, tronquée, de votre domaine plutôt que sous le domaine lui-même - un pseudonyme, pas une anonymisation complète - et il ne contient aucune donnée produit, commande, client ou du personnel, ni aucun contenu d’étiquette. Nous le conservons pour comprendre pourquoi des boutiques partent. Le quatrième est une liste d’exclusion : si quelqu’un nous demande de ne plus écrire à une adresse, nous conservons cette adresse pour pouvoir le respecter. Elle survit à votre boutique volontairement, car une demande qu’on vous laisse tranquille et que nous oublions est une demande que nous n’avons pas respectée.

Trois compteurs, chez nous, ne parlent pas du tout de votre boutique, donc rien de ce qui précède ne les atteint. Le premier est le décompte quotidien des personnes qui ont cliqué depuis les pages publiques de labelcraft.tech vers notre fiche App Store : une date, quel bouton, quelle campagne, et un nombre. Le deuxième est le relevé quotidien de ce que notre propre publicité sur l’App Store nous a coûté et du nombre d’installations qu’elle a amenées, qui est le chiffre de Shopify sur nos dépenses, pas sur vous. Le troisième mesure la vitesse de chargement de l’application elle-même : chaque jour, nous comptons, par tranches de vitesse, les relevés standards de performance web (plus grand affichage, délai de réaction, etc.) que la boîte à outils d’administration de Shopify rapporte elle-même - une date, un nom de métrique, un nom d’écran, une tranche de vitesse, et un nombre. Aucun des trois ne contient de boutique, de personne ou d’appareil, donc une demande de suppression n’y trouve rien à effacer. Le premier est décrit en entier sous Le site labelcraft.tech.

Vous pouvez aussi demander à tout moment la suppression ou une copie de vos données en écrivant à support@labelcraft.tech.

Le site labelcraft.tech

Cette section porte sur le site public que vous lisez, pas sur l’application. Naviguer sur labelcraft.tech n’installe rien et ne crée aucun compte, et le site lui-même ne rattache jamais votre visite à une boutique Shopify. La seule façon dont une conversation peut finir rattachée à une boutique passe par le chat, décrit à la fin de cette section.

Nous utilisons Google Analytics 4 sur les pages publiques pour compter les visites et voir quelles pages mènent à une installation. Il ne se charge jamais dans l’admin Shopify ni pendant la connexion. Ce qui est stocké sur votre appareil dépend d’où vous êtes, et il y a trois cas.

Aux États-Unis, au Canada hors Québec, en Australie et en Nouvelle-Zélande, il pose un cookie propriétaire, _ga, qui contient un nombre tiré au hasard pour que plusieurs pages vues comptent comme une seule visite. Aucun cookie publicitaire n’est posé dans ces quatre pays, jamais, et rien ne vous est demandé.

Au Québec, il ne stocke rien et rien n’est demandé : la balise fonctionne sans cookie et Google n’en publie rien.

Partout ailleurs, Espace économique européen, Royaume-Uni et Suisse compris, un bandeau pose la question avant que Google n’écrive quoi que ce soit. Refusez-le, ou ignorez-le, et Google ne pose aucun cookie. Acceptez et deux choses démarrent ensemble : le cookie _ga ci-dessus, et le stockage publicitaire de Google, qui nous permet de voir quelles annonces amènent des installations et peut servir à vous montrer nos annonces sur d’autres sites.

Google reçoit votre adresse IP pour en déduire un pays approximatif, et ne la conserve pas. Nous ne transmettons ni votre nom, ni votre e-mail, ni quoi que ce soit qui vous identifie. Pour refuser, bloquez ou supprimez le cookie _ga dans les réglages de votre navigateur, ou installez le module de désactivation de Google. Votre réponse au bandeau reste dans votre navigateur sous lc-consent-v1. Pour changer de réponse, utilisez le bouton Cookies en bas de n’importe quelle page : le bandeau revient et votre nouveau choix remplace l’ancien. Vider les données de ce site fonctionne aussi. Toutes les pages continuent de fonctionner quel que soit votre choix.

Indépendamment de Google, nous comptons les clics qui partent vers notre fiche App Store. Quand vous cliquez sur un bouton d’installation, votre navigateur envoie à notre propre serveur trois choses : la date du jour, quel bouton vous avez cliqué, et quelle campagne portait le lien. Rien n’est écrit sur votre appareil et rien n’y est lu, aucun identifiant n’est créé, et le message est identique au caractère près que vous ayez accepté le bandeau, refusé, ou jamais vu. Rien dedans ne pourrait vous distinguer du visiteur suivant. Nous n’en gardons qu’un total courant, par jour et par bouton. Nous l’avons ajouté parce que Google Analytics ne nous rend compte que dans les quatre pays ci-dessus et nulle part ailleurs : avant lui, nous n’avions aucun moyen de savoir si nos propres annonces amenaient qui que ce soit.

La bulle de chat est celle de Crisp, et elle se charge pour chaque visiteur. Une bulle de chat se tient dans le coin de chaque page de ce site, sauf les pages de désabonnement et de connexion, pour que vous puissiez nous écrire d’ici. Elle est tenue par Crisp, le prestataire de chat décrit sous Où les données sont hébergées. Son script se charge dès qu’une page s’ouvre, pour chaque visiteur, avant votre réponse au bandeau des cookies et quelle qu’elle soit, parce que c’est par lui que vous nous joignez. La connexion montre à Crisp l’adresse internet d’où vient votre navigateur, et le script peut lire, comme tout script d’une page, le navigateur et le système que vous utilisez et l’adresse de la page où vous êtes. Il pose sur ce site les cookies propres à Crisp, dont le nom commence par crisp-client, qui gardent un identifiant de votre conversation pendant environ six mois, pour qu’une conversation commencée vous retrouve à votre prochaine visite. Si vous écrivez, Crisp reçoit ce que vous écrivez, et l’adresse que vous tapez si vous en laissez une ; cette adresse sert à vous répondre et ne vous inscrit jamais à nos e-mails. Le site lui-même n’envoie rien à Crisp sur vous : ni nom, ni adresse e-mail, ni boutique. Chaque fois que vous écrivez, Crisp envoie aussi votre message à notre serveur, texte compris, pour que nous soyons prévenus quand personne ne vous a répondu au bout de 15 minutes pendant les heures du chat. Notre serveur n’en garde que l’identifiant de votre conversation, l’heure de votre message et, une fois connue, votre boutique, jusqu’à ce que l’un de nous réponde, ou une semaine après l’alerte au plus ; pour savoir si une boutique y est rattachée, il lit les détails de votre conversation dans Crisp. L’alerte que nous recevons sur Telegram ne porte jamais ce que vous avez écrit. Une conversation commencée ici n’est rattachée à aucune boutique, mais si vous ouvrez ensuite LabelCraft dans votre admin Shopify avec le même navigateur, l’application peut retrouver cette même conversation et y ajouter le nom de votre boutique et votre domaine, comme le décrit Où les données sont hébergées. L’inverse vaut aussi : une conversation commencée dans l’application peut être reprise ici, avec le nom de votre boutique et votre domaine. Pour supprimer ces cookies, videz les données de ce site dans votre navigateur.

RGPD

LabelCraft met en œuvre les webhooks de confidentialité obligatoires de Shopify. Nous ne stockons aucune donnée d’identité client (ni nom, ni e-mail, ni téléphone, ni adresse) : l’application ne les demande jamais à Shopify, et quand une demande de données client en contient, nous les écartons sans les garder. Si vous utilisez en revanche Étiquettes de commande ou Retours à étiqueter, le numéro de commande ou de retour reste dans votre historique d’impression (voir Accès aux commandes et aux retours).

Une demande d’accès aux données client est traitée à partir de cet historique. Lorsqu’un client demande à une boutique que vous gérez les données que nous détenons sur lui, Shopify nous indique les commandes concernées. Nous enregistrons la demande, recherchons ces commandes dans votre historique d’impression et nous engageons à vous transmettre, à vous le propriétaire de la boutique, ce que nous détenons à leur sujet - le numéro de commande ou de retour, la date et le nombre d’étiquettes imprimées - ou à vous indiquer qu’il n’y en a aucun, dans les 30 jours accordés par Shopify. Nous conservons un enregistrement de chaque demande reçue, contenant les numéros de commande qu’elle nommait ainsi que les dates de réception et de réponse, afin de pouvoir prouver qu’elle a été traitée. Ni le nom, ni l’e-mail, ni le téléphone du client ne sont conservés : la demande les contient, nous les écartons. Cet enregistrement est effacé avec le reste des données de votre boutique (voir Conservation et suppression des données).

Une demande d’effacement supprime ces numéros. Les numéros de commande nommés dans la demande sont effacés de votre historique d’impression, ainsi que de notre enregistrement de toute demande antérieure portant sur les mêmes commandes. Un travail d’impression lancé depuis une commande ou un retour conserve aussi, à côté du numéro de commande, l’identifiant que Shopify donne à cette commande (pour un retour, la commande dont il relève), car une demande d’effacement désigne les commandes par leur identifiant et non par leur numéro : l’identifiant est conservé pour que la demande puisse les retrouver, et il est effacé avec le numéro. L’effacement des données de la boutique est honoré automatiquement comme décrit ci-dessus. Si vous êtes dans l’UE/EEE, vous pouvez également nous contacter pour exercer vos droits d’accès, de rectification, d’effacement, de limitation du traitement et de portabilité, ainsi que votre droit de vous opposer à ce que nous gardons sur la base de notre intérêt légitime. Vous pouvez aussi introduire une réclamation auprès d’une autorité de contrôle de la protection des données, notamment dans le pays de l’UE/EEE où vous résidez ou travaillez, ou dans celui où vous pensez que vos droits ont été enfreints (RGPD, article 77).

Modifications

Si cette politique change de manière importante, nous mettrons à jour cette page et indiquerons la nouvelle date en haut. La poursuite de l’utilisation de l’application après une modification vaut acceptation.

Contact

Questions relatives à la confidentialité : support@labelcraft.tech