1. Introduction
La présente Politique de confidentialité explique comment Huup Ltd (« Huup », « nous », « notre »), une société immatriculée en Angleterre et au Pays de Galles (numéro Companies House 08708494, enregistrement ICO ZC165061) dont le siège social est situé au 22 Old Montague Street, Londres E1 5NG, Royaume-Uni, collecte, utilise et protège les données personnelles lorsque vous utilisez la plateforme Huup, notre site web www.huup.com et tout service connexe (ensemble, les « Services »).
Huup est le responsable du traitement des données personnelles que nous collectons sur nos clients, prospects et visiteurs du site web. Lorsque nous traitons des données personnelles pour le compte de nos clients professionnels (par exemple, les messages de clients finaux acheminés via Huup), nous agissons en qualité de sous-traitant et notre client est le responsable du traitement — ce traitement est régi par notre contrat avec le client concerné.
La présente politique s'applique à tous les utilisateurs dans le monde entier. Si vous êtes situé au Royaume-Uni, vos droits sont régis par le UK GDPR (tel qu'il a été intégré au droit britannique par le European Union (Withdrawal) Act 2018). Si vous êtes situé dans l'EEE, vos droits sont régis par le RGPD de l'UE. Ces droits sont décrits à la section 8.
2. Informations que nous collectons
Nous collectons des données personnelles de trois manières : les données que vous nous fournissez directement, les données que nous collectons automatiquement lorsque vous utilisez les Services, et les données que nous recevons de tiers.
2.1 Données de compte
- Données d'identité — nom, fonction, employeur.
- Données de contact — adresse e-mail, numéro de téléphone, adresse de facturation.
- Données d'authentification — mot de passe haché, secrets d'authentification multifacteur, jetons de session.
- Données de facturation — numéros d'identification à la TVA et identifiants fiscaux équivalents (le cas échéant), adresse e-mail de facturation, jetons de mode de paiement (nous ne stockons pas les numéros de carte complets ; voir Stripe ci-dessous).
2.2 Données d'utilisation
- Télémétrie produit — pages visitées, fonctionnalités utilisées, événements de clic, journaux d'erreurs.
- Données d'appareil — adresse IP, type de navigateur, système d'exploitation, identifiants d'appareil, fuseau horaire.
- Données de performance — latence des requêtes, volumes d'utilisation de l'API.
2.3 Cookies et technologies similaires
Nous utilisons des cookies pour l'authentification, la sécurité et — avec votre consentement — l'analyse et la publicité. Consultez notre Politique en matière de cookies pour la liste complète et la gestion des préférences.
2.4 Données de tiers
- Intégrations de places de marché — lorsque vous connectez eBay, Amazon, OTTO Market, Shopify, Squarespace ou d'autres canaux, nous recevons en votre nom des données d'annonces, des données de commandes, des messages d'acheteurs et des données de contact limitées des acheteurs.
- Paiements (Stripe) — nous recevons le statut du paiement et les 4 derniers chiffres des cartes pour les reçus ; les détails complets de la carte sont conservés par Stripe.
- Vérification d'identité — lorsque cela est requis pour la prévention de la fraude, nous pouvons recevoir les résultats de vérification de la part de prestataires KYC.
3. Comment nous utilisons vos informations
Nous utilisons les données personnelles aux fins suivantes :
- Exploitation du service — pour fournir, maintenir et sécuriser la plateforme Huup, y compris l'authentification, la facturation, le support client et garantir la fiabilité des Services.
- Amélioration — pour comprendre la façon dont les clients utilisent les Services afin d'examiner et de résoudre les problèmes, de prioriser les améliorations et de développer de nouvelles fonctionnalités. Dans la mesure du possible, nous utilisons des données agrégées ou pseudonymisées.
- Conformité légale — pour respecter nos obligations en matière fiscale, comptable, de lutte contre le blanchiment d'argent et d'autres lois applicables.
- Communications — pour envoyer des avis de service, alertes de sécurité, factures et mises à jour opérationnelles auxquels vous ne pouvez pas vous désinscrire tant que votre compte est actif.
- Marketing — avec votre consentement préalable, pour envoyer des bulletins d'information, des mises à jour produit et des invitations à des événements. Vous pouvez retirer votre consentement à tout moment via le lien de désabonnement présent dans chaque e-mail.
4. Base légale (RGPD)
En vertu du UK GDPR et, le cas échéant, du RGPD de l'UE, nous nous fondons sur l'une des bases juridiques suivantes pour chaque activité de traitement :
- Exécution d'un contrat — pour fournir les Services auxquels vous avez souscrit et gérer la facturation.
- Intérêt légitime — pour assurer la sécurité de nos Services, prévenir les abus, améliorer nos produits et gérer notre entreprise (nous mettons ces intérêts en balance avec vos droits et le documentons dans nos registres internes).
- Consentement — pour les e-mails marketing, les cookies non essentiels et les intégrations facultatives que vous choisissez d'activer. Vous pouvez retirer votre consentement à tout moment.
- Obligation légale — pour conserver les registres financiers, répondre aux demandes légales et se conformer aux exigences réglementaires.
6. Transferts internationaux
Huup opère principalement au Royaume-Uni et dans l'EEE. Les données des clients sont stockées par défaut dans les régions AWS UE/Royaume-Uni. Lorsqu'un sous-traitant ou une intégration de place de marché traite nécessairement des données en dehors du Royaume-Uni/de l'EEE (par exemple, les points d'accès Amazon ou eBay), nous nous appuyons sur des garanties appropriées, notamment l'Accord international de transfert de données du Royaume-Uni (IDTA), les Clauses contractuelles types de l'UE (2021), et des mesures techniques supplémentaires telles que le chiffrement en transit et au repos.
7. Conservation des données
Nous conservons les données personnelles uniquement pendant la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, y compris les exigences légales, comptables ou de reporting. Durées de conservation typiques :
- Données du compte — conservées pendant toute la durée de vie de votre compte et jusqu'à 90 jours après la fermeture du compte, après quoi elles sont supprimées de manière sécurisée ou anonymisées.
- Registres de facturation et fiscaux — minimum 6 ans pour se conformer aux exigences du HMRC.
- Télémétrie produit et journaux d'application — jusqu'à 12 mois, après quoi les journaux sont purgés ou anonymisés. Les données personnelles des acheteurs accessibles via l'Amazon Selling Partner API sont supprimées 28 jours après la date de commande — un délai plus strict que le plafond de 30 jours prévu par la politique de protection des données de l'Amazon SP-API.
- Journaux de sécurité et audits d'accès — jusqu'à 12 mois, après quoi ils sont supprimés de manière sécurisée.
- Listes de contacts marketing (sur la base du consentement) — jusqu'au retrait de votre consentement ou votre désinscription, ou après 24 mois d'inactivité mesurée à compter de votre dernier engagement, selon ce qui intervient en premier, moment auquel les données sont supprimées ou anonymisées.
8. Vos droits (RGPD)
Si vous êtes situé au Royaume-Uni ou dans l'EEE, vous disposez des droits suivants concernant vos données personnelles en vertu du UK GDPR ou du RGPD de l'UE (selon le cas) :
- Accès — demander une copie des données personnelles que nous détenons à votre sujet.
- Rectification — nous demander de corriger les données inexactes ou incomplètes.
- Effacement ("droit à l'oubli") — demander la suppression de vos données personnelles lorsqu'il n'existe aucun motif légitime prépondérant ou obligation légale de les conserver. Ce droit ne s'applique pas lorsque la conservation est nécessaire pour respecter une obligation légale ou pour la constatation, l'exercice ou la défense de droits en justice.
- Portabilité — lorsque le traitement est fondé sur votre consentement ou sur l'exécution d'un contrat et qu'il est effectué par des moyens automatisés, recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre directement à un autre responsable du traitement lorsque cela est techniquement possible.
- Limitation — nous demander de limiter l'utilisation de vos données pendant le traitement d'une demande.
- Opposition — s'opposer à tout moment au traitement de vos données personnelles fondé sur nos intérêts légitimes (y compris le profilage). Nous cesserons le traitement, sauf si nous démontrons des motifs légitimes impérieux qui prévalent sur vos intérêts, droits et libertés, ou si le traitement est nécessaire à la constatation, l'exercice ou la défense de droits en justice. Lorsque le traitement est effectué à des fins de prospection directe, votre droit d'opposition est absolu et nous cesserons immédiatement.
- Retrait du consentement — lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment.
Pour exercer un droit, envoyez un e-mail à [email protected]. Nous répondons dans un délai d'un mois. Vous avez également le droit de déposer une plainte auprès du UK Information Commissioner's Office à l'adresse ico.org.uk/make-a-complaint.
8.1 Documents de responsabilité
Nous tenons un Registre des activités de traitement (ROPA) conformément à l'Article 30 du RGPD UK et nous évaluons les risques de chaque nouvelle intégration en matière de protection des données ; une Analyse d'impact relative à la protection des données (AIPD) est réalisée au titre de l'Article 35 lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes concernées. Les registres sont mis à la disposition du UK Information Commissioner's Office sur demande.
9. Sécurité
.Nous protégeons vos données par un ensemble de mesures techniques et organisationnelles en couches, y compris TLS 1.2+ (TLS 1.3 lorsque pris en charge) en transit, chiffrement AES-256 au repos avec des clés gérées par AWS KMS, bases de données isolées par tenant (architecture base de données par tenant), authentification multifacteur obligatoire pour le personnel, contrôles d'accès basés sur les rôles, journalisation d'audit granulaire et analyse continue des vulnérabilités des dépendances. Consultez notre page
9.1 Notification des violations
En cas de violation de données personnelles, nous notifierons l'autorité de contrôle compétente (généralement le UK Information Commissioner's Office) dans les 72 heures suivant la prise de connaissance de la violation lorsque l'Article 33 du RGPD UK l'exige, et nous notifierons les personnes concernées sans retard injustifié lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Lorsque la violation concerne des données traitées dans le cadre d'une intégration de place de marché, nous notifierons en outre l'opérateur de la place de marché dans son délai de notification requis — pour l'Amazon Selling Partner API, cela correspond à 24 heures après la détection, conformément à l'Amazon Data Protection Policy.
10. Enfants
Les Services Huup sont conçus exclusivement à des fins professionnelles et ne s'adressent pas aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si vous pensez qu'un enfant nous a fourni des données personnelles, veuillez nous contacter à l'adresse [email protected] et nous les supprimerons.
11. Mises à jour de cette politique
Nous pouvons mettre à jour cette Politique de confidentialité de temps à autre. Nous publierons la nouvelle version à cette URL et mettrons à jour la date « Dernière mise à jour ». Pour les modifications importantes, nous vous en informerons dans le produit ou par e-mail au moins 30 jours avant leur entrée en vigueur.
12. Contact
Les questions, demandes ou réclamations concernant cette politique ou notre traitement des données personnelles doivent être envoyées à :
Huup Ltd — Contact pour la protection des données
22 Old Montague Street, Londres E1 5NG, Royaume-Uni
Courriel (questions relatives à la vie privée) : [email protected]
Companies House : 08708494
Huup Ltd n'a pas formellement désigné de Délégué à la Protection des Données (DPD) au titre de l'article 37 du UK GDPR, au motif que nos activités de traitement n'atteignent pas le seuil de désignation obligatoire d'un DPD fixé à l'article 37, paragraphe 1. Les demandes en matière de protection des données — y compris les demandes d'exercice de vos droits en vertu de la section 8 — sont traitées par notre équipe juridique et de conformité aux coordonnées indiquées ci-dessus. Si vous estimez qu'un DPD formel est requis pour vos besoins, veuillez nous contacter et nous réévaluerons notre position.
Vous avez également le droit de déposer une plainte auprès du UK Information Commissioner's Office (ico.org.uk) ou de votre autorité de contrôle locale de l'UE.
13. Prise de décision automatisée
Nous ne prenons pas de décisions uniquement automatisées vous concernant qui produisent des effets juridiques ou des effets similaires d'une importance significative, tels que décrits à l'article 22 du UK GDPR. Lorsque nous utilisons le profilage — par exemple, en analysant les comportements d'utilisation des produits pour suggérer des fonctionnalités pertinentes — une personne intervient dans toute décision ayant une incidence matérielle sur vous.
Si cela devait changer à l'avenir, nous mettrons à jour cette politique et vous fournirons les informations requises par le UK GDPR, notamment la logique impliquée ainsi que l'importance et les conséquences prévues du traitement.
14. Décisions d'adéquation et transferts internationaux
Pour les transferts de données à caractère personnel depuis l'EEE vers le Royaume-Uni, nous nous appuyons sur les décisions d'adéquation de la Commission européenne concernant le Royaume-Uni, renouvelées le 19 décembre 2025 à la suite du Data (Use and Access) Act 2025 britannique et valables jusqu'au 27 décembre 2031, qui reconnaissent que le Royaume-Uni assure un niveau adéquat de protection des données. Pour les transferts de données à caractère personnel depuis le Royaume-Uni vers l'EEE, les réglementations d'adéquation du Gouvernement britannique reconnaissent les États membres de l'EEE/UE comme adéquats. Lorsque nous transférons des données en dehors du Royaume-Uni et de l'EEE — par exemple, à des sous-traitants établis aux États-Unis — nous nous appuyons sur les garanties décrites à la section 6.
15. Registres de consentement
Nous conservons les enregistrements du consentement aux cookies (préférences stockées dans votre navigateur) et les événements d'opt-in/opt-out marketing pour la durée pendant laquelle ce consentement est invoqué, plus 12 mois par la suite. Cela nous permet de démontrer notre conformité aux exigences de consentement du UK PECR et du UK GDPR. Les registres de consentement ne sont utilisés à aucune autre fin et sont supprimés de manière sécurisée à l'expiration de la période de conservation.
16. Comptes Google connectés (Google Ads et Tag Manager)
Lorsque vous utilisez les fonctionnalités publicitaires de Huup, vous pouvez connecter vos propres comptes Google Ads et Google Tag Manager à Huup via la connexion OAuth officielle de Google. Nous n'accédons à ces comptes qu'après votre autorisation explicite, et uniquement pour fournir les fonctionnalités que vous demandez dans Huup.
- Google Ads (portée
.../auth/adwords) — pour créer, consulter, mettre à jour et analyser les campagnes publicitaires des comptes Google Ads que vous connectez. - Google Tag Manager (portées tagmanager) — pour lire vos conteneurs et publier les balises de suivi des conversions que vous nous demandez de configurer sur votre site web.
- Profil Google de base (
openid,email) — pour identifier le compte Google que vous avez connecté.
Nous utilisons ces données uniquement pour faire fonctionner les fonctionnalités publicitaires que vous demandez. Nous n'utilisons pas les données utilisateur Google pour notre propre publicité, nous ne les vendons pas et nous ne les partageons pas avec des tiers, sauf lorsque cela est nécessaire pour vous fournir le service ou requis par la loi. Les jetons OAuth sont stockés chiffrés et vous pouvez vous déconnecter à tout moment depuis Paramètres → Intégrations → Ads, ce qui révoque l'accès de Huup.
L'utilisation et le transfert par Huup des informations reçues des API Google vers toute autre application respecteront la Google API Services User Data Policy, y compris les exigences Limited Use.