Cartful

Cartful dépose des cookies propriétaires persistants et des entrées de stockage local pour identifier un acheteur entre sessions, retenir l'historique du chat et stocker le profil de préférences déduit. Il enregistre l'adresse IP, l'empreinte appareil et navigateur, l'URL, le referrer, les paramètres UTM, les événements de clic et de scroll, les produits consultés, le temps passé, les ajouts au panier et la commande, le catalogue marchand (identifiants produits, attributs, prix) et les réponses du visiteur à l'assistant. Avec les options actives, il peut aussi recevoir un identifiant client connecté ou un e-mail capté via un formulaire. Toutes les données sont envoyées aux API Cartful sur AWS US.

Oui. Cartful est un service non essentiel qui pose des cookies persistants et un stockage local à des fins d'analyse et de profilage : l'article 5(3) de la directive ePrivacy et ses transpositions exigent un consentement préalable, libre, spécifique et éclairé. Le traitement implique également un profilage systématique au sens de l'article 4(4) du RGPD, ce qui en fait un cas où, selon les lignes directrices 03/2022 du CEPD, le consentement doit être explicite et granulaire. Le widget ne doit donc pas se charger, et aucun événement ne doit partir vers les API Cartful, avant l'enregistrement d'un consentement positif par la plateforme de gestion du consentement. Le refus doit être aussi simple que l'acceptation.

Le consentement au sens de l'article 6(1)(a) du RGPD est la seule base légale réaliste pour Cartful sur un site européen. L'intérêt légitime est difficile à défendre car le traitement combine profilage persistant entre sessions, influence sur les décisions d'achat via les recommandations et transfert vers les États Unis. L'exécution du contrat ne convient pas, l'acheteur pouvant commander sans le recommandeur. Le consentement doit être couplé au consentement ePrivacy pour les cookies et le stockage local, doit être spécifique à la finalité (recommandations personnalisées), doit être éclairé (responsable, sous traitant, transfert, conservation) et doit être retirable à tout moment.

Oui. Cartful Solutions Inc. est établie aux États Unis et traite les événements sur l'infrastructure AWS US. Les transferts depuis l'EEE s'appuient sur le EU US Data Privacy Framework lorsque l'entité importatrice est certifiée, sur les clauses contractuelles types (2021/914) à défaut, et sur une analyse de transfert couvrant la section 702 FISA et l'Executive Order 12333 conformément à l'arrêt Schrems II. Le marchand doit vérifier le statut DPF de l'importateur, documenter les mesures supplémentaires (chiffrement en transit et au repos, identifiants pseudonymisés, contrôles d'accès, procédure d'accès gouvernemental) et actualiser l'analyse lors des changements de sous traitants.

Une AIPD au sens de l'article 35 du RGPD est recommandée et souvent obligatoire car Cartful réalise un profilage comportemental systématique et à grande échelle des acheteurs en ligne, construit un profil de préférences inféré, l'utilise pour influencer les décisions d'achat et transfère les données vers un pays tiers. L'AIPD doit décrire les catégories de données, la logique de profilage, la base légale, la conservation du profil et de l'historique, les mesures supplémentaires, le risque résiduel, le droit prévu à l'article 22 du RGPD lorsque les recommandations ont des effets significatifs, et les canaux d'exercice des droits d'accès, de rectification, d'effacement et d'opposition.

Signer le DPA Cartful, vérifier la certification DPF de l'entité importatrice, réaliser une AIPD profilage et transfert US, et configurer le CMP pour que le tag Cartful soit bloqué tant qu'un consentement positif n'est pas enregistré. Désactiver les fonctions optionnelles (captation d'e-mail, cross device, enrichissement utilisateur connecté) tant que le consentement n'est pas donné, et les désactiver à nouveau dès qu'il est retiré. Documenter la conservation des profils et historiques, et demander la suppression des profils inactifs via l'API admin Cartful. Mettre à jour la politique de confidentialité (base légale, mécanisme de transfert, conservation) et la bannière de cookies (cookies Cartful nommément).

Plusieurs outils de recommandation et d'assistant en ligne hébergés en UE peuvent être évalués : Nosto (régions UE), Algolia Recommend (résidence UE), Klevu, Crobox, Findologic, Recombee (serveurs UE), Dynamic Yield (option résidence UE), et des approches open source telles que Recommendations API sur stack auto hébergé. Pour les assistants conversationnels, HubSpot ChatSpot ou des instances Rasa ou Botpress auto hébergées en UE réduisent à la fois la friction consentement et le risque transfert. Le bon choix dépend de la taille du catalogue, de la latence, du gain de conversion, des conditions contractuelles (DPA, sous traitants, mécanismes de transfert) et du niveau de profilage que le CMP peut justifier.

Dans la bannière de cookies, lister nommément les cookies Cartful (cartful_session, cartful_visitor, cartful_profile) avec leur durée et leur catégorie, et les rattacher à la finalité Cartful dans le CMP. Dans la politique de confidentialité, désigner Cartful Solutions Inc. comme sous traitant (ou responsable conjoint selon le contrat), lister les catégories de données (IP, données appareil, événements comportementaux, réponses du chat, profil déduit, e-mail optionnel), indiquer le pays de destination (États Unis), citer le EU US Data Privacy Framework et les CCT, indiquer la durée de conservation et les canaux d'exercice des droits. Réauditer après chaque modification de configuration Cartful.