Confidentialité des données de vos comptes Amazon

Application « SellerScale » sur le Selling Partner Appstore d'Amazon, et application cliente de l'Amazon Ads API. Version 1.5. Date d'entrée en vigueur : 7 octobre 2026.

La présente politique est publiée par Axiom Systems Lab LLC, société à responsabilité limitée de droit du Wyoming (limited liability company), dont le siège est situé 30 N Gould St, Ste R, Sheridan, WY 82801, États-Unis, immatriculée auprès du Secrétaire d'État du Wyoming sous le numéro 2026-002039014 (ci-après « l'Éditeur »). Le directeur de la publication est Christophe Halin.

Elle décrit exactement les données que SellerScale lit dans votre compte vendeur Amazon lorsque vous reliez votre boutique. Elle est distincte de la politique de confidentialité du service SellerScale, qui reste applicable à votre compte, et de la politique de l'extension de navigateur.

Elle couvre deux connexions distinctes et indépendantes : celle de votre compte vendeur (articles 2 à 9), et celle de votre compte publicitaire (article 10). Elles se donnent séparément, se coupent séparément, et l'une n'ouvre jamais l'autre.

Les deux sont facultatives. SellerScale fonctionne entièrement sans l'une comme sans l'autre.

Article 1. Responsable de traitement

L'Éditeur est le responsable de traitement au sens du Règlement général sur la protection des données (RGPD) et du UK GDPR. Il est établi aux États-Unis et applique ces textes au titre de leur article 3, paragraphe 2, parce qu'il propose ses services à des personnes situées dans l'Union européenne et au Royaume-Uni.

Article 2. Ce que fait la connexion, et quand

La connexion ne se déclenche que lorsque vous cliquez sur « Connecter ma boutique » dans l'onglet « Ma boutique », et qu'Amazon vous demande votre consentement sur ses propres pages. Amazon vous y montre les autorisations demandées avant que vous acceptiez.

Une fois la boutique reliée, SellerScale lit votre compte une fois par jour, automatiquement, sans action de votre part. Un bouton « Actualiser » vous permet de déclencher une lecture supplémentaire, au plus une fois par heure. Aucune lecture n'a lieu au simple affichage d'une page : ce que vous voyez à l'écran vient de la dernière lecture enregistrée.

Article 3. Ce que nous lisons

Voici tout ce que nous lisons, et rien d'autre.

• Vos marchés. Les pays où votre compte vendeur est actif, et le nom de votre boutique. Cela sert à confirmer que la connexion fonctionne, et à savoir où lire la suite.
• Vos ventes. Le nombre d'unités vendues et le chiffre d'affaires, par produit et par jour, sur les trente derniers jours. Cela sert à afficher vos ventes, à tracer leur évolution et à calculer votre marge réelle.
• Ce qu'Amazon vous prélève et vous rend. Sur les trente derniers jours et en totaux par référence : les frais facturés par type, le coût de vos remboursements clients, les réductions que vous avez accordées, les frais de service (stockage, abonnement), les régularisations, et le nombre d'unités que des clients vous ont rendues. Cela sert à afficher ce qui sépare vraiment votre chiffre d'affaires de votre bénéfice, à le comparer à ce que nous vous avions annoncé avant votre commande, et à vous dire si un produit déçoit ses acheteurs.
• Ce qu'Amazon annoncerait. Nous lui demandons quels frais il prélèverait sur votre référence au prix moyen auquel vous avez vendu ces trente derniers jours. Nous ne lui transmettons aucune donnée nouvelle vous concernant : ce prix, c'est lui qui nous l'a appris. Cela sert à vous montrer l'écart entre ce qu'Amazon annonce et ce qu'il vous a réellement facturé.
• Vos règlements. Le montant, la date et le sens de vos derniers versements Amazon, et la période en cours. Cela sert à vous dire quand vous serez payé, et combien.
• Votre stock. Par référence : la quantité disponible en logistique Amazon, celle qui est réservée pour des commandes en cours, celle qui est en route vers un entrepôt Amazon, celle qui est sur place mais invendable, et le nom de vos références. Cela sert à afficher votre stock, à calculer sa durée de couverture, à vous prévenir avant une rupture, et à vous laisser associer vos références à vos produits.

Toutes ces données sont agrégées : des totaux et des quantités, jamais le détail d'une commande.

Article 4. Ce que nous ne lisons jamais

Aucune donnée de vos acheteurs. Ni nom, ni adresse postale, ni adresse électronique, ni numéro de téléphone, ni contenu de commande, ni message.

Ce n'est pas une intention, c'est une conséquence technique : nous n'avons demandé à Amazon aucune des autorisations dites restreintes, celles qui donnent accès aux informations personnelles des acheteurs, et nous n'appelons aucune des fonctions d'Amazon qui les renvoient. Amazon fait respecter ces limites de son côté.

Nous ne lisons pas davantage vos commandes une par une. Cette connexion ne lit aucune campagne publicitaire : vos campagnes ne sont lues que par la connexion publicitaire, si vous la donnez, dans les limites de l'article 10.

La liste de vos références est lue en entier — c'est ce qui vous permet de choisir celle à associer à chaque produit — mais pour une référence que vous n'avez pas associée à un produit SellerScale, nous n'allons pas plus loin : ni ses ventes, ni ses frais.

Article 5. Ce que nous n'écrivons jamais

SellerScale n'écrit rien sur votre compte vendeur. Aucune modification de prix, aucune modification de fiche produit, aucune création ni suppression d'offre, aucune action sur vos stocks, aucun message envoyé en votre nom. La connexion est en lecture seule.

Article 6. Le jeton d'accès, et comment il est protégé

Lorsque vous autorisez SellerScale, Amazon nous remet un jeton qui nous permet de lire votre compte. C'est la donnée la plus sensible que nous détenions à votre sujet, et elle est traitée comme telle.

• Il est chiffré avant tout enregistrement, selon l'algorithme AES-256-GCM, avec une clé qui vit dans une variable d'environnement de notre hébergeur et qui ne figure ni dans notre code, ni dans nos sauvegardes de code.
• Il n'apparaît dans aucun journal, aucun message d'erreur, aucune réponse de notre interface, aucune capture d'écran.
• Il n'est déchiffré que le temps d'un appel à Amazon, et n'est jamais conservé en mémoire au-delà.
• Il ne circule qu'en HTTPS (TLS 1.2 ou supérieur), entre nos serveurs et ceux d'Amazon.
• Amazon l'invalide de lui-même au bout de 365 jours : passé ce délai, la connexion doit être refaite.

Article 7. Durées de conservation

Tout ce que nous avons lu dans votre compte vendeur disparaît à l'instant où vous vous déconnectez, pas au terme d'un délai. Ces informations sont les vôtres : elles partent avec votre autorisation. Seuls restent les coûts que vous avez saisis vous-même pour chaque référence, avec les références qui leur servent de clé, chez Clerk (article 8), jusqu'à la suppression de votre compte SellerScale.

Aucune donnée d'acheteur n'entre chez nous par cette connexion : il n'y a donc aucune donnée personnelle d'acheteur à conserver ni à supprimer.

Article 8. Hébergement, sous-traitants et accès

• Hébergement de l'application : Vercel Inc., avec exécution en Europe.
• Base de données : Neon Inc., région européenne, chiffrée au repos. Neon détient les jetons chiffrés mais pas la clé de chiffrement, qui vit chez l'hébergeur applicatif : une base compromise seule ne donne aucun jeton lisible.
• Authentification : Clerk, prestataire d'authentification, aux États-Unis (voir la politique de confidentialité du service). Il gère la connexion à votre compte SellerScale, conserve les coûts que vous saisissez pour chaque référence de votre boutique (article 7) et vos réglages de pilotage publicitaire décrits à l'article 10, dont les identifiants des campagnes concernées. Il ne détient aucun jeton Amazon.
• Qui y accède : les seules personnes disposant d'un accès à la base sont les responsables de SellerScale. Chacun dispose d'un compte nominatif protégé par mot de passe et double authentification. Aucun compte partagé, aucun compte générique. Les accès sont revus périodiquement et retirés dans les vingt-quatre heures en cas de départ ou de changement de rôle.

Aucune revente, aucun partage, aucune agrégation. Vos données Amazon, celles de votre compte vendeur comme celles de votre compte publicitaire, ne sont ni vendues, ni louées, ni transmises à un tiers, ni utilisées à des fins publicitaires, ni agrégées avec celles d'autres vendeurs ou d'autres annonceurs.

Article 9. Couper l'accès

Dans SellerScale, onglet « Ma boutique », bouton « Déconnecter ma boutique ». Ce clic :

1. efface immédiatement le jeton d'accès de notre base ;
2. efface immédiatement tout ce que nous avions lu dans votre compte : vos ventes, vos frais, votre stock, la liste de vos références et de vos pays de vente, et le lien entre vos références et les produits que nous vous avions proposés ;
3. arrête toute lecture future de votre compte ;
4. ne conserve que le fait qu'une connexion a existé, avec ses dates ; les coûts que vous avez saisis par référence restent (article 7).

Ce nettoyage est immédiat et définitif. Si vous reconnectez plus tard votre boutique, vous repartez d'une page blanche : nous ne gardons rien de ce que nous avions lu, et tout est relu chez Amazon comme à la première connexion ; seuls les coûts que vous aviez saisis se rattachent de nouveau aux mêmes références.

Vous pouvez également révoquer l'accès depuis votre compte Amazon (Seller Central, section des applications autorisées). L'effet est le même de notre côté : nos lectures échouent, et l'application vous propose de reconnecter.

Après une déconnexion, ce qui subsiste chez nous se limite aux dates et au statut de la connexion, et aux coûts que vous avez saisis par référence (article 7). Pour en demander la suppression, écrivez-nous à l'adresse de l'article 14 : nous répondons sous trente jours, délai prévu par le RGPD pour les demandes de cette nature.

Article 10. Données publicitaires (Amazon Ads)

Cette section couvre une connexion distincte de celle de votre compte vendeur, donnée séparément, à travers l'Amazon Ads API. Elle est facultative, et la refuser ne retire rien au reste du service. Elle se déclenche uniquement lorsque vous cliquez sur « Connecter mon compte sur Amazon », et Amazon vous demande alors votre consentement sur ses propres pages, où il vous montre l'autorisation demandée avant que vous acceptiez.

Donner l'une des deux connexions n'ouvre jamais l'autre : ce sont deux autorisations Amazon différentes, sur deux applications différentes, et deux jetons qui ne se remplacent pas.

Ce que nous lisons

Voici tout ce que nous lisons, et rien d'autre :

• la liste de vos comptes annonceurs : identifiant, pays, type de compte ;
• votre dépense publicitaire et les ventes qui lui sont attribuées, par jour et par produit annoncé ;
• pour chaque campagne, par jour : son identifiant, son nom, son état, son budget, sa dépense, ses clics, ses affichages et les ventes qui lui sont attribuées ;
• pour chaque mot-clé ou ciblage de vos campagnes, et pour chaque terme de recherche tapé par des clients, par jour : la dépense, les clics, les affichages et les ventes qui leur sont attribuées ;
• l'enchère en cours des mots-clés des seules campagnes que vous confiez au pilotage automatique.

La liste de vos comptes annonceurs vient de GET /v2/profiles, appelé avec le filtre accessLevel=view, c'est-à-dire le niveau de droits le plus étroit qu'Amazon propose sur cette liste. Nous n'en gardons que trois champs par compte : l'identifiant, tel qu'Amazon le numérote ; le pays, sur deux lettres (« FR ») ; le type de compte (vendeur, fournisseur ou agence).

Les chiffres viennent des rapports qu'Amazon prépare à notre demande : par produit annoncé, par campagne (produits sponsorisés, marque et display), par mot-clé ou ciblage (produits sponsorisés et marque), et par terme de recherche (produits sponsorisés). Chaque ligne porte le jour, la dépense, le montant et le nombre des ventes attribuées, les clics, les affichages et la devise dans laquelle les montants sont exprimés, avec, selon le rapport, ce qui l'identifie : le produit annoncé ; la campagne (identifiant, nom, état, budget quotidien) ; le mot-clé ou ciblage (identifiant, texte, type de correspondance) et sa campagne ; le terme de recherche tapé, le mot-clé qui l'a déclenché et sa campagne.

Les enchères en cours viennent de la liste des mots-clés de ces seules campagnes, lue à chaque passage du pilotage automatique, avant de décider d'un ajustement. De cette liste, nous ne retenons que l'identifiant de chaque mot-clé, celui de sa campagne et de son groupe d'annonces, et son enchère.

Ces informations servent à trois choses : vous montrer ce que votre publicité vous coûte et ce qu'elle vous rapporte, vous signaler les mots qui vendent et ceux qui coûtent sans vendre, et piloter les campagnes que vous nous confiez.

Un terme de recherche est ce que des clients ont tapé dans la barre de recherche d'Amazon, compté en totaux : jamais le nom, l'adresse ni le compte de la personne qui l'a tapé.

Ni nom de compte, ni adresse, ni moyen de paiement, ni donnée d'acheteur.

Ce que nous ne lisons jamais

Rien d'autre dans votre compte publicitaire. Ni audience, ni contenu de vos annonces, ni facture, ni moyen de paiement. Aucune donnée de vos acheteurs, ici non plus.

Ce n'est pas une intention, c'est une conséquence technique : notre application n'appelle aucune autre fonction d'Amazon que celles décrites dans cet article, et ne demande dans ses rapports aucune autre colonne que celles décrites ci-dessus.

Amazon ne propose pas d'autorisation de lecture seule pour cette interface : l'autorisation qu'il nous fait demander (advertising::campaign_management) est la seule qui donne accès à la liste des comptes et aux rapports, et c'est aussi celle qui permet le pilotage décrit ci-dessous. Cette section est l'engagement écrit de ce que nous en faisons.

Ce que nous modifions, seulement si vous activez le pilotage automatique

Tant que vous n'activez pas le pilotage automatique, SellerScale ne modifie rien sur votre compte publicitaire.

Quand vous confiez une campagne au pilotage automatique, SellerScale y modifie deux choses, et rien d'autre, au plus une fois par jour :

• l'enchère de ses mots-clés, à la hausse ou à la baisse selon ce que chaque mot rapporte, dans des limites fixées à l'avance ;
• son budget quotidien, réglé sur le montant que vous avez choisi dans SellerScale.

SellerScale ne crée aucune campagne, n'en supprime aucune et n'en met aucune en pause. Il n'ajoute ni ne retire aucun mot-clé, ne modifie aucune campagne que vous gardez en mode manuel, et n'engage aucune dépense au-delà des budgets quotidiens que vous avez posés. Chaque modification, acceptée ou refusée par Amazon, est inscrite dans un journal que vous retrouvez dans l'application, avec sa raison.

Vous reprenez la main quand vous voulez : en repassant une campagne en mode manuel, ou en déconnectant le compte (le pilotage reprend si vous le reconnectez, voir « Couper l'accès »).

Où c'est rangé, et comment c'est protégé

Le jeton qu'Amazon nous remet est protégé exactement comme celui du compte vendeur (article 6) : chiffré en AES-256-GCM avant tout enregistrement, avec la même clé, qui vit dans une variable d'environnement de notre hébergeur et ne figure ni dans notre code, ni dans nos sauvegardes de code. Il n'apparaît dans aucun journal, aucun message d'erreur, aucune réponse de notre interface. Il n'est déchiffré que le temps d'un appel à Amazon. Il ne circule qu'en HTTPS (TLS 1.2 ou supérieur).

La base est la même que celle de l'article 8 : Neon Inc., région européenne, chiffrée au repos, et Neon détient le jeton chiffré sans détenir la clé.

Combien de temps

Passé les 365 jours, le jeton cesse de fonctionner de lui-même. Nous marquons alors la connexion à reconnecter et l'application vous propose de refaire l'autorisation. Rien ne se lit ni ne se modifie entre-temps.

Contrairement au compte vendeur, aucun historique de connexion n'est conservé ici : nous ne gardons ni les dates ni le statut d'une connexion publicitaire qui a existé. Seuls restent vos réglages de pilotage, décrits ci-dessous.

Couper l'accès

Bouton « Déconnecter », en face du compte publicitaire relié. Ce clic supprime la ligne entière : le jeton chiffré, la région, la liste des comptes annonceurs, la date de connexion, et avec elle tous les chiffres lus et le journal des modifications. Tout ce qui a été lu chez Amazon est effacé, immédiatement et définitivement. Le pilotage automatique s'arrête avec la connexion : aucun passage suivant ne touche plus à votre compte publicitaire.

Seuls restent vos réglages de pilotage : le mode de chaque campagne (confiée ou manuelle), l'objectif et le budget quotidien que vous aviez choisis, avec les identifiants des campagnes Amazon concernées. Ils sont conservés chez Clerk, notre prestataire d'authentification (article 8), jusqu'à la suppression de votre compte SellerScale.

Sans connexion publicitaire, ces réglages ne déclenchent rien. Si vous reconnectez le même compte, le pilotage reprend avec ces réglages : les campagnes que vous aviez confiées le restent, tant que vous ne les repassez pas en mode manuel.

Vous pouvez également révoquer l'autorisation depuis votre compte Amazon. L'effet est le même de notre côté : nos appels échouent, et l'application vous propose de reconnecter.

Déconnecter votre compte publicitaire ne touche pas à votre compte vendeur, et l'inverse est vrai aussi.

Article 11. Sécurité et réponse aux incidents

Nous appliquons les exigences de la politique de protection des données d'Amazon : chiffrement au repos et en transit, comptes nominatifs avec double authentification, journalisation des accès et des erreurs, revue périodique des accès et des vulnérabilités.

En cas d'incident de sécurité touchant des données issues d'Amazon, nous en informons Amazon dans les vingt-quatre heures suivant la détection, ainsi que les vendeurs concernés.

Article 12. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par le RGPD, dans les conditions détaillées à l'article 6 de la politique de confidentialité du service. S'agissant des données lues chez Amazon, le droit d'effacement s'exerce immédiatement par les boutons de déconnexion décrits aux articles 9 (compte vendeur) et 10 (compte publicitaire), à deux exceptions près, qui restent chez Clerk jusqu'à la suppression de votre compte SellerScale : côté boutique, les coûts que vous avez saisis par référence, avec les références qui leur servent de clé ; côté publicité, vos réglages de pilotage, avec les identifiants de campagnes qu'ils contiennent. Pour supprimer votre compte SellerScale lui-même, voir la page dédiée.

Article 13. Modifications

Toute modification de la présente politique est publiée à cette même adresse, avec une nouvelle date d'entrée en vigueur. Une modification qui élargirait les données lues dans l'un ou l'autre de vos comptes Amazon vous serait annoncée avant d'entrer en vigueur, et exigerait une nouvelle autorisation de votre part auprès d'Amazon.

Article 14. Contact

Par courrier électronique : allan@sellerscale.ai.

Par voie postale : Axiom Systems Lab LLC, 30 N Gould St, Ste R, Sheridan, WY 82801, États-Unis.