Confidentialité
Avis de confidentialité
Comment Klarstig traite les données personnelles, quand nous agissons pour nos clients, quels prestataires reçoivent des données, combien de temps les données sont conservées et comment exercer vos droits.
Commencer la lectureKlarstig est exploité par Daniel Petry, entrepreneur individuel établi à Forestville, Californie, États-Unis.
Nous ne vendons pas de données personnelles, ne les partageons pas à des fins publicitaires et n’envoyons pas d’e-mails marketing.
Google Analytics et notre propre mesure d’audience restent désactivés tant que vous ne les acceptez pas. Vous pouvez changer d’avis à tout moment.
01Responsable du traitement et contact
Klarstig est exploité par Daniel Petry, entrepreneur individuel exerçant sous le nom Klarstig, 11917 Laurel Ave., Forestville, CA 95436, États-Unis. Daniel Petry est responsable du traitement décrit dans cet avis lorsque Klarstig détermine les finalités et les moyens du traitement.
Pour toute question relative à la vie privée, utilisez le formulaire de contact en choisissant « Confidentialité et droits sur les données », ou écrivez à l’adresse postale ci-dessus. L’accord de traitement des données (DPA) en vigueur peut être consulté sur sa page publique de référence ; les propriétaires d’espace de travail l’acceptent dans les paramètres de l’application.
Nous avons examiné si la désignation d’un délégué à la protection des données était obligatoire. Nos traitements ne comportent ni suivi régulier et systématique à grande échelle ni traitement à grande échelle de catégories particulières de données comme activité de base ; aucun délégué n’a donc été désigné. Daniel Petry est personnellement responsable des questions de confidentialité.
Représentant dans l’UE et au Royaume-Uni : Klarstig est établi uniquement aux États-Unis. Nous n’avons pas encore désigné de représentant dans l’Union européenne au titre de l’article 27 du RGPD ni au Royaume-Uni au titre de l’article 27 du UK GDPR. Son nom et ses coordonnées figureront ici dès sa désignation. D’ici là, vous pouvez nous joindre par les moyens ci-dessus ; vos droits n’en sont pas affectés.
02Notre rôle et les données contrôlées par nos clients
Nous sommes responsable du traitement pour nos propres activités : gestion des comptes et espaces de travail, administration des abonnements, réponses aux demandes, exploitation de notre site public et de son assistant, et protection du service.
Lorsqu’une organisation ou une personne utilise Klarstig pour créer des formulaires, collecter des réponses, exécuter des workflows ou demander des signatures électroniques, c’est ce client qui décide quelles données personnelles sont collectées et pourquoi. Pour ce contenu, le client est responsable du traitement et Klarstig agit comme sous-traitant conformément à notre accord de traitement des données.
Si vous avez rempli un formulaire ou signé un document envoyé par un client de Klarstig, l’avis de confidentialité de ce client explique l’usage de vos informations et vous devez d’abord le contacter. Vous pouvez aussi nous contacter : nous transmettrons votre demande et assisterons le client comme notre accord l’exige.
03Données traitées et leur origine
Les données dépendent des fonctions utilisées. Nous n’achetons pas de données personnelles et ne les enrichissons pas à partir de courtiers en données ou de sources publiques.
| Catégorie | Exemples | Source |
|---|---|---|
| Compte et espace de travail | Nom, adresse e-mail, mot de passe haché, langue, organisation, rôle et appartenance | Vous ou l’administrateur de votre espace |
| Contenu du service | Formulaires, réponses, fichiers téléversés, workflows et approbations, demandes de signature et documents signés, et données sur les personnes figurant dans ce contenu | Les clients, leurs répondants et signataires |
| Activité et journaux d’audit | Connexions, actions liées à la sécurité, changements d’autorisations, horodatages et adresse IP enregistrés dans les journaux d’audit | Générés lors de l’utilisation du service |
| Abonnement et facturation | Offre, périodicité, statut d’abonnement, identifiants client et abonnement Stripe et événements de facturation. Les données de carte sont saisies sur les pages de Stripe et ne parviennent jamais à Klarstig | Vous et Stripe |
| Vérification associative | Nom de l’organisation, numéro d’enregistrement, juridiction et justificatifs, si vous demandez le tarif associatif | Vous |
| Demandes et assistance | Nom, e-mail, organisation, sujet et message envoyés via le formulaire de contact ou une demande relative à la vie privée | Vous |
| Fonctions d’IA | Instructions, champs et valeurs de réponses que vous demandez à l’assistant d’analyser, et résultats générés | Vous et votre espace |
| Données techniques et de sécurité | Adresse IP (utilisée de façon transitoire pour la limitation de débit et la prévention des abus), type de navigateur et d’appareil, informations d’erreur et signaux de détection des robots | Votre navigateur et Cloudflare Turnstile |
| Mesure d’audience (uniquement avec consentement) | Pages vues, clics sur les boutons principaux, type d’appareil, paramètres de campagne, identifiant visiteur aléatoire et cookies Google Analytics | Votre navigateur, après acceptation |
04Finalités et bases juridiques
Lorsque le RGPD ou le UK GDPR s’applique, nous nous fondons sur les bases juridiques suivantes pour les traitements dont nous sommes responsable. Les traitements réalisés en tant que sous-traitant suivent les instructions documentées du client et l’accord de traitement des données.
| Finalité | Base juridique |
|---|---|
| Création des comptes et fourniture des fonctions utilisées, y compris les e-mails transactionnels (connexion, réinitialisation du mot de passe, invitations, notifications de réponses) | Exécution du contrat (art. 6(1)(b)) |
| Abonnements et paiements via Stripe ; vérification du tarif associatif | Exécution du contrat (art. 6(1)(b)) |
| Tenue des registres comptables et fiscaux | Obligation légale (art. 6(1)(c)) lorsqu’une loi applicable l’exige ; sinon intérêt légitime à tenir une comptabilité exacte (art. 6(1)(f)) |
| Authentification, sécurité, limitation de débit, protection anti-robots par Cloudflare Turnstile, journaux d’audit et prévention de la fraude | Intérêt légitime à protéger les utilisateurs et le service (art. 6(1)(f)) ; pour les titulaires de compte, également le contrat |
| Réponses aux demandes et aux demandes d’exercice de droits ; gestion des litiges | Intérêt légitime (art. 6(1)(f)) ; obligation légale pour les demandes d’exercice de droits |
| Assistant du site public et vidéos lues au clic | Intérêt légitime à répondre aux visiteurs et à présenter le produit (art. 6(1)(f)) |
| Google Analytics et mesure d’audience interne | Consentement (art. 6(1)(a) et règles sur le stockage d’informations dans les terminaux). Désactivé tant que vous n’acceptez pas |
05Informations obligatoires et données sensibles
Les champs nécessaires pour créer un compte, finaliser un achat ou fournir une fonction sont signalés comme obligatoires ; sans eux, nous ne pouvons pas fournir cette fonction. Refuser la mesure d’audience ne limite jamais l’accès au service.
Klarstig ne demande pas de catégories particulières de données pour ses propres besoins. Les clients ne doivent pas utiliser Klarstig pour collecter des données de santé soumises à HIPAA, des numéros de carte de paiement ou d’autres données pour lesquelles le service n’est pas conçu ; aucun formulaire compatible HIPAA n’est proposé. Un client qui collecte des catégories particulières de données par ses formulaires doit disposer d’une condition valable au titre de l’article 9 du RGPD et de garanties appropriées.
06Prestataires et autres destinataires
Nous faisons appel aux prestataires ci-dessous. Les sous-traitants n’agissent que sur nos instructions. Lorsque les conditions écrites ou le rôle d’un prestataire sont encore en cours de confirmation, le tableau et la section sur les transferts l’indiquent. Nous ne vendons pas de données personnelles et ne les partageons pas à des fins de publicité comportementale. Les administrateurs et collaborateurs d’un espace voient le contenu selon les autorisations définies par leur organisation.
| Prestataire | Finalité | Rôle | Localisation |
|---|---|---|---|
| Abacus.AI | Hébergement de l’application, base de données, envoi des e-mails transactionnels et accès aux modèles d’IA | Sous-traitant | États-Unis |
| Amazon Web Services (S3, us-west-2) | Stockage des fichiers téléversés, documents signés et exports | Sous-traitant | États-Unis |
| Stripe | Traitement des paiements et facturation des abonnements | Sous-traitant pour Klarstig ; responsable distinct pour ses propres obligations de lutte contre la fraude et légales | États-Unis et autres pays |
| Cloudflare Turnstile (notre propre compte Cloudflare) | Protection anti-robots sur l’inscription, la réinitialisation du mot de passe, le contact et les formulaires publics. Le widget lit des signaux du navigateur et notre serveur transmet à Cloudflare le jeton du contrôle et votre adresse IP pour vérification | Sous-traitant ; responsable distinct pour l’amélioration de sa détection des robots. La confirmation que les conditions de traitement des données de Cloudflare couvrent notre compte est en attente | Réseau mondial, États-Unis |
| Réseau périphérique Cloudflare (inclus dans le service d’hébergement) | Acheminement et protection du trafic vers le site. Il n’est pas exploité via un compte Cloudflare de Klarstig | Prestataire utilisé pour notre hébergement ; son rôle et sa couverture par les conditions d’Abacus.AI sont en cours de confirmation auprès d’Abacus.AI | Réseau mondial |
| Google Analytics | Statistiques de fréquentation, uniquement après consentement. Google Signals et les fonctions publicitaires sont désactivés | Prestataire de mesure d’audience | États-Unis |
| Google (YouTube, mode confidentialité renforcée) | Vidéos de présentation, chargées seulement lorsque vous lancez la lecture | Responsable distinct | États-Unis |
07Autres communications
Nous ne communiquons des données personnelles aux autorités, tribunaux ou conseils que sur une base juridique valable et dans la mesure strictement nécessaire ; une simple demande ne rend pas une communication licite. En cas de cession de l’activité, les données ne seraient transmises au nouvel exploitant que dans le respect du présent avis, et nous vous en informerions à l’avance.
08Fonctions d’IA et décisions automatisées
Les fonctions d’IA ne sont utilisées que lorsque vous les lancez : génération de formulaires et de workflows à partir de votre description, analyse de réponses, traduction de modèles, assistants intégré et public, et rédaction de publications. Le contenu sélectionné est envoyé à des modèles d’IA via Abacus.AI. Pour l’analyse des réponses, nous transmettons les libellés et valeurs des champs ; les champs masqués sont exclus et seuls le nom et le type des fichiers sont partagés, jamais leur contenu.
Les clients ne peuvent pas connecter leurs propres fournisseurs d’IA. Klarstig n’utilise pas le contenu des clients pour entraîner des modèles d’IA. Nous avons demandé à Abacus.AI de confirmer par écrit quels fournisseurs de modèles reçoivent les instructions et résultats, combien de temps ils les conservent et s’ils peuvent les utiliser pour l’entraînement ; nous indiquerons ici les conditions confirmées.
Les résultats de l’IA sont des suggestions présentées à des personnes. Klarstig ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs similaires au sens de l’article 22 du RGPD. Les clients qui configurent leurs propres workflows restent responsables des décisions qu’ils prennent avec eux.
09Transferts internationaux
Klarstig et ses prestataires traitent les données aux États-Unis. Aucune option de résidence des données exclusivement dans l’UE/EEE n’est proposée. Pour les données transférées depuis l’EEE, le Royaume-Uni ou la Suisse, nous nous appuyons sur les mécanismes suivants.
- Amazon Web Services et Stripe : certifiés au titre du cadre de protection des données UE–États-Unis (Data Privacy Framework), de son extension britannique et du cadre Suisse–États-Unis, et liés par les clauses contractuelles types de la Commission européenne dans leurs conditions de traitement des données.
- Google (Analytics et YouTube) : certifié au titre du Data Privacy Framework UE–États-Unis et de ses extensions britannique et suisse.
- Cloudflare Turnstile (notre propre compte Cloudflare) : Cloudflare publie des conditions de traitement des données pour ses clients, avec des garanties pour les transferts. Nous vérifions que ces conditions couvrent notre compte et quel mécanisme s’applique, et l’indiquerons ici. D’ici là, nous n’invoquons aucun mécanisme précis pour ce transfert.
- Réseau périphérique Cloudflare : fourni dans le cadre du service d’hébergement, et non via un compte Cloudflare de Klarstig. Ses garanties sont en cours de confirmation auprès d’Abacus.AI, en même temps que le mécanisme d’Abacus.AI ci-dessous.
- Abacus.AI : les transferts s’effectuent selon les conditions de traitement des données publiées par Abacus.AI. Nous confirmons le mécanisme de transfert applicable à notre compte et le décrirons ici.
- Klarstig reçoit lui-même les données aux États-Unis en tant que fournisseur du service ; pour les clients responsables du traitement, notre accord de traitement des données précise les garanties applicables.
10Durées de conservation
Nous ne conservons les données personnelles que le temps nécessaire aux finalités ci-dessus. Les demandes d’effacement ne sont pas retardées par les délais de récupération indiqués ci-dessous, et les données soumises à une conservation pour motif juridique ne sont conservées qu’à cette fin. Les durées ci-dessous constituent notre calendrier de conservation. La suppression automatique à l’issue de chaque durée est en cours de mise en place ; d’ici là, les données sont supprimées lorsque vous ou le client les supprimez dans l’application, ou sur demande.
| Donnée | Conservation |
|---|---|
| Compte actif et contenu de l’espace | Tant que le compte est actif ou jusqu’à suppression par le client |
| Réponses et fichiers supprimés | Récupérables pendant 30 jours, puis supprimés définitivement |
| Comptes clôturés | Délai de récupération de 30 jours, puis suppression |
| Espaces d’essai expirés non convertis | 30 jours après la fin de l’essai |
| Journaux d’audit et de sécurité | 12 mois |
| Journaux d’intégrations et de webhooks | 90 jours |
| Conversations avec l’assistant du site public | 30 jours |
| Fils de l’assistant IA intégré | 90 jours après la dernière activité |
| Demandes et messages d’assistance | 12 mois après le dernier message |
| Registres de facturation et fiscaux | 7 ans |
| Preuves de consentement et d’acceptation des accords | Pendant la relation et le délai de prescription applicable |
| Exports de données client | Liens de téléchargement valables 24 heures |
| Cookies Google Analytics | Jusqu’à 2 ans dans votre navigateur, ou jusqu’au retrait du consentement |
11Cookies et technologies similaires
Nous utilisons sans demande préalable les traceurs strictement nécessaires au fonctionnement du site. Les traceurs de mesure d’audience ne sont déposés qu’après acceptation dans le bandeau cookies. Refuser est aussi simple qu’accepter, et un signal Global Privacy Control envoyé par votre navigateur vaut refus. La mesure d’audience n’est jamais chargée sur les formulaires clients ni sur les pages de signature.
Vous pouvez modifier ou retirer votre choix à tout moment avec le bouton ci-dessous ou le lien « Paramètres des cookies » en pied de page. Le retrait arrête immédiatement la mesure d’audience et supprime les cookies et l’identifiant correspondants de votre navigateur.
| Nom | Finalité | Type | Durée |
|---|---|---|---|
| __Secure-next-auth.session-token | Maintient votre connexion | Strictement nécessaire | Durée de la session (30 jours maximum) |
| __Host-next-auth.csrf-token, __Secure-next-auth.callback-url | Protège la connexion contre la falsification de requêtes ; vous ramène à la bonne page | Strictement nécessaire | Session du navigateur |
| intaria_sign | Sécurise une session de signature électronique ouverte depuis un lien de signature | Strictement nécessaire | Jusqu’à l’expiration du lien ou la fin de la signature |
| intaria_locale (cookie et stockage local) | Mémorise la langue choisie | Strictement nécessaire (préférence choisie) | 12 mois |
| intaria_visitor_id | Relie votre conversation avec l’assistant du site public ; déposé uniquement lorsque vous lui envoyez un message | Fonctionnel, à votre demande | 30 jours |
| klarstig_consent (stockage local) | Mémorise votre choix concernant les cookies | Strictement nécessaire | 12 mois |
| Cloudflare Turnstile | Distingue les personnes des robots sur les formulaires protégés | Strictement nécessaire (sécurité) | Durée du contrôle |
| _ga, _ga_YXXZ40XEMN | Statistiques Google Analytics | Mesure d’audience — avec consentement | Jusqu’à 2 ans |
| intaria_marketing_visitor (stockage local) | Identifiant aléatoire pour nos statistiques de pages vues et de clics | Mesure d’audience — avec consentement | Jusqu’au retrait du consentement ou à l’effacement du stockage |
12Vos droits et comment les exercer
Lorsque le RGPD ou le UK GDPR s’applique, vous pouvez demander l’accès à vos données et en obtenir une copie, leur rectification, leur effacement, la limitation du traitement et une copie portable des données que vous avez fournies. Vous pouvez vous opposer aux traitements fondés sur l’intérêt légitime et retirer votre consentement à tout moment, sans effet sur les traitements antérieurs. Nous ne faisons pas de prospection commerciale.
Adressez vos demandes via le formulaire de contact (sujet « Confidentialité et droits sur les données ») ou par courrier. Aucun compte n’est nécessaire. Nous ne demandons que les informations nécessaires pour vérifier votre identité ou votre mandat. Les demandes sont gratuites, sauf si la loi autorise des frais pour les demandes manifestement infondées ou excessives.
Nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois ; pour des demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois, et nous vous en indiquerons la raison dans le premier mois. Lorsque nous agissons comme sous-traitant, nous transmettons votre demande au client concerné et l’aidons à y répondre.
Vous pouvez introduire une réclamation auprès de l’autorité de protection des données de votre lieu de résidence ou de travail, ou du lieu de la violation alléguée, par exemple la CNIL en France. Il n’est pas nécessaire de nous contacter d’abord.
13Informations complémentaires pour les résidents de Californie
Au cours des 12 derniers mois, nous avons collecté les catégories indiquées à la section 3 pour les finalités de la section 4. Nous ne vendons pas d’informations personnelles, ne les partageons pas à des fins de publicité comportementale et n’utilisons pas d’informations sensibles pour déduire des caractéristiques. Les résidents de Californie peuvent demander à connaître, supprimer et rectifier leurs informations sans subir de discrimination. Nous répondons sous 45 jours, prolongeables une fois de 45 jours lorsque la loi le permet. Un mandataire autorisé peut agir sur justificatif.
14Sécurité et violations de données
Nos mesures comprennent des connexions chiffrées, des mots de passe hachés, des accès par rôle au sein des espaces, des journaux d’audit, une limitation de débit, une protection anti-robots, un stockage privé des fichiers avec liens temporaires et l’isolation entre clients. Aucun service en ligne ne peut garantir une sécurité absolue. Nous ne détenons ni certification SOC 2 ni ISO/IEC 27001.
En tant que sous-traitant, nous informons les clients concernés d’une violation de données dans les meilleurs délais. En tant que responsable du traitement, nous notifions l’autorité compétente dans les 72 heures lorsque c’est requis et informons les personnes concernées lorsqu’une violation est susceptible d’engendrer un risque élevé pour elles.
15Enfants
Klarstig est un service destiné aux adultes et aux organisations et ne s’adresse pas aux enfants. Les titulaires de compte doivent avoir au moins 18 ans. Nous ne collectons pas sciemment de données d’enfants pour nos propres besoins ; si vous pensez qu’un enfant a créé un compte, contactez-nous et nous le supprimerons. Les clients qui collectent par formulaire des informations sur des enfants, par exemple des écoles ou associations de jeunesse, doivent obtenir tout consentement parental requis et fournir leurs propres informations.
16Modifications de cet avis
La version et la date d’entrée en vigueur figurent en haut de cette page. Nous annoncerons à l’avance toute modification importante sur cette page et, pour les titulaires de compte, par e-mail ou dans l’application. Nous redemanderons votre consentement avant tout nouvel usage qui l’exige.