Politique de confidentialité

Avec votre consentement, nous utilisons Google Analytics pour analyser les visites de nos pages publiques. Google reçoit des données d’utilisation et d’appareil ; un traitement aux États-Unis est possible. Sans consentement, l’analyse reste désactivée. Votre choix est conservé 180 jours et peut être modifié ici à tout moment.

1. Responsable du traitement

KENJTEC UG (haftungsbeschränkt) en cours de constitution, e-mail : legal@kenjtec.com (adresse : voir les mentions légales).

2. Hébergement et diffusion

Nos systèmes fonctionnent sur Google Cloud dans la région europe-west1 (Belgique) ; la base de données est sauvegardée quotidiennement dans plusieurs régions de l'UE. Les fichiers de la médiathèque (MediaStudio) sont stockés par Cloudflare R2 dans l'UE (juridiction de l'UE). Cloudflare se trouve devant les services (DNS, diffusion, protection) avec un réseau mondial ; un appel est en règle générale reçu à l'emplacement le plus proche, y compris en dehors de l'UE. Lorsque vous ouvrez une page, ces prestataires traitent nécessairement votre adresse IP (art. 6, par. 1, point f du RGPD — le site ne peut pas fonctionner sans elle).

3. Cookies

Les cookies nécessaires et votre choix d’analyse restent distincts. Les cookies Google Analytics (_ga, _ga_*) sont déposés uniquement avec consentement, pour 60 jours maximum sans renouvellement automatique. Votre choix est conservé dans le navigateur pendant 180 jours.

• la langue et la devise de votre choix,
• votre jeton de connexion lorsque vous êtes connecté,
• avant le lancement public : le cookie de la porte d'entrée.

4. Compte

Lors de l'inscription, nous enregistrons votre adresse e-mail, votre mot de passe (sous forme de hachage, jamais en clair) ainsi que votre nom, votre langue et votre devise si vous les indiquez (art. 6, par. 1, point b du RGPD — exécution du contrat). Nous journalisons les connexions et tentatives de connexion avec l'adresse IP pendant 180 jours (art. 6, par. 1, point f du RGPD — sécurité du compte) ; l'entrée est ensuite supprimée.

Si vous vous connectez avec « Continuer avec Google », Google nous transmet votre adresse e-mail vérifiée et votre nom. La connexion auprès de Google elle-même relève de la responsabilité de Google.

5. Paiements

Les paiements sont traités par Stripe. Vos données de carte sont détenues par Stripe et n'atteignent jamais nos systèmes. De Stripe, nous ne recevons que la marque, les quatre derniers chiffres et la date d'expiration de votre carte, ainsi qu'un identifiant dont le numéro de carte ne peut pas être déduit. Il nous sert à vérifier qu'une même carte n'est pas liée à plus de trois comptes. Stripe est responsable de traitement indépendant pour le traitement des paiements.

6. E-mails

Nous envoyons les e-mails système (inscription, mot de passe, notifications) via Mailjet. À cette fin, votre adresse e-mail est transmise à Mailjet (art. 6, par. 1, point b du RGPD). Les e-mails publicitaires ne sont envoyés qu'avec votre consentement exprès.

7. Fonctions d'IA

Les fonctions d'IA (Kenji) font appel à quatre prestataires : Google (Vertex AI, traitement dans la multirégion de l'UE), Mistral AI (traitement dans l'UE), Anthropic (Claude ; stockage aux États-Unis, le calcul des réponses peut aussi avoir lieu dans d'autres pays) et OpenAI (traitement aux États-Unis). Le prestataire qui se charge d'une tâche est choisi pour chaque tâche selon la qualité mesurée et le prix ; si l'un ne répond pas, ou pas dans le format demandé, le suivant prend le relais. Actuellement, les tâches plus simples — par exemple des suggestions de texte et de SEO, des descriptions d'images, l'analyse des réponses aux formulaires ou des produits à partir de photos — sont d'abord confiées à Google, avec Anthropic en solution de repli ; les tâches exigeantes — par exemple générer un site web, un formulaire ou une boutique — passent par Anthropic. Mistral AI et OpenAI prendront en charge des tâches dès que nos mesures montreront qu'elles y sont le mieux traitées. Les images sont générées exclusivement par Google, également via la multirégion de l'UE.

Est transmis ce que vous donnez à l'IA — votre texte, vos informations, et pour les tâches portant sur des images l'image (pour les descriptions d'images, une copie réduite). Cela ne se produit que lorsque vous déclenchez une fonction d'IA ; aucun contenu n'atteint les prestataires d'IA en arrière-plan ou lors du téléversement. Vos données sont cloisonnées par client : l'IA d'un compte ne voit que les données de ce compte. Selon leurs conditions contractuelles, aucun des quatre prestataires n'utilise ces entrées pour entraîner ses modèles ; Mistral AI et OpenAI conservent les entrées et les sorties jusqu'à 30 jours afin de détecter les abus. La base juridique est l'art. 6, par. 1, point b du RGPD.

8. Vérification des images lors du téléversement

Nous vérifions automatiquement, dès leur réception, les images téléversées chez nous ou intégrées depuis les bibliothèques d'images — dans la médiathèque (où cela vaut aussi pour les fichiers PDF), dans les formulaires (y compris les images et signatures téléversées par les personnes qui les remplissent), sur les sites web et comme logo sur les factures et les devis. La recherche porte sur des représentations qui n'ont pas leur place sur un site web (par exemple des contenus sexuellement explicites, de la violence ou des symboles haineux). Pour cela, une copie réduite est transmise à Amazon Web Services (Amazon Rekognition, région eu-central-1, Francfort) : 1 024 pixels au maximum sur le bord le plus long, réencodée en JPEG ; pour les fichiers PDF, des copies rastérisées des premières pages. À partir de la même copie d'une image de la médiathèque sont générés des mots-clés pour la recherche dans celle-ci. Nous n'envoyons pas l'original pour cela.

La base juridique est, pour la vérification, l'art. 6, par. 1, point f du RGPD — notre intérêt légitime à ne pas diffuser de contenus illicites sous notre domaine —, et pour les mots-clés l'art. 6, par. 1, point b du RGPD. Selon ses conditions, AWS peut conserver ces entrées et les utiliser pour améliorer ses services, y compris dans une autre région, tant qu'il n'y est pas fait opposition ; la question de savoir si cette opposition a été mise en place pour notre compte est à compléter.

9. Images, polices et cartes

Nous téléchargeons les images que vous choisissez dans les bibliothèques de Pexels et de Pixabay et les servons depuis notre propre espace de stockage — les visiteurs de vos pages ne se connectent jamais à ces prestataires. Ce n'est que pendant que vous effectuez une recherche dans le sélecteur d'images que votre navigateur charge les petites vignettes d'aperçu directement depuis Pexels ou Pixabay ; ceux-ci voient alors votre adresse IP.

Nous hébergeons nous-mêmes les polices standard de l’interface KENJTEC. Les aperçus de polices et les contenus des clients peuvent aussi charger des polices via Bunny Fonts (BunnyWay d.o.o., Slovénie — UE) ; votre navigateur se connecte alors à fonts.bunny.net, qui, selon le fournisseur, n’enregistre aucune donnée de visiteur et ne dépose aucun cookie. Google Fonts n’est intégré ni à nos pages ni à nos modèles.

Sur nos pages, des cartes expliquent les réseaux de diffusion et les régions de serveurs. Au départ s'y affiche notre propre dessin, qui ne charge rien de l'extérieur. Ce n'est que lorsque vous cliquez sur « Charger la carte de Google » qu'une carte Google Maps se charge ; votre navigateur se connecte alors à des serveurs de Google, et Google reçoit votre adresse IP (art. 6, par. 1, point a du RGPD — votre consentement par le clic ; il ne vaut que pour cette consultation de la page et n'est pas enregistré). Google en est responsable de traitement indépendant et peut, selon ses conditions, utiliser aussi ces données pour améliorer ses propres services.

10. Domaines

Si vous enregistrez un domaine par notre intermédiaire, nous transmettons les données du titulaire que vous indiquez à cet effet à notre bureau d'enregistrement Tucows (OpenSRS) au Canada ; celui-ci les transmet, dans la mesure où l'extension concernée l'exige, au registre de cette extension (art. 6, par. 1, point b du RGPD — sans ces indications, aucun domaine ne peut être enregistré).

11. Formulaires créés par des clients avec KENJTEC

Si vous remplissez un formulaire créé par un client KENJTEC, ce client est le responsable du traitement de vos réponses ; nous les traitons pour son compte. Si vous téléversez à cette occasion une image ou une signature, celle-ci passe par la vérification automatique des images décrite à la section 8. Pour les champs e-mail, nous vérifions l'existence du domaine par une requête DNS auprès de Cloudflare — seule la partie après le @ est transmise, jamais l'adresse elle-même.

12. Procédure de signalement et e-mails qui nous sont adressés

Si vous signalez des contenus via notre procédure de signalement, nous conservons vos informations pour le traitement et comme preuve au titre de l'art. 17 DSA (art. 6, par. 1, point c du RGPD — obligation légale). Nous n'enregistrons pas votre adresse IP à cette occasion.

Si vous nous écrivez un e-mail, par exemple à legal@kenjtec.com ou à abuse@kenjtec.com, Cloudflare le reçoit et le transfère vers notre boîte e-mail chez Google (Gmail) ; nous en conservons une copie dans notre propre système afin de le traiter (art. 6, par. 1, point b du RGPD, pour les demandes en dehors d'un contrat art. 6, par. 1, point f du RGPD).

13. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition (art. 15–21 du RGPD). Il suffit d'écrire à l'adresse ci-dessus. Vous pouvez également introduire une réclamation auprès d'une autorité de contrôle de la protection des données — compétente pour nous : le Délégué hambourgeois à la protection des données et à la liberté d'information. Vous supprimez vous-même votre compte dans le Dashboard, sous « Compte » ; la suppression intervient au plus tôt 30 jours après votre demande et la fin de la période contractuelle — d'ici là, vous pouvez retirer votre demande.

14. Prestataires et transferts vers des pays tiers

Ces prestataires traitent des données à caractère personnel pour nous ou les reçoivent de nous. Là où une indication n'est pas encore étayée, il est écrit « à compléter » — nous n'écrivons rien que nous ne puissions prouver.

• Google Cloud — Google Cloud EMEA Limited, Dublin (Irlande). Exploitation, base de données, fichiers et sauvegardes (région europe-west1 en Belgique, sauvegardes dans des régions de l'UE), IA via Vertex AI dans la multirégion de l'UE. Sous-traitant. Dans la mesure où des données sont transmises à Google LLC aux États-Unis : EU-US Data Privacy Framework, à titre subsidiaire clauses contractuelles types.
• Cloudflare — Cloudflare, Inc. (États-Unis). DNS, diffusion et protection via un réseau mondial, réception des e-mails adressés à nos adresses, stockage des fichiers médias dans l'UE (R2). Sous-traitant. Fondement : EU-US Data Privacy Framework, à titre subsidiaire clauses contractuelles types.
• Anthropic — Anthropic Ireland, Limited, Dublin (Irlande) ; société mère Anthropic, PBC (États-Unis). Fonctions d'IA. Stockage aux États-Unis, calcul des réponses possible aussi dans d'autres pays. Sous-traitant. Fondement : clauses contractuelles types contenues dans l'accord de sous-traitance d'Anthropic.
• Mistral AI — Mistral AI SAS, Paris (France). Fonctions d'IA via l'accès européen (traitement dans l'UE). Sous-traitant.
• OpenAI — OpenAI Ireland Limited, Dublin (Irlande). Fonctions d'IA. Traitement aux États-Unis. Sous-traitant. Fondement : clauses contractuelles types contenues dans l'accord de sous-traitance d'OpenAI.
• Amazon Web Services — Amazon Web Services EMEA SARL (Luxembourg). Vérification des images et mots-clés, région eu-central-1 (Francfort) ; pour la conservation à ses propres fins, voir la section 8. Sous-traitant. Dans la mesure où des données sont transmises aux États-Unis : EU-US Data Privacy Framework, à titre subsidiaire clauses contractuelles types.
• Mailjet — Mailjet SAS (Sinch), Paris (France). Envoi des e-mails système. Traitement dans l'UE. Sous-traitant.
• Stripe — Stripe Payments Europe, Limited (Irlande). Paiements ; responsable de traitement indépendant. Dans la mesure où des données sont transmises à Stripe, LLC aux États-Unis : EU-US Data Privacy Framework.
• Tucows (OpenSRS) — Toronto (Canada). Enregistrement de domaines. Fondement : décision d'adéquation de la Commission européenne pour le Canada (2002/2/CE).
• Bunny Fonts — BunnyWay d.o.o., Ljubljana (Slovénie). Aperçus de polices et polices dans les contenus des clients. Traitement dans l’UE.
• Geoapify — KEPTAGO LTD, Paphos (Chypre). Suggestions d’adresses dans BrandStudio, uniquement si vous utilisez la recherche : sont transmis le texte recherché, la langue et, le cas échéant, le pays choisi — via notre serveur, donc sans votre adresse IP et sans données de votre compte. Traitement dans l’UE. Sous-traitant.
• Google — connexion avec Google, la carte (Google Maps) et notre boîte e-mail pour les e-mails qui nous sont adressés (Gmail). Google en est responsable de traitement indépendant. Dans la mesure où des données sont transmises à Google LLC aux États-Unis : EU-US Data Privacy Framework.
• Pexels et Pixabay — Canva Germany GmbH, Berlin. Vignettes d'aperçu dans le sélecteur d'images ; responsable de traitement indépendant.

Google Analytics 4

Google Analytics 4 : fournisseur Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Données : pages vues, horaires, appareil, navigateur, langue, site référent et identifiant de cookie. L’adresse IP est traitée pour la connexion. Bases : art. 6(1)(a) RGPD et § 25(1) TDDDG. Retrait dans les paramètres des cookies ; le traitement antérieur reste licite. Google peut traiter des données aux États-Unis. Transferts et garanties : conditions de Google. Détails : confidentialité Google.

Les données utilisateur et événement sont supprimées de Google Analytics après deux mois, sans prolongation en cas de nouvelle activité. Les rapports standards agrégés ne sont pas soumis à ce délai.