Politique de confidentialité

Le responsable du traitement est KLAIR AI, société par actions simplifiée (SAS) au capital de 1 000,00 €, immatriculée au registre du commerce et des sociétés de Montpellier sous le numéro 107 073 769 (numéro de TVA intracommunautaire FR96107073769), dont le siège social est situé Espace Entreprise Garosud, 48 rue Claude Balbastre, 34070 Montpellier, France. L'identification complète de la société et de ses hébergeurs figure dans nos mentions légales.

Pour toute question relative à vos données personnelles ou pour exercer vos droits : privacy@klair.dev. klair n'est pas tenue de désigner un délégué à la protection des données ; cette adresse est traitée par la personne en charge de la protection des données. Notre autorité de contrôle est la Commission nationale de l'informatique et des libertés (CNIL).

• Données de compte — nom, adresse électronique professionnelle, photo de profil éventuelle, organisation, rôle, préférences de langue et de thème, et identifiants techniques de connexion. Vous vous connectez avec un compte Google, un compte Microsoft (qui ne nous transmettent alors que votre nom, votre adresse électronique et votre photo de profil) ou un code à usage unique envoyé par courrier électronique ; nous ne stockons aucun mot de passe. Finalité : ouvrir et administrer votre accès à klair.dev, à Agora et aux applications. Base légale : exécution du contrat.
• Hermès, l'assistant d'accueil — les messages que vous échangez avec Hermès sur klair-ai.fr et klair.dev, les documents que vous y déposez, le cahier des charges préparé, un identifiant de visiteur (cookie) et votre adresse IP sous forme hachée. Hermès est un système d'intelligence artificielle, ce qu'il vous indique. Finalité : comprendre votre besoin et préparer une proposition. Base légale : mesures précontractuelles et intérêt légitime.
• Projets et échanges — devis, messages, validations de jalons et pièces jointes échangés dans le portail. Finalité : fournir la prestation. Base légale : exécution du contrat.
• Facturation — dénomination sociale, adresse de facturation, numéro de TVA ou SIREN, historique des abonnements, des sièges, des crédits et des paiements. Les numéros de carte et coordonnées bancaires complètes ne touchent jamais nos serveurs : ils sont collectés par notre prestataire de paiement. Finalité : facturer et encaisser. Base légale : exécution du contrat et obligations comptables et fiscales.
• Usage de la plateforme — consommation de crédits par application et par personne, nombre de sièges, stockage utilisé, journal d'activité de l'organisation. Finalité : appliquer les offres et limites, facturer, assurer la transparence envers les propriétaires de l'organisation. Base légale : exécution du contrat.
• Communications — courriers électroniques, demandes de support, rendez-vous, et courriers de service (fin d'essai, échec de paiement, sécurité). Base légale : exécution du contrat et intérêt légitime.
• Données techniques et journaux — adresse IP (hachée pour la limitation de débit), navigateur, horodatages, journaux de requêtes et d'erreurs. Finalité : sécuriser le service, en assurer la disponibilité, prévenir la fraude et les abus (notamment les essais multiples). Base légale : intérêt légitime.
• Mesure d'audience — statistiques de visite des sites klair-ai.fr et klair.dev par Google Analytics, uniquement si vous l'acceptez dans le bandeau cookies, et mesures de performance anonymes. Base légale : consentement pour Google Analytics ; intérêt légitime pour la mesure de performance anonyme.
• Prospection — envois peu fréquents aux contacts professionnels, avec un lien de désinscription sur chaque message. Base légale : intérêt légitime, ou votre consentement lorsque la loi l'exige.

Certaines données nous sont communiquées par votre organisation (par exemple lorsqu'un collègue vous invite). Lorsque nous nous fondons sur l'intérêt légitime, nous avons mis en balance cet intérêt et vos droits, et vous pouvez vous y opposer.

Lorsque vous utilisez Agora, une application de klair ou un logiciel que nous hébergeons, votre organisation est responsable du traitement et klair agit comme sous-traitant, selon ses instructions et l'article 14 de nos conditions générales, qui en constitue l'accord de traitement des données (article 28 du RGPD). Sont concernés :

• les contenus d'Agora : messages, salons, missions, instructions, fichiers, résultats produits par les agents, mémoire de l'organisation et représentations vectorielles (« embeddings ») calculées pour la recherche ;
• les données reçues par les connecteurs (section 05) ;
• les données des applications et des logiciels hébergés, et le code et le contenu des projets sur mesure.

Chaque organisation dispose de sa propre base de données. Les personnes dont les données figurent dans ces contenus — par exemple les correspondants d'une boîte aux lettres connectée — exercent leurs droits auprès de l'organisation cliente ; nous l'aidons à y répondre.

Accès du support. Un membre habilité de klair n'entre dans une organisation que pour l'assister ou pour la sécurité du service, pour une durée limitée et un motif écrit ; chaque entrée et chaque modification sont inscrites au journal d'activité de l'organisation. Le personnel de klair ne lit pas les données reçues des services Google ou Microsoft, sauf dans les cas prévus à la section 05.

Un connecteur n'existe que si vous l'autorisez vous-même, sur l'écran de consentement de Google ou de Microsoft, et vous pouvez le retirer à tout moment.

Les autorisations que nous demandons.

Toutes ces autorisations sont déléguées : Agora agit au nom de l'utilisateur qui a connecté son compte, jamais avec un accès à l'ensemble d'un domaine ou d'un locataire. Nous demandons les autorisations les plus restreintes qui permettent la fonction.

Utilisation. Les données reçues ne servent qu'à fournir les fonctions d'Agora et des applications que vous utilisez et que vous voyez dans l'interface. Elles ne sont jamais utilisées à des fins publicitaires, ne sont jamais vendues, et ne sont jamais utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralistes.

Stockage. Les jetons d'accès sont stockés chiffrés en France et ne sont jamais exposés aux agents. Par défaut, Agora lit les données à la demande sans les copier ; les extraits utilisés par un agent restent dans l'historique de la tâche. Lorsque vous demandez la synchronisation d'un dossier ou l'enregistrement d'un document, une copie est conservée dans la base de données de votre organisation, en France, jusqu'à sa suppression par votre organisation ou la fin de son abonnement (section 09).

Transferts. Les données ne sont transmises qu'aux sous-traitants nécessaires à la fonction demandée — notre hébergeur et nos fournisseurs de modèles d'IA (section 08), sous des conditions qui leur interdisent de les utiliser pour entraîner leurs modèles —, ou lorsque la loi l'impose.

Accès humain. Aucun membre du personnel de klair ne lit ces données, sauf (i) avec votre accord exprès pour des éléments précis, par exemple pour un support ; (ii) lorsque c'est nécessaire à la sécurité, notamment pour enquêter sur un abus ; (iii) pour respecter la loi ; ou (iv) sous une forme agrégée et anonymisée pour l'exploitation interne du service.

Retrait. Vous pouvez déconnecter un connecteur depuis Agora, ou retirer l'accès depuis myaccount.google.com/permissions ou myapps.microsoft.com. L'accès cesse aussitôt et les jetons sont supprimés. Pour faire supprimer des copies déjà importées, utilisez les fonctions de suppression d'Agora ou écrivez à privacy@klair.dev.

Engagement Google. L'utilisation et le transfert vers toute autre application, par klair, des informations reçues des API Google respectent la Politique relative aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée (« Limited Use »).

Les autres connecteurs (HubSpot, Slack, Notion, Confluence, Airtable…) suivent les mêmes règles d'autorisation, d'utilisation, de stockage et de retrait.

Agora, Hermès et les fonctions d'IA des applications envoient à des modèles d'intelligence artificielle les instructions et extraits de contenus nécessaires à la tâche demandée. Nous les utilisons selon les conditions professionnelles d'API et d'entreprise de nos fournisseurs, qui leur interdisent d'entraîner leurs modèles avec ces données et limitent leur conservation à la prévention des abus.

• Modèles des agents d'Agora — Azure OpenAI Service de Microsoft, traité dans l'Union européenne (« EU Data Zone »). À la demande d'un client, un modèle de Mistral AI (France) ou un modèle hébergé par klair peut lui être substitué.
• Fonctions spécialisées (mémoire, recherche par embeddings, lecture de documents et d'écritures manuscrites, rédaction) — selon la fonction, OpenAI, Anthropic, Google (Gemini) ou Mistral AI, par notre passerelle d'IA qui ne conserve pas le contenu des échanges.

Votre contenu n'est utilisé pour entraîner aucun modèle d'intelligence artificielle, ni par klair, ni par ses fournisseurs. Les productions de l'IA sont présentées comme telles et restent sous le contrôle d'un humain ; nous ne prenons aucune décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé.

Nous utilisons des cookies strictement nécessaires (connexion, sécurité, préférences, conversation avec Hermès) et, si vous l'acceptez, des cookies de mesure d'audience de Google Analytics. Le détail — nom, finalité et durée de chaque traceur — et le moyen de modifier votre choix figurent dans notre politique cookies.

Nous ne communiquons de données personnelles qu'aux sous-traitants suivants, chacun lié par un contrat conforme à l'article 28 du RGPD, et dans la seule mesure nécessaire à leur fonction :

Les services tiers que vous connectez (Google, Microsoft, HubSpot, Slack…) ne sont pas nos sous-traitants : ils sont fournis par leurs éditeurs à votre organisation, selon leurs propres conditions. Toute modification de cette liste est publiée sur cette page et notifiée aux propriétaires des organisations clientes au moins trente jours à l'avance.

Nous communiquons également des données, lorsque c'est strictement nécessaire, à nos conseils professionnels (avocats, experts-comptables, auditeurs) tenus au secret, aux autorités compétentes lorsque la loi nous y oblige, et à un éventuel successeur en cas d'opération sur le capital. Nous ne vendons pas de données personnelles, ne louons pas de fichiers de contacts et ne procédons à aucune publicité comportementale.

Lorsqu'un destinataire est situé hors de l'Union européenne, le transfert est encadré par une décision d'adéquation de la Commission européenne, par le cadre EU–US Data Privacy Framework lorsque le prestataire y est certifié, ou par les clauses contractuelles types de la Commission (décision 2021/914) complétées des mesures supplémentaires nécessaires ; une copie de ces garanties est disponible sur demande.

• Comptes — pendant la durée de la relation, puis douze mois après la dernière activité.
• Conversations avec Hermès — effacées quatre-vingt-dix jours après la dernière activité si elles ne donnent pas lieu à un engagement ; sinon, conservées avec celui-ci.
• Contenus d'Agora et données des connecteurs — pendant l'abonnement de l'organisation ; à la fin d'un essai sans abonnement, après une résiliation ou une pause, quatre-vingt-dix jours, puis supprimés. Les jetons d'accès d'un connecteur sont supprimés dès sa déconnexion.
• Données des applications — pendant l'existence de l'organisation, puis supprimées dans le même délai de quatre-vingt-dix jours.
• Logiciels hébergés — pendant l'hébergement ; à sa fin, trente jours (sans environnement de production) ou quatre-vingt-dix jours (avec), puis purgés, après restitution des données (article 16 des conditions générales).
• Projets, factures et pièces comptables — pendant la relation, puis dix ans (article L123-22 du Code de commerce).
• Journal d'activité d'une organisation — pendant l'existence de l'organisation.
• Journaux techniques et de sécurité — quatre-vingt-dix jours au plus.
• Mesure d'audience — quatorze mois au plus.
• Prospection — jusqu'à votre désinscription, l'enregistrement de celle-ci étant ensuite conservé pour la respecter.

Les sauvegardes chiffrées expirent au plus tard quarante-cinq jours après leur création ; une donnée supprimée disparaît donc des sauvegardes dans ce délai, et non instantanément. Vous pouvez demander une suppression anticipée à tout moment ; nous y donnons suite sauf obligation légale de conservation.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : une base de données distincte par organisation ; chiffrement en transit (TLS) et au repos ; jetons des connecteurs chiffrés et secrets conservés dans un coffre dédié ; connexion sans mot de passe ; accès du personnel au moindre privilège, motivé et journalisé ; sauvegardes chiffrées. Aucun système n'étant parfaitement sûr, nous réévaluons régulièrement ces mesures. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions la CNIL dans les soixante-douze heures et, lorsque le risque est élevé, les personnes concernées sans retard injustifié ; lorsque nous agissons comme sous-traitant, nous prévenons l'organisation cliente dans les quarante-huit heures. Les questions de sécurité et les divulgations responsables sont adressées à security@klair.dev.

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation et d'opposition, du droit à la portabilité de vos données et du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci. Vous pouvez également définir des directives relatives au sort de vos données après votre décès. Adressez votre demande à privacy@klair.dev ; nous répondons dans un délai d'un mois, prorogeable de deux mois pour les demandes complexes ou nombreuses, ce dont nous vous informerions. Pour les données que nous traitons pour le compte d'une organisation (section 04), adressez-vous de préférence à celle-ci ; nous lui transmettons toute demande reçue. Vous pouvez à tout moment introduire une réclamation auprès de la CNIL (cnil.fr), sans préjudice d'un recours juridictionnel.

Nous pouvons faire évoluer la présente politique. Toute modification substantielle vous est signalée par un moyen approprié avant sa prise d'effet ; les modifications mineures sont publiées sur cette page avec une nouvelle date d'entrée en vigueur.

Questions relatives à vos données personnelles et exercice de vos droits — privacy@klair.dev. Sécurité et divulgation responsable — security@klair.dev. Notifications juridiques — legal@klair.dev. Autorité de contrôle — Commission nationale de l'informatique et des libertés (CNIL), cnil.fr.

La version française de la présente politique fait foi. Des traductions en anglais et en espagnol sont fournies à titre de courtoisie ; en cas de divergence d'interprétation, la version française prévaut.