Mentions légales
Politique de confidentialité
En bref
- Nous collectons le strict minimum et le conservons dans l'Union européenne.
- Ce site n'utilise ni cookies, ni statistiques, ni pixels de suivi. Les polices sont servies depuis notre propre serveur.
- Nous ne vendons jamais vos données et ne les utilisons jamais pour entraîner des modèles d'IA.
- Vous pouvez consulter, exporter ou supprimer vos données à tout moment : privacy@kosmly.app.
1. Qui sommes-nous
Le responsable du traitement est Kosmly Ltd, société immatriculée en Angleterre et au pays de Galles (n° [number]), siège social [address], TVA [GB number] (« Kosmly », « nous »). Contact : privacy@kosmly.app. Délégué à la protection des données : [name and contact, if appointed].
Nous sommes enregistrés auprès de l'Information Commissioner's Office (ICO) du Royaume-Uni sous le numéro [ZA000000]. Comme nous servons des personnes dans l'Union européenne, notre représentant dans l'UE au titre de l'article 27 du RGPD est [name, address in an EU country, email].
Nous traitons les données personnelles conformément au UK GDPR et au Data Protection Act 2018 et, pour les personnes dans l'UE et l'EEE, au RGPD (règlement 2016/679). Dans cette politique, « RGPD » désigne les deux.
2. Ce que couvre cette politique
Cette politique concerne kosmly.app, la liste d'attente Kosmly et les comptes des marchands qui utilisent Kosmly. Lorsque nos agents traitent des données des clients de votre boutique, c'est vous le responsable du traitement et nous agissons comme votre sous-traitant. Ce traitement est régi par notre Accord de traitement des données, pas par cette politique.
Visites venant des assistants IA. Quand un visiteur arrive dans une boutique depuis un assistant IA (par exemple ChatGPT, Perplexity, Gemini, Copilot ou Claude), l’extension ou l’app Kosmly compte la visite : seulement le jour, l’assistant et la page d’arrivée. Aucun cookie n’est déposé et ni adresse IP ni identifiant du visiteur ne sont conservés : ce comptage ne contient donc aucune donnée personnelle. Les compteurs sont supprimés avec le compte de la boutique.
IndexNow. Quand une page change, l’extension WordPress et le module PrestaShop le signalent aux moteurs de recherche via IndexNow (api.indexnow.org), en envoyant seulement l’adresse publique de la page. Aucune donnée personnelle n’est envoyée.
Google Merchant Center (facultatif). Si un marchand connecte son compte Google Merchant Center, Orion lit seulement ses rapports de prix : prix de marché des produits, sans aucune donnée personnelle. La connexion est facultative et peut être retirée à tout moment.
Délivrabilité des emails. Quand un email que nous envoyons est rejeté définitivement ou signalé comme spam, notre prestataire email (Brevo) nous en informe et nous cessons d’écrire à cette adresse. Nous conservons seulement une empreinte (SHA-256) de l’adresse et le motif, pas l’adresse elle-même. Ce sont des données personnelles pseudonymisées, conservées au titre de notre intérêt légitime à ne pas envoyer de courrier indésirable et à respecter les oppositions ; nous les gardons même après la suppression d’un compte, faute de quoi nous pourrions écrire de nouveau à cette adresse.
3. Ce que nous collectons, pourquoi et pour combien de temps
| Finalité | Données | Base légale (RGPD) | Conservation |
|---|---|---|---|
| Liste d'attente et nouvelles du lancement | E-mail, date et preuve du double opt-in | Consentement, art. 6(1)(a) | Jusqu'à la désinscription, ou 12 mois après le lancement public |
| Votre compte Kosmly | Nom, e-mail, URL de la boutique, plateforme, offre, paramètres | Contrat, art. 6(1)(b) | Pendant toute la durée du compte, puis 30 jours |
| Facturation et factures | Informations sur l'entreprise, numéro de TVA, factures | Obligation légale, art. 6(1)(c) | 6 ans, comme l'exige le droit fiscal britannique (HMRC) |
| E-mails du compte (bienvenue, propositions en attente, alertes d'offre et de consommation, problèmes techniques) | Nom, e-mail, langue, URL de la boutique | Contrat, art. 6(1)(b) | Pendant toute la durée du compte |
| Conseils de démarrage (1, 3 et 7 jours après l'inscription) | Nom, e-mail, langue | Intérêt légitime, art. 6(1)(f) ; désinscription en un clic dans chaque e-mail | Jusqu'à la désinscription ou la fermeture du compte |
| Brand Scan de votre site | Pages publiques du site (les coordonnées sont masquées avant l'analyse) | Contrat, art. 6(1)(b) | Pendant toute la durée du compte |
| Demandes d'assistance | Messages et pièces jointes que vous nous envoyez | Contrat ou intérêt légitime, art. 6(1)(b)/(f) | 24 mois après la clôture de la demande |
| Sécurité du site et du service | Adresse IP, navigateur, heure de la requête | Intérêt légitime, art. 6(1)(f) | 30 jours |
| Registres du service (sessions de connexion, e-mails envoyés, usage de l'IA, historique des actions) | Jetons de session et de lien, adresse e-mail et objet, modèle, tokens et coût de chaque appel IA (aucun texte), qui a fait quoi et quand | Contrat et intérêt légitime, art. 6(1)(b)/(f) | Sessions et liens expirés 1 jour ; e-mails 90 jours ; usage de l'IA 90 jours en détail, puis totaux mensuels pendant 13 mois ; historique des actions et journal d'audit 24 mois |
4. Cookies
kosmly.app ne dépose aucun cookie et ne charge rien depuis des serveurs tiers, nous n'avons donc pas besoin de bannière cookies. Si nous ajoutons un jour des statistiques, nous utiliserons un outil sans cookies hébergé dans l'UE ou nous demanderons d'abord votre consentement, et nous mettrons cette page à jour.
5. Avec qui nous partageons les données
Uniquement avec les prestataires qui nous aident à faire fonctionner Kosmly, avec un accord écrit de traitement des données et uniquement pour les finalités ci-dessus :
- Brevo (Sendinblue SAS, France) : liste d'attente et e-mails du compte.
- Scaleway SAS (Paris, France) : hébergement de l'application, base de données et sauvegardes.
- Amazon Web Services EMEA SARL (Francfort, Allemagne), Google Cloud EMEA Limited (Vertex AI, régions de l'UE), Microsoft Ireland Operations Limited (Azure OpenAI, Paris), Mistral AI SAS (France) et Scaleway SAS (Paris) : les modèles d'IA qui font travailler les agents, dans l'UE, sans entraînement sur vos données. Requesty Ltd achemine les appels vers eux depuis son point d'accès de Francfort.
- DataForSEO OU (Estonie) : données de recherche, ne reçoit que des mots-clés et des domaines. Cloudflare, Inc. : DNS et hébergement de ce site.
- Paddle.com Market Ltd (Royaume-Uni) : notre revendeur pour les paiements en ligne. Paddle vous vend l'abonnement en tant que merchant of record, gère les données de paiement et la TVA et agit comme responsable de traitement indépendant selon sa propre politique. Nous ne voyons jamais les données complètes de votre carte.
- Les places de marché d'applications (Shopify, WordPress.org, PrestaShop Addons) lorsque vous installez ou achetez par leur intermédiaire.
La liste complète et à jour figure dans notre liste des sous-traitants ultérieurs. Nous ne vendons jamais de données personnelles.
6. Où sont conservées vos données
Nous conservons et traitons les données dans l'Union européenne. Notre société est établie au Royaume-Uni, que l'UE reconnaît comme offrant un niveau de protection adéquat, et le Royaume-Uni reconnaît l'UE de la même manière, de sorte que les données peuvent circuler licitement entre les deux. Si un prestataire devait accéder aux données depuis un autre pays, nous ne l'autorisons que sur la base d'une décision d'adéquation (comme l'EU-US Data Privacy Framework et son extension britannique), des clauses contractuelles types de la Commission européenne ou de l'International Data Transfer Agreement ou Addendum britannique, avec une évaluation du risque du transfert.
7. Intelligence artificielle
Nous n'utilisons ni vos données personnelles ni celles de vos clients pour entraîner des modèles d'IA, et nos fournisseurs d'IA n'en ont contractuellement pas le droit. Kosmly ne prend aucune décision concernant des personnes produisant des effets juridiques ou des effets similaires significatifs (art. 22 RGPD). Pour en savoir plus, lisez notre déclaration de transparence IA.
8. Vos droits
Vous pouvez nous demander d'accéder à vos données, de les rectifier, de les effacer, d'en limiter le traitement ou de les exporter, vous opposer au traitement fondé sur l'intérêt légitime et retirer votre consentement à tout moment (chaque e-mail contient un lien de désinscription en un clic). Écrivez à privacy@kosmly.app. Nous répondons dans un délai d'un mois. Vous pouvez aussi déposer une plainte auprès de l'Information Commissioner's Office du Royaume-Uni (ico.org.uk) ou, si vous êtes dans l'UE, auprès de l'autorité de protection des données de votre pays (en France, la CNIL).
9. Sécurité
Chiffrement en transit et au repos, accès réservé aux personnes qui en ont besoin avec authentification à deux facteurs, journaux d'accès, sauvegardes chiffrées dans deux lieux de l'UE (France et Pays-Bas) avec un test de restauration chaque mois, et une procédure testée en cas de violation de données. Les sauvegardes sont conservées 35 jours au plus : les données que vous supprimez disparaissent de toutes les sauvegardes sous 35 jours. Les détails figurent à l'annexe II du DPA.
10. Modifications
Si nous modifions cette politique de manière importante, nous vous prévenons par e-mail avant que la modification ne s'applique. La date en haut indique toujours la version la plus récente.