Politique de confidentialité

Le responsable du traitement au sens de l’art. 4, point 7 du RGPD pour les données personnelles traitées dans le cadre du service « Kaepsi » (service WhatsApp, portail web app.kaepsi.com, backend api.kaepsi.com ainsi que ce site) est vayoblue GmbH, Steigerstraße 57, 66292 Riegelsberg, Allemagne, représentée par son gérant Stefan Thömmes.

Pour toute question relative à la protection des données et pour exercer tes droits, contacte-nous à datenschutz@vayoblue.com ; pour les demandes générales : hallo@kaepsi.com. Aucun délégué à la protection des données n’a été désigné, les conditions légales d’une désignation obligatoire n’étant actuellement pas réunies.

Kaepsi est un service destiné aux artisans et petites entreprises : tu crées des factures, devis, procès-verbaux d’intervention et contrats de service directement via WhatsApp, tu saisis tes temps de travail et tu gères tes clients. Nous traitons à cette occasion des données personnelles te concernant en tant qu’utilisateur, mais aussi concernant les personnes dont tu saisis ou téléverses les données dans Kaepsi (p. ex. tes clients finaux, fournisseurs ou membres d’équipe).

Cette politique t’informe conformément aux art. 13 et 14 du RGPD. Elle est structurée par traitement : pour chaque traitement, nous indiquons la finalité, la base juridique, les catégories de données, les destinataires et la durée de conservation. Ce site fonctionne sans tracking, sans cookies d’analyse et sans plugins de réseaux sociaux (voir point 22).

Finalité : création et gestion de ton compte Kaepsi. Ton numéro de téléphone WhatsApp est la clé unique de ton compte. La connexion au portail web se fait sans mot de passe, via un code à usage unique (OTP) envoyé par WhatsApp ; il n’existe pas de connexion Google ni d’autre connexion via des réseaux sociaux. En mode démo, tu peux d’abord essayer Kaepsi de façon anonyme ; les comptes démo sont automatiquement et intégralement supprimés à l’expiration du délai de démonstration, sauf si tu les convertis en compte réel.

Catégories de données : nom, numéro WhatsApp/téléphone, adresse e-mail, adresse postale, données d’entreprise (raison sociale, forme juridique, secteur, taille, numéro fiscal/numéro de TVA intracommunautaire, le cas échéant identifiant de routage, statut de franchise de TVA, taux de TVA par défaut), IBAN pour ta facturation, logo de l’entreprise ainsi que tes réponses lors de l’onboarding.

Base juridique : art. 6, § 1, b du RGPD (exécution du contrat ou mesures précontractuelles).

Destinataires : Schwarz Digits Cloud GmbH & Co. KG (STACKIT, hébergement en Allemagne, point 13) ; seven communications GmbH & Co. KG (envoi du code à usage unique par SMS, Allemagne) ; si la remise s’effectue via WhatsApp, également Meta Platforms (point 4).

Durée de conservation : les codes à usage unique sont valables 5 minutes et deviennent invalides après 5 tentatives échouées au plus tard. Nous conservons les données de compte pendant la durée de la relation contractuelle ; après la fin du contrat, tu peux exporter tes données pendant les 30 premiers jours, puis ton compte est intégralement supprimé (suppression en cascade de tous les enregistrements liés), sauf obligations légales de conservation (point 20) ou registre de garantie (point 10). Tu peux demander la suppression de ton compte à tout moment.

Finalité : WhatsApp est le canal de communication principal de Kaepsi. Via la WhatsApp Business Platform (Cloud API), nous recevons et envoyons tes messages, réponses par boutons et médias (photos, messages vocaux, PDF) et nous te transmettons des documents. Le code de connexion à usage unique est envoyé en règle générale par SMS (point 3) ; il n’est transmis via WhatsApp que si ce canal est activé à cet effet.

Catégories de données : numéro de téléphone, contenus des messages, réponses par boutons, médias transmis, données de remise et de statut.

Destinataires : Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlande) en tant qu’opérateur de la WhatsApp Business Platform ; une transmission à Meta Platforms, Inc. aux États-Unis est possible (point 19). Note : pour ton propre compte WhatsApp et l’acheminement des messages dans le réseau WhatsApp, Meta est responsable de traitement autonome ; la politique de confidentialité de WhatsApp s’applique en complément.

Base juridique : art. 6, § 1, b du RGPD. L’utilisation de Kaepsi suppose un compte WhatsApp existant.

Durée de conservation : les contenus de messages (texte brut entrant, transcriptions, références de médias et nos réponses du bot) sont automatiquement anonymisés 90 jours après réception. Les données commerciales structurées qui en résultent (p. ex. factures, temps saisis, fiches clients) ne sont pas concernées et suivent les durées indiquées aux points correspondants.

Finalité : Kaepsi comprend tes messages à l’aide de modèles de langage et extrait des données de photos, PDF et messages vocaux. Sans ces traitements, le service ne peut pas être fourni. En détail :

Extraction de justificatifs et de factures : les justificatifs et factures fournisseurs entrants (PDF, photo, texte) sont analysés en priorité par Mistral AI SAS (Paris, France ; traitement dans l’UE) : fournisseur, montant, date, catégorie. Ce n’est que lorsque le niveau de confiance de Mistral est trop faible qu’Anthropic Claude est utilisé en solution de repli.

Moteur de conversation et reconnaissance de photos : tes messages de chat ainsi que les photos servant à générer des brouillons de factures ou de devis sont traités en priorité par les modèles d’Anthropic, PBC (San Francisco, États-Unis ; service « Claude »).

Messages vocaux : les messages vocaux entrants sont transcrits en texte par OpenAI, L.L.C. (San Francisco, États-Unis ; modèle « Whisper »). Le fichier audio n’est pas conservé durablement après la transcription ; seul le texte est ensuite traité.

Système de secours d’urgence : uniquement en cas de panne technique d’Anthropic, la même requête peut être traitée en secours par Google LLC (États-Unis ; service « Gemini ») afin de maintenir la disponibilité du service. La base juridique est alors notre intérêt légitime à la disponibilité et à la sécurité d’exploitation du service (art. 6, § 1, f du RGPD) ; pour le reste, les traitements IA reposent sur l’art. 6, § 1, b du RGPD (fourniture du service).

Catégories de données : contenus de messages et transcriptions, noms et adresses (y compris de tes clients finaux), montants, données fiscales et bancaires issues de justificatifs, ainsi que photos téléversées.

Garanties contractuelles : des contrats de sous-traitance conformes à l’art. 28 du RGPD sont conclus avec les fournisseurs utilisés. Mistral, Anthropic et OpenAI ne peuvent traiter les données que pour répondre à la requête concernée et ne peuvent pas les utiliser pour l’entraînement de leurs modèles. Le système de secours via Google n’est utilisé qu’en cas de panne des services principaux ; le traitement des données chez Google est régi par les conditions de ce fournisseur. Les transferts vers des fournisseurs situés aux États-Unis reposent sur les garanties décrites au point 19.

Durée de conservation : chez nous, les résultats de l’IA suivent les durées du traitement concerné (p. ex. 90 jours pour les contenus de messages, conservation légale pour les justificatifs). Conformément à leurs conditions de sous-traitance, les fournisseurs ne conservent les entrées API que de manière limitée dans le temps, à des fins de contrôle des abus ; aucune utilisation pour l’entraînement n’a lieu (Mistral, Anthropic, OpenAI).

Finalité : stockage des fichiers que tu téléverses et de ceux générés par Kaepsi (PDF de factures, devis, procès-verbaux d’intervention et contrats de service, photos de chantier et de justificatifs, ton logo ainsi que les images de signature).

Catégories de données : contenus des documents (noms, adresses, montants, données fiscales et bancaires), fichiers image, signatures.

Destinataires : Schwarz Digits Cloud GmbH & Co. KG (STACKIT), stockage objet (compatible S3) dans la région eu01 avec serveurs en Allemagne (UE) ; pour la sauvegarde hors site, également Scaleway SAS, Paris, France (UE). Le stockage objet est chiffré au repos (at rest). Aucun transfert vers un pays tiers n’a lieu.

Base juridique : art. 6, § 1, b du RGPD ; pour les pièces comptables soumises à conservation, également art. 6, § 1, c du RGPD.

Durée de conservation : nous conservons les documents comptables (factures, justificatifs) pendant dix ans (art. L. 123-22 du code de commerce). Les autres fichiers (p. ex. photos de chantier, logo) sont conservés jusqu’à leur suppression par toi ou jusqu’à la suppression de ton compte.

Lorsque tu crées des clients, établis des factures et des devis, gères des contrats de service ou téléverses des factures fournisseurs, nous traitons des données personnelles de personnes qui ne sont pas elles-mêmes utilisatrices de Kaepsi : tes clients finaux et leurs interlocuteurs, les signataires de procès-verbaux et de contrats de service ainsi que les fournisseurs et émetteurs de factures entrantes. La source de ces données, c’est toi ou les documents que tu transmets (information au titre de l’art. 14 du RGPD).

Catégories de données : nom, adresse, e-mail, téléphone, numéro fiscal/TVA, le cas échéant identifiant de routage, données de postes et de montants, coordonnées de paiement de l’émetteur de la facture (p. ex. son IBAN figurant sur la facture).

Répartition des rôles : pour ces données, tu es le responsable du traitement ; nous les traitons pour ton compte en tant que sous-traitant sur la base de notre contrat de sous-traitance (art. 28 du RGPD, disponible sur kaepsi.com/avv). Lorsque nous devons traiter ces mêmes données pour nos propres finalités (p. ex. obligations légales de conservation ou diagnostic d’abus et d’erreurs), nous sommes alors responsables du traitement ; la base juridique est l’art. 6, § 1, c ou f du RGPD.

Destinataires et durées : selon les traitements concernés (notamment points 4, 5, 6 et 13) ; les données de facturation sont conservées dix ans (art. L. 123-22 du code de commerce).

Finalité : saisie des temps de travail via WhatsApp (pointage, segments, notes, affectation à des projets), fonctions d’équipe/espace de travail et gestion des absences (p. ex. congés, maladie), également comme base des procès-verbaux d’intervention et des factures.

Catégories de données : temps de travail et segments, notes en texte libre et message d’origine, indications de projet et de lieu d’intervention, type et période d’absence.

Données de santé : le type d’absence « malade » ainsi que les notes en texte libre peuvent contenir des données de santé au sens de l’art. 9 du RGPD. Nous n’enregistrons à ce titre que le fait et la durée de l’absence ainsi que tes propres indications. Si tu utilises Kaepsi en mode équipe pour des salariés, tu es responsable du traitement de leurs données en tant qu’employeur ; la base juridique est l’art. 9, § 2, b du RGPD combiné au droit du travail applicable (en France notamment le code du travail), et nous agissons comme ton sous-traitant (point 7). N’inscris pas de diagnostics ni de détails médicaux dans les champs libres. L’indication « malade » suffit.

Base juridique pour le reste : art. 6, § 1, b du RGPD.

Destinataires : Schwarz Digits Cloud GmbH & Co. KG (STACKIT, hébergement en Allemagne, point 13) ; les messages en texte libre passent en outre par les traitements IA décrits au point 5.

Durée de conservation : les textes libres (message brut, notes) sont automatiquement anonymisés après 90 jours ; les données structurées de temps et d’absence (date, durée, projet, type) restent disponibles pour la facturation et les justificatifs jusqu’à la suppression de ton compte ou pendant les durées légales de conservation.

Finalité : traitement de tes paiements, à savoir abonnement, rechargements de crédit (portefeuille pay-per-use), service d’installation ainsi que remboursements au titre de la garantie de bienvenue (point 10).

Catégories de données : nom, e-mail, moyen et données de paiement (IBAN ou données de carte ; collectés directement par Mollie et jamais stockés sur nos systèmes), montants et statuts de paiement, identifiants client et de paiement (p. ex. numéro client Mollie), données de remboursement.

Destinataires : Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Pays-Bas (UE). Mollie traite certaines données de paiement sous sa propre responsabilité (p. ex. obligations en matière de services de paiement et de lutte contre le blanchiment) ; la politique de confidentialité de Mollie (mollie.com/privacy) s’applique en complément.

Base juridique : art. 6, § 1, b du RGPD ; pour la conservation des pièces comptables, art. 6, § 1, c du RGPD.

Durée de conservation : les données de facturation et de paiement sont conservées dix ans (art. L. 123-22 du code de commerce).

Au lieu d’une période d’essai gratuite, nous offrons une garantie de bienvenue : si tu n’es pas satisfait, nous te remboursons sur demande la première mensualité. La garantie peut être invoquée dans les 30 jours suivant la conclusion du contrat et s’applique une seule fois par entreprise et par numéro WhatsApp ; le contrat prend fin avec son invocation (§ 5 des CGV).

Finalité et fonctionnement : pour éviter que la garantie soit utilisée plusieurs fois via des réinscriptions successives, nous enregistrons, lors de son utilisation, des empreintes cryptographiques (hachages SHA-256) de ton numéro de téléphone, de ton IBAN, de ton numéro fiscal et de ton numéro de TVA dans un registre de garantie distinct. Aucune donnée en clair n’est stockée ; il s’agit de valeurs de contrôle pseudonymisées qui, sans valeur de comparaison, ne permettent aucune identification, et qui ne sont liées à aucun compte. Lors d’une nouvelle demande de garantie, nous vérifions uniquement si une empreinte identique existe déjà.

Transparence : ces empreintes restent volontairement stockées même si tu supprimes ton compte. Sinon, l’unicité de la garantie pourrait être contournée par suppression et réinscription.

Base juridique : art. 6, § 1, f du RGPD (intérêt légitime à prévenir les abus de la garantie). Notre mise en balance : seules des valeurs de contrôle pseudonymisées, sans lien avec un compte et ne permettant aucune identification sans valeur de comparaison, sont stockées et utilisées exclusivement pour ce contrôle. Tu peux t’opposer à ce traitement au titre de l’art. 21 du RGPD (point 23) ; nous examinerons alors s’il existe des motifs légitimes impérieux justifiant la poursuite de la conservation.

Destinataires : aucun. Les empreintes restent dans notre base de données hébergée chez STACKIT (Allemagne).

Durée de conservation : les valeurs de contrôle pseudonymisées sont supprimées au plus tard cinq ans après leur enregistrement ; une procédure de suppression automatique garantit le respect de ce délai.

Finalité : tu peux transmettre des justificatifs et factures fournisseurs par e-mail à invoice@vayoblue.com ; nous envoyons en outre des e-mails transactionnels (p. ex. documents, notifications). Pour l’entrée et la sortie, nous utilisons le service d’e-mail Postmark.

Catégories de données : adresses de l’expéditeur et du destinataire, objet, contenu de l’e-mail, pièces jointes (p. ex. PDF de factures avec noms, adresses, montants).

Destinataires : ActiveCampaign, LLC (service « Postmark »), Chicago, États-Unis ; transfert sur la base des garanties décrites au point 19.

Base juridique : art. 6, § 1, b du RGPD.

Durée de conservation : les e-mails bruts sont supprimés au plus tard 90 jours après réception ; les données de justificatifs extraites sont conservées dix ans (art. L. 123-22 du code de commerce).

Finalité : vérification et complétion d’adresses (Address Validation, geocoding) et calcul de distances pour les frais de déplacement (Distance Matrix).

Catégories de données : adresses te concernant et concernant tes clients finaux, ainsi que les coordonnées géographiques qui en sont dérivées.

Destinataires : Google LLC ou Google Ireland Limited (Google Maps Platform) ; un traitement aux États-Unis est possible (point 19).

Base juridique : art. 6, § 1, b du RGPD lorsque la fonction fait partie du service (p. ex. frais de déplacement dans les devis) ; sinon art. 6, § 1, f du RGPD (intérêt à disposer d’adresses correctes et délivrables).

Durée de conservation : l’adresse vérifiée et les coordonnées sont enregistrées avec la fiche concernée et supprimées avec elle.

Toute l’infrastructure centrale, à savoir base de données, cache (état de session et de conversation), stockage objet et serveurs applicatifs de Kaepsi, est exploitée chez Schwarz Digits Cloud GmbH & Co. KG (service « STACKIT »), Am Campus 1, 74177 Bad Friedrichshall, dans la région eu01 avec des serveurs situés en Allemagne (UE). Un contrat de sous-traitance conforme à l’art. 28 du RGPD est conclu avec STACKIT.

Diffusion via le réseau de distribution de contenu : tous les noms d’hôte publics de Kaepsi — ce site, le portail web app.kaepsi.com et l’interface api.kaepsi.com — sont diffusés via BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slovénie (UE). Bunny assure le DNS, le chiffrement TLS, le pare-feu applicatif et la mise en cache des contenus statiques. À cette occasion, Bunny traite à chaque appel ton adresse IP, l’horodatage, l’adresse demandée et l’identifiant du navigateur (User-Agent). Base légale : art. 6 § 1 point f du RGPD (intérêt légitime à une diffusion sûre, rapide et résiliente). Un contrat de sous-traitance art. 28 RGPD est conclu avec Bunny ; le traitement a lieu dans l’UE.

Sauvegarde hors site : pour nous prémunir contre la perte de données, nous conservons exactement une copie de sauvegarde indépendante dans un coffre immuable (Object Lock, WORM) chez Scaleway SAS, 8 rue de la Ville l’Évêque, 75008 Paris, France (UE), région fr-par. Cette sauvegarde est chiffrée, sert exclusivement à la restauration et ne quitte pas l’UE. Base légale : art. 6 § 1 point f du RGPD ; un contrat de sous-traitance art. 28 RGPD est conclu avec Scaleway.

Journaux : pour garantir la stabilité et la sécurité (diagnostic d’erreurs, prévention des abus, limitation de débit), nous traitons des données techniques de journalisation (horodatage, adresse IP, point de terminaison appelé, codes de statut/d’erreur). Base juridique : art. 6, § 1, f du RGPD (intérêt légitime à une exploitation sûre et stable). Les journaux sont supprimés au plus tard après 90 jours, sauf s’ils sont nécessaires plus longtemps au traitement d’un incident de sécurité concret.

Alertes internes : pour les alertes d’exploitation internes (p. ex. panne d’un fournisseur d’IA) et des indicateurs agrégés, notre équipe utilise la messagerie Telegram (Telegram FZ-LLC, Dubaï, EAU). Ces alertes ne contiennent aucune donnée personnelle d’utilisateur : noms et contenus sont retirés avant l’envoi ; seuls des indicateurs et codes d’erreur sont transmis.

Développement et déploiement : pour les processus de build et de déploiement, nous utilisons GitHub, Inc. (États-Unis). Y sont traités le code source et des identifiants techniques, mais aucune donnée personnelle de clients.

Finalité : facturation, maîtrise des coûts et détection des abus. Nous journalisons l’utilisation des fonctions IA de ton compte (p. ex. nombre et volume des requêtes IA, modèle utilisé ainsi que les valeurs de consommation et de coût qui en découlent), nous tenons ton solde de crédit pour les prestations à l’usage (rechargements, consommation, solde) et, si tu participes au programme de parrainage, nous enregistrons ton code de parrainage ainsi que l’affectation des comptes parrainés. Nous tenons en outre des journaux d’audit et d’erreurs liés au compte à des fins de diagnostic et de détection des abus.

Catégories de données : identifiant de compte ou d’espace de travail, horodatages, identifiants de fonction et de modèle, valeurs de volume, de consommation et de coût, solde et écritures de crédit, code de parrainage, données d’événements et d’erreurs.

Base juridique : art. 6, § 1, b du RGPD (facturation et exécution du contrat) ainsi que l’art. 6, § 1, f du RGPD (intérêt légitime à la maîtrise des coûts, à la détection des abus et au diagnostic d’erreurs).

Destinataires : aucun. Le traitement a lieu exclusivement sur notre infrastructure hébergée chez STACKIT (point 13).

Durée de conservation : pendant la durée de la relation contractuelle ; les enregistrements pertinents pour la facturation sont ensuite conservés pendant les durées légales de conservation (point 20).

Finalité : les procès-verbaux d’intervention et les contrats de service peuvent être signés électroniquement (signature ou confirmation via un lien personnel) ; le même procédé peut servir à l’acceptation en ligne de devis lorsque cette fonction est activée. Nous journalisons le processus de signature à des fins de preuve.

Catégories de données : nom du signataire, adresse e-mail, image de signature, adresse IP, identifiant navigateur/appareil (user-agent), horodatage, empreinte du document signé (hachage PDF) et texte de consentement affiché. Les liens d’accès ne sont stockés que sous forme d’empreinte (hachage) et ont une validité limitée dans le temps.

Nous journalisons de même ton acceptation des CGV et du contrat de sous-traitance (version, texte, horodatage, canal et, en cas de conclusion via le web, adresse IP et user-agent) à titre de preuve au sens des art. 5, § 2 et 7, § 1 du RGPD.

Base juridique : art. 6, § 1, b du RGPD (exécution de la signature) et art. 6, § 1, f du RGPD (préservation des preuves et démonstration du consentement).

Durée de conservation : les preuves de signature et de consentement sont conservées pendant la durée de la relation contractuelle puis jusqu’à l’expiration des délais légaux de prescription (en règle générale trois ans, § 195 BGB ; élection du droit allemand selon les CGV) ; les documents signés à caractère comptable sont conservés dix ans (art. L. 123-22 du code de commerce).

Finalité : conduite des procédures de recrutement (offres d’emploi, réception et gestion des candidatures).

Catégories de données : nom, e-mail, poste visé, lettre de motivation, CV et notes internes relatives à la procédure.

Base juridique : art. 6, § 1, b du RGPD (mesures précontractuelles en vue d’un contrat de travail).

Destinataires : Schwarz Digits Cloud GmbH & Co. KG (STACKIT, hébergement) ; aucune transmission à des tiers.

Durée de conservation : conformément aux recommandations de la CNIL, nous supprimons les dossiers de candidature au plus tard deux ans après le dernier contact. Une conservation plus longue (vivier de talents) n’a lieu qu’avec ton consentement exprès (art. 6, § 1, a du RGPD), révocable à tout moment.

Finalité : traitement de tes demandes de support (via WhatsApp, e-mail ou le portail), y compris la consultation des dossiers concernés de ton compte lorsque c’est nécessaire.

Catégories de données : coordonnées, contenu de la demande, données du dossier concerné (p. ex. la facture en question).

Base juridique : art. 6, § 1, b du RGPD ; pour l’analyse en vue d’améliorer le service, art. 6, § 1, f du RGPD.

Destinataires : Schwarz Digits Cloud GmbH & Co. KG (STACKIT, hébergement, point 13) ; pour les demandes via WhatsApp, également Meta Platforms (point 4) et, le cas échéant, les traitements IA décrits au point 5 ; pour les demandes par e-mail, Postmark (point 11).

Durée de conservation : les dossiers de support sont supprimés ou anonymisés au plus tard douze mois après leur clôture.

Nous faisons appel aux sous-traitants suivants ; des contrats de sous-traitance conformes à l’art. 28 du RGPD sont conclus avec les prestataires utilisés :

Schwarz Digits Cloud GmbH & Co. KG (service « STACKIT »), Bad Friedrichshall, Allemagne. Hébergement de toute l’infrastructure dans la région eu01 : base de données, cache, stockage objet, serveurs applicatifs (points 6 et 13).

BunnyWay d.o.o., Ljubljana, Slovénie. Réseau de distribution de contenu, DNS, TLS et pare-feu applicatif devant tous les noms d’hôte publics (point 13).

Scaleway SAS, Paris, France. Sauvegarde hors site immuable des données principales (Object Lock, région fr-par ; point 13).

seven communications GmbH & Co. KG, Kiel, Allemagne. Envoi par SMS des codes de connexion à usage unique (point 3) ; seuls le numéro de mobile et le code sont transmis.

Mistral AI SAS, Paris, France. Extraction IA des justificatifs et factures entrantes (principal, traitement dans l’UE ; point 5).

Anthropic, PBC, San Francisco, États-Unis. Moteur de conversation IA et reconnaissance de photos (principal) ainsi que solution de repli pour l’extraction de justificatifs (point 5).

OpenAI, L.L.C., San Francisco, États-Unis. Transcription des messages vocaux (point 5).

Google LLC, Mountain View, États-Unis / Google Ireland Limited. Services d’adresses et de distances (point 12) et système de secours IA « Gemini » (point 5).

Meta Platforms Ireland Ltd., Irlande (transmission possible à Meta Platforms, Inc., États-Unis ; CCT/DPF). WhatsApp Business Platform (point 4).

Mollie B.V., Amsterdam, Pays-Bas. Traitement des paiements (point 9).

ActiveCampaign, LLC (Postmark), Chicago, États-Unis. Réception et envoi d’e-mails (point 11).

N’est pas un sous-traitant : GitHub, Inc. (États-Unis) n’est utilisé que pour le code source et les processus de build et de déploiement (CI) et ne traite aucune donnée personnelle de clients (point 13).

Telegram (point 13) n’est pas non plus un sous-traitant, aucune donnée personnelle n’étant transmise par ce canal. La liste à jour de nos sous-traitants peut être demandée à datenschutz@vayoblue.com.

Tes données principales sont traitées dans l’UE : STACKIT (Allemagne), Bunny (Slovénie), Scaleway (France, uniquement la copie de sauvegarde), seven communications (Allemagne), Mistral AI (France) et Mollie (Pays-Bas). Aucun transfert vers un pays tiers n’a lieu à ce titre.

Des transferts de données personnelles vers les États-Unis ont lieu vers Anthropic, OpenAI, Meta Platforms, Google et ActiveCampaign/Postmark. Ils reposent sur les clauses contractuelles types de la Commission européenne (art. 46, § 2, c du RGPD), assorties de mesures techniques et contractuelles complémentaires, ainsi que, lorsque le fournisseur concerné est certifié dans le cadre de l’EU-U.S. Data Privacy Framework, sur la décision d’adéquation de la Commission européenne (art. 45 du RGPD).

Aucune donnée personnelle n’est transmise à Telegram (EAU) (point 13). Une copie des garanties applicables (p. ex. clauses contractuelles types) est disponible sur demande à datenschutz@vayoblue.com.

Codes de connexion à usage unique : 5 minutes (invalides après 5 tentatives échouées au plus tard).

Messages vocaux (fichier audio) : pas de conservation durable après la transcription.

Contenus de messages, transcriptions, notes libres de la saisie des temps : anonymisation automatique après 90 jours.

Journaux techniques : 90 jours au plus tard.

E-mails bruts (réception de factures) : 90 jours au plus tard.

Comptes démo : suppression automatique à l’expiration du délai de démonstration.

Factures, justificatifs, données de facturation et de paiement : dix ans (art. L. 123-22 du code de commerce).

Preuves de signature et de consentement : durée du contrat plus délais légaux de prescription (en règle générale trois ans, § 195 BGB ; élection du droit allemand selon les CGV).

Registre de garantie (valeurs de contrôle pseudonymisées) : cinq ans au plus tard après enregistrement, avec suppression automatique à l’échéance ; non affecté par la suppression du compte (point 10).

Métriques d’utilisation et de facturation : pendant la durée du contrat ; enregistrements pertinents pour la facturation pendant les durées légales de conservation (point 14).

Dossiers de candidature : deux ans au plus tard après le dernier contact.

Données de compte : jusqu’à la fin du contrat ; export possible pendant les 30 premiers jours après la fin du contrat, puis suppression intégrale, sauf obligations mentionnées ci-dessus.

Aucune décision individuelle automatisée produisant des effets juridiques à ton égard ou t’affectant de manière significative similaire n’a lieu. Les fonctions IA de Kaepsi génèrent exclusivement des brouillons et des propositions (p. ex. un brouillon de facture à partir de ton message) ; chaque document n’est créé ou envoyé qu’après ta confirmation expresse. Aucun profilage n’est effectué.

Ce site fonctionne sans tracking, sans cookies d’analyse et sans plugins de réseaux sociaux. Les polices sont servies localement depuis notre serveur ; aucun CDN de polices externe n’est intégré. Pour afficher la version pays adaptée, ton adresse IP est associée à un code pays. Cette association est réalisée par notre réseau de distribution de contenu Bunny (point 13) au nœud de diffusion ; seul le code pays nous est transmis. Aucune conservation à cette fin n’a lieu.

Dans le portail web, nous utilisons exclusivement des cookies ou un stockage local techniquement nécessaires à la connexion et à la session (art. 82 de la loi Informatique et Libertés) ; aucun consentement n’est requis à ce titre. Si des cookies non nécessaires ou des outils d’analyse devaient être utilisés à l’avenir, nous demanderions au préalable ton consentement via une bannière (art. 82 de la loi Informatique et Libertés, art. 6, § 1, a du RGPD).

Tu disposes des droits prévus aux art. 15 à 21 du RGPD : accès à tes données (art. 15), rectification (art. 16), effacement (art. 17), limitation du traitement (art. 18) et portabilité (art. 20). Tu peux retirer à tout moment un consentement donné, avec effet pour l’avenir (art. 7, § 3 du RGPD).

Droit d’opposition (art. 21 du RGPD) : lorsque nous traitons des données sur la base d’intérêts légitimes (art. 6, § 1, f du RGPD), p. ex. le registre de garantie (point 10) ou les journaux (point 13), tu peux t’y opposer à tout moment pour des raisons tenant à ta situation particulière. Nous cessons alors le traitement, sauf si nous démontrons des motifs légitimes impérieux prévalant sur tes intérêts, droits et libertés, ou si le traitement sert à la constatation, à l’exercice ou à la défense de droits en justice.

Pour exercer tes droits, un message informel à datenschutz@vayoblue.com suffit. Tu peux en outre faire supprimer à tout moment ton compte et toutes les données associées ; seules demeurent les pièces soumises à une obligation légale de conservation et les empreintes du registre de garantie (points 10 et 20).

Tu as le droit d’introduire une réclamation auprès d’une autorité de contrôle (art. 77 du RGPD), en particulier dans l’État membre de ta résidence habituelle, de ton lieu de travail ou du lieu de la violation alléguée. En France : Commission Nationale de l’Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

L’autorité chef de file compétente pour nous est : Unabhängiges Datenschutzzentrum Saarland, Landesbeauftragte für Datenschutz und Informationsfreiheit, Fritz-Dobisch-Straße 12, 66111 Sarrebruck, Allemagne (www.datenschutz.saarland.de).

La fourniture de ton numéro de téléphone WhatsApp ainsi que des informations nécessaires à l’inscription, à la facturation et au paiement est requise pour la conclusion du contrat. Sans elles, nous ne pouvons pas fournir Kaepsi. Toutes les autres informations sont facultatives.

Nous protégeons tes données par des mesures techniques et organisationnelles conformes à l’art. 32 du RGPD, notamment : traitement des données principales exclusivement sur des serveurs en Allemagne ou dans l’UE, chiffrement en transit (TLS) de toutes les connexions, chiffrement au repos (at rest) du stockage objet (fichiers, photos, PDF), contrôles d’accès par rôles, stockage des liens d’accès et des identifiants de garantie exclusivement sous forme d’empreintes cryptographiques, anonymisation automatique des contenus de messages après 90 jours, et protection des interfaces par vérification de signature et limitation de débit.

Nous adaptons cette politique lorsque le service, les prestataires utilisés ou le cadre juridique évoluent. La version publiée sur kaepsi.com/datenschutz fait foi ; le numéro de version figure en tête de cette politique. Nous t’informons activement des modifications substantielles (p. ex. par WhatsApp ou e-mail).