Politique de confidentialité.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est la société KLYVECO, SAS au capital de 1 000 €, dont le siège social est situé Rue Franchipani, 83500 La Seyne-sur-Mer, immatriculée au RCS de Toulon sous le numéro 107 635 310.

Pour toute question relative au traitement de vos données ou pour exercer vos droits, vous pouvez nous contacter à l'adresse contact@klyveco.com.

2. Périmètre de la politique

Cette politique s'applique à l'ensemble des traitements de données personnelles effectués par KLYVECO :

• Site vitrine — klyveco.com (formulaire de contact, préférences d'affichage).
• Application SaaS — app.klyveco.com (compte utilisateur, gestion de campagnes, CRM, fidélité).
• Campagnes publiques de jeu — accessibles aux clients finaux de nos marchands via QR code.
• Intégration Google Business Profile — connexion OAuth aux données Google des marchands qui l'autorisent.
• Assistance IA — génération de brouillons de réponses aux avis.

3. Données collectées et finalités

Nous collectons uniquement les données strictement nécessaires aux finalités décrites ci-dessous.

3.1 Formulaire de contact (klyveco.com)

• Données : nom, nom du commerce, adresse e-mail, numéro de téléphone (optionnel), contenu du message.
• Finalité : répondre à votre demande de contact ou de démonstration.
• Base légale : exécution de mesures précontractuelles prises à votre demande (art. 6.1.b RGPD).
• Durée de conservation : 3 ans à compter du dernier échange, sauf demande de suppression anticipée.

3.2 Compte KlyveCo (app.klyveco.com)

• Données : adresse e-mail, nom, mot de passe (haché), rôle organisationnel, identifiant d'organisation, préférences d'usage.
• Finalité : gestion du compte marchand, authentification, personnalisation des campagnes.
• Base légale : exécution du contrat d'abonnement (art. 6.1.b RGPD).
• Durée de conservation : pendant toute la durée du contrat, puis 3 ans à des fins probatoires. Suppression sur demande.

3.3 Campagnes publiques de jeu (clients finaux du marchand)

• Données : adresse e-mail, numéro de téléphone, préférences de contact, résultats de participation, lots attribués — collectées uniquement lorsque le client final choisit de les fournir pour recevoir son lot ou entrer dans le programme de fidélité du marchand.
• Finalité : attribution du lot, gestion de la carte de fidélité, envoi de relances par le marchand (dans les conditions consenties).
• Base légale : consentement du client final (art. 6.1.a RGPD).
• Durée de conservation : pendant toute la durée du contrat entre le marchand et KLYVECO, sauf demande de suppression du client final.
• Responsabilité : le marchand est responsable de traitement pour ses propres campagnes ; KLYVECO agit en tant que sous-traitant au sens du RGPD (art. 28).

3.4 Intégration Google Business Profile

Lorsque vous connectez votre profil Google Business Profile à KlyveCo, l'authentification OAuth 2.0 nous permet d'accéder à un ensemble limité de données strictement nécessaires au service.

• Scope OAuth demandé : https://www.googleapis.com/auth/business.manage uniquement. KlyveCo n'accède pas à Gmail, Google Drive, Contacts, Agenda ou fichiers.
• Données lues via l'API Google : comptes Google Business Profile dont vous êtes propriétaire ou gestionnaire, établissements associés (nom, adresse, catégories, horaires, identifiants), avis publiés sur vos fiches (auteur, note, texte, date), réponses existantes.
• Données stockées par KlyveCo : jetons OAuth chiffrés (AES-256-GCM), identifiants d'établissements sélectionnés, cache temporaire des avis pour l'affichage (≤ 30 jours conformément aux politiques Google API).
• Finalités :
  1. afficher vos établissements et vos avis dans l'interface KlyveCo,
  2. vous proposer, à votre demande explicite, un brouillon de réponse assisté par IA,
  3. publier une réponse à un avis uniquement après validation manuelle explicite de votre part,
  4. produire des statistiques d'usage strictement autorisées par Google.
• Base légale : exécution du contrat d'abonnement (art. 6.1.b RGPD) et intérêt légitime pour la sécurité du service.
• Ce que KLYVECO NE FAIT PAS : aucune vente de données Google, aucune publicité comportementale, aucun entraînement de modèles d'IA généraux à partir de vos données Google, aucun partage à des tiers non listés dans la présente politique, aucune modification ni agrégation interdite du contenu Google.
• Déconnexion et révocation : vous pouvez déconnecter votre profil Google depuis les paramètres de KlyveCo à tout moment. La déconnexion révoque les jetons auprès de Google (endpoint oauth2.googleapis.com/revoke), supprime les jetons stockés et purge le cache d'avis associé, sous 24 heures.

3.5 Assistance IA aux réponses d'avis

• Données transmises : texte de l'avis, note, langue, contexte de l'établissement (nom, catégorie) — uniquement lorsque vous demandez explicitement une suggestion de réponse.
• Sous-traitant IA : le fournisseur de modèle utilisé opère à la demande, sans stockage prolongé de vos données et sans usage pour l'entraînement de modèles généraux. Un accord de traitement des données (DPA) est en place.
• Finalité : vous proposer un brouillon de réponse que vous relisez, éditez et publiez uniquement après validation manuelle.
• Base légale : exécution du contrat d'abonnement (art. 6.1.b RGPD).

3.6 Cookies techniques et stockage local

• Site vitrine : aucun cookie de mesure d'audience ou publicitaire à ce jour. Seule votre préférence de thème (clair/sombre) est stockée localement dans votre navigateur (localStorage).
• Application : cookies de session (authentification), stockage local des préférences d'interface. Tous strictement nécessaires au fonctionnement du service.

4. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont accessibles aux personnes habilitées de KLYVECO et aux sous-traitants techniques listés ci-dessous, dans la limite de leurs finalités respectives.

Sous-traitant	Rôle	Localisation	Garanties
Vercel Inc.	Hébergement site et application	États-Unis	DPF (Data Privacy Framework)
Formsubmit	Transmission des messages du formulaire de contact	États-Unis	DPF, chiffrement TLS
Google Ireland Ltd.	API Google Business Profile	UE (Irlande)	Contrat API Google, RGPD applicable
Fournisseur IA	Génération de brouillons de réponses aux avis	UE ou USA (DPF)	DPA, absence d'entraînement, traitement à la demande

5. Transferts hors Union européenne

Certains de nos sous-traitants (notamment Vercel et Formsubmit) sont établis en dehors de l'Union européenne. Ces transferts sont encadrés par des garanties appropriées : Data Privacy Framework (DPF) pour les États-Unis, ou clauses contractuelles types de la Commission européenne le cas échéant.

6. Durées de conservation

• Messages du formulaire de contact : 3 ans après le dernier échange.
• Compte marchand : pendant toute la durée du contrat, puis 3 ans à titre probatoire.
• Données de campagne (clients finaux) : tant que le marchand les utilise, sauf demande de suppression.
• Jetons OAuth Google : jusqu'à déconnexion ou révocation par vous ou par Google.
• Cache d'avis Google : 30 jours maximum, purgé à la déconnexion.
• Journaux techniques de sécurité : 12 mois maximum, données minimisées.

7. Vos droits

Conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez à tout moment des droits suivants sur vos données :

• Droit d'accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification — demander la correction de données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») — demander la suppression de vos données.
• Droit à la limitation — demander la suspension temporaire du traitement.
• Droit d'opposition — vous opposer au traitement de vos données pour des motifs légitimes.
• Droit à la portabilité — récupérer vos données dans un format structuré et couramment utilisé.
• Droit de définir des directives relatives au sort de vos données après votre décès.
• Droit de révocation du consentement — pour tout traitement fondé sur le consentement, dont la déconnexion du profil Google (voir §3.4).

Pour exercer ces droits, écrivez-nous à contact@klyveco.com en précisant votre demande. Une réponse vous sera adressée dans un délai maximal d'un mois.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

8. Sécurité des données

KLYVECO met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

• Chiffrement HTTPS/TLS des échanges.
• Chiffrement au repos des jetons OAuth Google (AES-256-GCM).
• Mots de passe hachés (bcrypt/argon2).
• Cloisonnement multi-tenant strict entre organisations.
• Accès aux données restreint aux personnes habilitées, journalisation des opérations sensibles.
• Sauvegardes régulières chiffrées.

9. Engagement Limited Use — API Google

Clause à valider juridiquement. L'utilisation et le transfert par KlyveCo des informations reçues des API Google respecteront la Google API Services User Data Policy, y compris les exigences Limited Use. Concrètement :

• Nous n'utilisons vos données Google que pour fournir les fonctions décrites au §3.4.
• Nous ne transférons pas vos données Google, sauf lorsque cela est nécessaire pour fournir ou améliorer ces fonctions, se conformer à la loi ou dans le cadre d'une fusion/acquisition avec les protections adéquates.
• Nous n'utilisons pas vos données Google pour de la publicité, y compris ciblée ou personnalisée.
• Nous ne permettons à aucun humain de lire vos données Google, sauf : (a) avec votre consentement explicite pour des raisons de support, (b) lorsque cela est nécessaire pour des raisons de sécurité, ou (c) lorsque cela est requis pour se conformer à la loi.

10. KlyveCo en tant que prestataire tiers de Google Business Profile

Google Business Profile est un service gratuit fourni par Google. Les frais d'abonnement KlyveCo rémunèrent exclusivement le logiciel et les services KlyveCo. KlyveCo n'est ni Google, ni un service approuvé, endossé ou garanti par Google. Vous restez propriétaire de votre profil Google Business Profile et pouvez déconnecter KlyveCo à tout moment depuis vos paramètres.

Pour en savoir plus sur les bonnes pratiques lorsque vous travaillez avec un prestataire tiers, consultez la ressource officielle Google : Travailler avec un tiers de confiance pour Business Profile.

Procédure de désassociation : vous pouvez à tout moment demander la désassociation complète de KlyveCo de votre profil Google Business Profile. Nous traitons cette demande sous 7 jours ouvrés maximum, avec confirmation écrite et purge des données associées.

11. Modification de la politique

Cette politique peut être modifiée à tout moment afin de refléter les évolutions légales, réglementaires, techniques ou du service. La date de dernière mise à jour est indiquée en bas de page. Les modifications substantielles feront l'objet d'une notification aux utilisateurs abonnés à l'application.

12. Contact

Pour toute question relative à la présente politique ou à l'exercice de vos droits, écrivez-nous à contact@klyveco.com ou via la page Contact.

Dernière mise à jour : 7 août 2026.