Politique de confidentialité

1. Qui est responsable, et de quoi

Kyras est édité par HINT SAS, société immatriculée au RCS de Meaux sous le numéro 981 879 117, dont le siège est situé 5 rue Raymond Marchand, 77100 Nanteuil-lès-Meaux, France. Contact : bastien.geneix@hint.work.

Hint est responsable de traitement pour les données de compte, d'usage et de facturation décrites ci-dessous. C'est l'objet de la présente politique.

Hint est sous-traitant, au sens de l'article 28 du RGPD, pour les données personnelles éventuellement contenues dans les données que le client connecte : le client en décide seul, Hint ne les traite que sur ses instructions. Ce rôle est régi par le DPA-Client.

2. Ce que fait Kyras

Kyras permet à chaque client de consulter ses propres données marketing et analytics (trafic, ventes, campagnes publicitaires), de recevoir des rapports et des alertes, et de poser des questions à un assistant. Les données affichées proviennent exclusivement des sources que le client, ou son expert Hint, connecte à son espace. Chaque espace est cloisonné en base : un client n'accède jamais aux données d'un autre.

3. Données traitées, finalités, bases légales et durées

Données de compte (adresse e-mail, nom, mot de passe haché, photo de profil facultative, préférences). Finalité : ouvrir et sécuriser l'accès au service. Base légale : exécution du contrat (article 6.1.b du RGPD). Durée : la durée de la relation, puis 90 jours après la clôture de l'espace.

Données issues des sources connectées (Google Analytics 4, Google Search Console, Google Sheets, BigQuery, Google Ads, Meta Ads, TikTok Ads, Shopify, Piano Analytics, Matomo, PostHog). Kyras y accède en lecture seule, pour des données agrégées de mesure : sessions, conversions, revenus, dépenses et performances de campagnes, requêtes de recherche. Aucune écriture n'est effectuée dans vos comptes. Finalité : rendre le service souscrit. Base légale : exécution du contrat. Durée : la durée de la relation, puis 90 jours après la clôture.

Données d'usage (questions posées à l'assistant, écrans consultés, volumes d'utilisation). Finalités : facturation, application des quotas, sécurité et prévention des abus. Bases légales : exécution du contrat pour la facturation et les quotas, intérêt légitime de Hint à protéger son service pour la sécurité (article 6.1.f). Durée : la durée de la relation, puis 90 jours après la clôture.

Données de facturation (identité de facturation, montants, historique des paiements). Finalité : facturer et tenir la comptabilité. Bases légales : exécution du contrat, puis obligation légale (article 6.1.c). Durée : 10 ans, conformément à l'article L. 123-22 du code de commerce.

Preuves d'acceptation (acceptation des CGU, des CGV et de la présente politique : date, version acceptée). Finalité : démontrer ce qui a été accepté. Base légale : intérêt légitime de Hint à se ménager une preuve. Durée : la durée de la relation, puis 5 ans.

Opt-ins commerciaux (accord pour recevoir des e-mails ou des appels de Hint). Base légale : consentement (article 6.1.a), retirable à tout moment depuis votre compte, sans effet sur les traitements antérieurs. Durée : jusqu'au retrait, puis 3 ans à compter du dernier contact.

Journaux techniques et de sécurité. Finalité : exploiter le service, diagnostiquer les incidents, détecter les abus. Base légale : intérêt légitime. Durée : 12 mois au plus.

4. Données Google — accès, usage, stockage, partage

Si vous connectez un service Google, Kyras demande des autorisations en lecture seule(Google Analytics, Search Console, Google Sheets, BigQuery, Google Ads). Ces données servent uniquement à : afficher vos métriques dans votre espace, produire vos rapports et vos alertes, et répondre à vos questions dans l'assistant. Elles ne servent jamais à de la publicité, ne sont jamais vendues, et ne sont jamais utilisées pour entraîner des modèles d'IA.

Stockage : les jetons d'accès Google sont chiffrés au repos (coffre dédié) et hébergés dans l'Union européenne (région Paris). Seuls des agrégats de métriques (jamais de données personnelles de vos visiteurs) sont conservés pour l'affichage et l'historique de vos rapports.

Partage : les données Google ne sont partagées avec aucun tiers, à l'exception de nos sous-traitants techniques (section 5) strictement nécessaires au fonctionnement du service, et jamais à des fins qui leur soient propres. Les êtres humains n'accèdent à ces données que pour l'assistance (équipe Hint), avec votre accord, ou lorsque la loi l'exige.

L'utilisation par HINT des informations reçues des API Google est conforme à la Google API Services User Data Policy, y compris ses exigences de Limited Use.

5. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles aux personnes habilitées de Hint, dans la limite de ce que leur mission exige, et aux sous-traitants suivants, chacun encadré par un accord de traitement des données :

• Supabase — base de données et authentification, hébergement dans l'Union européenne (région Paris).
• Vercel Inc. — hébergement applicatif.
• Anthropic — modèles de langage, pour les réponses de l'assistant et la rédaction des rapports.
• Resend — acheminement des e-mails transactionnels.
• Stripe — traitement des paiements, pour les seules données de facturation.

Hint peut également communiquer des données lorsqu'une obligation légale ou une réquisition d'une autorité l'impose.

6. Assistant et intelligence artificielle

Pour répondre à vos questions et produire vos rapports, des extraits agrégés de vos métriques sont transmis à un modèle de langage fourni par Anthropic (API). Cette transmission a lieu pour la seule génération du résultat demandé. Vos données ne sont pas utilisées pour entraîner des modèles. Les résultats produits peuvent comporter des erreurs : ils sont une aide à la décision, jamais une décision automatisée produisant des effets juridiques à votre égard.

7. Transferts hors Union européenne

La base de données et l'authentification sont hébergées dans l'Union européenne (région Paris). Certains sous-traitants — Vercel, Anthropic, Stripe — sont établis aux États-Unis et peuvent y traiter des données. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le sous-traitant y est certifié, par le cadre de protection des données UE–États-Unis. Une copie des garanties applicables est communiquée sur demande à bastien.geneix@hint.work.

8. Sécurité

Les données sont chiffrées en transit (TLS) et au repos. Les jetons d'accès aux sources sont conservés dans un coffre dédié. Le cloisonnement entre espaces clients est appliqué en base, et non dans l'application. Les accès internes sont nominatifs et limités au strict nécessaire.

9. Cookies

Kyras ne dépose que des traceurs strictement nécessaires à l'authentification et à la session. Aucun cookie publicitaire, aucun traceur de réseau social. La mesure d'audience, elle, n'est déposée qu'avec votre accord, recueilli par un bandeau au premier passage et révocable à tout moment. Le détail figure dans la politique de cookies.

10. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Pour les exercer, écrivez à bastien.geneix@hint.work : une réponse vous est apportée dans un délai d'un mois.

Vous pouvez déconnecter une source à tout moment depuis votre espace ; le jeton associé est alors détruit. Vous pouvez aussi retirer l'accès de Hint directement depuis votre compte Google : myaccount.google.com/permissions. Les durées de conservation et la marche à suivre pour supprimer un espace figurent dans la politique de suppression.

Si vous êtes utilisateur d'un espace ouvert par une entreprise cliente, les données issues de ses sources relèvent de cette entreprise : adressez-lui votre demande, Hint la lui transmet sans y répondre à sa place. Vous pouvez à tout moment introduire une réclamation auprès de la CNIL (cnil.fr).

11. Évolutions

Cette politique porte une version datée, indiquée en tête de page. En cas de changement substantiel, les utilisateurs actifs en sont informés par e-mail ou dans leur espace, et la nouvelle version leur est soumise.