Politique de confidentialité

1. Qui est responsable, et de quoi

Kyras est édité par HINT SAS, société immatriculée au RCS de Meaux sous le numéro 981 879 117, dont le siège est situé 5 rue Raymond Marchand, 77100 Nanteuil-lès-Meaux, France. Contact : bastien.geneix@hint.work.

Hint est responsable de traitement pour les données de compte, d'usage et de facturation décrites ci-dessous. C'est l'objet de la présente politique.

Hint est sous-traitant, au sens de l'article 28 du RGPD, pour les données personnelles éventuellement contenues dans les données que le client connecte : le client en décide seul, Hint ne les traite que sur ses instructions. Ce rôle est régi par le DPA-Client.

2. Ce que fait Kyras

Kyras permet à chaque client de consulter ses propres données marketing et analytics (trafic, ventes, campagnes publicitaires), de recevoir des rapports et des alertes, et de poser des questions à un assistant. Les données affichées proviennent exclusivement des sources que le client, ou son expert Hint, connecte à son espace. Chaque espace est cloisonné en base : un client n'accède jamais aux données d'un autre.

3. Données traitées, finalités, bases légales et durées

Données de compte (adresse e-mail, nom, mot de passe haché, photo de profil facultative, préférences). Finalité : ouvrir et sécuriser l'accès au service. Base légale : exécution du contrat (article 6.1.b du RGPD). Durée : la durée de la relation, puis 90 jours après la clôture de l'espace.

Réponses au questionnaire d'accueil (nom de votre entreprise et site, activité, votre rôle, taille de l'équipe, budget publicitaire et chiffre d'affaires par tranche, outils utilisés, priorités, éléments de valorisation d'une conversion tels que votre marge ou la valeur d'un client, manière de suivre vos chiffres, écrans du parcours vus, offre recommandée, offre et période choisies à la souscription, une éventuelle demande de rendez-vous et, si vous le précisez, comment vous avez connu Kyras). Finalités : personnaliser votre espace (fiche, profil, consignes lues par l'assistant et vos rapports) et améliorer le service. Base légale : exécution du contrat pour la personnalisation, intérêt légitime de Hint pour l'amélioration du service. Ces réponses peuvent aussi nous conduire à vous proposer un accompagnement commercial, dans les conditions de vos préférences de contact ci-dessous. Durée : conservées tant que votre compte existe, y compris si votre espace est supprimé.

Données issues des sources connectées (Google Analytics 4, Google Search Console, Google Sheets, BigQuery, Google Ads, Meta Ads, TikTok Ads, Shopify, Piano Analytics, Matomo, PostHog). Kyras y accède en lecture seule, pour des données agrégées de mesure : sessions, conversions, revenus, dépenses et performances de campagnes, requêtes de recherche. Pour une boutique Shopify, Kyras lit aussi, sur chaque commande, l'identifiant numérique du client afin de calculer des indicateurs agrégés (taux de réachat, valeur client) : cet identifiant est utilisé en mémoire pour le calcul, il n'est ni conservé ni transmis, et seuls les nombres calculés le sont. Kyras ne lit ni le nom, ni l'adresse e-mail, ni le téléphone, ni l'adresse des clients de la boutique. Aucune écriture n'est effectuée dans vos comptes. Finalité : rendre le service souscrit. Base légale : exécution du contrat. Durée : la durée de la relation, puis 90 jours après la clôture.

Données d'usage (questions posées à l'assistant, écrans consultés, volumes d'utilisation). Finalités : facturation, application des quotas, sécurité et prévention des abus. Bases légales : exécution du contrat pour la facturation et les quotas, intérêt légitime de Hint à protéger son service pour la sécurité (article 6.1.f). Durée : la durée de la relation, puis 90 jours après la clôture.

Données de facturation (identité de facturation, montants, historique des paiements). Finalité : facturer et tenir la comptabilité. Bases légales : exécution du contrat, puis obligation légale (article 6.1.c). Durée : 10 ans, conformément à l'article L. 123-22 du code de commerce.

Preuves d'acceptation (acceptation des CGU, des CGV et de la présente politique : date, version acceptée). Finalité : démontrer ce qui a été accepté. Base légale : intérêt légitime de Hint à se ménager une preuve. Durée : la durée de la relation, puis 5 ans.

Programme partenaires (si vous êtes arrivé par le lien d'un partenaire de Kyras, ou si vous indiquez à l'inscription qui vous a recommandé Kyras : l'identifiant de ce partenaire ou le nom que vous avez saisi, et l'espace auquel ils se rattachent). Finalité : calculer et verser la commission du partenaire qui vous a recommandé Kyras. Base légale : intérêt légitime de Hint à rémunérer ses partenaires (article 6.1.f). Durée : celle des données de compte. Quand vous souscrivez, cet identifiant et ce nom sont aussi recopiés sur votre abonnement chez Stripe, et conservés avec les données de facturation.

Opt-ins commerciaux (accord pour recevoir des e-mails ou des appels de Hint). Base légale : consentement (article 6.1.a), retirable à tout moment depuis votre compte, sans effet sur les traitements antérieurs. Durée : jusqu'au retrait, puis 3 ans à compter du dernier contact.

Journaux techniques et de sécurité. Finalité : exploiter le service, diagnostiquer les incidents, détecter les abus. Base légale : intérêt légitime. Durée : 12 mois au plus.

4. Données Google — accès, usage, stockage, partage

Si vous connectez un service Google, Kyras demande des autorisations en lecture seule(Google Analytics, Search Console, Google Sheets, BigQuery, Google Ads). Ces données servent uniquement à : afficher vos métriques dans votre espace, produire vos rapports et vos alertes, et répondre à vos questions dans l'assistant. Elles ne servent jamais à de la publicité, ne sont jamais vendues, et ne sont jamais utilisées pour entraîner des modèles d'IA.

Stockage : les jetons d'accès Google sont chiffrés au repos (coffre dédié) et hébergés dans l'Union européenne (région Paris). Seuls des agrégats de métriques (jamais de données personnelles de vos visiteurs) sont conservés pour l'affichage et l'historique de vos rapports.

Partage : les données Google ne sont partagées avec aucun tiers, à l'exception de nos sous-traitants techniques (section 5) strictement nécessaires au fonctionnement du service, et jamais à des fins qui leur soient propres. Les êtres humains n'accèdent à ces données que pour l'assistance (équipe Hint), avec votre accord, ou lorsque la loi l'exige.

L'utilisation par HINT des informations reçues des API Google est conforme à la Google API Services User Data Policy, y compris ses exigences de Limited Use.

5. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles aux personnes habilitées de Hint, dans la limite de ce que leur mission exige, et aux sous-traitants suivants, chacun encadré par un accord de traitement des données :

• Supabase — base de données et authentification, hébergement dans l'Union européenne (région Paris).
• Vercel Inc. — hébergement applicatif.
• Anthropic — modèles de langage, pour les réponses de l'assistant et la rédaction des rapports.
• Resend — acheminement des e-mails transactionnels.
• Stripe — traitement des paiements, pour les données de facturation et, le cas échéant, le partenaire qui vous a recommandé Kyras.
• Slack Technologies (Salesforce) — messagerie interne de Hint, pour les notifications de nouvelles inscriptions.

Si un partenaire du programme vous a recommandé Kyras, il reçoit un relevé de ses commissions : il y voit le nom de l'entreprise rattachée et le montant sur lequel porte sa commission, jamais vos coordonnées, vos sources ni le contenu de votre espace.

Hint peut également communiquer des données lorsqu'une obligation légale ou une réquisition d'une autorité l'impose.

6. Assistant et intelligence artificielle

Pour répondre à vos questions et produire vos rapports, des extraits agrégés de vos métriques sont transmis à un modèle de langage fourni par Anthropic (API). Cette transmission a lieu pour la seule génération du résultat demandé. Vos données ne sont pas utilisées pour entraîner des modèles. Les résultats produits peuvent comporter des erreurs : ils sont une aide à la décision, jamais une décision automatisée produisant des effets juridiques à votre égard.

7. Transferts hors Union européenne

La base de données et l'authentification sont hébergées dans l'Union européenne (région Paris). Certains sous-traitants — Vercel, Anthropic, Stripe, Slack (Salesforce) — sont établis aux États-Unis et peuvent y traiter des données. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le sous-traitant y est certifié, par le cadre de protection des données UE–États-Unis. Une copie des garanties applicables est communiquée sur demande à bastien.geneix@hint.work.

8. Sécurité

Les données sont chiffrées en transit (TLS) et au repos. Les jetons d'accès aux sources sont conservés dans un coffre dédié. Le cloisonnement entre espaces clients est appliqué en base, et non dans l'application. Les accès internes sont nominatifs et limités au strict nécessaire.

9. Cookies

Sans votre accord, Kyras ne dépose que des traceurs strictement nécessaires à l'authentification et à la session. Aucun cookie publicitaire, aucun traceur de réseau social. La mesure d'audience, elle, n'est déposée qu'avec votre accord, recueilli par un bandeau au premier passage et révocable à tout moment. Sur le site kyras.ai, si vous arrivez par le lien d'un partenaire et l'acceptez, un cookie de recommandation retient l'identifiant de ce partenaire. Le détail figure dans la politique de cookies.

10. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès. Pour les exercer, écrivez à bastien.geneix@hint.work : une réponse vous est apportée dans un délai d'un mois.

Vous pouvez déconnecter une source à tout moment depuis votre espace ; le jeton associé est alors détruit. Vous pouvez aussi retirer l'accès de Hint directement depuis votre compte Google : myaccount.google.com/permissions. Les durées de conservation et la marche à suivre pour supprimer un espace figurent dans la politique de suppression.

Si vous êtes utilisateur d'un espace ouvert par une entreprise cliente, les données issues de ses sources relèvent de cette entreprise : adressez-lui votre demande, Hint la lui transmet sans y répondre à sa place. Vous pouvez à tout moment introduire une réclamation auprès de la CNIL (cnil.fr).

11. Évolutions

Cette politique porte une version datée, indiquée en tête de page. En cas de changement substantiel, les utilisateurs actifs en sont informés par e-mail ou dans leur espace, et la nouvelle version leur est soumise.