1. En résumé
- Nous ne vendons aucune donnée, et nous n'en faisons aucun usage publicitaire.
- Vos enregistrements et transcriptions ne servent qu'à produire ce que vous demandez : une transcription, un résumé, un devis.
- Ils ne sont pas utilisés pour entraîner des modèles d'IA, ni par nous, ni par nos prestataires.
- Vous pouvez à tout moment exporter vos données et supprimer votre compte.
2. Responsable de traitement
Le responsable des traitements décrits ici est [[À COMPLÉTER : raison sociale]], dont le siège est situé [[À COMPLÉTER : adresse du siège social]], immatriculée sous le numéro SIRET [[À COMPLÉTER : numéro SIRET]].
Contact pour toute question relative aux données personnelles : [[À COMPLÉTER : email du DPO ou du référent données]]. Délégué à la protection des données (DPO) : [[À COMPLÉTER : nom du DPO, ou mention « aucun DPO désigné » si la désignation n'est pas obligatoire]].
3. Qui est responsable de quoi
La distinction est importante, car elle détermine à qui s'adresser :
- Kotlio est responsable de traitement pour les données de ses propres utilisateurs : votre compte, votre abonnement, votre usage du service, votre support.
- Kotlio est sous-traitant pour les données que vous injectez dans le service à propos de vos clients et de vos réunions. Vous en êtes le responsable de traitement : c'est vous qui décidez de les collecter et qui devez informer les personnes concernées. Nous n'agissons alors que sur vos instructions, dans le cadre d'un accord de sous-traitance (DPA) disponible sur demande à [[À COMPLÉTER : email du DPO ou du référent données]].
Concrètement : si l'un de vos clients souhaite accéder aux données le concernant, il doit s'adresser à vous, pas à nous — et nous vous aiderons à y répondre.
4. Données collectées
| Catégorie | Exemples | Origine |
|---|---|---|
| Identité et compte | Nom, prénom, adresse électronique, mot de passe (haché), rôle dans l'équipe, photo de profil | Vous |
| Entreprise | Raison sociale, SIRET, TVA, adresse, logo, coordonnées bancaires de versement | Vous |
| Données de vos clients | Nom, contact, adresse, historique des devis, factures et projets | Vous, ou votre client via un lien sécurisé |
| Réunions | Fichier audio, transcription, résumé, extraction de besoins | Vous |
| Documents | Devis, factures, pièces jointes déposées par vous ou vos clients | Vous et vos clients |
| Facturation | Offre souscrite, historique de paiement, identifiants Stripe. Aucun numéro de carte n'est stocké par Kotlio. | Stripe |
| Usage et technique | Journaux de connexion, adresse IP, type de navigateur, actions sensibles tracées dans le journal d'audit | Automatique |
5. Le cas particulier des réunions
Un enregistrement de réunion commerciale n'est pas un fichier comme un autre. Il contient la voix de personnes identifiables, souvent des tiers qui n'ont aucune relation contractuelle avec Kotlio, et parfois des informations qu'elles n'auraient pas écrites : la situation financière d'une entreprise, un différend en cours, un état de santé mentionné en passant. Il peut donc contenir incidemment des données sensibles au sens de l'article 9 du RGPD.
Nous en tirons trois conséquences :
- Vous devez informer les participants avant d'enregistrer, et recueillir leur accord lorsqu'il est requis. L'enregistrement d'une conversation à l'insu des participants est illicite ; cette responsabilité vous incombe, et le service ne peut pas la vérifier à votre place.
- Les fichiers sont stockés dans des espaces privés, accessibles uniquement via des URL signées à durée limitée, et cloisonnés par espace de travail au niveau de la base de données.
- Les enregistrements audio sont supprimés une fois la transcription produite, au plus tard après [[À COMPLÉTER : durée de conservation des fichiers audio, ex. 30 jours]], sauf si vous choisissez de les conserver. Nous conservons alors la transcription, qui suffit à l'usage du service.
N'utilisez pas Kotlio pour enregistrer des conversations portant sur la santé, les opinions politiques, religieuses ou syndicales, ou toute autre catégorie particulière de données : le service n'est pas conçu pour ces usages, et n'est pas un hébergeur de données de santé (HDS).
6. Finalités et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Créer et gérer votre compte, fournir le service | Exécution du contrat — art. 6.1.b |
| Transcrire vos réunions et générer vos devis | Exécution du contrat — art. 6.1.b |
| Encaisser les abonnements et émettre les factures | Exécution du contrat et obligation légale — art. 6.1.b et 6.1.c |
| Conserver les pièces comptables | Obligation légale — art. 6.1.c |
| Assurer la sécurité, prévenir la fraude, tenir un journal d'audit | Intérêt légitime — art. 6.1.f |
| Améliorer le service, mesurer l'audience du site | Consentement — art. 6.1.a (voir la politique cookies) |
| Envoyer des informations produit ou commerciales | Intérêt légitime pour les clients existants, consentement sinon — art. 6.1.f ou 6.1.a |
7. Traitements par intelligence artificielle
La transcription et la génération de devis reposent sur des modèles fournis par des prestataires tiers. Les contenus transmis le sont uniquement pour produire le résultat que vous demandez.
- Pas d'entraînement : nos contrats avec ces prestataires excluent l'utilisation de vos contenus pour entraîner ou améliorer leurs modèles.
- Conservation courte chez le prestataire : les contenus transmis sont conservés au plus [[À COMPLÉTER : durée de rétention chez le fournisseur d'IA, ex. 30 jours pour la détection d'abus]], puis supprimés.
- Pas de décision automatisée produisant des effets juridiques : un devis généré par l'IA est une proposition, que vous relisez et validez avant tout envoi.
8. Destinataires et sous-traitants
Vos données sont accessibles aux membres de votre espace de travail selon leur rôle, à vos clients pour les documents qui leur sont destinés, et à notre équipe strictement pour l'exploitation et le support. Nous faisons appel aux sous-traitants suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase | Base de données, authentification, stockage des fichiers | [[À COMPLÉTER : région Supabase, ex. eu-west-3]] |
| Stripe | Paiement des abonnements et encaissement des acomptes | Irlande et États-Unis |
| Resend | Envoi des courriels transactionnels (devis, relances, factures) | [[À COMPLÉTER : localisation Resend et statut — en service ou non]] |
| OpenAI | Transcription des enregistrements de réunion | [[À COMPLÉTER : localisation OpenAI et statut — en service ou non]] |
| Anthropic | Analyse de la transcription et proposition de lignes de devis | [[À COMPLÉTER : localisation Anthropic et statut — en service ou non]] |
| [[À COMPLÉTER : hébergeur de l'application]] | Hébergement de l'application web | [[À COMPLÉTER : région d'hébergement, ex. Union européenne]] |
Cette liste est tenue à jour. Retirez de ce tableau tout prestataire qui ne serait pas effectivement en service : annoncer un sous-traitant qui ne traite rien est aussi inexact qu'en omettre un qui traite.
Vos données peuvent également être communiquées à une autorité administrative ou judiciaire lorsqu'une obligation légale l'impose.
9. Transferts hors Union européenne
Nous privilégions un hébergement dans l'Union européenne. Certains sous-traitants peuvent néanmoins traiter des données aux États-Unis (notamment Stripe et les fournisseurs d'IA). Ces transferts sont encadrés par :
- les clauses contractuelles types de la Commission européenne (décision 2021/914) ;
- et, lorsque le prestataire y est certifié, le Data Privacy Framework UE–États-Unis.
Une copie des garanties applicables peut être demandée à [[À COMPLÉTER : email du DPO ou du référent données]].
10. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et contenus de l'espace de travail | Toute la durée de l'abonnement, puis [[À COMPLÉTER : délai de suppression après résiliation, ex. 30 jours]] |
| Enregistrements audio des réunions | [[À COMPLÉTER : durée de conservation des fichiers audio, ex. 30 jours]] |
| Transcriptions et résumés | Jusqu'à suppression par vos soins, ou à la fermeture du compte |
| Devis et documents commerciaux | Durée de la relation, puis archivage conformément à vos obligations |
| Factures et pièces comptables | 10 ans (article L.123-22 du code de commerce) |
| Journaux de connexion et journal d'audit | 12 mois |
| Prospects sans suite | 3 ans à compter du dernier contact |
| Preuve du consentement cookies | 6 mois, puis le consentement est redemandé |
11. Sécurité
- Chiffrement des échanges (HTTPS) et des données au repos.
- Cloisonnement des données par espace de travail au niveau de la base (Row Level Security) : une requête ne peut pas atteindre l'espace d'un autre client, même en cas de défaut applicatif.
- Fichiers stockés dans des espaces privés, accessibles par URL signées temporaires.
- Mots de passe hachés, jamais stockés en clair.
- Journal d'audit des actions sensibles et sauvegardes régulières.
En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions la CNIL dans les 72 heures et vous informons sans délai injustifié.
12. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Accès — obtenir une copie des données vous concernant ;
- Rectification — corriger une donnée inexacte ;
- Effacement — demander la suppression, sous réserve de nos obligations légales ;
- Limitation — geler un traitement contesté ;
- Portabilité — récupérer vos données dans un format structuré et réutilisable ;
- Opposition — vous opposer à un traitement fondé sur l'intérêt légitime, et à tout moment à la prospection ;
- Retrait du consentement — à tout moment, sans effet sur la licéité du traitement déjà effectué ;
- Directives post-mortem — définir le sort de vos données après votre décès.
Suppression du compte : elle est accessible directement depuis les paramètres de l'application, sans passer par le support. Elle entraîne la suppression de votre espace et de ses contenus, à l'exception des pièces que la loi nous oblige à conserver.
13. Comment exercer vos droits
Écrivez à [[À COMPLÉTER : email du DPO ou du référent données]], ou par courrier à [[À COMPLÉTER : adresse postale pour les demandes RGPD]]. Nous répondons dans un délai d'un mois, porté à trois mois pour les demandes complexes, auquel cas nous vous en informons.
Un justificatif d'identité peut être demandé en cas de doute raisonnable sur l'identité du demandeur — c'est une protection, pas un obstacle.
14. Réclamation auprès de la CNIL
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes.
15. Évolutions de cette politique
Cette politique évolue avec le service et ses sous-traitants. Toute modification substantielle vous est notifiée par courriel ou dans l'application. La date de mise à jour figure en haut de cette page.