Politique de confidentialité

1Responsable du traitement

2À qui s'applique cette politique

Elle couvre tous les endroits où Karma Studio traite des données personnelles :

• Le site public karma.studio, ses formulaires, le chat du site et le bouton WhatsApp.
• Nos comptes Instagram et Facebook : lorsque vous commentez nos publications, nous mentionnez ou nous écrivez en message privé.
• L'espace client (app.karma.studio) et l'espace équipe (admin.karma.studio) : la plateforme depuis laquelle sont gérés les services souscrits.
• L'application mobile « Karma » pour iPhone et Android, dans ses deux modes : client d'une entreprise et propriétaire d'une entreprise.
• Les sites de nos clients où fonctionne notre connecteur (chat, formulaires, boutique, pixel) : là, le responsable est l'entreprise et Karma Studio agit pour son compte, comme expliqué à la section 9.

3Quelles données nous traitons

Uniquement celles nécessaires à chaque usage. Par catégorie de personnes :

4À quoi servent vos données

Nous traitons vos données uniquement aux fins énumérées ci-dessous. Nous ne les utilisons pour rien d'autre sans vous en informer au préalable.

• Fournir les services souscrits (référencement, publicité, réseaux sociaux, site web et facturation) et vous donner accès à votre espace.
• Gérer la relation contractuelle : devis, contrats, factures, encaissements et assistance.
• Répondre aux demandes que vous nous envoyez par formulaire, e-mail ou WhatsApp.
• Vous envoyer des communications sur vos services et, avec votre consentement, des informations commerciales. Vous pouvez vous désabonner à tout moment.
• Faire fonctionner le chat et le CRM : acheminer les messages entre chaque entreprise et ses clients, afficher l'historique et prévenir à l'arrivée d'un nouveau message.
• Vous envoyer des notifications sur votre mobile ou votre navigateur uniquement si vous les activez, et cesser dès que vous les désactivez.
• Vous donner un accès temporaire à la démo du panneau lorsque vous le demandez : nous vous envoyons un lien personnel par e-mail et par WhatsApp, nous vous prévenons s'il n'arrive pas et avant qu'il n'expire, et nous enregistrons vos entrées pour que personne d'autre n'utilise votre accès.
• Savoir si les avis que nous envoyons par e-mail à nos clients sont ouverts et cliqués (un pixel et des liens qui passent par karma.studio), pour améliorer ce que nous envoyons. Jamais dans les factures, les mots de passe ni les avis de rendez-vous, et jamais dans les e-mails aux personnes qui nous demandent quelque chose sans être clientes (l'audit, le rapport, la démo ou la newsletter) : ceux-là sont seulement comptés comme envoyés.
• Lorsque vous écrivez un mot en commentaire sur l'une de nos publications Instagram : vous répondre publiquement et en message privé avec ce que vous avez demandé (par exemple, un guide), vous envoyer un rappel si vous ne répondez pas, vous enregistrer comme client potentiel et, si vous nous donnez votre e-mail ou votre numéro de téléphone, les utiliser pour ce que nous vous avons indiqué en vous les demandant et pour savoir si vous finissez par souscrire l'un de nos services. Si vous nous écrivez autre chose, notre assistant d'intelligence artificielle ou une personne de l'équipe peut vous répondre. Si vous répondez BAJA ou STOP à nos messages automatiques, nous cessons de vous écrire automatiquement en message privé. Nous comptons aussi combien de fois les fichiers que nous envoyons sont ouverts, sans cookies et sans noter qui les ouvre ; pour ne pas compter deux fois la même ouverture, nous utilisons votre adresse IP, mélangée à une clé qui change chaque jour, pendant une demi-heure au maximum et sans l'enregistrer.

5Base légale

Chaque traitement repose sur l'une de ces bases :

• Exécution d'un contrat : fournir et gérer les services souscrits.
• Consentement : communications commerciales, cookies non nécessaires et connexion de vos comptes tiers.
• Intérêt légitime : sécurité de nos systèmes et amélioration des services.
• Obligation légale : conservation des factures et de la documentation fiscale et comptable.
• Votre demande : vous envoyer l'accès à la démo et ses avis. Le registre des entrées repose sur notre intérêt légitime à sécuriser la démo.
• Votre demande : vous répondre avec ce que vous demandez en commentant sur Instagram. Notre intérêt légitime à traiter et mesurer notre prospection : vous enregistrer comme client potentiel, le rappel, vérifier si vous nous suivez, savoir si vous finissez par souscrire et compter les ouvertures des fichiers. Vous pouvez vous y opposer à tout moment (section 13).

6L'espace client

L'espace client (app.karma.studio) est la plateforme depuis laquelle nous fournissons les services. En l'utilisant, nous traitons :

• Votre compte et votre entreprise : identification, accès, profil commercial, contrats et abonnements. Le mot de passe est stocké chiffré et n'est jamais affiché.
• Facturation : devis, factures et encaissements. Les paiements sont traités par Stripe ; nous ne voyons ni ne stockons jamais le numéro complet de votre carte. Si vous avez souscrit la facturation VeriFactu, les enregistrements de vos factures sont transmis à l'administration fiscale espagnole comme l'exige la loi.
• Comptes connectés : les autorisations que vous nous accordez sur vos comptes Google, Meta, LinkedIn ou WordPress (détaillées à la section 14). Les jetons sont stockés chiffrés et supprimés à la déconnexion.
• Votre CRM et votre chat : les contacts, conversations et prospects de vos clients qui arrivent par WhatsApp, par Messenger, par Instagram, par le chat de votre site, par formulaires ou par vos campagnes. Vous en êtes le responsable ; nous les stockons et les traitons pour votre compte.
• Journaux d'activité : ce qui a été fait dans votre espace, quand et depuis où, à des fins d'assistance et de sécurité.

7L'application mobile « Karma »

L'application est disponible pour iPhone et Android et propose deux modes : « Je suis client d'une entreprise », pour suivre vos conversations avec les entreprises qui utilisent Karma, et « J'ai mon entreprise sur Karma », pour gérer votre boîte de réception. Ce qu'il faut savoir :

• Données : en mode client, votre e-mail (vérifié par un code à usage unique), votre nom, votre téléphone si vous l'indiquez et les messages. En mode propriétaire, les mêmes données que dans votre espace. Nous ne demandons rien d'autre.
• Notifications : si vous les activez, l'appareil génère un identifiant de notification (jeton Expo) que nous conservons pour vous prévenir des nouveaux messages. Les alertes transitent par Expo, Apple (APNs) et Google (Firebase) ; elles ne contiennent que le nom de l'expéditeur et un extrait du message. Vous pouvez les désactiver dans les réglages de l'application ou du système, et nous supprimons alors l'identifiant.
• Autorisations : l'application ne demande que l'autorisation de notifications. Elle n'accède ni à votre localisation, ni à vos contacts, ni à l'appareil photo, au micro ou aux photos, n'utilise pas d'identifiants publicitaires et ne contient ni publicité ni traceurs tiers.
• Sur votre appareil : l'application conserve votre session dans le stockage sécurisé du système et une copie locale des messages déjà consultés, pour qu'ils s'ouvrent hors connexion. Ils sont supprimés à la déconnexion.
• Supprimer votre compte : en mode client, vous pouvez supprimer votre compte depuis Réglages › Confidentialité et données. Votre compte, vos appareils et vos coordonnées sont effacés ; les entreprises avec lesquelles vous avez échangé conservent la conversation sans votre nom ni votre e-mail, car l'historique leur appartient. Un compte d'entreprise se résilie depuis l'espace client ou en nous écrivant, selon les délais de conservation de la section 11.
• L'application et l'espace client ne s'adressent pas aux moins de 14 ans et nous ne collectons pas sciemment de données de mineurs. Si vous pensez qu'un mineur nous a transmis ses données, écrivez-nous et nous les supprimerons.

8Intelligence artificielle

Une partie du travail est réalisée par des systèmes d'intelligence artificielle que nous exploitons avec des fournisseurs externes (Anthropic, Google et, pour l'assistant du chat, Scaleway) : rédiger des contenus pour votre site et vos réseaux, proposer des ajustements de vos campagnes, aider à répondre aux demandes et classer les messages. Ces fournisseurs agissent en tant que sous-traitants, n'utilisent pas vos données pour entraîner leurs modèles et ne reçoivent que le strict nécessaire à chaque tâche. Les décisions qui touchent à votre argent (publier, modifier un budget, répondre en votre nom) sont vérifiées par une personne ou approuvées par vous depuis l'espace client ; l'assistant du chat ne répond à votre place que si vous l'activez.

9Lorsque nous traitons des données pour le compte d'un client

Si vous écrivez à une entreprise via son site (chat, formulaire, commande, réservation) ou ses publicités, le responsable de vos données est cette entreprise. Karma Studio les reçoit, les stocke et les traite selon ses instructions, en tant que sous-traitant (article 28 du RGPD), dans le cadre du contrat de sous-traitance signé avec chaque client. Nous ne les utilisons pas à nos propres fins et ne les partageons pas entre entreprises.

Pour exercer vos droits sur ces données, adressez-vous à l'entreprise avec laquelle vous avez échangé ; si vous nous écrivez, nous lui transmettrons votre demande et l'aiderons à y répondre.

10Qui nous aide à fournir le service

Nous ne partageons des données qu’avec des prestataires qui travaillent pour notre compte, sous contrat et uniquement pour ce qui est indiqué. Voici la liste complète, qui vaut aussi liste des sous-traitants pour nos clients :

• Clouding.io · Espagne
  Serveurs de la plateforme, des sites que nous hébergeons et de la messagerie
• Scaleway · France
  Sauvegardes et l’assistant IA du chat (les messages de nos clients et de quiconque nous écrit)
• Stripe · UE et États-Unis
  Encaissement des abonnements et paiements ; nous ne voyons jamais votre carte
• Meta · Irlande et États-Unis
  WhatsApp, Messenger, Instagram, pages et annonces que nous gérons pour vous. Si vous acceptez la publicité : le pixel du site et son API de conversions (e-mail et nom hachés, IP, navigateur et identifiants de ses cookies) lorsque vous nous laissez vos coordonnées ou souscrivez
• Google · Irlande et États-Unis
  Services que vous connectez (section 14) et Google Ads. Si vous acceptez l’analyse, Google Analytics mesure votre visite et peut recevoir l’e-mail et le téléphone hachés saisis dans nos formulaires ; si vous acceptez aussi la publicité, Google Ads mesure si nos annonces fonctionnent. Gemini (IA) et Firebase (notifications de l’application)
• Anthropic · États-Unis
  Intelligence artificielle : rédiger et relire des contenus (section 8)
• Kie.ai · États-Unis
  Générer les images et les vidéos des publications. Il ne reçoit les photos du présentateur que si vous les envoyez pour le créer
• OpenProvider · Pays-Bas
  Enregistrer et renouveler les domaines à votre nom (données du titulaire)
• Expo et Apple · États-Unis
  Envoi des notifications de l’application mobile
• Sentry · États-Unis
  Journal des erreurs techniques de la plateforme
• Agence fiscale espagnole (AEAT) · Espagne
  Registres de facturation VeriFactu, par obligation légale

Les prestataires situés hors de l’Espace économique européen reçoivent les données avec les garanties du RGPD : le cadre de protection des données UE–États-Unis lorsque le prestataire est certifié ou, à défaut, les clauses contractuelles types approuvées par la Commission européenne. Vous pouvez nous demander une copie de ces garanties. Nous ne vendons de données personnelles à personne.

11Combien de temps nous les conservons

Nous conservons vos données pendant toute la relation contractuelle puis, bloquées, pendant les délais légaux : six ans pour les documents commerciaux et comptables (Code de commerce) et quatre ans pour les documents fiscaux (loi générale fiscale espagnole). Si vous nous écrivez (formulaire, audit, rapport, chat ou WhatsApp) sans devenir client, nous gardons vos données pour traiter votre demande et rester en contact avec vous, jusqu’à ce que vous nous demandiez de les supprimer. Si vous commentez nos publications Instagram sans devenir client, nous gardons votre fiche et la conversation jusqu’à ce que vous nous demandiez de les supprimer ; si vous répondez BAJA, nous gardons une trace de la désinscription pour ne plus vous écrire. L’abonnement à la newsletter dure jusqu’à votre désinscription ; ensuite, nous ne gardons votre e-mail que dans la liste des désinscriptions, pour ne plus vous écrire. Si vous demandez la démo sans devenir client, nous supprimons vos données au bout de 12 mois, et le registre des accès à la démo au bout de 90 jours. Les comptes de l’application en mode client sont supprimés dès que vous les supprimez ; les identifiants de notification, dès que vous désactivez les alertes.

12Sécurité

Nous appliquons des mesures techniques et organisationnelles pour protéger vos données : chiffrement en transit (HTTPS), contrôle d'accès par rôle, mots de passe chiffrés, sauvegardes régulières et journalisation de l'activité. Les jetons d'accès à vos comptes tiers et les clés de la plateforme sont stockés chiffrés et ne sont jamais affichés dans l'espace client. Dans l'application, la session réside dans le stockage sécurisé du système d'exploitation.

13Vos droits

Vous pouvez exercer à tout moment les droits suivants, gratuitement et sans avoir à vous justifier :

Pour les exercer, indiquez-nous le droit concerné et nous vous répondrons dans un délai maximal d’un mois. Si vous estimez que votre demande n’a pas été correctement traitée, vous pouvez saisir l’Agence espagnole de protection des données (www.aepd.es). Écrivez-nous à administracion@karma.studio

14Connexions avec des services tiers

Karma Studio travaille pour vous à l'intérieur de plateformes qui vous appartiennent. Pour cela, nous vous demandons des autorisations précises, toujours avec votre accord explicite et uniquement le minimum nécessaire à chaque service souscrit. Voici chaque autorisation, ce que nous en faisons exactement et comment la retirer quand vous le souhaitez.

Google / YouTube

• youtube.upload — publier sur votre chaîne les vidéos verticales que nous préparons pour vous. Nous ne lisons, ne modifions ni ne supprimons aucune autre vidéo de votre chaîne.
• youtube.readonly — lire le nom et l'identifiant de votre chaîne, uniquement pour vous indiquer sur laquelle nous publions.
• webmasters — lire dans la Search Console avec quelles recherches on vous trouve et à quelle position vous apparaissez, pour orienter le travail de référencement.
• analytics.readonly, analytics.edit — lire les visites de votre site et, si vous n'en avez pas encore, créer votre propriété Google Analytics 4 et son flux de données.
• business.manage — gérer votre fiche Google : publier des actualités, répondre aux avis et lire ses statistiques.
• adwords — lire et gérer vos campagnes Google Ads si vous avez souscrit ce service.
• indexing, siteverification — signaler à Google les nouvelles pages de votre site et vérifier que le domaine vous appartient.
• calendar.app.created, calendar.freebusy — créer et consulter uniquement les événements générés par Karma Studio. Nous n'accédons pas au reste de votre agenda.
• openid, userinfo.email, userinfo.profile — savoir qui vous êtes lors de la liaison du compte (votre nom et votre e-mail). Rien d'autre.

L'utilisation par Karma Studio des informations reçues des API Google respecte la Politique relative aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée. En connectant votre compte YouTube, vous acceptez également les Conditions d'utilisation de YouTube.

• Règles de confidentialité de Google
• Conditions d'utilisation de YouTube

Vous pouvez retirer l'accès de Karma Studio à votre compte Google à tout moment, sans justification et sans perdre vos données, depuis ces pages Google :

• https://myaccount.google.com/permissions
• https://security.google.com/settings/security/permissions

Meta (Facebook, Instagram y Threads)

• pages_show_list, pages_read_engagement — voir la liste des pages que vous administrez et lire leurs statistiques.
• pages_manage_posts — publier sur la page de votre choix les publications que nous préparons.
• instagram_basic, instagram_manage_insights — voir votre compte professionnel Instagram et lire les statistiques des publications.
• instagram_content_publish — publier sur votre Instagram le contenu que nous préparons.
• pages_messaging, pages_manage_metadata — recevoir dans la boîte de réception de votre espace les messages que les gens envoient à la page que vous connectez pour le chat, et envoyer les réponses rédigées par vous, votre équipe ou votre assistant s'il est activé. Uniquement tant que le canal est actif, dans les 24 heures autorisées par Meta (passé ce délai, seule une personne de votre équipe, jamais l'assistant, peut répondre pendant 7 jours maximum, lorsque Meta l'autorise), et jamais à quelqu'un qui ne vous a pas écrit d'abord. La seconde autorisation sert uniquement à abonner cette page aux notifications de nouveaux messages (et, si vous avez souscrit les publicités, des contacts de vos formulaires).
• instagram_manage_messages — la même chose pour les messages directs du compte professionnel Instagram lié à cette page : vous les recevez dans la boîte de réception et vous répondez depuis celle-ci. Avec cette autorisation, nous ne lisons ni les commentaires, ni les abonnés, ni les publications.
• pages_manage_engagement, pages_read_user_content, instagram_manage_comments — lire les commentaires laissés sur les publications de la page et du compte Instagram que vous connectez, y répondre publiquement, envoyer une réponse privée à la personne qui a commenté (une seule par commentaire, dans le délai autorisé par Meta) et masquer ceux que vous choisissez, selon les règles que vous configurez dans votre panneau. Nous ne publions pas de commentaires en votre nom en dehors de ces règles et ne lisons pas ceux d'autres pages.
• threads_basic, threads_content_publish — voir votre profil Threads et y publier le contenu que nous préparons.

Vous pouvez retirer Karma Studio à tout moment depuis Facebook (Paramètres › Intégrations professionnelles) ou depuis Instagram (Paramètres › Applications et sites web). Meta nous en informe et nous déconnectons immédiatement tout ce que vous avez autorisé (réseaux sociaux, messages et publicités) et supprimons les clés d'accès. Si vous demandez à Meta de supprimer vos données, vous recevez un code et une page où vérifier que c'est fait. Les messages et commentaires déjà présents dans la boîte du commerce appartiennent au commerce ; pour les supprimer, écrivez à administracion@karma.studio.

LinkedIn

• w_member_social — publier sur votre LinkedIn le contenu que nous préparons.
• openid, profile, email — savoir qui vous êtes lors de la connexion du compte.