Politique de confidentialité

1Responsable du traitement

2À qui s'applique cette politique

Elle couvre tous les endroits où Karma Studio traite des données personnelles :

• Le site public karma.studio, ses formulaires, le chat du site et le bouton WhatsApp.
• L'espace client (app.karma.studio) et l'espace équipe (admin.karma.studio) : la plateforme depuis laquelle sont gérés les services souscrits.
• L'application mobile « Karma » pour iPhone et Android, dans ses deux modes : client d'une entreprise et propriétaire d'une entreprise.
• Les sites de nos clients où fonctionne notre connecteur (chat, formulaires, boutique, pixel) : là, le responsable est l'entreprise et Karma Studio agit pour son compte, comme expliqué à la section 9.

3Quelles données nous traitons

Uniquement celles nécessaires à chaque usage. Par catégorie de personnes :

4À quoi servent vos données

Nous traitons vos données uniquement aux fins énumérées ci-dessous. Nous ne les utilisons pour rien d'autre sans vous en informer au préalable.

• Fournir les services souscrits (référencement, publicité, réseaux sociaux, site web et facturation) et vous donner accès à votre espace.
• Gérer la relation contractuelle : devis, contrats, factures, encaissements et assistance.
• Répondre aux demandes que vous nous envoyez par formulaire, e-mail ou WhatsApp.
• Vous envoyer des communications sur vos services et, avec votre consentement, des informations commerciales. Vous pouvez vous désabonner à tout moment.
• Faire fonctionner le chat et le CRM : acheminer les messages entre chaque entreprise et ses clients, afficher l'historique et prévenir à l'arrivée d'un nouveau message.
• Vous envoyer des notifications sur votre mobile ou votre navigateur uniquement si vous les activez, et cesser dès que vous les désactivez.

5Base légale

Chaque traitement repose sur l'une de ces bases :

• Exécution d'un contrat : fournir et gérer les services souscrits.
• Consentement : communications commerciales, cookies non nécessaires et connexion de vos comptes tiers.
• Intérêt légitime : sécurité de nos systèmes et amélioration des services.
• Obligation légale : conservation des factures et de la documentation fiscale et comptable.

6L'espace client

L'espace client (app.karma.studio) est la plateforme depuis laquelle nous fournissons les services. En l'utilisant, nous traitons :

• Votre compte et votre entreprise : identification, accès, profil commercial, contrats et abonnements. Le mot de passe est stocké chiffré et n'est jamais affiché.
• Facturation : devis, factures et encaissements. Les paiements sont traités par Stripe ; nous ne voyons ni ne stockons jamais le numéro complet de votre carte. Si vous avez souscrit la facturation VeriFactu, les enregistrements de vos factures sont transmis à l'administration fiscale espagnole comme l'exige la loi.
• Comptes connectés : les autorisations que vous nous accordez sur vos comptes Google, Meta, LinkedIn ou WordPress (détaillées à la section 14). Les jetons sont stockés chiffrés et supprimés à la déconnexion.
• Votre CRM et votre chat : les contacts, conversations et prospects de vos clients qui arrivent par WhatsApp, par Messenger, par Instagram, par le chat de votre site, par formulaires ou par vos campagnes. Vous en êtes le responsable ; nous les stockons et les traitons pour votre compte.
• Journaux d'activité : ce qui a été fait dans votre espace, quand et depuis où, à des fins d'assistance et de sécurité.

7L'application mobile « Karma »

L'application est disponible pour iPhone et Android et propose deux modes : « Je suis client d'une entreprise », pour suivre vos conversations avec les entreprises qui utilisent Karma, et « J'ai mon entreprise sur Karma », pour gérer votre boîte de réception. Ce qu'il faut savoir :

• Données : en mode client, votre e-mail (vérifié par un code à usage unique), votre nom, votre téléphone si vous l'indiquez et les messages. En mode propriétaire, les mêmes données que dans votre espace. Nous ne demandons rien d'autre.
• Notifications : si vous les activez, l'appareil génère un identifiant de notification (jeton Expo) que nous conservons pour vous prévenir des nouveaux messages. Les alertes transitent par Expo, Apple (APNs) et Google (Firebase) ; elles ne contiennent que le nom de l'expéditeur et un extrait du message. Vous pouvez les désactiver dans les réglages de l'application ou du système, et nous supprimons alors l'identifiant.
• Autorisations : l'application ne demande que l'autorisation de notifications. Elle n'accède ni à votre localisation, ni à vos contacts, ni à l'appareil photo, au micro ou aux photos, n'utilise pas d'identifiants publicitaires et ne contient ni publicité ni traceurs tiers.
• Sur votre appareil : l'application conserve votre session dans le stockage sécurisé du système et une copie locale des messages déjà consultés, pour qu'ils s'ouvrent hors connexion. Ils sont supprimés à la déconnexion.
• Supprimer votre compte : en mode client, vous pouvez supprimer votre compte depuis Réglages › Confidentialité et données. Votre compte, vos appareils et vos coordonnées sont effacés ; les entreprises avec lesquelles vous avez échangé conservent la conversation sans votre nom ni votre e-mail, car l'historique leur appartient. Un compte d'entreprise se résilie depuis l'espace client ou en nous écrivant, selon les délais de conservation de la section 11.
• L'application et l'espace client ne s'adressent pas aux moins de 14 ans et nous ne collectons pas sciemment de données de mineurs. Si vous pensez qu'un mineur nous a transmis ses données, écrivez-nous et nous les supprimerons.

8Intelligence artificielle

Une partie du travail est réalisée par des systèmes d'intelligence artificielle que nous exploitons avec des fournisseurs externes (Anthropic, Google et, pour l'assistant du chat, Scaleway) : rédiger des contenus pour votre site et vos réseaux, proposer des ajustements de vos campagnes, aider à répondre aux demandes et classer les messages. Ces fournisseurs agissent en tant que sous-traitants, n'utilisent pas vos données pour entraîner leurs modèles et ne reçoivent que le strict nécessaire à chaque tâche. Les décisions qui touchent à votre argent (publier, modifier un budget, répondre en votre nom) sont vérifiées par une personne ou approuvées par vous depuis l'espace client ; l'assistant du chat ne répond à votre place que si vous l'activez.

9Lorsque nous traitons des données pour le compte d'un client

Si vous écrivez à une entreprise via son site (chat, formulaire, commande, réservation) ou ses publicités, le responsable de vos données est cette entreprise. Karma Studio les reçoit, les stocke et les traite selon ses instructions, en tant que sous-traitant (article 28 du RGPD), dans le cadre du contrat de sous-traitance signé avec chaque client. Nous ne les utilisons pas à nos propres fins et ne les partageons pas entre entreprises.

Pour exercer vos droits sur ces données, adressez-vous à l'entreprise avec laquelle vous avez échangé ; si vous nous écrivez, nous lui transmettrons votre demande et l'aiderons à y répondre.

10Qui nous aide à fournir le service

Nous partageons des données uniquement avec des prestataires qui travaillent pour notre compte, sous contrat et uniquement pour ce qui est indiqué :

• Hébergement et e-mail : les serveurs qui font tourner la plateforme, les sites que nous hébergeons et les e-mails transactionnels.
• Stripe : encaissement des abonnements et des paiements de nos clients.
• Meta : WhatsApp Business, Messenger et Instagram Direct (messages envoyés et reçus sur ces canaux), Facebook et Instagram (pages, publicités et publications que nous gérons pour vous).
• Google : les services Google que vous connectez (section 14) et Google Ads.
• Anthropic, Google et Scaleway : fournisseurs d'intelligence artificielle (section 8).
• Expo, Apple et Google : acheminement des notifications vers l'application mobile.
• Sentry : journalisation des erreurs techniques de la plateforme afin de les corriger.
• Administration fiscale espagnole : enregistrements de facturation VeriFactu, par obligation légale.

Certains de ces prestataires se trouvent hors de l'Espace économique européen. Dans ce cas, le transfert s'appuie sur le cadre de protection des données UE-États-Unis lorsque le prestataire est certifié ou, à défaut, sur les clauses contractuelles types approuvées par la Commission européenne. Nous ne vendons de données personnelles à personne.

11Combien de temps nous les conservons

Nous conservons vos données pendant toute la durée de la relation contractuelle puis, bloquées, pendant les délais légaux : six ans pour la documentation commerciale et comptable (Code de commerce) et quatre ans pour la documentation fiscale (loi générale fiscale). Les données traitées avec votre consentement sont supprimées dès que vous le retirez. Les comptes de l'application en mode client sont supprimés dès que vous les effacez ; les identifiants de notification, dès que vous désactivez les alertes.

12Sécurité

Nous appliquons des mesures techniques et organisationnelles pour protéger vos données : chiffrement en transit (HTTPS), contrôle d'accès par rôle, mots de passe chiffrés, sauvegardes régulières et journalisation de l'activité. Les jetons d'accès à vos comptes tiers et les clés de la plateforme sont stockés chiffrés et ne sont jamais affichés dans l'espace client. Dans l'application, la session réside dans le stockage sécurisé du système d'exploitation.

13Vos droits

Vous pouvez exercer à tout moment les droits suivants, gratuitement et sans avoir à vous justifier :

Pour les exercer, indiquez-nous quel droit vous souhaitez exercer et nous vous répondrons sous un mois au plus. Si vous estimez que votre demande n'a pas été correctement traitée, vous pouvez introduire une réclamation auprès de l'Agence espagnole de protection des données (www.aepd.es). Écrivez-nous à info@karma.studio

14Connexions avec des services tiers

Karma Studio travaille pour vous à l'intérieur de plateformes qui vous appartiennent. Pour cela, nous vous demandons des autorisations précises, toujours avec votre accord explicite et uniquement le minimum nécessaire à chaque service souscrit. Voici chaque autorisation, ce que nous en faisons exactement et comment la retirer quand vous le souhaitez.

Google / YouTube

• youtube.upload — publier sur votre chaîne les vidéos verticales que nous préparons pour vous. Nous ne lisons, ne modifions ni ne supprimons aucune autre vidéo de votre chaîne.
• youtube.readonly — lire le nom et l'identifiant de votre chaîne, uniquement pour vous indiquer sur laquelle nous publions.
• webmasters — lire dans la Search Console avec quelles recherches on vous trouve et à quelle position vous apparaissez, pour orienter le travail de référencement.
• analytics.readonly, analytics.edit — lire les visites de votre site et, si vous n'en avez pas encore, créer votre propriété Google Analytics 4 et son flux de données.
• business.manage — gérer votre fiche Google : publier des actualités, répondre aux avis et lire ses statistiques.
• adwords — lire et gérer vos campagnes Google Ads si vous avez souscrit ce service.
• indexing, siteverification — signaler à Google les nouvelles pages de votre site et vérifier que le domaine vous appartient.
• calendar.app.created, calendar.freebusy — créer et consulter uniquement les événements générés par Karma Studio. Nous n'accédons pas au reste de votre agenda.
• openid, userinfo.email, userinfo.profile — savoir qui vous êtes lors de la liaison du compte (votre nom et votre e-mail). Rien d'autre.

L'utilisation par Karma Studio des informations reçues des API Google respecte la Politique relative aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée. En connectant votre compte YouTube, vous acceptez également les Conditions d'utilisation de YouTube.

• Règles de confidentialité de Google
• Conditions d'utilisation de YouTube

Vous pouvez retirer l'accès de Karma Studio à votre compte Google à tout moment, sans justification et sans perdre vos données, depuis ces pages Google :

• https://myaccount.google.com/permissions
• https://security.google.com/settings/security/permissions

Meta (Facebook, Instagram y Threads)

• pages_show_list, pages_read_engagement — voir la liste des pages que vous administrez et lire leurs statistiques.
• pages_manage_posts — publier sur la page de votre choix les publications que nous préparons.
• instagram_basic, instagram_manage_insights — voir votre compte professionnel Instagram et lire les statistiques des publications.
• instagram_content_publish — publier sur votre Instagram le contenu que nous préparons.
• pages_messaging, pages_manage_metadata — recevoir dans la boîte de réception de votre espace les messages que les gens envoient à la page que vous connectez pour le chat, et envoyer les réponses rédigées par vous, votre équipe ou votre assistant s'il est activé. Uniquement tant que le canal est actif, dans les 24 heures autorisées par Meta, et jamais à quelqu'un qui ne vous a pas écrit d'abord. La seconde autorisation sert uniquement à abonner cette page aux notifications de nouveaux messages (et, si vous avez souscrit les publicités, des contacts de vos formulaires).
• instagram_manage_messages — la même chose pour les messages directs du compte professionnel Instagram lié à cette page : vous les recevez dans la boîte de réception et vous répondez depuis celle-ci. Avec cette autorisation, nous ne lisons ni les commentaires, ni les abonnés, ni les publications.
• threads_basic, threads_content_publish — voir votre profil Threads et y publier le contenu que nous préparons.

LinkedIn

• w_member_social — publier sur votre LinkedIn le contenu que nous préparons.
• openid, profile, email — savoir qui vous êtes lors de la connexion du compte.