Klaveta — klaveta.ai

Politique de Confidentialité

Version 1.1 — Mise à jour le 31 août 2026 (entrée en vigueur le 1er mars 2026) — Alignée RGPD + EU AI Act

1. Responsable de traitement

Le responsable du traitement des données personnelles collectées via la plateforme Klaveta est :

SociétéHARMONIA SAS

SIRET102 533 932 00012

RCS102 533 932 R.C.S. Saint-Denis de La Réunion

Siège social90 B rue Roger Payet, 97438 Sainte-Marie, La Réunion, France

ResponsableZaheda Taky

DPO — Emaildpo@klaveta.ai

2. Données collectées

Données d'inscription

Donnée	Description	Base légale	Conservation
Nom et prénom	Identité	Exécution du contrat (Art. 6.1.b)	Compte + 3 ans
Email	Connexion, communications	Exécution du contrat (Art. 6.1.b)	Compte + 3 ans
Mot de passe (haché)	Sécurisation	Exécution du contrat (Art. 6.1.b)	Durée du compte
Consentement RGPD	Preuve légale	Obligation légale (Art. 6.1.c)	5 ans

Données de profil professionnel

Donnée	Description	Base légale	Conservation
Rôle professionnel	Personnalisation	Consentement (Art. 6.1.a)	Durée du compte
Secteur d'activité	Personnalisation	Consentement (Art. 6.1.a)	Durée du compte
Taille entreprise	Personnalisation	Consentement (Art. 6.1.a)	Durée du compte
Expérience IA	Personnalisation	Consentement (Art. 6.1.a)	Durée du compte

Données de progression et d'apprentissage

Donnée	Description	Base légale	Conservation
Résultats d'audit et de diagnostic	Scores et obligations identifiées	Exécution du contrat (Art. 6.1.b)	30 jours — ou durée du compte si vous choisissez de créer votre espace
Progression modules	Leçons, temps passé	Exécution du contrat (Art. 6.1.b)	Compte + 3 ans
Scores quiz	Résultats et tentatives	Exécution du contrat (Art. 6.1.b)	Compte + 3 ans
Certificats	Date, score, identifiant	Exécution du contrat (Art. 6.1.b)	Compte + 3 ans
Historique chat IA	Conversations tuteur	Exécution du contrat (Art. 6.1.b)	12 mois glissants

Données de paiement

Donnée	Description	Base légale	Conservation
Statut abonnement	Plan, collaborateurs, statut	Exécution du contrat (Art. 6.1.b)	Durée + 5 ans
Identifiant client Mollie	Référence Mollie (customer/mandat)	Exécution du contrat (Art. 6.1.b)	Durée + 5 ans
Coordonnées de facturation	Raison sociale, adresse, N° TVA	Obligation légale (Art. 6.1.c)	10 ans
Historique paiements & factures	Montants, dates, factures	Obligation légale (Art. 6.1.c)	10 ans

⚠️ Nous ne stockons aucune donnée bancaire (carte, IBAN). Ces données sont traitées exclusivement par Mollie (prestataire de paiement établi aux Pays-Bas, UE), certifié PCI DSS.

3. Personnalisation par intelligence artificielle

Klaveta utilise les modèles Anthropic Claude pour :

Générer des scénarios de formation personnalisés adaptés à votre profil ;
Fournir un tuteur IA conversationnel guidant votre apprentissage ;
Produire des recommandations de conformité EU AI Act contextualisées ;
Générer des documents de gouvernance IA personnalisés.

Données transmises à Anthropic : uniquement votre profil professionnel — secteur, rôle, taille d'entreprise, niveau d'expérience IA, outil d'IA principal. Aucune donnée directement identifiante (nom, prénom, adresse email) n'est transmise.

Conformément à l'article 22 du RGPD, Klaveta n'applique aucune décision automatisée à portée juridique. Conformément à l'article 50 de l'EU AI Act, vous êtes informé que vous interagissez avec un système d'IA.

Contrôle humain (EU AI Act) : Les contenus générés par nos assistants IA (NOVA, ARIA, LÉON, MAX) sont produits automatiquement et ne constituent pas un avis juridique. Klaveta maintient un contrôle humain sur les contenus pédagogiques. Tout contenu IA peut être signalé à hello@klaveta.ai.

4. Sous-traitants

Sous-traitant	Rôle	Localisation	Garanties
Supabase, Inc.	Base de données, auth	Serveurs UE (Irlande — eu-west-1)	DPA RGPD, CCT
Vercel, Inc.	Hébergement application	Serveurs EU	DPA RGPD, CCT
Mollie B.V.	Paiements & facturation	UE (Pays-Bas)	DPA RGPD, PCI DSS L1
HubSpot, Inc.	CRM, nurturing commercial	US	DPA, CCT UE-US
Resend, Inc.	Emails transactionnels	US	DPA RGPD, CCT
Anthropic, PBC	Modèles IA	US	DPA, CCT UE-US
Google Ireland Ltd	Mesure d'audience (Google Tag Manager) — sur consentement	EU + US	DPA, CCT — Consent Mode
Meta Platforms Ireland Ltd	Pixel publicitaire / retargeting — sur consentement	EU + US	DPA, CCT
Functional Software, Inc. (Sentry)	Supervision technique ; Session Replay sur consentement	US	DPA, CCT UE-US

Les transferts vers les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne et, le cas échéant, par le Data Privacy Framework UE-US.

5. Vos droits RGPD

Droit	Article RGPD	Comment l'exercer
Accès	Art. 15	Email dpo@klaveta.ai
Rectification	Art. 16	Depuis votre profil ou email dpo@klaveta.ai
Effacement	Art. 17	Depuis les paramètres ou email dpo@klaveta.ai
Limitation	Art. 18	Email dpo@klaveta.ai
Portabilité	Art. 20	Email dpo@klaveta.ai
Opposition	Art. 21	Email dpo@klaveta.ai
Retrait du consentement	Art. 7	Depuis votre profil

Délai de réponse : 1 mois maximum (Art. 12.3 RGPD). En cas de réponse insatisfaisante, vous pouvez saisir la CNIL sur cnil.fr.

6. Cookies & traceurs

Notre bandeau de consentement, développé et hébergé par Klaveta, recueille votre choix avant tout dépôt de traceur non essentiel. Aucun prestataire tiers n'intervient dans ce recueil. Aucun traceur soumis à consentement ne se déclenche avant votre acceptation, et « Refuser » bloque tout aussi simplement qu'« Accepter ». Vous pouvez modifier ou retirer votre consentement à tout moment via le lien (présent en pied de page).

Cookies strictement nécessaires (sans consentement — base légale : intérêt légitime)

Cookie / traceur	Finalité	Durée
`sb-access-token / sb-refresh-token`	Session d'authentification (Supabase)	Session / 7 jours
`klaveta_consentement`	Mémorisation de vos choix de consentement	6 mois
`klaveta_pending_checkout (localStorage)`	Panier temporaire avant paiement	10 minutes

Traceurs soumis à votre consentement (base légale : consentement — Art. 6.1.a RGPD)

Traceur	Finalité	Éditeur / durée
Google Tag Manager	Mesure d'audience et pilotage des tags	Google — jusqu'à 13 mois
Pixel Facebook (_fbp)	Mesure et retargeting publicitaire	Meta — jusqu'à 3 mois
HubSpot (hubspotutk, __hstc, __hssc, __hssrc, messagesUtk)	Mesure d'audience & CRM (portail EU — eu1)	HubSpot — jusqu'à 13 mois
Sentry Session Replay	Rejeu de session (diagnostic technique, saisies masquées)	Sentry (US) — 90 jours

La supervision technique des erreurs (Sentry, hors Session Replay) fonctionne en intérêt légitime, sans donnée directement identifiante (IP non collectée, adresses email masquées avant envoi). Les transferts hors UE (Google, Meta, Sentry) sont encadrés par les Clauses Contractuelles Types.

7. Sécurité

Chiffrement en transit : HTTPS/TLS sur toutes les communications ;
Chiffrement au repos : données stockées chiffrées chez Supabase ;
Mots de passe hachés (bcrypt), authentification JWT ;
Row Level Security (RLS) — chaque utilisateur n'accède qu'à ses propres données ;
Clés API et secrets jamais exposés côté client.

8. Durées de conservation des données

Conformément à l'article 5(1)(e) du RGPD, les données personnelles sont conservées uniquement le temps nécessaire aux finalités pour lesquelles elles sont collectées, puis supprimées automatiquement.

Catégorie de données	Durée de conservation	Base légale
Données de compte (profil, email)	Durée de l'abonnement + 3 ans	Exécution du contrat
Sessions et résultats d'audit ou de diagnostic (nominatifs)	30 jours après la fin — conservés avec votre compte si vous choisissez de créer votre espace	Exécution du contrat
Réponses d'audit anonymisées (profil seul, sans identité)	Sans limite — donnée non personnelle	Intérêt légitime (statistiques)
Déclarations d'usage de l'IA (parcours guidé)	Pendant la présence dans l'entreprise, puis cinq ans après le départ	Traçabilité des mesures de maîtrise de l'IA (art. 4 EU AI Act)
Progression dans les modules	Durée de l'abonnement + 3 ans	Exécution du contrat
Attestations et certificats	Durée de l'abonnement + 3 ans	Preuve de maîtrise de l'IA (art. 4 EU AI Act)
Logs d'interaction IA	1 an	Intérêt légitime (amélioration service)
Journal d'activité administrateur	5 ans	Obligation légale (comptable/juridique)
Enquêtes de satisfaction (NPS)	2 ans	Intérêt légitime (qualité service)
Sessions audit anonymes	6 mois	Consentement

Une purge automatique est exécutée quotidiennement pour supprimer les données ayant atteint leur date d'expiration.

9. Violation de données personnelles (Art. 33-34 RGPD)

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, Klaveta s'engage à :

Notifier la CNIL dans un délai de 72 heures conformément à l'article 33 du RGPD ;
Vous en informer sans délai injustifié si le risque est élevé, conformément à l'article 34 du RGPD.

Pour signaler une incident de sécurité ou une fuite de données : hello@klaveta.ai (objet : « Incident sécurité »).

10. Contact — Délégué à la Protection des Données (DPO)

Zaheda Taky — DPO
HARMONIA SAS — SIRET 102 533 932 00012
90 B rue Roger Payet, 97438 Sainte-Marie, La Réunion, France
Email : dpo@klaveta.ai

Pour toute demande relative à vos données personnelles (accès, rectification, effacement, portabilité), adressez votre email à dpo@klaveta.ai avec pour objet : « Demande RGPD ».
Pour le support technique et général : hello@klaveta.ai.

CGU Mentions légales Retour à l'accueil