Politique de confidentialité

1. Introduction & périmètre

La présente politique décrit comment KnowVault, édité par la société Carthanet (ci-après "l'Éditeur"), collecte, utilise et protège les données personnelles des personnes qui utilisent ses services.

Elle s'applique à l'ensemble des points de contact de KnowVault :

• Le site vitrine : knowvault.fr
• La démo publique : demo.knowvault.fr
• L'application : app.knowvault.fr

2. Responsable de traitement

Le responsable du traitement est :

Carthanet, SASU immatriculée au RCS de Paris sous le numéro 930 115 506
Siège social : 60 rue François Ier, 75008 Paris, France
Contact : legal@knowvault.fr

3. Données collectées

Les données collectées varient selon votre usage :

3.1. Visiteurs du site vitrine

Lorsque vous remplissez le formulaire de contact, nous collectons : nom et prénom, adresse email professionnelle, nom et taille de l'entreprise. Ces informations servent uniquement à répondre à votre demande. Lors de votre navigation, des statistiques de fréquentation anonymes sont également collectées (voir section 9.3).

3.2. Utilisateurs de la démo

La démo est accessible sans inscription, via un compte de démonstration partagé. Aucune modification n'y est enregistrée : les actions de création, d'envoi et de suppression sont bloquées. La connexion est protégée par Cloudflare Turnstile. Des données techniques (adresse IP, user agent, journaux de session) peuvent être enregistrées à des fins de sécurité et de fonctionnement.

3.3. Utilisateurs de l'application

Lors de la création d'un compte : adresse email, nom, mot de passe (stocké sous forme de hash), entreprise, rôles. Lors de l'usage : vidéos et contenus que vous créez, commentaires, feedback, métadonnées associées, logs d'activité nécessaires à la sécurité et au support.

La piste audio des vidéos est transcrite automatiquement, et les transcriptions peuvent être traduites automatiquement afin de proposer des sous-titres et la recherche dans les vidéos (voir les sous-traitants en section 5). La connexion et l'inscription sont protégées par un contrôle anti-robots Cloudflare Turnstile. Si vous choisissez de vous connecter avec Google ou Microsoft, ce fournisseur nous transmet votre nom et votre adresse email ; il agit alors en tant que responsable de traitement distinct, selon sa propre politique de confidentialité.

Si votre visite provient d'une annonce Google, l'identifiant de clic correspondant est également enregistré avec votre compte pendant 120 jours, sans cookie (voir section 9.4).

3.4. Clients payants

Informations de facturation (raison sociale, adresse, numéro de TVA le cas échéant) et historique des paiements. Les données de cartes bancaires ne sont jamais stockées par KnowVault : elles sont traitées directement par Stripe.

Pour assurer la facturation au nombre de Contributeurs actifs, nous stockons dans notre base de données les identifiants Stripe techniques associés à votre organisation (identifiant client Stripe, identifiant d'abonnement, identifiant de ligne d'abonnement), la périodicité de facturation choisie (mensuelle ou annuelle), le statut de l'abonnement et la date de fin de période en cours. Ces données sont utilisées exclusivement pour synchroniser le nombre de sièges facturés avec le nombre de Contributeurs réels et pour afficher l'état de votre abonnement dans l'application.

Vous pouvez accéder à l'historique complet de vos factures, télécharger les PDF et mettre à jour votre moyen de paiement soit depuis app.knowvault.fr (onglet Facturation), soit via le portail client Stripe dont le lien est accessible depuis votre espace.

4. Finalités & bases légales

Nous traitons vos données pour les finalités suivantes :

• Répondre à vos demandes de contact — base légale : mesures précontractuelles prises à votre demande (art. 6.1.b RGPD)
• Fournir le service KnowVault — base légale : exécution du contrat (art. 6.1.b)
• Facturer et tenir la comptabilité — base légale : obligation légale (art. 6.1.c)
• Sécuriser le service, prévenir la fraude — base légale : intérêt légitime (art. 6.1.f)
• Améliorer le produit — base légale : intérêt légitime, avec données agrégées et anonymisées uniquement
• Mesurer l'audience du site vitrine (Google Analytics) — base légale : votre consentement (art. 6.1.a), recueilli via le bandeau cookies et révocable à tout moment
• Produire des statistiques anonymes de fréquentation du site vitrine et de la démo (outil interne) — base légale : intérêt légitime (art. 6.1.f), mesure exemptée de consentement dans les conditions décrites en section 9.3
• Mesurer l'efficacité de nos campagnes publicitaires (identifiant de clic Google, sans cookie) — base légale : votre consentement (art. 6.1.a), recueilli via le bandeau cookies, dans les conditions décrites en section 9.4

5. Sous-traitants & destinataires

Vos données peuvent être traitées par les sous-traitants suivants, sélectionnés pour leurs garanties de sécurité et leur conformité RGPD :

• Supabase Inc. — base de données, authentification et stockage des vidéos. Infrastructure hébergée en Union Européenne (Irlande).
• OVHcloud (OVH SAS) — hébergement des serveurs du site vitrine, de la démo, de l'application et du traitement des vidéos. Données hébergées en France/UE.
• Resend, Inc. — envoi des emails transactionnels (confirmation de demande de contact, invitations, notifications).
• OpenAI — transcription automatique de la piste audio des vidéos. Selon les conditions de son API, les données transmises ne sont pas utilisées pour entraîner ses modèles.
• DeepL SE (Allemagne) — traduction automatique des transcriptions et des sous-titres.
• Stripe Payments Europe, Ltd. — traitement des paiements, émission des factures, hébergement du portail client (mise à jour du moyen de paiement, consultation des factures, résiliation, changement de périodicité mensuelle ↔ annuelle) et calcul automatique de la TVA selon l'adresse de facturation. Aucune donnée de carte bancaire n'est stockée par KnowVault ; elles sont traitées dans un environnement certifié PCI-DSS niveau 1 par Stripe.
• Cloudflare, Inc. — service Turnstile (protection anti-robots des formulaires de connexion et d'inscription de la démo et de l'application).
• Google Ireland Ltd. / Google LLC — service Google Analytics 4, utilisé uniquement sur le site vitrine knowvault.fr et déclenché exclusivement après votre consentement explicite. Google Analytics 4 n'enregistre ni ne stocke les adresses IP. Aucun outil de mesure d'audience Google n'est chargé sur la démo ni sur l'application. Google Ads reçoit par ailleurs, depuis nos serveurs et sans cookie, la confirmation qu'un clic publicitaire a abouti à une inscription (voir section 9.4) ; il agit alors en tant que responsable de traitement distinct.

Aucune donnée n'est revendue, louée ou transmise à des tiers à des fins publicitaires.

6. Durées de conservation

• Prospects (formulaire de contact) : 3 ans à compter du dernier contact (recommandation CNIL)
• Comptes utilisateurs actifs : durée de l'utilisation du service
• Contenus créés (vidéos, feedback) : durée de l'abonnement + 30 jours après suppression du compte (période de grâce pour export)
• Transcriptions et traductions : même durée que la vidéo correspondante
• Données de facturation & factures : 10 ans (obligation comptable)
• Logs de sécurité : 12 mois
• Cookies de mesure d'audience (Google Analytics) : 13 mois maximum (recommandation CNIL)
• Mémorisation de votre choix de consentement : 6 mois, après quoi le bandeau vous est à nouveau proposé
• Mesure d'audience interne : 25 mois pour les statistiques ; l'identifiant stocké dans votre navigateur expire au bout de 13 mois
• Identifiant de clic publicitaire : 120 jours à compter de l'inscription

7. Transferts hors Union Européenne

L'infrastructure principale de KnowVault est hébergée en Union Européenne. Certains sous-traitants (notamment Stripe, Cloudflare, Supabase, Resend, OpenAI et Google) sont des sociétés de droit américain ou appartiennent à des groupes américains. Tout transfert de données vers un pays hors UE est encadré par les Clauses Contractuelles Types de la Commission Européenne et, le cas échéant, par la certification EU-US Data Privacy Framework.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour garantir la confidentialité et l'intégrité de vos données :

• Chiffrement AES-256 au repos et TLS 1.2/1.3 en transit
• Contrôles d'accès stricts : rôles, cloisonnement des données par organisation
• Accès aux vidéos par liens signés à durée de validité limitée
• Audits et revues de sécurité réguliers
• Hébergement dans des datacenters certifiés ISO 27001

9. Cookies

9.1. Cookies strictement nécessaires

Le site vitrine dépose un cookie de préférence de langue (NEXT_LOCALE). Votre choix concernant la mesure d'audience est mémorisé dans le stockage local de votre navigateur, sans cookie. La démo et l'application utilisent des cookies de session utilisateur et le jeton Cloudflare Turnstile (anti-robots). Ces traceurs strictement nécessaires ne requièrent pas de consentement préalable, conformément à l'article 82 de la loi Informatique et Libertés.

9.2. Mesure d'audience (Google Analytics)

Le site vitrine knowvault.fr utilise Google Analytics 4 pour mesurer la fréquentation et améliorer l'expérience des visiteurs. Ces cookies ne sont déposés qu'après votre consentement explicite, recueilli via le bandeau affiché lors de votre première visite. Tant que vous n'avez pas accepté, aucun script Google n'est chargé.

Lorsque vous consentez, les cookies suivants peuvent être déposés : _ga, _ga_<ID> (identifiants utilisés par Google Analytics pour distinguer les visiteurs et les sessions). Google Analytics 4 n'enregistre ni ne stocke les adresses IP. Aucune donnée n'est utilisée à des fins publicitaires ni croisée avec d'autres services Google.

Vous pouvez modifier votre choix à tout moment en cliquant sur "Gérer mes cookies" en bas de page. Refuser ou retirer votre consentement n'a aucune incidence sur l'accès au service.

La démo (demo.knowvault.fr) et l'application (app.knowvault.fr) n'utilisent aucun cookie de mesure d'audience.

9.3. Mesure d'audience interne (sans consentement)

Pour savoir quels contenus intéressent nos visiteurs, le site vitrine et la démo utilisent un outil de mesure d'audience développé et hébergé par KnowVault. Conformément aux lignes directrices de la CNIL, cette mesure ne requiert pas de consentement, car elle est strictement limitée à la production de statistiques anonymes :

• un identifiant aléatoire, sans lien avec votre identité, est placé dans le stockage local de votre navigateur pour 13 mois maximum, sans prolongation à chaque visite ;
• sont enregistrés : les pages consultées, les clics sur les principaux boutons (démo, connexion, inscription), le fait qu'un formulaire a été commencé ou envoyé (jamais son contenu), le temps d'utilisation active de la démo, la provenance (site d'origine, paramètres de campagne), le type d'appareil et le pays ;
• le pays est déduit de l'adresse IP à la réception, grâce à une base de géolocalisation stockée sur nos serveurs ; l'adresse IP n'est ni conservée ni transmise à un tiers ;
• ces données ne sont croisées avec aucun autre traitement, notamment les demandes de contact, ne permettent pas de suivre votre navigation sur d'autres sites et sont conservées 25 mois maximum.

Vous pouvez vous opposer à cette mesure à tout moment, sans conséquence sur l'accès au site. Votre choix est enregistré dans ce navigateur, pour le site sur lequel vous l'exprimez. Pour la démo, ouvrez ce lien : ne plus être mesuré sur la démo.

9.4. Mesure des conversions publicitaires (sans cookie)

Si vous arrivez sur le site vitrine depuis une annonce Google, l'adresse de la page contient un identifiant de clic publicitaire (gclid) ajouté par Google. Cet identifiant nous sert uniquement à savoir quelles annonces mènent à une inscription, et non à vous suivre.

• il est conservé en mémoire le temps de votre onglet : aucun cookie n'est déposé et rien n'est écrit dans votre navigateur ;
• il n'est ajouté au lien vers app.knowvault.fr que si vous avez accepté le bandeau cookies. Si vous l'avez refusé, il est simplement oublié à la fermeture de l'onglet ;
• si, et seulement si, vous créez un compte, il est enregistré sur nos serveurs, rattaché à ce compte ;
• nous transmettons ensuite à Google Ads, depuis nos serveurs, le seul fait qu'un clic publicitaire a donné lieu à une inscription puis à une activation de compte. Ni votre nom, ni votre adresse email, ni aucune donnée de votre compte ne sont transmis ;
• aucun outil de mesure Google n'est chargé sur l'application : celle-ci ne contient aucun script publicitaire ;
• cet identifiant est supprimé au bout de 120 jours.

Ce traitement repose sur votre consentement(art. 6.1.a RGPD), celui que vous donnez via le bandeau cookies : sans acceptation, aucun identifiant de clic n'est transmis ni conservé. Vous pouvez retirer ce consentement à tout moment en cliquant sur « Gérer mes cookies » en bas de page, et nous demander l'effacement de l'identifiant déjà associé à votre compte (voir section 12).

10. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles
• Droit de rectification
• Droit à l'effacement ("droit à l'oubli")
• Droit à la limitation du traitement
• Droit à la portabilité
• Droit d'opposition au traitement
• Droit de retirer votre consentement à tout moment
• Droit de définir des directives post-mortem

Pour exercer ces droits, contactez-nous à legal@knowvault.fr. Nous répondons dans un délai maximum d'un mois.

11. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à :

CNIL — Commission Nationale de l'Informatique et des Libertés
3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
www.cnil.fr

12. Modifications & contact

La présente politique peut évoluer. Les modifications substantielles sont notifiées aux utilisateurs titulaires d'un compte par email. La date de dernière mise à jour figure en haut de cette page.

Pour toute question : legal@knowvault.fr