KEWOS, SASU, 8 B rue Abel, 75012 Paris. SIREN 108 533 225.
1. Deux rôles bien distincts, et pourquoi ça compte
Le RGPD distingue celui qui décide d’un traitement (responsable de traitement) de celui qui exécute pour le compte d’un autre (sous-traitant). Kewos est tantôt l’un, tantôt l’autre, et les droits que vous pouvez exercer directement auprès de nous en dépendent.
| Situation | Rôle de KEWOS | Ce que ça implique pour vous |
|---|---|---|
Vous visitez kewos.io, remplissez un formulaire, créez un compte, recevez une facture | Responsable de traitement | Vous exercez vos droits directement auprès de nous |
| Vous êtes salarié, client ou contact d’une entreprise qui utilise Kewos, et vos données sont dans son ERP | Sous-traitant | Vous exercez vos droits auprès de cette entreprise, qui décide seule du sort de ces données. Nous la relayons, nous ne décidons pas à sa place |
Cette politique couvre le premier cas. Le second est régi par le contrat de sous-traitance conclu avec le client concerné.
2. Ce que nous traitons quand nous sommes responsables
| Finalité | Données | Base légale | Conservation |
|---|---|---|---|
| Répondre à une demande de contact ou de démonstration | Nom, email, société, message | Mesures précontractuelles à votre demande (art. 6.1.b) | 3 ans après le dernier contact |
| Créer et gérer un compte | Nom, email, identifiants, préférences (langue, fuseau) | Exécution du contrat (art. 6.1.b) | Durée du compte + 1 an |
| Facturer et tenir la comptabilité | Identité, adresse, coordonnées de facturation, historique | Obligation légale (art. 6.1.c) | 10 ans (art. L123-22 code de commerce) |
| Sécuriser le service : journaux de connexion, détection d’abus | Adresse IP, horodatage, agent utilisateur, événements d’authentification | Intérêt légitime à protéger le service (art. 6.1.f) | 12 mois |
| Mesurer l’audience du site | Voir la politique cookies | Consentement (art. 6.1.a) | 13 mois maximum |
| Envoyer des informations commerciales | Email, société | Consentement, ou intérêt légitime entre professionnels sur des produits analogues | Jusqu’au retrait, puis 3 ans |
| Traiter une demande d’exercice de droits | Identité, pièce justificative éventuelle, contenu de la demande | Obligation légale (art. 6.1.c) | 1 an (5 ans en cas de contentieux) |
Nous ne vendons aucune donnée. Nous ne pratiquons ni profilage publicitaire, ni décision entièrement automatisée produisant des effets juridiques à votre égard.
3. Fonctionnalités d’intelligence artificielle
Kewos propose des fonctions assistées par IA (assistant, génération de modules, traduction, suggestions). Ce que vous devez savoir :
- Vous êtes toujours informé lorsque vous interagissez avec une IA et non avec une personne, et les contenus générés sont identifiés comme tels.
- L’IA ne décide pas à votre place. Aucune fonction d’IA ne produit de décision ayant un effet juridique ou vous affectant de manière significative sans intervention humaine. Les propositions doivent être confirmées.
- Les fonctions d’IA sont désactivables et, sur un service auto-hébergé, peuvent n’être jamais activées.
- Les échanges avec l’IA sont journalisés pour la traçabilité, la facturation à l’usage et le contrôle de quota.
- Les fournisseurs de modèles utilisés, leur localisation et les garanties associées figurent dans la liste des sous-traitants. Aucun envoi vers un fournisseur situé hors UE n’a lieu sans configuration explicite et consentie côté client.
- Nous n’utilisons pas vos données pour entraîner des modèles, ni les nôtres ni ceux de tiers.
4. Destinataires
Vos données sont accessibles :
- aux personnes habilitées chez KEWOS, dans la stricte limite de leurs missions ;
- à nos sous-traitants, listés et encadrés, voir la liste des sous-traitants ;
- aux autorités administratives ou judiciaires, sur réquisition régulière.
5. Transferts hors Union européenne
L’hébergement est en France, chez OVH. Le fonctionnement par défaut de Kewos n’implique aucun transfert hors UE.
Si un client active une fonction reposant sur un prestataire hors UE (certains fournisseurs de modèles d’IA, par exemple), le transfert repose sur les clauses contractuelles types de la Commission européenne et, le cas échéant, sur des mesures supplémentaires. Cette activation est un choix explicite du client, jamais un réglage par défaut.
6. Sécurité
Sans prétendre à l’exhaustivité, les mesures en place incluent : chiffrement des échanges en TLS, cloisonnement des données par une base de données distincte par client, contrôle d’accès appliqué au niveau du modèle de données et non seulement à l’interface, secrets chiffrés au repos, journal d’audit inaltérable en écriture seule, authentification à deux facteurs disponible, sauvegardes chiffrées, et durcissement documenté des serveurs.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, et du droit de définir des directives sur le sort de vos données après votre décès.
Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, aussi simplement que vous l’avez donné, sans que cela remette en cause la licéité de ce qui a été fait avant.
Comment exercer : écrivez à contact@kewos.io ou à KEWOS, 8 B rue Abel, 75012 Paris. Nous répondons sous un mois, prolongeable de deux mois si la demande est complexe, auquel cas nous vous en informons dans le premier mois. Une pièce d’identité ne vous sera demandée qu’en cas de doute raisonnable sur votre identité.
Si vos données sont dans l’ERP d’une entreprise cliente, adressez-vous à cette entreprise : c’est elle qui décide. Si vous ne savez pas à qui vous adresser, écrivez-nous, nous vous orienterons.
Réclamation : vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, https://www.cnil.fr.
8. Délégué à la protection des données
KEWOS n’a pas désigné de délégué à la protection des données. L’article 37 du RGPD rend cette désignation obligatoire dans trois cas seulement, et aucun n’est rempli à ce jour :
| Cas de l’article 37.1 | Situation de KEWOS |
|---|---|
| a) Autorité ou organisme public | Non : société commerciale privée |
| b) Suivi régulier et systématique à grande échelle | Non : nous n’observons pas le comportement des personnes ; le site ne dépose aucun traceur de mesure |
| c) Traitement à grande échelle de données sensibles ou d’infractions | Non : aucune donnée de l’article 9 ou 10 traitée pour notre compte |
Cette analyse est datée et réversible. Le cas c) devient plausible dès que nous hébergeons pour un grand nombre de clients un module manipulant des données de santé ou des données sociales détaillées : arrêts de travail, santé au travail, paie. Le point est réexaminé à chaque nouveau module et, en tout état de cause, une fois par an.
En attendant, les questions relatives aux données personnelles sont traitées à contact@kewos.io, avec « données personnelles » en objet.
Ne pas désigner de DPO ne réduit aucune des obligations qui précèdent. Cela signifie seulement que la responsabilité n’est pas déléguée à une fonction dédiée : elle reste celle du président.
9. Violation de données
En cas de violation de données à caractère personnel, nous notifions la CNIL dans les 72 heures dès que nous en avons connaissance, et informons les personnes concernées sans délai injustifié lorsque le risque pour leurs droits et libertés est élevé. Lorsque nous agissons comme sous-traitant, nous alertons le client sans délai injustifié afin qu’il puisse assumer sa propre obligation de notification.
10. Modifications
Toute modification substantielle est portée à votre connaissance par email ou par un avis dans l’application, au moins 30 jours avant son entrée en vigueur. L’historique des versions est conservé et consultable sur demande.