Politique de confidentialité

La présente Politique décrit la manière dont KASAR (« Kasar », « nous ») traite les données à caractère personnel dont elle est responsable du traitement :

• celles des visiteurs de son site kasar.app (mesure d'audience, provenance, chat, prise de rendez-vous) ;
• celles de ses prospects ;
• celles des Utilisateurs de la plateforme KasarCRM, pour la gestion de leur compte et de la relation contractuelle.

Elle décrit aussi, pour l'information des Utilisateurs et des plateformes concernées (Google, Meta), ce que fait le Service des données issues des intégrations qu'un Utilisateur connecte (articles 8 à 11).

1. Responsable du traitement et contact#

• Responsable du traitement : KASAR, SAS au capital de 1 000 €, 60 rue François Ier, 75008 Paris, immatriculée au RCS de Paris sous le numéro 999 602 865.
• Contact en matière de protection des données : support@kasar.app.

2. Données que nous collectons#

3. Finalités et bases légales#

4. Le site kasar.app#

Le site est hébergé par Vercel (exécution en France). Vos requêtes y sont journalisées (adresse IP, page demandée) pour la sécurité et la limitation des abus ; l'adresse IP sert aussi, de façon transitoire, à limiter le nombre d'appels à certaines routes (Upstash).

4.1 Mesure d'audience : PostHog, sans cookie#

Nous mesurons l'audience du site avec PostHog (PostHog Cloud EU, hébergé dans l'Union européenne), appelé depuis notre propre domaine. Sont enregistrés : les pages consultées, le pays déduit de l'adresse IP, l'appareil et le navigateur, le temps passé, la profondeur de défilement, les éléments cliqués et les mesures de performance des pages (Web Vitals).

• Aucun cookie ni stockage local n'est déposé par cette mesure : PostHog est configuré en mode sans cookie, avec un état conservé en mémoire le temps de la page. Pour distinguer les visites, PostHog calcule côté serveur un identifiant haché (adresse IP, navigateur, sel) qui change chaque jour et ne permet pas de vous reconnaître d'un jour à l'autre.
• Aucun enregistrement de session (vidéo ou rejeu) n'est effectué.
• Le signal « Do Not Track » de votre navigateur est respecté : s'il est activé, aucune mesure n'est envoyée.
• Ces données ne sont pas rattachées à votre identité, ne sont pas revendues et ne servent à aucun ciblage publicitaire.

Base légale : intérêt légitime. Consentement : non requis, aucune information n'étant lue ou déposée sur votre appareil. Vous pouvez vous y opposer en écrivant à support@kasar.app ou en activant « Do Not Track ».

4.2 Cookie de provenance (kasar_attr)#

Lorsque vous arrivez sur kasar.app depuis un autre site, un moteur de recherche, un assistant d'IA, une publicité ou un lien que nous vous avons envoyé, nous enregistrons cette provenance, si vous y avez consenti, dans un cookie kasar_attr, déposé sur le domaine .kasar.app pour 180 jours. Il contient : la source, le canal, le nom de la campagne et ses paramètres (utm_term, utm_content), le site référent, la page d'arrivée, le type d'identifiant de clic publicitaire détecté (par exemple gclid, sans sa valeur) et la date de chaque visite attribuée (première et dernière).

• Lorsque vous arrivez par un lien d'une de nos campagnes de prospection, le paramètre utm_content peut contenir un identifiant de prospect propre à cette campagne : le cookie permet alors de rattacher votre visite à ce prospect.
• Le cookie ne contient ni votre nom, ni votre adresse email, ni identifiant publicitaire tiers. Il n'est pas lu par des régies publicitaires et ne sert pas à vous suivre sur d'autres sites.
• Il est lu par la plateforme platform.kasar.app lors d'une inscription, par notre serveur lors de la lecture d'un guide (article 4.5), et transmis à Cal.com sous forme de paramètres UTM lorsque vous réservez un rendez-vous (article 4.4).
• Aucun cookie n'est déposé si votre visite ne comporte aucune information de provenance (navigation interne ou accès direct), ni si vous n'avez pas donné votre consentement.

Finalité : savoir quels canaux nous font connaître et d'où viennent les demandes. Base légale : votre consentement. Ce cookie n'étant pas au nombre des traceurs exemptés de consentement, il n'est déposé qu'avec votre accord, que vous pouvez retirer à tout moment (voir l'article 5). Vous pouvez aussi nous demander de supprimer la provenance rattachée à votre demande.

4.3 Chat en ligne (Crisp)#

Le site intègre le module de chat de Crisp (Crisp IM SAS, France). Ce module n'est chargé qu'à votre initiative, lorsque vous ouvrez le chat : aucune information n'est alors lue ni enregistrée par Crisp sur votre appareil avant cette action. Une fois le chat ouvert, Crisp enregistre dans le stockage local de votre navigateur un identifiant de session de chat (crisp-client/session/…), afin de retrouver la conversation d'une page à l'autre, et peut déposer ses propres cookies techniques de session. Si vous écrivez sur le chat, vos messages, l'adresse email que vous communiquez et des informations techniques de session (navigateur, page consultée) sont transmis à Crisp, qui les héberge pour notre compte.

Finalité : répondre à vos questions. Base légale : mesures précontractuelles prises à votre demande / intérêt légitime. Consentement : non requis, ces traceurs étant strictement nécessaires au service de chat que vous avez expressément demandé en ouvrant le chat (voir l'article 5). Durée : fixée par Crisp pour sa session ; les conversations sont conservées dans les conditions applicables aux prospects (article 13).

4.4 Prise de rendez-vous (Cal.com)#

Les boutons « Voir une démo » ouvrent une fenêtre de réservation fournie par Cal.com (Cal.com, Inc., États-Unis). Le module de Cal.com n'est chargé qu'à votre initiative, lorsque vous ouvrez la fenêtre de réservation ; il transmet alors à Cal.com votre adresse IP et les informations techniques de la requête. Kasar ne dépose aucun cookie à cette occasion. Lorsque vous réservez, les données saisies (nom, email, créneau, réponses) et la provenance de votre visite (article 4.2) sont traitées par Cal.com, qui peut déposer ses propres cookies techniques dans sa fenêtre de réservation. Le même module est utilisé dans la plateforme pour réserver un appel de mise en route.

Finalité : organiser le rendez-vous demandé. Base légale : mesures précontractuelles prises à votre demande. Transfert hors UE : oui (article 12).

4.5 Lecture des guides#

Nos guides, diffusés par lien direct dans nos campagnes, mesurent la progression de lecture (ouverture, défilement, fin de lecture). Chaque événement est envoyé à PostHog (article 4.1) et à notre propre serveur, qui relit le cookie de provenance lorsque vous avez consenti à son dépôt (article 4.2) : lorsque celui-ci porte un identifiant de prospect, la lecture est rattachée à ce prospect afin d'adapter notre suivi commercial. Ces événements sont conservés dans les journaux de notre hébergeur (Vercel), puis dans notre CRM dans les conditions applicables aux prospects.

Base légale : intérêt légitime (prospection B2B), avec droit d'opposition à tout moment à support@kasar.app.

5. Cookies et traceurs#

Le tableau ci-dessous recense les traceurs réellement déposés ou lus, sur le site et sur la plateforme. « Consentement » renvoie aux règles de l'article 82 de la loi Informatique et Libertés.

Recueil du consentement. Lors de votre première visite, un bandeau vous permet d'accepter ou de refuser, aussi simplement l'un que l'autre, les traceurs soumis à consentement. Tant que vous n'avez pas accepté, aucun de ces traceurs n'est déposé, et le site reste entièrement consultable si vous refusez. Vous pouvez retirer votre consentement à tout moment, aussi simplement que vous l'avez donné, depuis le site. Le chat Crisp et la fenêtre de réservation Cal.com ne sont chargés que lorsque vous les ouvrez. Aucun traceur publicitaire (pixel Meta, balise Google Ads, LinkedIn Insight ou autre) n'est chargé sur le site ni sur la plateforme.

6. Destinataires et sous-traitants#

Vos données sont accessibles aux personnels habilités de Kasar et à nos sous-traitants agissant pour notre compte :

• plateforme (liste complète à l'annexe 3 du DPA) : Supabase (base de données et stockage de fichiers), Vercel (exécution de l'application, supervision et rapports d'erreur, mesure d'audience et de performance), Upstash / Redis (cache, files de traitement), DigitalOcean (infrastructure de synchronisation et de traitement asynchrone, passerelle WhatsApp), Amazon Web Services S3 (enregistrements), Twilio (téléphonie native), Dropcontact (recherche d'adresses email professionnelles), Stripe (paiement), Resend (emails transactionnels), Anthropic, Deepgram et OpenAI (fonctionnalités d'IA, article 7) ;
• site : Vercel (hébergement), Upstash (limitation des abus), PostHog (mesure d'audience), Crisp (chat), Cal.com (prise de rendez-vous).

Nous ne vendons pas vos données. Nous ne les communiquons à des tiers que dans les cas prévus par la présente Politique ou lorsque la loi l'exige (autorité judiciaire ou administrative).

7. Fournisseurs d'intelligence artificielle#

Les fonctionnalités d'IA du Service sont fournies par Anthropic (génération de texte, analyse, résumé, assistant Léo), Deepgram (transcription des réunions, des appels et des mémos vocaux) et OpenAI (synthèse vocale des réponses de Léo, transcription de secours). Ces fournisseurs sont appelés directement, via leurs API commerciales, sans passerelle ni agrégateur ; le contenu concerné leur est transmis pour être traité (article 13 des Conditions Générales).

• Anthropic : Kasar a signé avec Anthropic un avenant de non-conservation : le contenu transmis est traité pour produire la réponse puis n'est pas conservé par Anthropic, sauf obligation légale ou lutte contre un usage contraire à sa politique d'utilisation. Anthropic ne l'utilise pas pour entraîner ses modèles.
• OpenAI n'utilise pas ce contenu pour entraîner ses modèles selon les conditions de son API ; il peut le conserver temporairement, notamment 30 jours à des fins de détection des abus.
• Deepgram peut conserver temporairement le contenu audio transmis, selon les conditions de son API ; il ne l'utilise pas pour entraîner ou améliorer ses modèles (article 13.3 des Conditions Générales).

Kasar n'utilise pas les données de ses Utilisateurs ni les données issues des intégrations pour entraîner des modèles d'IA.

8. Données Google (Gmail, Google Calendar, Google Meet)#

Lorsque vous connectez un compte Google, le Service demande les autorisations suivantes : gmail.modify (lecture, envoi et classement de vos emails), calendar (lecture et écriture de vos agendas) et, si vous activez la récupération des transcriptions, meetings.space.readonly (transcriptions Google Meet). Un compte Microsoft (Outlook) connecté est traité de la même manière pour les emails et l'agenda.

8.1 Google Calendar : données accessibles#

• la liste de vos agendas (noms, identifiants) ;
• les événements de vos agendas : titre, description, dates et heures, lieu, participants, statut de réponse, récurrence, lien de visioconférence ;
• les métadonnées associées : identifiants d'événement, dates de création et de modification, fuseaux horaires.

8.2 Utilisation#

Les données Google Calendar sont utilisées exclusivement pour :

• afficher vos événements dans le calendrier de Kasar ;
• créer et modifier, à votre demande, des événements dans Google Calendar depuis Kasar ;
• associer vos événements aux contacts et opportunités de votre CRM, et préparer ou résumer vos réunions lorsque vous utilisez ces fonctionnalités.

Les données Gmail sont utilisées exclusivement pour synchroniser vos échanges avec les fiches de votre CRM, afficher votre boîte de réception dans Kasar et envoyer les emails que vous rédigez ou programmez. Les transcriptions Google Meet ne sont récupérées que pour les réunions de votre agenda, afin de les rattacher à vos fiches et d'en produire un résumé.

8.3 Stockage et conservation#

Les données Google synchronisées sont stockées dans l'espace isolé de votre Organisation, dans notre base de données hébergée par Supabase en Irlande (UE). Leur synchronisation est exécutée par nos serveurs de traitement, situés aux États-Unis à ce jour (DigitalOcean, article 12). Elles sont conservées dans votre Organisation, comme historique de votre CRM, pendant la durée du contrat : la déconnexion de votre compte Google arrête la synchronisation, mais ne supprime pas les données déjà synchronisées. Elles sont supprimées plus tôt si vous les supprimez vous-même depuis Kasar ou si vous en faites la demande (article 8.7), et au plus tard à la fin du contrat, dans les conditions de l'article 17 des Conditions Générales.

8.4 Partage#

Les données Google ne sont communiquées à aucun tiers, en dehors de nos sous-traitants d'hébergement et de traitement (article 6) et, lorsque vous utilisez une fonctionnalité d'IA sur ces données (résumé, rédaction, assistant Léo), des fournisseurs d'IA de l'article 7, dans la seule mesure nécessaire à cette fonctionnalité. Au sein de Kasar, elles ne sont accessibles qu'aux membres de votre Organisation, selon les permissions définies dans votre espace.

8.5 Ce que Kasar ne fait pas avec vos données Google#

• Kasar ne vend ni ne transfère vos données Google à des plateformes publicitaires, courtiers de données ou revendeurs d'informations ;
• Kasar n'utilise pas vos données Google pour diffuser de la publicité, du ciblage ou du reciblage publicitaire ;
• Kasar n'utilise pas vos données Google pour évaluer une solvabilité ou à des fins de prêt ;
• Kasar n'utilise pas vos données Google pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralisés ;
• aucun être humain chez Kasar ne lit vos données Google, sauf (a) avec votre accord explicite, par exemple lorsque vous demandez l'intervention du support, (b) pour des besoins de sécurité, comme l'investigation d'un abus, (c) pour se conformer à une obligation légale, ou (d) sur des données agrégées et anonymisées pour des opérations internes.

8.6 Conformité à la Google API Services User Data Policy#

L'utilisation et le transfert par Kasar des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences d'usage limité (« Limited Use requirements »).

8.7 Révocation#

Vous pouvez déconnecter votre compte Google à tout moment depuis les paramètres d'intégration de Kasar, ou révoquer l'accès depuis https://myaccount.google.com/permissions. La révocation arrête la synchronisation : Kasar n'accède plus à votre compte Google.

Les données Google déjà synchronisées (emails, événements, transcriptions) restent dans votre Organisation comme Données Client (au sens des Conditions Générales), au titre de l'historique de votre CRM, jusqu'à la première des échéances suivantes (article 10.3 des Conditions Générales) :

• leur suppression par vous depuis Kasar ;
• votre demande de suppression adressée à support@kasar.app, qui peut viser l'ensemble des données synchronisées depuis un compte Google donné ;
• la fin du contrat (article 17 des Conditions Générales).

9. Meta Lead Ads (Facebook et Instagram)#

Kasar permet à un annonceur de connecter une Page Facebook pour recevoir automatiquement dans son CRM les prospects issus de ses formulaires instantanés (Lead Ads), sur Facebook et sur Instagram. L'annonceur est responsable du traitement de ces prospects ; Kasar agit pour son compte.

9.1 Données accessibles#

• les réponses saisies par la personne dans le formulaire de l'annonceur : typiquement nom, adresse email, numéro de téléphone, société, et toute question personnalisée définie par l'annonceur ;
• les métadonnées du prospect : identifiant du lead, date de soumission, formulaire d'origine, caractère organique ou payant, identifiants de la publicité, du groupe de publicités et de la campagne ;
• la liste des Pages que vous administrez (nom, identifiant), pour vous permettre de choisir celle à connecter.

9.2 Utilisation#

Les données Meta sont utilisées exclusivement pour créer ou enrichir une fiche dans l'espace de travail de l'annonceur, afin qu'il recontacte les personnes qui l'ont demandé, et pour rattacher chaque prospect à la campagne qui l'a généré.

9.3 Stockage et conservation#

Chaque prospect est écrit dans l'espace de base de données isolé de l'Organisation concernée, hébergé par Supabase en Irlande (UE). Les prospects ne sont jamais mutualisés entre annonceurs. Ils sont conservés dans l'Organisation, comme historique de son CRM, pendant la durée du contrat, y compris après la déconnexion de la Page, jusqu'à leur suppression par l'annonceur, sa demande de suppression (article 9.6) ou la fin du contrat.

9.4 Partage#

Les prospects issus de Meta ne sont communiqués à aucun tiers, en dehors de nos sous-traitants (article 6). Ils ne sont accessibles qu'aux membres de l'Organisation propriétaire de la Page connectée, selon les permissions définies dans son espace.

9.5 Ce que Kasar ne fait pas avec les données Meta#

• Kasar ne vend ni ne transfère les prospects à des plateformes publicitaires, courtiers de données ou revendeurs d'informations ;
• Kasar ne mutualise jamais les prospects entre annonceurs ;
• Kasar n'utilise pas les prospects pour diffuser de la publicité, du ciblage ou du reciblage ;
• Kasar n'utilise pas les prospects pour évaluer une solvabilité ou à des fins de prêt ;
• Kasar n'utilise pas les prospects pour entraîner des modèles d'IA ;
• aucun être humain chez Kasar ne lit ces données, sauf (a) avec l'accord explicite de l'annonceur, (b) pour des besoins de sécurité, ou (c) pour se conformer à une obligation légale.

9.6 Déconnexion et suppression#

L'annonceur peut déconnecter une Page à tout moment depuis les réglages d'intégration : Kasar retire alors l'abonnement aux notifications de prospects de cette Page, et aucun nouveau prospect n'est reçu. L'accès peut aussi être révoqué depuis les paramètres du compte Facebook. Conformément à l'article 10.3 des Conditions Générales, les prospects déjà reçus de cette Page restent dans l'Organisation comme Données Client, jusqu'à leur suppression par l'annonceur depuis Kasar, sa demande de suppression ou la fin du contrat. Toute demande de suppression, y compris par une personne dont les données ont été reçues, peut être adressée à support@kasar.app ; la procédure est décrite à https://kasar.app/fr/data-deletion.

10. WhatsApp#

Kasar permet de rattacher un compte WhatsApp pour retrouver ses conversations professionnelles dans le CRM. Le rattachement se fait par lecture d'un QR code : Kasar devient un appareil lié à votre compte, comme WhatsApp Web. Ce connecteur ne repose sur aucun partenariat avec Meta (article 10.6 des Conditions Générales).

10.1 Données accessibles#

Une fois le compte rattaché, Kasar accède :

• à la liste de vos conversations, individuelles et de groupe, avec la date de leur dernier message ;
• au contenu des messages échangés, y compris les pièces jointes, images et messages vocaux ;
• aux identifiants de vos correspondants : numéro de téléphone, identifiant technique WhatsApp, nom de profil qu'ils ont choisi et, lorsque WhatsApp le transmet, le nom que vous leur avez donné dans votre carnet d'adresses ;
• à leur photo de profil et à la composition des groupes auxquels vous participez.

10.2 L'index des conversations#

Pour afficher une liste de conversations complète et à jour, Kasar tient un index technique des conversations du compte rattaché : pour chacune, l'identifiant du correspondant, la date du dernier message et un extrait tronqué de celui-ci, chiffré au repos.

Cet index recense toute conversation qui transite par le compte, y compris avec des personnes qui ne sont pas des fiches de votre CRM. Il constitue donc, pendant la durée du rattachement, une trace de qui échange avec qui. Figurer dans cet index n'est pas être enregistré dans le CRM : seules les conversations que vous ajoutez explicitement, ou que vos règles de synchronisation admettent, donnent lieu à l'enregistrement d'interactions rattachées à une fiche.

10.3 Lieux de traitement#

La session WhatsApp et l'acheminement des messages sont gérés par notre passerelle, hébergée à ce jour aux États-Unis (DigitalOcean, article 12). L'index et les interactions enregistrées sont stockés dans l'espace isolé de votre Organisation, hébergé par Supabase en Irlande (UE), et ne sont jamais mutualisés entre Organisations. Les photos de profil ne sont pas stockées : elles sont relayées à la demande depuis WhatsApp.

10.4 Déconnexion et suppression#

Lorsque vous déconnectez le compte depuis Kasar, la synchronisation s'arrête, et la session WhatsApp et l'index des conversations (article 10.2) sont supprimés immédiatement.

Les messages déjà enregistrés dans le CRM, c'est-à-dire les interactions rattachées à vos fiches, restent dans votre Organisation comme Données Client, au titre de l'historique de votre CRM. Conformément à l'article 10.3 des Conditions Générales, ils y demeurent jusqu'à leur suppression par vous depuis Kasar, votre demande de suppression adressée à support@kasar.app ou la fin du contrat.

10.5 Ce que Kasar ne fait pas avec vos données WhatsApp#

• Kasar n'envoie aucun message en votre nom sans une action de votre part (envoi manuel, ou séquence ou automatisation que vous avez configurée) ;
• Kasar ne vend ni ne transfère vos conversations ou vos contacts à des tiers ;
• Kasar ne mutualise jamais ces données entre Organisations ;
• Kasar n'utilise pas le contenu de vos conversations pour entraîner des modèles d'IA ;
• aucun être humain chez Kasar ne lit vos messages, sauf (a) avec votre accord explicite, (b) pour des besoins de sécurité, ou (c) pour se conformer à une obligation légale.

10.6 Vos correspondants#

L'usage de WhatsApp reste régi par les conditions de Meta. Vos correspondants ne sont pas informés du rattachement de votre compte à Kasar : en tant que responsable du traitement de votre espace de travail, il vous revient de les en informer lorsque votre contexte l'exige.

11. Extension Chrome Kasar#

L'extension Chrome Kasar (« Kasar CRM » sur le Chrome Web Store) est facultative. Vous l'installez à votre initiative et la reliez à votre compte Kasar ; tant que vous n'êtes pas connecté à Kasar, elle ne transmet aucune donnée au Service. Les données qu'elle transmet sont des données de votre espace CRM, dont votre Organisation est responsable (voir « Périmètre » en tête de la présente Politique et l'article 10.7 des Conditions Générales).

11.1 Sites et fonctions#

L'extension n'agit que sur les sites suivants, et pour les seules fonctions indiquées.

Panneau latéral et recherche. Lorsque vous ouvrez le panneau Kasar, il affiche la fiche correspondant à l'onglet actif : sur un autre site que ceux ci-dessus, le domaine du site affiché est transmis au Service pour retrouver l'entreprise correspondante dans votre CRM, et son icône est chargée depuis le service d'icônes de Google (google.com/s2/favicons), qui reçoit ce domaine. Le raccourci de recherche (Ctrl+Maj+K, ou Cmd+Maj+K sur Mac) ouvre une barre de recherche dans l'onglet actif et ne transmet que les termes que vous saisissez.

Les données transmises pour une simple vérification servent uniquement à afficher l'état de la fiche ; elles ne créent ni ne modifient aucune fiche. Seules vos actions d'ajout, de mise à jour, d'import ou d'enregistrement enregistrent des données dans votre CRM.

11.2 Connexion de votre compte LinkedIn#

Lorsque vous cliquez sur Connecter (ou Resynchroniser) pour relier votre compte LinkedIn au connecteur de messagerie (article 10.6 des Conditions Générales), l'extension transmet au Service :

• les cookies de session de linkedin.com, y compris le cookie d'authentification de votre compte ;
• l'identité de votre compte LinkedIn (identifiant, nom, photo, adresse du profil) ;
• des caractéristiques techniques de votre navigateur : agent utilisateur, langue, en-têtes techniques transmis par votre navigateur à LinkedIn ;
• une localisation approximative (pays, région, ville, fournisseur d'accès), déduite de votre adresse IP.

Ces éléments servent uniquement à synchroniser vos conversations LinkedIn avec votre CRM, en votre nom, depuis un point de connexion proche du vôtre et avec les caractéristiques de votre navigateur. Ils sont conservés tant que le connecteur est actif, les cookies étant chiffrés, et supprimés à sa déconnexion. Pour détecter un changement de session, l'extension conserve localement une empreinte de votre cookie LinkedIn, jamais le cookie lui-même. Si vous activez l'option de synchronisation des messages, l'import d'un contact déclenche la synchronisation de sa conversation par le Service.

11.3 Enregistrement de réunions#

L'enregistrement ne démarre que lorsque vous cliquez sur « Démarrer » dans la fenêtre de l'extension, sur l'onglet de la réunion. Il s'arrête lorsque vous l'arrêtez, à la fin de la réunion ou à la fermeture de l'onglet. Pendant l'enregistrement, l'extension capte :

• l'audio et la vidéo de l'onglet de la réunion ;
• votre voix ;
• l'audio de chaque participant, pour attribuer la parole ;
• la liste des participants (nom et, lorsqu'elle est affichée, adresse email), l'orateur actif et, si vous les avez activés, les sous-titres de la réunion.

Rien n'est capté avant que vous ne lanciez l'enregistrement. La discussion écrite de la réunion n'est pas captée. Ces données sont transmises, par une connexion chiffrée, à notre service d'enregistrement (meeting-bot.kasar.app), qui produit l'enregistrement, la transcription et le résumé et les rattache aux fiches de votre CRM. Les enregistrements sont stockés chez Amazon Web Services S3 (article 6) et conservés comme Données Client (article 13). Il vous appartient d'informer les participants avant de lancer l'enregistrement et, le cas échéant, de recueillir leur consentement (article 13.13 des Conditions Générales).

11.4 Permissions demandées#

11.5 Tiers#

Les données de l'extension sont transmises uniquement au Service (platform.kasar.app) et à notre service d'enregistrement (meeting-bot.kasar.app), et traitées par nos sous-traitants (article 6), à deux exceptions techniques près :

• dans Gmail, l'extension utilise la bibliothèque InboxSDK (Streak), qui transmet à son éditeur des rapports d'erreur et des événements techniques d'utilisation, identifiés par une empreinte de votre adresse email, sans le contenu de vos emails ;
• le service d'icônes de Google reçoit le domaine des entreprises affichées (article 11.1).

11.6 Stockage local et désinstallation#

L'extension conserve dans votre navigateur vos préférences d'interface, un jeton de session Kasar de courte durée, l'état d'un enregistrement en cours et, si vous avez relié LinkedIn, l'identifiant de votre compte LinkedIn et l'empreinte décrite à l'article 11.2. Aucun mot de passe n'y est stocké. La déconnexion de Kasar efface le jeton et les données LinkedIn ; la désinstallation efface l'ensemble, sans affecter les données déjà enregistrées dans votre Organisation (article 10.3 des Conditions Générales).

11.7 Code et usage limité#

L'extension n'exécute aucun code distant : tout son code est inclus dans le paquet publié sur le Chrome Web Store. Ses requêtes vers le Service sont chiffrées (HTTPS ou WSS).

L'utilisation des informations reçues par l'extension respecte la Chrome Web Store User Data Policy, y compris les exigences d'usage limité (« Limited Use requirements »). En particulier, Kasar utilise ces informations uniquement pour fournir les fonctions décrites ci-dessus, ne les vend pas, ne les utilise pas à des fins publicitaires ni pour évaluer une solvabilité, et ne les transfère qu'aux destinataires de l'article 11.5, pour ces seules fonctions. Aucun être humain chez Kasar ne les lit, sauf avec votre accord explicite, pour des besoins de sécurité ou pour se conformer à une obligation légale.

12. Transferts hors Union européenne#

L'hébergement principal des données de la plateforme (base de données, stockage de fichiers) est situé en Irlande (UE) et l'application s'exécute en France. Certains traitements sont réalisés aux États-Unis, notamment par :

• DigitalOcean : infrastructure de synchronisation (emails, messages LinkedIn et WhatsApp, imports, automatisations) et passerelle WhatsApp, à New York ; sa migration vers l'UE est prévue ;
• Twilio : acheminement des appels de la téléphonie native ;
• Deepgram, OpenAI et, selon l'acheminement de ses serveurs, Anthropic ;
• Resend, Stripe (pour partie), Upstash selon la région applicable ;
• Cal.com, pour les rendez-vous réservés depuis le site ou la plateforme.

PostHog (mesure d'audience du site) et Crisp (chat) traitent les données dans l'Union européenne. Lorsqu'un prestataire traite des données en dehors de l'EEE, le transfert est encadré par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914) ou par les garanties prévues par le DPA de ce prestataire, assorties le cas échéant de mesures supplémentaires. Le détail figure à l'annexe 3 du DPA ; vous pouvez obtenir copie des garanties applicables en écrivant à support@kasar.app.

13. Durées de conservation#

14. Vos droits#

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité, d'opposition (notamment à la prospection et à la mesure d'audience), ainsi que du droit de retirer votre consentement à tout moment et de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits : support@kasar.app. Nous répondons dans un délai d'un (1) mois, prorogeable de deux (2) mois compte tenu de la complexité ou du nombre de demandes (article 12.3 RGPD). Lorsque vos données figurent dans l'espace CRM d'un de nos clients, nous transmettons votre demande à ce client, responsable du traitement, et l'assistons pour y répondre. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

15. Sécurité#

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement en transit, chiffrement au repos de l'hébergement et, pour certains contenus (messages, extraits de l'index WhatsApp, jetons d'accès aux intégrations), chiffrement applicatif ; contrôle d'accès ; isolation des données de chaque Organisation ; journalisation. Les contenus sont déchiffrés lorsqu'ils doivent être traités, notamment par les fournisseurs d'IA. Voir également l'annexe 2 du DPA.

16. Décision automatisée#

Nous ne prenons aucune décision produisant des effets juridiques ou vous affectant significativement sur le seul fondement d'un traitement automatisé au sens de l'article 22 du RGPD.

17. Protection des mineurs#

Le Service s'adresse à des professionnels et n'est pas destiné aux mineurs. Nous ne collectons pas sciemment de données relatives à des mineurs.

18. Modifications#

Nous pouvons modifier la présente Politique. Toute modification substantielle est portée à votre connaissance par un moyen approprié. La version et la date de dernière mise à jour figurent en tête de document. En cas de divergence entre la version française et une traduction, la version française prévaut.