Politique de confidentialité

Responsable de traitement

Le responsable du traitement des données personnelles collectées sur hosting.ekaii.fr est Paul Chauvat, entrepreneur individuel (SIREN 899 078 885), joignable à hosting@ekaii.fr.

Données collectées et finalités

• Commande : produit choisi, options, référence de commande, et — si vous les fournissez — email et moyen de contact. Finalité : exécuter et suivre la commande. Base légale : exécution du contrat.
• Assistant (EKKO) et création d’essai : le texte libre que vous saisissez (votre « brief », vos messages à l’assistant) est traité par un modèle d’intelligence artificielle fourni par Anthropic (États-Unis) pour comprendre votre besoin, choisir le type de produit et le personnaliser. Ne saisissez pas dans ce champ de données sensibles ni de données concernant des tiers. Finalité : fournir l’assistant et créer votre produit d’essai. Base légale : exécution de mesures précontractuelles prises à votre demande.
• Essai anonyme : lors de la création d’un produit d’essai, nous enregistrons votre brief, un jeton d’accès à l’essai et une empreinte technique de votre adresse IP (hachage salé, tronqué — l’adresse IP en clair n’est pas conservée dans le dossier d’essai). Finalités : fournir l’essai, prévenir l’abus et plafonner les créations par origine. Bases légales : mesures précontractuelles et intérêt légitime (anti-abus).
• Paiement : les paiements par carte sont traités par Stripe ; nous ne stockons aucune donnée de carte. Les paiements en crypto sont traités par notre propre instance BTCPay Server et ne sont associés qu’à une référence de commande.
• Journaux techniques : adresses IP et métadonnées de requête, conservées de façon limitée pour la sécurité et la lutte contre l’abus. Base légale : intérêt légitime.
• Mesure d’audience : statistiques premier-parti, sans cookie et sans identifiant publicitaire, agrégées. Aucun transfert vers un tiers.

Ce que nous ne faisons pas

Aucun traceur publicitaire tiers, aucun profilage marketing, aucune revente de données. Un email n’est jamais obligatoire pour commander ; la mesure d’audience ne dépose pas de cookie. Les contenus soumis à l’assistant ne sont pas utilisés pour entraîner les modèles d’IA : l’accord conclu avec Anthropic exclut l’usage de ces contenus à des fins d’entraînement.

Sous-traitants et destinataires

Nous recourons aux sous-traitants suivants. Pour chacun : son rôle, la localisation du traitement et les données concernées.

Les offres managées (web, WordPress, jeux, SaaS) et les produits créés via l’assistant sont hébergés sur notre infrastructure propre en France ou sur l’infrastructure Hetzner en Union européenne.

Transferts hors Union européenne

L’hébergement de vos données et de vos produits reste en Union européenne. En revanche, certains traitements impliquent un transfert vers les États-Unis :

• Anthropic (États-Unis) — le texte de votre brief et de vos échanges avec l’assistant est transmis à l’API d’Anthropic pour être traité. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne (SCC) intégrées à l’accord de traitement des données conclu avec Anthropic.
• Cloudflare (États-Unis) — les métadonnées DNS/TLS et, le cas échéant, les coordonnées de titulaire de domaine sont traitées par Cloudflare. Ce transfert est encadré par la certification de Cloudflare au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d’adéquation) et par les clauses contractuelles types.
• Stripe — le contrat est conclu avec Stripe Payments Europe Ltd (Irlande) ; les transferts intragroupe vers Stripe Inc. (États-Unis) sont encadrés par le Data Privacy Framework et les clauses contractuelles types.

Aucune autre donnée n’est transférée hors Union européenne. Si vous n’utilisez ni l’assistant, ni le paiement par carte, ni un nom de domaine, aucune de vos données ne quitte l’UE.

Le parcours de vos données, concrètement

• Quand vous parlez à l’assistant ou créez un essai : le texte que vous saisissez part vers l’API d’Anthropic aux États-Unis, le temps du traitement. La réponse et le produit créé, eux, tournent en Union européenne.
• Quand votre produit d’essai est en ligne : il s’exécute sur notre infrastructure en UE. Les données que vous ou vos visiteurs y saisissez restent en UE et sont effacées à la fin de l’essai si vous ne le convertissez pas (voir durées ci-dessous).
• Quand vous payez : par carte, les données de paiement vont chez Stripe ; en crypto, tout reste sur notre instance BTCPay en France.
• Quand un nom de domaine est enregistré : les coordonnées de titulaire transitent par Cloudflare (registrar).
• À aucun moment le contenu hébergé de vos services (fichiers, bases de données, mondes de jeu) n’est transmis à Anthropic, Cloudflare ou Stripe.

Durées de conservation

Les durées ci-dessous sont appliquées automatiquement par un traitement de purge périodique.

• Brief et empreinte IP d’un essai terminé non converti : effacés 3 jours après la fin de l’essai (courte fenêtre de support, puis suppression).
• Dossier complet d’un essai anonyme terminé : supprimé 30 jours après la fin de l’essai.
• Conversations anonymes avec l’assistant (sans commande associée) : effacées après 30 jours.
• Journal des événements techniques d’essai : 90 jours.
• Données de commande : durée de la relation contractuelle puis durées légales de conservation comptable.
• Journaux techniques de sécurité : conservation limitée, conforme aux obligations légales d’identification (LCEN).
• Données d’un service résilié : purgées après le délai de réversibilité prévu aux CGV.

Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité prévus par le RGPD. Exercez-les à hosting@ekaii.fr. Les demandes d’effacement sont exécutées sur l’ensemble de nos systèmes (compte, essais, conversations avec l’assistant) et journalisées sans conservation de données en clair, au titre de notre obligation de redevabilité. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).