Politique de confidentialité

En résumé (TL;DR) — Klarodesk est un service édité par SynackCode SARLU (Madagascar). Nous collectons les données strictement nécessaires au fonctionnement du service (compte, tickets, facturation, navigation). Vos données sont hébergées dans l'Union Européenne (Allemagne, chez Hetzner). Nous ne vendons jamais vos données. Vous disposez de droits d'accès, de rectification, d'effacement, de portabilité et d'opposition conformément au RGPD et à la loi malgache n° 2014-038. Pour toute question, contactez [email protected].

1. Introduction

La présente politique de confidentialité (ci-après la « Politique ») décrit la manière dont SynackCode SARLU, société à responsabilité limitée unipersonnelle de droit malgache, immatriculée au Registre du Commerce et des Sociétés sous le numéro RCS Antananarivo 2025 B 01588, dont le siège social est situé Lot VW 105 Ambohipotsy-Ambohimitsimbina-Amparihy, CUA Antananarivo II, Analamanga, Antananarivo, Madagascar (ci-après « nous », « notre », « Klarodesk » ou le « Responsable »), collecte, utilise, partage et protège les données à caractère personnel dans le cadre de l'exploitation du service Klarodesk, accessible à l'adresse https://klarodesk.com (ci-après le « Service »).

Nous nous engageons à traiter vos données personnelles dans le respect :

• du Règlement Général sur la Protection des Données (Règlement UE 2016/679, ci-après « RGPD ») lorsqu'il est applicable ;
• de la loi malgache n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnel et des lignes directrices de la Commission Malagasy de l'Informatique et des Libertés (CMIL) ;
• de toute autre réglementation applicable en matière de protection des données.

1.1 Notre double rôle

Klarodesk exerce deux rôles distincts selon la nature des traitements :

• Responsable de traitement (Controller) pour les données relatives à ses propres clients : comptes professionnels, facturation, communication commerciale, etc.
• Sous-traitant (Processor) pour les données que nos clients (entreprises utilisatrices du Service) nous confient au sujet de leurs propres utilisateurs finaux (ci-après les « End-users ») dans le cadre du traitement automatisé des tickets de support. Ces traitements font l'objet d'un Accord de Traitement des Données (DPA) intégré aux Conditions Générales d'Utilisation.

2. Données que nous collectons

2.1 Données relatives aux Clients Klarodesk (entreprises abonnées)

Lors de la création d'un compte et de l'utilisation du Service, nous collectons :

• Identité et contact : nom, prénom, adresse email professionnelle, fonction, nom et raison sociale de l'entreprise.
• Authentification : mot de passe (stocké sous forme hachée via algorithme robuste), jetons de session JWT.
• Facturation : nom du titulaire, adresse de facturation, historique d'achats, identifiants de client, d’abonnement et de paiement Dodo Payments. Nous ne stockons jamais vos numéros de carte bancaire — le paiement est saisi sur la page sécurisée de Dodo Payments, notre revendeur officiel (« Merchant of Record »), qui traite ces données en tant que responsable de traitement pour la vente, l’encaissement, la facturation et la TVA.
• Configuration : paramètres techniques de vos canaux (Zendesk, Email IMAP/SMTP, Widget, Messenger, Slack), clés API chiffrées en base via AES-256-GCM.
• Préférences : langue de l'interface, préférences de notification (email et notifications du navigateur). Si vous activez les notifications du navigateur, nous enregistrons l'adresse d'abonnement fournie par votre navigateur ; les notifications transitent, chiffrées, par le service de notification de l'éditeur de votre navigateur (Google, Mozilla, Apple ou Microsoft).
• Contenus : articles de votre base de connaissances, prompts IA personnalisés, templates de réponse.

2.2 Données relatives aux End-users (utilisateurs finaux de nos Clients)

Lorsque vos utilisateurs finaux soumettent un ticket via un canal intégré à Klarodesk (widget web, email, Facebook Messenger, Slack, Zendesk), nous traitons pour votre compte :

• Adresse email, nom, prénom (si fourni).
• Contenu du message et pièces jointes.
• Métadonnées techniques (identifiant de conversation, langue détectée, horodatage).
• Classifications et réponses générées par nos modèles d'IA.

Ces données sont traitées en tant que sous-traitant sur la base des instructions documentées de notre Client.

Canal Facebook Messenger. Lorsqu'un Client connecte sa Page Facebook, Klarodesk reçoit via l'API de Meta : le nom de la Page et un jeton d'accès à la Page (chiffré en AES-256-GCM), puis, pour chaque personne qui écrit à la Page, son identifiant Messenger propre à la Page, son prénom et son nom, ainsi que le contenu des messages et images envoyés. Ces données servent uniquement à créer et traiter la demande de support : réponse automatique générée par un modèle d'IA (via les sous-traitants listés en Annexe A) ou réponse d'un agent du Client. Dès qu'un agent a répondu, la conversation reste entre ses mains et l'IA ne répond plus. Ces données ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées par Klarodesk pour entraîner des modèles d'IA, ni partagées avec d'autres Clients. Le Client peut déconnecter sa Page à tout moment depuis Klarodesk ou depuis les paramètres de Facebook ; la suppression des conversations peut être demandée à [email protected] (voir section 7.5).

2.3 Données de navigation et techniques

Lors de votre navigation sur klarodesk.com et sur le tableau de bord :

• Adresse IP, user-agent, pages visitées, horodatage.
• Statistiques d'usage anonymisées via Cloudflare Web Analytics (sans cookie, sans empreinte numérique, sans identifiant persistant).
• Vérification anti-robot Cloudflare Turnstile sur les formulaires d'inscription et de mot de passe oublié (signaux techniques du navigateur, sans cookie publicitaire).
• Journaux applicatifs (logs techniques) à des fins de diagnostic, incidents et sécurité.
• Rapports d'erreurs automatisés via Sentry (données techniques, éventuels extraits de trace — les données personnelles y sont activement filtrées).

3. Finalités et bases légales

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale identifiée :

Nous ne prenons aucune décision produisant des effets juridiques à votre encontre sur la seule base d'un traitement automatisé (art. 22 RGPD). Les classifications IA sur vos tickets restent sous votre contrôle éditorial.

4. Partage des données

Nous ne vendons, ne louons et n'échangeons jamais vos données personnelles à des tiers à des fins commerciales.

Nous partageons vos données uniquement avec :

• Nos sous-traitants techniques strictement nécessaires au fonctionnement du Service, listés en Annexe A. Chaque sous-traitant est lié par un contrat imposant des garanties équivalentes au RGPD.
• Les autorités publiques lorsque la loi nous y contraint (décision de justice, réquisition judiciaire valide).
• Un repreneur éventuel en cas de fusion, acquisition ou cession d'actifs, avec notification préalable et possibilité de vous opposer.

5. Transferts internationaux

Certaines de nos opérations impliquent un transfert de données en dehors de l'Espace Économique Européen (EEE), notamment vers les États-Unis (OpenRouter, OpenAI, Dodo Payments, Resend, Cloudflare, Sentry, Meta, Zendesk, Slack).

Ces transferts sont encadrés par :

• les Clauses Contractuelles Types adoptées par la Commission européenne (Décision 2021/914) ;
• l'adhésion, lorsque disponible, du destinataire au Data Privacy Framework (DPF) UE-US ;
• des mesures techniques complémentaires (chiffrement, pseudonymisation) lorsque les garanties juridiques sont insuffisantes.

La liste complète des destinataires et mécanismes de transfert figure en Annexe A.

6. Durées de conservation

À l'issue de ces durées, vos données sont supprimées ou anonymisées de manière irréversible. Ces purges sont exécutées automatiquement chaque jour.

7. Vos droits

Conformément au RGPD (articles 15 à 22) et à la loi malgache n° 2014-038, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données dans les cas prévus par la loi.
• Droit à la limitation du traitement.
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition au traitement fondé sur l'intérêt légitime ou à la prospection commerciale.
• Droit de retirer votre consentement à tout moment, sans que cela n'affecte la licéité des traitements antérieurs.
• Droit de définir des directives post-mortem relatives au sort de vos données.

7.1 Comment exercer vos droits

Vous pouvez exercer ces droits en adressant une demande à [email protected] accompagnée de tout élément permettant de vérifier votre identité. Nous vous répondrons dans un délai maximal d'un mois (prolongeable de deux mois en cas de demande complexe).

7.2 Droit de réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation :

• auprès de la CMIL (Commission Malagasy de l'Informatique et des Libertés) à Madagascar ;
• auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) en France — https://www.cnil.fr ;
• auprès de l'autorité de contrôle de votre pays de résidence dans l'UE.

7.3 End-users : données traitées pour le compte d'un Client

Si vous êtes un utilisateur final ayant contacté un Client via un canal géré par Klarodesk, votre interlocuteur principal reste ce Client (responsable de traitement). Nous transmettrons toute demande qui nous serait adressée à votre Client dans les meilleurs délais.

7.4 Procédure d'effacement

Effacement des données d'un end-user. Un administrateur du Client peut supprimer un demandeur depuis sa fiche dans Klarodesk (rubrique Demandeurs). La suppression est immédiate et définitive : profil du demandeur, ensemble de ses tickets, messages, notes internes, pièces jointes stockées et copies techniques des messages reçus. Seul le journal des coûts d'IA est conservé, anonymisé (sans lien avec la personne ni avec ses tickets), pour les besoins de facturation. L'opération est tracée dans le journal d'audit sans aucune donnée personnelle (identifiants techniques et nombre d'éléments supprimés uniquement).

Suppression d'un compte Client. Lorsqu'un administrateur demande la suppression de son compte :

1. le compte est désactivé immédiatement (arrêt du traitement des tickets et de l'accès au tableau de bord) ;
2. un email de confirmation est envoyé aux administrateurs du compte, indiquant la date de suppression définitive ;
3. pendant un délai de grâce de 30 jours, la suppression peut être annulée sur simple demande à [email protected] ;
4. à l'issue de ce délai, toutes les données du compte sont supprimées définitivement : tickets, messages, pièces jointes, demandeurs, utilisateurs, canaux et identifiants associés, base de connaissances et index de recherche, configuration de l'IA et données en cache.

Seules les données de facturation sont conservées pendant la durée imposée par nos obligations comptables (voir section 6). Les données supprimées disparaissent également de nos sauvegardes dans un délai maximal de 30 jours.

7.5 Utilisateurs de Facebook et Messenger : suppression de vos données

Si vous avez écrit à une Page Facebook qui utilise Klarodesk et souhaitez que vos données soient supprimées :

1. Envoyez un email à [email protected] avec pour objet « Suppression de données Facebook », en indiquant le nom de la Page à laquelle vous avez écrit et le nom affiché sur votre compte Messenger.
2. Nous vérifions la demande, informons le Client concerné et supprimons votre profil de demandeur, vos conversations, messages et images dans un délai maximal de 30 jours. Nous vous confirmons la suppression par email.

Les administrateurs de Page peuvent à tout moment retirer l'accès de Klarodesk depuis Facebook (Paramètres → Intégrations professionnelles → Klarodesk → Supprimer) ou déconnecter la Page depuis Klarodesk (Canaux → Messenger → Déconnecter) : Klarodesk cesse alors de recevoir les messages de la Page ; la déconnexion depuis Klarodesk supprime en plus immédiatement le jeton d'accès à la Page.

8. Cookies

Nous utilisons un nombre limité de cookies et technologies similaires, listés en Annexe B. La majorité de nos cookies sont strictement nécessaires au fonctionnement du Service et ne requièrent pas votre consentement.

Nos outils de mesure d'audience sont configurés de manière à ne pas nécessiter de consentement (Cloudflare Web Analytics — cookieless ; Sentry — données anonymisées, intérêt légitime).

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• Chiffrement en transit : TLS 1.3 sur l'intégralité des communications ;
• Chiffrement au repos : AES-256-GCM pour les secrets et credentials stockés en base de données ;
• Isolation multi-tenant : cloisonnement logique strict entre clients (identifiant de tenant sur toutes les tables, collections vectorielles isolées) ;
• Hashage robuste des mots de passe ;
• Scan antiviral des pièces jointes (ClamAV) ;
• Monitoring continu des erreurs et des accès ;
• Sauvegardes quotidiennes vérifiées, conservées 7 jours sur notre infrastructure en Union Européenne, à accès restreint ;
• Contrôles d'accès stricts (RBAC, principe du moindre privilège) ;
• Hébergement au sein de l'Union Européenne (Allemagne) ;
• Revues de sécurité périodiques.

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, nous notifierons l'autorité de contrôle compétente dans les 72 heures et vous informerons sans délai si le risque est élevé, conformément aux articles 33 et 34 du RGPD.

10. Mineurs

Le Service n'est pas destiné aux personnes âgées de moins de 16 ans. Nous ne collectons pas sciemment de données relatives à des mineurs de moins de 16 ans sans l'autorisation préalable des titulaires de l'autorité parentale.

Si vous êtes titulaire de l'autorité parentale et constatez que votre enfant nous a communiqué des données personnelles, merci de nous contacter à [email protected] afin que nous procédions à leur suppression.

11. Modifications de la présente Politique

Nous pouvons faire évoluer la présente Politique pour refléter des évolutions légales, techniques ou commerciales. Toute modification substantielle sera :

• publiée sur cette page avec une nouvelle date de mise à jour ;
• notifiée aux Clients actifs par email au moins 30 jours avant son entrée en vigueur.

La poursuite de l'utilisation du Service après la date d'entrée en vigueur vaut acceptation de la Politique modifiée.

12. Contact

Pour toute question relative à la présente Politique ou au traitement de vos données personnelles :

• Délégué à la Protection des Données (DPO) : [email protected]
• Contact général : [email protected]
• Adresse postale : SynackCode SARLU, Lot VW 105 Ambohipotsy-Ambohimitsimbina-Amparihy, CUA Antananarivo II, Analamanga, Antananarivo, Madagascar

Annexe A — Liste des sous-processeurs

Cette liste est maintenue à jour et peut évoluer. Toute adjonction ou remplacement de sous-processeur fera l'objet d'une notification préalable aux Clients, conformément à l'article 28 du RGPD.

Annexe B — Cookies et technologies similaires

Compte tenu de la nature de nos outils, aucune bannière de consentement cookie n'est requise sur klarodesk.com. Si vous intégrez le widget Klarodesk sur votre propre site, il vous appartient, en qualité de responsable de traitement, d'informer vos utilisateurs conformément à la réglementation applicable.

Ce document est disponible en français. En cas de traduction dans une autre langue, la version française prévaudra en cas de divergence d'interprétation.