Politique de confidentialité

Le responsable du traitement est Kachet, à Nouakchott, Mauritanie, présenté dans les mentions légales. Aucun délégué à la protection des données n'est désigné : toute demande s'adresse à contact@kachet.io.

Pour les personnes situées dans l'Union européenne, le règlement général sur la protection des données (RGPD) s'applique à ces traitements.

Elle couvre le service kachet.io et les e-mails de compte que nous envoyons, comme la confirmation d'inscription ou le lien pour choisir un mot de passe.

Elle ne couvre pas les sites vers lesquels pointent les liens de vos signatures, ni les messageries où vous les installez. Chacun applique sa propre politique.

Votre compte

Nom complet, société, pays, adresse e-mail, dates de création et de dernière connexion. Le mot de passe est chiffré par le service d'authentification : nous ne le voyons jamais en clair.

Le contenu de vos signatures

Noms, fonctions, services, adresses e-mail, téléphones, adresses postales, liens (site, réseaux sociaux, agenda), photos, logos, bannières, textes et mise en forme choisie.

Les fichiers que vous déposez

Photos, logos et bannières. Ces images sont lisibles par toute personne qui connaît leur adresse, car elles sont faites pour s'afficher dans des e-mails. N'y déposez rien de confidentiel. Une image remplacée, ou celle d'une signature supprimée, reste en ligne à son adresse jusqu'à ce que nous l'effacions sur votre demande.

Données techniques

• Compteurs des e-mails de compte : pour limiter les abus, nous comptons chaque heure les demandes d'e-mail par adresse IP et par adresse e-mail. Le compteur ne garde qu'une empreinte salée de l'adresse, jamais l'adresse elle-même.
• Sessions et connexions : le service d'authentification conserve l'adresse IP et le navigateur de chaque session, ainsi qu'un journal des connexions.
• Journaux des hébergeurs : ils enregistrent les requêtes reçues (adresse IP, navigateur, date et heure) pour faire fonctionner et protéger le service.

Vos messages

Le contenu des e-mails que vous nous écrivez.

Nous ne traitons aucune donnée de paiement.

Quand vous créez la signature d'un salarié ou d'un collègue, c'est votre entreprise qui choisit les informations saisies et leur usage. Nous les traitons pour son compte, dans le seul but de fournir le service.

Votre entreprise informe ces personnes. Elles peuvent exercer leurs droits auprès d'elle, ou nous écrire : nous lui transmettons la demande. Nos engagements envers votre entreprise figurent dans les conditions d'utilisation.

• Créer et gérer votre compte, vous connecter, vous envoyer les e-mails de compte. Base légale : l'exécution des conditions d'utilisation.
• Fournir le service : enregistrer vos signatures, afficher leur aperçu, produire leur code, conserver vos fichiers. Base légale : l'exécution des conditions d'utilisation.
• Protéger le service et ses utilisateurs : limites d'envoi, prévention des abus, détection des incidents. Base légale : notre intérêt légitime à assurer la sécurité du service.
• Répondre à vos messages. Base légale : notre intérêt légitime à vous répondre.
• Mesurer la fréquentation du service et d'où viennent les visites avec les outils décrits dans la section sur les cookies. Base légale : votre consentement.
• Respecter nos obligations légales. Base légale : l'obligation légale.

Nous ne vendons pas vos données. L'application n'affiche aucune publicité. Kachet n'utilise aucun outil de publicité dans l'application.

Seules les personnes de Kachet qui en ont besoin pour faire fonctionner le service accèdent à vos données. Nous faisons appel aux prestataires suivants :

• Lovable Labs Sweden AB : hébergement et publication de l'application.
• Supabase, Inc. : base de données, authentification des comptes et stockage des fichiers.
• Resend, Inc. : envoi des e-mails de compte. Il reçoit votre adresse e-mail et le contenu du message.
• Hostinger International Ltd : nom de domaine kachet.io et boîte contact@kachet.io, qui reçoit vos messages.
• Google : fourniture de la police de caractères. Votre navigateur la charge depuis les serveurs de Google Fonts, qui reçoivent son adresse IP.
• Google (Google Tag Manager, Google Analytics) : outils de mesure d'audience, chargés seulement si vous les acceptez. La section sur les cookies détaille ce que chacun reçoit.

Nous pouvons aussi communiquer des données à une autorité quand la loi l'exige.

Nos prestataires sont établis hors de Mauritanie, et certains hors de l'Union européenne, notamment aux États-Unis. Vos données peuvent donc être traitées dans ces pays.

Nous nous appuyons sur les engagements de protection des données prévus par les conditions de ces prestataires. Vous pouvez en demander le détail à contact@kachet.io.

• Compte, signatures et fichiers : tant que le compte est ouvert.
• Compteurs des e-mails de compte : quelques jours.
• Messages que vous nous écrivez : le temps de traiter votre demande et son suivi.
• Sessions, journal des connexions, journaux des hébergeurs, traces d'envoi des e-mails et données des outils de mesure : selon les durées fixées par ces prestataires.
• Votre choix sur les cookies : 180 jours dans votre navigateur, puis nous vous le redemandons.

Sur demande à contact@kachet.io, nous effaçons dans le mois votre compte, ainsi que les organisations, les signatures et les fichiers des espaces dont vous êtes le seul membre.

Vous pouvez demander à accéder à vos données, à les corriger, à les effacer, à en recevoir une copie dans un format courant, à limiter leur traitement, ou vous opposer à un traitement fondé sur notre intérêt légitime.

Vous modifiez ou supprimez vous-même vos signatures dans l'application. Pour vos fichiers et le reste, écrivez à contact@kachet.io depuis l'adresse de votre compte. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe. En cas de doute sur votre identité, nous pouvons vous demander de la justifier.

Vous retirez votre consentement aux cookies à tout moment, aussi simplement que vous l'avez donné : voir la section sur les cookies.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir l'autorité de protection des données de votre pays de résidence.

Ce qui est nécessaire au service

L'application garde les informations suivantes dans votre navigateur. Elles servent au fonctionnement du service que vous utilisez et ne demandent donc pas votre consentement :

• Votre session de connexion et le dernier espace choisi (stockage local). La déconnexion efface la session.
• Le brouillon de la signature que vous créez, et un repère qui évite de vous renvoyer plusieurs fois vers le parcours de création (stockage de session, effacés à la fermeture de l'onglet).
• Quand vous créez votre signature, Kachet garde dans le stockage local de votre navigateur (clé « kachet.parcours.local », qui ne quitte pas votre appareil), à partir de la dernière étape, une copie de ce que vous avez saisi : nom, fonction, téléphone, adresse e-mail, société, adresse, site, réseaux, logo, couleurs, style et blocs choisis. Elle sert à reprendre votre signature après l'e-mail de confirmation de votre compte, dans un autre onglet. Elle n'est proposée qu'à un compte créé depuis moins d'une heure dont l'adresse e-mail est exactement celle de la signature, et jamais reprise sans votre accord. Elle est effacée quand la signature est enregistrée, si vous choisissez de repartir de zéro et à votre déconnexion ; sinon, au plus tard à la première ouverture de Kachet qui suit les 24 heures après sa dernière mise à jour. Il reste alors, pendant 24 heures au plus, des identifiants aléatoires sans nom ni coordonnée, qui évitent qu'un autre onglet enregistre deux fois la même signature.
• Les adresses des liens d'installation que vous avez créés, effacées à la déconnexion (stockage local).
• Le fait que vous avez copié la signature de votre compte sur cet appareil, qui coche l'étape correspondante du tableau de bord (stockage local, avec l'identifiant de votre compte).
• Votre choix sur les cookies, pendant 180 jours (stockage local).

Notre hébergeur et son réseau de diffusion posent aussi deux cookies techniques : « __cf_bm » (30 minutes), qui distingue les visiteurs des robots pour protéger le service, et « __dpl » (24 heures), un cookie de version de l'application.

Les outils de mesure d'audience, avec votre accord

Kachet utilise les outils suivants. Ils ne se chargent qu'après votre accord, donné dans le bandeau qui s'affiche à votre première visite. Sans accord, aucun de leurs scripts ne s'exécute dans votre navigateur et aucun de leurs cookies n'est posé. Les pages que reçoivent les destinataires d'un e-mail ou les collègues invités à installer une signature n'en chargent aucun.

Quand vous arrivez par une annonce, les paramètres de campagne de l'adresse (source, campagne, identifiant de clic) sont gardés dans le stockage de session de votre navigateur jusqu'à la fermeture de l'onglet. Aucun outil ne les reçoit sans votre accord : ils servent à rattacher votre visite à l'annonce si vous acceptez ensuite.

• Google Tag Manager : il ne sert qu'à charger les autres outils, selon vos choix.
• Google Analytics (mesure d'audience) : compte les visites, les pages vues, d'où elles viennent (par exemple une annonce) et les étapes de création d'une signature. Cookies « _ga » et « _ga_… », deux ans.

Ces outils reçoivent votre adresse IP, votre navigateur, les pages visitées et ces événements, et les traitent selon leurs propres politiques, notamment aux États-Unis. Nous ne leur envoyons ni votre nom, ni votre adresse e-mail, ni l'adresse de votre site, ni le contenu de vos signatures.

Changer d'avis

Votre choix est gardé 180 jours, puis nous vous le redemandons. « Gérer mes cookies », en bas de l'accueil, de la page de connexion et des pages légales, et dans le menu Administration de l'application, rouvre le choix à tout moment. Refuser est aussi simple qu'accepter, et l'application fonctionne de la même façon. Retirer votre accord efface les cookies de ces outils. Vous pouvez aussi bloquer ou effacer les cookies dans les réglages de votre navigateur.

Aucun outil de publicité n'est chargé. Si nous ajoutons un autre outil de mesure ou de publicité, cette politique sera mise à jour avant, et votre accord demandé.

Les échanges avec l'application sont chiffrés. La base de données elle-même empêche un compte de lire les signatures des espaces dont il n'est pas membre.

Quand l'inscription passe par notre service d'envoi des e-mails de compte, celui-ci vérifie que votre mot de passe ne figure pas parmi ceux déjà divulgués lors de fuites connues. Seuls les cinq premiers caractères de son empreinte sont envoyés au service Have I Been Pwned : ni le mot de passe ni votre adresse ne lui sont transmis.

En cas de violation de données susceptible de vous exposer à un risque élevé, nous vous prévenons, ainsi que l'autorité compétente quand la loi l'exige.

Nous mettons cette politique à jour quand le service, nos prestataires ou la loi changent. La date de la version en vigueur figure en tête de page. Une modification importante vous est annoncée par e-mail avant son entrée en vigueur.