Politique de confidentialité

Klyk est édité par Klybase Labs LLC, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, États-Unis (« nous »).

Pour toute question sur vos données, ou pour exercer vos droits : privacy@getklyk.io.

• Vous avez un compte Klyk : nous sommes responsable du traitement des données de votre compte (section 3).
• Vous avez suivi un lien Klyk ou consulté une page Klyk : la mesure de votre visite est faite pour le compte du titulaire du lien, qui en est responsable ; nous agissons comme son sous-traitant (section 4). Nous restons responsable des traitements que nous menons pour la sécurité du Service, comme la vérification des destinations et le traitement des signalements.

Quand vous suivez un lien Klyk ou consultez une page Klyk, nous enregistrons un événement de visite qui contient :

• une empreinte pseudonyme, calculée avec une clé secrète à partir de votre adresse IP et de votre navigateur : elle sert à compter les visiteurs uniques et à ne pas compter deux fois le même clic. Elle ne contient pas votre adresse IP, mais reste une donnée personnelle pseudonymisée ;
• le pays et le continent, déduits de votre adresse IP : par Cloudflare, qui achemine le trafic de getklyk.io, quand votre visite passe par lui, sinon au moyen d’une base de données installée sur nos serveurs ; votre adresse n’est envoyée à aucun autre service pour cela ;
• le type d’appareil, le système d’exploitation et le navigateur, déduits de l’en-tête User-Agent, et la langue principale de votre navigateur ;
• le domaine du site d’où vous venez — jamais l’adresse complète de la page — et les éventuels paramètres UTM du lien ;
• la date et l’heure, le canal (accès direct, QR code, page) et, le cas échéant, la règle ou la variante qui a choisi votre destination ;
• si la visite semble provenir d’un robot.

Ce que nous ne faisons pas : votre adresse IP n’est jamais écrite en base de données ; aucun cookie n’est déposé sur l’appareil des visiteurs, et rien n’y est stocké que les choix qu’ils font sur une page (voir « Cookies et stockage local ») ; aucun identifiant publicitaire n’est utilisé ; ces données ne sont ni vendues, ni utilisées pour vous profiler.

Vos actions sur un même lien à moins de 30 minutes d’intervalle sont regroupées en une visite, à partir de l’empreinte ci-dessus, sans cookie. Le détail des visites est supprimé au bout de 90 jours ; seuls des totaux par jour, sans aucun identifiant, sont conservés ensuite. Des compteurs de visiteurs uniques, qui ne permettent pas de retrouver une empreinte, sont conservés environ 13 mois pour les statistiques sur longue période.

Le titulaire du lien voit ces informations sous forme de statistiques. Il ne voit jamais votre adresse IP ; l’empreinte ne lui est montrée que réduite à quelques caractères, pour distinguer deux visites dans le fil des événements.

Statistiques partagées. Le titulaire du lien peut publier ces statistiques, sous forme agrégée uniquement, sur une page en lecture seule ouverte par un lien secret — pour les montrer à un client, par exemple. Cette page ne contient aucune donnée individuelle : ni visite une à une, ni empreinte, ni adresse de destination, et toute valeur comptant moins de 3 clics y est regroupée avec d’autres. C’est un seuil de prudence, pas une garantie formelle d’anonymat. La page n’est pas indexée par les moteurs de recherche, ne dépose aucun cookie, et le titulaire peut la révoquer à tout moment. Le nombre de fois qu’elle est ouverte est compté, sans adresse IP ni identifiant de la personne qui l’ouvre.

Si un lien est protégé par un mot de passe, celui que vous saisissez sert uniquement à la vérification et n’est pas conservé.

Pour exercer vos droits sur ces données, adressez-vous au titulaire du lien ; si vous ne savez pas qui il est, écrivez-nous à privacy@getklyk.io et nous lui transmettrons votre demande. Comme votre adresse IP n’est pas enregistrée, il n’est en général pas possible de retrouver les visites d’une personne précise (article 11 du RGPD).

Lecteurs intégrés. Une page peut contenir le lecteur d’un service — YouTube, Spotify, SoundCloud, TikTok, Apple Music, Apple Podcasts ou Deezer. Il ne se charge que si vous le demandez : rien n’est demandé à ce service avant. Une fois le lecteur chargé, ce service reçoit votre adresse IP et peut déposer des cookies, selon sa propre politique de confidentialité. Si vous choisissez « Toujours sur cette page », ce choix est gardé dans votre navigateur, et le pied de la page permet de le retirer.

Quand vous consultez les pages publiques de Klyk — accueil, inscription, connexion, pages légales, Coulisses — nous enregistrons une page vue qui contient :

• la page consultée, la date et l’heure ;
• une empreinte pseudonyme, calculée avec une clé secrète à partir de votre adresse IP et de votre navigateur, distincte de celle des visites de liens : elle sert seulement à compter les visiteurs uniques et à regrouper en une visite les pages vues à moins de 30 minutes d’intervalle ;
• la source de la visite : les paramètres UTM de l’adresse, sinon le domaine du site d’où vous venez — jamais l’adresse complète de la page ;
• le pays, déduit de votre adresse IP par Cloudflare ou, à défaut, sur nos serveurs, et le type d’appareil (ordinateur, mobile, tablette).

Ce que nous ne faisons pas : aucun cookie n’est déposé et rien n’est stocké sur votre appareil ; votre adresse IP n’est jamais enregistrée ; aucun outil de mesure d’audience tiers n’intervient ; les robots ne sont pas enregistrés. Ces pages vues ne sont rattachées à aucun compte.

Les visites faites avec une session Klyk ouverte ne sont pas comptées : quelqu’un qui a déjà un compte n’est pas une audience à conquérir. Pour le savoir, le site dépose sur votre navigateur le cookie klyk_no_stats à l’ouverture de la session, et le retire à sa fin ; il ne contient aucun identifiant. Les visiteurs sans compte n’en reçoivent aucun.

Si vous créez un compte, nous retrouvons la visite en cours au moment de l’inscription et enregistrons avec votre compte sa source seulement — par exemple « LinkedIn » ou le nom d’une campagne —, le domaine du site d’origine et la première page vue. Si cette visite n’a pas d’origine — un onglet rouvert après une pause, par exemple —, c’est la dernière arrivée du même navigateur dans les 7 jours qui compte, retrouvée de la même façon ; à défaut, aucune source n’est enregistrée. L’empreinte, elle, n’est pas conservée avec votre compte.

Le formulaire d’inscription vous demande aussi, sans obligation, comment vous avez connu Klyk. Votre réponse — un choix dans une liste, et vos propres mots si vous choisissez « Autre » — est enregistrée avec votre compte, à côté de cette source. Sans réponse, rien n’est enregistré.

Base légale : notre intérêt légitime à mesurer l’audience de notre site et à savoir quelles publications amènent des inscriptions. Conservation : 180 jours pour chaque page vue, puis uniquement des totaux quotidiens qui ne désignent personne ; la source d’inscription et votre réponse, jusqu’à la suppression du compte.

Si vous signalez un lien depuis sa page d’aperçu, nous enregistrons le motif choisi, le texte que vous ajoutez éventuellement, et une empreinte pseudonyme de votre adresse IP et de votre navigateur, qui sert uniquement à compter les auteurs distincts. Si vous nous écrivez, nous conservons votre message et vos coordonnées pour traiter le signalement.

Le formulaire de signalement vous fait passer un test anti-robot, Cloudflare Turnstile : votre navigateur exécute un court test, pour lequel Cloudflare reçoit votre adresse IP, votre navigateur et des signaux techniques de la connexion (voir Destinataires). Nous n’en recevons que le résultat.

Le journal de modération enregistre chaque décision : la mesure, sa date, la personne qui l’a prise, sa note, et le lien, le site ou le compte concerné.

Quand vous supprimez un lien ou une page, nous en gardons l’adresse, la destination, le titre, l’état et les dates de création et de suppression, rien de ses visites : un lien trompeur est souvent supprimé avant d’être signalé, et ce qu’il était doit rester connu.

Nous surveillons aussi le volume de clics de chaque lien — des totaux par tranches de cinq minutes, sans rien sur les visiteurs — pour repérer les pics anormaux qui accompagnent souvent un envoi frauduleux. Un pic ouvre une fiche pour la modération : le lien, ses volumes, ce qu’il fait d’habitude et quelques indicateurs agrégés, comme la part de robots ou l’âge du lien ; jamais un visiteur. Il n’entraîne jamais de blocage automatique. La fiche est conservée 90 jours après sa clôture, ou 3 ans si elle a mené à une décision de modération.

Base légale : notre intérêt légitime à protéger les internautes et le Service, et nos obligations légales, notamment au titre du règlement sur les services numériques. Conservation : 3 ans, pour pouvoir répondre à une contestation ; les signalements visant un lien sont supprimés plus tôt si le compte qui possède ce lien est supprimé. Ce qui reste d’un lien supprimé est conservé 1 an après sa suppression, et effacé plus tôt avec votre compte.

Lorsqu’un titulaire de compte enregistre une destination — lien, règle, variante, bouton de page ou redirection de domaine —, nous en transmettons l’adresse complète à Google Web Risk (Google LLC) pour vérifier qu’elle n’est pas répertoriée comme dangereuse, puis de nouveau régulièrement tant qu’un lien y mène. Aucune donnée concernant les visiteurs n’est transmise à cette occasion.

Si une destination contient elle-même des données personnelles (une adresse e-mail dans ses paramètres, par exemple), celles-ci sont transmises à Google avec l’adresse : évitez d’en placer dans vos destinations. Base légale : notre intérêt légitime à protéger les internautes. Le résultat de la vérification est conservé tant qu’un lien, une page ou un domaine mène à cette adresse.

Nos serveurs consultent aussi la page de destination pour en lire le titre et l’icône. Ils le font en leur propre nom : le site de destination ne reçoit ni votre adresse IP, ni celle de vos visiteurs.

« Créer avec l’IA » compose un brouillon de page à partir de ce que vous donnez. Il ne sert qu’à votre propre page, ou à celle d’une personne qui vous a donné son accord : vous le confirmez à chaque création, et rien n’est lu ni cherché sans cette confirmation.

Ce qui est transmis, et à qui

• À notre prestataire d’intelligence artificielle, Anthropic, PBC (États-Unis) : votre nom, ce que vous dites faire, les adresses que vous indiquez, votre envie de style, la langue de la page, et le texte des adresses que vous donnez, lu par Klyk à chacune de ces adresses. Le modèle peut aussi lire d’autres pages de vos propres sites, mais jamais celles des services que tout le monde partage (GitHub, Medium, réseaux sociaux…) : de vos profils, il ne reçoit que le texte lu à l’adresse exacte que vous donnez.
• Votre nom n’est cherché sur le web que si vous l’activez : l’option est désactivée par défaut, et se choisit à chaque création. Anthropic fait alors exécuter les recherches par un moteur de recherche tiers, son propre sous-traitant, qui ne reçoit que la requête.
• Ni votre adresse e-mail, ni l’identifiant de votre compte, ni vos images ne sont transmis au prestataire.

Ce que vous vérifiez, et ce qui est effacé

• Ce qui est trouvé — sources, faits, profils, projets, images — vous est présenté avant tout usage, chaque fait avec ses sources : le modèle peut se tromper, et vous pouvez vérifier. Ce qui vous concerne « peut-être » reste décoché tant que vous ne le cochez pas ; ce qui concerne une autre personne du même nom est écarté.
• Ce que vous décochez est effacé dès que la page est composée, avec les pages sur d’autres personnes rencontrées pendant la recherche et le détail de la recherche elle-même. Les images trouvées sont copiées sur nos serveurs pendant la recherche ; celles que vous ne gardez pas sont alors supprimées.
• La recherche est conduite pour laisser de côté ce qui n’a pas sa place sur une page publique : adresse personnelle, téléphone, famille, santé, religion, opinions, vie sexuelle, finances, procédures judiciaires, enfants. Rien n’est publié sans que vous l’ayez relu.

Bases légales

• L’exécution du service que vous demandez, recherche sur le web comprise lorsque vous l’activez.
• Pour les informations sur d’autres personnes rencontrées pendant la recherche, des homonymes par exemple : notre intérêt légitime à vous présenter un dossier exact. Elles ne servent qu’à être écartées et sont effacées comme indiqué ci-dessus ; toute personne concernée peut s’y opposer en écrivant à privacy@getklyk.io.

Durées de conservation

• Une création menée jusqu’à une proposition est effacée 30 jours après son début. Le contenu d’une création arrêtée avant est effacé après 7 jours, celui d’une création que vous laissez, aussitôt : il n’en reste qu’une ligne sans contenu — ni votre nom, ni vos adresses, ni ce qui a été trouvé —, effacée à son tour 30 jours après son début. La page que vous en faites est une page comme les autres.
• Au-delà, nous ne gardons que le coût total de chaque jour, sans identifiant.
• Anthropic agit pour notre compte en tant que sous-traitant : il n’utilise pas ces données pour entraîner ses modèles, et ne les conserve que pour une durée limitée — au plus 30 jours à la date de cette politique —, plus longtemps seulement si un usage contraire à ses règles est détecté. Le transfert vers les États-Unis est encadré comme indiqué à la section « Transferts hors de l’Union européenne ».

Côté visiteurs de liens, aucun cookie n’est déposé sur l’appareil des visiteurs, et rien n’y est stocké que les choix qu’ils font sur une page (voir « Cookies et stockage local »). Sur le site lui-même, nous n’utilisons que les éléments ci-dessous, tous nécessaires au fonctionnement du Service ou à un choix que vous faites : ils ne nécessitent pas votre consentement, et nous n’utilisons aucun cookie de mesure d’audience ni de publicité.

Sur une page Klyk, seuls les choix que vous y faites sont gardés dans votre navigateur, pour ne pas vous les redemander. Ils sont nécessaires à ce que vous avez demandé et ne quittent pas votre appareil :

Vos données ne sont accessibles qu’aux personnes de Klybase Labs qui en ont besoin, et aux prestataires ci-dessous, dans la limite de ce qui leur est nécessaire :

Si vous choisissez de vous connecter avec Google, GitHub ou GitLab, ce fournisseur nous transmet votre identité ; il agit alors en tant que responsable de traitement indépendant, et sa propre politique de confidentialité s’applique.

Pour Turnstile, Cloudflare utilise aussi ces signaux pour améliorer sa détection des robots ; il agit alors en tant que responsable de traitement indépendant, et sa politique de confidentialité Turnstile s’applique.

Nous communiquons des données aux autorités lorsque la loi l’exige. Nous ne vendons aucune donnée, et n’en partageons aucune à des fins publicitaires.

Klybase Labs est une société américaine, et certains des prestataires ci-dessus sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis (Data Privacy Framework). Vous pouvez en obtenir une copie en écrivant à privacy@getklyk.io.

Le réseau de Cloudflare traite chaque requête dans le centre de données le plus proche de la personne qui la fait, qui peut se trouver hors de l’Union européenne. Cloudflare est certifié au titre du Data Privacy Framework, et son accord de traitement des données intègre les clauses contractuelles types.

Lorsque vous supprimez votre compte, vos liens, pages, domaines, étiquettes, fichiers et statistiques, ainsi que les signalements visant vos liens, sont effacés immédiatement, et vos adresses courtes redeviennent disponibles. Seule exception : une décision de modération vous concernant reste inscrite au journal de modération, avec l’identifiant de votre compte, jusqu’au terme de sa durée de conservation.

Un compte dont l’adresse n’a jamais été confirmée et qui ne compte aucun lien est retiré au bout de 30 jours, de même qu’un compte non confirmé que le titulaire de l’adresse signale comme créé à son insu (« Ce n’est pas moi »). Retiré veut dire masqué, ses sessions fermées et son adresse libérée aussitôt ; il reste récupérable pendant 30 jours, son adresse d’origine conservée chiffrée à cette seule fin, puis il est effacé définitivement.

• Connexions chiffrées (HTTPS).
• Mots de passe hachés avec bcrypt ; données sensibles, comme les jetons des fournisseurs de connexion, chiffrées en AES-256-GCM.
• Sessions de courte durée, renouvelées par un jeton à usage unique et révocables depuis la page Compte.
• Adresses IP des visiteurs jamais enregistrées ; adresses IP tronquées dans les journaux.
• Accès aux données limité aux personnes qui en ont besoin.

En cas de violation de données présentant un risque élevé pour vos droits, nous vous en informons, conformément à la loi.

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition. Si vous résidez en France, vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Depuis la page Compte, vous pouvez vous-même modifier votre profil, télécharger toutes vos données dans un fichier JSON, fermer vos sessions, désactiver le rapport hebdomadaire, les conseils et rappels ou les notes de Klyk, choisir leur rythme, et supprimer votre compte.

Pour toute autre demande, écrivez à privacy@getklyk.io. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe ; nous pouvons vous demander de justifier de votre identité.

Vous pouvez introduire une réclamation auprès d’une autorité de contrôle — en France, la CNIL —, notamment celle de votre pays de résidence.

Le Service n’est pas destiné aux personnes de moins de 16 ans, qui ne peuvent pas y créer de compte. Si vous pensez qu’un mineur nous a fourni des données, écrivez à privacy@getklyk.io et nous les supprimerons.

Nous pouvons mettre à jour cette politique. La date de la version en vigueur figure en haut de la page ; en cas de changement important, nous vous prévenons par e-mail ou dans le Service.