# Politique de confidentialité

> Quelles données Klyk traite, pourquoi, combien de temps, avec qui, et comment exercer vos droits — pour les titulaires de compte comme pour les visiteurs de liens.

- Page web : <https://getklyk.io/legal/privacy>
- Fil d’Ariane : [Klyk](https://getklyk.io/) › [Légal](https://getklyk.io/legal) › Confidentialité
- English version : <https://getklyk.io/en/legal/privacy.md>

Klyk est conçu pour mesurer des liens sans surveiller les personnes qui les suivent. Cette politique dit exactement ce que nous traitons, et ce que nous ne traitons pas.

En vigueur depuis le 15 novembre 2026 · Version 2026-11-15 · Cette version française fait foi.

## L’essentiel

- Les visiteurs de vos liens ne reçoivent **aucun cookie**, et leur adresse IP n’est **jamais enregistrée** : elle sert un instant à en déduire un pays et une empreinte pseudonyme.
- Le détail des visites est supprimé au bout de **90 jours** ; seuls des totaux quotidiens sont conservés ensuite.
- Nos serveurs sont hébergés dans l’Union européenne. Quelques prestataires — acheminement du trafic du site et vérification anti-robot, envoi des e-mails, connexion Google, GitHub ou GitLab, vérification des destinations — sont établis aux États-Unis.
- Nous ne vendons aucune donnée et n’affichons aucune publicité.
- Vous pouvez **exporter vos données** et **supprimer votre compte** à tout moment, depuis la page Compte.

Ce résumé aide à lire le texte ; il ne le remplace pas.

## 1. Qui sommes-nous

Klyk est édité par **Klybase Labs LLC**, 1209 Mountain Road Pl NE, Ste R, Albuquerque, NM 87110, États-Unis (« nous »).

Pour toute question sur vos données, ou pour exercer vos droits : [privacy@getklyk.io](mailto:privacy@getklyk.io).

## 2. Deux rôles, selon qui vous êtes

- **Vous avez un compte Klyk** : nous sommes responsable du traitement des données de votre compte (section 3).
- **Vous avez suivi un lien Klyk ou consulté une page Klyk** : la mesure de votre visite est faite pour le compte du titulaire du lien, qui en est responsable ; nous agissons comme son sous-traitant (section 4). Nous restons responsable des traitements que nous menons pour la sécurité du Service, comme la vérification des destinations et le traitement des signalements.

## 3. Données des titulaires de compte

| Données | Finalité | Base légale | Conservation |
| --- | --- | --- | --- |
| Adresse e-mail, mot de passe (haché avec bcrypt, jamais stocké en clair), nom d’affichage, avatar | Créer et gérer votre compte, vous authentifier | Exécution du contrat | Jusqu’à la suppression du compte |
| À l’inscription par e-mail : adresse IP, navigateur et signaux techniques de la connexion, transmis à Cloudflare Turnstile | Vérifier que l’inscription est faite par une personne et non par un robot | Intérêt légitime (prévention des abus) | Non conservés par Klyk : seul le résultat du test nous est communiqué |
| Si vous vous connectez avec Google, GitHub ou GitLab : identifiant chez ce fournisseur, adresse e-mail, nom, et le jeton d’accès qu’il délivre (conservé chiffré) | Vous connecter sans mot de passe | Exécution du contrat | Jusqu’à la suppression du compte |
| Vos liens et leurs destinations, règles, variantes, pages, domaines, étiquettes, images, réglages de QR codes | Fournir le Service | Exécution du contrat | Jusqu’à leur suppression ou celle du compte |
| Sessions : navigateur, empreinte pseudonyme de l’adresse IP, dates | Maintenir votre connexion ; vous permettre de voir et de fermer vos sessions | Exécution du contrat ; intérêt légitime (sécurité) | Jusqu’à expiration (30 jours au plus) ou déconnexion |
| Historique de connexion : date, mode de connexion, succès ou échec, navigateur, système, pays, empreinte pseudonyme de l’adresse IP | Sécurité du compte ; vous montrer l’activité récente | Intérêt légitime (sécurité) | 180 jours |
| Codes de connexion, liens de confirmation d’adresse et de réinitialisation du mot de passe | Vérifier votre adresse, vous connecter, réinitialiser votre mot de passe | Exécution du contrat | Jusqu’à leur utilisation ou leur expiration (10 minutes à 24 heures) |
| Version des Conditions acceptée et date d’acceptation | Conserver la preuve de notre accord | Exécution du contrat ; défense de nos droits | Jusqu’à la suppression du compte |
| E-mails de service : confirmation d’adresse, codes, alertes de sécurité et de modération | Vous informer sur votre compte et vos liens | Exécution du contrat ; obligations légales | Retirés de notre file d’envoi quelques jours au plus après l’envoi |
| Rapport hebdomadaire par e-mail | Vous résumer l’activité de vos liens | Intérêt légitime — désactivable en un clic depuis l’e-mail ou la page Compte | Retiré de notre file d’envoi quelques jours au plus après l’envoi |
| E-mails de conseils et de rappels : quel e-mail, quand, dans quelle langue, si son bouton a été utilisé et si l’étape visée a été franchie (adresse confirmée, premier lien, domaine connecté…) | Vous aider à terminer ce que vous avez commencé, et mesurer, en les comparant à un petit groupe de comptes qui ne les reçoit pas, si ces e-mails servent | Intérêt légitime — désactivable en un clic depuis l’e-mail ou la page Compte | 12 mois |
| Notes de Klyk (astuces, guides, nouveautés) : quelle note, quand, dans quelle langue, quelle version de son objet, si son bouton a été utilisé et si ce qu’elle proposait a été fait dans les 7 jours ; l’heure à laquelle vous ouvrez d’habitude Klyk, lue sur les 90 derniers jours | Vous envoyer ce qui vous sert, à votre heure et à votre rythme ; mesurer, en comparant à un petit groupe de comptes qui ne la reçoit pas, si une note sert, et retirer celles qui ne servent pas | Intérêt légitime — chaque sorte de note se désactive en un clic depuis l’e-mail, sa page de préférences ou la page Compte | 12 mois ; l’heure habituelle, jusqu’à la suppression du compte |
| Adresses écartées : empreinte (hachage) d’une adresse dont un e-mail a été définitivement refusé ou signalé comme indésirable | Ne plus envoyer d’e-mail facultatif à cette adresse | Intérêt légitime ; respect de votre opposition | Tant que l’adresse doit rester écartée |
| Utilisation des fonctionnalités du tableau de bord : le nom de l’action (par exemple « QR téléchargé en PNG » ou « export CSV »), votre compte et la date — jamais une adresse, une recherche ni le contenu d’un lien | Savoir quelles fonctionnalités servent, pour améliorer le Service | Intérêt légitime — mesuré par nous seuls, sans cookie ni outil tiers | 90 jours, puis uniquement des totaux quotidiens qui ne désignent personne |
| Comment vous avez découvert Klyk : la source de la visite au bout de laquelle vous avez créé votre compte (par exemple « LinkedIn » ou une campagne), le domaine du site d’origine et la première page vue | Savoir quelles publications amènent des inscriptions | Intérêt légitime — mesuré par nous seuls, sans cookie ni outil tiers | Jusqu’à la suppression du compte |
| Journaux techniques (requêtes en erreur, adresse IP tronquée) | Diagnostiquer les incidents ; sécurité | Intérêt légitime | 90 jours |
| Adresse IP des requêtes, pour limiter leur nombre | Protéger le Service contre les abus | Intérêt légitime | En mémoire, une heure au plus |

## 4. Données des visiteurs de liens et de pages

Quand vous suivez un lien Klyk ou consultez une page Klyk, nous enregistrons un événement de visite qui contient :

- une **empreinte pseudonyme**, calculée avec une clé secrète à partir de votre adresse IP et de votre navigateur : elle sert à compter les visiteurs uniques et à ne pas compter deux fois le même clic. Elle ne contient pas votre adresse IP, mais reste une donnée personnelle pseudonymisée ;
- le **pays** et le continent, déduits de votre adresse IP : par Cloudflare, qui achemine le trafic de getklyk.io, quand votre visite passe par lui, sinon au moyen d’une base de données installée sur nos serveurs ; votre adresse n’est envoyée à aucun autre service pour cela ;
- le **type d’appareil**, le système d’exploitation et le navigateur, déduits de l’en-tête `User-Agent`, et la **langue principale** de votre navigateur ;
- le **domaine** du site d’où vous venez — jamais l’adresse complète de la page — et les éventuels paramètres UTM du lien ;
- la date et l’heure, le canal (accès direct, QR code, page) et, le cas échéant, la règle ou la variante qui a choisi votre destination ;
- si la visite semble provenir d’un robot.

**Ce que nous ne faisons pas** : votre adresse IP n’est jamais écrite en base de données ; aucun cookie n’est déposé sur l’appareil des visiteurs, et rien n’y est stocké que les choix qu’ils font sur une page (voir « Cookies et stockage local ») ; aucun identifiant publicitaire n’est utilisé ; ces données ne sont ni vendues, ni utilisées pour vous profiler.

Vos actions sur un même lien à moins de 30 minutes d’intervalle sont regroupées en une visite, à partir de l’empreinte ci-dessus, sans cookie. Le détail des visites est **supprimé au bout de 90 jours** ; seuls des totaux par jour, sans aucun identifiant, sont conservés ensuite. Des compteurs de visiteurs uniques, qui ne permettent pas de retrouver une empreinte, sont conservés environ 13 mois pour les statistiques sur longue période.

Le titulaire du lien voit ces informations sous forme de statistiques. Il ne voit jamais votre adresse IP ; l’empreinte ne lui est montrée que réduite à quelques caractères, pour distinguer deux visites dans le fil des événements.

**Statistiques partagées.** Le titulaire du lien peut publier ces statistiques, sous forme **agrégée** uniquement, sur une page en lecture seule ouverte par un lien secret — pour les montrer à un client, par exemple. Cette page ne contient aucune donnée individuelle : ni visite une à une, ni empreinte, ni adresse de destination, et toute valeur comptant moins de 3 clics y est regroupée avec d’autres. C’est un seuil de prudence, pas une garantie formelle d’anonymat. La page n’est pas indexée par les moteurs de recherche, ne dépose aucun cookie, et le titulaire peut la révoquer à tout moment. Le nombre de fois qu’elle est ouverte est compté, sans adresse IP ni identifiant de la personne qui l’ouvre.

Si un lien est protégé par un mot de passe, celui que vous saisissez sert uniquement à la vérification et n’est pas conservé.

Pour exercer vos droits sur ces données, adressez-vous au titulaire du lien ; si vous ne savez pas qui il est, écrivez-nous à [privacy@getklyk.io](mailto:privacy@getklyk.io) et nous lui transmettrons votre demande. Comme votre adresse IP n’est pas enregistrée, il n’est en général pas possible de retrouver les visites d’une personne précise (article 11 du RGPD).

**Lecteurs intégrés.** Une page peut contenir le lecteur d’un service — YouTube, Spotify, SoundCloud, TikTok, Apple Music, Apple Podcasts ou Deezer. Il ne se charge que si vous le demandez : rien n’est demandé à ce service avant. Une fois le lecteur chargé, ce service reçoit votre adresse IP et peut déposer des cookies, selon sa propre politique de confidentialité. Si vous choisissez « Toujours sur cette page », ce choix est gardé dans votre navigateur, et le pied de la page permet de le retirer.

## 5. Mesure d’audience de notre site

Quand vous consultez les pages publiques de Klyk — accueil, inscription, connexion, pages légales, Coulisses — nous enregistrons une page vue qui contient :

- la page consultée, la date et l’heure ;
- une **empreinte pseudonyme**, calculée avec une clé secrète à partir de votre adresse IP et de votre navigateur, distincte de celle des visites de liens : elle sert seulement à compter les visiteurs uniques et à regrouper en une visite les pages vues à moins de 30 minutes d’intervalle ;
- la **source** de la visite : les paramètres UTM de l’adresse, sinon le domaine du site d’où vous venez — jamais l’adresse complète de la page ;
- le **pays**, déduit de votre adresse IP par Cloudflare ou, à défaut, sur nos serveurs, et le **type d’appareil** (ordinateur, mobile, tablette).

**Ce que nous ne faisons pas** : aucun cookie n’est déposé et rien n’est stocké sur votre appareil ; votre adresse IP n’est jamais enregistrée ; aucun outil de mesure d’audience tiers n’intervient ; les robots ne sont pas enregistrés. Ces pages vues ne sont rattachées à aucun compte.

Les visites faites avec une session Klyk ouverte ne sont pas comptées : quelqu’un qui a déjà un compte n’est pas une audience à conquérir. Pour le savoir, le site dépose sur votre navigateur le cookie `klyk_no_stats` à l’ouverture de la session, et le retire à sa fin ; il ne contient aucun identifiant. Les visiteurs sans compte n’en reçoivent aucun.

Si vous créez un compte, nous retrouvons la visite en cours au moment de l’inscription et enregistrons avec votre compte **sa source seulement** — par exemple « LinkedIn » ou le nom d’une campagne —, le domaine du site d’origine et la première page vue. Si cette visite n’a pas d’origine — un onglet rouvert après une pause, par exemple —, c’est la dernière arrivée du même navigateur dans les 7 jours qui compte, retrouvée de la même façon ; à défaut, aucune source n’est enregistrée. L’empreinte, elle, n’est pas conservée avec votre compte.

Le formulaire d’inscription vous demande aussi, sans obligation, comment vous avez connu Klyk. Votre réponse — un choix dans une liste, et vos propres mots si vous choisissez « Autre » — est enregistrée avec votre compte, à côté de cette source. Sans réponse, rien n’est enregistré.

Base légale : notre intérêt légitime à mesurer l’audience de notre site et à savoir quelles publications amènent des inscriptions. Conservation : **180 jours** pour chaque page vue, puis uniquement des totaux quotidiens qui ne désignent personne ; la source d’inscription et votre réponse, jusqu’à la suppression du compte.

## 6. Signalements et modération

Si vous signalez un lien depuis sa page d’aperçu, nous enregistrons le motif choisi, le texte que vous ajoutez éventuellement, et une empreinte pseudonyme de votre adresse IP et de votre navigateur, qui sert uniquement à compter les auteurs distincts. Si vous nous écrivez, nous conservons votre message et vos coordonnées pour traiter le signalement.

Le formulaire de signalement vous fait passer un test anti-robot, **Cloudflare Turnstile** : votre navigateur exécute un court test, pour lequel Cloudflare reçoit votre adresse IP, votre navigateur et des signaux techniques de la connexion (voir [Destinataires](https://getklyk.io/legal/privacy#recipients)). Nous n’en recevons que le résultat.

Le journal de modération enregistre chaque décision : la mesure, sa date, la personne qui l’a prise, sa note, et le lien, le site ou le compte concerné.

Quand vous supprimez un lien ou une page, nous en gardons l’adresse, la destination, le titre, l’état et les dates de création et de suppression, rien de ses visites : un lien trompeur est souvent supprimé avant d’être signalé, et ce qu’il était doit rester connu.

Nous surveillons aussi le **volume de clics** de chaque lien — des totaux par tranches de cinq minutes, sans rien sur les visiteurs — pour repérer les pics anormaux qui accompagnent souvent un envoi frauduleux. Un pic ouvre une fiche pour la modération : le lien, ses volumes, ce qu’il fait d’habitude et quelques indicateurs agrégés, comme la part de robots ou l’âge du lien ; jamais un visiteur. Il n’entraîne jamais de blocage automatique. La fiche est conservée **90 jours** après sa clôture, ou **3 ans** si elle a mené à une décision de modération.

Base légale : notre intérêt légitime à protéger les internautes et le Service, et nos obligations légales, notamment au titre du règlement sur les services numériques. Conservation : **3 ans**, pour pouvoir répondre à une contestation ; les signalements visant un lien sont supprimés plus tôt si le compte qui possède ce lien est supprimé. Ce qui reste d’un lien supprimé est conservé **1 an** après sa suppression, et effacé plus tôt avec votre compte.

## 7. Vérification des destinations

Lorsqu’un titulaire de compte enregistre une destination — lien, règle, variante, bouton de page ou redirection de domaine —, nous en transmettons l’adresse complète à **Google Web Risk** (Google LLC) pour vérifier qu’elle n’est pas répertoriée comme dangereuse, puis de nouveau régulièrement tant qu’un lien y mène. Aucune donnée concernant les visiteurs n’est transmise à cette occasion.

Si une destination contient elle-même des données personnelles (une adresse e-mail dans ses paramètres, par exemple), celles-ci sont transmises à Google avec l’adresse : évitez d’en placer dans vos destinations. Base légale : notre intérêt légitime à protéger les internautes. Le résultat de la vérification est conservé tant qu’un lien, une page ou un domaine mène à cette adresse.

Nos serveurs consultent aussi la page de destination pour en lire le titre et l’icône. Ils le font en leur propre nom : le site de destination ne reçoit ni votre adresse IP, ni celle de vos visiteurs.

## 8. Pages composées avec l’IA

« Créer avec l’IA » compose un brouillon de page à partir de ce que vous donnez. Il ne sert qu’à **votre propre page**, ou à celle d’une personne qui vous a donné son accord : vous le confirmez à chaque création, et rien n’est lu ni cherché sans cette confirmation.

### Ce qui est transmis, et à qui

- À notre prestataire d’intelligence artificielle, **Anthropic, PBC** (États-Unis) : votre nom, ce que vous dites faire, les adresses que vous indiquez, votre envie de style, la langue de la page, et le texte des adresses que vous donnez, lu par Klyk à chacune de ces adresses. Le modèle peut aussi lire d’autres pages de vos propres sites, mais jamais celles des services que tout le monde partage (GitHub, Medium, réseaux sociaux…) : de vos profils, il ne reçoit que le texte lu à l’adresse exacte que vous donnez.
- **Votre nom n’est cherché sur le web que si vous l’activez** : l’option est désactivée par défaut, et se choisit à chaque création. Anthropic fait alors exécuter les recherches par un moteur de recherche tiers, son propre sous-traitant, qui ne reçoit que la requête.
- Ni votre adresse e-mail, ni l’identifiant de votre compte, ni vos images ne sont transmis au prestataire.

### Ce que vous vérifiez, et ce qui est effacé

- Ce qui est trouvé — sources, faits, profils, projets, images — vous est présenté **avant tout usage**, chaque fait avec ses sources : le modèle peut se tromper, et vous pouvez vérifier. Ce qui vous concerne « peut-être » reste décoché tant que vous ne le cochez pas ; ce qui concerne une autre personne du même nom est écarté.
- **Ce que vous décochez est effacé dès que la page est composée**, avec les pages sur d’autres personnes rencontrées pendant la recherche et le détail de la recherche elle-même. Les images trouvées sont copiées sur nos serveurs pendant la recherche ; celles que vous ne gardez pas sont alors supprimées.
- La recherche est conduite pour laisser de côté ce qui n’a pas sa place sur une page publique : adresse personnelle, téléphone, famille, santé, religion, opinions, vie sexuelle, finances, procédures judiciaires, enfants. Rien n’est publié sans que vous l’ayez relu.

### Bases légales

- L’exécution du service que vous demandez, recherche sur le web comprise lorsque vous l’activez.
- Pour les informations sur d’autres personnes rencontrées pendant la recherche, des homonymes par exemple : notre intérêt légitime à vous présenter un dossier exact. Elles ne servent qu’à être écartées et sont effacées comme indiqué ci-dessus ; toute personne concernée peut s’y opposer en écrivant à [privacy@getklyk.io](mailto:privacy@getklyk.io).

### Durées de conservation

- Une création menée jusqu’à une proposition est effacée **30 jours** après son début. Le contenu d’une création arrêtée avant est effacé après **7 jours**, celui d’une création que vous laissez, aussitôt : il n’en reste qu’une ligne sans contenu — ni votre nom, ni vos adresses, ni ce qui a été trouvé —, effacée à son tour **30 jours** après son début. La page que vous en faites est une page comme les autres.
- Au-delà, nous ne gardons que le coût total de chaque jour, sans identifiant.
- Anthropic agit pour notre compte en tant que sous-traitant : il n’utilise pas ces données pour entraîner ses modèles, et ne les conserve que pour une durée limitée — au plus 30 jours à la date de cette politique —, plus longtemps seulement si un usage contraire à ses règles est détecté. Le transfert vers les États-Unis est encadré comme indiqué à la section [« Transferts hors de l’Union européenne »](#transfers).

## 9. Cookies et stockage local

Côté visiteurs de liens, aucun cookie n’est déposé sur l’appareil des visiteurs, et rien n’y est stocké que les choix qu’ils font sur une page (voir « Cookies et stockage local »). Sur le site lui-même, nous n’utilisons que les éléments ci-dessous, tous nécessaires au fonctionnement du Service ou à un choix que vous faites : ils ne nécessitent pas votre consentement, et nous n’utilisons aucun cookie de mesure d’audience ni de publicité.

| Nom | Type | Rôle | Durée |
| --- | --- | --- | --- |
| `klyk_rt` | Cookie, inaccessible aux scripts | Maintenir votre session de connexion | 30 jours au plus, renouvelé à l’usage ; supprimé à la déconnexion |
| `oauth_state` | Cookie | Protéger la connexion avec Google, GitHub ou GitLab contre la falsification de requête | 10 minutes |
| `KLYK_LOCALE` | Cookie | Mémoriser la langue que vous avez choisie | 1 an ; déposé seulement quand vous choisissez une langue |
| `klyk_theme` | Stockage local | Mémoriser le thème clair ou sombre | Jusqu’à ce que vous l’effaciez |
| `kly-sheet-width:…` | Stockage local | Mémoriser la largeur des panneaux du tableau de bord | Jusqu’à ce que vous l’effaciez |
| `klyk_chunk_reload` | Stockage de session | Éviter une boucle de rechargement après une mise à jour du site | Jusqu’à la fermeture de l’onglet |
| `klyk_no_stats` | Cookie | Exclure de la mesure d’audience du site les visites faites avec une session Klyk ouverte, et celles des administrateurs de Klyk — déposé à l’ouverture d’une session et retiré à sa fin ; gardé ensuite sur les navigateurs des administrateurs | 30 jours, renouvelé avec la session ; 1 an pour les administrateurs |

Sur une page Klyk, seuls les choix que vous y faites sont gardés dans votre navigateur, pour ne pas vous les redemander. Ils sont nécessaires à ce que vous avez demandé et ne quittent pas votre appareil :

| Nom | Type | Rôle | Durée |
| --- | --- | --- | --- |
| `klyk:audience:…` | Stockage local | Votre réponse à la mesure d’audience d’une page (Google Analytics, Meta), quand son titulaire en a ajouté une | Jusqu’à ce que vous l’effaciez ; « Mesure d’audience », au pied de la page, permet de répondre à nouveau |
| `klyk:players:…` | Stockage local | Les services dont vous laissez se charger les lecteurs sur une page (« Toujours sur cette page ») | Jusqu’à ce que vous le retiriez (« Ne plus charger les lecteurs », au pied de la page) ou l’effaciez |

## 10. Destinataires et prestataires

Vos données ne sont accessibles qu’aux personnes de Klybase Labs qui en ont besoin, et aux prestataires ci-dessous, dans la limite de ce qui leur est nécessaire :

| Prestataire | Rôle | Données concernées | Localisation |
| --- | --- | --- | --- |
| Contabo GmbH | Hébergement des serveurs et des bases de données | Toutes les données du Service | Union européenne |
| Cloudflare, Inc. | Acheminement et protection du trafic de getklyk.io ; pays des visiteurs | Adresse IP et requêtes adressées au site (adresse demandée, en-têtes du navigateur, contenu échangé) | États-Unis ; centres de données dans le monde entier |
| Cloudflare, Inc. | Vérification anti-robot (Turnstile) à l’inscription et sur les signalements | Adresse IP, navigateur, signaux techniques de la connexion | États-Unis |
| Resend, Inc. | Envoi des e-mails | Adresse e-mail, contenu des e-mails | États-Unis |
| Google LLC | Vérification des destinations (Web Risk) | Adresses des destinations | États-Unis |
| Anthropic, PBC | Création de pages avec l’IA : recherche et composition | Ce que vous donnez pour la page ; le contenu public de vos sites et, si vous activez la recherche, ce qui est trouvé à votre sujet | États-Unis |

Si vous choisissez de vous connecter avec **Google**, **GitHub** ou **GitLab**, ce fournisseur nous transmet votre identité ; il agit alors en tant que responsable de traitement indépendant, et sa propre politique de confidentialité s’applique.

Pour **Turnstile**, Cloudflare utilise aussi ces signaux pour améliorer sa détection des robots ; il agit alors en tant que responsable de traitement indépendant, et sa [politique de confidentialité Turnstile](https://www.cloudflare.com/turnstile-privacy-policy/) s’applique.

Nous communiquons des données aux autorités lorsque la loi l’exige. Nous ne vendons aucune donnée, et n’en partageons aucune à des fins publicitaires.

## 11. Transferts hors de l’Union européenne

Klybase Labs est une société américaine, et certains des prestataires ci-dessus sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis (Data Privacy Framework). Vous pouvez en obtenir une copie en écrivant à [privacy@getklyk.io](mailto:privacy@getklyk.io).

Le réseau de Cloudflare traite chaque requête dans le centre de données le plus proche de la personne qui la fait, qui peut se trouver hors de l’Union européenne. Cloudflare est certifié au titre du Data Privacy Framework, et son accord de traitement des données intègre les clauses contractuelles types.

## 12. Durées de conservation

| Données | Durée |
| --- | --- |
| Compte, liens, pages, domaines, fichiers | Jusqu’à la suppression du compte |
| Détail des visites | 90 jours |
| Totaux quotidiens, sans identifiant | Jusqu’à la suppression du compte |
| Compteurs de visiteurs uniques | Environ 13 mois |
| Historique de connexion | 180 jours |
| Sessions | 30 jours au plus |
| Codes et liens de vérification | 10 minutes à 24 heures |
| Journaux techniques | 90 jours |
| Utilisation des fonctionnalités, par compte | 90 jours |
| Totaux quotidiens d’utilisation, sans identifiant | Sans limite : ils ne désignent personne |
| Pages vues de notre site | 180 jours |
| Totaux quotidiens d’audience du site, sans identifiant | Sans limite : ils ne désignent personne |
| Source d’inscription | Jusqu’à la suppression du compte |
| E-mails de conseils et de rappels envoyés | 12 mois |
| Notes de Klyk envoyées | 12 mois |
| Compte dont l’adresse n’a jamais été confirmée, sans aucun lien | 30 jours, puis retiré ; effacé 30 jours plus tard |
| Signalements et journal de modération | 3 ans |
| Fiches de pics de trafic | 90 jours après leur clôture ; 3 ans si elles ont mené à un blocage |
| Ce qui reste d’un lien supprimé | 1 an après sa suppression |
| Création avec l’IA menée jusqu’à une proposition (ce que vous avez donné et gardé, les propositions) | 30 jours après son début |
| Création avec l’IA arrêtée avant une proposition | Son contenu 7 jours après son début ; la ligne sans contenu qui en reste, 30 jours après |
| Ce que vous écartez à la vérification ; le contenu d’une création que vous laissez | Effacés aussitôt |
| Coût quotidien des créations avec l’IA, sans identifiant | Sans limite : il ne désigne personne |
| Résultats de vérification des destinations | Tant qu’un lien, une page ou un domaine y mène |

Lorsque vous supprimez votre compte, vos liens, pages, domaines, étiquettes, fichiers et statistiques, ainsi que les signalements visant vos liens, sont effacés immédiatement, et vos adresses courtes redeviennent disponibles. Seule exception : une décision de modération vous concernant reste inscrite au journal de modération, avec l’identifiant de votre compte, jusqu’au terme de sa durée de conservation.

Un compte dont l’adresse n’a jamais été confirmée et qui ne compte aucun lien est **retiré** au bout de 30 jours, de même qu’un compte non confirmé que le titulaire de l’adresse signale comme créé à son insu (« Ce n’est pas moi »). Retiré veut dire masqué, ses sessions fermées et son adresse libérée aussitôt ; il reste récupérable pendant **30 jours**, son adresse d’origine conservée chiffrée à cette seule fin, puis il est **effacé définitivement**.

## 13. Sécurité

- Connexions chiffrées (HTTPS).
- Mots de passe hachés avec bcrypt ; données sensibles, comme les jetons des fournisseurs de connexion, chiffrées en AES-256-GCM.
- Sessions de courte durée, renouvelées par un jeton à usage unique et révocables depuis la page Compte.
- Adresses IP des visiteurs jamais enregistrées ; adresses IP tronquées dans les journaux.
- Accès aux données limité aux personnes qui en ont besoin.

En cas de violation de données présentant un risque élevé pour vos droits, nous vous en informons, conformément à la loi.

## 14. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition. Si vous résidez en France, vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Depuis la page **Compte**, vous pouvez vous-même modifier votre profil, **télécharger toutes vos données** dans un fichier JSON, fermer vos sessions, désactiver le rapport hebdomadaire, les conseils et rappels ou les notes de Klyk, choisir leur rythme, et **supprimer votre compte**.

Pour toute autre demande, écrivez à [privacy@getklyk.io](mailto:privacy@getklyk.io). Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe ; nous pouvons vous demander de justifier de votre identité.

Vous pouvez introduire une réclamation auprès d’une autorité de contrôle — en France, la [CNIL](https://www.cnil.fr/fr/plaintes) —, notamment celle de votre pays de résidence.

## 15. Mineurs

Le Service n’est pas destiné aux personnes de moins de 16 ans, qui ne peuvent pas y créer de compte. Si vous pensez qu’un mineur nous a fourni des données, écrivez à [privacy@getklyk.io](mailto:privacy@getklyk.io) et nous les supprimerons.

## 16. Modifications

Nous pouvons mettre à jour cette politique. La date de la version en vigueur figure en haut de la page ; en cas de changement important, nous vous prévenons par e-mail ou dans le Service.

## Une question sur ce document ?

Écrivez-nous : une personne vous répondra. [privacy@getklyk.io](mailto:privacy@getklyk.io)