Document juridique · en vigueur au June 16, 2026

Politique de confidentialité

Keystro est conçu avec la confidentialité comme principe d'ingénierie central. Nous ne stockons jamais le texte que vous rédigez ni les réponses de l'IA — nulle part. Cette page explique précisément quelles données nous collectons, pourquoi, et quels droits vous avez sur elles.

1. Responsable du traitement

Le responsable du traitement est Boris Molton, entrepreneur individuel opérant sous la marque Keystro, immatriculé en France (micro-entreprise), SIRET 10565927000018. Contact : privacy@keystro.ai.

Nous n'avons pas désigné de délégué à la protection des données (DPO), car nous ne remplissons pas les critères de l'article 37 du RGPD (petite organisation, pas de surveillance systématique à grande échelle, pas de traitement à grande échelle de catégories particulières de données).

2. Données collectées

2.1 Données de compte

• Adresse e-mail — nécessaire à l'authentification et aux communications liées au service
• Nom complet — synchronisé depuis votre fournisseur d'authentification (Clerk) lors de l'inscription
• Identifiant d'authentification (ID Clerk) — lie vos sessions à votre compte
• Métadonnées de compte — date de création, dernière connexion, statut (actif ou suspendu)

2.2 Données de profil (optionnelles)

Si vous choisissez de les renseigner dans l'application desktop ou le dashboard web :

• Intitulé de poste, nom de l'entreprise, secteur d'activité
• Description de l'entreprise et description de votre rôle (texte libre, 2 000 caractères maximum chacun)

Ces informations sont incluses comme contexte système dans le prompt envoyé à l'IA, afin que les réponses correspondent à votre ton professionnel. Elles sont traitées avec store: false côté fournisseur IA (voir section 4).

2.3 Vocabulaire personnel

Termes que vous ajoutez pour personnaliser la sortie de l'IA (noms d'entreprise, marques, acronymes, etc.), dans la limite de votre forfait. Ces termes sont inclus dans le prompt et ne sont jamais partagés avec des tiers.

2.4 Données d'abonnement et de facturation

Gérées par Stripe (Irlande) — nous ne conservons que les références :

• Identifiant client Stripe et identifiant d'abonnement Stripe
• Code forfait (Free, Pro, Pro+), statut d'abonnement, période de facturation en cours
• Crédits de requêtes bonus (accordés par le support, le cas échéant)

Les coordonnées bancaires ne sont jamais traitées par nous — elles sont saisies directement dans l'interface conforme PCI-DSS de Stripe.

2.5 Événements d'usage (métadonnées uniquement)

Pour chaque requête IA, nous enregistrons :

• Type d'action (Correct, Draft Email, Ask, et types legacy des versions antérieures)
• Nombre de caractères et jetons en entrée (compteurs uniquement, pas le contenu)
• Nombre de caractères et jetons en sortie
• Modèle IA utilisé (GPT-5.4-mini, GPT-5.4-nano, etc.)
• Latence en millisecondes
• Statut succès ou erreur, code d'erreur le cas échéant
• Horodatage

Ces compteurs nous permettent d'appliquer les quotas mensuels, de surveiller la qualité du service et de facturer de manière agrégée. Ils ne contiennent aucun fragment de votre texte.

2.6 Données techniques (journaux serveur)

• Adresse IP (limitation de débit, prévention des abus, puis rotation hors des journaux)
• Métadonnées HTTP (méthode, chemin, code de statut, temps de réponse)
• Chaîne user-agent

3. Ce que nous ne collectons PAS

Cette liste est aussi importante que la section 2. Par règle d'ingénierie stricte, Keystro ne stocke, n'enregistre, ne met pas en cache et ne transmet à aucun outil d'analyse :

• Le texte que vous sélectionnez avant d'appuyer sur un raccourci Keystro
• Le texte généré par l'IA en réponse
• Le contenu de votre presse-papiers à tout moment
• Le texte d'un document, e-mail ou message ouvert
• Vos frappes clavier en dehors des raccourcis globaux enregistrés de Keystro
• Le contenu de votre écran, microphone ou caméra
• Votre historique de navigation ou activité dans d'autres applications

Les requêtes IA transitent par notre backend en temps réel, sont transmises au fournisseur IA avec le flag store: false (contrat Zero Data Retention), et la réponse vous est renvoyée. Rien n'est persisté dans notre base de données, rien n'est écrit dans nos journaux, rien n'est conservé par le fournisseur IA après production de la réponse.

4. Finalités et bases légales (RGPD art. 6)

5. Sous-traitants

Nous faisons appel aux sous-traitants suivants. Chacun est lié par un accord de traitement de données (DPA) et offre des garanties appropriées au titre des articles 28 et du chapitre V du RGPD.

Nous ne vendons, ne louons ni n'échangeons vos données avec quiconque. Nous ne partageons pas de données avec des réseaux publicitaires. Nous n'intégrons pas de scripts d'analyse tiers sur le site au-delà du strictement nécessaire.

6. Transferts internationaux

Plusieurs de nos sous-traitants sont basés aux États-Unis. Les transferts vers les États-Unis sont protégés par :

• Les clauses contractuelles types (CCT) de la Commission européenne incluses dans nos DPA ;
• Le cas échéant, la certification EU-US Data Privacy Framework du destinataire (décision d'adéquation du 10 juillet 2023) ;
• Notre règle interne de minimisation : seules les données strictement nécessaires à la finalité du sous-traitant sont transmises.

7. Durées de conservation

8. Vos droits

Au titre du RGPD, vous disposez gratuitement des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie de vos données
• Droit de rectification (art. 16) : corriger des données inexactes
• Droit à l'effacement (art. 17) : supprimer votre compte et toutes les données associées — directement depuis le dashboard
• Droit à la limitation (art. 18) : restreindre le traitement de vos données
• Droit à la portabilité (art. 20) : exporter votre profil et votre vocabulaire
• Droit d'opposition (art. 21) : pour les traitements fondés sur l'intérêt légitime
• Droit de retirer votre consentement (art. 7) pour tout traitement fondé sur le consentement
• Droit de ne pas faire l'objet d'une décision automatisée (art. 22) : nous ne prenons aucune décision vous affectant juridiquement sur la seule base d'un traitement automatisé

Pour exercer l'un de ces droits, écrivez à privacy@keystro.ai depuis l'adresse e-mail associée à votre compte. Nous répondrons sous 30 jours (prolongation possible de 60 jours pour les demandes complexes, avec information préalable).

Vous avez également le droit d'introduire une réclamation auprès de l'autorité française de protection des données, la CNIL — cnil.fr/fr/plaintes.

9. Cookies et traceurs

Notre site n'utilise que des cookies strictement nécessaires :

• Authentification (cookies de session Clerk) — indispensables pour rester connecté
• Paiement (cookies Stripe Checkout) — uniquement pendant une session de paiement, pour la prévention de la fraude

Ces cookies sont exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés (doctrine CNIL sur les cookies strictement nécessaires). Nous n'utilisons pas Google Analytics, Facebook Pixel, traceurs publicitaires ou cookies de profilage tiers. Si nous introduisons un jour des analytics optionnels, une bannière de consentement vous permettra d'accepter ou refuser avant tout cookie non essentiel.

10. Sécurité

• Trafic chiffré en transit (HTTPS / TLS 1.2+)
• Connexions base de données en TLS, chiffrement au repos par l'hébergeur
• Jetons d'authentification sur votre appareil chiffrés via Windows DPAPI (Electron safeStorage)
• Protection HTTP (en-têtes Helmet : HSTS, X-Frame-Options, X-Content-Type-Options) et limitation de débit sur chaque endpoint API
• Webhooks signés et vérifiés cryptographiquement (svix pour Clerk, signature native Stripe)
• La suppression de compte cascade sur toutes les tables liées (abonnement, usage, vocabulaire, profil) et déclenche une demande de suppression chez les sous-traitants

En cas de violation de données affectant vos droits et libertés, nous notifierons la CNIL sous 72 heures et vous informerons directement sans retard injustifié (RGPD art. 33-34).

11. Mineurs

Keystro n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles de mineurs. Si vous pensez qu'un mineur s'est inscrit, contactez privacy@keystro.ai et nous supprimerons le compte.

12. Résidents de Californie (CCPA / CPRA)

Si vous résidez en Californie, vous disposez de droits spécifiques au titre du California Consumer Privacy Act (CCPA), tel que modifié par le CPRA :

• Droit de savoir quelles informations personnelles nous collectons
• Droit de demander la suppression de vos informations personnelles
• Droit de corriger des informations inexactes
• Droit de refuser la vente ou le partage de vos informations personnelles
• Droit à la non-discrimination pour l'exercice de vos droits

Nous ne vendons ni ne partageons d'informations personnelles à des fins de publicité comportementale inter-contextes. Pour exercer vos droits CCPA : privacy@keystro.ai.

13. Résidents du Royaume-Uni (UK-GDPR)

Les résidents du Royaume-Uni bénéficient des mêmes droits qu'au titre du RGPD (UK-GDPR). Réclamations possibles auprès de l'ICO : ico.org.uk.

14. Autres juridictions

Quel que soit votre pays, nous appliquons le standard RGPD comme base de protection. Si votre droit local vous accorde des droits supplémentaires, nous les respecterons. Pour toute demande, écrivez à privacy@keystro.ai en indiquant votre pays de résidence.

15. Modifications de cette politique

Nous pouvons mettre à jour cette politique si Keystro évolue ou si les exigences légales changent. En cas de modification substantielle (nouveau sous-traitant traitant des données significatives, nouvelle finalité, changement de responsable), nous vous informerons par e-mail au moins 30 jours avant l'entrée en vigueur, et la date en tête de page sera mise à jour. L'utilisation continue après cette date vaut acceptation.

16. Contact

Pour toute question, demande ou préoccupation relative à la confidentialité : privacy@keystro.ai.

Voir aussi : Terms of Use (EN) · Terms of Sale (EN) · Mentions légales (FR)