Politique de confidentialité et protection des données

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via la plateforme Kiality est la société Devapy (SIRET 838 712 388 00019), dont le siège social est situé au 4 chemin de la Guinette, 31290 Vallègue.
Contact DPO : dpo@devapy.com

2. Rôles : responsable de traitement et sous-traitant

Kiality traite deux catégories distinctes de données, impliquant des rôles juridiques différents :

• Données propres à Devapy (données de compte, logs de connexion, communications via les formulaires) : Devapy agit en tant que responsable du traitement. La présente politique s'applique pleinement à ces données.
• Données métier du client (anomalies détectées, normes configurées, données issues des connecteurs vers des systèmes tiers, données d'évaluation) : sur l'offre hébergée par Kiality, Devapy héberge ces données et agit à ce titre en tant que sous-traitant au sens de l'article 28 du RGPD. En déploiement on-premise ou auto-hébergé, ces données restent sur l'infrastructure du client et Devapy n'y a pas accès - elle n'agit alors pas en tant que sous-traitant pour ces données. Le client (organisation souscriptrice) demeure dans tous les cas responsable du traitement de ces données. Le traitement est encadré par les CGV et, le cas échéant, par un accord de traitement des données (DPA) conclu avec le client.

3. Données collectées

Dans le cadre de l'utilisation de Kiality, les données suivantes peuvent être collectées :

• Données d'identification : nom, prénom, adresse e-mail, identifiant ;
• Données de connexion : adresse IP, horodatage, logs de session ;
• Données métier : anomalies détectées, normes configurées, données issues des connecteurs (traitées en tant que sous-traitant) ;
• Données de communication : échanges via les formulaires de contact ;
• Données techniques de téléchargement : lors du téléchargement des référentiels publics (hub.kiality.com/r), le navigateur ou le logiciel utilisé (user-agent), la page d'origine (référent) et une empreinte non réversible de l'adresse IP (voir ci-dessous).

4. Finalités du traitement

Les données sont collectées pour les finalités suivantes :

• Fourniture du service Kiality et gestion des comptes utilisateurs ;
• Sécurité et prévention des usages frauduleux, y compris la protection du formulaire de contact et des téléchargements contre les envois et les appels automatisés ;
• Support technique et service client ;
• Amélioration du produit et analyse d'usage (données agrégées et anonymisées) ;
• Respect des obligations légales et réglementaires.

5. Base légale

Les traitements reposent sur les bases légales suivantes (RGPD art. 6) :

• Exécution du contrat d'abonnement ;
• Obligation légale ;
• Intérêt légitime de Devapy (sécurité, amélioration du service) ;
• Consentement de l'utilisateur (le cas échéant).

6. Durée de conservation

Les données sont conservées pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, et au maximum :

• Données de compte : durée de la relation contractuelle + 3 ans ;
• Logs de connexion : 12 mois ;
• Données techniques de téléchargement des référentiels (user-agent, référent, empreinte d'adresse IP) : 30 jours ; les appels écartés des statistiques (robots, appels directs, doublons) sont supprimés au bout de 30 jours, et pour les téléchargements retenus seules la date, le référentiel, le format et, pour une instance Kiality licenciée, le client sont conservés au-delà ;
• Données métier : durée de l'abonnement + 90 jours (délai de restitution/destruction à la résiliation).

7. Destinataires et sous-traitants

Les données sont accessibles aux équipes habilitées de Devapy. Sur l'offre hébergée par Kiality, elles sont également traitées par les sous-traitants techniques suivants, dans le strict cadre de l'exécution du service, liés par des clauses contractuelles de protection des données conformes au RGPD :

• Scaleway SAS (hébergement et infrastructure cloud) - données hébergées en France ;
• Fournisseur SMTP (envoi des notifications par email) ;
• Fournisseurs d'intelligence artificielle (Mistral, Scaleway, Anthropic, OpenAI ou équivalent), pour les fonctionnalités optionnelles de détection par IA, de génération de règles en langage naturel et d'assistance à l'écriture de requêtes. Selon la fonctionnalité, les enregistrements évalués (détection par IA) ou un échantillon tronqué de vos données et votre requête (langage naturel, assistant) sont transmis. Lorsque l'anonymisation est activée, les données identifiantes sont masquées avant l'envoi. Voir la Charte IA pour le détail. Ces fonctionnalités peuvent être désactivées et remplacées par un modèle local (Ollama, hébergé dans votre infrastructure).

En déploiement on-premise ou auto-hébergé, Scaleway et le fournisseur SMTP ci-dessus ne s'appliquent pas : c'est votre propre hébergeur et vos propres services techniques qui interviennent, en dehors de tout contrat avec Devapy. Seuls les fournisseurs d'intelligence artificielle que vous choisissez d'activer (voir ci-dessous et la Charte IA) reçoivent des données dans ce mode de déploiement.

Aucune donnée n'est cédée à des tiers à des fins commerciales.

8. Transferts hors Union Européenne

Sur l'offre hébergée par Kiality, l'hébergement principal est assuré en France (Scaleway). Si la fonctionnalité d'intelligence artificielle est configurée avec un provider cloud (Anthropic, OpenAI), des données peuvent être traitées hors de l'Union Européenne, que le déploiement soit hébergé par Kiality ou on-premise. Dans ce cas, Devapy s'assure - pour l'offre hébergée - que des garanties appropriées sont mises en place (clauses contractuelles types de la Commission Européenne ou mécanisme équivalent) ; en déploiement on-premise, le choix du fournisseur IA et des garanties associées relève du client. Pour éviter tout transfert hors UE, il est possible d'utiliser un modèle LLM local (Ollama) ou un fournisseur cloud hébergé en France (Scaleway).

9. Droits des personnes concernées

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie des données vous concernant ;
• Droit de rectification : corriger des données inexactes ;
• Droit à l'effacement : demander la suppression de vos données ;
• Droit à la limitation : restreindre un traitement ;
• Droit à la portabilité : recevoir vos données dans un format structuré ;
• Droit d'opposition : vous opposer à certains traitements ;
• Droit de retirer votre consentement à tout moment.

Pour exercer ces droits : dpo@devapy.com. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Pour les données métier traitées en tant que sous-traitant (données appartenant à votre organisation), adressez-vous directement à l'administrateur de votre compte Kiality, qui est le responsable du traitement au sens du RGPD.

10. Téléchargement des référentiels publics

Le catalogue public de référentiels (hub.kiality.com/r) permet de télécharger des jeux de données de référence au format JSON ou CSV, sans compte ni identification. À chaque téléchargement, Devapy enregistre :

• la date, le référentiel et le format demandés ;
• le user-agent (navigateur ou logiciel utilisé) et la page d'origine (référent) ;
• une empreinte non réversible de l'adresse IP, calculée avec un sel qui change chaque jour : l'adresse IP elle-même n'est pas conservée, et l'empreinte ne permet pas de reconnaître un visiteur d'un jour à l'autre.

Ces données servent uniquement à mesurer les téléchargements réels (en écartant les robots d'indexation, les appels automatisés et les doublons), à limiter les appels abusifs et à protéger le service. Elles reposent sur l'intérêt légitime de Devapy (sécurité du service et fiabilité de ses statistiques). Elles sont conservées 30 jours puis supprimées ou rendues anonymes, et ne sont ni cédées ni utilisées pour vous identifier ou vous suivre. Le droit d'opposition décrit ci-dessus s'applique : dpo@devapy.com.

11. Cookies

Kiality utilise des cookies techniques strictement nécessaires au fonctionnement du service (authentification, session, préférences d'interface). Ces cookies ne nécessitent pas de consentement préalable. Aucun cookie de traçage publicitaire ou analytique tiers n'est utilisé sans votre consentement explicite.

Kiality utilise Umami, un outil de mesure d'audience respectueux de la vie privée : il ne dépose aucun cookie et ne collecte aucune donnée permettant de vous identifier individuellement. Cet outil est hébergé sur notre propre infrastructure - les données de navigation collectées ne sortent jamais de notre hébergement et ne sont partagées avec aucun tiers.

12. Sécurité

Devapy met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, la destruction, l'altération ou l'accès non autorisé :

• Chiffrement des communications (HTTPS/TLS) ;
• Chiffrement des credentials et identifiants de connecteurs en base de données (AES-256) ;
• Contrôle d'accès par rôles (RBAC) ;
• Journal d'audit immuable des actions sensibles ;
• Sur l'offre hébergée par Kiality : hébergement en France (Scaleway) dans des datacenters certifiés.

En déploiement on-premise ou auto-hébergé, ces mesures s'appliquent au logiciel Kiality lui-même ; la sécurité physique et logique de l'infrastructure d'hébergement relève de la responsabilité du client.

13. Modifications de la politique

La présente politique peut être mise à jour à tout moment. La date de dernière mise à jour est indiquée en haut de page. En cas de modification substantielle, les utilisateurs en seront informés par email. Nous vous encourageons à la consulter régulièrement.