Politique de confidentialité
Version 1.6.0 · En vigueur le 23 août 2026
⚠️ Document provisoire : à valider par un DPO avant tout lancement commercial. Les durées de conservation et la politique de purge des archives (§ 4.1) restent à valider par un avocat.
1. Responsable du traitement
[NOM_SOCIÉTÉ], [forme juridique], [adresse complète], [SIRET]. Contact DPO : dpo@kakukaku.ai
2. Données collectées
| Catégorie | Données | Finalité |
|---|---|---|
| Identification | Email, nom d'affichage, avatar | Gestion du compte |
| Vérification d'identité (Studio) | Pièce d'identité du représentant légal ; nom légal, date de naissance, adresse et identifiant fiscal (stockés chiffrés) | KYC obligatoire avant publication et versement ; obligations anti-blanchiment et fiscales |
| Paiements | Identifiant client chez le prestataire de paiement, historique transactions | Facturation |
| Versements (Studio) | Méthode de versement (coordonnées chiffrées : Paxum, USDT ou IBAN), enregistrements fiscaux par versement | Paiement des Studios · reporting DAC7 |
| Sécurité | Logs de connexion, adresse IP, 2FA-TOTP (chiffré AES-256-GCM) | Sécurité du compte |
| Contenu | Fichiers IA uploadés, métadonnées EXIF supprimées | Diffusion aux abonnés |
| Navigation | Pages consultées, durée de session | Monitoring (Sentry) |
Données que nous ne collectons jamais : numéro de carte bancaire (traité exclusivement par le prestataire de paiement), biométrie, localisation GPS.
3. Bases légales
| Traitement | Base légale (RGPD) |
|---|---|
| Création et gestion du compte | Art. 6(1)(b) : Exécution du contrat |
| KYC Studio | Art. 6(1)(c) : Obligation légale |
| Paiements et virements | Art. 6(1)(b) : Exécution du contrat |
| Détection CSAM et modération | Art. 6(1)(f) : Intérêt légitime impérieux (détection) + art. 6(1)(c) : Obligation légale (signalement aux autorités) |
| Logs de sécurité (Sentry, Redis) | Art. 6(1)(f) : Intérêt légitime (sécurité) |
| Emails transactionnels | Art. 6(1)(b) : Exécution du contrat |
| Reporting fiscal DAC7 (revenus des Studios) | Art. 6(1)(c) : Obligation légale |
4. Durées de conservation
| Données | Durée |
|---|---|
| Données de compte actif | Durée de l'abonnement + 2 ans |
| Données de transaction et pièces comptables | 10 ans (art. L123-22 du code de commerce) |
| Pièces KYC (identité Studio) | 5 ans après la fin de la relation d'affaires, en archive à accès restreint (LCB-FT, art. L561-12 du code monétaire et financier) |
| Journaux de connexion (logs techniques, adresses IP) | 12 mois (LCEN, art. 6 II) |
| Secret TOTP (chiffré) | Durée du compte |
| Données personnelles supprimées (art. 17) | Anonymisation immédiate, hors données soumises à une obligation légale de conservation (voir ci-dessous) |
| Registre des signalements CSAM | Durée légale (obligation de signalement, registre conservé) |
| Logs CSAM / incidents sécurité | 5 ans (réquisition judiciaire potentielle) |
4.1 Suppression de votre compte
La suppression de votre compte entraîne immédiatement l'anonymisation de vos données publiques : nom d'affichage, biographie, avatar, pays et pages publiques de vos Talents sont effacés ou remplacés par une mention neutre, et votre compte d'authentification est supprimé. Vos abonnements en cours sont résiliés sans prélèvement futur.
Certaines pièces ne sont toutefois pas détruites au moment de la suppression : la loi nous impose de les conserver (art. 17(3)(b) RGPD — l'effacement ne prime pas sur une obligation légale). Elles sont alors placées en archive à accès restreint, réservée aux réquisitions des autorités compétentes, et n'alimentent plus aucun traitement ordinaire :
| Archive conservée | Durée | Base légale |
|---|---|---|
| Dossier d'identité KYC (Studios) | 5 ans après la fin de la relation d'affaires | LCB-FT, art. L561-12 du code monétaire et financier |
| Pièces comptables et transactions | 10 ans | Art. L123-22 du code de commerce |
| Journaux de connexion | 12 mois | LCEN, art. 6 II |
| Registre des signalements CSAM | Durée légale | Obligation de signalement (NCMEC / autorités compétentes) |
À l'expiration de ces délais, les archives correspondantes sont détruites définitivement.
5. Sous-traitants et transferts de données
Toutes nos infrastructures principales sont hébergées dans l'Union Européenne.
| Prestataire | Rôle | Localisation | Garantie |
|---|---|---|---|
| Railway (Railway Corp.) | Hébergement application | UE · Amsterdam (eu-west) | DPA signé |
| Neon (Neon Inc.) | Base de données PostgreSQL | UE · Frankfurt | DPA + SCCs |
| Bunny CDN (BunnyWay d.o.o.) | Stockage et diffusion médias | UE · Frankfurt | DPA + SCCs |
| Supabase (Supabase Inc.) | Authentification utilisateurs | UE · Ireland | DPA + SCCs |
| Prestataire de paiement (établissement de paiement agréé, certifié PCI-DSS) | Traitement des paiements | UE · Luxembourg | DPA |
| Sentry (Functional Software) | Monitoring et logs d'erreurs | UE · Frankfurt (sentry.de) | DPA + SCCs |
| Upstash (Upstash Inc.) | Rate limiting Redis | US | SCCs |
| Amazon SES (AWS) | Emails transactionnels | UE · Frankfurt (eu-central-1) | DPA + SCCs |
| AWS Rekognition | Modération automatisée des images (CSAM, âge apparent) | UE · eu-west-1 | DPA + SCCs |
Transferts hors UE : les prestataires américains listés ci-dessus sont encadrés par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne (Décision 2021/914/UE) et/ou, pour les prestataires certifiés, le Data Privacy Framework (DPF) UE-États-Unis.
Destinataires légaux : conformément à la directive DAC7 (2021/514/UE), les revenus des Studios dépassant les seuils réglementaires sont déclarés aux administrations fiscales compétentes de l'Union Européenne (identité du représentant légal, identifiant fiscal, montants versés).
6. Vos droits (RGPD)
Conformément au RGPD (Règlement 2016/679), vous disposez des droits suivants, exercibles à dpo@kakukaku.ai :
- Art. 15 : Accès à vos données
- Art. 16 : Rectification
- Art. 17 : Effacement (« droit à l'oubli »)
- Art. 18 : Limitation du traitement
- Art. 20 : Portabilité
- Art. 21 : Opposition
- Art. 22 : Opposition au profilage automatisé
Délai de réponse : 30 jours calendaires. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
7. Sécurité
Les données sont protégées par :
- Chiffrement en transit (TLS 1.3)
- Chiffrement des secrets sensibles (TOTP : AES-256-GCM)
- Authentification 2FA obligatoire pour les Studios
- URLs de médias signées (SHA-256, TTL 24 h)
- Rate limiting sur toutes les routes d'authentification
Version 1.6.0 · Entrée en vigueur : 15 juillet 2026