Politique de confidentialité

1. Qui est responsable de vos données ?

Le responsable du traitement est la société L'OURS DU MARKETING, SASU au capital de 500,00 €, immatriculée au RCS de Paris sous le numéro 930 855 929, dont le siège est situé 15 rue du Chalet, 75010 Paris, éditrice du service Kapitaine (ci-après « nous »). Contact pour toute question relative aux données personnelles : contact@kapitaine.com. Nous n'avons pas désigné de délégué à la protection des données : toutes les demandes relatives à vos données sont traitées à cette adresse.

Kapitaine intervient à deux titres :

• Responsable du traitement pour les visiteurs du site, pour les comptes des agences et de leurs utilisateurs, et pour la facturation de l'abonnement Kapitaine.
• Sous-traitant (article 28 du RGPD) pour les données que les agences traitent sur leurs propres clients dans l'application : campagnes, résultats, créas, rapports, factures d'honoraires, accès des clients finaux. L'agence reste responsable de ces traitements et nous n'agissons que sur ses instructions. Ces engagements sont précisés dans l'accord de traitement des données (DPA) prévu à l'article 28 du RGPD, intégré par référence aux conditions générales de vente et fourni sur simple demande à contact@kapitaine.com.

2. Données traitées sur le site kapitaine.com

Le site est une vitrine statique. Il ne comporte aucun formulaire : si vous nous écrivez, c'est par e-mail, et nous traitons votre adresse et le contenu de votre message pour vous répondre. L'hébergeur du site (Vercel) enregistre des journaux techniques (adresse IP, date, page demandée, navigateur) nécessaires à la sécurité et au bon fonctionnement du service.

Le site n'utilise aucun outil de mesure d'audience, aucun pixel publicitaire et aucun cookie de suivi.

3. Données traitées dans l'application

• Comptes utilisateurs : nom, adresse e-mail, mot de passe (stocké sous forme de hachage, jamais en clair), secret de double authentification (chiffré), rôle, préférences de notification, dates de connexion.
• Sessions et journal d'audit : adresse IP, navigateur, actions sensibles effectuées et, en cas de « connexion en tant que », l'identité réelle de la personne qui agit.
• Connexions aux régies et outils : jetons d'accès (chiffrés en AES-256-GCM), identifiants et noms des comptes publicitaires, Business Manager et comptes MCC.
• Données de performance publicitaire : dépenses, impressions, clics, conversions et leads agrégés par campagne, ensemble de publicités et publicité.
• Créas, briefs et kits de marque : fichiers déposés ou importés, commentaires et historique.
• Facturation : coordonnées de facturation, contrats et factures, pour l'abonnement Kapitaine comme pour les factures d'honoraires que les agences émettent à leurs clients.
• E-mails transactionnels : adresse du destinataire et événements de délivrabilité (envoyé, rebond).

Aucune audience personnalisée (liste de clients ou de prospects particuliers) n'est stockée dans Kapitaine.

4. Données reçues de Meta, Google, Canva et Google Drive

Ces données ne sont obtenues que lorsqu'un utilisateur connecte volontairement un compte, et uniquement dans la limite des permissions qu'il accorde.

• Meta (connexion Facebook ou token d'utilisateur système du Business Manager) : identifiant et nom de l'utilisateur Facebook, liste des Business Manager, comptes publicitaires et Pages accessibles, campagnes, ensembles de publicités, publicités, visuels et statistiques. Permissions demandées : ads_read, ads_management, business_management, pages_show_list, pages_read_engagement. La permission ads_management sert uniquement à créer les publicités que vous publiez depuis Kapitaine, toujours en pause, et à appliquer les actions que vous déclenchez (pause, activation, renommage).
• Google Ads (OAuth) : comptes accessibles, y compris via un compte administrateur (MCC), campagnes et statistiques. Kapitaine ne fait aujourd'hui que lire ces données.
• Google Drive (lecture seule) : les images et vidéos que vous choisissez d'importer dans la bibliothèque d'un client.
• Canva (lecture seule) : les designs que vous choisissez d'exporter en PNG, et leurs informations descriptives.
• Connexion avec Google : nom et adresse e-mail, pour vous identifier.

Usage limité. Ces données servent exclusivement à fournir le service à l'agence qui les a connectées : tableaux de bord, alertes, rapports, publication et bibliothèque de créas. Nous ne les vendons pas, ne les louons pas, ne les utilisons pas pour de la publicité, du profilage ou pour constituer des audiences, et ne les partageons qu'avec les sous-traitants listés ci-dessous, pour faire fonctionner le service. Seules les personnes habilitées de notre équipe peuvent y accéder, pour le support à votre demande, pour la sécurité du service ou pour respecter une obligation légale.

L'utilisation et le transfert vers toute autre application des informations reçues des API Google respectent la Politique relative aux données utilisateur des services API Google, y compris les exigences d'utilisation limitée (Limited Use).

Vous pouvez révoquer ces accès à tout moment : en déconnectant le compte dans Kapitaine, ou directement depuis les paramètres de la plateforme concernée (voir suppression des données).

5. Finalités et bases légales

• Fournir le service (comptes, connexion aux régies, synchronisation, tableaux de bord, alertes, rapports, publication, espace client, factures) : exécution du contrat.
• Sécuriser le service (sessions, double authentification, journal d'audit, prévention des abus) : intérêt légitime.
• Envoyer les e-mails transactionnels (invitations, alertes, publication de rapports) : exécution du contrat ; préférences réglables par utilisateur.
• Facturer et tenir la comptabilité : obligation légale.
• Répondre à vos messages : intérêt légitime (ou mesures précontractuelles si vous envisagez de souscrire).

6. Durées de conservation

• Comptes utilisateurs : pendant toute la durée du compte, puis suppression avec l'espace de l'agence.
• Sessions : 12 heures.
• Journal d'audit : 24 mois.
• Jetons d'accès aux régies : jusqu'à la déconnexion du compte ou la révocation depuis la régie.
• Statistiques publicitaires : 36 mois.
• Créas, briefs et kits de marque : jusqu'à leur suppression par l'agence ou le client.
• Pièces comptables (factures) : 10 ans, conformément au Code de commerce.
• Événements des e-mails transactionnels : 12 mois.
• Échanges par e-mail avec nous : 3 ans à compter du dernier contact pour les prospects ; pour les clients, pendant la durée de la relation contractuelle puis 5 ans (délai de prescription de droit commun), à des fins de preuve.
• Après la fin de l'abonnement : les données de l'espace de l'agence restent exportables pendant 30 jours, puis sont supprimées ; elles disparaissent des sauvegardes dans les 30 jours suivants. À tout moment, la suppression définitive peut être demandée : purge immédiate de la base, purge des sauvegardes sous 30 jours.

7. Sous-traitants

Nous faisons appel aux prestataires suivants pour faire fonctionner Kapitaine :

Lorsque vous connectez une régie, les données publiées ou lues transitent par Meta et Google, qui les traitent selon leurs propres conditions et politiques de confidentialité.

8. Transferts hors de l'Union européenne

La base de données, les fichiers et les traitements en arrière-plan sont hébergés dans l'Union européenne (Amsterdam). Certains prestataires (Vercel Inc., Railway Corporation) sont des sociétés établies aux États-Unis ; l'interface web est servie par le réseau de Vercel. Les transferts éventuels de données personnelles vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne, conclues avec ces prestataires dans le cadre de leurs accords de traitement des données. Le prestataire d'e-mails transactionnels, en cours de sélection, sera hébergé dans l'Union européenne.

9. Sécurité

Isolation des agences au niveau de la base de données (Row-Level Security PostgreSQL), jetons chiffrés, double authentification, journal d'audit, fichiers dans un stockage privé servis par liens signés valables 5 minutes. Le détail figure sur la page sécurité et RGPD.

10. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives sur leur sort après votre décès. Pour les exercer, écrivez à contact@kapitaine.com. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe ; une preuve d'identité peut vous être demandée en cas de doute.

Si vous êtes le client final d'une agence, adressez-vous d'abord à votre agence, responsable du traitement : nous l'aiderons à répondre à votre demande. Les administrateurs d'agence peuvent télécharger à tout moment un export complet de leurs données (format JSON) depuis Paramètres › Données.

Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

11. Cookies

• Site kapitaine.com : aucun cookie de mesure d'audience, aucun cookie publicitaire, aucun traceur tiers. Aucun bandeau de consentement n'est donc nécessaire.
• Application app.kapitaine.com : uniquement des cookies strictement nécessaires, notamment le cookie de session qui vous maintient connecté, exemptés de consentement. Aucun traceur tiers n'y est chargé.

Le détail figure dans la politique relative aux cookies.

12. Modifications

Nous pouvons mettre à jour cette politique, par exemple à l'ajout d'un sous-traitant ou d'une fonctionnalité. La date de mise à jour figure en haut de la page ; en cas de changement important, les administrateurs d'agence sont prévenus par e-mail.