Politique de Confidentialité

1. Responsable du Traitement

Le responsable du traitement des données personnelles est Kontenu, représenté par son éditeur. Pour toute question relative à vos données personnelles, vous pouvez nous contacter à l'adresse : contact+privacy@kontenu.app

2. Données Collectées

Dans le cadre de l'utilisation de Kontenu, nous collectons les données suivantes :

• Données d'identification : nom, adresse email.
• Données d'authentification : jetons OAuth (access token et refresh token) et informations de profil autorisées par les services tiers que vous connectez. Nous ne stockons jamais votre mot de passe Google (ni celui d'un autre fournisseur OAuth).
• Données d'usage : historique de consommation, interactions.
• Données techniques : adresse IP, navigateur, logs.
• Données d'enrichissement : contenus générés automatiquement à partir de vos données d'usage.
• Données de prospection : adresse email des inscrits à la newsletter (y compris non-clients).
• Données Google/YouTube : lorsque vous connectez votre compte Google, nous recevons, via les APIs Google, uniquement les données suivantes, strictement limitées aux scopes que vous avez autorisés :
  • identifiant de compte Google, adresse email, nom et photo de profil (scopes openid, email, profile) ;
  • jetons OAuth d'accès et de rafraîchissement (chiffrés au repos) nécessaires au maintien de la connexion ;
  • métadonnées de playlists et de vidéos YouTube (titre, chaîne, durée, miniature, date de publication) lues en lecture seule via YouTube Data API v3 (scope youtube.readonly).
  Ces données alimentent uniquement votre timeline personnelle et les fonctionnalités visibles de Kontenu.

3. Finalités du Traitement

Vos données sont utilisées pour :

• Synchroniser votre historique et générer des enrichissements (Core Service)
• Afficher votre timeline personnalisée
• Gérer votre compte et vos préférences
• Améliorer nos services et corriger les bugs
• Vous adresser des communications commerciales et newsletters (avec votre consentement)

*Note : Le service Kontenu est intrinsèquement lié au traitement de vos données d'usage. Le refus de certains traitements peut empêcher l'utilisation du service.*

4. Base Légale

Le traitement de vos données repose sur :

• Consentement : Connexion aux plateformes tierces, prospection commerciale et newsletters
• Exécution du contrat : Fourniture du service
• Intérêt légitime : Sécurité, amélioration produit

5. Destinataires et Sous-traitants

5.1 Sous-traitants traitant des données reçues via les APIs Google

Lorsque vous connectez votre compte Google pour utiliser YouTube API v3, Kontenu reçoit et traite les données strictement nécessaires au fonctionnement du service : jetons OAuth, identifiants de compte, données de profil de base, ainsi que les données YouTube accessibles via l'autorisation que vous avez accordée.

• Hébergement & base de données — OVHcloud (UE) : héberge l'application et stocke la base de données nécessaire à l'exploitation du service, y compris les identifiants de compte, les données de profil de base, les jetons OAuth chiffrés (AES-256-GCM) et les données YouTube récupérées via le scope youtube.readonly.

Aucun fournisseur de modèles de langage (LLM) ne reçoit ces données issues de l'authentification Google ou du scope youtube.readonly.

5.2 Autres sous-traitants

Nous utilisons également les sous-traitants suivants pour exploiter le service :

• Resend — envoi d'emails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, alertes de compte). Resend peut recevoir votre adresse email de compte et, lorsque le contenu du message l'exige, votre nom d'affichage. Si vous utilisez Google pour vous connecter, ces informations de compte peuvent provenir de votre profil Google. Resend ne reçoit jamais vos jetons OAuth Google ni les données YouTube récupérées via le scope youtube.readonly.
• Fournisseurs de modèles de langage (LLM) — utilisés pour classer et résumer les vidéos dans votre timeline. Voir la Section 5bis pour le détail précis de ce qui est transmis : ils ne reçoivent aucune Google user data, uniquement des métadonnées publiques de vidéo.

Ces sous-traitants n'accèdent à vos données que dans la mesure strictement nécessaire à l'exécution de leurs prestations et ne peuvent pas les réutiliser à d'autres fins. La gestion des campagnes email et newsletters est opérée directement par Kontenu sur ses propres infrastructures — aucun sous-traitant tiers n'intervient dans le traitement de vos données à des fins de prospection.

Le service utilise des traitements automatisés (intelligence artificielle) pour enrichir vos contenus. Ces traitements n'emportent aucune prise de décision automatique ayant un effet juridique ou significatif sur votre personne.

5.3 Engagement de non-partage

Nous ne vendons pas vos données personnelles. Nous ne transférons pas vos données à des tiers à des fins commerciales ou publicitaires (retargeting, data brokers, régies publicitaires, agrégateurs marketing).

Vos données ne peuvent être communiquées à un tiers que dans les cas suivants :

• Avec votre consentement explicite (p. ex. une fonctionnalité que vous activez volontairement).
• Pour répondre à une obligation légale (réquisition judiciaire, obligation fiscale ou comptable).
• Pour garantir la sécurité du service (investigation d'incident, prévention de fraude, protection des utilisateurs).
• En cas d'opération sur la société (fusion, cession, cessation d'activité) — auquel cas vous en seriez informé préalablement et disposeriez d'un droit d'opposition avant tout transfert.

We do not transfer or disclose your Google user data to third parties for purposes other than those required to operate the Service, except with your explicit consent, to comply with applicable law, or in a corporate transaction with prior notice. Google OAuth tokens and YouTube data obtained through the authenticated youtube.readonly scope are disclosed only as necessary to host, store, and operate the Service. Our transactional email provider may receive your account email address and display name solely to send account-related emails. No LLM provider receives Google user data.

5bis. Données reçues des APIs Google (Limited Use)

Lorsque vous connectez votre compte Google, Kontenu reçoit des données via les APIs Google (YouTube Data API v3, scope youtube.readonly). L'utilisation et le transfert de ces données sont encadrés par la Google API Services User Data Policy, y compris les exigences Limited Use.

Nous ne stockons pas votre mot de passe Google. L'accès à votre compte Google repose exclusivement sur le mécanisme d'autorisation OAuth 2.0 de Google : vous vous authentifiez directement sur les serveurs Google, et Kontenu ne reçoit qu'un jeton d'accès limité aux scopes que vous avez explicitement autorisés. Ce jeton est stocké chiffré au repos (AES-256-GCM) et peut être révoqué à tout moment.

Kontenu's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Enrichissement par IA — ce qui n'est PAS transmis aux modèles de langage. Kontenu utilise des modèles de langage (LLM) pour classer et résumer les vidéos affichées dans votre timeline. Ces fournisseurs ne reçoivent aucune Google user data :

• Ni vos jetons OAuth Google (stockés chiffrés AES-256-GCM côté serveur, jamais transmis).
• Ni votre identifiant Google, email, ou photo de profil.
• Ni le fait qu'une vidéo figure dans vos Likes, Watch Later ou playlists — ce signal reste strictement local à nos serveurs et sert uniquement au scoring interne.

Les modèles reçoivent exclusivement les métadonnées publiques de la vidéo (titre, description, nom de chaîne, transcription publique, tags, chapitres, catégorie) — c'est-à-dire les mêmes informations disponibles sans authentification via les pages publiques YouTube et les APIs publiques permettant d'accéder à ces contenus. Par conséquent, les fournisseurs LLM ne sont pas destinataires de Google user data au sens de la Google API Services User Data Policy.

Ces appels sont stateless. Nos prestataires LLM sont contractuellement tenus de ne pas réutiliser ces contenus pour entraîner leurs modèles et de ne pas les conserver au-delà de la fenêtre strictement nécessaire au traitement de la requête.

En pratique, nous nous engageons explicitement à :

• Utiliser ces données uniquement pour alimenter votre timeline personnelle et les fonctionnalités user-facing visibles (dé-duplication, enrichissement affiché).
• Ne pas les transférer à des data brokers, revendeurs de données ou agrégateurs tiers.
• Ne pas les utiliser à des fins de retargeting ou de diffusion de publicités personnalisées.
• Ne pas les utiliser pour entraîner des modèles d'intelligence artificielle (généralistes ou personnalisés).
• Ne pas les utiliser à des fins de credit-scoring, d'évaluation de prêt, d'assurance ou d'emploi.
• Vous permettre à tout moment de déconnecter votre compte Google depuis Réglages > Connexions > YouTube API v3 ou de révoquer l'accès directement depuis https://myaccount.google.com/permissions.

6. Durée de Conservation

Vos données sont conservées pendant toute la durée d'activité de votre compte. En cas de suppression de compte, vos données sont effacées sous 30 jours, sauf obligation légale de conservation (facturation).

7. Vos Droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès, rectification et effacement
• Droit à la portabilité
• Droit d'opposition (notamment à la prospection commerciale)
• Droit à la limitation du traitement
• Droit de retrait du consentement à tout moment pour les traitements basés sur le consentement (newsletters, prospection)

Chaque communication commerciale contient un lien de désinscription permettant d'exercer votre droit de retrait immédiatement.

Pour exercer ces droits : contact+privacy@kontenu.app

8. Transferts Hors UE

L'hébergement principal (OVHcloud) et le stockage des données reçues via les APIs Google sont situés en UE.

Resend (email transactionnel) et certains fournisseurs LLM peuvent être situés hors UE. Resend peut recevoir votre adresse email de compte et, le cas échéant, votre nom d'affichage pour l'envoi d'emails transactionnels. Les fournisseurs LLM ne reçoivent pas de Google user data ; ils reçoivent uniquement des métadonnées publiques de vidéo (voir Section 5bis). Les éventuels transferts hors UE sont encadrés par des clauses contractuelles types ou le cadre de protection des données (DPF).

9. Sécurité des Données

Nous mettons en œuvre des mesures de sécurité appropriées pour protéger vos données :

• Chiffrement des données sensibles (AES-256)
• Connexions sécurisées (HTTPS/TLS)
• Authentification sécurisée (OAuth 2.0)
• Accès restreint aux données

10. Cookies

Kontenu utilise uniquement des cookies essentiels au fonctionnement du service (authentification, session). Pour plus d'informations, consultez notre Politique Cookies.

11. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle, vous serez informé par email ou notification dans l'application.

12. Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) :

www.cnil.fr