Politique de confidentialité
Dernière mise à jour : 3 juillet 2026
1. Responsable de traitement
Le responsable de traitement au sens du RGPD est :
S-Rework — Entreprise Individuelle
Représentée par Gurler Adem
28 rue d'Eymoutiers, 67110 Niederbronn-les-Bains, France
SIRET 938 687 969 00015
Contact RGPD : contact@lokario.fr
Compte tenu de sa taille, S-Rework n'est pas soumise à l'obligation de désigner un Délégué à la Protection des Données. Les demandes RGPD sont traitées directement par l'éditeur.
2. Données collectées et finalités
| Donnée | Finalité | Base légale |
|---|---|---|
| E-mail, mot de passe chiffré, nom affiché | Création et gestion du compte | Exécution du contrat (art. 6.1.b RGPD) |
| Vidéos, miniatures, transcripts, résumés | Fourniture du service d'enregistrement et de partage | Exécution du contrat |
| Adresse IP hachée, user-agent, durée de visionnage | Analytics de lecture des vidéos partagées | Intérêt légitime (art. 6.1.f) |
| Logs applicatifs et techniques | Sécurité, prévention de la fraude, débogage | Intérêt légitime |
| Données de facturation (Stripe) | Paiement des abonnements | Exécution du contrat + obligation légale (comptabilité) |
| E-mail (opt-in produit) | Notifications essentielles et notes de version | Intérêt légitime |
| Identifiants analytics (Google Analytics, PostHog) | Mesure d'audience et analyse produit (IP anonymisée) | Consentement (art. 6.1.a) — bandeau cookies |
Castli n'utilise aucune donnée personnelle à des fins publicitaires et ne transmet aucune donnée à des courtiers en données.
3. Localisation des données
Les données principales (compte, vidéos, transcripts) sont hébergées exclusivement dans l'Union européenne :
- Base de données et authentification : Supabase, région eu-west-3 (Paris).
- Stockage des vidéos et miniatures : Cloudflare R2, juridiction EU.
- Hébergement applicatif : Vercel, région cdg1 (Paris).
Les données envoyées aux sous-traitants IA (Groq, Anthropic) et aux outils analytics (Google Analytics, PostHog) transitent hors UE — voir article 4 pour le détail des transferts et des garanties associées.
4. Sous-traitants
Castli fait appel aux sous-traitants suivants, tous liés par un Data Processing Agreement (DPA) conforme aux articles 28 et 46 du RGPD :
- Supabase Inc. — hébergement base de données et auth (UE).
- Cloudflare, Inc. — stockage des vidéos R2 (UE) et CDN.
- Vercel Inc. — hébergement de l'application (UE).
- Stripe Payments Europe Ltd — traitement des paiements (Irlande).
- Resend Inc. — e-mails transactionnels (UE).
- Groq, Inc. (Palo Alto, Californie, USA) — transcription audio via le modèle
whisper-large-v3-turbo(plans payants uniquement, données non utilisées pour l'entraînement selon les termes API Groq). - Anthropic PBC (San Francisco, Californie, USA) — génération de résumés via Claude (plans payants uniquement, données non utilisées pour l'entraînement selon les termes API Anthropic).
- Google LLC (Mountain View, Californie, USA) — Google Analytics 4 pour la mesure d'audience (uniquement si l'utilisateur a donné son consentement via le bandeau cookies, IP anonymisée).
- PostHog Inc. — analyse produit sur l'espace connecté, hébergée sur l'instance UE
eu.i.posthog.com(uniquement si l'utilisateur a donné son consentement).
Pour les sous-traitants dont la maison mère est établie hors UE (Groq, Anthropic, Google, Cloudflare, Vercel, Supabase), les transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, le cas échéant, par le EU-US Data Privacy Framework auquel les entités concernées ont adhéré.
5. Durée de conservation
- Compte actif : tant que le compte existe.
- Compte supprimé : purge complète sous 30 jours.
- Vidéos du plan gratuit non consultées : supprimées après 60 jours d'inactivité (préavis 7 jours).
- Logs techniques et sécurité : 30 jours glissants.
- Factures et données comptables : 10 ans (article L123-22 du Code de commerce).
- Adresses IP hachées d'analytics : 13 mois (recommandation CNIL).
6. Droits des personnes
Conformément aux articles 15 à 22 du RGPD, chaque utilisateur dispose des droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation. Ces droits s'exercent :
- directement depuis les paramètres du compte (export des données, suppression du compte) ;
- ou par e-mail à contact@lokario.fr. Une réponse est apportée sous 30 jours au plus.
7. Sécurité
Castli met en œuvre les mesures techniques et organisationnelles suivantes : chiffrement TLS 1.3 en transit, chiffrement AES-256 au repos pour les vidéos, mots de passe hachés avec bcrypt, isolation des données par utilisateur au niveau de la base (Row Level Security), sauvegardes chiffrées, journalisation des accès administrateurs.
8. Notification de violation
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des utilisateurs, Castli notifiera la CNIL dans les 72 heures et informera les utilisateurs concernés dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.
9. Cookies
Castli n'utilise que des cookies strictement nécessaires. Voir la politique cookies dédiée.
10. Réclamation
À défaut de réponse satisfaisante, l'utilisateur peut introduire une réclamation auprès de la CNIL : www.cnil.fr/fr/plaintes.
11. Évolution de la politique
La présente politique peut évoluer. Toute modification substantielle sera notifiée par e-mail au moins 30 jours avant son entrée en vigueur.