Politique de confidentialité

Politique de confidentialité de Hedwige. Version du 25/10/2026.

1. Qui est responsable de vos données

Le responsable de traitement est KOEKI SAS, SAS au capital de 1 000 €, SIREN 910 677 210, dont le siège est situé 62 rue Blanqui, 13150 Tarascon, France.

Contact pour toute question sur vos données : hello@koeki.fr.

KOEKI n’a pas désigné de délégué à la protection des données (DPO). Hedwige ne relève pas des cas où cette désignation est obligatoire (art. 37 RGPD). Vos questions sont traitées à l’adresse ci-dessus.

Revenir au sommaire

2. À qui s’adresse cette politique

Elle concerne :

les visiteurs du Site ;
les titulaires d’un compte gratuit ou payant (« Abonnés ») ;
les personnes qui utilisent Hedwige par l’intermédiaire d’un assistant d’intelligence artificielle relié par le protocole MCP ;
les personnes qui écrivent à KOEKI ou utilisent le formulaire de retrait ;
les personnes nommées ou représentées dans les newsletters archivées.

Revenir au sommaire

3. Les traitements, un par un

3.1 Création et gestion de votre compte

Finalité : créer votre compte, vous authentifier, sécuriser l’accès, gérer vos préférences.
Base légale : exécution du contrat (art. 6.1.b RGPD).
Données : adresse électronique, nom et prénom (facultatifs, sauf s’ils sont nécessaires à la facturation), société, fonction (facultative), mot de passe (conservé sous forme d’empreinte, jamais en clair), dates de création et de dernière connexion.
Sécurité : mot de passe de 12 caractères minimum ; lien de réinitialisation valable une heure.
Durée : pendant la vie du compte. Un compte gratuit sans connexion pendant 2 ans est supprimé après un courriel d’avertissement. Après suppression d’un compte payant, les données utiles à la facturation et à la preuve sont archivées (voir 3.2).
Destinataires : personnel habilité de KOEKI ; hébergeur Hostinger ; Brevo, qui envoie les courriels de service.

3.2 Abonnement, paiement et facturation

Finalité : souscrire l’abonnement, encaisser les paiements, calculer la TVA, émettre les factures, gérer les impayés, tenir la comptabilité.
Base légale : exécution du contrat (art. 6.1.b) ; obligation légale pour la facturation et la comptabilité (art. 6.1.c).
Données : identité, société, adresse de facturation, pays, numéro de TVA intracommunautaire, numéro SIREN du client (obligatoire sur les factures à partir du 1er septembre 2026 selon economie.gouv.fr), historique des abonnements et des paiements, factures.
Données de carte bancaire : elles sont saisies directement chez Stripe (Stripe Checkout). KOEKI ne reçoit ni ne conserve le numéro complet de la carte. Elle reçoit seulement des informations limitées (type de carte, quatre derniers chiffres, date d’expiration).
Durée : pendant l’abonnement, puis archivage des pièces comptables pendant 10 ans (art. L123-22 du Code de commerce).
Destinataires : Stripe (paiement, portail client, calcul de la taxe par Stripe Tax) ; expert-comptable de KOEKI ; plateforme de facturation électronique Pennylane.

Stripe peut aussi traiter certaines données pour ses propres besoins, notamment la lutte contre la fraude et ses obligations réglementaires. Pour ces traitements, Stripe agit comme responsable de traitement distinct et applique sa propre politique : https://stripe.com/privacy.

3.3 Courriels de service et alertes

Finalité : vous envoyer les courriels nécessaires au service (confirmation, réinitialisation, facture, échéance, expiration) et les alertes que vous avez paramétrées.
Base légale : exécution du contrat (art. 6.1.b).
Données : adresse électronique, paramètres d’alerte (marques, secteurs, mots suivis), journal d’envoi.
Durée : paramètres d’alerte pendant la vie du compte ; journaux d’envoi 12 mois.
Destinataires : Brevo, qui envoie les courriels de service (voir section 4).

3.4 Recherche dans l’archive, y compris la recherche en langage naturel

Finalité : exécuter vos recherches, mémoriser votre historique si vous le souhaitez, améliorer la pertinence.
Base légale : exécution du contrat (art. 6.1.b) ; intérêt légitime de KOEKI à améliorer le service pour les statistiques agrégées (art. 6.1.f).
Données : texte de la requête, filtres, date, identifiant du compte.
Durée : historique visible par l’Abonné pendant la vie du compte, désactivable à tout moment ; journaux bruts des requêtes conservés 90 jours, puis agrégés de façon anonyme.
Destinataires : personnel habilité ; hébergeur.

La recherche sémantique compare votre requête à des représentations numériques des newsletters (« vecteurs »). Pour cela, le texte de votre requête est transmis à OpenAI, seul, sans votre nom, votre adresse ni votre identifiant de compte. Évitez d’y saisir des données personnelles. OpenAI figure à ce titre parmi les destinataires de ce traitement.

3.5 Accès par assistant d’intelligence artificielle (MCP)

Hedwige permet à votre assistant d’intelligence artificielle (par exemple Claude ou ChatGPT) d’interroger l’archive. L’accès passe par une autorisation OAuth ou par une clé d’API que vous créez.

Finalité : authentifier l’assistant, exécuter ses demandes, appliquer les quotas, détecter les usages contraires aux CGV (extraction massive, partage de clé), suspendre les clés à l’expiration de l’abonnement.
Base légale : exécution du contrat (art. 6.1.b) ; intérêt légitime de KOEKI à protéger sa base de données et la sécurité du service (art. 6.1.f).
Données : clés d’API (conservées sous forme d’empreinte), nom donné à la clé, dates de création, de dernière utilisation, de révocation ; jetons OAuth, nom de l’application cliente déclarée, périmètre autorisé ; journaux des appels : outil appelé, paramètres de la demande (par exemple une marque, un secteur, une recherche), horodatage, volume de réponse, adresse IP de la requête.
Ce que KOEKI ne reçoit pas : la conversation entre vous et votre assistant. KOEKI ne voit que la demande que l’assistant adresse à Hedwige.
Ce que le MCP renvoie : ce que l’abonné verrait sur le Site, contenu complet des newsletters compris.
Durée : clés et jetons jusqu’à leur révocation ou la fermeture du compte ; journaux des appels 6 mois.
Destinataires : personnel habilité ; hébergeur.

L’éditeur de votre assistant (par exemple Anthropic ou OpenAI) traite vos conversations sous sa propre responsabilité, selon le contrat que vous avez conclu avec lui. Les réponses de Hedwige transmises à votre assistant sont traitées par cet éditeur. KOEKI n’est pas responsable de ces traitements.

3.6 Sécurité du Site et journaux techniques

Finalité : assurer la sécurité, prévenir les attaques et les robots, diagnostiquer les pannes.
Base légale : intérêt légitime de KOEKI à sécuriser son service (art. 6.1.f).
Données : adresse IP, date et heure, page demandée, navigateur, résultat du contrôle anti-robot.
Durée : 6 mois.
Destinataires : Hostinger ; Cloudflare.

3.7 Demandes, support et exercice de vos droits

Finalité : répondre à vos messages et à vos demandes d’exercice de droits.
Base légale : intérêt légitime à répondre (art. 6.1.f) ; obligation légale pour les demandes RGPD (art. 6.1.c, art. 12 RGPD).
Données : identité, coordonnées, contenu de la demande, réponse.
Durée : 3 ans après la clôture de la demande. Les informations permettant de respecter une opposition sont conservées au minimum 3 ans (CNIL, référentiel gestion commerciale). Une copie de pièce d’identité n’est demandée qu’en cas de doute raisonnable sur l’identité (art. 12.6 RGPD). Elle est supprimée dès la vérification faite.

3.8 Formulaire de retrait (marques et personnes)

Finalité : traiter les demandes de retrait d’une newsletter ou d’une donnée, et en garder la preuve.
Base légale : intérêt légitime de KOEKI à respecter les droits des tiers et à prouver ses diligences (art. 6.1.f) ; obligation légale lorsque la demande vaut exercice du droit d’opposition ou d’effacement (art. 6.1.c).
Données : identité du demandeur, société, qualité, coordonnées, URL concernées, motif, pièces justificatives, décision.
Durée : 5 ans après la clôture. Les marques ayant demandé le retrait sont conservées dans une liste d’exclusion pour éviter une réimportation, tant que l’exclusion est maintenue.

3.9 Données personnelles présentes dans les newsletters archivées

Les newsletters archivées peuvent contenir des données sur des personnes : noms, photographies, fonctions, citations. Exemples : un fondateur qui signe un message, un mannequin, une personnalité, un client cité en témoignage, un salarié qui présente un produit.

Source : les newsletters diffusées par les marques à leurs abonnés et reçues par une boîte de réception de KOEKI abonnée à ces newsletters.
Données de la boîte réceptrice : avant publication, KOEKI retire les données propres au destinataire : prénom et adresse de l’abonné, codes client, liens de désinscription et pixels de suivi.
Finalité : constituer et mettre à disposition des professionnels une archive de veille sur les pratiques de communication des marques.
Base légale : intérêt légitime de KOEKI et de ses Abonnés à la veille concurrentielle et à l’étude des pratiques marketing (art. 6.1.f RGPD).
Données sensibles : KOEKI ne recherche pas de données sensibles au sens de l’article 9 RGPD. Si une newsletter en révèle (santé, opinions, orientation sexuelle par exemple), elle est masquée ou retirée dès connaissance. Avant publication, les newsletters des marques de santé, de parapharmacie et de rencontre sont relues manuellement.
Données non recherchées par la recherche : les noms de personnes physiques sont exclus de l’index de recherche et des réponses MCP. Hedwige ne peut donc pas servir à retrouver une personne.
Durée : tant que la newsletter reste dans l’archive, et au plus 10 ans après sa date d’envoi.
Destinataires : Abonnés (contenu complet) ; public (métadonnées : marque, secteur, date, objet, pré-en-tête) ; OpenAI (voir ci-dessous) ; hébergeur ; Cloudflare pour les images.
Analyse sémantique : le texte des newsletters est transmis à l’API d’OpenAI pour calculer des analyses (thèmes, tonalité, représentations vectorielles). Ce sont les newsletters qui sont transmises, pas les données des Abonnés. Les noms de personnes sont retirés du texte avant son envoi.

Votre droit d’opposition. Si vous êtes nommé ou représenté dans une newsletter, vous pouvez vous opposer à ce traitement à tout moment (art. 21 RGPD). Utilisez le formulaire de retrait. KOEKI masque alors la donnée (nom, visage) ou retire la newsletter. KOEKI accepte toute opposition sur ce traitement, sans chercher à démontrer des motifs impérieux.

Information des personnes. KOEKI n’a pas les coordonnées des personnes nommées dans les newsletters. Les informer une par une exigerait des efforts disproportionnés. Cette politique, publique et accessible depuis chaque page, tient lieu d’information (art. 14.5.b RGPD). Le formulaire de retrait est accessible à l’adresse /demande-de-retrait/.

3.10 Mesure d’audience

KOEKI ne mesure pas l’audience du Site à ce jour.

3.11 Informations commerciales de KOEKI

KOEKI envoie une lettre d’information Hedwige aux Abonnés et aux titulaires de comptes gratuits qui agissent en tant que professionnels. Son objet est en rapport avec leur profession : veille sur les newsletters de marques et nouveautés du Service. La CNIL admet dans ce cas une prospection par courriel sans consentement préalable (art. L34-5 du Code des postes et des communications électroniques). Chaque message contient un lien de désinscription en un clic. Un titulaire de compte gratuit qui n’agit pas en tant que professionnel ne la reçoit que s’il l’a demandée. Base légale : intérêt légitime (art. 6.1.f), ou consentement pour les non-professionnels (art. 6.1.a). Durée : 3 ans après le dernier contact (CNIL, référentiel gestion commerciale).

3.12 Export de vos données

Vous pouvez à tout moment télécharger les données de votre compte (export « RGPD »). Cet export reste disponible même après l’expiration de votre abonnement. Les exports de contenus de l’archive, eux, sont réservés aux abonnements actifs.

Revenir au sommaire

4. Sous-traitants et transferts hors de l’Union européenne

KOEKI fait appel aux prestataires suivants. Chacun est lié par un contrat de sous-traitance conforme à l’article 28 RGPD.

Prestataire	Rôle	Localisation	Garantie pour les transferts
Hostinger International Ltd (Chypre)	Hébergement du Site et de la base	Union européenne	Pas de transfert hors de l’Union européenne pour l’hébergement
Cloudflare, Inc. (États-Unis)	DNS, diffusion de contenu, protection anti-robots	Réseau mondial	Clauses contractuelles types de la Commission européenne et, le cas échéant, certification au Data Privacy Framework
Cloudflare R2	Stockage des images des newsletters	Union européenne (compartiment créé dans la « juridiction UE » de Cloudflare)	Idem Cloudflare
Stripe Payments Europe Limited (Irlande)	Paiement, portail client, calcul de la taxe	UE, avec transferts vers Stripe, Inc. (États-Unis)	Data Privacy Framework, auquel Stripe déclare participer, et clauses contractuelles types de 2021 en secours
OpenAI Ireland Ltd (Irlande)	Analyse sémantique des newsletters	UE, avec transferts vers OpenAI aux États-Unis	Clauses contractuelles types de 2021 ou décision d’adéquation
Brevo (Sendinblue SAS, France)	Envoi des courriels de service	Union européenne	Contrat de sous-traitance conforme à l’article 28 RGPD
Pennylane (France)	Émission et réception des factures	Union européenne	Contrat de sous-traitance conforme à l’article 28 RGPD

KOEKI ne vend pas vos données. Elle ne les communique à des tiers que dans les cas ci-dessus, ou sur demande d’une autorité habilitée.

Revenir au sommaire

5. Vos droits

Vous disposez des droits suivants :

accès à vos données (art. 15 RGPD) ;
rectification (art. 16) ;
effacement (art. 17) ;
limitation du traitement (art. 18) ;
portabilité, pour les données que vous avez fournies et qui sont traitées sur la base du contrat (art. 20) ;
opposition aux traitements fondés sur l’intérêt légitime (art. 21), et opposition sans motif à la prospection ;
définir des directives sur le sort de vos données après votre décès (art. 85 de la loi n° 78-17 du 6 janvier 1978).

Comment les exercer. Écrivez à hello@koeki.fr ou par courrier à KOEKI SAS, 62 rue Blanqui, 13150 Tarascon. Pour une newsletter, utilisez le formulaire de retrait. KOEKI répond dans un délai d’un mois, prolongeable de deux mois pour une demande complexe, avec information motivée (art. 12.3 RGPD). En cas de doute raisonnable sur votre identité, KOEKI peut vous demander un justificatif (art. 12.6).

Réclamation. Vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr (art. 77 RGPD).

Revenir au sommaire

6. Sécurité

KOEKI met en œuvre des mesures adaptées au risque (art. 32 RGPD) : chiffrement des échanges (HTTPS), mots de passe et clés d’API stockés sous forme d’empreinte, accès d’administration restreints, sauvegardes, journalisation.

En cas de violation de données présentant un risque, KOEKI notifie la CNIL dans les 72 heures (art. 33 RGPD) et informe les personnes si le risque est élevé (art. 34).

Revenir au sommaire

7. Cookies et autres traceurs

Le Site utilise uniquement des traceurs strictement nécessaires.

Traceurs strictement nécessaires (sans consentement). L’article 82 de la loi n° 78-17 dispense de consentement les traceurs strictement nécessaires au service que vous demandez. La CNIL cite notamment les traceurs d’authentification et de sécurisation de l’authentification, ceux qui servent à facturer, ceux qui mémorisent votre choix sur les traceurs, ceux d’équilibrage de charge, et ceux qui limitent l’accès gratuit d’un site payant à un échantillon de contenu.

Traceur	Émetteur	Rôle	Durée
wordpress_logged_in_[…] et wordpress_sec_[…]	Hedwige (WordPress)	Maintenir votre session connectée et la sécuriser	Fin de session, ou 14 jours si « Se souvenir de moi »
wordpress_test_cookie	Hedwige (WordPress)	Vérifier que votre navigateur accepte les cookies avant la connexion	Session
__cf_bm (et cf_clearance si un contrôle s’affiche)	Cloudflare	Distinguer les humains des robots, protéger le Site	Environ 30 minutes pour __cf_bm
Traceurs de Stripe	Stripe	Paiement sécurisé et prévention de la fraude, sur la page de paiement Stripe	Selon Stripe

Autres traceurs (soumis à consentement). Aucun. Le Site ne dépose aucun traceur soumis à consentement.

Revenir au sommaire

8. Modification de cette politique

KOEKI peut modifier cette politique. La date de version figure en tête. En cas de changement important (nouvelle finalité, nouveau destinataire, nouveau transfert), les Abonnés sont prévenus par courriel avant son entrée en vigueur.