Politique de confidentialité

1. Responsable du traitement

L'éditeur est établi aux États-Unis et n'a pas d'établissement dans l'Union européenne. Comme Kalyo s'adresse à des personnes situées dans l'Union, un représentant dans l'Union (article 27 du RGPD) doit être désigné : son nom et ses coordonnées seront publiés sur cette page dès sa désignation. D'ici là, toutes les demandes sont à adresser à fmaxxx95@gmail.com.

2. D'où viennent les données

• Instagram : uniquement par l'API officielle de Meta, une fois que le titulaire d'un compte Instagram professionnel l'a relié à Kalyo et a accepté les autorisations sur l'écran de Meta. Kalyo ne fait aucun scraping, n'utilise aucune API privée, ne lit aucune session Instagram et ne connaît jamais le mot de passe Instagram.
• Concurrents : par l'API officielle de Meta (Business Discovery), seulement si le titulaire relie aussi une Page Facebook. Seules les informations publiques de comptes professionnels sont lues.
• Outils reliés par le titulaire (Stripe, Calendly, iClosed) : ils envoient à Kalyo les calls réservés, les paiements et les remboursements, par des notifications signées.
• Toi : ce que tu saisis (compte, questionnaire, offre, notes, étapes du pipeline, montants).

Meta ne donne pas la liste des personnes qui regardent une story ou qui aiment un contenu : Kalyo ne les connaît donc pas nominativement.

3. Tes données d'utilisateur

• Compte : email, prénom (facultatif), mot de passe enregistré uniquement sous forme hachée (jamais en clair), identifiant Google si tu te connectes avec Google, formule (gratuite ou pro), dates de création et de modification.
• Comptes suivis : le @ et le nom affichés, tes réponses au questionnaire (type d'activité, panier moyen, outil de prise de rendez-vous).
• Connexions Instagram et Facebook : identifiants des comptes reliés, jetons d'accès délivrés par Meta (chiffrés), autorisations accordées, dates de connexion et de synchronisation.
• Ton contenu Instagram : légendes, dates, statistiques, et une copie des vignettes de tes publications et des aperçus de tes stories (pour garder l'historique après les 24 h d'une story).
• Ce que tu crées : notes, listes, liens trackés, étapes et valeurs du pipeline, marquages de cash.
• Intégrations : secrets des webhooks Stripe, Calendly et iClosed (chiffrés, jamais réaffichés) ; empreinte de ta clé NLC HQ (la clé elle-même n'est jamais gardée).
• Mémoire de chaque compte suivi : « Mon offre » et faits que tu donnes sur ton business (offres et prix, cible, ton et mots à éviter, objections, liens, préférences), journal des analyses, idées et scripts DM produits par l'assistant IA, résultats que tu marques ou que Kalyo détecte (idée publiée, DM envoyé, réponse, call, client), enseignements calculés sur ces résultats, résumés d'échanges enregistrés par Claude depuis ta conversation (si tu relies Kalyo à Claude), notes libres. Aucun mot de passe, clé ou numéro de carte n'y est accepté.
• Sessions : un identifiant de session haché, sa date de création, de dernière visite et d'expiration.

4. Les données des contacts suivis

Ce sont les personnes qui ont interagi avec un compte Instagram relié à Kalyo. Kalyo reçoit de Meta, ou calcule, puis garde :

• leur identifiant Instagram (propre à l'application ou identifiant de messagerie), leur @ et leur nom quand Meta les donne ;
• leurs commentaires et leur texte, leurs réponses et réactions aux stories, leurs mentions, avec la date et le contenu concerné ;
• les conversations en DM avec le compte : texte des messages reçus et envoyés (depuis Instagram ou depuis Kalyo), date, type de pièce jointe. Les pièces jointes elles-mêmes (photos, vidéos, vocaux) ne sont jamais copiées ;
• leur photo de profil, copiée depuis Meta, seulement pour les personnes qui ont écrit en DM au compte, ou pour les comptes professionnels via Business Discovery ;
• le fait qu'elles suivent le compte ou soient certifiées, seulement quand Meta le donne (personnes qui ont écrit en DM) ;
• les clics sur un lien personnel que le titulaire du compte leur a envoyé (lien et date) ;
• le score, le niveau de confiance et l'intention d'achat détectée dans leurs messages (par des règles, ou par l'assistant IA si le titulaire l'active), avec un court extrait du message qui la justifie ;
• l'étape dans le pipeline du titulaire (à contacter, en conversation, call, client, perdu), son historique et la valeur saisie ;
• les calls réservés, ventes et remboursements qui leur sont attribués (date, montant, devise, contenu d'origine). Un email reçu d'un outil de paiement ou de rendez-vous n'est jamais gardé en clair : seule une empreinte hachée sert à reconnaître la même personne plus tard ;
• les notes ou listes ajoutées par le titulaire du compte.

Les statistiques du compte (vues, portée, abonnés en ligne, âge, pays et ville des abonnés) sont des totaux fournis par Meta : elles ne contiennent aucun nom.

Les clics sur un lien tracké non personnel sont comptés sans identifier la personne. Pour ne pas compter deux fois le même clic, une empreinte hachée (adresse IP et navigateur) est gardée 10 secondes, puis effacée. Quand le lien mène vers Stripe, Calendly ou iClosed, Kalyo peut y ajouter une référence de clic aléatoire, qui ne contient aucune donnée personnelle.

5. Les comptes concurrents

Si tu ajoutes un concurrent, Kalyo lit par l'API officielle de Meta ses informations publiques de compte professionnel : @, nom, photo de profil, nombre d'abonnés et de publications, et ses 12 dernières publications avec leurs statistiques publiques. Les comptes personnels ne peuvent pas être lus. Aucune personne qui interagit avec ce concurrent n'est identifiée.

6. Pourquoi, et sur quelle base légale

Kalyo ne vend aucune donnée, n'affiche aucune publicité et ne prend aucune décision automatique produisant un effet juridique sur une personne : le score et l'intention servent seulement au titulaire du compte à choisir qui contacter. Aucun message n'est envoyé automatiquement.

7. Qui reçoit les données

• Le titulaire du compte suivi, et lui seul, voit les contacts, les conversations et le cash de ce compte.
• Outil choisi par le titulaire pour lire son pipeline (par exemple NLC HQ), avec sa clé : @, nom, badge certifié, score, étape, valeur, contenu d'origine et dates de chaque carte.
• Meta Platforms : source des données Instagram et destinataire des DM que tu envoies depuis Kalyo. Meta reste responsable de ses propres traitements (voir la politique de confidentialité d'Instagram).
• Google : seulement si tu choisis « Continuer avec Google », pour vérifier ton identité.
• Stripe, Calendly, iClosed : Kalyo ne leur envoie aucune donnée personnelle ; il reçoit leurs notifications et peut leur transmettre une référence de clic aléatoire dans l'adresse du lien.

Sous-traitants (ils traitent les données pour le compte de l'éditeur, selon ses instructions) :

Toutes les données enregistrées chez Neon et Vercel Blob sont chiffrées par Kalyo avant d'y être écrites : ces prestataires ne voient que des données illisibles.

Paiement : aucun prestataire de paiement pour l'instant, car aucun paiement n'est pris en ligne. Le prestataire sera indiqué ici avant l'ouverture du paiement.

8. Combien de temps

Principe : l'historique d'un compte suivi est gardé tant que ce compte est relié à Kalyo (c'est ce qui permet de retrouver une story ou une conversation après les 24 h d'Instagram). Il est effacé avec le contact, avec le compte suivi ou avec ton compte Kalyo, et au plus tard à la fin des durées maximales ci-dessous.

9. Supprimer des données

Depuis Kalyo :

• Réglages > Supprimer mes données (écris SUPPRIMER) : supprime ton compte, tes comptes suivis, tout l'historique collecté (contacts, conversations, images, cash, pipeline, concurrents), la mémoire de chaque compte, tes notes, tes listes, tes liens, tes intégrations et tes sessions. C'est immédiat et définitif.
• Fiche d'un contact > « Supprimer ce contact » : efface ses interactions, sa conversation, sa photo, son étape dans le pipeline, ses liens avec le cash, ses notes et ses clics. La case « Et ne plus suivre ce contact » empêche qu'il réapparaisse.
• Mémoire : chaque élément s'archive ou se supprime depuis la page Mémoire (suppression confirmée, définitive).
• Concurrents : « Retirer » efface son historique et sa photo.
• Réglages > Délier Instagram : arrête la collecte et efface le jeton d'accès. L'historique déjà collecté reste visible tant que tu ne le supprimes pas.

Depuis Instagram :

• Paramètres > Apps et sites web > retirer Kalyo : Meta prévient Kalyo, qui efface le jeton d'accès et délie le compte.
• Demande de suppression des données faite depuis Instagram : Meta prévient Kalyo, qui supprime le jeton, la connexion et toutes les données collectées pour ce compte. Meta te donne un code de suivi pour vérifier que c'est fait.

Tu peux aussi écrire à fmaxxx95@gmail.com : la demande est traitée dans un délai d'un mois au plus.

10. Tes droits

Que tu sois utilisateur de Kalyo ou contact suivi, tu as le droit d'accéder à tes données, de les faire corriger ou effacer, d'en limiter l'usage, de t'opposer à leur traitement, de les récupérer dans un format lisible (portabilité, pour les données d'utilisateur) et de donner des directives sur leur sort après ton décès.

Contact suivi : si tu as interagi avec un compte Instagram qui utilise Kalyo et que tu veux que tes données soient supprimées ou ne soient plus utilisées, écris à fmaxxx95@gmail.com en indiquant ton @ Instagram. Tu peux aussi le demander directement au titulaire du compte, qui peut te supprimer en un clic.

Une preuve d'identité raisonnable peut t'être demandée. Réponse dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (tu en es alors informé).

Si tu estimes que tes droits ne sont pas respectés, tu peux saisir l'autorité de protection des données de ton pays de résidence (en France : la CNIL, cnil.fr).

11. Sécurité

• Mots de passe hachés avec un sel propre à chaque utilisateur (scrypt, paramètres recommandés par l'OWASP).
• Données enregistrées chiffrées par Kalyo avant stockage (AES-256-GCM, clé dédiée gardée hors de la base) : comptes, contacts, textes des commentaires, conversations, notes, cash, pipeline, résultats de l'assistant IA, mémoire des comptes, connexions, et images. Une copie de la base ou des images sans la clé ne révèle rien.
• Jetons d'accès Instagram et Facebook chiffrés une seconde fois à part, jamais affichés ni écrits dans les journaux.
• Clé NLC HQ et empreintes d'email gardées seulement sous forme hachée.
• Cookies de session signés, réservés à notre domaine et inaccessibles au JavaScript de la page ; session fermée après 14 jours sans visite.
• Requêtes venant d'un autre site refusées, tentatives de connexion limitées, pages impossibles à afficher dans le cadre d'un autre site.
• Notifications de Meta, Stripe et Calendly acceptées seulement si leur signature est valide ; celles d'iClosed avec un jeton secret.
• Envoi de DM seulement sur ton clic, dans la fenêtre de 24 h, avec un nombre d'envois limité.
• Images servies par Kalyo lui-même, jamais par un lien direct vers les serveurs de Meta.
• Chaque compte suivi est isolé : ses contacts ne sont visibles que par son titulaire.
• Journaux du serveur sans email, jeton, mot de passe ni texte de message.

12. Cookies

Kalyo n'utilise que des cookies strictement nécessaires et aucun traceur. Le détail est sur la page Cookies.

13. Modifications

Cette politique évoluera avec le service (paiement de l'abonnement, nouvelles intégrations). La date de mise à jour est indiquée en haut de la page.