Service Kema Invoice — En vigueur à compter du 26 août 2026 — Version 1.1
Préambule
La présente politique de confidentialité (ci-après « Politique ») a pour objet d'informer les utilisateurs du service Kema Invoice (ci-après le « Service »), édité par Kema Studio, Lda, des modalités de traitement de leurs données à caractère personnel.
Elle est établie en application du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), et de la loi portugaise n° 58/2019 du 8 août 2019 assurant l'exécution du RGPD au Portugal.
1. Responsable de traitement
1.1. Pour les données des Utilisateurs du Service
Kema Studio est responsable de traitement pour les données suivantes :
- Données d'identification et de contact des Utilisateurs (nom, prénom, courriel, données de facturation) ;
- Données de connexion et d'usage du Service, y compris la journalisation des actions effectuées via le Connecteur MCP ;
- Données relatives à la facturation et au paiement de l'Abonnement ;
- Données de navigation sur les pages publiques (cookies).
1.2. Pour les données saisies dans le Service par l'Utilisateur
Pour les Données que l'Utilisateur saisit, importe ou fait générer via le Service dans le cadre de son activité professionnelle (informations sur ses clients, ses factures, ses devis, son activité), l'Utilisateur est responsable de traitement et Kema Studio est sous-traitant au sens de l'article 28 du RGPD.
Les modalités de ce traitement sont précisées dans l'Accord de traitement des données (DPA).
2. Coordonnées du responsable de traitement
Kema Studio, Lda — Rua Leite de Vasconcelos, 85, 8 E, 1170-199 Lisboa, Portugal
NIPC : 519361776 — Courriel : hello@kema-studio.com
Délégué à la protection des données (DPO)
Raphaël Macquet — raphael@kema-studio.com
3. Données collectées, finalités, bases légales et durées
3.1. Données d'inscription et de gestion du compte
Catégories : nom, prénom, courriel professionnel, mot de passe chiffré, dénomination et données fiscales de l'entreprise.
Finalité : création et gestion du compte utilisateur, authentification, communication relative au Service.
Base légale : exécution du contrat (art. 6.1.b RGPD).
Durée : pendant la durée de l'Abonnement, puis 30 jours après résiliation, sous réserve des durées de conservation légales.
3.2. Données de facturation et de paiement
Catégories : dénomination, adresse de facturation, n° de TVA, factures émises, historique des paiements, identifiant client Stripe.
Finalité : facturation, recouvrement, obligations comptables et fiscales.
Base légale : exécution du contrat et obligation légale (art. 6.1.b et c RGPD).
Durée : 10 ans à compter de la clôture de l'exercice (Código do IVA, régime SAF-T Portugal).
Important : Kema Studio ne stocke pas les données bancaires. Elles sont traitées par Stripe Payments Europe Ltd (PCI-DSS niveau 1).
3.3. Données de connexion et d'usage
Catégories : adresse IP, identifiants de session, horodatage, pages consultées, actions dans le Service, journal des appels effectués via le Connecteur MCP (outil appelé, horodatage, compte concerné), terminal et navigateur.
Finalité : sécurité, prévention de la fraude, traçabilité des actions d'agents IA, amélioration du Service.
Base légale : intérêt légitime (art. 6.1.f RGPD).
Durée : 12 mois (journaux), 6 mois (analyse d'usage).
3.4. Données de support
Catégories : historique des échanges (courriels, tickets, conversations via le chat de support intégré à l'application), identité et courriel de l'Utilisateur.
Finalité : assistance, traitement des demandes et amélioration du Service.
Base légale : exécution du contrat (art. 6.1.b RGPD).
Durée : 3 ans à compter du dernier échange.
Le chat de support est opéré par Kema Studio sur une infrastructure auto-hébergée dans l'Union européenne (Allemagne).
3.5. Données de prospection
Base légale : consentement ou intérêt légitime pour la prospection B2B (art. L. 34-5 CPCE).
Durée : 3 ans à compter du dernier contact ou jusqu'au retrait du consentement.
4. Données clients saisies par l'Utilisateur
Dans le cadre de son utilisation du Service, l'Utilisateur saisit ou importe des données relatives à ses propres clients (identité, coordonnées, données de facturation).
Pour ces données, Kema Studio agit en qualité de sous-traitant et non de responsable de traitement. Les modalités sont précisées dans l'Accord de traitement des données (DPA).
Dans le cadre de l'import de factures, le Service met en œuvre une reconnaissance optique (OCR) du document via un sous-traitant établi dans l'Union européenne, sous régime de Zero Data Retention et sans réutilisation à des fins d'entraînement. L'extraction des données est réalisée par Kema Studio dans son infrastructure ; les données extraites sont soumises à la validation de l'Utilisateur.
5. Accès par un Agent IA (Connecteur MCP)
Lorsque l'Utilisateur connecte un Agent IA au Service via le Connecteur MCP, les Données que cet agent consulte, crée ou modifie transitent par le fournisseur d'IA choisi par l'Utilisateur (par exemple Anthropic pour Claude), qui les traite conformément à ses propres conditions et politiques de confidentialité, pour le compte de l'Utilisateur.
Ce fournisseur est choisi et mandaté par l'Utilisateur : il n'est pas un sous-traitant de Kema Studio. Il appartient à l'Utilisateur de vérifier que les conditions de son fournisseur d'IA sont compatibles avec ses propres obligations, notamment lorsqu'il traite des données personnelles de ses clients via l'agent.
Kema Studio journalise chaque appel effectué via le Connecteur MCP (outil appelé, horodatage, compte) à des fins de sécurité et de traçabilité, et identifie la source de chaque document (agent ou manuel).
L'Utilisateur peut révoquer l'accès de son Agent IA à tout moment.
6. Destinataires des données
- Personnels habilités de Kema Studio (développement, support, facturation) ;
- Sous-traitants techniques listés à l'article 7 ;
- Le fournisseur d'Agent IA connecté par l'Utilisateur, dans les conditions de l'article 5 ;
- Autorités administratives ou judiciaires dans les cas prévus par la loi.
Kema Studio ne commercialise pas les données personnelles des Utilisateurs.
7. Sous-traitants
7.1. Sous-traitants techniques et opérationnels
- Supabase Inc. — base de données et authentification — hébergement AWS eu-north-1 (Stockholm, UE).
- Vercel Inc. — hébergement de l'application — infrastructure edge avec stockage UE.
- Stripe Payments Europe Ltd — paiements et abonnements — Irlande.
- Invopop — émission de factures électroniques conformes — Espagne.
- Resend — envoi d'emails transactionnels.
- Amplitude — analyse d'usage pseudonymisée.
- Sentry — supervision technique et remontée d'erreurs.
- Mistral AI (France, Union européenne) — reconnaissance optique (OCR) des factures importées.
7.2. Transferts hors Union européenne
Les données sont hébergées et traitées dans l'UE chaque fois que techniquement possible. Lorsqu'un transfert hors UE est nécessaire, il est encadré par une décision d'adéquation (Data Privacy Framework), les clauses contractuelles types (CCT) de la Commission européenne et des mesures techniques et organisationnelles complémentaires.
8. Sécurité
- Chiffrement des communications (TLS 1.2 ou supérieur) ;
- Chiffrement des données au repos au niveau de l'infrastructure ;
- Contrôle des accès et authentification forte ;
- Journalisation des accès aux données sensibles et des actions effectuées via le Connecteur MCP ;
- Sauvegardes régulières et testées ;
- Plan de réponse aux incidents de sécurité ;
- Engagement de confidentialité des personnels et sous-traitants.
En cas de violation de données susceptible d'engendrer un risque, Kema Studio notifie la CNPD (Portugal) dans un délai de 72 heures.
9. Droits des personnes concernées
- Droit d'accès (art. 15 RGPD)
- Droit de rectification (art. 16 RGPD)
- Droit à l'effacement (art. 17 RGPD)
- Droit à la limitation (art. 18 RGPD)
- Droit à la portabilité (art. 20 RGPD)
- Droit d'opposition (art. 21 RGPD)
- Droit de retirer son consentement à tout moment
- Droit de définir des directives relatives au sort des données après le décès
9.1. Exercice des droits
Par courriel à raphael@kema-studio.com ou par courrier au siège social, accompagnés d'un justificatif d'identité si nécessaire. Réponse sous un mois (prolongeable de deux mois).
9.2. Réclamation
- CNPD — Av. D. Carlos I, 134, 1º, 1200-651 Lisboa, Portugal — www.cnpd.pt
- CNIL — 3 Place de Fontenoy, 75007 Paris — www.cnil.fr
- Toute autre autorité de contrôle de l'État membre de résidence habituelle.
10. Cookies
10.1. Cookies utilisés
Strictement nécessaires (sans consentement) : session, authentification, sécurité, préférences linguistiques, identifiant technique de conversation du chat de support (déposé dans le stockage local du navigateur uniquement après ouverture d'une conversation).
Soumis à consentement (sites publics, dont docs.kema-studio.com) : mesure d'audience (Amplitude), chargée uniquement après votre accord. Dans l'application, aucun traceur de mesure d'audience n'est déposé sur votre terminal ; les données d'usage sont traitées côté serveur dans les conditions de l'article 3.3.
10.2. Gestion du consentement
À votre première visite sur nos sites publics, une bannière vous permet d'accepter, refuser ou paramétrer les cookies non essentiels. Vous pouvez modifier vos préférences à tout moment via le lien « Gérer mes cookies » disponible en bas de page. Votre choix s'applique à l'ensemble des sites publics Kema Studio. La durée de conservation du consentement n'excède pas 13 mois.
11. Modifications
La présente Politique peut être modifiée. Toute modification substantielle est notifiée aux Utilisateurs par courriel ou dans le Service.
12. Contact
Pour toute question : raphael@kema-studio.com