Politique de confidentialité

Version: 2026-10-19-v2

Cette politique vous informe, conformément aux art. 13 et 14 RGPD, du traitement des données personnelles lors de vos visites sur https://zensu.dev et de l’utilisation de la plateforme Zensu à https://app.zensu.dev et du logiciel de bureau Zensu Session Hub.

§ 1. Responsable du traitement

Le responsable au sens du RGPD est :

MK IT Consulting. Titulaire : Marcel Karras. Enderstr. 94, 01277 Dresden, Allemagne. Email : [email protected].

§ 2. Hébergement et localisation des données

Zensu est hébergé sur Open Telekom Cloud (OTC), dans des centres de données de l’Union européenne (région eu-de, Frankfurt) ; les données de compte et de plateforme sont stockées au repos dans l’EEE. Des transferts limités à des sous-traitants de pays tiers (États-Unis) ont lieu uniquement pour des fonctions facultatives comme l’IA (sections 3.5 et 5) et sont couverts par des garanties appropriées au titre de l’art. 46 RGPD.

§ 3. Données collectées et finalités

3.1 Journaux du serveur : Lors de l’accès au site, des données techniques sont enregistrées (adresse IP, date/heure, ressource demandée, référent et agent utilisateur). Base juridique : art. 6 (1) (f) RGPD (intérêt légitime au fonctionnement et à la sécurité). Conservation : 14 jours au maximum.

3.2 Inscription : Nous traitons votre email pour administrer votre compte. Base juridique : art. 6 (1) (b) RGPD (exécution d’un contrat).

3.3 Utilisation de la plateforme : Les contenus saisis lors de l’utilisation active de Zensu (fonctionnalités, tests, documents et configurations) sont conservés. Base juridique : art. 6 (1) (b) RGPD (exécution d’un contrat).

3.4 Contact : Si vous nous écrivez par email, vos données sont traitées pour répondre à votre demande. Base juridique : art. 6 (1) (b) ou (f) RGPD.

3.5 Assistant IA et génération de documentation : Lorsque vous utilisez l’assistant ou générez la documentation d’une fonctionnalité, Zensu transmet les données ci-dessous à OpenRouter (OpenRouter Inc., États-Unis). OpenRouter envoie la requête au fournisseur du modèle de langage utilisé et renvoie sa réponse. Cette transmission a lieu uniquement lors de votre utilisation active de ces fonctions. Base juridique : art. 6 (1) (b) RGPD (exécution d’un contrat).

Pour l’assistant, cela comprend vos messages et la conversation jusqu’à présent ; une instruction système contenant, dans une conversation centrée sur un produit, son nom, sa description et son type ; ainsi que les résultats des requêtes que l’assistant exécute de lui-même dans Zensu pour vous répondre et des modifications que vous avez confirmées. Ces requêtes peuvent porter sur les fonctionnalités, produits, parcours utilisateurs, feuilles de route, sprints, tâches, versions, équipes, pages wiki et contenus de la base de connaissances, ainsi que sur les noms, emails et rôles des membres de votre organisation, par exemple si vous demandez d’attribuer une fonctionnalité à quelqu’un. Le premier message sert aussi à générer un titre pour la conversation. L’assistant ne reçoit pas les saisies non encore enregistrées dans les formulaires ou éditeurs de l’application.

Pour la génération de documentation, il s’agit des informations stockées sur la fonctionnalité : titre, description, statut et périmètre ; nom du produit et URL de documentation ; nom et description du composant ; sous-fonctionnalités ; fichiers sources liés avec chemin, langage et résumé technique, ainsi que noms, signatures et commentaires de documentation des symboles de code qu’ils contiennent ; tests ; classification de sécurité et étiquettes OWASP et de conformité ; disponibilité par niveau ; étapes liées des parcours utilisateurs ; type, titre et statut de publication des documentations existantes ; et type de document, public et langue demandés. Ces éléments ne contiennent des données personnelles que si elles figurent dans ces contenus.

Pour chaque requête au modèle, Zensu demande à OpenRouter de la diriger uniquement vers des fournisseurs qui ne collectent pas les entrées pour l’entraînement et proposent une conservation nulle des données. Pour l’assistant, le fournisseur du modèle peut brièvement mettre en cache le début inchangé d’une requête (instructions, descriptions des fonctions de requête et conversation passée) afin de ne pas le traiter à nouveau lors de la suivante (cache de prompts, 5 minutes par défaut). Le traitement par OpenRouter et les fournisseurs de modèles n’est pas limité à l’UE.

Zensu conserve les conversations de l’assistant (messages, réponses et résultats des requêtes) dans sa base de données (section 2) pour vous permettre de les poursuivre ; les autres membres de votre organisation ne peuvent pas les consulter. Aucun délai de suppression automatique n’est actuellement prévu : elles restent jusqu’à leur suppression dans l’assistant ou celle de votre compte ou organisation.

Pour assurer la fiabilité de l’exécution et de la facturation des requêtes de l’assistant, Zensu conserve aussi des journaux internes contenant les messages, réponses, résultats des requêtes et modifications proposées. Leur contenu devient éligible à la suppression 30 jours après la fin de l’exécution ; si elle ne se termine pas, le délai court à partir de son début. Cela couvre aussi les exécutions abandonnées. Si la conversation associée, votre compte ou votre organisation est supprimé auparavant, le contenu des journaux est supprimé lors du nettoyage suivant. Après ce nettoyage, les exécutions expirées ne peuvent plus être récupérées et leurs modifications proposées en attente ne peuvent plus être exécutées. Des marqueurs de suppression empêchent que ces journaux soient à nouveau remplis de contenu. Ce nettoyage ne supprime pas une conversation que vous avez conservée.

Le nettoyage automatique s’exécute au démarrage du service puis toutes les 5 minutes. Chaque passage traite un volume limité de données et les échecs font l’objet de nouvelles tentatives ; les retards de traitement et les interruptions du service peuvent différer la suppression effective. Pour les installations auto-hébergées, l’opérateur peut configurer les délais ; celui du contenu des journaux est de 30 jours par défaut.

Les événements temporaires servant à reprendre la transmission des réponses deviennent éligibles à la suppression 1 heure après la fin d’une exécution, et les métadonnées d’exécution associées après 30 jours. Les exécutions en cours abandonnées sont aussi nettoyées après 30 jours sans signal d’activité. Les intervalles de nettoyage, retards de traitement et interruptions du service peuvent différer ces suppressions de la même façon.

Des justificatifs réduits d’utilisation et de facturation ainsi que les identifiants nécessaires pour empêcher un traitement répété restent conservés séparément du contenu supprimé des journaux. Le nettoyage ne modifie ni les preuves d’acceptation existantes ni les documents juridiques correspondants ; les sections 6 et 3.6 continuent à régir la suppression des données de compte et des preuves d’acceptation de Session Hub.

Pour la génération de documentation, Zensu ne conserve ni la requête au modèle ni le texte généré ; le résultat est seulement transmis au navigateur et n’est enregistré que si vous le sauvegardez vous-même dans Zensu. Zensu journalise pour quelle fonctionnalité un document de quel type a été généré.

3.6 Zensu Session Hub : Pour ce logiciel de bureau, nous traitons les données nécessaires à la vérification de votre habilitation : compte Zensu ; habilitation (essai avec début et fin, abonnement ou place d’organisation) ; pour chaque appareil activé, identifiant, nom, clé publique et empreinte, dates d’activation et de blocage ; événements du compte Hub (début d’essai, activation ou blocage d’appareil) ; enregistrement de votre acceptation des conditions de licence (document, version, somme de contrôle, langue, occasion et date/heure) ; et données techniques telles que l’adresse IP générées à chaque connexion à nos serveurs. Base juridique : art. 6 (1) (b) RGPD (exécution du contrat) ; pour les événements et la preuve d’acceptation, également art. 6 (1) (f) RGPD (intérêt légitime à prévenir les abus et prouver la conclusion du contrat). Ces données sont supprimées avec le compte Zensu (section 6). Les contenus des sessions Claude et des emails lus pour la connexion automatique sont traités exclusivement sur votre appareil ; nous ne les recevons pas.

3.7 Paiements via Paddle : Les abonnements sont vendus par Paddle comme revendeur (merchant of record), par Paddle.com Market Limited hors États-Unis et Canada. Paddle traite les informations saisies lors de la commande, comme nom, email, adresse, données de paiement et, le cas échéant, numéro de TVA, en tant que responsable indépendant selon sa politique : https://www.paddle.com/legal/privacy. Au lancement du paiement, nous transmettons votre email et des identifiants internes pour rattacher le paiement au compte. Nous recevons de Paddle les identifiants de client, d’abonnement et de transaction, les statuts, montants et périodes des abonnements et paiements, ainsi que les données d’événements envoyées par Paddle, qui peuvent inclure nom, email et pays. Nous ne recevons pas les données de paiement complètes, telles que les numéros de carte. Base juridique : art. 6 (1) (b) RGPD (contrat) et art. 6 (1) (c) RGPD (obligations fiscales). La section 6 régit la conservation.

§ 4. Cookies et suivi

Sur https://zensu.dev, nous n’utilisons aucun cookie de suivi ou d’analyse. Aucune donnée n’est transmise à des fournisseurs comme Google Analytics ou Facebook Pixel. Sur https://app.zensu.dev, nous stockons uniquement les données techniquement nécessaires : un cookie HttpOnly (zensu_refresh) pour renouveler la session et des entrées nécessaires dans le stockage local du navigateur pour le jeton d’accès et les préférences d’affichage (thème et langue). Aucune technologie de suivi ou d’analyse n’est utilisée.

§ 5. Communication à des tiers

Les données sont communiquées à des sous-traitants au sens de l’art. 28 RGPD : hébergement (Deutsche Telekom AG / Open Telekom Cloud, centres dans l’UE), envoi d’emails (SendGrid Inc., États-Unis, uniquement si activé) et fonctions IA comme Product Studio, l’assistant et la génération de documentation (OpenRouter Inc., États-Unis, uniquement lors de leur utilisation ; section 3.5). Un accord de sous-traitance conforme à l’art. 28 RGPD est conclu avec l’hébergeur. Les transferts à des fournisseurs de pays tiers (États-Unis) reposent sur les garanties appropriées de l’art. 46 RGPD (clauses contractuelles types de l’UE). Pour les paiements, des données sont aussi transmises à Paddle, responsable indépendant (section 3.7).

§ 6. Durée de conservation

Les données personnelles sont conservées uniquement aussi longtemps que nécessaire à la finalité ou imposé par la loi, notamment § 257 HGB et § 147 AO. Lorsqu’un compte est supprimé, ses données sont supprimées du système actif, sauf les données conservées séparément décrites ici et les justificatifs exigés par la loi. La section 3.5 s’applique aux conversations, journaux d’exécution et à la génération de documentation ; la section 3.6 à Session Hub. Le nettoyage de la base de données active ne modifie pas les sauvegardes existantes. Celles-ci relèvent de la politique distincte de conservation et de suppression de l’opérateur ; les délais indiqués pour la base active ne garantissent pas une suppression simultanée des sauvegardes. Après une restauration, le nettoyage doit être relancé avant de permettre l’accès.

§ 7. Droits des personnes

Vous disposez des droits d’accès (art. 15 RGPD), rectification (art. 16), effacement (art. 17), limitation (art. 18), portabilité (art. 20) et opposition (art. 21). Pour les exercer : [email protected].

§ 8. Réclamation auprès d’une autorité

Vous avez le droit de saisir une autorité de protection des données. L’autorité compétente pour le fournisseur est le Commissaire saxon à la protection des données et à la transparence (Sächsischer Datenschutz- und Transparenzbeauftragter) : https://www.saechsdsb.de.

§ 9. Modification de cette politique

Nous pouvons adapter cette politique aux exigences légales actuelles ou aux modifications de nos services. La version en vigueur s’applique alors à votre prochaine visite.