Politique de confidentialité

1. Responsable

Responsable au sens du RGPD : Cornelius Krämer, Kalkstraße 135, 51377 Leverkusen, e-mail : [email protected]. Autres informations dans les Mentions légales.

2. Vos droits

Vous avez à tout moment le droit d’accès (art. 15 RGPD), de rectification (art. 16), d’effacement (art. 17), de limitation (art. 18), de portabilité (art. 20) ainsi que d’opposition (art. 21). Un e-mail à l’adresse ci-dessus suffit pour toute demande.

Droit de réclamation : vous disposez d’un droit de réclamation auprès d’une autorité de contrôle en matière de protection des données. L’autorité compétente pour nous est la Déléguée à la protection des données et à la liberté d’information de Rhénanie-du-Nord-Westphalie (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Allemagne, ldi.nrw.de. Vous pouvez également vous adresser à l’autorité de contrôle de votre lieu de résidence.

Pas de décision automatisée : aucune prise de décision automatisée, y compris le profilage au sens de l’art. 22 RGPD, n’a lieu.

3. Fichiers journaux du serveur & hébergement

Le site est servi par Railway (région EU-West) via le serveur web Caddy ; le DNS, la protection TLS et le CDN passent par Cloudflare. À chaque accès, des fichiers journaux sont générés pour des raisons techniques (notamment adresse IP, type/version du navigateur, système d’exploitation, URL de référence, heure). La base juridique est notre intérêt légitime à un fonctionnement sûr et stable et à la défense contre les attaques (art. 6, par. 1, point f RGPD). La transmission s’effectue exclusivement de manière chiffrée via TLS/HTTPS.

4. Réglages locaux & panier

Le thème (clair/sombre), le choix de la langue et le panier sont stockés exclusivement localement dans le navigateur (localStorage/sessionStorage : sfa-theme, sfa-lang, sfa-cart, sfa-last-order) et ne nous sont pas transmis tant que vous ne déclenchez pas d’achat/de déblocage. Les polices sont servies localement — pas de CDN Google Fonts. Sans votre consentement, aucun cookie d’analyse ou de marketing n’est utilisé.

5. Compte & connexion

Pour « Mes skills », les achats et les téléchargements, vous pouvez créer un compte. L’authentification est assurée par Supabase (auth/base de données/stockage ; région UE). Connexion au choix par lien magique (sans mot de passe, par e-mail) ou par OAuth via Google, GitHub ou Discord. Nous traitons alors votre adresse e-mail, éventuellement le nom d’affichage/avatar du fournisseur ainsi qu’un identifiant utilisateur interne ; plusieurs méthodes de connexion avec la même adresse e-mail sont rattachées au même compte. Base juridique : contrat/mesures précontractuelles (art. 6, par. 1, point b RGPD). La fourniture de ces données est facultative ; sans compte, vous pouvez continuer à utiliser les zones en libre accès, mais pas les fonctions personnelles telles que « Mes skills », les déblocages ou les téléchargements. Si vous vous connectez via Google, GitHub ou Discord, nous obtenons votre nom d’affichage et votre avatar auprès du fournisseur concerné en tant que source de données (art. 14 RGPD).

6. Mise à disposition gratuite

Tous les Skills & Agents sont actuellement fournis à titre gratuit. Aucun traitement de paiement n’a lieu ; aucune donnée de paiement n’est collectée et aucune donnée n’est transmise à un prestataire de services de paiement.

7. Livraison & clé de licence

Les skills débloqués gratuitement ne sont livrés qu’après connexion et vérification de la propriété — au choix par commande d’installation (CLI) ou via des liens de téléchargement signés et de courte durée depuis un stockage non public. Une LICENSE.txt personnelle est intégrée au fichier téléchargé comme preuve de licence ; elle contient votre clé de licence, votre adresse e-mail, la date d’achat et la référence de commande. Base juridique : contrat (art. 6, par. 1, point b RGPD).

8. Statistiques

Nous comptons uniquement des chiffres agrégés de consultations et de téléchargements par skill. Aucune adresse IP, aucun identifiant de visiteur et aucune donnée personnelle ne sont stockés ; aucune bannière de cookies n’est nécessaire. Base juridique : intérêt légitime à une simple mesure d’audience (art. 6, par. 1, point f RGPD).

Analyse d’audience & publicité avec Google — uniquement avec votre consentement

Si vous acceptez dans la bannière de cookies, nous utilisons Google Analytics 4 (analyse d’audience et d’utilisation) et/ou Google Ads (mesure de l’efficacité publicitaire, remarketing). Le fournisseur est Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande (société mère : Google LLC, États-Unis). Des cookies ou identifiants similaires sont utilisés et des données d’utilisation et d’appareil sont traitées.

Les balises Google ne sont chargées qu’après votre consentement — auparavant, aucune connexion à Google n’a lieu (Google Consent Mode, variante « basic »). La base juridique est votre consentement (art. 6, par. 1, point a RGPD) ; le transfert de données associé vers les États-Unis repose sur votre consentement explicite (art. 49, par. 1, point a RGPD) ainsi que sur l’EU-US Data Privacy Framework. Vous pouvez retirer ou modifier votre consentement à tout moment avec effet pour l’avenir via « Paramètres des cookies » dans le pied de page.

9. Contenus publics : profil, avis & mention du créateur

Certaines fonctions publient vos informations en accès libre sur le web — visibles par tous et référençables par les moteurs de recherche. Cela n’a lieu que si vous utilisez ou activez vous-même la fonction concernée :

• Profil public (/u/<handle>) — nom affiché, identifiant, courte présentation, lien de site web et avatar. Uniquement si l’option est activée dans vos paramètres ; par défaut, le profil n’est pas public.
• Avis — texte de l’avis, étoiles et date. Votre nom réel n’apparaît que si vous avez activé l’affichage du nom ; sinon, la mention « Acheteur vérifié » est utilisée.
• Mention du créateur — la personne qui soumet un skill est citée comme auteur sur la page du skill (également selon l’affichage du nom).

La base juridique est votre consentement (art. 6, par. 1, point a RGPD), que vous pouvez retirer à tout moment dans vos paramètres avec effet pour l’avenir. À noter : une fois publiés, les contenus peuvent avoir été indexés par des moteurs de recherche ou copiés par des tiers — nous n’avons aucune influence là-dessus. Si vous supprimez votre compte, un avis que vous avez laissé est anonymisé (nom retiré, texte supprimé) afin de ne pas fausser la moyenne des étoiles pour les autres utilisateurs.

10. Prévention des abus & sécurité

Pour protéger la livraison, nous traitons des données de sécurité techniquement nécessaires. Votre adresse IP n’est pas conservée en clair, mais uniquement sous forme de valeur de hachage non réversible :

• Limitation des livraisons — valeur IP hachée et horodatage, pour empêcher les téléchargements automatisés massifs (suppression automatique après 24 heures).
• Rapports de sécurité du navigateur (Content Security Policy) — valeur IP hachée, adresse bloquée, heure (suppression automatique après 30 jours).
• Jetons d’installation et de livraison — liés à votre compte afin que vous seul puissiez récupérer les skills que vous avez débloqués.

Base juridique : intérêt légitime à la sécurité d’exploitation et à la prévention des abus (art. 6, par. 1, point f RGPD).

11. Newsletter

Si une newsletter est proposée et que vous y souscrivez, nous traitons votre adresse e-mail selon la procédure de double opt-in sur la base de votre consentement (art. 6, par. 1, point a RGPD). Le consentement peut être retiré à tout moment avec effet pour l’avenir. (Actuellement inactif.)

12. Prise de contact

Lorsque vous nous contactez par formulaire ou e-mail, nous traitons vos données pour traiter la demande (art. 6, par. 1, point b ou f RGPD).

13. Destinataires & sous-traitants

Nous faisons appel à des prestataires soigneusement sélectionnés en tant que sous-traitants et concluons avec eux, si nécessaire, des accords de sous-traitance conformément à l’art. 28 RGPD (ou nous appuyons sur leurs clauses de sous-traitance types) :

• Supabase — compte/authentification, base de données, stockage de fichiers (région UE) ; envoie également les liens de connexion (lien magique) et les e-mails système via un prestataire d’envoi en tant que sous-traitant ultérieur.
• Railway — hébergement de l’application (région EU-West).
• Cloudflare — DNS, CDN, TLS et défense contre les attaques (USA/mondial).
• Strato — enregistrement du domaine.

Si vous vous connectez via OAuth, la connexion s’effectue chez Google, GitHub ou Discord ; le fournisseur concerné apprend que vous vous connectez à skills-for-ai et traite les données de connexion sous sa propre responsabilité (en partie aux États-Unis). À cet égard, ces fournisseurs ne sont pas nos sous-traitants.

14. Transfert vers des pays tiers

Certains services (notamment Cloudflare) peuvent traiter des données aux États-Unis. Un transfert n’a lieu que sur la base de garanties appropriées (clauses contractuelles types de l’UE ou EU-US Data Privacy Framework).

15. Durée de conservation

• Données de compte et de propriété — jusqu’à la suppression de votre compte ou tant que cela est nécessaire pour fournir les skills débloqués.
• Avis — jusqu’à leur retrait ou la suppression de votre compte (ensuite anonymisés, voir section 9).
• Fichiers journaux du serveur — brièvement, pour la sécurité d’exploitation, puis suppression automatique.
• Limitation des livraisons — 24 heures.
• Rapports de sécurité (CSP) — 30 jours.
• Preuves de consentement — tant que le compte existe ; ensuite aussi longtemps que nous devons pouvoir démontrer la licéité du traitement.

Pour le reste, nous supprimons les données dès que la finalité disparaît et qu’aucune obligation légale de conservation ne s’y oppose.