Politique de confidentialité

Dernière mise à jour : 4 novembre 2026.

Qui traite vos données

PalateKit, 61 rue de Lyon, 75012 Paris (voir les mentions légales). Contact : contact@palatekit.com.

Ce que nous collectons et pourquoi

• Votre adresse e-mail, votre langue et la date de votre consentement, quand vous vous inscrivez à la newsletter (depuis le pied de page, ou depuis vos réglages si vous avez un compte : l'inscription est alors reliée à votre compte). Finalité : vous envoyer la newsletter (nouvelles ressources et actualité de PalateKit). Base légale : votre consentement.
• Votre adresse IP (et, pour certaines actions de votre compte, son identifiant), pour limiter les abus (trop de tentatives) et vérifier que vous n'êtes pas un robot. Base légale : notre intérêt légitime à protéger le service. Une tâche automatique la supprime environ 24 heures après votre dernière tentative.
• Les journaux techniques du serveur (adresse IP, page demandée, date), pour la sécurité et le diagnostic. Ils sont conservés un an au plus. Base légale : notre intérêt légitime à sécuriser le service.
• La mesure d'audience, sans cookie (Umami, installé sur notre propre serveur) : pages vues et quelques événements sans donnée vous concernant (inscription envoyée, début de paiement et offre choisie, achat confirmé et offre, téléchargement ou copie avec le type de ressource, installation par la CLI avec le type de ressource). Aucun cookie ni identifiant n'est enregistré dans votre navigateur, votre adresse IP n'est pas conservée, les paramètres des adresses ne sont pas envoyés, et le réglage « Ne pas me suivre » de votre navigateur est respecté. Aucun tiers n'y a accès. Finalité : savoir quelles pages et quelles ressources sont utiles. Base légale : notre intérêt légitime ; mesure d'audience exemptée de consentement (sans cookie, recommandations de la CNIL).
• La mesure d'audience avec cookies (Google Analytics), seulement si vous l'acceptez : pages vues, durée et provenance des visites, interactions (défilement, clics vers d'autres sites, recherches sur le site, téléchargements, lecture de vidéos, formulaires commencés ou envoyés, sans leur contenu), type d'appareil et de navigateur, pays ou ville approximatifs, rattachés à un identifiant aléatoire gardé dans des cookies (_ga, _ga_…, 13 mois, non prolongés par vos visites). Google se sert de votre adresse IP pour en déduire le pays ou la ville, sans la conserver ; les signaux Google (recoupement entre appareils) et la personnalisation publicitaire sont désactivés. Finalité : mieux comprendre l'audience du site et sa provenance (moteurs de recherche, liens). Base légale : votre consentement, que vous pouvez retirer à tout moment depuis la page des cookies (« Gérer mes choix ») ; le refuser ne change rien à votre usage du site.
• Les rapports d'erreur du serveur (Sentry) : le type de l'erreur, le modèle de la page concernée (sans l'adresse réelle ni ses paramètres) et l'environnement technique. Jamais vos cookies, les en-têtes de vos requêtes, le contenu de vos formulaires, votre adresse IP ni votre e-mail : ils sont retirés ou masqués avant l'envoi. Rien n'est envoyé depuis votre navigateur. Finalité : corriger les pannes. Base légale : notre intérêt légitime à faire fonctionner le service.

Le site ne dépose aucun cookie de publicité. Les cookies techniques sont : votre langue (NEXT_LOCALE, 1 an), votre session de connexion si vous avez un compte (__Secure-better-auth.session_token, 7 jours, prolongée tant que vous utilisez le site) et, le cas échéant, des cookies de sécurité posés par Cloudflare pour protéger le site contre les robots. Des cookies tiers ne sont posés qu'avec votre accord : ceux de Google Analytics (_ga, _ga_…, 13 mois), pour la mesure d'audience ; celui de PromoteKit (promotekit_referral, 60 jours), si vous arrivez par un lien d'affilié et l'acceptez, pour attribuer votre achat à l'affilié qui vous a recommandé le site ; ceux de X, si vous cliquez sur « Charger la vidéo depuis X ». Le détail est sur la page des cookies.

Votre choix de thème (clair ou sombre) est gardé dans le stockage local de votre navigateur (clé theme), comme la fermeture du bandeau d'offre (pk-offer-dismissed) et, si vous avez une offre payante, une simple marque (pk-pro, effacée à la déconnexion) qui masque ce bandeau dès l'affichage, ainsi que vos 8 dernières recherches (pk-recent-searches, effaçables depuis la recherche). Rien de cela n'est envoyé à notre serveur ; ces clés servent seulement à afficher le site.

Votre compte

• Votre nom, votre adresse e-mail et votre mot de passe, quand vous créez un compte. Le mot de passe est enregistré sous une forme hachée : personne, nous compris, ne peut le lire. La date de création et la confirmation de votre adresse sont aussi gardées. Finalité : vous permettre de vous connecter et de retrouver vos ressources. Base légale : l'exécution du contrat qui nous lie (la création et l'usage de votre compte).
• Vos sessions de connexion (adresse IP et navigateur utilisés), pour sécuriser votre compte. Une session dure 7 jours au plus sans utilisation ; elle est supprimée quand vous vous déconnectez ou quand vous changez de mot de passe. Les sessions expirées et les liens périmés sont supprimés automatiquement chaque heure.
• Connexion avec Google, si vous choisissez ce mode : Google nous transmet votre nom, votre adresse e-mail et votre photo de profil, et nous gardons les jetons techniques de cette connexion. Nous ne recevons pas votre mot de passe Google.
• Votre photo de profil, si vous en envoyez une depuis vos réglages : nous la réduisons (256 pixels, sans les métadonnées du fichier d'origine, comme la position) et la gardons sur nos serveurs. Elle s'affiche dans votre menu de compte et pourra être vue des autres visiteurs là où votre compte apparaît. Vous pouvez la retirer à tout moment ; elle est supprimée avec votre compte (une copie peut rester une heure au plus dans les caches du réseau).
• Vos préférences : métier, types de rendu et agents choisis à l'accueil de votre compte (onboarding), et votre langue préférée. Finalité : vous proposer les ressources qui vous correspondent (rayon « Pour vous ») et vous écrire dans votre langue. Vous pouvez les modifier depuis vos réglages.
• Sécurité de votre mot de passe : quand votre mot de passe change (ou quand un premier mot de passe est ajouté à un compte créé avec Google), un e-mail vous prévient, avec un lien pour en choisir un autre si ce n'était pas vous.
• Vos j'aime, sauvegardes et téléchargements : pour vous les montrer dans Mes ressources et compter la popularité des ressources (seuls les nombres sont publics). Supprimés avec votre compte ; un téléchargement reste compté, sans lien avec vous.
• Vos appareils connectés à la CLI : quand vous connectez l'outil en ligne de commande palatekit (en approuvant son code sur la page /device), nous gardons le nom déclaré par l'appareil (en général le nom de la machine, tel que la CLI l'envoie), les dates de connexion, de dernière utilisation, d'expiration et, le cas échéant, de révocation, et une empreinte du jeton de connexion (jamais le jeton lui-même : seule la CLI le garde, sur votre machine, et nous le présente à chaque requête). Finalité : vous connecter depuis la CLI et vous montrer ces appareils dans vos réglages, d'où vous pouvez les déconnecter. Base légale : l'exécution du contrat qui nous lie. Un jeton est valable 7 jours ; il est supprimé 30 jours après son expiration ou sa révocation. Le code affiché par la CLI pour la connexion expire au bout de 10 minutes et est supprimé dans l'heure qui suit.
• Vos installations par la CLI : la ressource, sa version, l'agent visé (Claude Code, Codex…) et la date, pour compter les installations de chaque ressource sur 30 jours (seuls les nombres sont publics). Base légale : notre intérêt légitime à mesurer l'usage des ressources. Elles sont détachées de votre compte au bout d'un an, ou à sa suppression.
• Vos avis : note, commentaire, raisons et date, publiés sur la page de la ressource avec votre nom et votre photo, ou « Anonyme » si vous le choisissez. Vous pouvez les modifier ou les supprimer ; si vous supprimez votre compte, ils restent, signés « Utilisateur supprimé ».
• Vos demandes de ressources : la phrase et le lien éventuel que vous envoyez, lus par notre équipe (qui peut ouvrir le lien) pour choisir les prochaines ressources et vous écrire quand l'une d'elles est publiée. Elles sont supprimées 12 mois après leur envoi, ou avec votre compte. Si vous envoyez une demande sans être connecté, elle est gardée dans votre navigateur (24 heures au plus) le temps de la connexion, sans nous être transmise.
• Vérification des mots de passe fuités : quand vous choisissez un mot de passe, nous vérifions qu'il ne figure pas dans des fuites de données connues grâce au service Pwned Passwords de Have I Been Pwned. Seuls les 5 premiers caractères de l'empreinte SHA-1 du mot de passe sont envoyés : ni le mot de passe, ni votre adresse, ni aucune donnée qui vous identifie.

Les données de votre compte sont conservées jusqu'à sa suppression, que vous pouvez faire vous-même à tout moment depuis vos réglages (ou demander en écrivant à contact@palatekit.com). La suppression efface votre profil, votre photo, vos préférences, vos sessions, la connexion avec Google, vos appareils connectés à la CLI, vos j'aime, sauvegardes et demandes (vos téléchargements restent comptés, sans lien avec vous ; vos installations sont détachées de votre compte ; vos avis restent, signés « Utilisateur supprimé ») ; votre inscription à la newsletter est arrêtée et l'adresse ne reste que dans la liste d'opposition décrite plus bas. Un compte dont l'adresse n'est jamais confirmée est supprimé au bout de 30 jours.

Vos achats

• Le paiement est encaissé par Link, un service de Stripe qui vend pour notre compte en tant que vendeur officiel : Link encaisse le prix, calcule et reverse les taxes et vous envoie reçus et factures. Pour cela, nous transmettons à Stripe votre adresse e-mail, votre nom, l'identifiant de votre compte et l'offre choisie. Vos coordonnées bancaires sont saisies directement chez Stripe : nous ne les voyons jamais. Stripe traite les données du paiement sous sa propre responsabilité, selon sa politique de confidentialité.
• Ce que vous avez acheté et vos droits : offre, montant et devise payés, dates (achat, période payée), statut (actif, résilié, remboursé…) et la référence du paiement chez Stripe. Finalité : vous donner accès aux ressources, vous rappeler la reconduction de l'abonnement annuel et tenir notre comptabilité. Base légale : l'exécution du contrat et nos obligations légales.
• La preuve de votre accord : le texte exact de la case cochée avant le paiement, sa date, votre langue et l'adresse IP de la demande. Finalité : prouver votre consentement, notamment votre renonciation au droit de rétractation pour un achat à l'unité. Base légale : nos obligations légales (Code de la consommation).
• Vos déclarations de résiliation ou de rétractation faites en ligne : nom, adresse e-mail de l'accusé de réception, date et heure, montant remboursé. Base légale : nos obligations légales.

Ces informations sont gardées 10 ans après l'achat (conservation des contrats d'au moins 120 €, article L213-1 du Code de la consommation ; pièces comptables, article L123-22 du Code de commerce). Si vous supprimez votre compte, vos abonnements en cours sont d'abord résiliés immédiatement, sans remboursement ; ces informations sont ensuite détachées de votre compte et anonymisées (adresse IP, nom et e-mail effacés), puis supprimées au terme des 10 ans. Stripe garde de son côté ce que la loi lui impose en tant que vendeur.

Combien de temps

• Inscription à la newsletter non confirmée : supprimée au bout de 30 jours.
• Inscription à la newsletter confirmée : conservée jusqu'à votre désinscription. Après désinscription, l'adresse est gardée 3 ans au plus dans une liste d'opposition, uniquement pour ne plus vous écrire, puis supprimée.
• Demandes de retrait d'un contenu (adresse de la page, motif, description, preuve, nom et e-mail) : 3 ans, pour traiter la demande et en garder la trace.
• Historique de vos téléchargements et copies : 1 an, puis détaché de votre compte (il ne compte plus que la popularité des ressources).
• Historique de vos installations par la CLI : 1 an, puis détaché de votre compte (anonymisé).
• Appareils connectés à la CLI (nom déclaré par l'appareil, dates, empreinte du jeton) : jetons valables 7 jours, supprimés 30 jours après leur expiration ou leur révocation ; code de connexion de la CLI : 10 minutes.
• Preuves d'achat, droits et déclarations : 10 ans après l'achat, anonymisés si vous supprimez votre compte.
• Événements reçus de Stripe (pour ne pas traiter deux fois un même paiement) : 1 an.
• Mesure d'audience (Umami) : 13 mois.
• Mesure d'audience avec cookies (Google Analytics) : cookies de 13 mois au plus, non prolongés par vos visites ; données détaillées (par visiteur et par événement) gardées 14 mois au plus chez Google, qui n'en garde ensuite que des statistiques globales.
• Rapports d'erreur (Sentry) : 30 jours.

Qui y a accès

• Vercel (Vercel Inc., États-Unis : hébergement du site) et Railway (Railway Corporation, États-Unis : hébergement de la base de données, et de la mesure d'audience Umami, qui n'a pas d'autre destinataire) ; transferts encadrés par les clauses contractuelles types de la Commission européenne.
• Sentry (Functional Software, Inc., États-Unis : rapports d'erreur du serveur), données stockées dans l'Union européenne (Allemagne) ; accès éventuels depuis les États-Unis encadrés par les clauses contractuelles types de la Commission européenne.
• Cloudflare (diffusion du site, protection contre les robots avec Turnstile), États-Unis, transferts encadrés par le Data Privacy Framework.
• Resend (envoi des e-mails), États-Unis, transferts encadrés par le Data Privacy Framework.
• Stripe et Link (paiement, taxes, reçus et factures), Irlande et États-Unis, transferts encadrés par le Data Privacy Framework et les clauses contractuelles types de la Commission européenne.
• Google (connexion avec Google, seulement si vous choisissez ce mode), États-Unis, transferts encadrés par le Data Privacy Framework.
• Google (Google Ireland Limited et Google LLC : mesure d'audience Google Analytics, seulement si vous l'avez acceptée), Irlande et États-Unis, transferts encadrés par le Data Privacy Framework.
• PromoteKit (programme d'affiliation, seulement si vous avez accepté son cookie) : l'identifiant de parrainage et les informations d'achat nécessaires au calcul de la commission de l'affilié, États-Unis.
• X (lecture d'une vidéo publiée sur X, seulement après votre clic), États-Unis.

Nous ne vendons ni ne louons vos données.

Vos droits

Vous pouvez accéder à vos données, les rectifier, les supprimer, en limiter le traitement, vous opposer à leur traitement, en demander la portabilité et retirer votre consentement à tout moment, en écrivant à contact@palatekit.com. Chaque e-mail d'information contiendra aussi un lien de désinscription. Vous pouvez enfin adresser une réclamation à la CNIL (www.cnil.fr). Vous pouvez aussi définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).