DOUTEO traite uniquement les informations nécessaires pour analyser le contenu soumis, sécuriser le service et mesurer son fonctionnement. Le MVP ne crée pas d’historique personnel des analyses et ne revend pas les données utilisateurs.
Le responsable du traitement est Charles Gautheron, Entrepreneur individuel (EI), exerçant sous le nom commercial KLYVIA LABS, SIREN 109 970 095, SIRET 109 970 095 00013, 2 PLACE du Bourg, 69340 Francheville, France, exploitant DOUTEO. Pour toute question relative à vos données ou pour exercer vos droits, vous pouvez écrire à charlesgautheron777@gmail.com. Les informations juridiques complètes figurent dans les mentions légales.
L’analyse d’un numéro, message, lien, domaine ou capture est réalisée pour fournir le service demandé par l’utilisateur. Les traitements strictement nécessaires à cette analyse reposent sur l’exécution du service demandé au sens de l’article 6, paragraphe 1, point b du RGPD.
Les mécanismes de sécurité, de prévention des abus, de limitation de débit, de diagnostic technique et de maîtrise des coûts reposent sur l’intérêt légitime de DOUTEO à sécuriser et maintenir son service, au sens de l’article 6, paragraphe 1, point f du RGPD.
La mesure d’audience publique est désactivée tant que sa qualification juridique n’est pas validée. DOUTEO n’utilise ni publicité, ni retargeting, ni session replay. Le code impose un double verrou : Vercel Web Analytics et les événements produit ne sont chargés que si l’activation technique et le feu vert juridique sont tous les deux explicitement présents. Si un consentement devenait nécessaire, le traitement concerné ne serait activé qu’après recueil de ce consentement.
Pour un numéro, DOUTEO traite le numéro fourni et des informations techniques de numérotation. Pour une URL, il traite l’adresse complète et le domaine. Pour un message, il traite le texte fourni et peut extraire les liens qu’il contient. Pour une capture, l’image est préparée dans le navigateur puis transmise pour l’analyse visuelle.
Évitez de soumettre plus de données personnelles que nécessaire, notamment lorsqu’un message ou une capture contient des informations concernant un tiers.
Vercel fournit l’hébergement, les fonctions serveur, les journaux techniques et AI Gateway. Web Analytics est intégré mais reste désactivé pendant le pré-lancement tant que ses deux verrous d’activation ne sont pas validés. Pour les URLs, Google Web Risk peut recevoir l’URL complète à vérifier. DOUTEO peut transmettre le nom de domaine à un registre RDAP autoritatif, découvert via le registre bootstrap officiel de l’IANA, sans visiter la page cible.
Pour les numéros, DOUTEO peut utiliser Vercel AI Gateway afin d’effectuer une recherche Web publique du numéro lorsque le moteur de recherche principal n’est pas configuré ou disponible. Cette recherche est bornée à une utilisation par analyse. Une occurrence trouvée ne suffit jamais, à elle seule, à attribuer le numéro à une personne ou une organisation.
Pour les messages et captures, le contenu nécessaire peut également être transmis via Vercel AI Gateway. En production, DOUTEO impose l’interdiction d’utiliser les prompts pour l’entraînement et le mode Zero Data Retention à chaque requête. Le fallback IA direct est désactivé afin de ne pas contourner cette politique.
PhishTank reste désactivé par défaut et ne reçoit aucune donnée tant qu’il n’est pas explicitement activé. L’enrichissement téléphonique externe, lorsqu’il est activé, transmet uniquement le numéro nécessaire au fournisseur concerné. La liste des prestataires effectivement actifs est maintenue à partir de la configuration de production.
DOUTEO utilise également un projet Supabase dédié pour préparer la délivrance des droits premium. Ce stockage ne reçoit pas le numéro, le message, l’URL, la capture ni le résultat détaillé : uniquement des identifiants opaques, le type d’analyse, l’état du droit, des horodatages et une empreinte SHA-256 salée. En production, Vercel s’authentifie auprès de l’Edge Function Supabase avec son identité OIDC ; aucune clé d’administration Supabase n’est exposée au navigateur.
Certains prestataires techniques peuvent traiter des données hors de l’Espace économique européen. DOUTEO utilise Vercel sur un plan Pro : le Data Processing Addendum de Vercel s’applique aux clients Pro et prévoit notamment les Clauses Contractuelles Types 2021 pour les transferts concernés. Les requêtes IA de production utilisent en plus le mode Zero Data Retention du Gateway.
Pour les autres prestataires activés, DOUTEO limite les données transmises au strict nécessaire et documente les garanties applicables dans sa revue de sous-traitance.
Le serveur DOUTEO ne visite pas directement la page fournie par l’utilisateur. Il analyse l’adresse et interroge, si nécessaire, Google Web Risk et des services RDAP pour obtenir des données de réputation ou d’enregistrement. Les services de réputation peuvent produire des faux positifs comme des faux négatifs et leurs réponses ne constituent pas une preuve à elles seules.
Le MVP ne conserve pas dans une base applicative le numéro, le message, l’URL, la capture ou le résultat détaillé après l’analyse. La clé locale de limitation de débit est éphémère et sa fenêtre est d’une minute. Lorsqu’un résultat Google Web Risk est positif, DOUTEO ne conserve en mémoire qu’une clé SHA-256 de l’URL jusqu’à l’expiration communiquée par Google ; les réponses négatives ne sont pas insérées dans ce cache positif. Le stockage premium Supabase, lorsqu’un droit est créé, ne contient pas le contenu analysé mais seulement les données techniques minimales nécessaires à son état et à sa consommation unique.
Les Runtime Logs Vercel du plan Pro ont une fenêtre de consultation d’un jour. Les logs applicatifs DOUTEO sont conçus pour ne pas contenir le numéro, le texte, l’URL ou la capture soumis. Si Web Analytics est activé ultérieurement, le plan Pro offre une fenêtre de reporting de douze mois ; Vercel indique que certaines données Analytics peuvent être conservées au-delà de cette fenêtre de reporting. Speed Insights n’est pas chargé pendant le pré-lancement.
La mesure d’audience publique est actuellement coupée par défaut. Si Vercel Web Analytics est activé ultérieurement après validation, il fonctionne sans cookies et les événements métier DOUTEO resteront limités à des catégories fermées, sans numéro, message, URL, capture ni champ libre.
Selon le traitement concerné et sa base juridique, vous pouvez exercer vos droits d’accès, de rectification, d’effacement, de limitation et d’opposition, ainsi que le droit à la portabilité lorsqu’il s’applique. Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).
Pour exercer vos droits auprès de DOUTEO : charlesgautheron777@gmail.com.
DOUTEO fournit des indicateurs et recommandations de prudence. Le résultat n’est pas une décision produisant à lui seul des effets juridiques ou des effets similaires significatifs à l’égard de l’utilisateur.
Cette politique sera mise à jour si DOUTEO ajoute un compte utilisateur, un historique, un nouveau prestataire, une nouvelle finalité, de la publicité ou un mécanisme de signalement communautaire. Si une analyse payante est activée, son contenu en attente restera temporairement stocké sur l’appareil de l’utilisateur, avec une expiration courte, plutôt que d’être copié dans les métadonnées du paiement. Les nouvelles fonctionnalités ne devront pas contourner les principes de minimisation et de protection par défaut décrits ici.