Politique de confidentialité — Léyon

Service concerné : Léyon, agent d'assistance à la facturation et aux devis.

Éditeur et responsable du traitement : YARMA VIDEOS

Version : 1.2 — Entrée en vigueur : 23 juin 2026

Dernière mise à jour : 28 août 2026

Ce document est rédigé en conformité avec le Règlement (UE) 2016/679 (RGPD) et la loi
Informatique et Libertés modifiée. Il décrit quelles données nous traitons, pourquoi,
combien de temps, avec qui, et quels sont vos droits.

1. Qui sommes-nous

YARMA VIDEOS n'a pas désigné de Délégué à la Protection des Données (DPO) :

le traitement n'entre pas dans les cas qui le rendent obligatoire (art. 37 RGPD).

Toute question relative à vos données peut être adressée à hello@yarmavideos.com.

2. Deux rôles distincts selon la donnée

Le RGPD nous attribue deux casquettes selon la nature de la donnée. Cette distinction

est essentielle pour comprendre vos droits.

2.1 YARMA VIDEOS, responsable de traitement

Pour les données du client Léyon (la personne ou l'entreprise abonnée au service) :

identité, compte, abonnement, journaux techniques. Nous décidons des finalités et des

moyens. La présente politique s'applique directement.

2.2 YARMA VIDEOS, sous-traitant (art. 28 RGPD)

Pour les données des tiers du client — ses prospects et clients : noms, adresses

e-mail, contenu des messages, montants, devis et factures. Ici, **le client Léyon est le

responsable de traitement et YARMA VIDEOS agit sur ses seules instructions**, dans le

cadre d'un accord de sous-traitance (DPA) conclu à l'acceptation des conditions du

service. Nous n'utilisons jamais ces données pour nos propres finalités.

3. Données que nous traitons

3.1 Données de compte (responsable : YARMA VIDEOS)

Paiement : les numéros de carte ne transitent jamais par nos serveurs et ne sont
jamais stockés par nous. Ils sont traités directement par Stripe (prestataire
certifié PCI-DSS).

3.2 Jetons d'accès aux services connectés (responsable : YARMA VIDEOS)

Nous ne connaissons ni ne stockons aucun mot de passe Qonto ou Google. L'accès
repose sur le protocole OAuth : vous autorisez, vous pouvez révoquer à tout moment depuis
votre compte Qonto ou Google, sans passer par nous.

Périmètre Gmail demandé (principe de minimisation, art. 5.1.c) :

• Lecture (gmail.readonly) : strictement pour détecter et préparer les demandes de devis.
• Envoi (gmail.send) : uniquement pour transmettre un devis après votre confirmation explicite.

Léyon ne supprime jamais, ne modifie jamais et n'archive jamais vos e-mails.

3.2 bis Clé API Pennylane (exception temporaire)

**Pennylane ne propose pas encore, à ce jour, de partenariat OAuth ouvert aux intégrateurs
comme Léyon. En attendant, vous connectez Pennylane en collant vous-même votre clé
API** (récupérée dans votre compte Pennylane) : contrairement à Qonto et Google, cette clé
transite donc par nous. Elle est chiffrée au repos (même mécanisme que les jetons OAuth
Qonto et Gmail ci-dessus) et jamais réaffichée en clair après saisie ; elle n'est
déchiffrée qu'au moment strictement nécessaire d'un appel à l'API Pennylane. Nous ne
prétendons pas que cette clé est invisible pour l'équipe Léyon : ce ne serait pas exact,
puisque YARMA VIDEOS détient la clé de chiffrement. C'est précisément la différence avec
l'OAuth, et la raison pour laquelle cette exception est temporaire : elle sera levée dès
que le partenariat OAuth Pennylane sera accessible (seuil communiqué par Pennylane :
environ 100 clients Léyon connectés), et la connexion Pennylane rejoindra alors le tableau
ci-dessus.

3.3 Données des prospects et clients du client (sous-traitant : YARMA VIDEOS)

Traitées pour le compte du client Léyon, sur ses instructions :

4. Comment fonctionne le traitement par l'agent (transparence sur l'IA)

Pour préparer un devis, le contenu pertinent d'un e-mail et les éléments du devis sont

transmis à notre sous-traitant Anthropic (modèle Claude) qui génère le projet de texte.

Cette transmission est limitée au strict nécessaire à la tâche.

• Aucune décision produisant des effets juridiques n'est automatisée au sens de

l'art. 22 RGPD : toute écriture (création de devis, de facture, envoi au prospect)

exige une confirmation humaine explicite du client, par un bouton. Léyon propose ;

l'humain décide.

• Les données transmises au modèle ne sont pas utilisées pour entraîner des modèles

d'IA généraux (encadré par notre contrat avec le sous-traitant).

5. Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles sont partagées uniquement avec les

sous-traitants strictement nécessaires au fonctionnement du service :

Chaque sous-traitant est lié par un contrat conforme à l'art. 28 RGPD.

6. Durées de conservation

Le détail de la suppression figure dans la Politique de suppression des données.

7. Transferts hors Union européenne

Certains sous-traitants (Anthropic, Stripe, Telegram, Google) peuvent traiter des données

hors de l'UE. Ces transferts sont encadrés par les Clauses Contractuelles Types de la

Commission européenne (art. 46 RGPD) et, le cas échéant, le Data Privacy Framework UE

États-Unis. Nous minimisons en amont la quantité de données transmises.

8. Sécurité

Mesures techniques et organisationnelles (art. 32 RGPD) :

• Chiffrement au repos des jetons OAuth et des secrets sensibles en base.
• Chiffrement en transit (TLS) sur toutes les communications.
• Cloisonnement des données par client.
• Accès restreint : seules les personnes habilitées de YARMA VIDEOS accèdent aux

systèmes, par authentification forte.

• Journalisation des accès et des actions sensibles.
• Sauvegardes régulières et chiffrées.

En cas de faille, voir la Politique de gestion des incidents.

9. Vos droits

Conformément aux art. 15 à 22 RGPD, vous disposez des droits suivants :

• Accès : savoir quelles données nous détenons sur vous.
• Rectification : corriger une donnée inexacte.
• Effacement (« droit à l'oubli »).
• Limitation du traitement.
• Portabilité : récupérer vos données dans un format réutilisable.
• Opposition au traitement fondé sur l'intérêt légitime.
• Retrait du consentement à tout moment (révocation OAuth Qonto/Gmail directement chez

le fournisseur).

Pour exercer un droit : écrivez à hello@yarmavideos.com. Nous répondons sous

1 mois maximum (art. 12.3 RGPD). Une pièce d'identité peut être demandée en cas de doute

raisonnable sur votre identité.

Données de vos propres prospects/clients : comme nous agissons en sous-traitant, une
demande émanant d'un de vos prospects vous sera réorientée, vous qui en êtes le
responsable de traitement. Nous vous assistons pour y répondre.

Réclamation : vous pouvez saisir la CNIL (www.cnil.fr) si vous estimez que vos

droits ne sont pas respectés.

10. Modifications

Cette politique peut évoluer. Toute modification substantielle vous sera notifiée

(e-mail ou notification dans le service) avant son entrée en vigueur. La date de dernière

mise à jour figure en tête de document.