Politique de confidentialité
Comment Duckk, Inc. collecte, utilise, partage et protège vos données sur duckk chat, la passerelle API et ce site web — d'abord en langage clair, ensuite en détail juridique.
At a glance
Duckk, Inc. (« Duckk », exploitant duckk.org) propose un assistant IA grand public et une passerelle API LLM pour développeurs, conçus pour l'Afrique. Nous ne collectons que ce qui est nécessaire au fonctionnement de votre compte, de vos conversations, de la facturation et de la sécurité. Nous ne vendons jamais vos données personnelles, nous n'utilisons pas vos contenus pour entraîner des modèles, et chaque tiers qui traite des données pour nous est listé ci-dessous.
Sommaire 13 sections
1. Responsable de traitement et champ d'application
In short: Duckk, Inc. (privacy@duckk.org) est le responsable de traitement de vos données de compte et d'usage. Pour les données que vous envoyez via l'API pour le compte de vos propres utilisateurs finaux, vous êtes le responsable de traitement.
La présente politique couvre duckk.org, l'assistant duckk chat (web et applications éventuelles), l'accès invité, la passerelle API api.duckk.org/v1 ainsi que les e-mails et l'assistance associés. Le responsable de traitement est Duckk, Inc. — contactez-nous à privacy@duckk.org.
Note développeur : si vous transmettez les données de vos propres utilisateurs finaux via l'API, vous en êtes le responsable de traitement et Duckk agit comme votre sous-traitant. Vous devez fournir à ces utilisateurs une politique de confidentialité couvrant le traitement par Duckk et par le fournisseur de modèle amont sélectionné.
La présente politique ne couvre pas les produits grand public des fournisseurs amont (par exemple les applications ChatGPT ou Claude), qui relèvent de leurs propres politiques de confidentialité.
2. Données collectées
In short: Profil de compte, conversations et fichiers, usage et facturation, attribution et données techniques — rien de plus.
| Catégorie | Exemples | Source |
|---|---|---|
| Compte et profil | Nom, e-mail, avatar, méthode de connexion (mot de passe, code à usage unique, Google/Facebook/Microsoft), statut MFA | Vous, via Clerk |
| Conversations | Messages, invites, réponses de l'IA, évaluations, étapes du mode agent, métadonnées des pièces jointes | Votre utilisation de duckk |
| Fichiers | Fichiers originaux dans Backblaze B2 ; texte extrait et segments dans MongoDB pour la recherche plein texte | Vos téléversements |
| Usage et quotas | Nombres de jetons, coût estimé, consommation des quotas de messages, pièces jointes et stockage | Automatique |
| Facturation | Offre, historique de paiement, références de transaction de PayPal/Flutterwave/M-Pesa/MTN MoMo/Orange Money | Vous + prestataires de paiement |
| Attribution et parrainage | UTM/gclid/fbclid, provenance, code de parrainage, identifiant de session (clé localStorage duckk.attribution.v1) | Votre navigateur |
| Analytique (optionnel) | Événements Firebase Analytics (GA4) ; l'identifiant utilisateur est haché en SHA-256 avant envoi | Votre appareil, si activé |
| Contexte technique | Fuseau horaire, langue, pays/ville approximatifs fournis par notre CDN, type d'appareil et de navigateur | Automatique |
| Sécurité | Résultat de vérification Turnstile, journaux de limitation de débit et d'audit, hachage SHA-256 salé de l'IP en mode invité | Automatique |
Note: Nous ne collectons ni pièces d'identité officielles, ni géolocalisation précise, ni données sensibles. En mode invité, nous ne stockons qu'un hachage SHA-256 salé de votre adresse IP — jamais l'IP brute.
3. Comment nous les collectons
In short: Directement auprès de vous, automatiquement via votre navigateur et notre infrastructure, et auprès de prestataires comme Clerk et les prestataires de paiement.
Directement auprès de vous : inscription, conversations, téléversements, paiement, évaluations et e-mails d'assistance.
Automatiquement : journaux serveur et CDN, mesure des quotas, instantané d'attribution de première visite stocké dans le localStorage de votre navigateur (duckk.attribution.v1 — paramètres UTM, gclid, fbclid, code de parrainage, page d'entrée) et, en option, Firebase Analytics.
Auprès de nos prestataires : Clerk synchronise votre profil lors de la connexion ; les prestataires de paiement confirment les transactions ; Cloudflare Turnstile renvoie un résultat de vérification humaine.
Note: La saisie vocale et la lecture à voix haute fonctionnent dans votre navigateur via la Web Speech API — votre audio n'est pas téléversé vers les serveurs de duckk.
4. Finalités et bases légales
In short: Chaque finalité correspond à une base légale du RGPD : contrat, intérêt légitime, consentement ou obligation légale.
Nous n'utilisons ni vos conversations, ni vos invites, ni vos fichiers pour entraîner un modèle — voir la section 5.
| Finalité | Données utilisées | Base légale |
|---|---|---|
| Fournir l'assistant et l'API | Compte, conversations, fichiers, usage | Contrat |
| Facturation et application des quotas | Offre, historique de paiement, compteurs d'usage | Contrat + obligation légale |
| Sécurité et prévention des abus | Journaux, résultat Turnstile, limites de débit, hachage d'IP | Intérêt légitime |
| Amélioration du produit | Usage agrégé, évaluations | Intérêt légitime |
| Attribution et récompenses de parrainage | Données UTM/parrainage, identifiant de session | Intérêt légitime |
| Analytique | Événements analytiques hachés | Consentement (option activable) |
| E-mails de service | E-mail, langue | Contrat |
| Conformité fiscale et légale | Données de facturation, journaux d'audit | Obligation légale |
5. Traitement par l'IA et fournisseurs de modèles
In short: Vos messages passent par notre passerelle vers le modèle choisi. Personne n'entraîne de modèle sur vos données. Recherche, analyse de documents et bac à sable ne reçoivent que le strict nécessaire.
Lorsque vous conversez, votre message et le contexte de la conversation sont acheminés par notre passerelle auto-hébergée vers le fournisseur amont du modèle sélectionné (OpenAI, Anthropic, Google, Meta, Mistral, DeepSeek, Moonshot/Kimi et d'autres du catalogue). Le fournisseur traite ce contenu pour générer une réponse.
Aucun entraînement sur vos données : nous n'utilisons pas vos contenus pour entraîner de modèle, et les fournisseurs amont reçoivent l'instruction — par contrat ou par configuration de l'API — de ne pas entraîner sur le trafic acheminé par duckk.
Fonctions faisant appel à des services spécialisés : l'analyse de fichiers transmet votre document à MinerU pour l'extraction de texte ; la recherche web transmet votre requête à Brave ou Exa ; l'exécution de code s'effectue dans un bac à sable E2B isolé ; la génération d'images et de présentations est transmise au modèle d'image concerné. Chacun ne reçoit que les données nécessaires à sa tâche.
Les fonctions vocales utilisent la Web Speech API de votre navigateur ; l'audio n'est pas envoyé à duckk.
8. Transferts internationaux
In short: Conçu pour l'Afrique et servi depuis des points de présence africains, mais l'inférence des modèles et certains sous-traitants sont aux États-Unis ou dans l'UE — encadrés par des clauses contractuelles types.
duckk est conçu pour l'Afrique et servi via des points de présence africains, mais certains traitements ont lieu à l'étranger : l'inférence des modèles s'effectue généralement dans la région américaine ou européenne du fournisseur, et plusieurs sous-traitants listés ci-dessus sont établis aux États-Unis.
Lorsque le RGPD, la POPIA, la NDPA ou la loi kényane sur la protection des données s'applique, les transferts internationaux sont encadrés par des clauses contractuelles types (CCT) ou des mécanismes équivalents conclus avec nos sous-traitants. Vous pouvez demander une copie des garanties applicables à privacy@duckk.org.
9. Durée de conservation
In short: Vous contrôlez vos conversations ; leur suppression devient définitive après 30 jours. Les données de facturation sont conservées conformément à la loi.
Lorsque vous demandez la suppression de votre compte, nous supprimons vos données de compte — conversations, fichiers et profil — et ne conservons que les données de facturation et de conformité exigées par la loi.
| Données | Durée de conservation |
|---|---|
| Conversations et fichiers | Jusqu'à suppression par vos soins ; puis conservation en suppression logique pendant 30 jours avant suppression définitive (y compris les fichiers dans Backblaze B2) |
| Profil de compte | Jusqu'à la suppression de votre compte ; les données du compte (conversations, fichiers, profil) sont alors supprimées |
| Enregistrements d'usage (jetons, coût) | 400 jours |
| Agrégats mensuels d'usage | 7 ans (conformité fiscale et financière) |
| Journaux d'audit | 2 ans |
| Journaux de requêtes échouées | 30 jours |
| Données de paiement et de facturation | Selon les obligations légales (généralement 7 ans) |
| Données du mode invité | Durée de vie courte ; seul le hachage salé de l'IP est conservé |
| Instantané d'attribution | Jusqu'à ce que vous vidiez le stockage du navigateur |
10. Comment nous protégeons les données
In short: TLS en transit, AES-256-GCM pour les champs sensibles au repos, limitation de débit, Turnstile et journaux d'audit.
Nous utilisons le chiffrement TLS en transit, le chiffrement AES-256-GCM pour les champs sensibles au repos, la limitation de débit, la protection anti-robots Cloudflare Turnstile, l'accès au moindre privilège et la journalisation d'audit des actions administratives.
Aucune méthode de transmission ou de stockage n'est sûre à 100 %. En cas de violation de données susceptible d'affecter vos droits, nous vous informerons ainsi que l'autorité compétente conformément à la loi. Signalez toute vulnérabilité à privacy@duckk.org — nous accusons réception sous 48 heures.
11. Vos droits
In short: Accédez, corrigez, exportez ou supprimez vos données — en grande partie directement dans le produit. Écrivez à privacy@duckk.org, réponse sous 30 jours.
En vertu de lois telles que le RGPD, la POPIA sud-africaine, la NDPA nigériane et la loi kényane sur la protection des données, vous pouvez disposer d'un droit d'accès, de rectification, d'effacement, de limitation ou d'opposition au traitement de vos données personnelles, d'un droit à la portabilité, d'un droit de retrait du consentement et d'un droit de réclamation auprès de votre autorité de protection des données.
Intégré au produit : vous pouvez exporter toute conversation et supprimer des conversations ou l'intégralité de votre compte dans les paramètres. La suppression du compte efface vos données de compte (conversations, fichiers, profil) ; les données de facturation sont conservées conformément à la loi.
Pour toute autre demande, écrivez à privacy@duckk.org depuis l'e-mail de votre compte. Nous répondons sous 30 jours. Les demandes raisonnables sont gratuites ; les demandes manifestement infondées ou excessives peuvent être refusées avec explication.
12. Vie privée des enfants
In short: duckk est réservé aux utilisateurs de 16 ans et plus ; nous ne collectons pas sciemment de données d'enfants.
duckk ne s'adresse pas aux enfants. Vous devez avoir au moins 16 ans (ou l'âge du consentement numérique dans votre pays, s'il est supérieur) pour utiliser le service. Nous ne collectons pas sciemment de données personnelles d'enfants ; si vous pensez qu'un enfant nous a transmis des données, contactez privacy@duckk.org et nous les supprimerons sans délai.
13. Modifications de la présente politique
In short: Toute modification substantielle est annoncée par e-mail et par une bannière sur le site au moins 14 jours avant son entrée en vigueur.
Nous pouvons mettre à jour la présente politique à mesure que le service évolue. En cas de modification substantielle, nous informerons les titulaires de compte par e-mail et afficherons une bannière sur duckk.org au moins 14 jours avant l'entrée en vigueur de la nouvelle version. Les versions antérieures sont disponibles sur demande.
Questions ou demandes de confidentialité ?
Pour toute demande d'accès, de suppression, de DPA/CCT ou toute question de confidentialité, écrivez à notre contact vie privée. Pour les questions juridiques ou liées aux Conditions, écrivez à legal@duckk.org.
privacy@duckk.orgLa présente politique est fournie par souci de transparence et ne constitue pas un conseil juridique. La version anglaise publiée sur duckk.org/privacy fait foi ; les traductions sont fournies à titre indicatif uniquement.