Politique de Confidentialité

Dernière mise à jour : 12 mai 2026 Date d'entrée en vigueur : 12 mai 2026

Préambule

La présente Politique de Confidentialité (la « Politique ») décrit la manière dont la société KBEEN, SAS au capital de 10 200 €, immatriculée au Registre du Commerce et des Sociétés de Rennes sous le numéro 103 263 745, dont le siège social est situé au 2 rue Claude Chappe, 35510 Cesson-Sévigné, France (ci-après « KBEEN », « nous », « notre ») collecte, utilise, partage et protège vos données à caractère personnel lorsque vous utilisez l'application mobile, le site web et les services associés « K Work » (ci-après l'« Application » ou les « Services »).

KBEEN agit en qualité de responsable du traitement au sens du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« RGPD ») et de la loi française n° 78-17 du 6 janvier 1978 dite « Informatique et Libertés » modifiée.

En utilisant l'Application, vous acceptez les pratiques décrites dans la présente Politique. Si vous n'acceptez pas ces pratiques, vous devez vous abstenir d'utiliser l'Application.

La présente Politique complète, sans s'y substituer, les Conditions Générales d'Utilisation (« CGU ») et les Conditions Générales de Vente (« CGV ») de K Work, accessibles à tout moment sur l'Application.

1. Données que nous collectons

KBEEN collecte différentes catégories de données à caractère personnel selon la nature de votre utilisation de l'Application. Ces données sont strictement limitées à ce qui est nécessaire au regard des finalités poursuivies, conformément au principe de minimisation prévu à l'article 5.1.c du RGPD.

1.1. Données que vous nous fournissez directement

Lors de la création de votre compte :

• Nom, prénom, adresse email professionnelle ou personnelle, mot de passe (haché par algorithme scrypt avec un coût computationnel élevé), numéro de téléphone (facultatif), date de naissance (uniquement si nécessaire au regard des conditions d'âge minimum), photographie de profil (facultative).

Lors de l'enrichissement de votre profil :

• Intitulé de poste, organisation professionnelle, secteur d'activité, langues parlées, biographie, centres d'intérêt professionnels, lien vers votre profil LinkedIn, préférences de visibilité, paramètres de notification.

Photographie de profil et modération automatique :

• Vous pouvez télécharger une photographie de profil à tout moment depuis votre compte. Cette photographie est facultative.
• Toute photographie déposée sur l'Application (photo de profil, photo dans une publication de communauté, photo jointe à un message privé) fait l'objet d'une modération automatique préalable réalisée par notre sous-traitant Sightengine SAS (société française), spécialisé dans la modération de contenu visuel assistée par intelligence artificielle. La photographie est analysée par des modèles d'apprentissage automatique afin de détecter et bloquer automatiquement les contenus manifestement inappropriés ou illicites : nudité, contenus sexuels, violence graphique, contenus haineux ou symboles extrémistes, drogues, armes, et plus généralement tout contenu contraire à nos Conditions Générales d'Utilisation.
• L'analyse Sightengine se fait dans l'Union européenne (serveurs français). Aucune photographie n'est conservée par Sightengine après analyse : seul le résultat (approuvé / rejeté / score de risque) nous est retourné.
• En cas de rejet automatique, vous êtes invité à téléverser une nouvelle photographie. Vous pouvez faire appel d'une décision de modération en nous contactant à moderation@kbeen.fr, étant rappelé qu'une revue humaine peut être réalisée si nécessaire.
• Les photographies dépoosées ne sont jamais utilisées à des fins autres que celles strictement prévues à la présente Politique : affichage dans votre profil, dans une publication ou dans un message. Elles ne sont jamais utilisées à des fins de reconnaissance faciale, d'entraînement de modèles d'intelligence artificielle, de publicité comportementale ou de profilage commercial.
• Conformément aux dispositions du RGPD applicables aux traitements automatisés, vous disposez du droit de contester toute décision de modération entièrement automatisée prise à votre encontre conformément à l'article 22 du RGPD.

Lors de l'utilisation des fonctionnalités de réservation et de communauté :

• Espaces réservés et historique des réservations, évaluations et avis laissés sur les espaces, messages échangés avec d'autres utilisateurs via la messagerie privée intégrée, participation à des événements communautaires, demandes de mise en relation networking.

Lors d'un paiement :

• Méthode de paiement sélectionnée (carte bancaire, Apple Pay, Google Pay, SEPA, virement). KBEEN ne collecte, ne stocke ni ne traite directement les données bancaires de ses utilisateurs. Ces données sont collectées et traitées exclusivement par notre prestataire de services de paiement Stripe, Inc., société certifiée PCI-DSS Niveau 1, conformément à sa propre politique de confidentialité accessible à https://stripe.com/privacy. KBEEN reçoit uniquement un identifiant tokenisé du moyen de paiement et l'historique des transactions (montant, date, statut), sans aucune information de carte bancaire en clair.

1.2. Données collectées via la connexion par un fournisseur d'identité tiers

Si vous choisissez de vous inscrire ou de vous connecter via Apple Sign In, Google Sign-In, LinkedIn ou Microsoft Entra ID, nous recevons de ces fournisseurs un identifiant unique, votre adresse email, votre nom complet et, le cas échéant, votre photographie de profil. Vous pouvez révoquer à tout moment l'autorisation d'accès depuis les paramètres du fournisseur concerné.

KBEEN respecte la politique d'Apple « Limited Use » et la politique Google « Limited Use » applicables aux scopes utilisés (notamment lecture du calendrier). Les données obtenues via ces APIs ne sont jamais utilisées à des fins publicitaires, ne sont jamais revendues à des tiers et ne sont conservées que le temps strictement nécessaire à la fourniture de la fonctionnalité demandée par vous.

1.3. Données collectées automatiquement

Données techniques et de connexion :

• Adresse IP, type et version du navigateur ou du système d'exploitation mobile, identifiant unique d'appareil non publicitaire (généré par l'Application aux seules fins d'authentification basée sur le risque), langue préférée, fuseau horaire.

Données d'usage :

• Pages consultées, fonctionnalités utilisées, durée des sessions, type d'actions effectuées (réservations, paiements, messages), horodatages des connexions, rapports de plantage anonymisés.

Données de géolocalisation :

• Avec votre consentement explicite et seulement le temps nécessaire au service rendu, nous collectons votre position approximative pour vous afficher les espaces de travail à proximité, et votre position précise lorsque vous avez activé la fonctionnalité de check-in automatique à l'arrivée. Cette géolocalisation en arrière-plan est activée uniquement dans une fenêtre temporelle restreinte autour de l'horaire de vos réservations confirmées (15 minutes avant et après) et est désactivée le reste du temps. Vous pouvez désactiver cette fonctionnalité à tout moment depuis les paramètres de votre système d'exploitation.

Données issues du dispositif K Sense (Internet of Things) :

• Les espaces équipés du boîtier K Sense mesurent en continu des paramètres ambiants (concentration de dioxyde de carbone, température, hygrométrie, niveau sonore d'ambiance, détection de présence par capteur PIR). Ces données sont rattachées à l'espace physique, non à votre identité personnelle. Lorsque vous occupez un espace et que vous avez consenti à la corrélation, votre score de bien-être personnel peut être calculé à partir de ces données puis anonymisé sous 24 heures conformément à la recommandation de la Commission Nationale de l'Informatique et des Libertés (CNIL).

1.4. Données ne provenant pas directement de vous

Dans certains cas limitativement énumérés, nous pouvons recevoir des données vous concernant en provenance de tiers :

• Lorsqu'un administrateur B2B (employeur ou organisation cliente) vous inscrit sur la plateforme, il nous transmet votre nom, votre prénom et votre adresse email professionnelle aux fins de provisionnement de votre accès.
• Lorsqu'un partenaire coworking confirme une réservation, il nous transmet les informations de présence et d'évaluation associées.
• Les agrégats Stripe relatifs à votre historique de paiements (montants, devises, statuts), à l'exclusion expresse des données bancaires.

2. Finalités du traitement et bases juridiques

Chacun des traitements opérés par KBEEN repose sur une base juridique précise, conformément à l'article 6 du RGPD. Le tableau ci-après détaille la finalité, la base juridique et la durée de conservation associée.

Vous disposez d'un droit de retrait de votre consentement à tout moment lorsque le traitement est fondé sur celui-ci. Le retrait du consentement ne compromet pas la licéité du traitement effectué avant ce retrait.

3. Partage de vos données avec des tiers

KBEEN ne vend, ne loue, ni ne cède vos données à caractère personnel à des tiers à des fins publicitaires ou commerciales. Vos données peuvent toutefois être partagées dans les cas limitativement énumérés ci-après.

3.1. Partenaires coworking et exploitants d'espaces

Lorsque vous réservez un espace exploité par un partenaire coworking ou par un autre exploitant tiers référencé sur l'Application, certaines informations strictement nécessaires à la fourniture du service sont transmises au partenaire concerné : votre nom, prénom, horaire de réservation, montant et statut du paiement. Le partenaire devient alors responsable conjoint du traitement pour les opérations spécifiques liées à l'accueil sur place et à la facturation du service physique.

3.2. Sous-traitants techniques et prestataires de services

KBEEN fait appel à un nombre limité de prestataires qui agissent en qualité de sous-traitants au sens de l'article 28 du RGPD, sur instruction écrite de KBEEN et en exécution d'un contrat de sous-traitance comportant des garanties contractuelles strictes en matière de protection des données. La liste exhaustive des sous-traitants est la suivante :

Les transferts vers les États-Unis sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne, complétées le cas échéant par des mesures supplémentaires conformément à l'arrêt Schrems II (CJUE, 16 juillet 2020, C-311/18).

3.3. Autorités administratives et judiciaires

KBEEN peut être amenée à communiquer vos données aux autorités administratives ou judiciaires françaises lorsqu'une demande est formulée dans les conditions prévues par la loi (réquisition judiciaire, décision de justice, demande administrative motivée). Dans ces hypothèses, KBEEN s'engage à examiner la régularité formelle de la demande et à vous en informer, dans la mesure permise par la loi.

3.4. Dans le cadre d'une opération de cession, fusion ou restructuration

En cas de cession, fusion, scission ou restructuration affectant KBEEN, vos données pourront être transférées au cessionnaire ou au successeur, sous réserve que celui-ci s'engage à les traiter conformément à la présente Politique et à la législation applicable. Vous en serez préalablement informé.

4. Vos droits sur vos données personnelles

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données à caractère personnel :

Droit d'accès : vous pouvez obtenir confirmation que des données vous concernant sont traitées et, le cas échéant, obtenir communication d'une copie de ces données.

Droit de rectification : vous pouvez obtenir la rectification des données inexactes ou incomplètes vous concernant. Vous pouvez exercer ce droit directement depuis votre profil pour la plupart des champs (nom, prénom, photographie, intitulé de poste, préférences de notification, paramètres de visibilité).

Droit à l'effacement (« droit à l'oubli ») : vous pouvez obtenir l'effacement des données vous concernant dans les conditions prévues par l'article 17 du RGPD. La fonctionnalité de suppression de compte est accessible depuis les paramètres de votre profil. L'effacement intervient sous trente (30) jours suivant la demande, sous réserve des données dont la conservation s'impose à KBEEN au titre d'une obligation légale (facturation, lutte contre la fraude).

Droit à la limitation du traitement : vous pouvez obtenir la limitation du traitement dans les cas prévus à l'article 18 du RGPD.

Droit à la portabilité : vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, ou les faire transmettre à un autre responsable du traitement. Une export JSON peut être obtenue sur simple demande à privacy@kbeen.fr.

Droit d'opposition : vous pouvez vous opposer, à tout moment et pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime de KBEEN. Vous pouvez également vous opposer sans condition aux traitements à des fins de prospection commerciale.

Droit de définir des directives post-mortem : vous pouvez définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.

Droit d'introduire une réclamation : vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, accessible sur https://www.cnil.fr/fr/plaintes. KBEEN vous invite toutefois à la contacter préalablement afin de tenter une résolution amiable de tout différend.

4.1. Modalités d'exercice de vos droits

Toute demande d'exercice de vos droits peut être adressée :

• Par email à l'adresse privacy@kbeen.fr ;
• Par courrier postal à l'adresse : KBEEN SAS, Délégué à la protection des données, 2 rue Claude Chappe, 35510 Cesson-Sévigné, France ;
• Depuis l'Application via le centre de support accessible depuis vos paramètres de profil.

KBEEN s'engage à répondre à votre demande dans un délai d'un (1) mois à compter de sa réception, ce délai pouvant être prolongé de deux (2) mois supplémentaires en raison de la complexité ou du nombre de demandes, conformément à l'article 12.3 du RGPD. Vous serez informé de cette prolongation dans le délai initial d'un mois.

Afin de protéger la confidentialité de vos données contre toute usurpation, KBEEN pourra vous demander de justifier de votre identité avant de donner suite à votre demande.

5. Durée de conservation des données

Les durées de conservation appliquées par KBEEN sont strictement proportionnées aux finalités poursuivies, conformément à l'article 5.1.e du RGPD. À l'issue de la durée de conservation, les données sont soit définitivement supprimées, soit anonymisées de manière irréversible, soit archivées dans un environnement à accès strictement restreint lorsqu'une obligation légale impose leur conservation prolongée.

Les durées principales sont récapitulées au tableau de la section 2 ci-dessus. Sans préjudice de ces durées :

• Les données comptables, fiscales et de facturation sont conservées dix (10) ans conformément à l'article L123-22 du Code de commerce ;
• Les logs de connexion et de sécurité sont conservés treize (13) mois conformément à la délibération CNIL n° 2021-122 et au cadre légal applicable à la lutte contre la fraude ;
• Les données de bien-être (CO2, température, humidité) provenant des dispositifs K Sense sont anonymisées sous vingt-quatre (24) heures lorsqu'elles sont susceptibles d'être corrélées à une identité ;
• Les rapports d'erreur transmis à Sentry sont conservés quatre-vingt-dix (90) jours, après quoi ils sont automatiquement purgés.

6. Sécurité de vos données

KBEEN met en œuvre des mesures techniques et organisationnelles appropriées à la nature des données traitées et aux risques que présente leur traitement, conformément à l'article 32 du RGPD. Ces mesures comprennent notamment :

Sécurité en transit : toutes les communications entre l'Application, les serveurs de KBEEN et nos sous-traitants sont chiffrées par TLS 1.3.

Sécurité au repos : la base de données PostgreSQL est chiffrée au repos par AES-256. Les jetons d'API tiers et les coordonnées bancaires partenaires (IBAN, BIC) sont chiffrés en base par chiffrement authentifié AES-GCM avec dérivation de clé HKDF-SHA-256.

Authentification : les mots de passe sont hachés au moyen de l'algorithme scrypt avec un coût computationnel élevé conforme aux recommandations OWASP 2024 (paramètre cost égal à 131 072 minimum). Une authentification à deux facteurs (2FA) par code à six chiffres envoyé par email est automatiquement déclenchée pour toute connexion depuis un nouvel appareil. L'authentification administrative requiert un troisième facteur (single sign-on Microsoft Entra ID).

Pare-feu et limitations de débit : tous les endpoints de l'API sont protégés par une limitation de débit configurée par endpoint et par utilisateur, complétée par une protection au niveau de l'infrastructure de notre hébergeur.

Politiques de sécurité du contenu et en-têtes HTTP : Content-Security-Policy stricte, HTTP Strict Transport Security, X-Frame-Options DENY, Referrer-Policy strict-origin-when-cross-origin.

Sécurité applicative mobile : stockage chiffré local via la bibliothèque Multimedia Key-Value (MMKV) avec clé maître stockée dans le trousseau iOS (Keychain) ou le keystore Android. Épinglage de certificat (SSL pinning) configuré sur les communications avec api.kbeen.fr en production.

Tests de sécurité : audits de sécurité réguliers, monitoring d'erreurs en temps réel via Sentry avec alertes automatisées, revue de code obligatoire pour toute modification du code applicatif touchant à l'authentification, aux paiements ou aux données personnelles.

Nonobstant les mesures mises en œuvre, aucune transmission de données sur Internet n'est totalement sécurisée. En cas de violation de données présentant un risque pour vos droits et libertés, KBEEN s'engage à vous en informer dans les soixante-douze (72) heures conformément à l'article 34 du RGPD.

7. Transferts hors Union européenne

KBEEN privilégie l'hébergement de vos données sur le territoire de l'Union européenne. Les principaux traitements et serveurs sont localisés en Allemagne (Francfort) et en France (Paris).

Les seuls transferts hors UE concernent les services de notification push fournis par Apple Inc. (États-Unis) et Google LLC (États-Unis) via Expo, Inc. Ces transferts portent uniquement sur le minimum technique nécessaire au routage des notifications (jeton d'appareil opaque, identifiant d'application, contenu de la notification limité au titre et au corps du message lorsque ceux-ci ne contiennent aucune information confidentielle).

Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (Décision (UE) 2021/914 du 4 juin 2021), complétées par les mesures supplémentaires recommandées par le Comité européen de la protection des données suite à l'arrêt Schrems II.

Vous pouvez désactiver à tout moment les notifications push depuis les paramètres de votre système d'exploitation pour interrompre ces transferts.

8. Cookies et technologies similaires

Le site web kbeen.fr et l'interface web de l'Application n'utilisent que les cookies strictement nécessaires au fonctionnement du service, conformément à la délibération CNIL n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi Informatique et Libertés aux opérations de lecture et écriture dans le terminal d'un utilisateur.

Les cookies utilisés sont les suivants :

• __Host-kbeen_token : cookie d'authentification, durée de vie 30 jours, http-only, secure, SameSite=Lax, indispensable à votre connexion ;
• __Host-kbeen_csrf : jeton anti-falsification de requêtes (CSRF), durée de vie 30 jours, indispensable à la sécurité des actions effectuées depuis le navigateur ;
• kbeen_device_id : identifiant d'appareil pour l'authentification basée sur le risque, durée de vie deux (2) ans, strictement nécessaire à la lutte contre la fraude ;
• kbeen_locale : mémorisation de votre langue préférée, durée de vie un (1) an, fonctionnel.

Aucun cookie publicitaire, analytique ou de mesure d'audience tiers n'est déposé. Aucune autorisation préalable n'est donc requise pour le dépôt de ces cookies strictement nécessaires.

9. Mineurs

L'Application K Work est destinée à un usage professionnel. Elle n'est pas conçue pour les personnes de moins de seize (16) ans. KBEEN ne collecte pas sciemment de données à caractère personnel concernant des personnes de moins de seize ans. Si vous êtes parent ou tuteur légal et constatez que votre enfant nous a transmis des données à caractère personnel sans votre consentement, vous êtes invité à nous contacter à privacy@kbeen.fr pour obtenir leur suppression immédiate.

10. Données de bien-être et capteurs K Sense

Les espaces équipés du dispositif K Sense propriété de KBEEN mesurent en continu plusieurs paramètres ambiants (concentration de dioxyde de carbone, température, hygrométrie, niveau sonore d'ambiance, détection de présence par capteur infrarouge). Ces mesures sont rattachées à l'identifiant technique de l'espace, et non à votre identité personnelle.

Lorsque vous occupez un espace équipé et que vous avez activé le score de bien-être personnel dans vos paramètres, KBEEN établit une corrélation temporaire entre votre identité et les paramètres ambiants pendant la durée de votre occupation. Cette corrélation est anonymisée sous vingt-quatre (24) heures conformément à la recommandation de la CNIL sur les capteurs d'ambiance en milieu professionnel.

Les données K Sense ne sont jamais utilisées pour identifier des comportements individuels, pour effectuer du contrôle de présence des salariés au profit d'un employeur sans son obligation d'information préalable, ou pour toute finalité non prévue à la présente Politique. Le règlement intérieur de l'employeur ou exploitant doit, le cas échéant, informer expressément les utilisateurs de la présence de capteurs K Sense.

11. Délégué à la protection des données

KBEEN a désigné un Délégué à la protection des données (DPO) joignable :

• Par email : privacy@kbeen.fr
• Par courrier postal : KBEEN SAS, à l'attention du Délégué à la protection des données, 2 rue Claude Chappe, 35510 Cesson-Sévigné, France.

12. Modifications de la Politique

KBEEN se réserve le droit de modifier la présente Politique à tout moment afin de tenir compte des évolutions techniques, légales ou organisationnelles. Toute modification substantielle vous sera notifiée par email à l'adresse associée à votre compte au moins trente (30) jours avant son entrée en vigueur. La version applicable est celle datée et accessible sur l'Application au moment de votre utilisation.

13. Contact

Pour toute question relative à la présente Politique de Confidentialité, à l'exercice de vos droits ou à la protection de vos données à caractère personnel, vous pouvez contacter :

KBEEN SAS À l'attention du Délégué à la protection des données 2 rue Claude Chappe 35510 Cesson-Sévigné France

Email : privacy@kbeen.fr Site : https://kbeen.fr

KBEEN s'engage à examiner toute demande dans un délai raisonnable et, en tout état de cause, dans les délais imposés par le RGPD.

Version 1.0, 12 mai 2026