Politique de confidentialité

1. Introduction

Aiah (« nous », « notre » ou « nos ») s’engage à protéger votre vie privée. La présente Politique de confidentialité explique comment nous collectons, utilisons, communiquons et protégeons vos informations lorsque vous utilisez notre application mobile et notre service web accessible sur aiah.app (ensemble, le « Service »).

La présente politique est conforme au Règlement général sur la protection des données (RGPD — règlement (UE) 2016/679) et à la législation française applicable en matière de protection des données (loi Informatique et Libertés).

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

3. Bases légales du traitement (article 6 du RGPD)

Nous traitons vos données personnelles sur les bases légales suivantes :

• Exécution du contrat (art. 6(1)(b)) : traitements nécessaires à la fourniture du Service auquel vous avez souscrit (création de compte, conversation avec le compagnon IA, planification hebdomadaire).
• Consentement (art. 6(1)(a)) : pour les fonctionnalités facultatives telles que les notifications push, le suivi de l’humeur et la collecte de données de bien-être. Vous pouvez retirer votre consentement à tout moment.
• Intérêt légitime (art. 6(1)(f)) : pour la sécurité du Service, la prévention de la fraude et des statistiques anonymes destinées à améliorer le produit.
• Obligation légale (art. 6(1)(c)) : lorsque la loi applicable l’exige (par exemple, la conservation des pièces comptables relatives aux paiements d’abonnement).

4. Données que nous collectons

Nous collectons les informations que vous nous fournissez directement :

• Données de compte : nom, adresse e-mail et données d’authentification lorsque vous vous connectez via Google OAuth ou par lien magique.
• Données de profil : préférences, objectifs et paramètres de votre système de vie que vous saisissez dans l’application.
• Données de conversation : messages que vous envoyez au compagnon IA, traités afin de générer des réponses.
• Données d’humeur et de bien-être : saisies d’humeur, utilisation des exercices de respiration et éléments saisis pour la planification hebdomadaire.
• Informations de paiement : le statut de votre abonnement est géré par Stripe. Nous ne conservons pas directement les données de votre carte bancaire.

Nous ne collectons aucune catégorie particulière de données (article 9 du RGPD), telles que des données de santé à des fins médicales. Les saisies d’humeur et de bien-être sont des préférences de mode de vie déclarées par vous-même, et non des dossiers médicaux.

5. Utilisation de vos données

• Fournir, maintenir et améliorer le Service
• Personnaliser votre expérience avec le compagnon IA
• Gérer les abonnements et les paiements
• Vous envoyer des notifications relatives au Service
• Répondre à vos demandes et à vos sollicitations d’assistance
• Détecter et prévenir la fraude ou les abus

6. Stockage et sécurité des données

Vos données sont stockées de manière sécurisée au moyen de Supabase (hébergé sur l’infrastructure AWS, dans la région US-East), avec la sécurité au niveau des lignes (row-level security) activée. Nous utilisons un chiffrement conforme aux standards du secteur pour les données en transit (TLS 1.3) et au repos (AES-256). L’accès aux données des utilisateurs est restreint et surveillé.

7. Transferts internationaux de données

Certains de nos prestataires (Supabase, Vercel, OpenAI, Stripe) sont établis aux États-Unis. Lorsque vos données sont transférées hors de l’Espace économique européen (EEE), nous veillons à ce que des garanties appropriées soient mises en place, notamment les clauses contractuelles types (CCT) de la Commission européenne, conformément au chapitre V du RGPD.

8. Services tiers (sous-traitants)

Nous faisons appel aux services tiers suivants pour fournir le Service :

• Supabase (États-Unis) : infrastructure de base de données et d’authentification
• Stripe (États-Unis) : traitement des paiements — conforme PCI-DSS
• Google OAuth (États-Unis) : authentification lors de la connexion
• Vercel (États-Unis) : hébergement et déploiement
• OpenAI (États-Unis) : fournisseur de modèles d’IA pour la conversation avec le compagnon — les données ne sont pas utilisées pour l’entraînement
• Resend (États-Unis) : envoi des e-mails transactionnels

Chaque sous-traitant dispose de sa propre politique de confidentialité et d’un accord de traitement des données. Les données de conversation transmises à OpenAI sont traitées selon ses conditions d’utilisation de l’API, qui interdisent l’utilisation des données envoyées via l’API pour l’entraînement des modèles.

9. Partage des données

Nous ne vendons, n’échangeons ni ne louons vos informations personnelles à des tiers. Nous ne diffusons pas de publicité. Nous ne partageons des données que dans la mesure nécessaire à la fourniture du Service (par exemple, l’envoi des messages de conversation aux fournisseurs d’IA pour générer les réponses) ou lorsque la loi l’exige.

10. Conservation des données

Nous conservons vos données tant que votre compte est actif ou aussi longtemps que nécessaire pour fournir le Service. En cas de suppression de votre compte, l’ensemble de vos données personnelles est effacé dans un délai de 30 jours. Les pièces relatives aux paiements sont conservées pendant la durée légalement requise (10 ans en France, à des fins comptables). Vous pouvez demander la suppression de votre compte et de toutes les données associées à tout moment depuis l’application ou en vous rendant sur aiah.app/delete-account.

Registres de sécurité : si nos systèmes de sécurité détectent que vous pourriez être en situation de crise, nous conservons un enregistrement minimal de cet événement (niveau de gravité, types de signaux détectés et mesure d’accompagnement prise — jamais le contenu de vos messages au-delà de ce qui est déjà conservé dans l’historique de vos conversations) afin de pouvoir assurer un suivi bienveillant. Ces registres de sécurité sont automatiquement et définitivement supprimés au bout de 90 jours, et immédiatement si vous supprimez votre compte.

11. Vos droits au titre du RGPD

En application du Règlement général sur la protection des données, vous disposez des droits suivants sur vos données personnelles :

• Droit d’accès (art. 15) : vous pouvez demander une copie de l’ensemble des données personnelles que nous détenons à votre sujet.
• Droit de rectification (art. 16) : vous pouvez demander la correction de données personnelles inexactes ou incomplètes.
• Droit à l’effacement (art. 17) : vous pouvez demander la suppression de vos données personnelles (« droit à l’oubli »).
• Droit à la limitation du traitement (art. 18) : vous pouvez demander que nous limitions le traitement de vos données dans certaines circonstances.
• Droit à la portabilité des données (art. 20) : vous pouvez demander à recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV).
• Droit d’opposition (art. 21) : vous pouvez vous opposer à tout moment aux traitements fondés sur l’intérêt légitime.
• Droit de retirer votre consentement (art. 7(3)) : lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela porte atteinte à la licéité du traitement effectué avant ce retrait.

Pour exercer l’un de ces droits, contactez-nous à l’adresse privacy@aiah.app. Nous vous répondrons dans un délai de 30 jours, comme l’exige la loi.

Si vous estimez que vos droits n’ont pas été respectés, vous avez le droit d’introduire une réclamation auprès de l’autorité française de protection des données : CNIL (Commission nationale de l’informatique et des libertés) — cnil.fr

12. Cookies et stockage local

Aiah utilise uniquement des cookies et un stockage local strictement nécessaires à l’authentification (jeton de session), aux préférences de langue et à l’état de l’interface. Nous n’utilisons aucun cookie de suivi, cookie publicitaire ou cookie de mesure d’audience. Aucun bandeau de consentement aux cookies n’est requis au titre du RGPD, puisque nous n’utilisons que des cookies techniquement indispensables (exemption reconnue par la CNIL).

13. Protection des données des mineurs

Le Service n’est pas destiné aux enfants de moins de 16 ans (âge de la majorité numérique en France). Nous ne collectons pas sciemment d’informations personnelles concernant des enfants de moins de 16 ans. Si vous pensez que nous avons collecté par inadvertance des données concernant un enfant, veuillez nous contacter immédiatement.

14. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. Nous vous informerons de toute modification importante par e-mail ou par une notification dans l’application, et nous mettrons à jour la date de « Dernière mise à jour » indiquée ci-dessus. La poursuite de l’utilisation du Service après ces modifications vaut acceptation de celles-ci.

15. Nous contacter

Pour toute question concernant la présente Politique de confidentialité ou pour exercer vos droits au titre du RGPD : privacy@aiah.app