Politique de confidentialité

1. Préambule

La présente Politique de confidentialité décrit la manière dont la société E1 (ci-après « Onirelo », « nous ») traite les données personnelles des utilisateurs (ci-après « vous ») du service Onirelo, accessible à l’adresse https://onirelo.com.

Onirelo est un journal de rêves. Vous nous confiez par nature des contenus particulièrement personnels et parfois sensibles. Nous prenons cet engagement très au sérieux et avons conçu le Service pour collecter le moins de données possible, les conserver le temps strictement nécessaire et les protéger par des mesures techniques et organisationnelles appropriées.

2. Responsable du traitement

Le responsable du traitement est la société E1, EURL au capital de 1 000 €, dont le siège social est situé au 12 rue Vauban, 69006 Lyon, France, immatriculée au RCS de Lyon sous le numéro 935 101 618.

3. Délégué à la protection des données (DPO)

Onirelo a désigné un délégué à la protection des données (DPO). Vous pouvez le contacter pour toute question relative à vos données ou à l’exercice de vos droits :

• Email : privacy@onirelo.com
• Nom du DPO : [À COMPLÉTER]
• Courrier postal : E1, à l’attention du DPO, 12 rue Vauban, 69006 Lyon, France

4. Catégories de données traitées

4.1. Données fournies par vous

Lors de la création du compte et de l’utilisation du Service, vous nous communiquez :

• des données de compte : adresse électronique, mot de passe (sous forme chiffrée), identifiant Google ou Apple si vous utilisez la connexion via ces fournisseurs ;
• des données de profil facultatives : genre que vous renseignez librement dans les paramètres ;
• des contenus : récits de rêves, titres, notes, étiquettes personnelles que vous saisissez librement dans votre journal.

4.2. Données collectées automatiquement

Lors de l’utilisation du Service, nous collectons :

• des données techniques strictement nécessaires : identifiants de session, jetons d’authentification, adresse IP, type de navigateur, langue, fuseau horaire ;
• des données de facturation lorsque vous souscrivez un abonnement (traitées par Stripe : montants, date, statut de paiement, jetons de carte ; le numéro de carte ne nous est pas transmis) ;
• des données de mesure d’audience et de diagnostic uniquement après votre consentement (voir la Politique cookies).

4.3. Données potentiellement sensibles

Vos récits de rêves peuvent, par nature, contenir ou laisser deviner des informations sensibles au sens de l’article 9 du RGPD, en particulier des informations relatives à votre santé physique ou mentale. Vous restez seul maître de ce que vous écrivez dans votre journal et libre de ne pas y consigner ce que vous ne souhaitez pas partager.

Lorsque vous saisissez de tels contenus, le traitement est fondé sur votre consentement explicite au titre de l’article 9, paragraphe 2, point a) du RGPD. Vous pouvez à tout moment retirer ce consentement en supprimant les contenus concernés ou votre compte.

5. Finalités et bases légales

| Finalité | Base légale | |---|---| | Création et gestion du compte, authentification, sécurité du Service | Exécution du contrat (art. 6.1.b RGPD) | | Fourniture des fonctionnalités du journal (enregistrement, affichage, organisation des rêves) | Exécution du contrat (art. 6.1.b RGPD) | | Génération d’interprétations et d’étiquettes par intelligence artificielle | Exécution du contrat (art. 6.1.b) et, pour les contenus sensibles, votre consentement explicite (art. 9.2.a) | | Facturation et gestion de l’abonnement | Exécution du contrat (art. 6.1.b) et obligation légale comptable (art. 6.1.c) | | Envoi de messages transactionnels (confirmation, sécurité, facturation) | Exécution du contrat (art. 6.1.b) | | Mesure d’audience, statistiques d’usage non strictement nécessaires | Votre consentement (art. 6.1.a) | | Prévention et détection des fraudes et abus | Intérêt légitime (art. 6.1.f) à protéger le Service et les utilisateurs | | Réponse aux demandes d’exercice de droits, gestion des litiges | Obligation légale (art. 6.1.c) et intérêt légitime |

Onirelo ne pratique aucune publicité ciblée et ne procède à aucun profilage à des fins de prospection.

6. Décisions automatisées et intelligence artificielle

Le Service utilise des modèles d’intelligence artificielle pour produire des interprétations, des étiquettes et, le cas échéant, des indicateurs d’humeur ou de bien-être à partir de vos rêves. Ces traitements ne constituent pas des décisions produisant des effets juridiques à votre égard ou vous affectant de manière significative au sens de l’article 22 du RGPD : ils sont à visée introspective et n’interviennent dans aucune décision contractuelle, médicale ou financière vous concernant.

Vous gardez à tout moment :

• le droit d’obtenir une intervention humaine de notre part ;
• le droit d’exprimer votre point de vue ;
• le droit de contester les analyses produites ;
• le droit de cesser à tout moment de soumettre vos contenus à l’IA.

Vos contenus ne sont jamais utilisés pour entraîner les modèles d’intelligence artificielle, qu’il s’agisse des nôtres ou de ceux de nos prestataires.

7. Destinataires et sous-traitants

Vos données sont traitées par nos équipes habilitées et par les prestataires suivants, agissant en qualité de sous-traitants au sens de l’article 28 du RGPD :

| Prestataire | Rôle | Localisation des traitements | |---|---|---| | Laravel Cloud (Laravel Holdings, Inc.) | Hébergement applicatif et base de données | Union européenne | | Stripe Payments Europe, Ltd. | Traitement des paiements et facturation | Union européenne, avec transferts vers les États-Unis | | Anthropic, PBC | Génération d’interprétations par IA (modèles Claude) | États-Unis | | OpenAI Ireland Ltd. / OpenAI, L.L.C. | Génération d’interprétations et d’étiquettes par IA | États-Unis | | Google Ireland Ltd. (Vertex AI) | Génération d’interprétations par IA | Union européenne ou États-Unis selon la région d’appel | | [Prestataire d’envoi d’emails — À COMPLÉTER] | Envoi des emails transactionnels | [Union européenne / autre — À COMPLÉTER] | | [Prestataire de supervision d’erreurs — À COMPLÉTER] | Diagnostic d’incidents techniques | [À COMPLÉTER] | | [Outil d’analyse d’audience — À COMPLÉTER] | Mesure d’audience consentie | [À COMPLÉTER] |

Chacun de ces prestataires est lié par un contrat conforme à l’article 28 du RGPD et n’utilise vos données que pour le compte d’Onirelo, selon ses instructions.

8. Transferts hors Union européenne

Certains de nos sous-traitants (notamment Anthropic, OpenAI, ainsi que Google et Stripe pour certains traitements) sont susceptibles de traiter des données aux États-Unis.

Ces transferts sont encadrés conformément au chapitre V du RGPD, par :

• l’adhésion du destinataire au Data Privacy Framework UE–États-Unis, lorsqu’il y est certifié ;
• à défaut, la signature des clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) ;
• la mise en œuvre, le cas échéant, de mesures complémentaires (chiffrement, restriction d’accès, pseudonymisation des contenus).

Vous pouvez obtenir une copie ou un résumé de ces garanties en écrivant à privacy@onirelo.com.

9. Durées de conservation

| Donnée | Durée de conservation | |---|---| | Compte utilisateur, contenus de rêves, étiquettes et profil | Jusqu’à la suppression du compte par l’utilisateur. La suppression entraîne un effacement définitif et immédiat, sans période de grâce. | | Données de facturation (factures, justificatifs) | 10 ans à compter de la fin de l’exercice comptable concerné, au titre des obligations comptables et fiscales (article L. 123-22 du Code de commerce) | | Journaux techniques de connexion | 12 mois maximum, conformément aux recommandations de la CNIL | | Données de diagnostic d’erreurs (Sentry ou équivalent) | 90 jours maximum | | Données de mesure d’audience consenties | Conformément aux recommandations CNIL (13 mois pour les traceurs ; 25 mois pour les statistiques anonymisées dérivées) | | Demandes d’exercice de droits | 3 ans à compter de la dernière interaction, à des fins probatoires | | Comptes inactifs (aucune connexion pendant 24 mois) | Notification à l’utilisateur, suivie de la suppression du compte en l’absence de réponse dans un délai raisonnable |

10. Sécurité

Onirelo met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité de vos données :

• chiffrement des connexions (TLS) entre votre navigateur et le Service ;
• chiffrement des données au repos au niveau de la base de données et du système d’hébergement (Onirelo conserve les clés de déchiffrement nécessaires à l’exploitation du Service ; vos contenus ne sont donc pas chiffrés de bout en bout et restent techniquement accessibles à nos équipes habilitées) ;
• hachage des mots de passe ;
• contrôles d’accès restrictifs, journalisation des accès administrateurs ;
• politique de gestion des incidents et notification à la CNIL en cas de violation présentant un risque pour vos droits et libertés, dans un délai de 72 heures.

11. Vos droits

Conformément au RGPD et à la loi « Informatique et Libertés », vous disposez des droits suivants :

• droit d’accès à vos données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit d’effacement (« droit à l’oubli ») ;
• droit à la limitation du traitement ;
• droit d’opposition au traitement, notamment pour les traitements fondés sur l’intérêt légitime ;
• droit à la portabilité : vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine ;
• droit de retirer votre consentement à tout moment lorsque le traitement est fondé sur le consentement, sans que cela ne remette en cause la licéité des traitements effectués jusque-là ;
• droit de définir des directives relatives au sort de vos données après votre décès ;
• droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Pour exercer ces droits, écrivez à privacy@onirelo.com en justifiant de votre identité en cas de doute raisonnable. Nous nous engageons à répondre dans un délai d’un mois, prolongeable de deux mois en cas de complexité particulière.

12. Export de vos données

L’export en libre-service depuis l’interface n’est pas encore disponible. Dans cette attente, vous pouvez demander l’export de vos données (récits, étiquettes, profil) à privacy@onirelo.com. Nous nous engageons à vous fournir un fichier structuré dans un format ouvert dans un délai maximal d’un mois à compter de votre demande.

13. Mineurs

Le Service est réservé aux personnes âgées d’au moins 16 ans révolus. Nous ne collectons pas sciemment de données concernant des personnes plus jeunes. Si vous estimez qu’un mineur de moins de 16 ans a créé un compte, écrivez à privacy@onirelo.com pour que le compte soit supprimé.

14. Cookies

L’utilisation des cookies et autres traceurs sur le Service est décrite en détail dans la Politique cookies, disponible séparément.

15. Modifications

La présente Politique de confidentialité peut être mise à jour pour refléter l’évolution du Service, de la législation ou de nos pratiques. Toute modification substantielle vous est signalée par un message au sein du Service ou par courrier électronique avant son entrée en vigueur.