Politique de confidentialité

Ce document décrit quelles données personnelles Peter Valašik traite en tant que responsable dans le cadre du service VNORIA conformément au Règlement (UE) 2016/679 (RGPD). Il repose sur les flux de données réels de l'application — sans fournisseurs ni durées inventés.

1. Responsable et contact

Peter Valašik, Obrancov mieru 2005/10, 953 01 Zlaté Moravce, Slovensko, IČO 50058045, DIČ 1121257951.

Contact en matière de données personnelles : vnoria.slavic.oracle@gmail.com · +421 948 616 012.

Le responsable n'est pas tenu de désigner un délégué à la protection des données (DPO).

2. Catégories de données traitées (selon les fonctions réelles)

2.1 Compte et e-mail

À l'inscription, nous stockons : adresse e-mail, identifiant de connexion, éventuellement nom et avatar issus de la connexion Google/Apple, l'horodatage technique de création du compte et la langue d'interface. L'e-mail sert exclusivement à l'authentification, aux communications transactionnelles (achats, avis légaux) et aux réponses à tes demandes.

2.2 Questions de l'utilisateur (texte libre)

Les questions saisies dans Prophétie personnelle, Murmure des rêves, Cartes du destin ou d'autres champs texte sont envoyées au modèle d'IA (Google Gemini via Lovable AI Gateway) et enregistrées dans ton Livre du destin. Si ces textes peuvent contenir des données sur la santé, la vie sexuelle, l'orientation, la foi ou l'état mental, nous les traitons uniquement sur la base de ton consentement exprès et distinct (art. 9.2.a RGPD).

Libellé exact du consentement (v1) : « Je consens expressément au traitement des données sensibles que je fournis volontairement, uniquement pour créer la lecture demandée et la conserver selon mes paramètres. »

2.3 Livre du destin

Chronologie privée de tes lectures, notes, symboles favoris et évaluations. Seul ton compte y accède (Row-Level Security). Tu peux supprimer une entrée ou une lecture à tout moment — ouvre-la dans le Livre du destin et utilise le bouton « Supprimer ». La suppression complète se fait dans Compte → Confidentialité.

2.4 Lectures générées

Les sorties d'IA (texte, symboles, image de carte) sont stockées avec ta question. Si tu as désactivé la mémoire (« memory ») dans le compte, les lectures ne nourrissent pas un contexte à long terme.

2.5 Données de paiement

Les paiements sont traités exclusivement par Stripe. Nous ne stockons que l'identifiant de transaction, le montant, la devise, le produit, l'état (paid/refunded), le type (unique/abonnement) et l'heure. Nous ne stockons jamais le numéro de carte, le CVV ni les coordonnées bancaires.

2.6 Journaux de sécurité

L'adresse IP, l'horodatage et l'en-tête du navigateur sont traités à court terme pour le rate-limiting, la protection contre les attaques et l'audit des changements de compte. Base légale : intérêt légitime — sécurité du service (art. 6.1.f).

2.7 Cookies et analytique

Avant ton consentement, nous n'activons que les cookies strictement nécessaires (connexion, langue, stockage du consentement). Google Analytics 4, les pixels marketing et l'analytique optionnelle sont chargés uniquement après ton consentement exprès. Détails et gestion : Cookies.

2.8 Communication avec le support

Les messages du formulaire de contact, les réclamations, les rétractations et les demandes RGPD sont stockés avec ton identification (nom, e-mail) et leur contenu afin de les traiter et de prouver les procédures légales.

3. Finalités et bases légales

• Fourniture du service et exécution du contrat — art. 6.1.b (compte, lectures, paiements).
• Obligations légales — art. 6.1.c (comptabilité, réclamations, rétractations).
• Intérêt légitime — art. 6.1.f (sécurité, prévention des abus).
• Consentement — art. 6.1.a (cookies analytiques, newsletter, analyse du blog) et art. 9.2.a pour les catégories particulières (données sensibles en texte libre).

4. Destinataires et sous-traitants

Sous-traitants réellement actifs :

• Supabase Inc. — base de données, authentification, stockage des comptes et du Livre du destin. Localisation : UE (Francfort, Allemagne). Politique.
• Cloudflare, Inc. — hébergement et runtime serverless (Workers), CDN et protection contre les attaques. Localisation : réseau mondial, majoritairement régions UE. Transfert : clauses contractuelles types (SCC). Politique.
• Stripe Payments Europe, Ltd. — traitement des paiements, gestion des abonnements, reçus. Localisation : Irlande (UE), infrastructure Stripe mondiale. Transfert : SCC. Politique.
• Google LLC — Gemini API (via Lovable AI Gateway) — génération des lectures IA. Les entrées ne servent pas à l'entraînement du modèle. Localisation : États-Unis / infrastructure Google mondiale. Transfert : SCC. Politique.
• Lovable, Inc. — AI Gateway — intermédiation des appels aux modèles d'IA et agrégation des mesures d'usage. Localisation : UE / États-Unis. Transfert : SCC. Politique.
• Google Ireland Ltd. — Google Analytics 4 — analytique anonymisée du trafic ; chargée uniquement avec consentement. Localisation : UE / États-Unis. Transfert : SCC. Politique.

5. Transferts hors UE/EEE

Une partie de l'infrastructure (Google/Gemini, Cloudflare, Stripe, Lovable AI Gateway, GA4) peut traiter des données hors UE/EEE. Tout transfert est encadré par des clauses contractuelles types (SCC) au sens de l'art. 46 RGPD conclues avec le sous-traitant.

6. Durées de conservation

• Compte et e-mail : jusqu'à la suppression du compte puis 30 jours pour les sauvegardes techniques.
• Lectures d'IA et Livre du destin : conservés dans ton Livre du destin jusqu'à ta suppression ou clôture du compte.
• Documents comptables : 10 ans à compter de la fin de l'exercice (loi comptable slovaque).
• Messages de contact : 12 mois à compter de la dernière communication.
• Consentements (y compris données sensibles) : durée du compte + 3 ans pour prouver le consentement.
• Journaux de sécurité : 30 jours, ensuite supprimés ou agrégés.
• Cookies : voir Cookies.

7. Tes droits

• Droit d'accès, de rectification, d'effacement (« droit à l'oubli ») et de limitation du traitement.
• Droit à la portabilité (export JSON directement dans le compte).
• Droit d'opposition au traitement fondé sur l'intérêt légitime.
• Droit de retirer à tout moment un consentement — gratuitement et sans impact sur l'accès au service.
• Droit d'introduire une réclamation auprès de l'autorité de contrôle : Bureau de la protection des données personnelles de la République slovaque, Hraničná 12, 820 07 Bratislava, dataprotection.gov.sk.

Outils pratiques : export des données et suppression du compte, formulaire de demande RGPD, retrait des consentements individuels.

8. Analyse du blog — opt-in volontaire distinct

Désactivée par défaut. Sans ton consentement, nous n'utilisons pas tes entrées pour une analyse du blog. Si tu le donnes : les entrées antérieures au consentement ne sont pas utilisées ; aucun texte brut ni extrait n'est envoyé à l'analytique ; nous ne stockons que des catégories anonymes larges et des compteurs ; une catégorie ne peut être rattachée à un utilisateur ; après retrait du consentement, nous cessons d'utiliser les données à cette fin. Le refus n'affecte pas l'accès au service.

Libellé exact (v1) : « Je consens à ce que Vnoria analyse le contenu de mes entrées uniquement pour créer des thèmes anonymes agrégés pour le blog. Mes textes, identité et citations directes ne seront pas publiés. »

9. Newsletter

Désactivée par défaut. L'abonnement démarre uniquement après avoir coché une case distincte, non pré-cochée. Chaque e-mail contient un lien gratuit de désabonnement ; tu peux aussi te désabonner dans Compte → Confidentialité.

Libellé exact (v1) : « Je consens à recevoir la newsletter VNORIA à mon adresse e-mail. Je peux retirer ce consentement gratuitement à tout moment via le lien de chaque e-mail ou dans mon Compte. »

10. IA et décisions automatisées

L'application utilise l'IA générative (Google Gemini via Lovable AI Gateway) pour créer des lectures textuelles, des interprétations de rêves et des symboles. Conformément à l'AI Act, tu communiques avec un système d'IA et les sorties sont générées par machine. Nous ne procédons pas à des décisions automatisées produisant des effets juridiques ou similaires significatifs au sens de l'art. 22 RGPD. Les sorties ont un caractère informatif et réflexif — elles ne constituent pas un conseil médical, juridique, financier ou équivalent. Détails : Informations IA.

11. Sécurité

Nous utilisons une communication chiffrée (HTTPS/TLS), des rôles séparés, des politiques RLS strictes en base (chaque utilisateur ne voit que ses propres enregistrements), des sauvegardes régulières et un audit des changements critiques. Les accès d'administration sont protégés par une authentification forte.

12. Enfants

Le service n'est pas destiné aux personnes de moins de 16 ans.

13. Modifications

Nous pouvons mettre à jour ce document. La version et la date d'entrée en vigueur figurent dans l'en-tête et le pied de page. Les changements substantiels te seront communiqués par e-mail ou dans l'application.