Politique de confidentialité

La présente politique de confidentialité décrit comment la plateforme echoes.vision collecte, utilise et protège les données personnelles de ses utilisateurs, conformément au Règlement (UE) 2016/679 (Règlement Général sur la Protection des Données, ci-après "RGPD") et à la loi française "Informatique et Libertés" du 6 janvier 1978 modifiée. Elle est rédigée en application de l'article 13 du RGPD.

a) Responsable du traitement

b) Données personnelles collectées

Dans le cadre de l'utilisation d'echoes.vision, les catégories de données suivantes sont susceptibles d'être collectées :

• Données de compte : identifiant, adresse email, mot de passe haché, préférences d'interface, langue
• Données d'identité : prénom, nom, date de naissance, lieu de naissance, photo de profil
• Contenus créés : textes de biographie, journaux de vie, capsules temporelles, conversations avec le compagnon ECHOES
• Photos : images uploadées par l'utilisateur, associées à ses souvenirs, à ses arbres et à ses fiches personnes
• Enregistrements audio et transcriptions :fichiers audio dictés par l'utilisateur et leur transcription texte
• Données généalogiques : membres de la famille, liens de parenté, dates et lieux, événements de vie
• Données émotionnelles : humeur déclarée, état affectif, ressentis exprimés à l'occasion de sessions d'écriture ou de check-ins
• Données techniques : adresse IP, type de navigateur, système d'exploitation, horodatage de connexion, identifiant de session
• Données de paiement : traitées exclusivement par Stripe — aucune coordonnée bancaire complète n'est conservée sur les serveurs d'echoes.vision

c) Finalités du traitement

• Création et édition de biographie : permettre à l'utilisateur d'écrire, dicter, organiser et publier son récit de vie
• Partage familial : autoriser la consultation et la contribution de proches désignés sur des contenus partagés (livres, arbre généalogique, capsules)
• Compagnon ECHOES (assistance contextuelle) :proposer des suggestions de relance, des reformulations stylistiques et des aides à la mémoire à partir des contenus de l'utilisateur
• Transcription audio : convertir les enregistrements vocaux en texte éditable
• Sécurité et conformité : prévenir la fraude, préserver la disponibilité du service, satisfaire aux obligations légales
• Communications : notifications de service, rappels d'écriture, informations sur l'évolution de la plateforme
• Facturation et abonnement : gestion des paiements, émission de factures, suivi des renouvellements

d) Base légale du traitement

• Consentement (art. 6.1.a RGPD) : pour les enregistrements vocaux, l'analyse émotionnelle, l'envoi de communications non transactionnelles et la pose de cookies non strictement nécessaires
• Exécution du contrat (art. 6.1.b RGPD) : pour la fourniture du service, la gestion du compte et le traitement des paiements
• Obligation légale (art. 6.1.c RGPD) : pour la conservation des données de facturation et la réponse aux demandes des autorités compétentes
• Intérêt légitime (art. 6.1.f RGPD) : pour la sécurité de la plateforme, la prévention de la fraude et l'amélioration continue du service, après mise en balance des droits et libertés de l'utilisateur

e) Destinataires et sous-traitants

Les données personnelles peuvent être transmises aux sous-traitants suivants, agissant sur instructions documentées d'echoes.vision et encadrés par un contrat conforme à l'article 28 du RGPD :

CCT : Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914) — voir section suivante.

f) Transferts de données hors Union européenne

Certains sous-traitants sont établis aux États-Unis (notamment Anthropic, Groq, Google, OpenAI, Cloudinary, Stripe). Les transferts de données vers ces sous-traitants sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914 du 4 juin 2021), constituant des garanties appropriées au sens de l'article 46 du RGPD.

Le cas échéant, des mesures techniques et organisationnelles supplémentaires (chiffrement en transit via TLS 1.2 minimum, minimisation des données envoyées, journalisation des appels) sont mises en œuvre pour renforcer le niveau de protection en cohérence avec la recommandation 01/2020 du Comité européen de la protection des données (CEPD).

Sur demande, une copie des garanties applicables aux transferts peut être obtenue en contactant le responsable du traitement.

g) Durée de conservation

• Compte actif et contenus associés : conservés tant que le compte n'est pas supprimé
• Après demande de suppression : conservation résiduelle pendant 3 ans à compter de la clôture du compte, aux seules fins de défense d'éventuelles réclamations, sauf obligations légales contraires
• Données de facturation : 10 ans, conformément à l'article L.123-22 du Code de commerce
• Logs techniques de sécurité : 12 mois glissants
• Enregistrements audio bruts : supprimés après transcription, sauf si l'utilisateur choisit explicitement de les conserver
• Cookies non strictement nécessaires : 13 mois au maximum à compter du dépôt

h) Droits des utilisateurs

Conformément au RGPD, chaque utilisateur dispose des droits suivants sur ses données personnelles :

• Droit d'accès (art. 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie
• Droit de rectification (art. 16) : faire corriger les données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
• Droit d'opposition (art. 21) : vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime
• Droit à la limitation (art. 18) : demander la suspension du traitement le temps qu'une demande soit examinée
• Droit de retirer son consentement à tout moment, sans que cela n'affecte la licéité des traitements fondés sur le consentement antérieurement donné
• Droit de définir des directives relatives au sort de vos données après votre décès

i) Cookies et traceurs

La plateforme echoes.vision utilise des cookies et traceurs classés selon trois catégories :

• Cookies strictement nécessaires au fonctionnement (authentification, sécurité, préférences de session) : déposés sans consentement préalable, conformément à l'article 82 de la loi Informatique et Libertés
• Mesure d'audience : notre outil de mesure (Plausible) ne dépose aucun cookie, mais son script n'est chargé qu'après recueil du consentement explicite via le bandeau. Sans réponse, ou après un refus, il n'est pas chargé du tout
• Cookies marketing (mesure de campagne, attribution) : déposés uniquement après recueil du consentement explicite via le bandeau cookie. Aucun n'est utilisé à ce jour

Le consentement peut être retiré à tout moment via le lien « Gérer mes cookies » présent en pied de page ; le retrait prend effet immédiatement. Les préférences sont conservées 13 mois maximum, conformément à la recommandation cookies de la CNIL : passé ce délai, le choix est effacé et la question est posée de nouveau.

Le détail des cookies et traceurs réellement déposés figure sur la page Cookies et traceurs (ce renvoi pointait auparavant vers la présente page).

j) Délégué à la protection des données (DPO)

Pour toute question relative à la protection des données personnelles, le délégué à la protection des données peut être contacté à l'adresse suivante : c.benech@gs-it.eu. Le DPO assure le suivi des demandes d'exercice des droits et veille à la conformité des traitements.

k) Droit de réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits sur vos données ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Sécurité des données

Des mesures techniques et organisationnelles appropriées sont mises en œuvre pour préserver la confidentialité, l'intégrité et la disponibilité des données : chiffrement HTTPS/TLS, hachage des mots de passe (bcrypt), contrôles d'accès, journalisation, sauvegardes régulières et audits de sécurité.

Protection des mineurs

La plateforme est accessible aux mineurs de plus de 15 ans en France. Pour les mineurs de moins de 15 ans, le consentement d'un titulaire de l'autorité parentale est requis conformément à l'article 8 du RGPD tel que transposé en droit français.

Évolution de la présente politique

La présente politique de confidentialité peut être amenée à évoluer. Toute modification substantielle sera notifiée par email aux utilisateurs concernés et la date de "Dernière mise à jour" affichée en tête de page sera actualisée.