Politique de Confidentialité

1. Engagement radical — Aucune donnée conservée

Cette politique constitue notre engagement fondamental : zéro base de données, zéro fichiers de log utilisateur, zéro traçage comportemental.

2. Quelles données transientes sont traitées ?

Lors d'une session d'analyse ou du parcours contributeur, les données suivantes transitent temporairement en RAM :

• Données de naissance : nom, prénom, date et heure de naissance, lieu de naissance (utilisées pour le calcul Ba Zi et Human Design).
• Données de localisation : adresse ou coordonnées GPS du lieu d'habitation (utilisées pour le calcul Gua Feng Shui).
• Résultats d'analyse : matrices, grilles, graphiques et textes générés par les algorithmes.
• Données de feedback : type de pratique, fonctionnalité souhaitée et note libre facultative saisie dans le Parcours Contributeur.

Durée de conservation : les données d'analyse transitent du clic sur « Générer » jusqu'à la fermeture de l'onglet ou l'expiration du cookie JWT (31 jours, 183 jours ou 365 jours selon le pass). Les données de feedback sont traitées uniquement le temps nécessaire à leur routage sécurisé par Resend, puis ne sont jamais inscrites dans une base de données ni dans un fichier de l'application.

3. Qui traite quoi ?

3.1. Stripe Inc. (paiements)

Stripe collecte et conserve les données de transaction nécessaires à la facturation : montant, date, email de l'acheteur, identifiant de session. Ces données sont soumises à la politique de confidentialité de Stripe et à leur certification PCI-DSS Level 1.

Le LAB du Zèbre Bleu ne reçoit de Stripe que l'email et le montant, nécessaires à la génération du lien d'accès. Ces métadonnées ne sont pas conservées sur nos serveurs.

3.2. Resend Inc. (envoi d'emails)

Resend traite l'adresse email du destinataire et le contenu du message (lien d'accès). Les logs d'envoi sont conservés chez Resend pour des raisons de traçabilité technique. Voir leur politique de confidentialité.

Lorsque l'Utilisateur choisit de participer au parcours contributeur, ses réponses obligatoires et, s'il le souhaite, sa note facultative sont transmises directement à l'Éditeur par e-mail via l'API Resend, de manière chiffrée. Elles ne sont ni enregistrées dans une base de données ni conservées dans un fichier par l'application. Resend peut conserver ses propres logs d'envoi pour la traçabilité technique, conformément à sa politique de confidentialité.

3.3. Modèles d'Intelligence Artificielle (API Tierces)

Les textes générés transitent par un consortium d'API d'Intelligence Artificielle tierces (incluant Google Gemini et potentiellement d'autres grands modèles de langage). Ces fournisseurs peuvent conserver les requêtes (prompts) pour l'amélioration de leurs modèles, conformément à leurs politiques de confidentialité respectives. Les données de naissance nominatives ne leur sont jamais transmises : seuls les résultats intermédiaires (grilles numériques dépersonnalisées) sont envoyés aux API.

4. Cookies et technologies de suivi

Deux cookies strictement nécessaires peuvent être utilisés :

• access_token (cookie JWT) : contient la signature cryptographique de votre pass. Il est HttpOnly, Secure, SameSite=Lax. Il expire automatiquement à la fin de la durée du pass et n'est pas réutilisable après expiration.
• contributor_status : marqueur signé, sans adresse e-mail ni réponse au formulaire, utilisé uniquement pour reconnaître un ancien contributeur lors d'un futur renouvellement. Il est HttpOnly, Secure, SameSite=Lax et expire au plus tard après 24 mois.

Ces deux cookies sont strictement nécessaires à la délivrance du service explicitement demandé : le premier sécurise l'accès, le second conserve le statut contributeur pour permettre un renouvellement après expiration du pass annuel. Ils sont donc techniquement indispensables et exemptés de consentement préalable au titre des exceptions CNIL/ePrivacy applicables aux cookies nécessaires, tout en restant documentés ici. La validation du parcours contributeur utilise en plus un jeton signé temporaire, conservé uniquement dans la mémoire de la page pendant la préparation du paiement ; il ne contient aucune réponse au formulaire et expire automatiquement après 30 minutes.

Aucun cookie de traçage, aucun pixel Facebook, aucun Google Analytics, aucun outil de mesure d'audience.

5. Vos droits RGPD

Conformément au Règlement (UE) 2016/679 et à la Loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d'accès : compte tenu de l'architecture stateless, aucune donnée personnelle n'étant conservée, ce droit est techniquement satisfait par défaut. Vous pouvez cependant demander une attestation d'absence de conservation.
• Droit à l'effacement (« droit à l'oubli ») : les données sont effacées automatiquement à chaque fin de session. Aucune action de votre part n'est requise.
• Droit à la portabilité : les rapports PDF que vous générez peuvent être téléchargés à tout moment et conservés sur votre propre appareil.
• Droit d'opposition : cessez d'utiliser le Service. Le cookie d'authentification expire naturellement à la fin du pass.
• Droit de réclamation : vous pouvez saisir la Commission Nationale de l'Informatique et des Libertés (CNIL) à l'adresse cnil.fr.

6. Sécurité technique

Toutes les communications entre votre navigateur et nos serveurs sont chiffrées par TLS 1.3. Les tokens d'accès sont signés électroniquement (JWT HMAC-SHA256) et vérifiés à chaque requête. Aucune session serveur n'est maintenue — chaque requête est autonome et authentifiée par le token.

7. Modifications de la politique

Cette politique peut être modifiée pour refléter les évolutions techniques ou légales. La date de mise à jour est indiquée en haut de page. Les modifications ne rétroagissent pas sur les passes en cours.

8. Contact DPO

Pour toute question relative à la protection des données, contactez :

Email : contact@agence-zebrebleu.fr
Poste : Arthur Euler, Le LAB du Zèbre Bleu, 13 avenue de la plaine, 13620 Carry-le-Rouet, France.