Politique de Confidentialité

Dernière mise à jour : 16 septembre 2026

Article 1 — Préambule

La présente politique de confidentialité a pour objet d'informer les utilisateurs du service Hestaly (ci-après « le Service »), accessible à l'adresse hestaly.app, sur la manière dont leurs données personnelles sont collectées, traitées et protégées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Article 2 — Responsable du traitement

Le responsable du traitement des données est l'éditeur du Service, tel qu'identifié à l'article 1 des Conditions Générales de Vente et d'Utilisation. L'application Hestaly est actuellement éditée par Stéphane Morizet, entrepreneur individuel, dans l'attente de la constitution prochaine d'une société dédiée. Toute mise à jour de la structure juridique éditrice sera reflétée dans une future version de la présente politique.

Article 3 — Données collectées

Dans le cadre de l'utilisation du Service, les catégories de données suivantes sont susceptibles d'être collectées :

• Données d'identification : adresse email, mot de passe (stocké de façon chiffrée), prénom.
• Données relatives à votre parcours personnel (recueillies lors du Discovery Engine et de l'usage quotidien) : réponses aux questions d'introspection, notations sur votre santé physique et mentale, votre bien-être émotionnel, vos relations, votre situation financière, ainsi que tout contenu libre que vous rédigez (Manifeste, Code Souverain, Lettre Scellée, bilans quotidiens). Ces données peuvent inclure des catégories particulières de données au sens de l'article 9 du RGPD (données de santé notamment), pour lesquelles votre consentement explicite est recueilli séparément lors de l'inscription.
• Contenu vocal : si vous utilisez la dictée vocale, l'enregistrement audio est transcrit en texte puis immédiatement supprimé ; il n'est pas conservé.
• Données de paiement : les données bancaires et de carte de paiement sont directement collectées et traitées par notre prestataire de paiement, Paddle.com Market Limited, agissant en tant que Merchant of Record. Nous n'avons à aucun moment accès à vos données bancaires complètes.
• Données techniques : adresse IP, type de navigateur, à des fins de sécurité et de bon fonctionnement du Service.

Article 4 — Finalités du traitement

Vos données sont traitées pour les finalités suivantes :

• Fournir et personnaliser le Service, notamment la génération de votre Manifeste par un modèle d'intelligence artificielle à partir de vos propres réponses ;
• Gérer votre compte et la relation contractuelle ;
• Assurer la sécurité du Service et prévenir la fraude ;
• Vous adresser, si vous y avez consenti, des communications relatives au Service ;
• Respecter nos obligations légales et comptables.

Article 5 — Base légale des traitements

Selon les données concernées, le traitement repose sur :

• L'exécution du contrat qui nous lie (fourniture du Service) ;
• Votre consentement explicite, s'agissant en particulier des données de santé et du contenu personnel traité par intelligence artificielle ;
• Notre intérêt légitime à assurer la sécurité et le bon fonctionnement du Service ;
• Le respect d'obligations légales, notamment comptables et fiscales.

Article 6 — Destinataires et sous-traitants

Vos données peuvent être transmises aux sous-traitants suivants, dans la stricte mesure nécessaire à l'exécution des finalités décrites ci-dessus :

• Supabase — hébergement de la base de données — Union européenne
• Fournisseur du modèle d'intelligence artificielle — génération du Manifeste et transcription vocale — États-Unis
• Prestataire d'envoi d'emails transactionnels — emails liés au Service — États-Unis
• Paddle.com Market Limited — traitement des paiements (Merchant of Record) — Union européenne / États-Unis

Ces sous-traitants ne sont autorisés à utiliser vos données que pour les finalités définies par nos soins, dans le cadre d'accords contractuels de sous-traitance conformes au RGPD.

Article 7 — Transferts hors Union européenne

Certains de nos sous-traitants sont établis hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par les garanties appropriées prévues par le RGPD (clauses contractuelles types de la Commission européenne ou mécanisme de certification équivalent).

Article 8 — Durée de conservation

• Les données de votre compte sont conservées tant que celui-ci est actif.
• En cas d'inactivité prolongée, vos données peuvent être supprimées après une période de trois ans, sous réserve d'une notification préalable.
• Les données de facturation sont conservées dix ans, conformément à nos obligations légales comptables.
• Les enregistrements vocaux ne sont pas conservés au-delà de leur transcription immédiate.

Article 9 — Vos droits

Conformément à la réglementation applicable, vous disposez des droits suivants sur vos données personnelles : droit d'accès, de rectification, d'effacement, à la portabilité, d'opposition, et de limitation du traitement. Vous pouvez exercer ces droits à tout moment en nous contactant à l'adresse hello@hestaly.app, ou directement depuis votre compte pour les demandes d'export et de suppression.

Article 10 — Le Manifeste et le droit à l'effacement

Le Manifeste que vous scellez au terme du Discovery Engine est conçu comme un engagement immuable : une fois scellé, il ne peut être modifié ni par vous, ni par nous. Cette immuabilité constitue une caractéristique du Service, et non une restriction à vos droits : vous conservez à tout moment la possibilité de supprimer votre compte et l'ensemble des données associées, y compris votre Manifeste, conformément à votre droit à l'effacement.

Article 11 — Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles raisonnables pour protéger vos données contre toute perte, altération ou accès non autorisé, notamment le chiffrement des mots de passe et des sauvegardes régulières et sécurisées.

Article 12 — Violation de données

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à notifier l'autorité de contrôle compétente dans un délai de 72 heures, et à vous informer individuellement si le risque est élevé.

Article 13 — Réclamation

Vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) si vous estimez que le traitement de vos données ne respecte pas la réglementation applicable.

Article 14 — Modification de la présente politique

Cette politique peut être amenée à évoluer. Toute modification substantielle vous sera communiquée par les moyens appropriés.

Article 15 — Contact

Pour toute question relative à cette politique de confidentialité, vous pouvez nous contacter à l'adresse hello@hestaly.app.