Politique de confidentialité

Le responsable du traitement des données collectées via l'application Helace et le site helace.app est :

Eloi Dumas
Email : support@helace.app

Lors de la création de ton compte et de l'utilisation du service, nous collectons :

• Données d'identité : prénom ou pseudo, adresse email, numéro de téléphone
• Données d'authentification : mot de passe (chiffré, jamais stocké en clair)
• Données d'utilisation : matières, cours, cartes de révision créées, résultats des sessions, temps d'étude, série de révision
• Données de facturation : statut d'abonnement Pro (aucune donnée bancaire n'est stockée sur nos serveurs)
• Données techniques : adresse IP, type de navigateur/appareil, logs d'accès

Tes données sont utilisées pour :

• Fournir et personnaliser le service de révision (algorithme HELACE-SR)
• Générer des flashcards et QCM via intelligence artificielle (Claude d'Anthropic)
• Gérer ton compte et ton abonnement
• Synchroniser tes données entre l'application iOS et le site web
• T'envoyer des communications transactionnelles (confirmation de compte, réinitialisation de mot de passe)
• Vérifier l'unicité du compte et prévenir la création de comptes multiples (numéro de téléphone — vérification manuelle dans un premier temps, puis automatisée via un service tiers)
• Améliorer le service (analyse statistique anonymisée)
• Respecter nos obligations légales

• Exécution du contrat (art. 6.1.b RGPD) : traitement nécessaire à la fourniture du service
• Consentement (art. 6.1.a RGPD) : pour les communications marketing si applicable
• Intérêt légitime (art. 6.1.f RGPD) : sécurité du service, prévention de la fraude

Nous faisons appel aux sous-traitants suivants :

• Supabase Inc. (États-Unis) : base de données et authentification. Données hébergées en Europe (région EU West). Clauses contractuelles types UE appliquées.
• Vercel Inc. (États-Unis) : hébergement du site web. Données en transit uniquement.
• Anthropic PBC (États-Unis) : génération IA de cartes. Seul le contenu de cours que tu soumets est transmis, sans données d'identité. Données non conservées par Anthropic au-delà de la requête.
• OVHcloud (France) : serveur email SMTP. Données hébergées en France.
• Stripe Inc. (États-Unis) : traitement des paiements et gestion des abonnements. Seules les données nécessaires à la facturation sont transmises. Stripe est certifié PCI-DSS niveau 1. Aucune donnée bancaire complète n'est stockée sur nos serveurs. Clauses contractuelles types UE appliquées.

Aucune donnée n'est vendue à des tiers.

• Données de compte : conservées pendant toute la durée d'activité du compte, puis supprimées dans les 30 jours suivant la clôture
• Données de révision : conservées tant que le compte est actif
• Logs techniques : 90 jours
• Données de facturation : 10 ans (obligation comptable légale)

Conformément au Règlement Général sur la Protection des Données (RGPD), tu disposes des droits suivants :

• Droit d'accès : obtenir une copie de tes données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : supprimer ton compte et toutes tes données
• Droit à la portabilité : recevoir tes données dans un format structuré
• Droit d'opposition : t'opposer à certains traitements
• Droit à la limitation : limiter le traitement de tes données

Pour exercer ces droits, contacte-nous à support@helace.app. Nous répondons sous 30 jours.

Tu peux également introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr.

Helace utilise deux catégories de cookies :

• Cookies strictement nécessaires : cookies de session Supabase Auth, indispensables à l'authentification. Ne nécessitent pas de consentement.
• Cookies analytiques (PostHog) : utilisés pour analyser l'utilisation du site de manière anonyme. Déposés uniquement après consentement explicite. PostHog est hébergé en Europe (EU Cloud). Aucun cookie publicitaire ou de retargeting.

Tu peux modifier ton choix à tout moment. Voir notre politique de cookies.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger tes données :

• Chiffrement des communications (HTTPS/TLS)
• Mots de passe hachés (bcrypt via Supabase Auth)
• Accès aux données contrôlé par Row Level Security (RLS)
• En-têtes de sécurité HTTP (HSTS, CSP, X-Frame-Options)

Nous pouvons mettre à jour cette politique. En cas de modification substantielle, tu seras notifié par email. La date de dernière mise à jour figure en haut de cette page.