Politique de confidentialité

Le responsable du traitement des données collectées via l'application Helace et le site helace.app est :

Eloi Dumas
Email : support@helace.app

Lors de la création de ton compte et de l'utilisation du service, nous collectons :

• Données d'identité : prénom ou pseudo, adresse email, numéro de téléphone
• Données d'authentification : mot de passe (chiffré, jamais stocké en clair)
• Données d'utilisation : matières, cours, cartes de révision créées, résultats des sessions, temps d'étude, série de révision
• Données de facturation : statut d'abonnement Pro (aucune donnée bancaire n'est stockée sur nos serveurs)
• Données techniques : adresse IP, type de navigateur/appareil, logs d'accès

Tes données sont utilisées pour :

• Fournir et personnaliser le service de révision (algorithme HELACE-SR)
• Générer des flashcards et QCM via intelligence artificielle (Claude d'Anthropic)
• Gérer ton compte et ton abonnement
• Synchroniser tes données entre l'application iOS et le site web
• T'envoyer des communications transactionnelles (confirmation de compte, réinitialisation de mot de passe)
• Vérifier l'unicité du compte et prévenir la création de comptes multiples (numéro de téléphone — vérification manuelle dans un premier temps, puis automatisée via un service tiers)
• Améliorer le service (analyse statistique anonymisée)
• Respecter nos obligations légales

• Exécution du contrat (art. 6.1.b RGPD) : traitement nécessaire à la fourniture du service
• Consentement (art. 6.1.a RGPD) : pour les communications marketing si applicable
• Intérêt légitime (art. 6.1.f RGPD) : sécurité du service, prévention de la fraude

Nous faisons appel aux sous-traitants suivants :

• Supabase Inc. (États-Unis) : base de données et authentification. Données hébergées en Europe (région EU West). Clauses contractuelles types UE appliquées.
• Vercel Inc. (États-Unis) : hébergement du site web. Données en transit uniquement.
• Anthropic PBC (États-Unis) : génération IA de cartes. Seul le contenu de cours que tu soumets est transmis, sans données d'identité. Données non conservées par Anthropic au-delà de la requête.
• OVHcloud (France) : serveur email SMTP. Données hébergées en France.
• Google Ireland Ltd / Google LLC (Irlande, États-Unis) : régie publicitaire (AdMob) de l'application mobile, uniquement pour les comptes gratuits. Reçoit l'identifiant publicitaire de l'appareil, une localisation approximative déduite de l'adresse IP et les interactions avec les annonces. Clauses contractuelles types UE appliquées. Politique de confidentialité de Google.
• Stripe Inc. (États-Unis) : traitement des paiements et gestion des abonnements. Seules les données nécessaires à la facturation sont transmises. Stripe est certifié PCI-DSS niveau 1. Aucune donnée bancaire complète n'est stockée sur nos serveurs. Clauses contractuelles types UE appliquées.

Aucune donnée n'est vendue à des tiers.

• Données de compte : conservées pendant toute la durée d'activité du compte, puis supprimées dans les 30 jours suivant la clôture
• Données de révision : conservées tant que le compte est actif
• Logs techniques : 90 jours
• Données de facturation : 10 ans (obligation comptable légale)

Conformément au Règlement Général sur la Protection des Données (RGPD), tu disposes des droits suivants :

• Droit d'accès : obtenir une copie de tes données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : supprimer ton compte et toutes tes données
• Droit à la portabilité : recevoir tes données dans un format structuré
• Droit d'opposition : t'opposer à certains traitements
• Droit à la limitation : limiter le traitement de tes données

Pour exercer ces droits, contacte-nous à support@helace.app. Nous répondons sous 30 jours.

Tu peux également introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : cnil.fr.

Helace utilise deux catégories de cookies :

• Cookies strictement nécessaires : cookies de session Supabase Auth, indispensables à l'authentification. Ne nécessitent pas de consentement.
• Cookies analytiques (PostHog) : utilisés pour analyser l'utilisation du site de manière anonyme. Déposés uniquement après consentement explicite. PostHog est hébergé en Europe (EU Cloud). Aucun cookie publicitaire ni de retargeting n'est déposé sur le site web ; la publicité de l'application mobile est traitée à la section 9.

Tu peux modifier ton choix à tout moment. Voir notre politique de cookies.

L'application iOS affiche des publicités, fournies par Google AdMob. Elles financent la version gratuite. Les abonnés Helace Pro n'en voient aucune, et aucune donnée publicitaire n'est alors collectée les concernant.

Pour les comptes gratuits, les données suivantes sont transmises à Google :

• Identifiant publicitaire de l'appareil (IDFA) — uniquement si tu l'autorises
• Localisation approximative — déduite de l'adresse IP, au niveau du pays ou de la région. L'application ne demande jamais l'accès à ta position
• Interactions avec les annonces — affichages, clics, incidents techniques

Ces données peuvent servir à te proposer des publicités personnalisées et à mesurer leur efficacité, y compris en dehors de Helace. C'est ce qu'Apple appelle du « suivi ».

Ton consentement, et comment le retirer.Avant la première publicité, deux demandes te sont adressées : le formulaire de consentement RGPD de Google, et l'autorisation de suivi d'Apple. Tu peux refuser les deux : l'application fonctionne exactement pareil, avec des publicités non personnalisées. L'autorisation Apple se retire à tout moment dans Réglages > Confidentialité et sécurité > Suivi.

Âge.L'application demande une fois ton année de naissance, avant la première publicité. Si tu as moins de 15 ans — l'âge du consentement numérique en France — seules des publicités non personnalisées te sont proposées. Cette année de naissance reste sur ton téléphone : elle n'est transmise ni à nos serveurs, ni à Google.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger tes données :

• Chiffrement des communications (HTTPS/TLS)
• Mots de passe hachés (bcrypt via Supabase Auth)
• Accès aux données contrôlé par Row Level Security (RLS)
• En-têtes de sécurité HTTP (HSTS, CSP, X-Frame-Options)

Nous pouvons mettre à jour cette politique. En cas de modification substantielle, tu seras notifié par email. La date de dernière mise à jour figure en haut de cette page.