Politique de confidentialité

Le responsable du traitement est :

• Éditeur : Valérie Garcia — entrepreneuse individuelle
• Adresse postale : 97 rue du Maréchal Foch, 33470 Gujan-Mestras, France
• SIRET : 818 488 405 000 23
• TVA : franchise en base (art. 293 B CGI)
• Représentante légale : Valérie Garcia
• Email de contact : contact@corazen.fr

Délégué à la protection des données (DPO) : la désignation d'un DPO n'est pas obligatoire pour l'activité de l'Éditeur au sens de l'article 37 RGPD. Un point de contact « protection des données » est cependant mis à disposition à l'adresse contact@corazen.fr.

Les catégories de données personnelles suivantes sont collectées :

Données d'identification et de compte

• adresse email (utilisée pour l'activation et la connexion) ;
• mot de passe (stocké sous forme hashée et salée, jamais en clair) ;
• nom d'affichage (« display name »), pseudonyme et éventuellement identifiant public (handle) ;
• avatar (photo de profil) et bio, si l'Utilisateur choisit de les renseigner ;
• tier (Coralien ou Corazien) et rôle (Membre, Modérateur, Cofondateur, Administrateur) ;
• date de création du compte et date de dernière activité.

Données de contenu

• publications, commentaires, réactions, appartenance à des communautés et sujets ;
• fichiers téléversés (images, PDF) ;
• pour les messages privés : uniquement le ciphertext (contenu chiffré), le nonce, les identifiants des participants et l'horodatage — le contenu en clair n'est jamais accessible à l'Éditeur (voir section 7).

Données techniques et de sécurité

• adresse IP et user-agent lors de la connexion (traités par les services d'authentification de Supabase) ;
• logs applicatifs (dates de connexion, erreurs, actions administrateur) à des fins de sécurité et de débogage.

Données commerciales (via Shopify)

• identifiant de la commande Shopify ayant généré le code d'activation ;
• éventuellement prénom et nom du client, tels que transmis par le webhook Shopify orders/paid.

Données de paiement (le cas échéant)

• identifiants clients Stripe (Customer ID) et identifiants d'abonnement ;
• statut, montants, dates et échéances des paiements ;
• les données de carte bancaire ne transitent jamais par les serveurs de l'Éditeur : elles sont exclusivement traitées par Stripe, prestataire certifié PCI-DSS niveau 1.

Clés cryptographiques (messagerie E2E)

• Clé publique : publiée sur le profil de l'Utilisateur pour permettre le chiffrement des messages qui lui sont adressés.
• Clé privée : générée et stockée exclusivement dans le navigateur de l'Utilisateur (localStorage). Elle n'est jamais transmise à l'Éditeur ni à un tiers.

Chaque traitement repose sur une base légale identifiée conformément à l'article 6 du RGPD :

Aucun traitement ne repose actuellement sur le consentement au sens de l'article 6.1.a du RGPD, l'Éditeur n'effectuant ni analytique tierce ni publicité ciblée.

Les données personnelles sont accessibles aux personnes suivantes, dans la stricte limite de leurs missions :

• les administrateurs et modérateurs de l'Éditeur, dans les limites définies par leurs rôles ;
• les autres Utilisateurs, pour les seules informations publiques (nom d'affichage, avatar, bio, publications, commentaires, réactions, tier lorsqu'il est visible).

L'Éditeur fait appel aux sous-traitants suivants, dans le respect de l'article 28 du RGPD, chacun ayant conclu avec l'Éditeur (directement ou via ses conditions générales) un accord de traitement de données (DPA) :

Aucune donnée personnelle n'est vendue, louée ou cédée à des tiers à des fins commerciales.

Certains sous-traitants (Vercel, Resend) sont établis aux États-Unis. Le transfert de données personnelles vers ces prestataires est encadré par :

• les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne (décision d'exécution 2021/914) ;
• et/ou, pour les prestataires certifiés, le cadre EU-U.S. Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023).

L'Éditeur veille à ce que ses sous-traitants américains disposent de garanties appropriées et à ce que le niveau de protection accordé aux données soit conforme aux exigences du RGPD.

Supabase héberge la base de données du Club dans son centre de données irlandais (Union européenne). Aucun transfert de la base de données hors UE n'est effectué par cet hébergeur.

Les durées de conservation appliquées sont les suivantes :

• Compte utilisateur actif : pendant toute la durée d'utilisation du Site, plus une période de trois (3) ans après la dernière activité, à des fins de reprise de la relation contractuelle.
• Compte supprimé : suppression sous 30 jours des données d'identification, sauf obligations légales de conservation.
• Publications et commentaires : conservés tant que le compte est actif ; à la suppression du compte, anonymisation ou suppression selon le choix exprimé par l'Utilisateur.
• Messages privés chiffrés : conservés jusqu'à leur suppression manuelle par l'un des participants ou par un administrateur (réinitialisation de conversation). Une purge automatique des conversations inactives depuis plus de deux (2) ans peut être mise en place.
• Codes d'activation : conservés 5 ans à des fins de traçabilité de la relation commerciale et anti-fraude.
• Logs applicatifs et de sécurité : conservés 12 mois (article L.34-1 du Code des postes et communications électroniques et recommandations CNIL).
• Données de facturation : conservées 10 ans (article L.123-22 du Code de commerce).
• Données Stripe (identifiants abonnement) : conservées tant que l'abonnement est actif, puis 5 ans après résiliation pour la prescription commerciale.

L'Éditeur met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement en transit : intégralité des échanges chiffrés en TLS 1.2 ou supérieur (HTTPS).
• Chiffrement au repos : chiffrement AES-256 des données au niveau de l'hébergement Supabase.
• Chiffrement de bout en bout des messages privés : les messages entre Utilisateurs sont chiffrés côté navigateur (Curve25519 + XSalsa20-Poly1305, bibliothèque TweetNaCl). La clé privée n'est jamais transmise à l'Éditeur ou à un tiers. En conséquence, ni l'Éditeur, ni ses hébergeurs, ni un tiers ne sont techniquement en mesure de lire le contenu des messages.
• Contrôle d'accès : politiques de sécurité au niveau des lignes (Row-Level Security PostgreSQL) empêchant chaque Utilisateur d'accéder aux données auxquelles il n'a pas droit.
• Authentification : hashage des mots de passe par la fonction de dérivation bcrypt/scrypt, jamais stockés en clair.
• Cloisonnement : séparation stricte des rôles applicatifs (anon, authenticated, service_role).
• Journalisation : conservation des logs de connexion et d'actions administratives à des fins de sécurité et de détection d'anomalies.
• Notifications de violation : en cas de violation de données personnelles au sens de l'article 4.12 RGPD, l'Éditeur notifiera la CNIL sous 72 heures et informera les personnes concernées lorsque cela est requis (art. 33 et 34 RGPD).

Conformément aux articles 33 et 34 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, l'Éditeur :

• notifiera la CNIL dans un délai de 72 heures après en avoir pris connaissance ;
• informera les personnes concernées dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sauf exceptions prévues à l'article 34.3 RGPD (données rendues incompréhensibles par un chiffrement approprié, mesures ultérieures écartant le risque élevé, effort disproportionné justifiant une communication publique).

La notification aux personnes se fera par email à l'adresse renseignée sur le Compte, en décrivant la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables, les mesures prises ou proposées pour y remédier, ainsi que le point de contact pour toute information complémentaire.

Le chiffrement de bout en bout des messages privés (voir section 7) constitue une mesure technique appropriée au sens de l'article 34.3.a RGPD : en cas de violation affectant uniquement le ciphertext, la communication individuelle peut ne pas être requise.

L'Éditeur ne pratique aucune prospection commerciale automatisée à partir des données collectées via le Club à ce jour. Les seuls emails envoyés aux Utilisateurs sont des emails transactionnelsstrictement liés à l'exécution du service : activation, réinitialisation du mot de passe, notifications de nouveaux messages ou réponses.

Si l'Éditeur venait à mettre en place une lettre d'information ou des communications marketing :

• les clients ayant déjà acheté un produit ou service Corazen pourraient être sollicités pour des produits ou services analogues, sur le fondement du « soft opt-in » prévu à l'article L.34-5 du Code des postes et communications électroniques, avec la possibilité de s'opposer gratuitement dès la première communication puis à chaque email par un lien de désinscription clair ;
• les prospects non clients ne pourraient être sollicités qu'après recueil d'un consentement exprès, spécifique, éclairé et univoque au sens de l'article 4.11 RGPD.

Vous pouvez à tout moment demander à ne plus recevoir de communications non transactionnelles à l'adresse contact@corazen.fr.

L'Éditeur tient un registre des activités de traitement conforme à l'article 30 du RGPD, recensant l'ensemble des traitements de données à caractère personnel effectués dans le cadre du Club Corazen. Ce registre est un document interne susceptible d'être communiqué à la CNIL sur demande.

Toute personne concernée qui souhaite obtenir des informations sur les traitements la concernant peut consulter la présente politique ou solliciter l'Éditeur via son droit d'accès (voir section 11).

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) : obtenir la confirmation qu'un traitement est effectué et en obtenir une copie.
• Droit de rectification (art. 16) : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli », art. 17) : obtenir l'effacement de vos données sous réserve des motifs légitimes de conservation.
• Droit à la limitation (art. 18) : demander la suspension du traitement dans certaines situations.
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.
• Droit d'opposition (art. 21) : vous opposer au traitement de vos données fondé sur l'intérêt légitime, sauf motif impérieux prévalant sur vos intérêts.
• Droit de définir des directives post-mortem relatives au sort de vos données après votre décès (art. 85 Loi Informatique et Libertés).
• Droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci (art. 7.3).

Vous pouvez exercer ces droits en écrivant à contact@corazen.fr. Une réponse vous sera apportée dans un délai maximal d'un (1) mois à compter de la réception de votre demande (délai pouvant être prolongé de deux mois en cas de complexité). Une vérification d'identité pourra être demandée, notamment en cas de doute raisonnable sur l'identité du demandeur.

Sans préjudice des recours juridictionnels, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle française, la Commission Nationale de l'Informatique et des Libertés (CNIL), si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD :

• Adresse : 3 Place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07
• Site : www.cnil.fr
• Téléphone : 01 53 73 22 22

Le Club Corazen n'est pas destiné aux personnes de moins de 18 ans et ne collecte pas sciemment de données personnelles concernant des mineurs. Si l'Éditeur venait à découvrir qu'un mineur a créé un compte, celui-ci serait supprimé sans délai et les données associées effacées.

L'Éditeur ne prend aucune décision produisant des effets juridiques ou affectant significativement les Utilisateurs sur la seule base d'un traitement automatisé, y compris du profilage, au sens de l'article 22 du RGPD.

Aucun cookie ni traceur publicitaire ou analytique tiers n'est déposé sur les terminaux des Utilisateurs (voir Politique de cookies).

La présente Politique de confidentialité peut être mise à jour pour refléter les évolutions techniques, légales ou fonctionnelles du Site. Toute modification substantielle sera portée à la connaissance des Utilisateurs par email ou par un bandeau d'information sur le Site. La date figurant en en-tête indique la dernière mise à jour.

Pour toute question relative à la présente politique ou au traitement de vos données :

• Par email : contact@corazen.fr
• Par courrier postal : à l'adresse du siège social indiquée dans les Mentions légales