Politique de confidentialité

1. Introduction et objet

Astraea exploite une plateforme de voyance en ligne (tarot, astrologie, numérologie, runes, Yi King) accessible à des personnes majeures. La présente politique de confidentialité décrit comment nous collectons, utilisons, partageons et protégeons vos données à caractère personnel, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (ci-après le « RGPD ») et à la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

Nous attirons votre attention sur un point essentiel de transparence : les réponses que vous recevez lors de vos consultations (échanges dits « avec une voyante », interprétations, tirages) sont générées par un système d'intelligence artificielle, et non par une personne physique. Le fonctionnement détaillé de ce traitement est décrit à la Section 6. Astraea n'est ni un professionnel de santé, ni un service de soutien psychologique, et n'est soumis à aucun secret médical ou professionnel au sens du Code de la santé publique ou du Code pénal. Nos services sont proposés à des fins de divertissement et de développement personnel.

Nous vous invitons à lire attentivement cette politique. En utilisant nos services, vous reconnaissez en avoir pris connaissance. Certains traitements spécifiques (mémorisation de vos consultations, traitement de données sensibles, prospection commerciale) font l'objet d'un consentement distinct et explicite, recueilli séparément, que vous pouvez retirer à tout moment (voir Sections 4, 6 et 9).

2. Responsable du traitement

Le responsable du traitement de vos données à caractère personnel, au sens de l'article 4.7 du RGPD, est :

• Dénomination / raison sociale : Studio404 (Simon Taieb — entrepreneur individuel)
• Forme juridique : Entrepreneur individuel (EI)
• SIREN : 834 546 541
• SIRET : 834 546 541 00014
• RCS : Paris 834 546 541
• N° de TVA intracommunautaire : FR86834546541
• Adresse du siège : 41 rue des Maraîchers, 75020 Paris
• Représentant légal : Simon Taieb, entrepreneur individuel
• Courriel : privacy@astraea-voyance.com

La forme juridique et l'identité ci-dessus doivent être strictement cohérentes avec celles publiées dans nos mentions légales (route /legal), conformément à l'article 6-III de la loi n°2004-575 du 21 juin 2004 (LCEN) et à l'article R.123-237 du Code de commerce.

3. Délégué à la protection des données (DPO)

Compte tenu de la nature de nos traitements (traitement de données potentiellement sensibles à grande échelle, voir Section 6), un Délégué à la Protection des Données (DPO) est désigné conformément à l'article 37 du RGPD.

• DPO : M. Simon Taieb (éditeur)
• Courriel : dpo@astraea-voyance.com
• Adresse postale : 41 rue des Maraîchers, 75020 Paris

Les coordonnées du DPO sont publiées et communiquées à la CNIL conformément à l'article 37.7 du RGPD. Vous pouvez contacter le DPO pour toute question relative au traitement de vos données et à l'exercice de vos droits (Section 9).

Note de conformité : si aucun DPO n'est formellement désigné et déclaré à la CNIL, cette section et toute référence à un DPO doivent être retirées du document avant publication.

4. Catégories de données collectées et données sensibles

Nous collectons et traitons les catégories de données suivantes :

a) Données d'identification et de compte : nom d'utilisateur, adresse e-mail, mot de passe (stocké sous forme chiffrée/hachée), préférences de profil, et, le cas échéant, votre déclaration de majorité (18 ans ou plus).

b) Données de consultation : contenu des messages que vous échangez dans le chat, résultats des tirages et interprétations (tarot, astrologie, numérologie, runes, Yi King), historique des consultations, préférences de personnages et évaluations.

c) Données de paiement : historique d'achat de packs d'énergies (jetons), informations de facturation, solde de jetons. Les données de carte bancaire ne sont jamais collectées ni stockées par Astraea : elles sont traitées directement par notre prestataire de paiement (voir Section 7).

d) Données techniques et de navigation : adresse IP, type de navigateur et d'appareil, données de connexion, identifiants de session, et données issues des cookies et traceurs (voir Section 10).

DONNÉES SENSIBLES (catégories particulières — article 9 du RGPD). Par la nature même d'une consultation de voyance, vous êtes susceptible de communiquer librement, dans le chat, des informations qui constituent des « catégories particulières de données » au sens de l'article 9.1 du RGPD : données relatives à votre santé (y compris votre état émotionnel ou votre santé mentale), à votre vie sentimentale ou sexuelle, à vos convictions religieuses ou philosophiques, ou à votre origine. Ces informations ne vous sont jamais demandées et ne sont pas nécessaires au service ; elles sont fournies à votre seule initiative.

Le traitement de ces données sensibles repose sur votre CONSENTEMENT EXPLICITE (article 9.2.a du RGPD), recueilli de manière distincte et préalable à l'usage du chat, séparément de l'acceptation des conditions générales. Ce consentement explicite est cumulatif avec une base de l'article 6 (exécution du contrat / consentement). Vous pouvez le retirer à tout moment (Section 9), ce qui mettra fin à ce traitement pour l'avenir. Nous vous recommandons de limiter les informations sensibles que vous communiquez à ce qui est strictement utile à votre demande (principe de minimisation, article 5.1.c du RGPD), étant rappelé que ces données sont transmises au prestataire d'IA décrit à la Section 6.

Compte tenu du traitement à grande échelle de données potentiellement sensibles, du recours à une technologie d'intelligence artificielle tierce et de l'éventuel profilage, une analyse d'impact relative à la protection des données (AIPD/DPIA, article 35 du RGPD) est conduite et tenue à jour.

5. Finalités du traitement et bases légales

Chaque traitement poursuit une finalité déterminée et repose sur une base légale précise (article 6 du RGPD, complété par l'article 9 pour les données sensibles) :

a) Fourniture des services de voyance, gestion du compte et exécution des consultations. Base légale : exécution du contrat (article 6.1.b). Pour les données sensibles que vous communiquez dans le chat : consentement explicite (articles 6.1.a et 9.2.a).

b) Gestion des paiements, facturation et lutte contre la fraude. Base légale : exécution du contrat (article 6.1.b) et respect d'obligations légales comptables et fiscales (article 6.1.c).

c) Mémorisation des consultations (« mémoire ») et personnalisation par profilage. Cette fonctionnalité conserve, d'une session à l'autre, des éléments de vos échanges afin de personnaliser les consultations futures. Elle est désactivée par défaut. Base légale : votre consentement préalable (article 6.1.a) et, pour les données sensibles concernées, votre consentement explicite (article 9.2.a). Vous activez et retirez ce consentement aussi simplement (article 7.3) dans les paramètres de votre compte.

d) Mesure d'audience et amélioration du service. Base légale : pour les outils de mesure d'audience nécessitant un traceur, votre consentement (article 6.1.a) recueilli via le bandeau cookies (Section 10) ; pour les analyses fondées sur notre intérêt légitime, l'article 6.1.f, après mise en balance documentée (considérant 47 ; accountability, article 5.2). Vous disposez d'un droit d'opposition (article 21) pour les traitements fondés sur l'intérêt légitime. Aucune donnée sensible n'est utilisée à des fins d'amélioration sans votre consentement explicite.

e) Communications relationnelles (notifications de service) et, séparément, prospection commerciale. Base légale : exécution du contrat (article 6.1.b) pour les communications strictement liées au service ; consentement (article 6.1.a) pour la prospection commerciale, retirable à tout moment.

6. Génération des réponses par une intelligence artificielle et recours à un sous-traitant

Information essentielle et transparente : les réponses de consultation présentées sur Astraea (échanges de chat, interprétations, lectures) sont générées par un système d'intelligence artificielle, et non par une personne physique.

Pour générer ces réponses, le contenu de vos messages est transmis, en qualité de sous-traitant au sens de l'article 28 du RGPD, à la société OpenAI (OpenAI, L.L.C. et ses sociétés affiliées), fournisseur des modèles d'intelligence artificielle « GPT », établie aux États-Unis, et, en solution de secours en cas d'indisponibilité, à la société Anthropic PBC, fournisseur du modèle « Claude », également établie aux États-Unis. Cela signifie concrètement que le contenu de vos consultations — y compris d'éventuelles données sensibles que vous y communiquez — fait l'objet d'un transfert hors de l'Union européenne, encadré par les garanties décrites à la Section 11.

En conséquence, et par souci de loyauté (article 5.1.a du RGPD), nous précisons que vos consultations ne sont pas « strictement confidentielles entre vous et une voyante » : elles transitent par un système d'IA opéré par un prestataire tiers. Nous ne présentons pas et n'avons jamais à présenter ce service comme rendu par des professionnels humains soumis à un secret professionnel ou médical : une telle qualification serait juridiquement inexacte.

Un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD est conclu avec OpenAI et avec Anthropic PBC. Ces sous-traitants traitent vos données uniquement sur nos instructions documentées et pour la seule finalité de génération des réponses. Les requêtes adressées à OpenAI sont accompagnées d'un identifiant pseudonymisé (jamais votre nom ni votre adresse e-mail) et sont envoyées sans demande de conservation de l'échange par le fournisseur.

Nature du traitement automatisé : la génération des réponses est automatisée. Toutefois, nos consultations étant proposées à des fins de divertissement et de développement personnel, elles ne produisent pas d'effet juridique ni n'affectent significativement votre situation au sens de l'article 22 du RGPD. Si vous souhaitez des précisions sur la logique générale de ce traitement automatisé, vous pouvez contacter notre DPO.

7. Destinataires et sous-traitants

Nous ne vendons jamais vos données à caractère personnel. Vos données ne sont communiquées qu'aux destinataires et sous-traitants strictement nécessaires à la fourniture du service, listés ci-dessous (article 13.1.e du RGPD) :

a) OpenAI, L.L.C. (États-Unis) — sous-traitant fournisseur du système d'intelligence artificielle générant les réponses de consultation et la mémoire de suivi ; Anthropic PBC (États-Unis) — sous-traitant de secours, utilisé en cas d'indisponibilité. Données concernées : contenu des messages, des images que vous envoyez et du contexte de consultation. Transfert hors UE encadré (Section 11).

b) Stripe — sous-traitant de paiement. Entité contractante : Stripe Payments Europe Ltd. (Irlande), avec transfert possible vers Stripe, Inc. (États-Unis). Données concernées : données de transaction et de facturation, données de carte (traitées directement par Stripe, certifié PCI-DSS). Astraea ne stocke aucune donnée de carte bancaire.

c) Hébergeur — Amazon Web Services EMEA SARL (Luxembourg), groupe Amazon Web Services, Inc. (États-Unis) — hébergement sur l'infrastructure AWS (région Union européenne). Données concernées : ensemble des données stockées sur l'infrastructure.

d) Outil de mesure d'audience — Google Ireland Limited / Google LLC (Google Analytics 4), uniquement sous réserve de votre consentement via le bandeau cookies.

e) Autorités compétentes — communication possible en exécution d'une obligation légale, d'une décision de justice ou d'une réquisition régulière.

Un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD est conclu avec chacun de nos sous-traitants. La liste à jour des sous-traitants peut vous être communiquée sur demande à privacy@astraea-voyance.com.

Note : aucune mention d'un prestataire (par exemple PayPal) qui ne serait pas réellement utilisé ne doit figurer dans cette liste ; seul le moyen de paiement effectivement mis en œuvre est indiqué.

8. Durées de conservation

Vos données sont conservées pour la durée strictement nécessaire aux finalités poursuivies (article 5.1.e du RGPD), selon les critères suivants (article 13.2.a) :

• Données de compte : pendant toute la durée de vie du compte, puis supprimées au plus tard 30 jours après sa fermeture, sauf obligation légale de conservation.
• Historique des consultations et contenu des chats : 3 ans à compter de la dernière consultation, pour vous permettre d'accéder à votre historique et au titre de la gestion du service. Cette conservation n'est pas justifiée par une finalité d'« amélioration des services ».
• Mémoire des consultations (UserMemory, profilage) : conservée tant que le consentement à la mémoire est actif, et au maximum 24 mois après la dernière interaction. Supprimée immédiatement en cas de retrait du consentement ou de désactivation de la fonctionnalité.
• Données de facturation : 10 ans, conformément aux obligations comptables (article L.123-22 du Code de commerce) et fiscales.
• Données de mesure d'audience : durée conforme aux recommandations de la CNIL ; si ces données sont réellement anonymisées, elles ne relèvent plus du RGPD.
• Données techniques liées aux traceurs : selon les durées indiquées dans la Section 10 et le bandeau cookies.

Les données sensibles communiquées dans le chat suivent la durée applicable à l'historique des consultations et/ou à la mémoire, et sont supprimées dès le retrait du consentement correspondant.

9. Vos droits

Conformément aux articles 15 à 22 du RGPD et à la loi du 6 janvier 1978, vous disposez des droits suivants :

• Droit d'accès (article 15) : obtenir la confirmation que vos données sont traitées et une copie de celles-ci.
• Droit de rectification (article 16) : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (article 17) : demander la suppression de vos données dans les cas prévus par la loi.
• Droit à la limitation du traitement (article 18).
• Droit à la portabilité (article 20) : recevoir les données que vous nous avez fournies, dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement, pour les traitements fondés sur le consentement ou le contrat et effectués par des moyens automatisés.
• Droit d'opposition (article 21) : vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime, et vous opposer à tout moment à la prospection commerciale.
• Droit de retirer votre consentement à tout moment (article 7.3), notamment pour le traitement des données sensibles dans le chat, la mémoire des consultations et la prospection. Le retrait ne remet pas en cause la licéité des traitements effectués avant ce retrait.
• Directives post-mortem (articles 84 et 85 de la loi n°78-17) : vous pouvez définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès, et nous indiquer la personne chargée de leur exécution.

Pour exercer vos droits, écrivez à privacy@astraea-voyance.com (objet : « Exercice de mes droits RGPD »). Nous pourrons vous demander un justificatif d'identité en cas de doute raisonnable. Nous répondons dans un délai d'un mois à compter de la réception de la demande ; ce délai peut être prolongé de deux mois pour les demandes complexes ou nombreuses, auquel cas vous en serez informé dans le premier mois (article 12.3 du RGPD).

10. Cookies et traceurs

Astraea utilise des cookies et traceurs (y compris le stockage local de votre terminal), soumis à l'article 82 de la loi n°78-17 et aux délibérations CNIL n°2020-091 et n°2020-092 du 17 septembre 2020.

• Traceurs strictement nécessaires : indispensables au fonctionnement du service que vous demandez (authentification, session, sécurité). Exemptés de consentement.
• Traceurs de mesure d'audience : déposés et lus uniquement après votre consentement.
• Traceurs marketing / publicitaires : déposés et lus uniquement après votre consentement.

Aucun traceur non strictement nécessaire, ni aucune écriture en stockage local à finalité publicitaire ou de mesure (par exemple, capture d'identifiants UTM, gclid, fbclid), n'est mis en œuvre avant le recueil de votre consentement. Refuser est aussi simple qu'accepter. Vous pouvez modifier vos choix à tout moment via le bandeau de gestion des cookies accessible sur le site.

Le détail des traceurs (éditeur, finalité, durée) est accessible depuis le bandeau de consentement. La durée de conservation de votre choix de consentement et la durée de vie des traceurs sont conformes aux recommandations de la CNIL.

11. Transferts de données hors de l'Union européenne

Certaines de vos données font l'objet d'un transfert hors de l'Union européenne, notamment vers les États-Unis, dans le cadre du recours au prestataire d'intelligence artificielle (Section 6) et, le cas échéant, aux outils de mesure d'audience (Section 10).

Ces transferts sont encadrés conformément au chapitre V du RGPD :

• Lorsque le destinataire est certifié sous l'EU-US Data Privacy Framework (cadre de protection des données UE–États-Unis), le transfert repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 (article 45 du RGPD). L'inscription effective de chaque entité est vérifiable sur le registre public dataprivacyframework.gov.
• À défaut de certification applicable, le transfert repose sur les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021), au titre de l'article 46.2.c du RGPD, complétées par des mesures supplémentaires appropriées issues d'une analyse d'impact des transferts.

Nous ne nous prévalons d'aucun mécanisme caduc : en particulier, le « Privacy Shield », invalidé par la Cour de justice de l'Union européenne le 16 juillet 2020 (arrêt « Schrems II », C-311/18), n'est pas et ne saurait être invoqué.

Destinataires hors UE identifiés à ce jour : OpenAI, L.L.C. (États-Unis) ; Anthropic PBC (États-Unis) ; Stripe, Inc. (États-Unis) ; Google LLC (États-Unis) pour la mesure d'audience, sous réserve de votre consentement.

Vous pouvez obtenir une copie des garanties mises en place pour ces transferts, ou connaître le lieu où elles ont été rendues disponibles, en adressant une demande à privacy@astraea-voyance.com (article 13.1.f du RGPD).

12. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au risque afin de protéger vos données (article 32 du RGPD), notamment :

• chiffrement des communications via TLS/HTTPS ;
• stockage des mots de passe sous forme hachée ;
• contrôle des accès selon le principe du besoin d'en connaître ;
• sauvegardes régulières et journalisation.

Nous ne communiquons que les mesures réellement mises en œuvre, par souci de loyauté et d'exactitude de l'information (articles 5.1.a et 5.2 du RGPD). À ce jour, les mesures suivantes sont mises en œuvre : chiffrement des échanges via le protocole HTTPS/TLS ; stockage des mots de passe sous forme hachée (jamais en clair) ; restriction des accès selon le principe du besoin d'en connaître ; sauvegardes régulières. L'authentification à deux facteurs et le chiffrement des contenus au repos ne sont pas mis en œuvre à ce jour. Nous vous recommandons en conséquence de ne pas communiquer, dans le chat, de données sensibles que vous ne souhaiteriez pas voir conservées.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous serez informé conformément aux articles 33 et 34 du RGPD.

13. Mineurs

Nos services sont strictement réservés aux personnes majeures (18 ans ou plus). Nous ne collectons pas sciemment de données relatives à des mineurs. Si vous estimez qu'un mineur nous a transmis des données, contactez-nous à privacy@astraea-voyance.com afin que nous procédions à leur suppression.

14. Modifications de la politique

Cette politique peut être mise à jour pour tenir compte des évolutions légales, techniques ou de nos services. En cas de modification substantielle affectant vos droits, nous vous en informerons par un moyen approprié (notification sur le site et/ou par e-mail) avant son entrée en vigueur, et, lorsque la loi l'exige, nous recueillerons à nouveau votre consentement. La date de dernière mise à jour figure en tête du document et correspond à la date réelle de la dernière révision.

15. Contact et réclamation auprès de la CNIL

Pour toute question relative à cette politique ou au traitement de vos données : privacy@astraea-voyance.com (ou le DPO, voir Section 3).

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle française (article 77 du RGPD) :

Commission Nationale de l'Informatique et des Libertés (CNIL) 3 Place de Fontenoy — TSA 80715 75334 PARIS CEDEX 07 Téléphone : 01 53 73 22 22 Site : www.cnil.fr

16. Droit applicable

La présente politique de confidentialité est régie par le droit français et par le droit de l'Union européenne. Si vous résidez dans un autre État membre de l'Union européenne, vous conservez le bénéfice des dispositions impératives de protection des données applicables dans votre pays de résidence.