Politique de confidentialité

1. RESPONSABLE DU TRAITEMENT

Le responsable du traitement des données personnelles traitées dans le cadre de The Mirror est :

Refralume
Pays : France
Contact relatif à la protection des données : hello@refralume.com

Vous pouvez utiliser cette adresse pour toute question relative à cette Politique de confidentialité ou pour exercer vos droits concernant vos données personnelles.

2. INFORMATIONS QUE NOUS TRAITONS

The Mirror limite la collecte de données à celles nécessaires au fonctionnement de l'application et de ses fonctionnalités.

2.1. Informations de compte et d'authentification

Lorsque vous créez ou utilisez un compte, certaines informations peuvent être traitées afin de vous identifier et de sécuriser votre accès à l'application. Selon la méthode de connexion choisie, ces informations peuvent notamment comprendre :

• votre adresse e-mail ;
• les informations techniques nécessaires à l'authentification ;
• les identifiants associés à Sign in with Apple ou Google Sign-In lorsque vous utilisez ces services.

L'authentification est assurée au moyen de Firebase Authentication, un service fourni par Google. Lorsque vous utilisez Apple ou Google pour vous connecter, ces fournisseurs peuvent également traiter des informations conformément à leurs propres politiques de confidentialité.

2.2. Questions et réflexions soumises à The Mirror

Lorsque vous utilisez certaines expériences de The Mirror, vous pouvez saisir librement une question ou un texte de réflexion. Cela comprend notamment :

• votre question initiale ;
• une éventuelle version adaptée de votre question.

Ces contenus peuvent, par leur nature, contenir des informations personnelles, intimes ou sensibles que vous choisissez volontairement de communiquer. Nous vous recommandons de ne pas inclure d'informations permettant d'identifier inutilement d'autres personnes et de ne pas communiquer de données sensibles qui ne sont pas nécessaires à votre utilisation de The Mirror.

Chiffrement des questions. Pour les utilisateurs pour lesquels le système de chiffrement est activé, les questions et questions adaptées sont chiffrées sur l'appareil avant leur stockage. The Mirror utilise pour ces données un mécanisme combinant RSA-OAEP-256 et AES-256-GCM. La clé privée nécessaire au déchiffrement reste sur l'appareil de l'utilisateur et est conservée au moyen du système sécurisé Keychain/iCloud Keychain. Le serveur conserve uniquement la clé publique nécessaire aux opérations de chiffrement ainsi que les informations techniques permettant d'identifier la clé utilisée. La clé privée n'est pas transmise au serveur de The Mirror.

Activation automatique du chiffrement. Le mécanisme de chiffrement s'active automatiquement pour chaque utilisateur dès la première utilisation de l'application, sans action requise de votre part. Dans de rares cas techniques (par exemple, si iCloud Keychain n'est pas disponible sur l'appareil, ou en cas d'erreur technique lors de l'initialisation), certaines données peuvent être temporairement stockées sans ce chiffrement côté client, sous forme de texte lisible sur l'infrastructure de l'application.

2.3. Cartes sélectionnées

Lorsque vous effectuez une expérience utilisant des cartes, The Mirror conserve les informations nécessaires à la lecture, notamment :

• les cartes sélectionnées ;
• leur position dans la méthode utilisée ;
• les informations relatives à leur arcane ou leur famille (« suit »), lorsque celles-ci sont pertinentes.

Ces informations ne sont actuellement pas protégées par le mécanisme de chiffrement côté client décrit pour les questions.

2.4. Émotions sélectionnées dans Structured Reflection

Lorsque vous utilisez le mode Structured Reflection, The Mirror peut conserver les émotions que vous sélectionnez ou saisissez dans le cadre de l'expérience. Ces informations sont enregistrées afin de permettre le fonctionnement et la restitution de cette expérience. Les émotions enregistrées ne sont actuellement pas protégées par le mécanisme de chiffrement côté client appliqué aux questions.

3. CONTENU GÉNÉRÉ PAR THE MIRROR

3.1. Lectures générées

The Mirror conserve le texte des lectures générées afin de permettre leur affichage et leur utilisation dans l'application. Les lectures générées ne sont actuellement pas protégées par le mécanisme de chiffrement côté client appliqué aux questions.

Une lecture peut toutefois refléter ou reformuler certains éléments de la question ou du contexte fourni par l'utilisateur. Par conséquent, même lorsqu'une question originale est stockée sous forme chiffrée, le texte généré à partir de cette question peut contenir des éléments similaires en texte lisible. Nous vous invitons à tenir compte de cette distinction lorsque vous utilisez l'application.

4. FONCTION « GO DEEPER »

The Mirror permet à l'utilisateur d'approfondir certaines lectures au moyen de la fonction Go Deeper. Dans ce cadre, nous pouvons traiter :

• vos messages de suivi ;
• le contexte nécessaire à la conversation ;
• les réponses générées par l'intelligence artificielle.

Les messages de conversation enregistrés par The Mirror dans le cadre de Go Deeper bénéficient du même mécanisme de chiffrement côté client que celui utilisé pour les questions lorsque ce mécanisme est activé. Ils sont ainsi chiffrés avant leur stockage au moyen du système RSA/AES décrit dans la présente Politique. La clé privée nécessaire au déchiffrement n'est pas stockée sur les serveurs de The Mirror.

5. INTELLIGENCE ARTIFICIELLE ET OPENAI

Certaines fonctionnalités de The Mirror utilisent des modèles d'intelligence artificielle fournis par OpenAI via son API.

5.1. Génération d'une lecture

Afin de produire la lecture demandée, The Mirror peut transmettre à OpenAI les informations nécessaires à la génération du résultat, notamment :

• votre question, sous forme déchiffrée au moment où elle doit être traitée ;
• les cartes sélectionnées ;
• les instructions et informations contextuelles nécessaires à la génération de la lecture.

Le fait qu'une question soit stockée sous forme chiffrée dans la base de données de The Mirror ne signifie donc pas qu'elle reste chiffrée pendant toute l'opération de génération.

Pour que le modèle d'intelligence artificielle puisse traiter votre question, son contenu doit être disponible en texte lisible au moment de la requête adressée au service d'intelligence artificielle.

5.2. Go Deeper

Lorsque vous utilisez Go Deeper, les éléments nécessaires à la conversation peuvent également être transmis à OpenAI afin de générer la réponse, notamment :

• le contexte pertinent de la conversation ;
• vos messages ;
• les réponses précédentes nécessaires au maintien du contexte ;
• votre nouveau message.

Le chiffrement appliqué au stockage de ces messages par The Mirror est donc distinct du traitement temporaire nécessaire pour générer une réponse par intelligence artificielle.

5.3. Utilisation des données par OpenAI

The Mirror utilise l'API d'OpenAI et non le service grand public ChatGPT pour générer ces contenus. Selon les règles applicables aux services API d'OpenAI, les données envoyées via l'API ne sont pas utilisées par défaut pour entraîner ou améliorer les modèles d'OpenAI, sauf mécanisme distinct d'opt-in applicable au compte concerné.

La durée de conservation technique éventuellement appliquée par OpenAI dépend des paramètres et conditions applicables au service API utilisé, y compris l'éventuelle activation d'un mécanisme de rétention réduite (« Zero Data Retention ») propre à certains comptes API.

6. INFORMATIONS CONCERNANT D'AUTRES PERSONNES

Vos questions ou messages peuvent parfois concerner une autre personne. Nous vous demandons d'éviter d'inclure inutilement :

• son nom complet ;
• ses coordonnées ;
• son adresse ;
• des informations médicales ;
• des informations relatives à sa vie privée ;
• ou toute autre information permettant de l'identifier directement lorsqu'elle n'est pas nécessaire à votre réflexion.

Lorsque vous fournissez volontairement des informations concernant une autre personne, vous êtes responsable du contenu que vous choisissez de communiquer à The Mirror.

7. CRÉDITS ET HISTORIQUE DES TRANSACTIONS

The Mirror utilise un système de crédits pour permettre l'accès à certaines fonctionnalités. Afin de gérer ce système, nous pouvons conserver :

• votre solde de crédits ;
• les crédits achetés ;
• les crédits utilisés ;
• les crédits éventuellement offerts ;
• le type de transaction ;
• la source de la transaction ;
• l'identifiant du produit concerné ;
• le solde obtenu après la transaction.

Ces informations sont nécessaires au fonctionnement du système de crédits et à la prévention des erreurs ou abus.

8. ACHATS INTÉGRÉS (APP STORE ET GOOGLE PLAY)

Les achats intégrés sur iOS sont traités par Apple au moyen de l'App Store et de StoreKit, et les achats intégrés sur Android sont traités par Google au moyen de Google Play Billing. The Mirror peut conserver certains identifiants techniques de transaction, notamment afin :

• de confirmer qu'un achat a été traité ;
• d'attribuer les crédits correspondants ;
• d'empêcher qu'une même transaction soit créditée plusieurs fois.

The Mirror ne reçoit pas directement les informations de votre carte bancaire utilisées par Apple ou Google pour effectuer le paiement. Les informations de paiement détenues et traitées par Apple ou Google sont soumises à leurs propres conditions et politiques de confidentialité.

9. PRÉFÉRENCE LINGUISTIQUE

The Mirror peut conserver votre langue d'utilisation ou la langue dans laquelle vous souhaitez recevoir le contenu généré. Cette information est utilisée afin de fournir l'expérience et les lectures dans la langue appropriée.

10. CLÉS DE CHIFFREMENT ET DONNÉES TECHNIQUES DE SÉCURITÉ

Afin de permettre le fonctionnement du mécanisme de chiffrement, The Mirror peut conserver :

• votre clé publique de chiffrement ;
• l'identifiant de la clé utilisée ;
• les informations techniques nécessaires au fonctionnement du système de chiffrement.

Une clé publique est conçue pour permettre le chiffrement des données mais ne permet pas, à elle seule, de les déchiffrer. La clé privée correspondante reste sur l'appareil de l'utilisateur et n'est pas transmise aux serveurs de The Mirror.

11. DONNÉES TECHNIQUES TRAITÉES PAR L'INFRASTRUCTURE

The Mirror utilise les services Firebase suivants : Firebase Authentication (authentification), Cloud Firestore (base de données), Cloud Storage et Cloud Functions (traitement backend). The Mirror n'héberge pas ses propres serveurs indépendants ; l'ensemble du backend applicatif repose sur cette infrastructure Firebase/Google Cloud. Cloud Storage est utilisé uniquement pour mettre en cache les fichiers audio générés par la fonctionnalité de lecture à voix haute (« écouter ») ; ce cache est indexé par une empreinte du texte lu, partagé entre les utilisateurs, et n'est pas lié à votre compte ni à votre identité. Dans le cadre du fonctionnement normal de cette infrastructure, Google/Firebase peut traiter certaines informations techniques telles que :

• l'adresse IP ;
• des informations relatives à l'appareil ;
• des informations relatives à la connexion ;
• des données techniques de sécurité et d'authentification ;
• des journaux nécessaires au fonctionnement et à la sécurité du service.

Ces traitements peuvent résulter du fonctionnement de l'infrastructure Firebase elle-même et ne signifient pas nécessairement que The Mirror crée directement un profil utilisateur à partir de ces informations.

12. CE QUE THE MIRROR N'UTILISE PAS ACTUELLEMENT

Dans la version actuelle de l'application :

• The Mirror n'intègre pas Firebase Analytics ;
• The Mirror n'intègre pas Firebase Crashlytics ;
• The Mirror n'intègre pas Firebase Cloud Messaging pour les notifications push ;
• The Mirror ne collecte pas de token Firebase Cloud Messaging ;
• The Mirror n'utilise pas les données des utilisateurs pour de la publicité ciblée ;
• The Mirror ne vend pas les données personnelles des utilisateurs ;
• The Mirror n'utilise pas les questions ou réflexions des utilisateurs afin d'établir des profils publicitaires.

Si ces pratiques évoluent ultérieurement, la présente Politique de confidentialité sera mise à jour avant ou lors de l'introduction des traitements concernés, conformément aux exigences applicables.

13. POURQUOI NOUS TRAITONS CES DONNÉES

Nous traitons les informations décrites ci-dessus uniquement pour des finalités déterminées, notamment :

• créer et sécuriser votre compte ;
• vous authentifier ;
• fournir les expériences de réflexion demandées ;
• générer vos lectures ;
• permettre la fonction Go Deeper ;
• conserver et afficher les contenus associés à votre compte ;
• gérer votre solde de crédits ;
• enregistrer et valider les transactions ;
• prévenir le double traitement d'un achat ;
• fournir le contenu dans la langue choisie ;
• assurer la sécurité et le fonctionnement technique de l'application ;
• prévenir les abus ou usages frauduleux ;
• respecter nos obligations légales.

Nous n'utilisons pas vos réflexions personnelles à des fins de publicité comportementale.

14. BASES JURIDIQUES DU TRAITEMENT

Lorsque le Règlement général sur la protection des données (« RGPD ») s'applique, nous nous appuyons sur une ou plusieurs bases juridiques selon le traitement concerné.

Exécution du contrat

Les traitements nécessaires pour créer et gérer votre compte, fournir une lecture demandée, permettre Go Deeper, gérer vos crédits, et exécuter et enregistrer les fonctionnalités achetées sont nécessaires à la fourniture du service demandé par l'utilisateur.

Intérêt légitime

Certains traitements techniques strictement nécessaires à la sécurité, à la prévention de la fraude, à la protection du service et au diagnostic de problèmes peuvent reposer sur notre intérêt légitime à exploiter un service fiable et sécurisé.

Obligation légale

Certaines informations peuvent être conservées ou traitées lorsque la législation nous impose de le faire, notamment en matière comptable, fiscale, judiciaire ou réglementaire.

Consentement

Lorsque la réglementation exige votre consentement pour un traitement facultatif, celui-ci sera demandé séparément. Vous pourrez retirer ce consentement dans les conditions prévues par la réglementation applicable.

15. PRESTATAIRES ET DESTINATAIRES

Pour fournir The Mirror, certaines informations peuvent être traitées par des prestataires techniques agissant pour notre compte ou fournissant des services nécessaires au fonctionnement de l'application. Ils comprennent notamment :

Google / Firebase

Pour l'authentification, le stockage et les services backend nécessaires au fonctionnement de The Mirror.

OpenAI, L.L.C. (États-Unis)

Pour le traitement des requêtes nécessaires à la génération des lectures et des réponses de Go Deeper.

Apple

Pour Sign in with Apple, les services liés à l'écosystème iOS et le traitement des achats intégrés via l'App Store et StoreKit.

Google

Lorsque vous choisissez Google Sign-In pour vous authentifier, et pour le traitement des achats intégrés sur Android via Google Play Billing.

Nous ne transmettons pas vos données à des tiers pour qu'ils les utilisent à leurs propres fins de publicité comportementale. Nous pouvons également divulguer certaines informations lorsque cela est légalement nécessaire, notamment afin de répondre à une obligation légale, une décision judiciaire ou une demande légalement contraignante d'une autorité compétente.

16. TRANSFERTS INTERNATIONAUX DE DONNÉES

Certains de nos prestataires peuvent traiter des données en dehors de la France ou de l'Espace économique européen. C'est notamment le cas d'OpenAI, L.L.C., société établie aux États-Unis, à laquelle certaines données sont transmises pour la génération des lectures et des réponses de Go Deeper, ainsi que, le cas échéant, d'autres prestataires techniques établis hors de l'EEE.

Lorsque le RGPD exige des garanties particulières pour un transfert international de données, nous nous appuyons sur les mécanismes de transfert applicables proposés par nos prestataires et reconnus par la réglementation européenne, tels que, selon le cas :

• une décision d'adéquation de la Commission européenne ;
• les clauses contractuelles types approuvées par la Commission européenne ;
• ou tout autre mécanisme légalement reconnu.

Vous pouvez nous contacter pour obtenir davantage d'informations concernant les garanties applicables à un transfert particulier.

17. DURÉE DE CONSERVATION

Nous ne souhaitons pas conserver vos données plus longtemps que nécessaire au regard des finalités pour lesquelles elles sont traitées. Les durées ci-dessous s'appliquent aux catégories de données suivantes :

Données de compte : Pendant toute la durée de vie du compte ; supprimées immédiatement et automatiquement lors de la suppression du compte.

Questions et questions adaptées : Jusqu'à la suppression de la lecture correspondante par l'utilisateur, ou jusqu'à la suppression du compte.

Lectures générées : Jusqu'à la suppression de la lecture correspondante par l'utilisateur, ou jusqu'à la suppression du compte.

Messages Go Deeper : Jusqu'à la suppression de la lecture associée (les messages Go Deeper font partie du même document), ou jusqu'à la suppression du compte.

Solde et historique de crédits : Pendant toute la durée de vie du compte ; supprimés lors de la suppression du compte.

Identifiants de transactions d'achat (identifiants de transaction Apple StoreKit et identifiants de commande Google Play) : Conservés indépendamment du compte utilisateur, à des fins de prévention de la fraude et de la double comptabilisation des transactions, y compris après la suppression du compte (voir Section 18).

Logs techniques éventuels : selon les durées appliquées par les prestataires concernés et nos besoins légitimes de sécurité, sous réserve des exigences légales applicables.

Lorsque certaines informations doivent être conservées plus longtemps afin de respecter une obligation légale ou de défendre un droit en justice, leur utilisation est limitée à cette finalité.

18. SUPPRESSION DU COMPTE ET DES DONNÉES

Vous pouvez demander la suppression de votre compte et des données personnelles associées directement depuis l'application, dans la section Compte.

Lorsque vous confirmez cette demande, votre compte ainsi que l'ensemble des données personnelles associées (notamment vos lectures, vos messages Go Deeper, votre historique de crédits et vos identifiants de chiffrement) sont supprimés de manière immédiate et automatisée, sous réserve :

• des données que nous sommes légalement tenus de conserver ;
• des informations nécessaires à la constatation, à l'exercice ou à la défense de droits en justice ;
• des délais techniques raisonnablement nécessaires à la suppression de copies de sauvegarde lorsqu'elles existent ;
• des identifiants techniques de transaction d'achat (identifiants de transaction Apple StoreKit et identifiants de commande Google Play ; voir Section 8), qui sont conservés indépendamment de votre compte à des fins de prévention de la fraude et de la double comptabilisation des transactions, y compris après la suppression de votre compte.

Cette suppression est définitive et ne peut être annulée une fois initiée.

Certaines données traitées indépendamment par Apple, Google, OpenAI ou d'autres prestataires peuvent être soumises à leurs propres politiques et obligations de conservation.

19. SÉCURITÉ

Nous mettons en œuvre des mesures techniques et organisationnelles destinées à protéger les données personnelles contre notamment :

• l'accès non autorisé ;
• la perte ;
• l'altération ;
• la divulgation ;
• la destruction ;
• l'utilisation abusive.

Pour certaines catégories de contenu particulièrement personnel, The Mirror utilise le mécanisme de chiffrement côté client décrit précédemment. Toutefois, aucun système informatique, réseau ou méthode de stockage ne peut garantir une sécurité absolue. Nous ne présentons donc pas le chiffrement ou toute autre mesure de sécurité comme éliminant totalement les risques liés au traitement de données numériques.

20. DONNÉES PERSONNELLES SENSIBLES

The Mirror est un outil de réflexion. Les utilisateurs peuvent donc choisir d'écrire des informations personnelles dans leurs questions ou conversations. The Mirror ne vous demande pas de communiquer des données sensibles qui ne sont pas nécessaires au fonctionnement du service.

Nous vous recommandons notamment d'éviter de fournir inutilement des informations concernant :

• votre santé ;
• votre orientation sexuelle ou votre vie sexuelle ;
• vos opinions politiques ;
• vos convictions religieuses ou philosophiques ;
• votre origine raciale ou ethnique ;
• ou toute autre information particulièrement sensible.

Lorsque vous choisissez volontairement d'inclure de telles informations dans un texte libre, elles peuvent être traitées afin de fournir la fonctionnalité que vous avez expressément demandée.

21. DÉCISIONS AUTOMATISÉES ET NATURE DES RÉSULTATS

The Mirror utilise des systèmes automatisés et des modèles d'intelligence artificielle pour produire certaines analyses et réponses. Ces résultats sont destinés à soutenir une démarche personnelle de réflexion et d'introspection.

Ils ne constituent pas une décision produisant automatiquement des effets juridiques ou des effets similaires significatifs à votre égard. The Mirror ne doit notamment pas être considéré comme un substitut à un professionnel qualifié pour prendre des décisions médicales, psychologiques, juridiques, financières ou concernant votre sécurité.

22. VOS DROITS AU TITRE DU RGPD

Si le RGPD s'applique à votre situation, vous disposez, selon les circonstances, de plusieurs droits concernant vos données personnelles. Vous pouvez notamment demander :

• l'accès aux données personnelles que nous détenons à votre sujet ;
• la rectification de données inexactes ;
• l'effacement de vos données ;
• la limitation de certains traitements ;
• la portabilité de certaines données ;
• l'opposition à certains traitements fondés sur l'intérêt légitime ;
• le retrait de votre consentement lorsque le traitement est fondé sur celui-ci.

Le retrait d'un consentement ne remet pas en cause la licéité du traitement effectué avant ce retrait.

Pour exercer vos droits : hello@refralume.com

Nous pouvons demander les informations strictement nécessaires pour vérifier votre identité lorsque cela est nécessaire afin d'éviter qu'une autre personne obtienne ou supprime vos données sans autorisation.

Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente. En France, l'autorité compétente est la Commission nationale de l'informatique et des libertés (CNIL).

23. ENFANTS ET MINEURS

The Mirror n'est pas conçu pour permettre la collecte volontaire de données personnelles d'enfants dans des conditions contraires à la réglementation applicable.

Âge minimum d'utilisation de The Mirror : 15 ans. Les utilisateurs âgés de moins de 15 ans ne sont pas autorisés à créer de compte ou à utiliser les Services, conformément au seuil de consentement numérique applicable en droit français.

Si nous apprenons que des données concernant un enfant ont été traitées en violation des exigences applicables, nous prendrons les mesures raisonnables nécessaires pour les supprimer.

24. ANALYTICS, TRACKING ET PUBLICITÉ

The Mirror n'utilise actuellement pas Firebase Analytics et ne met pas en œuvre de système destiné à suivre votre comportement dans l'application à des fins de publicité ciblée. Nous ne vendons pas vos questions, lectures ou conversations à des annonceurs. Nous n'utilisons pas vos questions, lectures ou conversations afin de créer un profil publicitaire.

Si The Mirror introduit ultérieurement des technologies d'analyse, de tracking ou des traitements facultatifs nécessitant un consentement, nous mettrons à jour cette Politique et demanderons votre consentement lorsque la loi l'exige.

25. MODIFICATIONS DE CETTE POLITIQUE

The Mirror évoluera au fil du temps. Nous pouvons modifier cette Politique de confidentialité notamment lorsque :

• nous ajoutons une nouvelle fonctionnalité ;
• la manière dont certaines données sont traitées évolue ;
• nous ajoutons ou remplaçons un prestataire ;
• nos mesures de sécurité ou de chiffrement évoluent ;
• la réglementation applicable change.

La date de « Dernière mise à jour » figurant en haut de cette Politique indique la date de la version la plus récente. En cas de modification substantielle affectant la manière dont vos données personnelles sont utilisées, nous vous en informerons de manière appropriée lorsque la réglementation l'exige.

26. CONTACT

Pour toute question concernant cette Politique de confidentialité, le traitement de vos données ou l'exercice de vos droits :

Refralume
France
E-mail : hello@refralume.com