Politique de confidentialité

Partie 1 : Informations générales et droits des personnes concernées

1. Qui est responsable du traitement des données ?

Le responsable du traitement au sens du Règlement général sur la protection des données (RGPD), de la loi fédérale allemande sur la protection des données (BDSG) et des autres dispositions relatives à la protection des données est :

Thorge Mrowinski
Projet « Orately AI »
Gerhart-Hauptmann-Ring 7j
21629 Neu Wulmstorf
Allemagne
E-mail : support@orately.app

Remarque : Orately se trouve actuellement dans une phase de test fermée et non commerciale (bêta privée). Une entreprise sera dûment enregistrée avant le lancement public officiel.

2. Droits des personnes concernées (droits des utilisateurs)

En tant que personne concernée, vous disposez à tout moment et gratuitement, dans le cadre du RGPD, des droits suivants vis-à-vis du responsable du traitement :

• Droit d'accès (art. 15 RGPD) : Vous avez le droit de savoir si et quelles données personnelles nous traitons à votre sujet, à quelles fins et pendant combien de temps elles sont conservées.
• Droit de rectification (art. 16 RGPD) : Vous pouvez exiger la rectification immédiate de données personnelles inexactes ou la complétion des données personnelles que nous détenons.
• Droit à l'effacement / droit à l'oubli (art. 17 RGPD) : Vous pouvez demander la suppression de vos données personnelles, sous réserve qu'aucun motif légal (p. ex. obligations légales de conservation) ne s'y oppose.
• Droit à la limitation du traitement (art. 18 RGPD) : Sous certaines conditions, vous pouvez exiger que le traitement de vos données soit limité.
• Droit à la portabilité des données (art. 20 RGPD) : Vous avez le droit de recevoir, dans un format courant et lisible par machine, les données que nous traitons de manière automatisée sur la base de votre consentement ou pour l'exécution d'un contrat — pour vous-même ou pour transmission à un tiers.
• Droit d'opposition (art. 21 RGPD) : Lorsque vos données personnelles sont traitées sur la base d'intérêts légitimes au sens de l'art. 6, par. 1, point f RGPD, vous avez le droit de vous opposer au traitement pour des raisons tenant à votre situation particulière.
• Retrait du consentement (art. 7, par. 3 RGPD) : Vous pouvez retirer à tout moment, avec effet pour l'avenir, un consentement au traitement des données que vous avez donné.

Vous avez en outre le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données conformément à l'art. 77 RGPD.

Partie 2 : Traitement des données sur notre site web (orately.app)

1. Mise à disposition du site et fichiers journaux (hébergement Vercel)

Notre site web est hébergé et distribué via la plateforme cloud de Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, États-Unis). Lorsque vous consultez notre site, les serveurs de Vercel collectent automatiquement des informations générales et des données techniques (type de navigateur, système d'exploitation, URL de référence, nom d'hôte, adresse IP, date/heure). Ce traitement est techniquement indispensable pour garantir une distribution stable, performante et sécurisée.

• Base juridique : Art. 6, par. 1, point f RGPD (intérêt légitime à une mise à disposition sans erreur).
• Sous-traitance : Nous avons conclu avec Vercel le contrat de sous-traitance requis par le droit de la protection des données (Data Processing Addendum).
• Transfert vers un pays tiers : Vercel traite les données en application des clauses contractuelles types de l'UE.

2. Vercel Speed Insights (mesure anonyme des performances)

Pour l'optimisation technique continue, nous utilisons l'outil d'analyse Vercel Speed Insights de Vercel Inc. Cet outil est configuré de sorte qu'aucune donnée personnelle des visiteurs du site ne soit collectée, traitée ou conservée. Aucun suivi de profils d'utilisateurs individuels n'a lieu.

• Base juridique : Art. 6, par. 1, point f RGPD.

Partie 3 : Traitement des données dans l'application mobile (Orately AI - Coach)

1. Inscription, authentification et compte utilisateur (Supabase Auth)

La création d'un compte utilisateur est nécessaire pour utiliser l'application.

• Inscription par e-mail : Nous traitons votre adresse e-mail, un mot de passe et un nom d'utilisateur librement choisi.
• Connexion tierce (Google Sign-In) : Si vous vous connectez via votre compte Google, Google LLC nous donne accès à l'adresse e-mail qui y est enregistrée, à votre nom et à un identifiant utilisateur Google unique.

Pour l'ensemble de la base de données utilisateurs et l'authentification, nous utilisons les services de Supabase Inc. (1111 Broadway, Suite 300, Oakland, CA 94607, États-Unis). L'infrastructure de base de données que nous louons se trouve physiquement sur des serveurs situés à Francfort-sur-le-Main (Allemagne).

• Base juridique : Art. 6, par. 1, point b RGPD (exécution du contrat d'utilisation).
• Sous-traitance : Nous avons conclu avec Supabase un contrat de sous-traitance (Data Processing Addendum).

2. Collecte, traitement et conservation des enregistrements audio et photos

L'application traite les contenus multimédias que vous fournissez activement :

• Enregistrements vocaux (audio) : Pour fournir un retour pendant vos phases d'entraînement.
• Photos (fichiers image) : En option, pour importer des diapositives de présentation, des documents ou des notes.

Ces enregistrements audio et fichiers photo sont conservés chiffrés dans notre base de données de projet chez Supabase, sur des serveurs situés à Francfort-sur-le-Main (Allemagne).

• Base juridique : Art. 6, par. 1, point a RGPD (consentement exprès) ainsi que art. 6, par. 1, point b RGPD.
• Durée de conservation : Les enregistrements restent dans la base de données tant que votre compte utilisateur est actif. En cas de suppression, toutes les données sont effacées sans délai.

3. Transmission des données et analyse par IA (Google Gemini API / Vertex AI)

Pour générer le retour automatisé, les données sont transmises via une interface de programmation (API) à la Google AI Agent Platform (Vertex AI) de Google Cloud. Le modèle utilisé est Google Gemini 2.5 Flash.

• Utilisation stricte du point de terminaison régional UE : L'application utilise exclusivement le point de terminaison régional au sein de l'Union européenne (région Europe). Le traitement a donc lieu physiquement sur des serveurs situés dans l'UE.
• Exclusion de l'entraînement des modèles : Il est contractuellement établi que les données clients transmises ne sont pas utilisées par Google pour entraîner ou améliorer les modèles d'IA. Elles sont supprimées après le processus d'analyse éphémère.
• Base juridique : Art. 6, par. 1, point b RGPD. Nous avons conclu avec Google un contrat de sous-traitance (Data Processing Addendum).

4. Analyse des erreurs et surveillance de la stabilité (Sentry)

Pour garantir la stabilité, nous utilisons le service de diagnostic d'erreurs Sentry de Functional Software Inc. dba Sentry (45 Fremont Street, 8th Floor, San Francisco, CA 94105, États-Unis).

• Étendue du traitement : En cas d'erreur, des informations de journal anonymisées (p. ex. version de l'application, type d'appareil, section de code) sont transmises. Les adresses IP sont immédiatement masquées.
• Utilisation basée sur le consentement : Le suivi n'est activé qu'après votre accord exprès (opt-in) dans l'application et peut être révoqué à tout moment dans les réglages.
• Base juridique : Art. 6, par. 1, point a RGPD. Nous avons conclu avec Sentry un contrat de sous-traitance (Data Processing Addendum) fondé sur les clauses contractuelles types de l'UE.

5. Notifications push (Firebase Cloud Messaging & Web Push)

Nous proposons des notifications push facultatives pour vous informer d'événements purement opérationnels — notamment lorsque Orately est de nouveau accessible après une maintenance. Aucun message publicitaire n'est envoyé et aucun profil d'utilisation n'est créé.

• Application mobile (Firebase Cloud Messaging) : Pour la distribution sur les appareils iOS et Android, nous utilisons le service Firebase Cloud Messaging (FCM) de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande). Seul un jeton de distribution pseudonyme lié à l'appareil est traité et conservé avec l'indication de la plateforme (iOS/Android) dans notre base de données (Supabase, serveurs à Francfort-sur-le-Main). Aucun nom, adresse e-mail, contenu ou donnée d'utilisation n'est transmis à Google ; le jeton ne permet ni à nous ni à Google de tirer des conclusions sur votre utilisation de l'application. En cas de déconnexion ou de désinstallation, le jeton devient invalide et l'enregistrement associé est automatiquement supprimé.
• Application web (Web Push) : Dans le navigateur, nous utilisons le standard ouvert Web Push avec authentification VAPID via le service push de l'éditeur de votre navigateur. Seule l'adresse push technique de votre navigateur et ses clés de chiffrement sont conservées ; le contenu des messages est chiffré de bout en bout vers votre navigateur. Aucun service Firebase n'est utilisé sur le web.
• Consentement et retrait : Les notifications ne sont activées qu'après votre accord exprès via la boîte de dialogue d'autorisation du système et peuvent être désactivées à tout moment dans les réglages du système ou du navigateur.
• Base juridique : Art. 6, par. 1, point a RGPD (consentement). Un contrat de sous-traitance existe avec Google ; les éventuels transferts vers des pays tiers sont sécurisés par les clauses contractuelles types de l'UE et le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework).

6. Transactions, abonnements et achats intégrés (RevenueCat)

Pour la fourniture technique de nos achats, nous utilisons le prestataire d'infrastructure RevenueCat Inc. (831 Montgomery St, San Francisco, CA 94133, États-Unis). Seuls des identifiants pseudonymisés et des données de statut d'achat sont transmis. RevenueCat ne traite ni noms réels ni données de paiement.

• Base juridique : Art. 6, par. 1, point b RGPD. Le transfert de données est sécurisé par un contrat de sous-traitance incluant les clauses contractuelles types de l'UE.