Politique de Confidentialité

Dernière mise à jour: 2026-10-28

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est aimag.me. Pour toute question relative à la protection des données, contactez : aimag.me/contact.

2. Données collectées

Dans le cadre de la fourniture du service, nous collectons les données suivantes :

Adresse e-mail — requise pour la création de compte et la connexion.
Tirages de tarot — questions, cartes tirées et interprétations générées, stockés sur le compte utilisateur.
Données d'utilisation — nombre de tirages par jour, date de dernière connexion, préférences de langue.
Préférences — langue choisie (FR/EN), paramètres d'affichage.
Données de paiement — traitées exclusivement par Stripe. Nous ne stockons pas les numéros de carte ni les données de paiement sur nos serveurs.
Données d'authentification — si vous vous connectez via Google ou Apple, nous recevons votre nom et photo de profil. Nous ne recevons ni ne stockons votre mot de passe de fournisseurs tiers.
Déclarations de résiliation et de rétractation — lorsque vous utilisez « Résilier votre contrat » ou « Renoncer au contrat ici » : nom, adresse e-mail, le contrat et sa description, le motif et la date de fin souhaitée le cas échéant, le moment de réception et, pour protéger le formulaire contre les abus, une empreinte (hash) de votre adresse IP et l'identifiant de votre navigateur.

3. Finalité et base juridique du traitement

Nous traitons vos données sur les bases juridiques suivantes :

Exécution d'un contrat (Art. 6(1)(b) RGPD) — nécessaire pour fournir le service de tirage de tarot et gérer votre compte.
Intérêt légitime du responsable (Art. 6(1)(f) RGPD) — analyses d'utilisation pour améliorer le service, prévention des abus.
Authentification tierce — le traitement est basé sur votre consentement lors de la connexion via Google ou Apple (Art. 6(1)(a) RGPD).
Consentement aux e-mails marketing (Art. 6(1)(a) RGPD) — si vous le cochez lors de la connexion ou de la création du compte, ou si vous vous abonnez à la newsletter, nous vous envoyons par e-mail les nouveautés, conseils et offres d'aimag.me. Vous pouvez le retirer à tout moment via le lien présent dans chacun de ces e-mails ou en nous écrivant ; sans lui, nous n'envoyons que des e-mails liés à votre compte et à vos paiements.
Obligation légale et défense de droits en justice (Art. 6(1)(c) et (f) RGPD) — réception et confirmation d'une déclaration de résiliation ou de rétractation, et conservation de sa preuve en cas de litige.

4. Durée de conservation des données

Tirages anonymes (sans compte) — supprimés automatiquement après 30 jours.
Données du compte — conservées jusqu'à la suppression du compte par l'utilisateur. Après suppression, les données sont effacées sous 30 jours.
Données de facturation — conservées conformément aux obligations légales fiscales (5 ans à compter de la fin de l'année au cours de laquelle la transaction a été effectuée).
Déclarations de résiliation et de rétractation — 3 ans à compter de la fin de l'année au cours de laquelle elles ont été faites, y compris après la suppression du compte (preuve en cas de litige) ; ensuite supprimées automatiquement. L'empreinte de l'adresse IP et l'identifiant du navigateur sont supprimés après 30 jours, et les envois rejetés comme automatisés le sont entièrement après 30 jours.
Sauvegardes — nous conservons les sauvegardes de la base de données jusqu'à 30 jours et les instantanés de sauvegarde chiffrés jusqu'à 6 mois. Les données supprimées du service peuvent rester dans ces sauvegardes jusqu'à leur expiration : au plus 7 mois après la suppression.

5. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit d'accès — vous pouvez demander quelles données nous traitons à votre sujet.
Droit de rectification — vous pouvez demander la correction de données inexactes.
Droit à l'effacement (« droit à l'oubli ») — vous pouvez demander la suppression de vos données.
Droit à la portabilité des données — vous pouvez télécharger vos données au format JSON.
Droit à la limitation du traitement — vous pouvez demander la limitation du traitement dans certaines situations.
Droit de retirer votre consentement — lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment. Le retrait ne compromet pas la licéité du traitement effectué avant le retrait.
Droit d'opposition — vous pouvez vous opposer au traitement de vos données fondé sur l'intérêt légitime (Art. 21 RGPD). Nous cesserons le traitement sauf si nous démontrons des motifs légitimes impérieux.
Droit d'introduire une réclamation — vous pouvez déposer une plainte auprès d'une autorité de contrôle (en France : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr ; ou l'autorité de protection des données de votre pays).

6. Cookies

Nous utilisons uniquement des cookies essentiels : un cookie de session (PHPSESSID) pour maintenir votre connexion et un cookie de préférence de langue. Nous n'utilisons pas de cookies publicitaires, de traçage ou d'analyse. L'analyse (Plausible) fonctionne sans cookies.

7. Tiers

Pour exploiter aimag.me, nous faisons appel aux prestataires suivants (destinataires de vos données) :

Hetzner Online GmbH (Allemagne) — hébergement de l'application, de la base de données, des sauvegardes et de notre outil de statistiques auto-hébergé. OVH SAS (Gravelines, France) — hébergement d'une copie synchronisée de l'application et de la base de données, qui prend le relais en cas de panne du serveur principal.
Cloudflare, Inc. (États-Unis) — réseau de diffusion de contenu et proxy de sécurité pour tout le trafic vers aimag.me, y compris la vérification Turnstile des formulaires de connexion et de contact. Traite votre adresse IP et les données des requêtes.
Google Firebase Authentication (Google LLC, États-Unis) — gère la connexion par e-mail et mot de passe, via Google ou Apple. Traite votre adresse e-mail, l'identifiant de votre compte et les données reçues de Google ou d'Apple lors de la connexion. Si vous vous connectez via Google ou Apple, ces sociétés traitent également votre connexion en tant que responsables de traitement distincts, selon leurs propres politiques de confidentialité.
Resend (Plus Five Five, Inc., États-Unis) — envoi des e-mails transactionnels (compte, paiements, notifications) ; traite votre adresse e-mail et le contenu du message. Nos propres boîtes mail sont hébergées par Proton AG (Suisse), qui reçoit les messages que vous nous envoyez via le formulaire de contact ou par e-mail, et par Google LLC (États-Unis), qui reçoit nos notifications d'exploitation concernant les nouveaux comptes et les paiements ; celles-ci peuvent contenir votre adresse e-mail.
Stripe — traitement des paiements. Vous saisissez vos données de carte directement chez Stripe ; elles n'atteignent jamais nos serveurs. Nous conservons les enregistrements de transactions requis à des fins comptables et fiscales.
OpenRouter, Inc. (États-Unis) — achemine les requêtes d'IA vers les fournisseurs de modèles indiqués ci-dessous. Reçoit votre question et les cartes tirées ; pour les tirages suivants sur votre compte, également vos questions précédentes et des extraits de vos tirages précédents et, pour une question complémentaire, le tirage auquel elle se rapporte. Nous n'y joignons ni votre adresse e-mail ni l'identifiant de votre compte. Nous configurons OpenRouter pour n'envoyer ces requêtes qu'aux services propres d'OpenAI et d'Anthropic et pour exclure les fournisseurs qui, selon OpenRouter, collectent les données des utilisateurs.
OpenAI (via OpenRouter) — les modèles GPT génèrent les tirages des formules Free et Seeker ainsi que la deuxième étape des tirages Mystic. Reçoit les données décrites pour OpenRouter et, pour la deuxième étape d'un tirage Mystic, le texte de sa première étape.
Anthropic PBC (via OpenRouter) — les modèles Claude génèrent la première étape des tirages Mystic et servent de modèle de secours pour toutes les formules. Reçoit les données décrites pour OpenRouter.
Plausible Analytics — outil de statistiques de trafic fonctionnant sur notre propre serveur (Hetzner, ci-dessus) ; aucune donnée n'est transmise à l'éditeur de Plausible. Il n'utilise pas de cookies.
Pushover, LLC (États-Unis) — transmet à l'exploitant d'aimag.me des alertes techniques et de sécurité. Les alertes peuvent contenir des identifiants de compte et d'abonnement, la formule, le montant du paiement, le pays, des adresses IP de trafic suspect et des détails techniques d'erreurs.

8. Contact

Pour toute question relative à la protection des données, vous pouvez nous contacter à : aimag.me/contact. Nous répondons aux demandes dans un délai de 30 jours.

9. Transferts internationaux de données

Certains prestataires cités à la section 7 sont situés en dehors de l'Espace économique européen. Aux États-Unis : OpenRouter, Inc., OpenAI et Anthropic PBC (tirages par IA), Google LLC (connexion et boîte mail de l'exploitant), Resend (Plus Five Five, Inc. ; e-mail), Cloudflare, Inc. (CDN et sécurité), Pushover, LLC (alertes pour l'exploitant) et Stripe, LLC (paiements ; notre cocontractant est Stripe Payments Europe, Limited, Irlande). Les transferts vers Stripe, Cloudflare et Resend sont couverts par les clauses contractuelles types adoptées par la Commission européenne ou, pour Stripe, par le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), comme prévu dans leurs conditions de traitement des données. Google déclare dans ses conditions de traitement des données Firebase que Google LLC est autocertifiée au titre de ce cadre, et Cloudflare et Resend déclarent dans leurs accords de traitement des données s'y conformer. Selon sa propre politique de confidentialité, OpenRouter s'appuie sur des décisions d'adéquation et des clauses contractuelles types ; OpenAI et Anthropic traitent les requêtes en tant que fournisseurs de modèles auxquels OpenRouter fait appel. Selon sa propre politique de confidentialité, Pushover s'appuie, lorsque la loi l'exige, sur des mécanismes tels que les clauses contractuelles types. Proton AG est établie en Suisse ; la Commission européenne a reconnu à ce pays un niveau de protection adéquat. Nous ne vendons pas vos données personnelles.

10. Résidents de Californie

Si vous résidez en Californie, le CCPA/CPRA vous accorde des droits supplémentaires : droit de savoir, droit de suppression, droit de refuser la vente (nous ne vendons pas vos données), droit à la non-discrimination. Contact : aimag.me/contact.

11. Prise de décision automatisée

Notre service utilise l'intelligence artificielle pour générer des interprétations de tarot. Il s'agit d'un traitement automatisé sans effet juridique, car les interprétations sont fournies uniquement à des fins de divertissement. Vous avez le droit de vous opposer au traitement fondé sur l'intérêt légitime (art. 21 RGPD) — contactez aimag.me/contact.

12. Protection des données des enfants

Notre service n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si vous êtes parent ou tuteur et pensez que votre enfant nous a fourni des données personnelles, contactez-nous à aimag.me/contact — nous supprimerons rapidement ces données.

13. Surveillance de la sécurité et prévention de la fraude

Afin de protéger notre Service et nos utilisateurs contre les activités frauduleuses, les abus et les accès non autorisés, nous traitons certaines données techniques sur la base de nos intérêts légitimes (Article 6(1)(f) RGPD). Les données traitées à des fins de sécurité comprennent : les adresses IP associées aux accès au compte et aux transactions (conservées jusqu'à 90 jours, puis anonymisées ou supprimées) ; les identifiants techniques dérivés des en-têtes de requêtes HTTP (conservés jusqu'à 90 jours) ; les horodatages et la fréquence des interactions avec le service ; le pays d'accès dérivé de l'adresse IP ; et le domaine de messagerie utilisé lors de l'inscription pour identifier les fournisseurs de messagerie jetables ou à haut risque. Nos systèmes peuvent suspendre automatiquement les comptes lorsqu'une activité frauduleuse est détectée. Dans ce cas, vous recevrez une notification par e-mail dans les 24 heures et pourrez faire appel en nous contactant à aimag.me/contact. Les appels sont examinés par un humain dans un délai de 5 jours ouvrables. Vous avez le droit de demander une intervention humaine, d'exprimer votre point de vue et de contester la décision (Article 22(3) RGPD). Nous n'utilisons pas de prise d'empreinte d'appareil basée sur JavaScript au-delà de ce qui est strictement nécessaire pour fournir le Service.

14. Analyses du service

Nous analysons les schémas d'utilisation agrégés (tels que la fréquence d'utilisation du service, la durée des sessions et le comportement de navigation) dans le but d'améliorer le Service et de détecter des schémas d'utilisation anormaux pouvant indiquer une fraude ou un abus. Cette analyse est effectuée sur la base de nos intérêts légitimes (Article 6(1)(f) RGPD) et n'implique pas de prise de décision automatisée ayant des effets juridiques sans examen humain. Nous utilisons Plausible Analytics, un outil d'analyse respectueux de la vie privée qui n'utilise pas de cookies et ne réalise pas de suivi inter-sites.

15. Application mobile

Notre application Android disponible sur Google Play (« AI Tarot Reading — aiMag.me ») est une Trusted Web Activity (TWA) — un wrapper léger qui ouvre notre site web (aimag.me) dans une vue navigateur en plein écran. L'application ne collecte aucune donnée supplémentaire au-delà de ce qui est décrit dans cette Politique de Confidentialité. Tout le traitement des données s'effectue via notre site web. L'application n'utilise pas Google Play Billing ; tous les paiements sont traités par Stripe comme décrit à la Section 7.