Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via Azeroth (le « Service ») est la structure identifiée dans les mentions légales.

2. Données collectées et finalités

Nous collectons uniquement les données nécessaires au bon fonctionnement du Service :

• Compte : email, mot de passe hashé (bcrypt), nom de boutique, plateforme publicitaire, objectif de chiffre d'affaires.
• Usage du Service : prompts saisis, contenus générés (textes, images, vidéos), paramètres de configuration.
• Mémoire IA : résumés contextuels auto-maintenus (max 6 000 caractères), entièrement consultables, modifiables et effaçables par l'utilisateur depuis /settings.
• Tokens OAuth (Meta, TikTok, Shopify, Google, Snapchat, Pinterest) : chiffrés en AES-256 côté serveur, jamais exposés au navigateur.
• Paiement : traité directement par Stripe (PCI-DSS Level 1). Nous ne stockons ni numéro de carte ni cryptogramme.
• Données de support : messages envoyés via le formulaire de contact (nom, email, message).
• Logs techniques : adresse IP, user-agent, horodatage des requêtes (conservés 12 mois pour la sécurité).

Finalités : fournir le Service, gérer l'abonnement, prévenir la fraude, améliorer le produit, répondre aux demandes.

3. Base légale

Conformément au RGPD, les traitements reposent sur :

• l'exécution du contrat : création de compte, fourniture du Service, facturation ;
• l'intérêt légitime : sécurité, prévention de la fraude, amélioration du produit ;
• le consentement : cookies non essentiels, emails marketing (désactivables à tout moment) ;
• les obligations légales : conservation des factures pendant 10 ans.

4. Hébergement et sous-traitants

Les données sont hébergées exclusivement en Union Européenne :

• Supabase (Frankfurt, Allemagne) — base de données, authentification, stockage de fichiers. Conforme RGPD, chiffrement au repos (AES-256) et en transit (TLS 1.3).
• Vercel (Frankfurt, Allemagne) — hébergement de l'application web.
• Stripe (Irlande, UE) — traitement des paiements.
• Resend (UE) — envoi d'emails transactionnels.

Les prompts envoyés aux modèles d'IA (Anthropic, Google AI, Kie.ai, fal.ai, ElevenLabs) peuvent transiter hors de l'UE, en application des Standard Contractual Clausesde la Commission européenne. Aucune donnée personnelle identifiante n'est envoyée aux modèles hors de ce qui est strictement nécessaire à la génération de contenu demandée par l'utilisateur.

5. Durée de conservation

• Compte actif : durée de l'abonnement.
• Compte inactif ou supprimé : purge complète sous 30 jours.
• Factures : 10 ans (obligation comptable).
• Logs techniques : 12 mois.
• Messages de contact : 24 mois après dernière interaction.

6. Vos droits RGPD

Vous disposez des droits suivants, exerçables à tout moment :

• Accès : consulter les données vous concernant.
• Rectification : corriger toute donnée inexacte.
• Effacement (droit à l'oubli) : supprimer votre compte et toutes les données associées en 1 clic depuis /settings.
• Portabilité : export JSON de toutes vos données, disponible à tout moment depuis /settings.
• Opposition : vous opposer à un traitement fondé sur l'intérêt légitime.
• Limitation : demander le gel d'un traitement contesté.
• Retrait du consentement : désactiver les emails marketing ou cookies non essentiels.

Pour exercer ces droits : utilisez les réglages de votre compte ou contactez-nous via le formulaire de contact. Nous répondons sous 30 jours maximum.

En cas de différend non résolu, vous pouvez introduire une réclamation auprès de la CNIL.

7. Cookies

Azeroth utilise uniquement des cookies strictement nécessaires au fonctionnement du Service (authentification, sécurité). Aucun cookie publicitaire ni traceur tiers n'est déposé sans consentement explicite. Les outils d'analyse éventuels sont respectueux de la vie privée (Plausible, Umami) et ne déposent pas de cookie persistant.

8. Sécurité

• Chiffrement au repos (AES-256) et en transit (TLS 1.3).
• Mots de passe hashés avec bcrypt (never in clear).
• Row-Level Security activée sur toutes les tables : chaque utilisateur ne peut accéder qu'à ses propres données.
• Tokens OAuth chiffrés, jamais exposés au frontend.
• Audits de sécurité réguliers, correctifs appliqués sans délai.
• Rate-limiting côté serveur sur les routes sensibles.

9. Notification de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous vous informerons dans les 72 heures suivant la découverte, conformément à l'article 34 du RGPD, et notifierons la CNIL.

10. Contact DPO

Pour toute question relative à la protection des données, utilisez le formulaire de contact en bas de la FAQ, en mentionnant « RGPD » en objet. Les demandes sont traitées prioritairement sous 15 jours ouvrés.