Politique de confidentialité

1. Introduction

Bienvenue sur Couple’s Weekly Check-in (weeklycheckin.app). La protection de vos données personnelles est une préoccupation importante pour nous. Cette politique de confidentialité vous informe sur les données que nous collectons, comment nous les utilisons et quels droits vous avez en vertu du Règlement général sur la protection des données (RGPD).

Le responsable du traitement au sens du RGPD est :

Jakob Maximilian Pelz
Olenhoffweg 1a
21614 Buxtehude
Allemagne
E-mail : weeklycheckinapp@gmail.com

1A. Engagements de confidentialité et de sécurité

• Chiffrement au repos : les réponses de check-in, récaps apaisés, accords hebdomadaires, rejets d’accord et mémoires partagées sont chiffrés en AES-256-GCM avant d’être écrits en base.
• Rétention configurable : dans les Paramètres, vous pouvez activer la suppression automatique et choisir une durée de 14 à 730 jours (deux ans). Une tâche quotidienne supprime alors définitivement les check-ins plus anciens. Désactivé par défaut ; activer ou modifier la valeur nécessite l’accord des deux partenaires.
• Portabilité des données (art. 20 RGPD) : Paramètres → « Télécharger mes données » exporte à tout moment et gratuitement votre historique complet sous forme de fichier JSON déchiffré.
• Aucun traceur comportemental, aucun cookie publicitaire : nous n’utilisons ni Google Analytics, ni PostHog, ni Sentry, ni aucun autre traceur comportemental côté client, et nous ne déposons aucun cookie publicitaire sur votre appareil. Pour mesurer l’efficacité de nos propres campagnes Google Ads, nous envoyons des signaux de conversion uniquement de serveur à serveur, sans cookies (voir section 4.4).
• Un petit ensemble de sous-traitants nommés : notre application est hébergée chez Railway ; OpenAI génère les récaps hebdomadaires ; Resend envoie les e-mails transactionnels. Détails en section 4.
• Pour les détails techniques complets, consultez notre aperçu de sécurité.

2. Données collectées

Nous collectons et traitons les catégories suivantes de données personnelles :

2.1 Données de compte

• Nom
• Adresse e-mail
• Mot de passe (stocké chiffré avec bcrypt) — facultatif. Les personnes qui rejoignent via un lien d'invitation de partenaire peuvent créer leur compte sans définir de mot de passe au départ ; elles peuvent en définir un plus tard depuis les paramètres de leur compte.
• Statut de vérification de l’e-mail
• Statut et horodatage du consentement aux communications commerciales
• Date de création du compte
• Paramètres d’authentification à deux facteurs, incluant le cas échéant un secret TOTP d’application d’authentification stocké chiffré, des jetons de défi de connexion à courte durée stockés sous forme de hash et — si vous avez activé la case « Faire confiance à cet appareil » lors de la vérification à deux facteurs — des jetons d’appareil de confiance stockés sous forme de hash, valables 30 jours et révocables à tout moment depuis vos paramètres de compte

2.2 Données de check-in

• Réponses hebdomadaires (marques de reconnaissance, points de friction, besoins)
• Entrées « Risque à surveiller » (privées, jamais partagées avec le partenaire)

2.3 Données de couple

• Nom de l’espace couple
• Invitations de partenaire
• Souvenirs partagés

2.4 Données générées par l’IA

• Résumés hebdomadaires
• Accords suggérés

2.5 Données techniques

• Cookies de session (NextAuth.js)
• Préférence linguistique

2.6 Données d’attribution publicitaire

Si vous arrivez sur notre site via une annonce ou un lien balisé et que vous donnez votre consentement sur la bannière affichée lors de votre première visite, nous collectons les paramètres d’URL suivants et les stockons à côté de votre compte afin de mesurer l’efficacité de notre propre publicité. La base légale est votre consentement au sens de l’art. 6, par. 1, point a) du RGPD, que vous pouvez retirer à tout moment (voir section 4.4).

• Identifiants de clic Google Ads (gclid, gbraid, wbraid)
• Paramètres UTM (utm_source, utm_medium, utm_campaign, utm_content, utm_term)
• Premier chemin d’atterrissage consulté
• Horodatages de la collecte et des événements remontés à Google

3. Utilisation des données

Nous utilisons vos données aux fins suivantes :

• Fourniture et exploitation du service Couple’s Weekly Check-in
• Authentification et gestion du compte
• Réalisation de check-ins hebdomadaires entre partenaires
• Création de résumés assistés par l’IA de vos réponses de check-in
• Envoi de notifications par e-mail (vérification, rappels de check-in, invitations de partenaire, rappels de relance d'invitation envoyés à l'inviteur et à l'invité selon une cadence de 1, 3 et 7 jours puis hebdomadaire jusqu'au jour 35, rappels de création d'espace, réinitialisation du mot de passe)
• Envoi de communications commerciales (mises à jour produit, conseils, e-mails promotionnels) – uniquement avec votre consentement explicite (art. 6, par. 1, point a) du RGPD). Vous pouvez retirer ce consentement à tout moment.
• Mesure de l’efficacité de nos propres campagnes Google Ads (voir section 4.4)
• Amélioration et développement du service
• Respect des obligations légales

4. Services tiers

Nous utilisons les services tiers suivants pour fournir notre offre :

4.1 OpenAI

Les réponses de check-in (marques de reconnaissance, points de friction, besoins) sont transmises à OpenAI pour la création des résumés par l’IA. Les entrées privées « Risque à surveiller » ne sont pas envoyées à OpenAI.

4.2 Resend

Nous utilisons Resend pour l’envoi d’e-mails transactionnels (vérification de l’e-mail, codes de connexion pour l’authentification à deux facteurs, rappels de check-in, invitations de partenaire, rappels de relance d’invitation envoyés à l’inviteur et à l’invité selon une cadence de 1, 3 et 7 jours puis hebdomadaire jusqu’au jour 35, rappels de création d’espace pendant l’intégration, réinitialisation du mot de passe) et, si vous avez donné votre consentement, de communications commerciales. Les boutons permettant de partager le lien d’invitation via WhatsApp, SMS ou votre client e-mail ouvrent uniquement votre propre client sur votre appareil ; nous ne transmettons aucun contenu ni coordonnée du destinataire à ces services côté serveur.

4.3 Railway

Notre application et la base de données PostgreSQL sont hébergées chez Railway (Railway Corp., États-Unis). Lorsque nous activerons les abonnements payants, nous ferons appel en plus à un prestataire de paiement, qui sera alors nommé ici.

4.4 Google Ireland Limited (Google Ads)

Si vous arrivez sur notre site via une annonce Google, votre navigateur ajoute un identifiant de clic (gclid, gbraid ou wbraid) à l’URL de destination. Nous ne lisons ni ne stockons cet identifiant qu’après votre consentement, donné via la bannière affichée lors de votre première visite. Si vous avez consenti, lorsque vous confirmez votre adresse e-mail puis lorsque vous créez un espace de check-in, nous transmettons — de serveur à serveur — cet identifiant ou, à défaut, un hash SHA-256 de votre adresse e-mail vérifiée dans le cadre du programme « Enhanced Conversions for Leads » à Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), afin que Google puisse attribuer votre inscription à l’annonce d’origine.

Aucun cookie n’est posé à cette fin et aucune balise publicitaire côté client n’est exécutée ; le transfert s’effectue exclusivement via une interface serveur à serveur. Google peut faire circuler les données reçues au sein de son infrastructure, y compris vers des pays tiers tels que les États-Unis ; voir les conditions de traitement des données de Google pour plus de détails. La base légale est votre consentement au sens de l’art. 6, par. 1, point a) du RGPD.

Vous pouvez retirer votre consentement à tout moment en vertu de l’art. 7, par. 3 du RGPD — sans que cela n’affecte la licité du traitement effectué avant le retrait — en rouvrant la bannière via le lien « Préférences de confidentialité » dans le pied de page et en choisissant « Refuser », ou en nous envoyant un e-mail à weeklycheckinapp@gmail.com. Dans les deux cas, nous supprimerons l’identifiant associé à votre compte afin qu’aucun nouvel événement de conversion ne soit transmis à Google. Votre droit d’opposition distinct au titre de l’art. 21 du RGPD, pour les traitements qui étaient fondés sur l’intérêt légitime avant l’entrée en vigueur du modèle de consentement, reste inchangé.

5. Partage de données au sein du couple

Visible par le partenaire

• Marques de reconnaissance, points de friction et besoins
• Résumés par l’IA
• Accords
• Souvenirs partagés

Jamais partagé

• Entrées « Risque à surveiller » (visibles uniquement par l’auteur)
• Mot de passe
• Informations de session

6. Cookies et suivi

6.1 Cookies techniquement nécessaires

Ces cookies sont nécessaires au fonctionnement du service et sont déposés sans votre consentement, conformément à l’article 82 de la loi Informatique et Libertés :

• Cookie d’authentification (NextAuth.js) – requis pour la connexion et la gestion de session
• Cookie de préférence linguistique (next-intl) – requis pour enregistrer votre langue préférée
• Cookie d’appareil de confiance (tf_trust) – défini uniquement si vous cochez « Faire confiance à cet appareil pendant 30 jours » lors de la vérification à deux facteurs ; permet d’ignorer le code par e-mail sur ce navigateur pendant 30 jours. La valeur du cookie est stockée sous forme de hash côté serveur et révocable à tout moment depuis vos paramètres de compte. Base juridique : votre consentement au sens de l’article 6, paragraphe 1, point a, du RGPD, donné via la case à cocher au moment de la connexion.

6.2 Suivi marketing et analytique

Nous ne posons aucun cookie marketing, publicitaire ou analytique et n’exécutons aucun code de suivi côté client. Pour notre mesure côté serveur de l’efficacité publicitaire (voir section 4.4), nous affichons une bannière de consentement lors de votre première visite ; votre choix (accepter ou refuser) est stocké dans le localStorage de votre navigateur sous la clé « wci-cookie-consent-v1 » — il s’agit d’un enregistrement technique de votre propre préférence, et non d’un signal de suivi, et il n’est jamais transmis à des tiers.

Si vous acceptez sur la bannière, nous stockons également les paramètres d’attribution premier contact issus de l’URL par laquelle vous êtes arrivé (l’identifiant de clic Google Ads — gclid, gbraid ou wbraid — et, le cas échéant, les paramètres marketing UTM) dans le localStorage de votre navigateur sous la clé « wci-attr-v1 » pendant 90 jours maximum. Il s’agit d’un enregistrement technique de première partie, conservé uniquement pour pouvoir attribuer une inscription ultérieure à votre clic publicitaire d’origine ; il n’est jamais transmis à des tiers ni envoyé ailleurs, sauf dans le cadre du signal de conversion serveur à serveur décrit en section 4.4 (et uniquement si vous restez consentant à ce moment-là). Il est effacé automatiquement lorsque vous cliquez sur Refuser dans la bannière de consentement ou via le lien « Préférences de confidentialité » dans le pied de page.

Pour mesurer l’efficacité de notre propre publicité, et uniquement si vous avez donné votre consentement via la bannière, après une vérification d’e-mail ou la création d’un espace de couple, nous envoyons un signal de conversion de serveur à serveur à Google Ireland Limited (voir section 4.4). Cela se fait sans cookies et indépendamment de votre navigateur. La base légale est votre consentement au sens de l’art. 6, par. 1, point a) du RGPD ; vous pouvez le retirer à tout moment via le lien « Préférences de confidentialité » dans le pied de page.

7. Conservation des données

Vos données sont conservées tant que votre compte est actif. En cas de suppression du compte, toutes les données personnelles sont définitivement et irrévocablement supprimées, à l’exception des données pseudonymisées décrites ci-dessous.

La suppression de check-ins individuels ainsi que de l’espace couple nécessite le consentement des deux partenaires, car les résultats et les accords sont irréversiblement perdus.

Conformément au principe de minimisation des données (art. 5, par. 1, point c du RGPD), nous supprimons automatiquement les comptes abandonnés et informons les utilisateurs par e-mail avant la suppression :

• Les comptes dont l’adresse e-mail n’a pas été vérifiée sont supprimés 7 jours après l’inscription. Un e-mail d’avertissement est envoyé environ 3 jours avant la suppression.
• Les comptes vérifiés qui n’ont pas créé d’espace couple ni rejoint un espace couple dans les 30 jours suivant l’inscription sont supprimés. Un e-mail d’avertissement est envoyé environ 15 jours avant la suppression.

Afin de prévenir les abus de la période d’essai gratuite, nous enregistrons un hash cryptographique à clé (HMAC-SHA-256) de votre adresse e-mail accompagné d’un compteur d’utilisation lors de chaque check-in complété. Cet enregistrement pseudonymisé est conservé après la suppression du compte. Sans accès à la clé secrète côté serveur, la reconstitution de votre adresse e-mail à partir du hash est en pratique irréalisable ; il sert uniquement à comptabiliser le nombre de check-ins effectués. La base légale est notre intérêt légitime à prévenir les abus conformément à l’art. 6, par. 1, point f) du RGPD.

8. Vos droits en vertu du RGPD

Conformément au Règlement général sur la protection des données, vous disposez des droits suivants :

• Droit d’accès (art. 15 RGPD) – Vous avez le droit d’obtenir des informations sur vos données personnelles stockées.
• Droit de rectification (art. 16 RGPD) – Vous pouvez demander la rectification de données inexactes.
• Droit à l’effacement (art. 17 RGPD) – Vous pouvez demander la suppression de vos données. Cela est également possible via les paramètres du compte.
• Droit à la limitation du traitement (art. 18 RGPD) – Vous pouvez demander la limitation du traitement de vos données.
• Droit à la portabilité des données (art. 20 RGPD) – Vous avez le droit de recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d’opposition (art. 21 RGPD) – Vous pouvez vous opposer au traitement de vos données personnelles.
• Droit de retrait du consentement (art. 7, al. 3 RGPD) – Vous pouvez retirer à tout moment un consentement donné.

Pour exercer vos droits, contactez-nous à : weeklycheckinapp@gmail.com

9. Sécurité des données

Nous mettons en œuvre les mesures techniques suivantes pour protéger vos données :

• Chiffrement des transferts de données via HTTPS/TLS
• Stockage sécurisé des mots de passe par hachage bcrypt
• Jetons basés sur la session avec expiration automatique
• Vérification de l’e-mail pour confirmer l’identité
• Authentification à deux facteurs à chaque connexion par e-mail et mot de passe (par défaut un code à 6 chiffres envoyé à votre adresse e-mail, ou un code TOTP provenant d’une application d’authentification que vous avez configurée), sauf si vous avez explicitement marqué le navigateur actuel comme appareil de confiance pendant 30 jours via la case « Faire confiance à cet appareil »

10. Transferts internationaux de données

Vos données peuvent être transférées vers des pays situés en dehors de l’Espace économique européen (EEE), notamment aux États-Unis (pour le traitement par OpenAI et l’hébergement chez Railway). Google Ireland Limited est notre partenaire contractuel européen pour Google Ads ; Google peut faire circuler les données de conversion qu’elle reçoit au sein de sa propre infrastructure, y compris vers des pays tiers comme les États-Unis. Dans ces cas, nous veillons à ce que des mesures de protection adéquates soient en place, notamment par le biais des clauses contractuelles types de l’UE conformément à l’art. 46, al. 2, point c) du RGPD.

11. Enfants et mineurs

Notre service ne s’adresse pas aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès d’enfants de moins de 16 ans. Si nous constatons que des données de personnes de moins de 16 ans ont été collectées, elles seront immédiatement supprimées.

12. Modifications de cette politique de confidentialité

Nous nous réservons le droit de mettre à jour cette politique de confidentialité si nécessaire. Les modifications seront publiées sur cette page avec une nouvelle date de « Dernière mise à jour ». Nous vous recommandons de consulter cette page régulièrement.

13. Contact

Pour toute question relative à la protection des données, vous pouvez nous contacter à tout moment :

Jakob Maximilian Pelz
Olenhoffweg 1a
21614 Buxtehude
Allemagne

E-mail : weeklycheckinapp@gmail.com