Politique de Confidentialité

Le responsable du traitement de vos données personnelles est H4LL4Y, Entreprise Individuelle. Voir nos mentions légales pour l’identification complète.

• Contact / DPO : [email protected]

S’agissant d’une micro-entreprise, aucun DPO formel n’est requis (Art. 37 RGPD). Le responsable du traitement reste joignable à l’adresse ci-dessus pour toute demande relative aux données personnelles.

Biofibers applique une politique de minimisation stricte : nous ne collectons que les données strictement nécessaires au fonctionnement du service.

2.1 Mode Light (Anonyme)

• Adresse IP : Conservée temporairement dans les logs serveur (7 jours maximum) pour la sécurité et le debug
• Métadonnées techniques : Navigateur, système d'exploitation, résolution d'écran (statistiques agrégées uniquement)
• Requêtes anonymisées : Le contenu de vos questions est transmis aux API d'IA mais non stocké de manière identifiable

Finalité : Fourniture du service, sécurité, amélioration technique.

2.2 Mode CIA (Authentifié)

• Email : Obligatoire pour l'authentification sans mot de passe (magic link ou code de vérification à usage unique envoyé par email)
• Historique des requêtes : Vos questions et réponses du Conseil des IA, stockées dans une base PostgreSQL hébergée sur le serveur européen (Finlande), avec purge automatique
• Journaux d'audit : Connexions, actions sensibles et événements de sécurité, conservés 90 jours maximum puis purgés automatiquement
• Préférences utilisateur : Paramètres de personnalisation (optionnel)

Finalité : Authentification, fourniture du service, optimisation de l'expérience utilisateur, support.

2.3 Module PAPI (Prompt Architect Pro Iterator)

PAPI est un outil avancé d'optimisation de prompts disponible pour les utilisateurs authentifiés. Dans le cadre de son utilisation, les données suivantes sont traitées :

• Instructions système et projet : Les prompts que vous rédigez ou optimisez sont stockés côté serveur (templates, presets, profils) et peuvent être transmis aux fournisseurs d'IA pour audit et amélioration
• Clés API personnelles : Si vous ajoutez vos propres clés API au coffre-fort, elles sont chiffrées en AES-256-GCM avant stockage en base de données — elles ne sont jamais accessibles en clair
• Historique des itérations : Scores, critères d'audit et résultats des optimisations, stockés pour suivi de progression
• Stockage local (navigateur) : État de l'interface, historique de session et préférences — chiffrés en AES-GCM dans le localStorage de votre navigateur, ces données restent sur votre appareil

Finalité : Optimisation de prompts, audit qualité, suivi de performance.

2.4 Orchestration n8n (Auto-hébergé)

Certaines fonctionnalités avancées de PAPI utilisent un moteur d'orchestration n8n auto-hébergé sur le même serveur européen. Dans ce cadre :

• Vos instructions et requêtes transitent en clair entre le serveur API et le moteur n8n, mais restent dans le réseau interne du serveur (communication Docker locale, jamais exposée sur Internet)
• Les journaux d'exécution n8n peuvent contenir le texte de vos requêtes — ils sont conservés sur le serveur et soumis aux mêmes durées de conservation que les autres données
• Aucune donnée n'est transmise à n8n GmbH ou à un service cloud tiers — l'instance est intégralement auto-hébergée

Conformément au RGPD (Règlement Général sur la Protection des Données), nos traitements reposent sur les bases légales suivantes :

• Exécution du contrat : Fourniture du service Biofibers que vous avez sollicité (Art. 6.1.b RGPD)
• Consentement : Accord explicite pour tout traitement supplémentaire (Art. 6.1.a RGPD)
• Intérêt légitime : Sécurité du système, prévention de la fraude, amélioration du service (Art. 6.1.f RGPD)
• Obligation légale : Conservation des journaux de sécurité et coopération avec les autorités en cas de réquisition judiciaire (Art. 6.1.c RGPD)

Vos données peuvent être transmises aux catégories de destinataires suivantes, uniquement dans la mesure nécessaire :

4.1 Fournisseurs d'IA (Sous-traitants)

Pour fonctionner, Biofibers transmet vos requêtes aux API des modèles d'IA. Ces fournisseurs agissent en qualité de sous-traitants et appliquent leurs propres politiques de confidentialité :

• OpenAI (GPT-4) : Privacy Policy
• Anthropic (Claude) : Privacy Policy
• Google (Gemini) : Privacy Policy
• xAI (Grok) : Privacy Policy
• Perplexity : Privacy Policy

IMPORTANT : Nous recommandons la lecture de ces politiques pour comprendre comment ces tiers traitent vos données.

Non-entraînement : Les API utilisées par Biofibers sont configurées avec l'option de non-entraînement lorsqu'elle est disponible. Vos données ne sont pas utilisées pour entraîner les modèles des fournisseurs.

4.2 Hébergement & Infrastructure

• Serveur dédié : Ubuntu 24.04 LTS, auto-hébergé et situé physiquement en Union Européenne (Finlande)
• Cloudflare : DNS, registrar domaine et certificat SSL (siège aux États-Unis — voir section Transferts)
• Serveur email : Postfix auto-hébergé sur le même serveur européen, signé DKIM — utilisé uniquement pour les emails transactionnels (magic links, codes de vérification)
• SimpleLogin : Service de gestion d'alias email pour la réception du courrier entrant (siège en France)
• Stripe (Stripe Payments Europe, Ltd) : Processeur de paiement pour les abonnements — conforme PCI DSS, siège en Irlande (UE). Biofibers ne stocke aucune donnée bancaire. Privacy Policy
• Hébergeur : Hetzner Online GmbH — Industriestr. 25, 91710 Gunzenhausen, Allemagne. Datacenter situé à Helsinki, Finlande (UE). Tous les traitements de données sont effectués exclusivement au sein de l'Union européenne.

4.2.1 Cadre contractuel hébergeur

• Data Processing Agreement (Art. 28 RGPD) en vigueur entre H4LL4Y et Hetzner Online GmbH — version 1.2 du 16 février 2026
• Traitement exclusivement UE/EEE — aucun transfert hors Union européenne (§ 3 du DPA)
• Mesures techniques et organisationnelles (TOMs) documentées conformément à l'Art. 32 RGPD

4.2.2 Certifications hébergeur

• ISO/IEC 27001 — Certifié depuis octobre 2016, valide jusqu'en septembre 2028. Couvre l'ensemble des services d'hébergement et des data centers.
• BSI C5 Type 2 — Certificat obtenu en décembre 2025 (Cloud Computing Compliance Criteria Catalogue)
• Audit TÜV Rheinland — Revue indépendante des TOMs des data centers (Helsinki, Nuremberg, Falkenstein). Résultat : aucune déviation identifiée (février 2026)

Les documents contractuels (DPA, rapport d'audit) sont conservés en interne et disponibles sur demande légitime.

Vos données sont conservées uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées :

• Logs serveur (IP) : 7 jours maximum
• Historique des requêtes (Mode CIA) : Jusqu'à suppression du compte ou sur demande
• Journaux d'audit : 90 jours (connexions, actions sensibles), purgés automatiquement
• Magic links et codes de vérification : 10 minutes maximum après émission
• Sessions JWT : Access token 15 minutes, refresh token 7 jours
• Cookies : Durée variable selon le type (voir section Cookies)

Au-delà de ces durées, les données sont supprimées définitivement ou anonymisées de manière irréversible.

Biofibers met en oeuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation :

• Chiffrement : HTTPS/TLS pour toutes les communications, chiffrement au repos pour les données sensibles
• Authentification sans mot de passe : Magic links et codes de vérification à usage unique — aucun mot de passe n'est stocké
• Tokens sécurisés : JWT HttpOnly, Secure, SameSite — non accessibles par JavaScript
• Rate limiting : Protection anti brute-force sur les points d'authentification
• Isolation réseau : Infrastructure Docker Compose avec segmentation réseau interne
• Monitoring : Surveillance continue des métriques de sécurité et alertes automatiques
• Mises à jour régulières : Système Ubuntu 24.04 LTS maintenu à jour
• Accès restreint : Seul l'opérateur unique a accès aux serveurs de production

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles. La majorité de ces droits sont exerçables directement depuis l'interface, sans avoir à nous contacter.

Droit d'accès (Art. 15 RGPD)

Vous pouvez obtenir une copie complète de toutes les données personnelles que nous détenons sur vous. Concrètement :

• Ouvrez le module PAPI ou CIA, cliquez sur le bouton 👤 Compte, puis sur « Exporter mes données »
• Un fichier JSON est téléchargé immédiatement contenant : votre profil, vos conversations et messages, vos sessions, vos runs PAPI (100 derniers) et votre journal d'audit (1000 dernières entrées)

Droit de rectification (Art. 16 RGPD)

Vous pouvez corriger vos données personnelles directement depuis l'interface :

• Description de profil, fuseau horaire et ton préféré : modifiables depuis les paramètres de votre compte CIA
• Instructions système et projet PAPI : éditables à tout moment via les profils systèmes et projets
• Pour rectifier votre adresse email (identifiant unique), contactez-nous à [email protected]

Droit à l'effacement / « Droit à l'oubli » (Art. 17 RGPD)

Vous pouvez supprimer vos données à deux niveaux :

• Suppression sélective : conversations, données PAPI (runs, templates, presets), clés API — chacune individuellement depuis l'interface
• Suppression totale du compte : bouton « Supprimer mon compte » dans la modale Compte, protégé par une double confirmation (saisie du mot SUPPRIMER). Cette opération supprime irréversiblement toutes vos données en transaction atomique (voir section 11 pour le détail)

Droit à la limitation du traitement (Art. 18 RGPD)

Vous pouvez demander le gel temporaire du traitement de vos données (contestation de l'exactitude, traitement illicite, etc.). Cette demande s'effectue par email à [email protected] et sera traitée sous 30 jours.

Droit à la portabilité (Art. 20 RGPD)

Le bouton « Exporter mes données » (modale Compte) télécharge l'intégralité de vos données dans un format JSON structuré et lisible par machine, conforme aux exigences de l'Art. 20 RGPD. Le fichier est nommé biofibers-export-YYYY-MM-DD.json et contient :

• Profil utilisateur (email, description, fuseau horaire, ton préféré)
• Conversations et messages associés
• Sessions d'authentification (IP, user-agent, dates)
• Historique des itérations PAPI (mode, modèles, requête, prompts, score)
• Journal d'audit (actions, horodatage)

De plus, le module PAPI propose un export dédié de vos prompts via le menu « ⬇ Exporter » en formats Markdown et JSON (ensemble ou séparé).

Droit d'opposition (Art. 21 RGPD)

Vous pouvez vous opposer à certains traitements fondés sur l'intérêt légitime. Biofibers ne pratiquant aucune prospection commerciale ni profilage, ce droit s'exerce principalement par email à [email protected].

Biofibers utilise exclusivement des cookies strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire, analytique ou de suivi tiers n'est déposé.

Cookies Strictement Nécessaires (exemptés de consentement)

• access_token : Jeton d'authentification JWT — HttpOnly, Secure, SameSite=Lax — durée : 15 minutes — permet d'identifier votre session active
• refresh_token : Jeton de renouvellement JWT — HttpOnly, Secure, SameSite=Strict — durée : 7 jours — permet de prolonger votre session sans ré-authentification

Ces cookies sont HttpOnly (inaccessibles par JavaScript) et Secure (transmis uniquement via HTTPS). Ils ne contiennent aucune donnée personnelle en clair — uniquement un identifiant chiffré.

Stockage Local (localStorage)

Le navigateur stocke localement vos préférences d'interface et l'état de vos outils (Prompt Architect). Ces données restent exclusivement sur votre appareil et ne sont jamais transmises au serveur. Vous pouvez les supprimer à tout moment via les paramètres de votre navigateur.

Certains de nos sous-traitants (fournisseurs d'IA) sont situés en dehors de l'Union Européenne, notamment aux États-Unis.

Ces transferts sont encadrés par :

• EU-US Data Privacy Framework (DPF) : Cadre de protection des données UE-États-Unis adopté par la Commission Européenne (décision d'adéquation du 10 juillet 2023). OpenAI, Google et Cloudflare sont certifiés DPF.
• Clauses Contractuelles Types (CCT) : Pour les fournisseurs non couverts par le DPF, les transferts sont encadrés par les CCT approuvées par la Commission Européenne
• Évaluation des garanties : Nous vérifions que chaque sous-traitant offre un niveau de protection conforme au RGPD avant toute transmission de données

Sous-traitants concernés : OpenAI, Anthropic, Google, xAI, Perplexity (fournisseurs d'IA — États-Unis), Cloudflare (DNS/SSL — États-Unis), SimpleLogin (aliases email — France/UE).

Cette Politique de Confidentialité peut être modifiée pour refléter les évolutions légales, techniques ou organisationnelles.

Toute modification substantielle sera notifiée via :

• Bandeau visible sur la plateforme (7 jours minimum)
• Email pour les utilisateurs authentifiés (mode CIA)
• Mise à jour de la date « Dernière modification » en haut de cette page

Nous vous encourageons à consulter régulièrement cette politique.

Vous disposez d'un contrôle total sur votre compte et vos données. Biofibers vous permet d'exercer ce contrôle directement depuis l'interface, sans avoir à contacter le support.

Suppression sélective

• Conversations : Supprimez individuellement chaque conversation depuis l'interface — suppression immédiate et définitive en base de données
• Données PAPI : Purgez l'ensemble de vos runs, templates, presets et paramètres Prompt Architect en un clic depuis la section Compte
• Clés API : Supprimez vos clés du coffre-fort à tout moment — la clé chiffrée est immédiatement effacée de la base
• Données locales : Videz le stockage local de votre navigateur (localStorage) depuis les paramètres de votre navigateur

Suppression totale du compte (Droit à l'oubli)

Vous pouvez demander la suppression complète et irréversible de votre compte. Cette opération, protégée par une double confirmation, entraîne :

• Suppression de tous vos messages et conversations
• Suppression de toutes vos sessions et tokens d'authentification
• Suppression de toutes vos données PAPI (runs, templates, presets, paramètres)
• Suppression de vos données chiffrées et codes de vérification
• Suppression de votre compte utilisateur (email)

L'opération est exécutée en transaction atomique : soit tout est supprimé, soit rien ne l'est (aucun état intermédiaire possible).

Conformément à l'article 22 du RGPD, Biofibers ne prend aucune décision entièrement automatisée produisant des effets juridiques ou vous affectant de manière significative.

Les modèles d'IA utilisés par Biofibers génèrent des réponses textuelles à vos requêtes. Ces réponses sont de nature informative et consultative — elles ne constituent ni un avis juridique, médical ou financier, ni une décision vous concernant.

Aucun profilage n'est effectué à partir de vos données. L'historique des requêtes est utilisé uniquement pour vous permettre de retrouver vos conversations passées, et non pour adapter le service à un profil comportemental.

Biofibers est un service destiné aux personnes âgées de 15 ans et plus (article 8 du RGPD, seuil abaissé à 15 ans par l'article 45 de la loi Informatique et Libertés pour la France).

Nous ne collectons pas sciemment de données personnelles de mineurs de moins de 15 ans. Si nous apprenons qu'un mineur de moins de 15 ans a fourni des données personnelles sans le consentement d'un titulaire de l'autorité parentale, nous supprimerons ces données dans les meilleurs délais. Vous pouvez nous signaler un tel cas à [email protected].

Contact Direct

Pour toute question concernant vos données personnelles ou cette politique :
Email : [email protected]
Délai de réponse : 30 jours maximum

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle française :

CNIL (Commission Nationale de l'Informatique et des Libertés)
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22
Site web : www.cnil.fr

Chaque modification apportée à cette politique est documentée ci-dessous, conformément à notre engagement de transparence.