Confidentialité

Qui est responsable

ZFM Alliance SARL, 60 Rue François 1er, 75008 Paris, France, qui édite Chevelux. Pour toute question sur tes données : contact@chevelux.com.

Ce que nous enregistrons, et pourquoi

Ton compte

Ton email, ton mot de passe — haché avec scrypt : nous ne le connaissons pas —, ton prénom si tu le donnes, et le fuseau horaire de ton téléphone, pour savoir quand ta journée commence. Ils servent à te connecter et à faire fonctionner l'app (base légale : le contrat qui nous lie, c'est-à-dire les conditions).

Ton diagnostic

Ton sexe, ta tranche d'âge, ton stade de chute, depuis quand elle dure, tes antécédents familiaux, les traitements que tu suis, ton type de cuir chevelu et ton objectif. Ce sont des données de santé. Elles servent à une seule chose : personnaliser ta routine, tes guides et les messages du coach.

Nous ne les enregistrons qu'avec ton consentement explicite, donné en cochant la case prévue à la création du compte (article 9 du RGPD). Tu peux le retirer à tout moment en supprimant ton compte. Avant la création du compte, tes réponses restent dans ton navigateur : rien ne nous parvient.

Ton suivi

Tes habitudes et les jours où tu les coches, ta streak et tes gels, tes points d'expérience, les guides que tu as lus, et pour chaque check-in : sa date, la chute que tu as ressentie et les angles photographiés — sans les photos. Ils servent à afficher ta progression (base légale : le contrat, et ton consentement pour la chute ressentie).

La sécurité

L'empreinte de ton jeton de connexion (jamais le jeton lui-même), et, lors d'une connexion, d'une inscription ou d'un mot de passe oublié, ton adresse IP et l'email saisi, pour bloquer les tentatives en rafale. Ces traces de tentatives sont effacées automatiquement après une heure (base légale : notre intérêt légitime à protéger les comptes).

Le paiement

Le paiement est traité par Stripe : nous ne voyons jamais ton numéro de carte. Nous gardons la trace de ton achat et tes factures (base légale : le contrat, et notre obligation de conserver les factures).

Ton selfie, si tu achètes l'option Le Plan Sans Casquette

Pour créer les images de cette option, le selfie que tu choisis d'envoyer part vers Google (API Gemini), avec ton consentement explicite : deux cases à cocher avant chaque envoi, réservé aux personnes de 18 ans et plus. Il passe par nos serveurs sans y être enregistré, et nous ne gardons ni le selfie ni les images : elles reviennent directement sur ton appareil. Google ne s'en sert pas pour améliorer ses produits ni entraîner ses modèles ; il conserve ces échanges pendant une durée limitée, à la seule fin de détecter les abus. De notre côté, nous gardons la date de ton dernier consentement et le nombre d'images créées. Tu peux retirer ton consentement en n'envoyant plus de photo.

Ce qui reste sur ton appareil

Certaines données ne quittent jamais ton téléphone (ou ton ordinateur) :

• Tes photos de check-in, rangées dans le stockage du navigateur. Sur un autre appareil, tu ne verras que les dates et les ressentis.
• Le brouillon de ton diagnostic, tant que ton compte n'est pas créé, pour reprendre où tu t'étais arrêté.
• Un mémo des célébrations déjà affichées, pour ne pas te les montrer deux fois.

• Les images de l'option Le Plan Sans Casquette, si tu en crées.

Effacer les données de ton navigateur les efface aussi — photos comprises. Supprimer ton compte efface les photos rangées sur l'appareil d'où tu le supprimes.

Cookies

Chevelux n'utilise qu'un seul cookie : celui qui te garde connecté (« cx_session », 30 jours, inaccessible aux scripts). Il est strictement nécessaire au service : la loi ne demande pas de consentement pour lui, d'où l'absence de bandeau. Aucun cookie publicitaire, aucun cookie de mesure d'audience.

Qui y a accès

L'équipe de ZFM Alliance SARL, uniquement quand c'est nécessaire (par exemple pour répondre à une demande d'aide). Et les prestataires qui font tourner le service, liés par contrat et qui n'utilisent tes données que pour nous :

• Vercel — l'hébergement du site ;
• Neon — la base de données ;
• Resend — les emails de compte (lien de réinitialisation, confirmation de changement de mot de passe) ;
• Stripe — le paiement ;
• Google — la création des images de l'option Le Plan Sans Casquette, uniquement si tu envoies un selfie ;
• Have I Been Pwned — vérifier qu'un mot de passe n'a pas fuité. Seuls les cinq premiers caractères d'une empreinte du mot de passe sont envoyés : ni le mot de passe, ni ton email.

Où elles sont

La base de données est hébergée dans l'Union européenne (Francfort, Allemagne). Certains prestataires sont des sociétés américaines : lorsqu'une donnée sort de l'Union européenne, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par le Data Privacy Framework UE–États-Unis.

Combien de temps

• Ton compte, ton diagnostic et ton suivi : tant que ton compte existe.
• À la suppression du compte : effacement immédiat de la base. Les sauvegardes techniques s'écrasent d'elles-mêmes, en 30 jours au plus.
• Les traces de tentatives de connexion : une heure. Les sessions : 30 jours.
• Les liens de réinitialisation du mot de passe : valables 30 minutes.
• Les factures, si tu t'abonnes : 10 ans, comme l'exige le Code de commerce.

Tes droits

Tu peux accéder à tes données, les corriger, les faire effacer, en limiter l'usage, t'opposer à un traitement, les récupérer dans un format lisible (portabilité), retirer ton consentement, et donner des directives sur leur sort après ta mort.

Le plus rapide : ton prénom se modifie dans ton profil, ton diagnostic se refait depuis ton profil, et « Supprimer mon compte » efface tout. Pour le reste, écris-nous à contact@chevelux.com : nous répondons dans un délai d'un mois. Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL (cnil.fr).

Sécurité

Connexion chiffrée (HTTPS) partout, mots de passe hachés avec scrypt, jetons de session et liens de réinitialisation stockés sous forme d'empreinte, tentatives de connexion limitées, refus des mots de passe déjà apparus dans une fuite. Aucune mesure n'est infaillible : si un incident touchait tes données, nous te préviendrions comme la loi le prévoit.

Âge minimum

Chevelux est réservé aux personnes de 15 ans et plus. En dessous, le consentement d'un parent serait nécessaire, et l'app ne le recueille pas.

Changements

Si cette politique change, la date en haut de page change aussi. Si le changement touche à ce que nous faisons de tes données, nous te prévenons avant qu'il s'applique.