Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur le site lemondedisis.fr est :

Bapst Technologies, SARL au capital de 300 €
Le Monde d'Isis (adresse postale pour les retours, pas d'accueil du public) : 711 Avenue Charles de Gaulle, 01330 Villars-les-Dombes, France
RCS : 901 392 019
Directeur de la publication : Charles Bapst
Email : contact@lemondedisis.fr

2. Données collectées et finalités

2.1 Inscription à la newsletter

Données collectées : prénom, adresse email
Finalité : envoi de la lettre éditoriale « Le Monde d'Isis — articles & nouveautés » et information sur les nouvelles publications
Base légale : consentement explicite (article 6.1.a RGPD), recueilli au moment de l'inscription
Sous-traitant : Mailjet (Sinch Email, France) — envoi et gestion de la base de contacts
Durée de conservation : jusqu'à demande de désinscription (lien présent dans chaque email)

2.2 Création de compte utilisateur

Données collectées : email, mot de passe (haché, jamais stocké en clair), prénom optionnel, langue de préférence, secret 2FA si activé
Finalité : accès aux fonctionnalités personnalisées (favoris, sceaux de lecture, gestion des inscriptions newsletter)
Base légale : exécution du contrat utilisateur (article 6.1.b RGPD)
Durée de conservation : tant que le compte est actif. Suppression dans les 30 jours suivant la demande de fermeture de compte

2.3 Suivi de lecture et trophées (utilisateurs connectés)

Données collectées : articles lus, esprits visités, partages sociaux, sceaux débloqués avec leur date
Finalité : gamification (système de sceaux et titres débloqués), recommandations personnalisées
Base légale : exécution du contrat utilisateur (article 6.1.b RGPD)
Durée de conservation : tant que le compte est actif

2.4 Quizz

Données collectées : tes réponses, le temps de calculer le résultat ; ton email et ton prénom seulement si tu coches la case pour recevoir le résultat et les nouvelles. Le résultat s'affiche dans tous les cas, sans inscription.
Finalité : si tu as coché la case, envoi du résultat, du guide associé et des nouvelles du Monde d'Isis, boutique comprise (dont, une fois, ta pierre en bracelet deux jours plus tard). Désinscription en un clic dans chaque email.
Base légale : consentement explicite (article 6.1.a RGPD)

2.5 Mesure d'audience

Deux régimes, selon ton choix (case « Mesure d'audience » du bandeau, jamais cochée d'avance, modifiable à tout moment dans la politique de cookies) :

Sans ton accord (refus, ou pas encore de choix) : aucun cookie, aucun stockage sur ton appareil pour la mesure, aucun identifiant ni empreinte. Seuls des compteurs par jour sont tenus (pages vues par page, passages par étape du parcours d'achat, nombre d'achats), sans heure, sans montant, sans provenance ni appareil. Ces compteurs n'identifient personne : ils ne constituent pas des données personnelles.
Avec ton accord — données collectées : pages consultées, provenance (moteur de recherche, réseau social…), type d'appareil, langue, pays. Un cookie première partie _aid (identifiant aléatoire opaque, non nominatif) regroupe les pages d'une même visite. L'adresse IP n'est jamais conservée. Avec ton accord, tes visites peuvent être rapprochées de tes commandes ou de ton compte (par exemple un paiement ouvert juste avant une commande), uniquement pour comprendre et améliorer la boutique ; sans ton accord, nous ne comptons que des chiffres anonymes par jour.
Finalité : mesure d'audience pour améliorer le contenu, l'ergonomie du site et la boutique : des chiffres anonymes par jour sans ton accord ; avec ton accord, des parcours de visite qui peuvent être rapprochés de tes commandes ou de ton compte. Aucune publicité, aucune revente, aucun profilage individuel.
Base légale : pour le suivi par session, ton consentement (article 6.1.a RGPD et article 82 de la loi Informatique et Libertés), que tu peux retirer à tout moment : le cookie _aid est alors supprimé sur-le-champ. Pour les compteurs du jour, notre intérêt légitime à connaître la fréquentation du site (article 6.1.f), dans le cadre de l'exemption de la CNIL pour la mesure d'audience.
Outil : solution de statistiques 100% interne, développée et hébergée par nos soins. Aucun service tiers (ni Google Analytics, ni Matomo), aucune donnée transmise à l'extérieur.
Durée de conservation : cookie 30 jours ; données d'audience (détaillées et compteurs) conservées 25 mois maximum.

2.6 Cookies techniques

Voir notre politique de cookies pour le détail.

2.7 Dialogue avec les esprits (application)

Données collectées : messages envoyés aux esprits et réponses générées, horodatés et rattachés au compte — ainsi que, si tu le renseignes, ton « chemin » (intentions/objectifs choisis et texte libre), transmis au modèle avec chaque demande pour personnaliser les réponses, modifiable et effaçable à tout moment. Quand tu parles à Lysara, elle reçoit aussi la liste de tes Reliques (objets achetés à la boutique et éveillés), leur texte, et les chapitres de l'histoire de tes Gardiens que tu as débloqués. Ces conversations peuvent contenir des informations que tu choisis librement de confier — y compris, potentiellement, des données sensibles (état émotionnel, santé, deuil…). Tu restes seul·e maître de ce que tu écris ; n'y mentionne pas de tiers sans leur accord.
Finalité : génération des réponses en personnage, continuité des conversations (historique), bilan de fin de parcours. S'y ajoute l'amélioration du service : une relecture interne des conversations récentes, sous forme pseudonymisée (aucun nom, aucun email — un simple code remplace l'identité), pour ajuster la qualité des réponses des esprits. Jamais de publicité, de profilage commercial ni de revente.
Base légale : exécution du contrat (article 6.1.b RGPD) ; pour les éventuelles données sensibles que tu inclus volontairement, ton acte de les communiquer manifeste ton consentement explicite (article 9.2.a RGPD) ; pour la relecture qualité pseudonymisée, intérêt légitime (article 6.1.f RGPD) — tu peux t'y opposer à tout moment en nous écrivant (section « Tes droits »), tes conversations seront alors exclues de la relecture.
Sous-traitant : Anthropic (fournisseur du modèle d'IA) — reçoit le contenu des conversations pour générer les réponses. Conformément à sa politique applicable aux services API, Anthropic n'utilise pas ces données pour entraîner ses modèles ; elles sont conservées temporairement à des fins de sécurité puis supprimées.
Durée de conservation : tant que le compte est actif. Tu peux demander l'effacement de tes conversations à tout moment ; la suppression du compte les efface intégralement.

2.8 Parcours de 30 jours (progression et journal)

Données collectées : jours validés, réponses aux quizz d'ancrage, et le journal de bord — texte libre et personnel que tu rédiges au fil des jours.
Finalité : suivi de ta progression, reprise là où tu t'es arrêté·e, et — si tu es abonné·e et le demandes — bilan conversationnel de fin de parcours avec l'esprit guide (ton journal est alors transmis au sous-traitant IA, comme en 2.7, uniquement à ce moment-là).
Base légale : exécution du contrat (article 6.1.b RGPD).
Durée de conservation : tant que le compte est actif ; effacement complet à la suppression du compte.

2.9 Tirages de tarot

Données collectées : cartes tirées, question optionnelle posée, lecture générée par l'esprit guide.
Finalité : réalisation du tirage, génération de la lecture (abonnés), historique personnel — et, comme en 2.7, relecture qualité interne pseudonymisée (intérêt légitime, droit d'opposition identique).
Base légale : exécution du contrat (article 6.1.b RGPD). La question posée transite par le sous-traitant IA (cf. 2.7) pour la lecture personnalisée.
Durée de conservation : tant que le compte est actif.

2.9 bis Carnet de rêves

Données collectées : les rêves que tu notes librement (texte, ressenti au réveil, date). Ce sont des données intimes par nature — tu restes seul·e maître de ce que tu écris.
Finalité : ton journal personnel (visible par toi seul·e) et, uniquement si tu le demandes, l'interprétation symbolique en conversation avec un esprit — tes derniers rêves sont alors transmis au sous-traitant IA (cf. 2.7), à ce moment-là seulement. S'ajoute la relecture qualité pseudonymisée des conversations d'interprétation (cf. 2.7 — jamais du carnet lui-même).
Base légale : exécution du contrat (article 6.1.b RGPD) ; ton acte de demander l'interprétation manifeste ton consentement à la transmission (article 9.2.a le cas échéant).
Durée de conservation : chaque rêve est supprimable individuellement depuis le carnet ; effacement complet à la suppression du compte.

2.10 Abonnements et paiements

Données collectées : statut d'abonnement, historique des paiements et factures. Les données bancaires ne sont jamais collectées par nos soins : elles sont saisies exclusivement sur les pages sécurisées de Stripe.
Finalité : gestion de l'abonnement, des droits d'accès, facturation, prévention de la fraude.
Base légale : exécution du contrat (article 6.1.b RGPD) et obligations légales comptables (article 6.1.c RGPD).
Sous-traitant : Stripe (Stripe Payments Europe, Ltd.), prestataire de paiement agréé.
Durée de conservation : les pièces comptables (factures) sont conservées 10 ans conformément au Code de commerce, y compris après suppression du compte.

2.11 Commandes de la boutique

Données collectées : nom, adresse email, adresse de livraison, contenu de la commande (bijoux, tour de poignet pour le sur-mesure), montant, numéro de commande, facture, suivi d'envoi. Les données bancaires sont saisies uniquement chez Stripe : nous ne les voyons jamais.
Finalité : préparer, expédier et suivre ta commande ; t'envoyer la confirmation, le numéro de suivi et ta facture ; gérer un retour, un remboursement ou une réclamation.
Base légale : exécution du contrat (article 6.1.b RGPD) ; obligations comptables et fiscales pour les factures (article 6.1.c RGPD).
Destinataires : Stripe (paiement et facture), Mondial Relay (nom, point relais ou adresse de livraison, e-mail pour l'avis d'arrivée et le suivi), Mailjet (envoi des emails liés à la commande).
Durée de conservation : les commandes sont conservées 5 ans après ta dernière commande (prescription commerciale), puis supprimées ou anonymisées ; les factures 10 ans (Code de commerce), même après la suppression du compte.
Commande passée sans compte : si tu crées ensuite un compte avec la même adresse et que tu la confirmes (lien envoyé par email), tes commandes passées sans compte rejoignent ton espace.

2.11 bis Achat d'un fichier PDF (guide ou rituel)

Données collectées : ton adresse e-mail, le pays que tu indiques, le fichier acheté, le montant, le numéro de facture, la date et le texte de la case de renonciation que tu as cochée, la date de ton premier téléchargement et le nombre de téléchargements. Le lien de téléchargement n'est pas conservé en clair. Les données bancaires sont saisies uniquement chez Stripe.
Finalité : t'envoyer le fichier, la confirmation et la facture ; te renvoyer un lien sur demande ; prouver ton accord pour recevoir le fichier tout de suite ; traiter une rétractation ou une réclamation.
Base légale : exécution du contrat (article 6.1.b RGPD) ; obligations légales (preuve de la renonciation, articles L221-13 et L221-28 du Code de la consommation ; factures) (article 6.1.c RGPD).
Destinataires : Stripe (paiement et facture), Mailjet (envoi des e-mails).
Durée de conservation : 5 ans après l'achat, puis suppression ; les factures 10 ans.

2.12 Collection des Gardiens et Reliques

Données collectées : les codes d'éveil des Cartes du Gardien que tu as saisis, les Gardiens de ta collection, les paliers atteints, les cadeaux débloqués et ton choix de cadeau.
Finalité : faire fonctionner la collection (paliers, cadeaux glissés dans tes colis, chapitres de l'histoire) et l'essai de 30 jours ouvert par l'éveil.
Base légale : exécution du contrat (article 6.1.b RGPD).
Durée de conservation : tant que ton compte est actif. Un remboursement retire le Gardien concerné de la collection.

2.13 Parrainage

Données collectées : ton code de parrainage, l'adresse email de chaque ami parrainé et sa première commande (sans le détail de ce qu'il a acheté), et, pour éviter les abus, une comparaison de l'adresse de livraison du filleul avec celle du parrain (première ligne et code postal) et de vos adresses email.
Finalité : attribuer le cadeau de bienvenue au filleul et la récompense au parrain ; prévenir la fraude (se parrainer soi-même).
Base légale : exécution du contrat pour le programme (article 6.1.b RGPD) ; intérêt légitime pour la prévention de la fraude (article 6.1.f RGPD). Tu peux t'y opposer en nous écrivant ; tu ne participes alors plus au parrainage.
Ce que voit ton parrain : la première lettre de ton adresse email et son domaine (par exemple m•••@gmail.com), la date et l'état du parrainage. Jamais ton nom, ton adresse ni ce que tu as acheté.
Durée de conservation : tant que le compte du parrain existe ; le parrainage est supprimé avec lui. L'adresse du filleul reste rattachée au parrainage pour vérifier qu'une même personne n'est parrainée qu'une fois. La comparaison des adresses n'est pas conservée au-delà de la vérification.

2.14 Anniversaire et fidélité

Données collectées : ta date de naissance, uniquement si tu la renseignes dans ton profil ; ton statut de fidélité (calculé à partir de ta collection).
Finalité : préparer une petite surprise glissée dans ta commande du mois de ton anniversaire, et t'envoyer le rituel de ton signe par email (seulement si tu es inscrit·e aux nouvelles).
Base légale : ton consentement, donné en renseignant ta date (article 6.1.a RGPD) ; tu peux l'effacer à tout moment dans ton profil.
Durée de conservation : tant que ton compte est actif, ou jusqu'à ce que tu l'effaces.

2.15 Avis clients

Données collectées : ta note, ton texte, ton prénom (ou pseudo) et la date, rattachés à ta commande (seuls les acheteurs peuvent laisser un avis).
Finalité : publier les avis sur les fiches produits, après modération.
Base légale : ton consentement en publiant l'avis (article 6.1.a RGPD) ; tu peux demander son retrait à tout moment.
Durée de conservation : tant que l'avis est publié ; un avis refusé ou retiré est supprimé un an après la décision.

2.15 bis Enquête Google Avis clients (facultative)

Quand : sur la page de remerciement, juste après un paiement réussi, un bouton te propose de donner ton avis à Google. Rien n'est chargé ni transmis tant que tu ne cliques pas ; c'est ensuite la fenêtre de Google qui te demande ton accord (case à cocher).
Données transmises à Google si tu acceptes : ton email, le numéro de commande, le pays de livraison et la date de livraison estimée. Google t'envoie lui-même le questionnaire après la livraison ; nous ne t'envoyons rien à ce titre.
Base légale : ton consentement, donné dans la fenêtre de Google (article 6.1.a RGPD).
Responsable : Google Ireland Limited, pour l'enquête et les avis recueillis, selon ses propres règles de confidentialité (policies.google.com/privacy), y compris pour d'éventuels transferts hors de l'Union européenne.

2.16 Emails liés à tes achats

Panier laissé en attente : un seul rappel, et pas plus d'un par mois, uniquement si tu as coché « me rappeler mon panier » (case non cochée par défaut). Tu peux retirer ce choix dans ton panier ou d'un clic dans l'e-mail.
Panier enregistré sans compte (ton adresse email et le contenu du panier, pour le retrouver plus tard) : supprimé 30 jours après sa dernière modification. Avec un compte, le panier suit la durée du compte.
Demande d'avis 7 jours après l'expédition, une seule fois ; relance douce 60 jours après ta dernière commande, seulement si tu es inscrit·e aux nouvelles.
Après l'éveil d'une Relique : trois e-mails au plus, une seule fois par Relique. Le jour de l'éveil (son Gardien, comment la porter et en prendre soin), une semaine après (la prochaine lune et sa recharge), et vers la fin de l'essai de 30 jours un récit de son Gardien avec la date de fin de l'essai. Ce dernier e-mail n'est envoyé que si tu es inscrit·e aux nouvelles et que tu n'as pas d'abonnement payant.
Base légale : intérêt légitime pour les deux premiers e-mails après l'éveil, conseils d'usage du produit acheté (article 6.1.f RGPD) ; ton consentement (case cochée) pour le rappel de panier, la relance douce et le dernier e-mail après l'éveil (article 6.1.a RGPD, article L34-5 du Code des postes et des communications électroniques) ; intérêt légitime pour la demande d'avis sur une commande passée (article 6.1.f RGPD). Chaque e-mail contient un lien pour ne plus en recevoir.
Destinataire : Mailjet (envoi).

3. Destinataires des données

Les données sont exclusivement traitées par Bapst Technologies et, pour certaines finalités précises, par ses sous-traitants :

Mailjet (Sinch Email France) — envoi de la newsletter et des emails liés à ton compte et à tes commandes (confirmation, expédition, facture, rappel, mot de passe oublié, vérification de l'adresse). Données transmises : prénom, email, statut d'abonnement, contenu de l'email.
IONOS (hébergeur) — hébergement technique du site et de la base de données.
Anthropic — fournisseur du modèle d'intelligence artificielle qui incarne les esprits. Données transmises : contenu des conversations, questions de tirage et, lors d'un bilan, journal de parcours (cf. 2.7 à 2.9), et, quand tu parles à Lysara, la liste et le texte de tes Reliques et les chapitres débloqués de leur histoire — jamais ton identité (ni email, ni nom de compte).
Stripe (Stripe Payments Europe, Ltd.) — traitement des paiements et factures. Données transmises : email, montant, moyen de paiement (saisi directement chez Stripe), adresse de livraison et de facturation, contenu de la commande pour la facture.
Mondial Relay — acheminement des colis, en point relais ou à domicile. Données transmises : nom, point relais choisi ou adresse de livraison, e-mail pour l'avis d'arrivée, et numéro de suivi. Le point relais se choisit dans le panier sur la carte de Mondial Relay, chargée depuis ses serveurs (qui reçoivent l'adresse IP et le code postal ou la ville recherchés ; le fond de carte vient d'OpenStreetMap). Les commandes expédiées avant le 6 novembre 2026 sont parties par La Poste.
Google Ireland Limited — seulement si tu acceptes l'enquête Google Avis clients (cf. 2.15 bis) : email, numéro de commande, pays et date de livraison estimée.

Aucune donnée n'est vendue, louée, ou transmise à des partenaires commerciaux.

4. Transferts hors Union européenne

Nos sous-traitants traitent les données au sein de l'Union européenne, à l'exception d'Anthropic (États-Unis) : les contenus de conversation qui lui sont transmis pour générer les réponses des esprits font l'objet de garanties appropriées au sens du RGPD (certification au cadre UE-États-Unis de protection des données / clauses contractuelles types), sans donnée d'identité associée. Stripe opère pour l'UE via son entité irlandaise (Stripe Payments Europe, Ltd.) ; les données de paiement et de commande peuvent être transférées à sa maison mère, Stripe, Inc. (États-Unis), avec les mêmes garanties (cadre UE-États-Unis de protection des données et clauses contractuelles types). Mailjet héberge les données dans l'Union européenne ; Mondial Relay traite les envois en France, en Belgique et au Luxembourg.

5. Tes droits (RGPD)

Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants sur tes données personnelles :

Droit d'accès : obtenir une copie de tes données traitées
Droit de rectification : corriger des données inexactes
Droit à l'effacement (« droit à l'oubli ») : demander la suppression de tes données
Droit à la limitation du traitement
Droit à la portabilité : récupérer tes données dans un format structuré et couramment utilisé
Droit d'opposition au traitement
Droit de retirer ton consentement à tout moment (notamment pour la newsletter via le lien de désinscription)

6. Comment exercer tes droits

Pour exercer l'un de ces droits, contacte-nous à l'adresse : contact@lemondedisis.fr

Nous nous engageons à répondre dans un délai maximum d'un mois. Une preuve d'identité pourra t'être demandée en cas de doute raisonnable.

Si tu estimes que tes droits ne sont pas respectés, tu disposes également du droit d'introduire une réclamation auprès de la CNIL — cnil.fr.

7. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger tes données contre l'accès non autorisé, l'altération ou la suppression :

Mots de passe utilisateurs hachés avec algorithme bcrypt (jamais stockés en clair)
Connexion HTTPS chiffrée sur l'ensemble du site
Authentification à deux facteurs (2FA TOTP) disponible pour les comptes utilisateurs
Sauvegardes régulières de la base de données
Accès aux données strictement limité aux personnes habilitées

8. Modifications

La présente politique de confidentialité peut être modifiée à tout moment afin de tenir compte d'évolutions légales ou de nouveaux services. La date de dernière mise à jour est indiquée en tête de page. En cas de modification substantielle, nous t'en informerons par email si tu es inscrit·e à la newsletter.

Contact : contact@lemondedisis.fr