Politique de confidentialité

1. Responsable du traitement

Pour un compte individuel (parcours personnel) : l’éditeur de MozaLink est responsable du traitement au sens du RGPD.

Pour un parcours proposé par un établissement (école, université, entreprise) : l’établissement est en principe responsable du traitement ; MozaLink agit alors comme sous-traitant (article 28 du RGPD) pour fournir la plateforme. Les consignes de l’établissement (durée, accès des gestionnaires, restitutions collectives anonymisées) s’appliquent en plus de cette politique.

Contact : contact@mozalink.com.

2. Données collectées

Données que tu fournis :

• e-mail de connexion, mot de passe (stocké sous forme de hash, jamais exporté ni affiché), prénom, nom, genre et âge (facultatifs), photo de profil ;
• réponses aux questionnaires et aux modules, notes de plans d’action, contacts que tu enregistres, sollicitations et cadeaux d’évaluation ;
• préférences d’e-mail (désinscription) et, si tu le coches à l’inscription, le consentement aux communications MozaLink ;
• horodatage du consentement à l’analyse IA optionnelle (Mistral), si tu l’acceptes ;
• lors de l’enregistrement d’une synthèse, une durée de complétion approximative (en secondes, mesurée dans ton navigateur) peut être associée au questionnaire.

Données techniques : adresse IP (sécurité, authentification, limitation de débit), journaux d’erreurs et d’accès, type de navigateur. L’authentification repose sur NextAuth (jeton JWT dans un cookie de session), pas sur un cookie de session Supabase.

Données générées par le service : scores et synthèses, progression du parcours, notifications, appartenances aux groupes et organisations, espaces à deux, comparaisons de questionnaires, tentatives de quiz des modules. Les réponses brutes et les résultats des questionnaires sont chiffrés au repos en base de données.

Les questionnaires (personnalité, émotions, valeurs, etc.) peuvent révéler des informations intimes. Elles ne sont pas utilisées comme diagnostic médical, ni pour un recrutement ou un classement automatisé.

Nous ne déposons pas de cookies publicitaires et n’utilisons pas d’outil d’analyse d’audience (ni Vercel Analytics, ni Speed Insights, ni Google Analytics).

3. Finalités

Tes données servent uniquement au fonctionnement du service :

• créer et gérer ton compte, tes synthèses et ta progression ;
• délivrer le parcours, les modules d’apprentissage et les PDF (synthèse, projet professionnel) ;
• permettre les fonctions relationnelles que tu déclenches (contacts, groupes, organisations, espaces à deux, comparaisons, cadeaux) ;
• envoyer les e-mails transactionnels (invitations, rappels, confirmations), sauf si tu t’y es opposé ;
• traiter un paiement Premium ou un don via Stripe ;
• assurer la sécurité (authentification, limitation de débit, journaux techniques) ;
• fournir aux gestionnaires d’établissement des restitutions collectives anonymisées, avec un seuil d’anonymat, et non tes réponses individuelles ;
• proposer, si tu le demandes, une analyse textuelle optionnelle (« lecture approfondie ») générée via l’API Mistral AI à partir d’un résumé structuré de tes résultats (jamais les réponses brutes longues).

4. Base légale

Exécution du contrat pour l’usage du service ; intérêt légitime pour la sécurité et les journaux techniques ; consentement pour la case d’acceptation de cette politique, les communications facultatives, la connexion via un fournisseur d’identité (Google, Microsoft ou LinkedIn) si tu l’utilises, et l’analyse IA optionnelle Mistral si tu coches la case dédiée avant le premier appel. Pour un parcours établissement, le traitement peut aussi reposer sur le contrat entre l’établissement et MozaLink et sur les bases légales propres à l’établissement.

5. Destinataires et sous-traitants

Tes données sont traitées par MozaLink et par des prestataires strictement nécessaires. Aucune revente à des annonceurs.

• Vercel Inc. : hébergement de l’application (serveurs pouvant se situer aux États-Unis). Transfert hors UE encadré par les mécanismes prévus par le RGPD (clauses contractuelles types et, le cas échéant, cadre de protection des données UE–États-Unis selon le prestataire).
• Supabase : base de données et fichiers (hébergement dans l’Union européenne).
• Resend : envoi des e-mails transactionnels.
• Stripe : paiement de l’accès Premium et des dons (page de paiement hébergée par Stripe).
• OVH : serveurs utilisés pour la génération des PDF et certaines tâches planifiées (e-mails).
• Fournisseurs d’identité optionnels, uniquement si tu t’y connectes : Google, Microsoft (Azure AD) ou LinkedIn.
• YouTube (Google) : lecture des vidéos des modules, via youtube-nocookie.com, uniquement si tu lances une vidéo.
• Mistral AI (Mistral AI SAS) : génération optionnelle de textes d’aide à la réflexion (« lecture approfondie ») à partir d’un résumé structuré de tes résultats de questionnaire, uniquement si tu as donné ton consentement explicite. Hébergement et traitement principalement dans l’Union européenne ; un accord de sous-traitance (DPA) est requis pour un usage en production avec données personnelles.

Un autre utilisateur ne voit tes données que si tu agis en ce sens (invitation, groupe, organisation, cadeau, comparaison, espace à deux). Les gestionnaires d’un établissement accèdent à des synthèses collectives anonymisées, pas à tes réponses individuelles, sauf ce que tu partages toi-même.

6. Conservation

Les données de compte et de questionnaires sont conservées tant que le compte est actif, et au plus 2 ans après la dernière activité sur le service. Un e-mail d’avertissement est envoyé 30 jours avant la suppression, puis un second 24 heures avant. Tu peux télécharger tes données puis supprimer le compte depuis Mon compte. Les brouillons dans le navigateur restent jusqu’à ce que tu les effaces.

Un établissement peut demander la purge des données traitées pour son compte à la fin du contrat. Les comptes personnels des étudiants ne sont pas effacés automatiquement à cette occasion ; ils le sont seulement si la personne les supprime, ou après 2 ans d’inactivité avec les avertissements ci-dessus.

• File d’e-mails une fois envoyés, ignorés ou en échec : 30 jours (purge automatique).
• Jetons de réinitialisation de mot de passe et de vérification d’e-mail : jusqu’à expiration, puis suppression.
• Journal des demandes de droits et des purges : 3 ans.
• Journaux d’exécution Vercel : 1 jour sur le plan Pro (jusqu’à 30 jours avec l’option Observability Plus). Les journaux de compilation d’un déploiement sont conservés tant que le déploiement existe.
• Journaux API et base Supabase : 7 jours sur le plan Pro (1 jour en Free, 28 jours en Team, 90 jours en Enterprise). Les sauvegardes quotidiennes Pro sont conservées 7 jours.
• E-mails et journaux d’API Resend : 30 jours.
• Stripe : événements complets 30 jours via l’API (aperçu jusqu’à 13 mois dans le tableau de bord). Les données de paiement sont conservées par Stripe selon ses obligations légales et comptables (plusieurs années).
• OVH (VPS) : pas d’archivage automatique des journaux par OVH ; ils restent sur la machine selon la configuration. La conservation légale des logs d’hébergeur (le cas échéant) est à notre charge, pas une durée imposée par OVH.

7. Sécurité

Mesures en place : HTTPS, authentification par jeton (NextAuth), contrôle d’accès dans les API, politiques de base de données, hachage des mots de passe. Les réponses et résultats des questionnaires sont chiffrés au repos en base (AES-256-GCM, clé gérée côté serveur). Aucun tracker publicitaire n’est chargé.

8. Tes droits

Tu disposes des droits d’accès, de rectification, d’effacement, de portabilité, de limitation et d’opposition. Tu peux les exercer depuis Mon compte ou par e-mail.

• accès et portabilité : téléchargement d’un fichier JSON depuis Mon compte ;
• rectification : prénom, nom, genre et photo depuis Mon compte ;
• effacement : suppression définitive du compte depuis Mon compte ;
• opposition aux e-mails : préférences sur Mon compte ou lien de désinscription dans un e-mail ;
• limitation : contacte contact@mozalink.com — le compte peut être gelé (plus de connexion) sans suppression immédiate des données.

Ouvrir Mon compte

Tu peux aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Cookies et stockage local

Seuls des cookies techniques sont déposés sur mozalink.com. Aucun cookie de suivi, publicitaire ou d’analyse.

• next-auth.session-token (ou __Secure-next-auth.session-token en HTTPS) : session de connexion ;
• next-auth.csrf-token (ou __Host-next-auth.csrf-token) : protection contre les requêtes forgées ;
• next-auth.callback-url : redirection après connexion ;
• mozalink_locale : langue de l’interface (français ou anglais) ;
• mozalink_preview_gate : accès aux prévisualisations, uniquement sur les environnements de préproduction.

Le navigateur peut aussi conserver, en stockage local : la langue (mozalink_locale), les brouillons de questionnaires (mozalink-questionnaire-progress-*) et quelques indicateurs d’interface (par exemple un message déjà vu). Ces données restent sur ton appareil.

Comme il n’y a pas de cookies non essentiels, aucune bannière de consentement n’est affichée. Un cookie technique éphémère (mozalink_synthese_pdf_render) est utilisé uniquement par le serveur lors de la génération d’un PDF, pas dans ton navigateur habituel.

10. Contenus tiers (vidéos)

Certains modules proposent une vidéo YouTube en mode « youtube-nocookie ». Si tu lances la lecture, YouTube / Google peut déposer des cookies depuis son propre domaine. Tu peux simplement ne pas lire la vidéo.

11. Analyse IA optionnelle (Mistral AI)

Sur certains questionnaires, tu peux demander une « lecture approfondie » : un texte généré par intelligence artificielle pour t’aider à réfléchir sur tes résultats. Ce n’est pas un diagnostic, un avis médical, psychologique ou professionnel, et tu n’es jamais obligé de l’utiliser.

• Données transmises à Mistral AI : uniquement un résumé structuré produit par MozaLink (scores, thèmes, extraits normalisés) — pas tes réponses brutes longues ni l’intégralité du questionnaire.
• Consentement : une case explicite est requise avant le premier appel ; la date est enregistrée sur ton profil.
• Cache : une analyse déjà générée pour un même résultat n’est pas renvoyée à Mistral (pas de nouvel appel API).
• Limitation : un plafond journalier d’appels par compte limite les abus et les coûts.
• Conservation : le texte généré est stocké chez MozaLink (Supabase UE) comme le reste de tes synthèses ; Mistral ne reçoit pas une copie permanente côté MozaLink au-delà de l’appel API.
• Droits : tu peux supprimer ton compte et tes données ; pour l’exercice des droits vis-à-vis de Mistral en tant que sous-traitant, contacte contact@mozalink.com.

12. Décisions automatisées

MozaLink ne prend aucune décision automatisée produisant des effets juridiques ou un classement RH. Les scores et synthèses sont des restitutions de connaissance de soi, à titre informatif. L’analyse IA optionnelle est un complément textuel déclenché par toi ; elle ne modifie pas tes résultats ni ton accès au service.

13. Contact

contact@mozalink.com

14. Urgence, santé mentale et ressources humaines

MozaLink n’est pas un service d’urgence. Si tu es en danger immédiat ou en grande détresse, contacte les secours ou une ligne d’écoute spécialisée. Une page recense des numéros utiles en France :

Ressources d’urgence et lignes d’écoute

15. Mineurs

Le service s’adresse aux personnes de 15 ans et plus. L’inscription exige de le confirmer. Pour un parcours établissement, l’école s’assure que les étudiants concernés ont l’âge requis ou le cadre légal adapté (autorisation parentale si besoin).

16. Documents complémentaires

• Fiche sécurité établissements
• FAQ RGPD