Politique de confidentialité

1. Responsable du traitement

Pour un compte individuel (parcours personnel) : l’éditeur de MozaLink est responsable du traitement au sens du RGPD.

Pour un parcours proposé par un établissement (école, université, entreprise) : l’établissement est en principe responsable du traitement ; MozaLink agit alors comme sous-traitant (article 28 du RGPD) pour fournir la plateforme. Les consignes de l’établissement (durée, accès des gestionnaires, restitutions collectives anonymisées) s’appliquent en plus de cette politique.

Contact : contact@mozalink.com.

2. Données collectées

Données que tu fournis :

• e-mail de connexion, mot de passe (stocké sous forme de hash, jamais exporté ni affiché), prénom, nom, genre et âge (facultatifs), photo de profil ;
• réponses aux questionnaires et aux modules, notes de plans d’action, contacts que tu enregistres, sollicitations et cadeaux d’évaluation ;
• préférences d’e-mail (désinscription) et, si tu le coches à l’inscription, le consentement aux communications MozaLink ;
• lors de l’enregistrement d’une synthèse, une durée de complétion approximative (en secondes, mesurée dans ton navigateur) peut être associée au questionnaire.

Données techniques : adresse IP (sécurité, authentification, limitation de débit), journaux d’erreurs et d’accès, type de navigateur. L’authentification repose sur NextAuth (jeton JWT dans un cookie de session), pas sur un cookie de session Supabase.

Données générées par le service : scores et synthèses, progression du parcours, notifications, appartenances aux groupes et organisations, espaces à deux, comparaisons de questionnaires, tentatives de quiz des modules.

Les questionnaires (personnalité, émotions, valeurs, etc.) peuvent révéler des informations intimes. Elles ne sont pas utilisées comme diagnostic médical, ni pour un recrutement ou un classement automatisé.

Nous ne déposons pas de cookies publicitaires et n’utilisons pas d’outil d’analyse d’audience (ni Vercel Analytics, ni Speed Insights, ni Google Analytics).

3. Finalités

Tes données servent uniquement au fonctionnement du service :

• créer et gérer ton compte, tes synthèses et ta progression ;
• délivrer le parcours, les modules d’apprentissage et les PDF (synthèse, projet professionnel) ;
• permettre les fonctions relationnelles que tu déclenches (contacts, groupes, organisations, espaces à deux, comparaisons, cadeaux) ;
• envoyer les e-mails transactionnels (invitations, rappels, confirmations), sauf si tu t’y es opposé ;
• traiter un paiement Premium ou un don via Stripe ;
• assurer la sécurité (authentification, limitation de débit, journaux techniques) ;
• fournir aux gestionnaires d’établissement des restitutions collectives anonymisées, avec un seuil d’anonymat, et non tes réponses individuelles.

4. Base légale

Exécution du contrat pour l’usage du service ; intérêt légitime pour la sécurité et les journaux techniques ; consentement pour la case d’acceptation de cette politique, les communications facultatives et la connexion via un fournisseur d’identité (Google, Microsoft ou LinkedIn) si tu l’utilises. Pour un parcours établissement, le traitement peut aussi reposer sur le contrat entre l’établissement et MozaLink et sur les bases légales propres à l’établissement.

5. Destinataires et sous-traitants

Tes données sont traitées par MozaLink et par des prestataires strictement nécessaires. Aucune revente à des annonceurs.

• Vercel Inc. : hébergement de l’application (serveurs pouvant se situer aux États-Unis). Transfert hors UE encadré par les mécanismes prévus par le RGPD (clauses contractuelles types et, le cas échéant, cadre de protection des données UE–États-Unis selon le prestataire).
• Supabase : base de données et fichiers (hébergement dans l’Union européenne).
• Resend : envoi des e-mails transactionnels.
• Stripe : paiement de l’accès Premium et des dons (page de paiement hébergée par Stripe).
• OVH : serveurs utilisés pour la génération des PDF et certaines tâches planifiées (e-mails).
• Fournisseurs d’identité optionnels, uniquement si tu t’y connectes : Google, Microsoft (Azure AD) ou LinkedIn.
• YouTube (Google) : lecture des vidéos des modules, via youtube-nocookie.com, uniquement si tu lances une vidéo.

Un autre utilisateur ne voit tes données que si tu agis en ce sens (invitation, groupe, organisation, cadeau, comparaison, espace à deux). Les gestionnaires d’un établissement accèdent à des synthèses collectives anonymisées, pas à tes réponses individuelles, sauf ce que tu partages toi-même.

6. Conservation

Les données de compte et de questionnaires sont conservées tant que le compte est actif, et au plus 2 ans après la dernière activité sur le service. Un e-mail d’avertissement est envoyé 30 jours avant la suppression, puis un second 24 heures avant. Tu peux télécharger tes données puis supprimer le compte depuis Mon compte. Les brouillons dans le navigateur restent jusqu’à ce que tu les effaces.

Un établissement peut demander la purge des données traitées pour son compte à la fin du contrat. Les comptes personnels des étudiants ne sont pas effacés automatiquement à cette occasion ; ils le sont seulement si la personne les supprime, ou après 2 ans d’inactivité avec les avertissements ci-dessus.

• File d’e-mails une fois envoyés, ignorés ou en échec : 30 jours (purge automatique).
• Jetons de réinitialisation de mot de passe et de vérification d’e-mail : jusqu’à expiration, puis suppression.
• Journal des demandes de droits et des purges : 3 ans.
• Journaux d’exécution Vercel : 1 jour sur le plan Pro (jusqu’à 30 jours avec l’option Observability Plus). Les journaux de compilation d’un déploiement sont conservés tant que le déploiement existe.
• Journaux API et base Supabase : 7 jours sur le plan Pro (1 jour en Free, 28 jours en Team, 90 jours en Enterprise). Les sauvegardes quotidiennes Pro sont conservées 7 jours.
• E-mails et journaux d’API Resend : 30 jours.
• Stripe : événements complets 30 jours via l’API (aperçu jusqu’à 13 mois dans le tableau de bord). Les données de paiement sont conservées par Stripe selon ses obligations légales et comptables (plusieurs années).
• OVH (VPS) : pas d’archivage automatique des journaux par OVH ; ils restent sur la machine selon la configuration. La conservation légale des logs d’hébergeur (le cas échéant) est à notre charge, pas une durée imposée par OVH.

7. Sécurité

Mesures en place : HTTPS, authentification par jeton (NextAuth), contrôle d’accès dans les API, politiques de base de données, hachage des mots de passe. Aucun tracker publicitaire n’est chargé.

8. Tes droits

Tu disposes des droits d’accès, de rectification, d’effacement, de portabilité, de limitation et d’opposition. Tu peux les exercer depuis Mon compte ou par e-mail.

• accès et portabilité : téléchargement d’un fichier JSON depuis Mon compte ;
• rectification : prénom, nom, genre et photo depuis Mon compte ;
• effacement : suppression définitive du compte depuis Mon compte ;
• opposition aux e-mails : préférences sur Mon compte ou lien de désinscription dans un e-mail ;
• limitation : contacte contact@mozalink.com — le compte peut être gelé (plus de connexion) sans suppression immédiate des données.

Ouvrir Mon compte

Tu peux aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Cookies et stockage local

Seuls des cookies techniques sont déposés sur mozalink.com. Aucun cookie de suivi, publicitaire ou d’analyse.

• next-auth.session-token (ou __Secure-next-auth.session-token en HTTPS) : session de connexion ;
• next-auth.csrf-token (ou __Host-next-auth.csrf-token) : protection contre les requêtes forgées ;
• next-auth.callback-url : redirection après connexion ;
• mozalink_locale : langue de l’interface (français ou anglais) ;
• mozalink_preview_gate : accès aux prévisualisations, uniquement sur les environnements de préproduction.

Le navigateur peut aussi conserver, en stockage local : la langue (mozalink_locale), les brouillons de questionnaires (mozalink-questionnaire-progress-*) et quelques indicateurs d’interface (par exemple un message déjà vu). Ces données restent sur ton appareil.

Comme il n’y a pas de cookies non essentiels, aucune bannière de consentement n’est affichée. Un cookie technique éphémère (mozalink_synthese_pdf_render) est utilisé uniquement par le serveur lors de la génération d’un PDF, pas dans ton navigateur habituel.

10. Contenus tiers (vidéos)

Certains modules proposent une vidéo YouTube en mode « youtube-nocookie ». Si tu lances la lecture, YouTube / Google peut déposer des cookies depuis son propre domaine. Tu peux simplement ne pas lire la vidéo.

11. Décisions automatisées

MozaLink ne prend aucune décision automatisée produisant des effets juridiques ou un classement RH. Les scores et synthèses sont des restitutions de connaissance de soi, à titre informatif.

12. Contact

contact@mozalink.com

13. Urgence, santé mentale et ressources humaines

MozaLink n’est pas un service d’urgence. Si tu es en danger immédiat ou en grande détresse, contacte les secours ou une ligne d’écoute spécialisée. Une page recense des numéros utiles en France :

Ressources d’urgence et lignes d’écoute

14. Mineurs

Le service s’adresse aux personnes de 15 ans et plus. L’inscription exige de le confirmer. Pour un parcours établissement, l’école s’assure que les étudiants concernés ont l’âge requis ou le cadre légal adapté (autorisation parentale si besoin).

15. Documents complémentaires

• Fiche sécurité établissements
• FAQ RGPD
• Modèle de DPA (sous-traitance)