Politique de confidentialite

1. Responsable du traitement

Le responsable du traitement des donnees personnelles est :

Pour toute question relative a la protection de vos donnees personnelles, vous pouvez nous contacter a [email protected].

2. Types de donnees collectees

Donnees fournies volontairement

• Adresse e-mail et nom d'affichage fournis lors de l'inscription
• Contenus creatifs : textes, chapitres, notes, fiches de personnages et tout autre contenu cree sur la plateforme
• Donnees de paiement et de facturation — gerees integralement par Stripe. Narraya ne stocke aucune donnee de carte bancaire
• Textes soumis aux fonctionnalites d'IA pour le traitement d'analyses
• Fichiers importes via les integrations de stockage cloud optionnelles (Google Drive, Dropbox) — uniquement sur action explicite de l'utilisateur

Donnees collectees automatiquement

• Journaux techniques d'acces et de securite
• Donnees de navigation agregees et anonymes (via Plausible Analytics, sans cookies)
• Informations techniques sur l'appareil et le navigateur

3. Finalites et bases juridiques du traitement

Nous traitons vos donnees exclusivement aux fins suivantes, chacune avec sa propre base juridique en vertu de l'art. 6 du RGPD :

Narraya ne vend pas de donnees personnelles et n'effectue aucun profilage a des fins publicitaires.

4. Utilisation de l'intelligence artificielle et traitement des textes

Narraya utilise des outils d'intelligence artificielle pour proposer des fonctionnalites d'analyse de textes. Il est important de distinguer deux cas :

5. Integrations avec les services de stockage cloud

Narraya permet de connecter votre compte Google Drive ou Dropbox pour importer des fichiers sur la plateforme.

• L'integration est facultative et activee exclusivement a l'initiative de l'utilisateur via un flux OAuth standard. Narraya n'accede pas automatiquement au stockage de l'utilisateur.
• Narraya ne demande que les autorisations minimales necessaires (lecture des fichiers selectionnes). Elle ne modifie, ne supprime et ne partage aucun fichier present dans le stockage de l'utilisateur.
• Seuls les fichiers explicitement selectionnes par l'utilisateur sont importes et enregistres sur la plateforme. Narraya ne maintient pas d'acces permanent au stockage de l'utilisateur au-dela de ce qui est necessaire pour l'importation.
• Base juridique : execution du contrat (art. 6.1.b) et consentement explicite via l'autorisation OAuth (art. 6.1.a).
• Google Drive et Dropbox sont des responsables du traitement independants pour les donnees stockees dans leurs services respectifs. Narraya n'est responsable que des donnees une fois importees.
• L'utilisateur peut revoquer l'autorisation OAuth a tout moment depuis les parametres du fournisseur (Google Account, Dropbox) et/ou depuis les parametres de Narraya.

6. Sous-traitants et tiers

Les donnees personnelles peuvent etre communiquees aux prestataires de services suivants, agissant en qualite de sous-traitants (art. 28 du RGPD) :

LanguageTool ne figure pas dans ce tableau car il est heberge en interne sur les serveurs de Narraya en Allemagne (UE) et ne constitue pas un sous-traitant externe.

7. Transferts de donnees hors UE

Certains de nos fournisseurs sont etablis aux Etats-Unis. Pour chaque transfert de donnees hors UE, nous appliquons les mecanismes suivants, par ordre de priorite :

1. DPF: Data Privacy Framework UE-USA (DPF) : decision d'adequation de la Commission europeenne C(2023) 4745 du 10/07/2023, confirmee par le Tribunal de l'UE en septembre 2025. Applicable a : Google, Stripe, Cloudflare, Resend, Dropbox.
2. SCC: Clauses Contractuelles Types (CCT) : clauses contractuelles types approuvees par la Commission europeenne (Decision UE 2021/914), en tant que garantie pour les fournisseurs non certifies DPF. Applicable a : Ollama Inc.

Aucun fournisseur hors UE n'est utilise sans un mecanisme de transfert declare et documente.

8. Duree de conservation des donnees

Nous conservons vos donnees pendant la duree strictement necessaire aux finalites pour lesquelles elles ont ete collectees :

A l'expiration de la duree de conservation, les donnees sont supprimees ou anonymisees de maniere irreversible.

9. Droits de la personne concernee (RGPD)

En vertu des articles 15 a 22 du RGPD, vous disposez des droits suivants :

• Acces (art. 15) : demander la confirmation de l'existence et obtenir une copie de vos donnees personnelles
• Rectification (art. 16) : corriger des donnees inexactes ou incompletes
• Effacement (art. 17) : demander la suppression de votre compte et de vos donnees
• Limitation (art. 18) : demander la limitation du traitement dans certains cas
• Portabilite (art. 20) : recevoir vos donnees dans un format structure et lisible
• Opposition (art. 21) : vous opposer au traitement fonde sur l'interet legitime
• Retrait du consentement (art. 7.3) : retirer votre consentement a tout moment, sans porter atteinte a la licite du traitement effectue anterieurement

Pour exercer vos droits, ecrivez a [email protected]. Nous repondrons dans un delai de 30 jours a compter de la reception de votre demande.

Vous disposez egalement du droit d'introduire une reclamation aupres du Garante per la Protezione dei Dati Personali ([email protected] — www.garanteprivacy.it).

10. Securite des donnees

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriees pour proteger vos donnees personnelles, notamment :

• Chiffrement TLS en transit pour toutes les communications
• Chiffrement au repos pour la base de donnees
• Controle d'acces base sur les roles et principe du moindre privilege
• Authentification securisee via JWT avec jetons a courte duree de vie + jetons de rafraichissement HttpOnly
• Journaux de securite et surveillance des anomalies
• Sauvegardes regulieres avec stockage securise

Aucun systeme n'est fiable a 100 %, mais nous nous engageons en permanence a ameliorer nos mesures de securite.

11. Notification de violation de donnees

Conformement aux articles 33 et 34 du RGPD, en cas de violation de donnees personnelles presentant un risque pour les droits et libertes des personnes concernees, Narraya :

• Notifiera l'autorite de controle dans les 72 heures suivant la decouverte (art. 33 RGPD)
• Informera les utilisateurs concernes sans delai injustifie si la violation presente un risque eleve (art. 34 RGPD)
• Communiquera : la nature de la violation, les categories de donnees concernees, les consequences probables et les mesures prises

Si vous soupconnez une violation de vos donnees personnelles, contactez-nous immediatement a [email protected].

12. Modifications de la presente politique

La presente politique peut etre mise a jour a la suite de modifications des services ou des obligations legales. En cas de modifications substantielles, nous vous en informerons par e-mail et mettrons a jour la date en haut de la page.

13. Contacts et autorite de controle