Politique de confidentialité
Hae · Dernière mise à jour : 2 septembre 2026
En bref. Hae range ce que vous avez à faire. Vos cartes sont hébergées en France, visibles de vous seul sauf dans les projets que vous partagez, et ne sont jamais vendues ni analysées. L'assistant par intelligence artificielle est facultatif : il ne reçoit que ce que vous lui soumettez, au moment où vous le lui soumettez.
Responsable du traitement
Cette application est éditée par l'association Breizhzion (loi 1901), 4 rue Isabelle Sadoyan, 69100 Villeurbanne, France · SIREN 488 930 819.
Délégué à la protection des données : Thierry Oliveira · contact@breizhzion.com. Pour toute question sur cette application : hae@breizhzion.com.
Données traitées, finalités et bases légales
| Données | Pourquoi | Base légale | Conservation |
|---|---|---|---|
| Adresse e-mail, nom d'affichage, avatar facultatif, empreinte du mot de passe | Vous identifier et sécuriser votre session | Exécution du contrat (art. 6.1.b) | Jusqu'à suppression du compte |
| Contenu de vos cartes : titres, descriptions, commentaires, listes de contrôle, échéances, étiquettes | Fournir le service | Exécution du contrat (art. 6.1.b) | Jusqu'à suppression par vous ou du compte |
| Pièces jointes et mémos vocaux que vous ajoutez | Illustrer ou compléter une carte | Exécution du contrat (art. 6.1.b) | Jusqu'à suppression de la carte |
| Contenu que vous soumettez à l'assistant | Obtenir une aide à la rédaction ou à l'organisation | Consentement (art. 6.1.a) : vous décidez à chaque fois | Aucune conservation, hors compteur d'usage quotidien |
| Appartenances aux organisations et projets, invitations en attente | Travailler à plusieurs sur un projet | Exécution du contrat (art. 6.1.b) | Jusqu'au retrait du membre ou à l'expiration de l'invitation |
| Jeton de notification, historique des notifications | Vous prévenir d'une affectation, d'un commentaire, d'une échéance | Consentement (art. 6.1.a), révocable dans les réglages de l'appareil | Jusqu'à désactivation des notifications |
| Journal d'activité des cartes | Savoir qui a fait quoi dans un projet partagé | Exécution du contrat (art. 6.1.b) | Jusqu'à suppression de la carte |
| Empreintes de session, jetons d'API personnels | Maintenir votre connexion, permettre la capture rapide depuis l'extérieur | Intérêt légitime (art. 6.1.f) : sécurité | Jusqu'à révocation ou suppression du compte |
Ce que contient une application d'organisation
Une liste de choses à faire finit par contenir ce qu'une personne a en tête : ses démarches administratives, ses rendez-vous, parfois ses difficultés. Nous ne collectons rien en tant que donnée de santé ou d'opinion, et la loi ne classe donc pas ces contenus parmi les catégories particulières. Mais nous en tirons une conséquence pratique : nous sommes d'autant plus stricts sur tout ce qui peut faire sortir le titre d'une carte du serveur, c'est-à-dire les notifications et l'assistant.
Notifications
Une notification affiche le titre de la carte concernée, et non un texte générique. Ces éléments transitent alors par les services de notification d'Expo, d'Apple et de Google.
Vous pouvez désactiver entièrement les notifications dans les réglages de votre appareil. Nous travaillons à un réglage plus fin, permettant de recevoir une alerte sans que le titre de la carte s'affiche.
L'assistant par intelligence artificielle
L'assistant ne reçoit que ce que vous lui soumettez, au moment où vous le lui soumettez. Rien n'est envoyé en arrière-plan, et vos cartes ne sont jamais parcourues pour entraîner quoi que ce soit.
Deux configurations existent. Si vous utilisez le service offert aux membres de l'association, l'appel part vers notre déploiement Microsoft Azure OpenAI, hébergé en Europe ; la clé correspondante ne quitte jamais notre serveur, qui fait l'appel lui-même. Si vous configurez votre propre fournisseur, l'appel part vers celui que vous avez choisi, avec lequel vous êtes seul en relation, et sa localisation dépend de lui.
Le connecteur pour assistants d'IA
Hae peut être connecté à un assistant d'intelligence artificielle extérieur, qui lit et modifie alors vos cartes en votre nom. C'est vous qui l'installez et l'autorisez, par un jeton dédié que vous pouvez révoquer. Sachez qu'à partir de ce moment, le contenu de vos cartes atteint l'éditeur de cet assistant, dont les pratiques ne dépendent pas de nous. Les opérations les plus sensibles sont volontairement exclues de ce canal.
Les projets partagés
Un projet que vous partagez est lisible par ses membres, avec le journal des modifications qui indique qui a fait quoi. Inviter quelqu'un par son adresse e-mail enregistre cette adresse avant même qu'il ait accepté, le temps que l'invitation vive.
Suppression de votre compte
Vous pouvez supprimer votre compte depuis l'application. Vos projets personnels, vos cartes, vos pièces jointes, vos jetons et vos préférences sont supprimés.
Dans les projets partagés, ce que vous avez écrit reste visible pour les autres membres mais perd son auteur. Supprimer les cartes et les commentaires d'une personne partie viderait le projet des autres, ce que l'article 17.3 du RGPD permet de prendre en compte. Si vous voulez qu'un contenu précis disparaisse, supprimez-le avant de supprimer votre compte.
Qui a accès à ces données
- Vous seul, pour vos projets personnels.
- Les membres des organisations et des projets que vous partagez, pour ce que vous y publiez, avec le journal des modifications.
- Les administrateurs de l'association, pour la maintenance technique uniquement.
Nous ne vendons aucune donnée, ne les cédons à aucun tiers à des fins commerciales, et ne les utilisons pas pour de la publicité.
Sous-traitants et tiers
- OVHcloud (France) : hébergement du serveur et des sauvegardes.
- Cloudflare : acheminement réseau, données en transit uniquement.
- Logto : identification, si vous vous connectez avec votre compte Breizhzion.
- Microsoft Azure OpenAI (Europe) : assistant, uniquement pour le service offert aux membres.
- Expo, puis Apple ou Google : remise des notifications.
Deux acteurs ne sont pas nos sous-traitants, parce qu'ils n'agissent pas pour notre compte mais pour le vôtre : le fournisseur d'IA que vous configurez vous-même, et l'éditeur de l'assistant auquel vous connectez Hae. Dans les deux cas votre relation est avec eux, et nous n'avons aucun contrat avec eux.
Transferts hors Union européenne
Vos données sont hébergées en France. Les sorties possibles, toutes limitées :
- Les notifications passent par Expo, Apple et Google, aux États-Unis, et le titre de la carte en fait partie. Transfert encadré par les clauses contractuelles types et le Data Privacy Framework.
- L'assistant offert aux membres reste en Europe.
- Un fournisseur d'IA que vous configurez, ou un assistant auquel vous connectez Hae, peut se trouver n'importe où : c'est vous qui le choisissez.
Sécurité
Connexions chiffrées (HTTPS), mot de passe stocké sous forme d'empreinte et jamais en clair, jetons de session sous forme d'empreintes, contrôle d'accès vérifié à chaque requête, assainissement des contenus saisis, vérification du type des fichiers déposés et protection contre l'écriture hors du dossier prévu, blocage des tentatives de connexion répétées, sauvegardes chiffrées. La clé de l'assistant offert aux membres ne quitte jamais le serveur.
Une amélioration est en cours : les clés d'API que vous nous confiez pour votre propre fournisseur d'IA sont aujourd'hui stockées sans chiffrement supplémentaire sur le serveur. Elles ne sont jamais renvoyées par l'interface, mais elles seront chiffrées au repos, comme c'est déjà le cas dans d'autres applications de l'association.
Ce que nous ne faisons pas
- Aucune publicité, aucun identifiant publicitaire.
- Aucune mesure d'audience, aucun outil de suivi.
- Aucun rapport de crash envoyé à un service tiers.
- Aucune lecture de vos cartes en arrière-plan, aucun entraînement de modèle sur vos données.
- Aucune décision automatisée au sens de l'article 22 : l'assistant répond, il ne décide de rien.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition, et de portabilité de vos données. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment.
La plupart s'exercent directement dans l'application : consulter et corriger vos données, modifier ou supprimer vos cartes, révoquer un jeton d'accès, retirer la configuration de votre fournisseur d'IA, désactiver les notifications, supprimer votre compte.
Pour les autres demandes, écrivez à contact@breizhzion.com. Nous répondons dans le mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, 3 place de Fontenoy, 75007 Paris, cnil.fr.
Modifications
Toute évolution de cette politique est publiée sur cette page, avec sa date de mise à jour. Si un changement portait sur un traitement reposant sur votre consentement, celui-ci vous serait redemandé.