Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données à caractère personnel est l’exploitant de BaZi.cards :

Pour toute demande relative à vos données, vous pouvez écrire à support@bazi.cards. Nous n’avons pas désigné de délégué à la protection des données distinct ; l’exploitant traite personnellement l’ensemble des demandes.

2. Données collectées

Nous ne collectons que les données dont le Service a réellement besoin.

• Données de compte — votre adresse e-mail, votre mot de passe sous forme hachée (nous n’avons jamais accès au mot de passe lui-même), la langue de votre interface et la date de création du compte.
• Données de naissance — date, heure et lieu de naissance et, à titre facultatif, le sexe. Vous pouvez également saisir les données de naissance d’une autre personne (par exemple pour une lecture de compatibilité) ; vous confirmez alors être en droit de nous les communiquer.
• Questions posées à l’Oracle — le texte des questions que vous saisissez et les réponses générées automatiquement, conservés dans votre compte afin que vous puissiez y revenir.
• Données d’achat — les lectures commandées, le montant, la devise, la date et un identifiant de commande. Les numéros de carte et autres données de paiement sont traités exclusivement par le prestataire de paiement et ne transitent jamais par nos serveurs.
• Données de liste d’attente — si vous demandez à être informé de l’ouverture des paiements dans votre région, l’adresse e-mail que vous saisissez, la version linguistique du site ainsi que le produit et le prix qui vous étaient affichés à ce moment-là.
• Données de parrainage — si un programme de parrainage est disponible dans votre région et que vous y participez (en invitant quelqu’un ou en suivant une invitation), nous conservons des hachages à clé (HMAC) de l’adresse IP, de son réseau et de l’identifiant du navigateur afin de détecter l’auto-parrainage et les abus. Un hachage ne permet pas de reconstituer l’adresse elle-même ; les hachages sont conservés pendant environ six mois après la dernière visite. Base légale : notre intérêt légitime à prévenir la fraude.
• Données techniques — adresse IP, type de navigateur, type d’appareil, page de provenance, horodatage de la requête et journaux d’erreurs. Elles sont nécessaires à la sécurité du site et à sa protection contre les usages abusifs.
• Cookies et stockage local — voir la section 9 et la Politique relative aux cookies.

3. Les données de naissance sont traitées comme des données sensibles

Une date, une heure exacte et un lieu de naissance, rapprochés des questions que vous posez, peuvent révéler beaucoup sur une personne. Bien que ces données ne figurent pas toujours parmi les « catégories particulières » visées par le droit de la protection des données, nous avons choisi de leur appliquer le niveau de protection réservé aux données sensibles :

• nous les traitons uniquement pour établir et interpréter votre carte, jamais à des fins publicitaires ni de profilage au profit de tiers ;
• nous recueillons votre consentement explicite avant le premier calcul ;
• vous pouvez les supprimer de votre compte à tout moment, et nous les effaçons de nos systèmes dans les conditions décrites à la section 5 ;
• nous ne les vendons, ne les louons et ne les communiquons jamais à des courtiers en données.

4. Finalités et bases légales

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment ; ce retrait ne remet pas en cause la licéité du traitement effectué avant celui-ci.

5. Durées de conservation

• Compte, données de naissance, lectures et historique de l’Oracle — tant que votre compte existe. Si vous supprimez votre compte, ces données sont effacées sous 30 jours ; les sauvegardes sont écrasées dans un délai supplémentaire de 90 jours.
• Justificatifs d’achat — pendant la durée imposée par la législation fiscale et comptable applicable à l’exploitant (généralement de 5 à 10 ans), sous une forme ne contenant plus aucune donnée de naissance.
• Journaux techniques — 90 jours au plus, sauf si un incident particulier exige une conservation plus longue.
• Échanges avec l’assistance — jusqu’à 3 ans après le dernier message.
• Données de la liste d’attente — jusqu’à votre demande de suppression, et dans tous les cas pendant 24 mois au plus à compter de votre inscription.
• Consentement à la lettre d’information — jusqu’à votre désabonnement.

6. Destinataires des données

Nous ne vendons pas de données à caractère personnel et ne les communiquons pas à des annonceurs. Pour faire fonctionner le Service, nous faisons appel à un petit nombre de sous-traitants qui agissent sur nos instructions dans le cadre de contrats écrits :

• Hébergement — serveurs situés dans l’Union européenne (Finlande). La base de données, le calcul des cartes ainsi que le stockage de votre compte, de vos lectures et de votre historique avec l’Oracle s’y trouvent.
• Noms de domaine et protection des formulaires — Cloudflare, Inc. (États-Unis). Cloudflare gère le DNS de nos domaines et, sur les formulaires de connexion et de calcul de la carte, la vérification Cloudflare Turnstile qui s’assure qu’une personne réelle utilise le formulaire ; pour cette vérification, il traite votre adresse IP et des données techniques du navigateur. Le site lui-même est servi directement depuis nos serveurs en Finlande, sans passer par le réseau de Cloudflare. Cloudflare agit sur nos instructions dans le cadre de son avenant relatif au traitement des données.
• Génération de texte — le texte des réponses de l’Oracle (et, lorsque des lectures payantes sont proposées dans votre région, le texte des sections de la lecture) est rédigé avec l’aide d’un prestataire externe de génération de texte établi aux États-Unis. Pour chaque requête, il reçoit uniquement le texte de votre question ou de la section à rédiger, ainsi que les données calculées de la carte nécessaires à cette tâche (les piliers, les éléments, les indicateurs associés de la carte et les règles traditionnelles retenues). Il ne reçoit ni votre adresse e-mail, ni votre mot de passe, ni vos données de paiement. Ce prestataire agit sur nos instructions dans le cadre d’un contrat de sous-traitance (article 28 du RGPD) ; selon ses conditions contractuelles, les données ne servent pas à entraîner ses modèles et peuvent être conservées pendant une durée limitée (jusqu’à 30 jours) afin de détecter des usages abusifs, avant d’être supprimées.
• Envoi d’e-mails — Brevo (Sendinblue SAS, France) expédie les e-mails de confirmation, les réinitialisations de mot de passe et, avec votre consentement, la lettre d’information. Brevo reçoit votre adresse e-mail et le contenu du message.
• Prestataire de paiement — le prestataire de paiement retenu par l’exploitant reçoit les données nécessaires au traitement du paiement (montant, devise, identifiant de commande et informations que vous saisissez sur sa propre page de paiement). Il agit en qualité de responsable du traitement autonome pour l’opération de paiement ; son nom est affiché sur la page de paiement avant que vous ne payiez. Sur notre page de paiement, le formulaire de paiement est fourni par Stripe (Stripe Payments Europe, Ltd., Irlande, et Stripe, Inc., États-Unis) : à l’ouverture de la page, Stripe dépose ses cookies et collecte des signaux techniques de l’appareil et du navigateur pour prévenir la fraude au paiement (voir la Politique relative aux cookies).
• Telegram — si vous utilisez notre bot @Bazinterbot, Telegram Messenger Inc. traite vos messages conformément à sa propre politique de confidentialité ; nous recevons votre identifiant Telegram et les messages que vous adressez au bot.
• Liste d’attente — les adresses saisies dans le formulaire de liste d’attente sont conservées dans notre propre base de données, sur les mêmes serveurs européens, et ne sont transmises à personne d’autre.

Nous pouvons également communiquer des données lorsque la loi l’exige, par exemple en réponse à une demande légitime d’une juridiction ou d’une autorité, ou pour la constatation, l’exercice ou la défense de droits en justice.

7. Transferts internationaux

Nos serveurs se trouvent dans l’Union européenne (Finlande) ; votre compte, vos données de naissance, vos lectures et votre historique avec l’Oracle y sont conservés. Certains sous-traitants mentionnés à la section 6 traitent des données en dehors de votre pays :

• États-Unis — service de génération de texte. Lorsque vous posez une question à l’Oracle (ou lorsqu’une lecture écrite est préparée pour vous), le texte de la question et les données calculées de la carte décrites à la section 6 sont envoyés, par une connexion chiffrée, au prestataire établi aux États-Unis, qui renvoie le texte de la réponse. Votre adresse e-mail, votre mot de passe et vos données de paiement ne sont pas transmis. Pour les utilisateurs de l’UE/EEE, de Suisse et du Royaume-Uni, ce transfert s’appuie sur les clauses contractuelles types adoptées par la Commission européenne, complétées par l’addendum britannique, qui font partie du contrat de sous-traitance conclu avec ce prestataire ; pour les autres utilisateurs, il s’appuie sur le mécanisme prévu par le droit local applicable, décrit à la section 12. Ce transfert est nécessaire pour répondre à votre question ; si vous ne le souhaitez pas, n’utilisez pas l’Oracle.
• États-Unis — protection des formulaires (Cloudflare Turnstile). Cloudflare peut traiter votre adresse IP et des données techniques de la requête aux États-Unis et dans d’autres pays où son réseau opère. Pour les utilisateurs de l’UE/EEE, de Suisse et du Royaume-Uni, cela s’appuie sur les clauses contractuelles types incluses dans l’addendum de traitement des données de Cloudflare ; pour les autres utilisateurs, cela s’appuie sur le mécanisme prévu par le droit local applicable, décrit à la section 12.
• Telegram et envoi d’e-mails. Si vous utilisez notre bot Telegram, Telegram Messenger Inc. traite vos messages conformément à sa propre politique ; Brevo achemine nos e-mails depuis l’Union européenne.

Nous limitons les données transférées à ce dont chaque sous-traitant a réellement besoin, et nous ne vendons jamais de données à caractère personnel.

8. Vos droits

Selon votre lieu de résidence, vous disposez des droits suivants, que nous reconnaissons à chaque utilisateur quelle que soit sa juridiction :

• Accès — obtenir une copie des données que nous détenons à votre sujet ;
• Rectification — faire corriger des données inexactes (les données de naissance sont modifiables dans votre compte) ;
• Effacement — obtenir la suppression de votre compte et de vos données ;
• Limitation et opposition — limiter le traitement ou vous y opposer lorsqu’il repose sur notre intérêt légitime ;
• Portabilité — recevoir vos données dans un format structuré et lisible par machine ;
• Retrait du consentement — à tout moment, pour la lettre d’information et le traitement des données de naissance ;
• Directives post mortem — définir le sort de vos données après votre décès, conformément à l’article 85 de la loi « Informatique et Libertés » ;
• Réclamation — saisir une autorité de contrôle. En France, il s’agit de la Commission nationale de l’informatique et des libertés (CNIL, www.cnil.fr) ; dans les autres États de l’UE/EEE, de l’autorité de protection des données de votre pays de résidence ; au Royaume-Uni, de l’Information Commissioner’s Office (ICO).

Pour exercer un droit, écrivez à support@bazi.cards depuis l’adresse e-mail rattachée à votre compte. Nous répondons sous 30 jours ; si la demande est complexe, ce délai peut être prolongé de 60 jours supplémentaires, et nous vous en indiquerons les raisons. Aucun frais n’est facturé, sauf demande manifestement infondée ou excessive.

9. Cookies et mesure d’audience

Le site utilise un petit nombre de cookies et technologies similaires strictement nécessaires : bazi_uid — identifiant anonyme qui relie vos calculs, lectures gratuites et achats avant votre connexion (400 jours) ; bazi_session_fr — vous maintient connecté à votre compte (30 jours) ; bazi_lang — votre préférence de langue (jusqu’à 1 an) ; ainsi que quelques éléments de stockage local dans votre navigateur — votre choix en matière de cookies, la dernière carte calculée et les cartes que vous avez enregistrées, un identifiant anonyme et, si vous l’avez saisie, l’adresse e-mail utilisée pour les reçus et notifications. Le stockage local reste sur votre appareil jusqu’à ce que vous l’effaciez. La liste complète figure dans la Politique relative aux cookies.

Pour comprendre comment le site est utilisé, nous exploitons notre propre outil de mesure d’audience (interne), hébergé sur ce site. Il enregistre des données d’usage anonymes — pages consultées, page de provenance, clics, profondeur de défilement, temps passé sur la page, type d’appareil et largeur d’écran — au moyen d’un script que nous servons nous-mêmes, sans cookies et sans stockage dans le navigateur, et sans vous identifier personnellement. Nous n’utilisons aucun service tiers de mesure d’audience (tel que Google Analytics ou Yandex Metrica), ne déposons aucun cookie de mesure d’audience ou publicitaire et n’utilisons pas de pixels de réseaux sociaux. Une mesure simple des pages vues s’exécute à chaque visite ; la mesure plus détaillée (cartes de clics et suivi du défilement) n’est chargée qu’après que vous avez cliqué sur « Tout accepter » dans le bandeau cookies, conformément à l’article 82 de la loi « Informatique et Libertés ». Les détails figurent dans la Politique relative aux cookies.

Enregistrement de session. Uniquement après que vous avez cliqué sur « Tout accepter », la mesure détaillée note aussi l’endroit de l’écran où vous cliquez et conserve un enregistrement anonyme de votre visite de la page — modifications de la page, mouvements du pointeur, clics et défilement — afin que nous puissions trouver et corriger les erreurs du site. Tout ce que vous saisissez dans les champs est masqué et jamais enregistré ; les blocs contenant vos données de naissance, les résultats de calcul et le formulaire de paiement sont exclus des enregistrements. Un enregistrement n’est lié qu’à un identifiant de session aléatoire, et non à votre compte, à votre adresse e-mail ou à vos données de paiement. Vous pouvez retirer votre consentement à tout moment dans les paramètres des cookies ; l’enregistrement s’arrête alors.

10. Limite d’âge

Le Service est destiné aux adultes. Nous ne créons pas sciemment de compte et n’acceptons pas de paiement de personnes âgées de moins de 18 ans. Si vous pensez qu’un mineur nous a transmis des données à caractère personnel, écrivez-nous et nous les supprimerons.

11. Sécurité

L’ensemble des échanges est chiffré (TLS). Les mots de passe sont conservés sous forme hachée et salée. L’accès à la base de données est réservé à l’exploitant et fait l’objet d’une journalisation. L’intégrité de l’application est vérifiée avant chaque mise en production. Aucun système n’est parfaitement sûr : si nous découvrions une violation de données susceptible d’affecter vos droits, nous vous en informerions, ainsi que l’autorité compétente, dans les délais prévus par la loi.

12. Dispositions régionales

France, Espace économique européen et Royaume-Uni

Nous traitons les données à caractère personnel conformément au Règlement (UE) 2016/679 (RGPD) et, en France, à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi « Informatique et Libertés ») dans sa rédaction en vigueur ; l’autorité de contrôle compétente est la CNIL. Pour les utilisateurs du Royaume-Uni s’appliquent le UK GDPR et le Data Protection Act 2018. Les bases légales énumérées à la section 4 renvoient à l’article 6 et, pour les données de naissance le cas échéant, à l’article 9 de ces textes.

Autres pays

Où que vous résidiez, nous appliquons les mêmes standards que ceux décrits dans la présente Politique ; lorsque la législation locale vous accorde des droits supplémentaires, nous les respectons.

13. Modification de la présente Politique

Nous pouvons mettre à jour la présente Politique lorsque le Service ou la législation évolue. La version en vigueur et sa date figurent toujours en tête de cette page. Si une modification affecte substantiellement vos droits, nous en informerons les utilisateurs inscrits par e-mail avant son entrée en vigueur.