Politique de confidentialité

1. Responsable de traitement

• Fabien Cavanna, entrepreneur individuel (micro-entreprise, enseigne « Going for Growth »)
• Rue Beau Site, 71000 Mâcon, France
• Contact : hello@hypnozero.com
• Aucun délégué à la protection des données n'est désigné (non requis pour une structure de cette taille).

2. Données collectées

• Compte et contact : adresse e-mail (notamment pour la séance découverte offerte), et le cas échéant nom ou prénom communiqué.
• Commande : formule choisie, historique d'achat, date et statut des paiements et de l'abonnement.
• Paiement : traité directement par Stripe. Nous ne stockons pas et n'avons pas accès à votre numéro de carte bancaire ; nous recevons uniquement le statut de la transaction.
• Demandes de rétractation et notifications de résiliation : lorsque vous utilisez les formulaires Renoncer au contrat ou Résilier votre contrat, nous collectons les informations que vous y saisissez (nom, prénom, adresse e-mail, référence du contrat, date souhaitée, et le cas échéant votre message libre ou votre adresse postale). Ces formulaires sont exigés par le Code de la consommation ; les champs facultatifs sont signalés comme tels. Merci de n'y écrire aucune information relative à votre santé : elle n'est ni demandée ni nécessaire pour traiter votre demande.
• Consentement aux contre-indications : nous enregistrons uniquement le fait que la confirmation a été donnée (indicateur vrai/faux et horodatage). Aucune information de santé n'est demandée ni collectée.
• Consentement à la relance de panier : si vous cochez la case dédiée au moment de la commande, nous enregistrons votre adresse e-mail, le fait que ce consentement a été donné et son horodatage, afin de pouvoir vous adresser un unique rappel si vous ne finalisez pas votre commande.
• Personnalisation du suivi (espace membre) : vos réponses, facultatives, au court questionnaire d'anamnèse (préférences d'écoute, objectif de bien-être), ainsi que vos notes de parcours et le suivi des séances écoutées. Il s'agit de données de bien-être ; nous ne demandons aucune information de santé sensible. Vous pouvez les consulter et les modifier à tout moment depuis votre espace, et y réinitialiser le suivi de vos séances écoutées. Pour la suppression complète de vos réponses, écrivez-nous à hello@hypnozero.com (voir l'article 8).
• Réponses à un court questionnaire d'orientation (« rapport à la nourriture »), le cas échéant : nous n'enregistrons pas vos réponses détaillées, mais uniquement un indicateur de segmentation qui en est dérivé (une simple préférence de contenu de bien-être), afin de personnaliser nos e-mails. Cet indicateur ne constitue pas une donnée de santé et ne permet aucune décision automatisée.
• Consentement à la prospection : si vous cochez la case facultative dédiée, nous enregistrons le fait que vous acceptez de recevoir des e-mails de conseils et d'offres, et son horodatage. Votre séance offerte vous est envoyée que cette case soit cochée ou non.
• Données techniques et de mesure publicitaire (uniquement avec votre consentement) : voir l'article 7.

3. Finalités et bases légales

• Donner accès à la séance découverte offerte : mesures précontractuelles ou consentement (art. 6.1.a ou 6.1.b RGPD).
• Gérer les commandes, l'espace membre, l'abonnement et son renouvellement : exécution du contrat (art. 6.1.b).
• Organiser et tenir la séance individuelle incluse dans l'accompagnement (prise de rendez-vous, rappel, visioconférence) : exécution du contrat (art. 6.1.b).
• Personnaliser votre accompagnement dans l'espace membre (anamnèse facultative, suivi de progression, notes de parcours) : exécution du contrat et intérêt légitime à améliorer votre suivi (art. 6.1.b et 6.1.f). Les réponses sont facultatives et modifiables à tout moment.
• Traiter les paiements et prévenir la fraude : exécution du contrat et intérêt légitime (art. 6.1.b et 6.1.f).
• Conserver la preuve de la confirmation des contre-indications : intérêt légitime à des fins de preuve (art. 6.1.f).
• Envoyer des e-mails de service (accès, confirmations, factures, rappels d'échéance) : exécution du contrat (art. 6.1.b).
• Envoyer, le cas échéant, des e-mails d'information, de conseils et d'offres bien-être (prospection) : consentement recueilli via la case facultative dédiée (art. 6.1.a), avec désinscription en un clic à tout moment.
• Vous adresser un unique rappel si vous ne finalisez pas une commande (relance de panier abandonné), uniquement si vous l'avez expressément demandé via la case dédiée : consentement (art. 6.1.a), avec désinscription en un clic à tout moment.
• Mesurer l'audience et améliorer le Site : mesure d'audience sans cookie relevant de notre intérêt légitime, avec droit d'opposition (art. 6.1.f) ; consentement (art. 6.1.a) pour tout autre traceur non strictement nécessaire.
• Respecter nos obligations légales (comptabilité, facturation) : obligation légale (art. 6.1.c).
• Traiter vos demandes de rétractation et vos notifications de résiliation, en accuser réception et en conserver la preuve : base légale = respect d'obligations légales incombant au responsable de traitement (articles L221-21 et L215-1-1 du Code de la consommation, RGPD art. 6.1.c).

4. Destinataires et sous-traitants

• Stripe (Stripe Payments Europe, Ltd.) : paiements. UE, avec transferts possibles vers les États-Unis encadrés par des garanties appropriées.
• Resend : envoi des e-mails. Traitement possible hors UE (États-Unis), encadré par des garanties appropriées.
• Hetzner Online GmbH : hébergement de l'application. Allemagne (UE).
• Cloudflare, Inc. : proxy / CDN et stockage des fichiers audio (Cloudflare R2). États-Unis, transferts encadrés par des garanties appropriées.
• Meta Platforms Ireland Ltd : mesure publicitaire (Pixel Meta et API de conversions), uniquement si vous y avez consenti (voir l'article 7). Des données techniques peuvent alors être transférées à Meta Platforms, Inc. aux États-Unis, encadrées par des garanties appropriées : identifiants de cookies publicitaires, adresse e-mail transmise sous forme hachée, et, lorsque la mesure passe par l'API de conversions (côté serveur), votre adresse IP et les caractéristiques techniques de votre navigateur (user-agent), aux seules fins du rapprochement des conversions.
• PostHog (hébergé dans l'Union européenne) : mesure d'audience du Site (statistiques de navigation agrégées), sans cookie, sans usage publicitaire ni suivi sur d'autres sites. Données hébergées dans l'UE.
• Cal.com, Inc. (service de réservation Cal.eu, hébergement européen) : prise de rendez-vous de la séance individuelle incluse dans l'accompagnement. Données transmises : vos nom et prénom, votre adresse e-mail, votre fuseau horaire, la date choisie et, le cas échéant, les invités et la note libre que vous rédigez. Transferts hors UE possibles, encadrés par des garanties appropriées.
• Daily.co (« Cal Video ») et Google Ireland Limited / Google LLC (« Google Meet » et l'agenda du praticien) : tenue de la visioconférence de cette séance et inscription du rendez-vous à l'agenda. Données transmises : votre identité et votre adresse e-mail, l'horaire du rendez-vous. États-Unis, transferts encadrés par des garanties appropriées.

La réservation de la séance individuelle se fait sur un service tiers (Cal.eu), sur lequel vous quittez le Site. Merci de n'y indiquer aucune information de santé : la note libre proposée au moment de la réservation sert uniquement à préparer l'échange, et notre engagement de ne collecter aucune donnée de santé s'y applique comme ailleurs.

Aucune donnée n'est vendue à des tiers. Des données peuvent être communiquées si la loi l'exige.

5. Transferts hors Union européenne

Certains prestataires (notamment Stripe, Resend, Cloudflare, Cal.com, Daily.co, Google et, si vous y avez consenti, Meta) peuvent traiter des données hors de l'Union européenne, en particulier aux États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens du RGPD (clauses contractuelles types et, le cas échéant, cadre de protection reconnu). Vous pouvez en obtenir le détail en écrivant à hello@hypnozero.com.

6. Durées de conservation

• Compte et historique d'achat : pendant la durée de la relation contractuelle, puis archivés au titre des obligations légales comptables et fiscales (les pièces comptables sont conservées jusqu'à 10 ans, article L123-22 du Code de commerce).
• E-mail collecté pour la séance découverte sans achat : au plus tard 3 ans après le dernier contact. Si vous vous désinscrivez, votre adresse est conservée jusqu'à cette même échéance, en liste d'opposition et aux seules fins de ne plus vous écrire.
• Consentement à la relance de panier et e-mail associé : jusqu'à désinscription, ou au plus tard 3 ans après le dernier contact.
• Preuve de la confirmation des contre-indications : durée nécessaire à des fins de preuve, alignée sur la relation contractuelle et les délais de prescription.
• Demandes de rétractation et notifications de résiliation : conservées pendant la durée nécessaire au traitement, puis au titre de la preuve, dans la limite des délais de prescription applicables (5 ans).
• Rendez-vous de la séance individuelle (identité, e-mail, horaire, note libre éventuelle) : conservés chez notre prestataire de réservation pendant la durée de votre abonnement, puis supprimés, sauf ce que les obligations comptables imposent de conserver.
• Données de paiement : conservées par Stripe selon sa politique ; côté éditeur, justificatifs selon obligations comptables.
• Données de personnalisation du suivi (anamnèse, progression, notes de parcours) : pendant la durée d'accès à votre programme ; supprimées avec votre compte, ou plus tôt sur votre demande.

7. Cookies et traceurs

Le Site utilise des cookies strictement nécessaires à son fonctionnement (gestion de la session et de l'accès à l'espace membre, mémorisation de votre choix en matière de cookies). Conformément à la réglementation, ils ne requièrent pas votre consentement.

Le Site utilise également, à des fins de mesure publicitaire, le Pixel Meta (Facebook) et l'API de conversions associée, afin d'évaluer l'efficacité de nos campagnes. Ces traceurs ne sont déposés et activés qu'après votre consentement explicite, recueilli via le bandeau affiché lors de votre première visite. Tant que vous n'avez pas accepté, aucun script Meta n'est chargé et aucune donnée n'est transmise à Meta, y compris côté serveur via l'API de conversions. Lorsque vous avez consenti, l'API de conversions transmet à Meta, côté serveur, des données permettant le rapprochement des conversions : votre adresse e-mail sous forme hachée, les identifiants de cookies publicitaires Meta, votre adresse IP et le user-agent de votre navigateur. Le refus est aussi simple que l'acceptation et ne limite en rien l'accès au Site (pas de « cookie wall »).

Lorsque vous arrivez depuis une publicité Meta, l'adresse de la page contient un identifiant de clic publicitaire (paramètre fbclid). Uniquement si vous avez accepté la mesure publicitaire, cet identifiant est conservé dans le stockage de session de votre navigateur (sessionStorage, effacé à la fermeture de l'onglet) le temps de votre visite, afin de rattacher votre demande de séance à la campagne d'origine. Le même stockage de session peut contenir, toujours après votre accord seulement, la file des événements de mesure en attente d'envoi (hz_pending), le temps que la page ait pu les transmettre. Si vous refusez, rien n'est inscrit dans votre terminal, et ce qui aurait été inscrit lors d'un accord antérieur est effacé.

Votre choix (accord ou refus) est conservé pendant 6 mois. Vous pouvez le modifier à tout moment en cliquant sur « Gérer les cookies » en bas de chaque page, ou en supprimant les cookies via les réglages de votre navigateur. Le retrait du consentement est aussi simple que son recueil et prend effet immédiatement.

Nous établissons enfin une mesure de conversion agrégée (nombre de visites de nos pages, de demandes de séance offerte et de commandes), calculée sur notre serveur, sans cookie et sans aucune donnée personnelle (nous ne conservons que des compteurs par jour et par campagne, jamais votre identité, votre adresse IP ou une ligne vous concernant). Base légale : intérêt légitime (art. 6.1.f RGPD). Pour rattacher une visite issue d'une de nos campagnes à la commande éventuelle, un identifiant de campagne (paramètre « utm », non nominatif) peut être conservé le temps de votre visite dans le stockage local de votre navigateur (effacé à la fermeture de l'onglet) et associé à votre commande chez notre prestataire de paiement. Aucun profilage ni suivi sur d'autres sites n'est réalisé.

Le Site utilise par ailleurs un outil de mesure d'audience (PostHog, hébergé dans l'Union européenne) pour établir des statistiques de navigation agrégées et améliorer le Site. Cet outil fonctionne sans cookie (aucune information n'est stockée sur votre appareil), ne vous suit pas sur d'autres sites et n'est pas utilisé à des fins publicitaires. Base légale : intérêt légitime (art. 6.1.f RGPD). Vous pouvez vous y opposer à tout moment, en un clic :

8. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, du droit de retirer votre consentement à tout moment, et de définir des directives sur le sort de vos données après votre décès. Pour les exercer, écrivez à hello@hypnozero.com. Nous répondons dans un délai d'un mois.

Vous pouvez aussi introduire une réclamation auprès de la CNIL : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

9. Sécurité

L'éditeur met en oeuvre des mesures techniques et organisationnelles appropriées (accès restreint, prestataires reconnus, transmission chiffrée des paiements via Stripe) pour protéger les données.

10. Contact

Pour toute question relative à vos données : hello@hypnozero.com.