Politique de confidentialité

1. Responsable de traitement

Le présent service est opéré par Yumi, créatrice de contenus adultes, via la plateforme Heaven OS accessible à l'adresse heaven-os.vercel.app.

Contact : yumiiiclub@gmail.com

2. Données collectées

Nous ne collectons que les données strictement nécessaires au fonctionnement du service :

• Identifiants visiteur : pseudo visiteur généré automatiquement à la première visite, handles Snapchat / Instagram / Fanvue optionnellement fournis par le visiteur
• Messages : contenu des conversations échangées avec Yumi via la messagerie intégrée
• Préférences : tags de goûts et d'envies extraits du contenu des conversations pour personnaliser le contenu proposé par la créatrice (market research — BRIEF-09)
• Données techniques : adresse IP hashée (subnet /24 — non-réversible), User-Agent hashé, horodatages des événements (certification d'âge, connexion, messages)

Nous ne collectons pas : pièce d'identité, coordonnées bancaires (traitées par PayPal / Revolut), données biométriques, géolocalisation fine, contacts du téléphone.

3. Base légale (art. 6 RGPD)

Le traitement de vos données repose sur votre consentement explicite (art. 6.1.a RGPD), fourni au moment du passage de l'age gate et de la certification sur l'honneur de votre majorité (18 ans révolus).

Ce consentement est révocable à tout moment via le lien de suppression de données (voir §6).

4. Finalités du traitement

• Fourniture du service de messagerie avec la créatrice
• Personnalisation du contenu produit par la créatrice, sur la base d'agrégats anonymisés de préférences (market research interne)
• Protection des mineurs via age gate obligatoire et détection d'anomalies (âge déclaré, langue, contexte)
• Sécurité et lutte contre la fraude : rate-limiting, détection d'abus, audit logs

5. Durée de conservation

• Conversations : conservées pendant 1 an à compter du dernier échange, puis anonymisées (suppression de tout identifiant personnel tout en gardant le contenu agrégé pour statistiques)
• Insights préférences : 1 an puis suppression complète
• Logs age gate : 5 ans (obligation légale de traçabilité — protection mineurs)
• Cookies de session : 30 jours pour la certification d'âge, expiration automatique au-delà

6. Vos droits (art. 15-22 RGPD)

Vous disposez à tout moment du droit :

• D'accès — obtenir une copie des données vous concernant via /data-deletion/status
• De rectification — corriger une donnée inexacte via le support
• De suppression (« droit à l'oubli ») — via /data-deletion
• À la portabilité — export complet de vos données au format JSON sur demande
• D'opposition — bouton dédié dans l'interface fan pour refuser le traitement de vos préférences
• De plainte auprès de l'autorité de contrôle compétente (CNIL en France, APD en Belgique)

7. Contact DPO

Pour toute question relative au traitement de vos données ou pour exercer vos droits, contactez notre délégué à la protection des données : privacy@heaven-os.vercel.app

Délai de réponse : 30 jours maximum (art. 12 RGPD).

8. Absence de partage commercial

Vos données restent strictement in-house Heaven (hébergement Supabase UE). Nous ne vendons pas vos données, nous ne les partageons pas à des tiers marketing, et nous ne les utilisons pas pour entraîner des modèles d'IA externes.

Les seuls sous-traitants techniques sont : Supabase (DB UE), Vercel (edge runtime), Cloudinary (médias), et les fournisseurs LLM activés au cas par cas (Groq, OpenRouter) pour la génération assistée des réponses de la créatrice.

9. Cookies

Nous utilisons uniquement des cookies essentiels :

• Session d'authentification (cookie signé HttpOnly, 24h)
• Certification d'âge (cookie persistant local 30 jours, ne contient que le statut certifié/non)

Aucun cookie tiers publicitaire, aucun tracker cross-site, aucune analyse comportementale externe.

10. Sécurité

Vos données sont protégées par plusieurs mesures techniques :

• Chiffrement at rest : base de données Supabase chiffrée AES-256
• Chiffrement in transit : TLS 1.3 sur tous les endpoints
• Row-Level Security (RLS) : isolation stricte des scopes admin selon rôle
• Audit logs append-only : traçabilité des événements sensibles (age gate, validation, révocation)
• Rate-limiting sur toutes les routes authentifiées pour prévenir les abus automatisés

11. Dernière mise à jour

Cette politique a été mise à jour le 24 avril 2026. Toute modification substantielle sera notifiée via bandeau dans l'interface au moment de votre prochaine visite. La poursuite de l'utilisation du service après notification vaut acceptation de la version à jour.