Politique de confidentialité

Nous collectons uniquement ce dont le service a besoin pour fonctionner :

• Compte : adresse e-mail, nom affiché, mot de passe (stocké haché avec bcrypt, jamais en clair), état de vérification de l'e-mail, date de dernière connexion.
• Contenus : projets, chapitres, scènes, personnages, lieux, faits, commentaires, briefs et versions successives de vos textes.
• Usage : journal d'activité (connexions, créations, suppressions), consommation d'assistance IA, statistiques d'écriture que vous consultez vous-même.
• Technique : adresse IP et en-têtes de requête, conservés brièvement pour la sécurité (limitation de débit, détection d'abus) et le diagnostic d'incidents.
• Facturation : plan, statut d'abonnement et identifiant client Stripe. Les données de carte bancaire ne transitent jamais par nos serveurs.

Nous n'utilisons pas de traceurs publicitaires et ne revendons aucune donnée.

• Fournir le service (comptes, édition collaborative, cohérence, recherche) — exécution du contrat.
• Facturer les abonnements et respecter nos obligations comptables — exécution du contrat et obligation légale.
• Sécuriser le service (limitation de débit, journal d'audit, détection d'abus) — intérêt légitime.
• Envoyer les e-mails de service (vérification, réinitialisation de mot de passe, fin d'essai) — exécution du contrat.

StoryEngine dépose un cookie de session strictement nécessaire (jeton de rafraîchissement, httpOnly) et utilise le stockage local du navigateur pour vos préférences d'interface. Aucun de ces éléments ne sert au profilage publicitaire ; aucun cookie tiers de mesure d'audience n'est déposé sans votre accord préalable.

Vos contenus ne sont accessibles qu'à vous et aux membres de votre espace de travail. Nous faisons appel aux sous-traitants suivants, chacun lié par contrat et limité à sa finalité :

• hébergement de l'application et de la base de données ;
• Stripe, pour le paiement et la gestion des abonnements ;
• un prestataire d'envoi d'e-mails transactionnels ;
• un ou plusieurs fournisseurs de modèles de langage, uniquement pour les extraits de texte transmis lorsque vous déclenchez une fonction d'assistance ;
• un service de suivi d'erreurs, lorsqu'il est activé, qui reçoit des traces techniques et non le contenu de vos manuscrits.

Certains de ces prestataires peuvent être situés hors de l'Union européenne. Ces transferts sont alors encadrés par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation.

• Compte et contenus : tant que votre compte est actif.
• Après une demande de suppression : effacement des données associées dans un délai maximal de 30 jours (voir section 6).
• Journal d'audit et de sécurité : conservé pour la sécurité et la traçabilité du service. Lors de la suppression d'un compte, les entrées correspondantes sont dissociées de la personne concernée (anonymisation) plutôt que supprimées.
• Pièces comptables liées aux abonnements : durée légale de conservation applicable, indépendamment de la suppression du compte.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Deux d'entre eux sont directement actionnables depuis l'application :

• Export : depuis Réglages → « Vos données », demandez une archive de vos données ; elle est préparée puis mise à votre disposition.
• Suppression : depuis Réglages → « Vos données », demandez la suppression de votre compte. Votre compte est immédiatement désactivé et vos sessions révoquées ; nous nous engageons à effacer les données associées dans un délai maximal de 30 jours, à l'exception de ce que la loi nous impose de conserver (pièces comptables). Vous pouvez nous écrire à privacy@ewutelo.cloud pour obtenir confirmation de l'effacement.

Les autres droits s'exercent en écrivant à privacy@ewutelo.cloud ; nous répondons sous un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

Les échanges sont chiffrés en transit. Les mots de passe sont hachés, les sessions reposent sur des jetons à durée de vie courte avec rotation et détection de rejeu, et chaque requête est cloisonnée à votre espace de travail. Les accès internes sont journalisés. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous serez informé conformément à l'article 34 du RGPD.

Le service n'est pas destiné aux personnes de moins de 15 ans. Si vous constatez qu'un compte a été créé pour un mineur sans autorisation parentale, signalez-le à privacy@ewutelo.cloud : il sera supprimé.

Responsable de traitement : StoryEngine. Demandes relatives aux données personnelles : privacy@ewutelo.cloud. Voir également nos conditions générales d'utilisation.