Politique de confidentialité
Dernière mise à jour : 22 mai 2026
1. Responsable du traitement
KYORA LLC — 8206 Louisiana Blvd NE, Ste A #5784, Albuquerque, NM 87113, États-Unis.
Contact : contact@hellomathilde.com
2. Données collectées
- Identification : prénom, numéro WhatsApp.
- Conversation : messages échangés avec Mathilde sur WhatsApp.
- Paiement : traité par notre prestataire de paiement. Aucune coordonnée bancaire n'est stockée.
- Navigation : cookies techniques strictement nécessaires + email si vous vous inscrivez à une liste d'attente.
- Contenus numériques personnalisés (formules à téléchargement immédiat) : email de paiement, prénom, pays (FR/BE/CH/CA), lien avec le défunt, statut professionnel du défunt, date du décès, éléments de patrimoine et cas particuliers déclarés (sous forme de cases cochées). Ces données sont nécessaires à la génération de votre document personnalisé. Aucune donnée nominative sur le défunt (nom, prénom, adresse) n'est collectée.
3. Finalités
- Fournir et personnaliser le service HelloMathilde.
- Envoyer rappels et alertes liés aux échéances administratives.
- Gérer la facturation et les obligations légales.
- Améliorer la qualité du service (mesures agrégées et anonymisées).
Nous ne vendons jamais vos données. Nous ne les partageons avec aucun tiers à des fins commerciales.
4. Sécurité et protection des données
KYORA LLC met en œuvre des mesures techniques et organisationnelles conformes à l'état de l'art pour protéger les données que vous nous confiez :
- Chiffrement en transit : toutes les communications (site, WhatsApp, paiement) sont chiffrées en TLS 1.3.
- Chiffrement au repos : nos bases de données et nos espaces de stockage sont chiffrés au repos (standard AES-256) par nos prestataires d'infrastructure professionnels.
- Authentification renforcée : les accès administratifs sont protégés par double authentification matérielle (clés de sécurité FIDO2) et codes à usage unique. L'authentification par SMS est désactivée car vulnérable au SIM-swap.
- Contrôle d'accès : principe du moindre privilège, accès segmenté par rôle, secrets stockés chiffrés (jamais en clair dans le code ni dans les logs).
- Rotation et audit : les jetons et secrets sont rotés périodiquement. Tous les accès administratifs et actions sensibles sont journalisés.
- Sauvegardes : sauvegardes quotidiennes chiffrées conservées en redondance.
- En-têtes de sécurité HTTP : HSTS, CSP, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy actifs sur toutes les surfaces publiques. Politique de divulgation responsable disponible à
/.well-known/security.txt (RFC 9116).
- Politique d'incident : détection, endiguement et communication interne sous 30 minutes. Notification aux autorités compétentes (CNIL, APD, PFPDT) sous 72 h en cas de violation affectant des données personnelles, conformément à l'article 33 RGPD.
Ce que nous ne stockons jamais : numéros de carte bancaire (traités exclusivement par notre prestataire certifié PCI-DSS niveau 1), mots de passe en clair, scans d'actes originaux signés, données de santé.
5. Sous-traitants et tiers
Pour faire fonctionner le service, nous nous appuyons sur un nombre limité de prestataires techniques agissant strictement en qualité de sous-traitants au sens de l'article 28 du RGPD. Chacun est lié à KYORA LLC par un Data Processing Agreement (DPA) garantissant un niveau de protection équivalent au RGPD.
Catégories de sous-traitants utilisés :
- Fournisseur de messagerie — acheminement des messages clients ↔ Mathilde. Juridiction : États-Unis. Encadrement : DPF UE-US + clauses contractuelles types.
- Hébergeur infrastructure & sécurité — hébergement du site, CDN, protection anti-DDoS, stockage sécurisé. Juridiction : États-Unis (réplication mondiale). Encadrement : DPF UE-US + CCT.
- Base de données conversationnelle — stockage CRM, messages, audit. Juridiction : Union européenne (Irlande). Encadrement : aucun transfert hors UE.
- Fournisseur de modèles d'IA conversationnels — génération des réponses de Mathilde. Juridiction : États-Unis. Encadrement : DPF UE-US + CCT + clause contractuelle d'exclusion d'entraînement.
- Prestataire de paiement — encaissement, facturation, abonnements. Juridiction : États-Unis. Encadrement : DPF UE-US + CCT + certification PCI-DSS niveau 1.
- Fournisseur d'emails transactionnels — envoi des récapitulatifs post-paiement et confirmations. Juridiction : États-Unis. Encadrement : DPF UE-US + CCT.
- Registrar / DNS — gestion du nom de domaine. Juridiction : États-Unis. Encadrement : DPF UE-US.
Aucun de ces sous-traitants n'est autorisé à utiliser vos données à ses propres fins commerciales. Les contenus transmis aux fournisseurs de modèles d'IA ne sont pas utilisés pour entraîner les modèles (clause contractuelle dédiée).
Identité précise des sous-traitants : conformément à l'article 28.3 du RGPD, vous pouvez à tout moment obtenir la liste nominative complète des sous-traitants utilisés, leurs coordonnées, leur DPA et leurs certifications de sécurité (ISO 27001, SOC 2, PCI-DSS, etc.) en écrivant à contact@hellomathilde.com. Réponse sous 30 jours.
Aucun partage commercial : nous ne vendons jamais vos données. Nous ne les partageons avec aucun tiers à des fins marketing, publicitaires ou de profilage commercial.
6. Base légale
Exécution du contrat (art. 6.1.b RGPD) pour fournir le service souscrit, et intérêt légitime (art. 6.1.f RGPD) pour améliorer la qualité du service et prévenir les abus.
7. Durée de conservation
- Conversations et profil : pendant l'exécution du service, puis jusqu'à 12 mois après son terme pour les messages de soutien (durée totale maximale 24 mois). Au-delà : anonymisation ou suppression.
- Contenus numériques personnalisés (formules à téléchargement immédiat) : les données du questionnaire (réponses, prénom, email, pays, lien défunt, date décès) ainsi que le document généré sont conservés jusqu'à 24 mois après la livraison, pour vous permettre de re-télécharger le document via le service support. Au-delà : suppression définitive. Le fichier est hébergé sur infrastructure CDN ; le lien d'accès web reste actif pour une durée limitée précisée au moment de la souscription (par défaut 30 jours), au-delà la consultation passe par une demande à contact@hellomathilde.com. Suppression anticipée possible à tout moment sur demande.
- Preuve de consentement de renonciation au droit de rétractation (formules courtes < 14 jours et produits numériques immédiatement consommables) : 5 ans (Art. L221-28 du Code de la consommation).
- Données de facturation : 10 ans (obligation légale).
- Liste d'attente : jusqu'à 24 mois après l'inscription ou jusqu'à votre désinscription.
8. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, d'opposition et de limitation. Pour les exercer : contact@hellomathilde.com. Chaque email automatique contient également un lien de désinscription en un clic.
Vous pouvez introduire une réclamation auprès de la CNIL (France), de l'APD (Belgique) ou du PFPDT (Suisse).
9. Transferts hors UE
Certaines données peuvent être transférées vers les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et le Data Privacy Framework UE-US.
10. Cookies
HelloMathilde utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du site. Aucun cookie publicitaire, de suivi ou d'analyse n'est déposé sans votre consentement explicite.
11. Modifications
Cette politique peut être mise à jour. La date de dernière mise à jour est indiquée en haut de cette page.
← Retour à l'accueil