Politique de confidentialité

Identité du compte : votre adresse e-mail ; si vous vous connectez avec Google, également votre nom d'affichage, l'URL de votre avatar et l'identifiant Google stable (subject ID). Ces éléments ne servent qu'à vous connecter et à vous nommer dans l'interface.

Profil : le sigil choisi, le tirage par défaut et la langue. Les fonctions d'astrologie et de carte de naissance sont calculées côté serveur à partir des données que vous saisissez, et seuls les libellés dérivés sont conservés (codes des signes solaire / lunaire / ascendant et identifiants des cartes de l'âme / de la personnalité). Vos date, heure et lieu de naissance, ainsi que vos coordonnées, ne sont jamais écrits dans notre base de données : c'est un engagement de confidentialité auditable, non une option configurable. Seule exception : un thème astral que vous choisissez d'enregistrer, décrit au point suivant.

Thèmes astraux enregistrés : uniquement lorsque vous choisissez « Garder dans mon manuscrit » sous un thème, sur la page du thème astral : le nom que vous lui donnez, la date d'enregistrement, votre date de naissance, votre heure de naissance telle que vous l'avez indiquée (exacte, une plage de deux heures ou aucune), le lieu de naissance choisi (son nom, son code pays et ses coordonnées) et son fuseau horaire, ainsi que le système de maisons demandé. Ils sont conservés pour que le thème puisse être rouvert, jusqu'à ce que vous supprimiez le thème depuis votre Profil ou supprimiez votre compte, et figurent dans l'export de vos données. Si vous choisissez d'enregistrer sans être connecté, votre navigateur garde ces mêmes informations dans le stockage de session de cet onglet uniquement le temps de la connexion, et les efface si vous allez sur une autre page. Jusqu'à 12 thèmes.

Lectures et journal : tant que votre session est ouverte, chaque lecture est enregistrée automatiquement dans votre compte dès que son interprétation a fini de s'écrire — les cartes tirées, le type de tirage, la question posée, l'interprétation générée par l'IA, ainsi que le lecteur et la voix qui l'ont rédigée. Vos notes, vos étiquettes et votre humeur sont enregistrées au moment où vous les ajoutez. Le jeton de partage n'est enregistré que lorsque vous créez un lien public, avec l'image d'aperçu que votre navigateur dessine pour ce lien : le nom du tirage et ses cartes, jamais votre question ni l'interprétation. Révoquer le lien supprime l'un et l'autre. Vous pouvez supprimer vos lectures à tout moment : une par une depuis la page de la lecture ou depuis votre Journal, ou toutes à la fois via Profil → Supprimer le grimoire. Supprimer une lecture supprime aussi son lien de partage et son image d'aperçu.

Texte de la carte du lien partagé : lorsque vous créez ou mettez à jour un lien de partage, votre navigateur envoie aussi le texte de la carte d'aperçu du lien — le nom du tirage suivi des noms de trois de ses cartes au plus, et l'extrait de l'interprétation choisi dans le panneau de partage —, jamais votre question. Ce texte ne sert qu'à afficher cette carte ; il est supprimé quand vous révoquez le lien ou supprimez la lecture.

Retours sur un pas : lorsque vous activez « Revenir sur ce pas dans 7 jours » sous une lecture — la date à laquelle le retour arrive à échéance (sept jours après la lecture), le moment où un rappel a été envoyé et, une fois que vous avez répondu, si vous avez fait ce pas ainsi que la réflexion que vous écrivez (2 000 caractères au plus). Un seul retour sans réponse est conservé à la fois : en fixer un nouveau le remplace, le désactiver le supprime. Un retour auquel vous avez répondu reste attaché à sa lecture jusqu'à ce que vous supprimiez cette lecture ou votre compte.

Dialogues : lorsque vous échangez avec un lecteur à propos d'une lecture, ou ouvrez directement un dialogue — chaque message que vous envoyez et chaque réponse (y compris les actions rapides, comme changer d'angle ou de lecteur), le lecteur et la langue, ainsi que la synthèse que le lecteur rédige du dialogue, que vous pouvez modifier et qui lui sert aussi de mémoire des répliques précédentes. Un dialogue est conservé jusqu'à ce que vous l'effaciez — ce qui le supprime avec tous ses messages et sa synthèse — ou que vous supprimiez sa lecture ou votre compte. Quand vous effacez un dialogue, nous ne gardons, sans aucun contenu, que l'heure des questions posées au cours des dernières 24 heures, afin que la limite quotidienne de messages continue de les compter ; elles sont supprimées lorsque vous effacez de nouveau un dialogue, une fois ces 24 heures passées, ou avec votre compte.

Registres d'usage : vos tirages de la carte du jour (une carte enregistrée par personne et par jour, selon la date de votre fuseau horaire), l'avancement du défi de 21 jours, les accomplissements déverrouillés et les scores de quiz. Nous nous en servons pour composer vos pages /profile, /journey et /wrapped, ainsi que pour attribuer les accomplissements décrits dans les Conditions. Lorsque vous commencez un défi de 21 jours, nous enregistrons avec lui votre fuseau horaire (un nom IANA comme Europe/Paris), afin d'en compter les jours selon votre date locale.

Progression au quiz : tant que votre session est ouverte — les étoiles obtenues à chaque station, votre maîtrise de chaque carte (la boîte de révision où elle se trouve), les jours où vous avez étudié (qui forment votre série d'étude) et votre meilleur score aux trois minutes chrono. Elle sert à retrouver votre progression d'un appareil à l'autre et est conservée jusqu'à la suppression de votre compte.

Progression dans le guide : tant que votre session est ouverte — les pages de /guide que vous avez lues et quand, pour afficher votre progression dans le guide sur n'importe quel appareil ; conservée jusqu'à la suppression de votre compte.

Rappel de lecture : si vous choisissez une heure de rappel dans votre profil — cette heure et le fuseau horaire dans lequel il est envoyé (un nom IANA comme Europe/Paris, relevé dans votre navigateur au moment de l'enregistrement), afin que l'e-mail de rappel de la carte du jour arrive à cette heure-là de votre journée locale. Désactiver le rappel efface l'heure ; le fuseau horaire reste enregistré avec vos autres préférences jusqu'à la suppression de votre compte.

Abonnements push : lorsque vous les activez depuis /profile — l'URL du point de terminaison fournie par votre navigateur, ainsi que les clés publiques p256dh et auth de l'appareil (émises par le navigateur ; elles ne constituent pas des données personnelles à elles seules). Elles sont supprimées dès que vous désactivez l'option.

Parrainage : lorsque vous générez ou utilisez un code d'invitation — la chaîne du code et une ligne d'usage par invitation acceptée, employées pour créditer le mois de bonus décrit dans les Conditions.

Facturation : pour les personnes abonnées à un plan payant — le palier, la date de reconduction, tout délai de grâce en cours et les identifiants client / abonnement émis par Dodo Payments, notre commerçant enregistré. Nous ne voyons jamais le numéro de votre carte, son expiration ni son CVV.

Crédits — pour les comptes qui en utilisent : chaque attribution de crédits (son origine, comme le cadeau d'inscription, l'attribution mensuelle, le passage quotidien ou un pack de crédits ; leur nombre ; ce qu'il en reste ; leur date d'expiration) et chaque dépense (combien, pour quelle lecture, quelle question de conversation ou quelle page du jour, et si elle a été remboursée). Utilisés uniquement pour tenir votre solde et montrer à quoi chaque crédit a servi.

Débits par tirage : chaque fois qu'un tirage consomme des crédits — l'identifiant du tirage, une empreinte SHA-256 de ce qui a été tiré (tirage, langue, question et cartes ; la question elle-même n'est pas conservée ici) et le nombre de reprises, afin que recharger ou relancer la même lecture dans les 24 heures ne soit pas débité deux fois. Les enregistrements de plus de 24 heures sont supprimés la prochaine fois qu'un tirage consomme vos crédits, les autres avec votre compte.

Analytique : journal d'événements indexé par un identifiant de compte pseudonyme (un identifiant aléatoire, et non votre nom ou votre adresse e-mail). Il ne contient ni le texte de vos questions, ni le contenu des cartes, ni la prose des interprétations.

Demandes de code de connexion : chaque fois qu'un code de connexion est envoyé par e-mail et chaque fois qu'un code erroné est saisi, nous conservons un bref enregistrement pour prévenir les abus : une empreinte à clé (HMAC) de l'adresse e-mail, une empreinte à clé de l'adresse IP et l'heure. Ni l'adresse ni l'IP ne sont conservées sous une forme lisible.

Registre d'envoi des e-mails : un enregistrement pour chaque e-mail automatique que nous envoyons (par exemple les codes de connexion, les avis relatifs au compte et à l'abonnement, les lettres hebdomadaires et les e-mails promotionnels) : de quel e-mail il s'agit, quand il est parti, s'il a été remis, et l'identifiant de message ou le code d'erreur renvoyé par le service d'envoi. Il ne contient jamais le texte du message. Le destinataire y figure sous la forme de votre compte ou, pour un e-mail sans compte associé, d'une empreinte à clé de l'adresse. Pour les e-mails de compte susceptibles d'être renvoyés, l'enregistrement conserve aussi les éléments qui ont servi à le composer (par exemple votre formule et sa date de renouvellement, ou le premier mot de votre nom d'affichage) ainsi que votre fuseau horaire.

Lettres hebdomadaires : si vous vous inscrivez via le formulaire du site (vous confirmez par un lien que nous vous envoyons par e-mail) ou si, une fois connecté, vous les rejoignez avec l'adresse de votre compte (jamais par défaut) : votre adresse e-mail, la langue des lettres, l'endroit du site où vous vous êtes inscrit, les dates d'inscription et de confirmation, la date du dernier e-mail de confirmation, le nombre de lettres reçues et la date d'envoi de la dernière, et la date de désinscription. Les réponses adressées à lunaris@lunarcana.app sont transférées vers la boîte de réception de l'éditeur du service et y sont conservées ; nous les lisons pour améliorer les lettres et ne nous en servons jamais pour des lectures personnelles.

Première lecture en invité : si vous essayez une lecture sans vous connecter — les cartes tirées, le tirage, votre question, la langue, les options de lecture et le lecteur utilisés, l'interprétation et le modèle qui l'a rédigée, les questions suggérées qui l'accompagnent, les questions de suivi offertes que vous posez, avec leurs réponses, et — si un message soulève une inquiétude pour votre sécurité et reçoit à la place notre message de soutien fixe — trois messages de ce type au plus, chacun avec cette réponse. Pour limiter le nombre de lectures en invité qu'un même réseau peut lancer, nous conservons aussi une empreinte à clé (HMAC) de votre adresse IP — jamais l'adresse elle-même —, et votre navigateur garde pendant 30 jours un cookie signé (lunarcana-guest) contenant l'identifiant de la lecture. Si vous vous connectez dans ces 30 jours, vous pouvez garder la lecture : elle est copiée dans votre compte, avec ses questions de suivi, sous la forme d'une lecture et d'un dialogue ordinaires. L'enregistrement invité ne comporte ni nom ni adresse e-mail.

Exécution du contrat (RGPD art. 6, §1, b) : compte, profil, lectures, facturation. Sans ces données, nous ne pouvons pas fournir le service demandé.

Intérêt légitime (art. 6, §1, f) : analytique minimale destinée à la santé du service et à la prévention des abus, mesure d'audience agrégée du site via Google Analytics, registre des demandes de code de connexion pour contrer les abus, et registre d'envoi des e-mails pour vérifier que nos e-mails arrivent. Ces traitements sont mis en balance avec votre vie privée par le hachage des identifiants, la suppression de ces registres selon des durées fixes et la possibilité de vous déconnecter.

Consentement (art. 6, §1, a) : enrichissement astrologique des consignes, notifications web push, e-mails promotionnels, lettres hebdomadaires et e-mail de carte du jour sur abonnement. Tout est désactivé par défaut ; c'est vous qui l'activez.

Obligation légale (art. 6, §1, c) : les registres de facturation sont conservés conformément à la législation fiscale applicable à Dodo Payments.

Toutes les lignes liées à une personne (compte, profil, lectures, journal, cartes sauvegardées, tirages quotidiens, avancement du défi, accomplissements, scores de quiz, progression au quiz, progression dans le guide, débits par tirage, retours sur un pas, texte des cartes de liens partagés, dialogues et leurs synthèses, heure et fuseau horaire du rappel de lecture, abonnements push, registres de parrainage, compteurs mensuels d'usage, crédits attribués et leur historique d'utilisation, ainsi que les enregistrements d'envoi d'e-mails liés à votre compte et à son adresse) : jusqu'à la suppression de votre compte, moment où elles sont effacées ensemble au sein d'une seule transaction, qui retire aussi votre adresse de la liste des lettres hebdomadaires.

Registre des demandes de code de connexion : 24 heures.

Registre d'envoi des e-mails : 90 jours. La suppression de votre compte efface aussitôt les enregistrements liés à votre compte et à son adresse ; il ne reste que celui de l'e-mail qui confirme la suppression, tenu sous l'empreinte de l'adresse, qui expire au bout de 90 jours.

Liste des lettres hebdomadaires : votre entrée est conservée jusqu'à ce que vous nous demandiez de l'effacer. Se désinscrire — par le lien en un clic à la fin de chaque lettre, ou en supprimant votre compte — retire aussitôt votre adresse de la liste ; l'entrée reste conservée, marquée comme désinscrite, jusqu'à ce que vous écriviez à support@lunarcana.app.

Premières lectures en invité : conservées sans limite de durée, sans nom ni adresse e-mail, comme données anonymes servant à analyser les questions que les gens apportent et la manière dont les interprétations y répondent. L'empreinte de l'IP est effacée lorsque la lecture atteint 30 jours (par lots, à mesure que de nouvelles lectures en invité sont lancées) ; elle ne peut ensuite plus être rattachée à un compte. Si vous l'avez rattachée au vôtre, supprimer votre compte ne fait que rompre le lien entre vous et l'enregistrement invité ; la copie de votre compte est supprimée avec lui.

Sauvegardes de la base de données : rétention glissante de 30 jours.

Journaux serveur et journaux d'accès : 30 jours.

Événements analytiques : fenêtre glissante de 12 mois.

Google Analytics : les données d'événements au niveau de l'utilisateur sont conservées 2 mois ; les rapports agrégés qui en sont tirés le sont plus longtemps.

Registres de facturation : après la suppression du compte, Dodo Payments les conserve aussi longtemps que l'exigent ses obligations fiscales et d'audit (voir sa politique de confidentialité).

Registres de remboursement : lorsqu'un paiement est remboursé ou contesté (rétrofacturation), nous en gardons une trace (montant, devise, date, motif, ainsi que l'e-mail de facturation, l'identifiant Google et les identifiants client / abonnement Dodo Payments concernés). Elle n'est pas supprimée avec votre compte — seul son lien avec le compte est rompu — afin que la piste d'audit soit conservée pendant sept ans.

Cloudflare (États-Unis, réseau global) : exécution Workers, base de données D1, stockage d'actifs R2. Toutes les données actives résident ici. Cloudflare Email Service achemine nos e-mails automatiques, comme les codes de connexion, les avis relatifs au compte et à l'abonnement, les lettres hebdomadaires et les e-mails promotionnels (nous transmettons votre adresse et le message déjà rendu) ; Cloudflare Email Routing transfère vers la boîte de réception de l'éditeur du service le courrier adressé à support@ et à lunaris@lunarcana.app ; et Cloudflare Turnstile effectue la vérification humaine avant l'envoi d'un code et avant le tirage des cartes d'une première lecture en invité.

Google (États-Unis) : authentification OAuth ; nous recevons votre e-mail, votre nom, votre avatar et votre subject ID, rien d'autre. Par ailleurs, la boîte de réception de l'éditeur du service, vers laquelle est transféré le courrier adressé à support@ et à lunaris@lunarcana.app, est hébergée sur Gmail.

DeepSeek (Singapour / Chine) : fournisseur d'interprétation par IA. Nous lui transmettons les cartes tirées, le type de tirage, votre question, la langue et, si vous l'activez, un contexte astrologique. Pour un dialogue — y compris les questions de suivi d'un invité —, nous lui transmettons aussi l'interprétation de la lecture, la dernière synthèse rédigée par le lecteur (jamais vos propres modifications), les messages les plus récents du dialogue et votre nouveau message, afin qu'il rédige la réponse et la synthèse. Nous ne transmettons jamais votre e-mail, votre nom ni votre historique.

Resend (États-Unis) : uniquement l'e-mail de rappel de la carte du jour, envoyé si vous choisissez une heure de rappel de lecture dans Profil. Nous relayons votre adresse e-mail et le message déjà rendu. Les e-mails promotionnels et les lettres hebdomadaires ne passent pas par Resend.

Relais Web Push (Apple Push Notification service / Firebase Cloud Messaging / Mozilla Push Service) : employés uniquement si vous avez consenti aux notifications push. Nous envoyons la charge utile à l'URL de point de terminaison émise par votre navigateur ; le relais la remet à votre appareil.

PostHog (États-Unis, région UE disponible) : analytique produit. Tant que votre session est ouverte, nous envoyons un identifiant de compte pseudonyme (un identifiant aléatoire, et non votre nom ou votre adresse e-mail) et le sigil que vous avez choisi. Nous envoyons aussi le nom des événements et leurs détails (nombres, réglages et identifiants, comme le tirage ou la carte concernés), y compris les boutons et liens sur lesquels vous cliquez, sans leur texte ; l'adresse des pages que vous consultez et celle de la page de provenance, sans la question ; le type d'appareil, de système d'exploitation et de navigateur, avec la taille d'écran, la langue et le fuseau horaire ; et votre adresse IP, dont PostHog déduit une localisation approximative. Les enregistrements de session conservent la mise en page, le défilement et les clics, tout texte et tout champ de formulaire étant masqués. Nous n'envoyons ni le texte de vos questions ni la prose des interprétations.

Google Analytics (Google LLC, États-Unis) : mesure d'audience agrégée du site — pages consultées, type d'appareil et de navigateur, localisation approximative, site de provenance et quelques événements produit (paiement commencé, paiement finalisé, lecture terminée). Nous ne lui transmettons jamais d'identifiant utilisateur, ni votre adresse e-mail, ni vos questions, ni les interprétations. Google Signals et les fonctionnalités publicitaires sont désactivés.

Dodo Payments (commerçant enregistré) : notre revendeur en ligne pour les abonnements payants, désigné lors du paiement et sur votre reçu. Il assure le traitement des cartes et la conformité fiscale en tant que responsable de traitement indépendant des données personnelles qu'il recueille directement auprès de vous lors du paiement, conformément à sa propre politique de confidentialité (https://dodopayments.com/legal/privacy-policy) ; nous ne recevons que ses identifiants abstraits client / abonnement. Les transferts hors EEE, lorsqu'ils ont lieu, s'appuient sur les clauses contractuelles types de l'UE.

authjs.session-token (développement) / __Secure-authjs.session-token (production) : session Auth.js v5, httpOnly, sameSite=lax, indispensable à la connexion.

NEXT_LOCALE : la langue que vous avez choisie.

lunarcana-ref : porteur du code d'invitation ; il expire après usage.

lunarcana-guest : déposé lors du tirage d'une première lecture en invité ; il contient l'identifiant de la lecture accompagné d'une signature, pour que ce navigateur puisse y revenir et la conserver après connexion. httpOnly ; il expire au bout de 30 jours et est supprimé lorsque vous rattachez la lecture à votre compte après connexion, ou lorsqu'une tentative de rattachement constate qu'elle a expiré.

lunarcana:tz : votre fuseau horaire (un nom IANA comme Europe/Paris), posé lorsque vous tirez la carte du jour pour que les pages quotidiennes connaissent votre date locale ; il expire au bout d'un an.

PostHog distinct_id : identifiant analytique de première partie, posé uniquement lorsque NEXT_PUBLIC_POSTHOG_KEY est configuré.

_ga et _ga_<container-id> : cookies de mesure d'audience de première partie déposés par Google Analytics, conservés jusqu'à 2 ans. Ils ne sont pas déposés pour les visiteurs de l'EEE, du Royaume-Uni et de la Suisse : Google Analytics y fonctionne en mode consentement (Consent Mode), avec le stockage analytique refusé, et n'envoie que des pings anonymes sans cookie.

Nous ne déposons aucun cookie publicitaire tiers et ne participons à aucun pistage comportemental inter-sites.

Stockage local : préférences client non sensibles qui restent sur l'appareil et ne sont jamais envoyées à nos serveurs — piste ambiante et volume, état muet, rejet de l'invitation à installer, compteur quotidien de méditation. Effacer les données du site les supprime.

Lunarcana est hébergé sur le réseau mondial de Cloudflare ; vos données peuvent être traitées dans des régions autres que votre pays de résidence, y compris aux États-Unis. Les transferts au départ de l'UE, du Royaume-Uni ou de la Suisse s'appuient, le cas échéant, sur les clauses contractuelles types (CCT).

L'édition Chine (au moment de son lancement) s'exécute sur Aliyun en Chine continentale et ne réplique aucune donnée hors de la région. Le transfert transfrontalier des données recueillies par l'édition Chine relève d'un flux de consentement distinct.

Accès, rectification, suppression, portabilité : écrivez à support@lunarcana.app, ou utilisez Profil → Supprimer le grimoire pour déclencher immédiatement la suppression en cascade de toutes les tables liées à votre personne : user / account / session / reading / readingInterpretation / savedCard / userPreference / subscription / dailyDraw / userChallenge / userAchievement / userQuizScore / pushSubscription / referralCode / referralRedemption / usageMonthly / credit_lot / credit_spend / email_send / readingSharePreview / readingShareText / reading_check_in / conversation / conversation_message / conversation_cleared_turn / quiz_progress / guide_read / draw_charge. La suppression est une transaction unique, irréversible.

Retirer le consentement : activez ou désactivez l'astrologie, les notifications push, les e-mails promotionnels, l'e-mail de carte du jour et la synthèse vocale depuis Profil, à tout moment. Les e-mails promotionnels restent désactivés tant que vous ne les activez pas, et chaque e-mail promotionnel comme chaque lettre hebdomadaire se termine par un lien de désinscription en un clic.

Vous opposer au traitement ou en demander la limitation : écrivez-nous.

Déposer une réclamation : auprès de l'autorité de protection des données compétente (EEE — votre autorité de contrôle, en France la CNIL ; Royaume-Uni — ICO ; Californie — Attorney General ; Chine — CAC).

Californie (CCPA / CPRA) : nous ne vendons ni ne partageons d'informations personnelles à des fins de publicité comportementale inter-contextes. Un lien « Do Not Sell or Share » n'est donc pas requis, mais les droits ci-dessus restent exerçables.

Chine (PIPL) : vous pouvez demander une copie de vos données et une explication du traitement ; vous pouvez retirer votre consentement à tout moment.

Lunarcana ne s'adresse pas aux personnes de moins de 13 ans (16 ans dans l'UE). Si nous constatons avoir recueilli par mégarde des données d'une telle personne, nous les supprimons sans délai.

Les modifications substantielles sont annoncées sur le site au moins 14 jours avant leur entrée en vigueur. La ligne « Dernière mise à jour » en tête de cette page fait foi.

En transit : TLS 1.3 entre votre navigateur, la périphérie Cloudflare et chaque sous-traitant que nous appelons. Les cookies d'authentification sont httpOnly et sameSite=lax ; les jetons de session sont des valeurs opaques aléatoires émises par Auth.js v5 et stockées uniquement sous forme de références dans notre base.

Au repos : notre base Cloudflare D1 est chiffrée au moyen du chiffrement disque géré par Cloudflare. Nous ne conservons ni votre numéro de carte, ni son expiration, ni son CVV, ni aucun instrument de paiement — uniquement les identifiants abstraits client / abonnement émis par Dodo Payments.

Contrôles d'accès : l'accès administrateur à la base de production est réservé au compte Cloudflare du mainteneur, authentifié par clé matérielle. Nous n'exploitons aucun outil interne de support offrant une lecture illimitée sur les lignes utilisateurs.

Notification d'incident : en cas de violation de données personnelles susceptible d'entraîner un risque pour vos droits, nous en informons l'autorité de contrôle compétente dans les 72 heures suivant la découverte, et nous contactons sans retard indu les personnes concernées à l'adresse e-mail enregistrée, conformément aux articles 33 et 34 du RGPD et aux normes équivalentes.

Les interprétations de tarot générées par l'IA sont produites à la demande à partir des cartes que vous tirez et de la question que vous posez, par un modèle de langage tiers. Elles sont pensées pour la réflexion, l'écriture intime et la pratique contemplative. Rien concernant votre compte, votre éligibilité, les tarifs ou le palier de service n'est décidé par l'IA.

Nous ne procédons à aucune décision individuelle automatisée (y compris de profilage) produisant des effets juridiques ou vous affectant de manière significative similaire, au sens de l'article 22 du RGPD.