confidentialité.

1. Qui sommes-nous ?

Éditeur de l'application :

l’équipe Molleva (exerçant sous le nom commercial Molleva)

Entrepreneur individuel (micro-entrepreneur)

SIRET : 99931654000015 — RNE Paris

Siège social : 8 bis rue Abel, 75012 Paris

Email de contact : contact@molleva.fr

Email dédié protection des données : privacy@molleva.app

Référent Protection des Données : l’équipe Molleva

Contact : privacy@molleva.app

2. Préambule

Molleva est une application mobile de clarté quotidienne. Elle aide les personnes mentalement surchargées à voir clair, choisir peu et avancer sans culpabilité.

La version officiellement disponible aujourd'hui est la version Android distribuée via Google Play. La version iOS est en préparation ; les références à iOS dans cette politique décrivent un fonctionnement prévu et ne s'appliqueront qu'après la mise à disposition de cette version.

Dans ce cadre, Molleva traite des données personnelles. Certaines de ces données sont intimes : vos notes, vos priorités, votre état d'énergie du jour. Nous les traitons avec le même sérieux que des données de santé, même si Molleva n'est pas une application médicale ou thérapeutique.

Cette politique vous explique :

• quelles données nous collectons et pourquoi,
• comment nous les protégeons,
• combien de temps nous les conservons,
• vos droits et comment les exercer.

3. Fondements juridiques des traitements

Tous nos traitements reposent sur au moins une base légale du Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679) :

4. Données collectées, finalités et durées de conservation

4.1 Données de compte et d'authentification

Données collectées :

• Adresse email (normalisée en minuscules, identificateur unique de compte)
• Identifiant de session (UUID généré côté serveur)
• Identifiant d'appareil (UUID aléatoire généré par l'application — ce n'est pas un identifiant publicitaire, ni un identifiant matériel système)
• Date de création du compte
• Date de dernière authentification

Ce que nous ne collectons pas : nom, prénom, numéro de téléphone, adresse postale, identifiant publicitaire système (IDFA Apple, GAID Google).

Finalité : authentification OTP sans mot de passe, gestion de session, sécurité du compte.

Base légale : exécution du contrat.

Durée de conservation :

• Session invitée côté serveur : 14 jours maximum
• Sessions actives : durée de vie maximale 90 jours, révocables à tout moment
• Challenges OTP : 5 minutes (expiration automatique)
• Données de compte : jusqu'à suppression du compte, puis purge sous 7 jours, extinction des sauvegardes sous 30 jours

La création d'un compte Molleva est facultative au démarrage. Vous pouvez commencer en mode invité, sans saisir d'adresse email. La session invitée est conservée côté serveur pendant 14 jours maximum. Pour retrouver vos journées sur un autre appareil ou convertir et conserver durablement votre session invitée, vous pouvez ensuite créer un compte. La création de compte repose sur la saisie de votre adresse email puis la validation d'un code OTP à 6 chiffres envoyé à cette adresse.

4.2 Données de contenu personnel (données saisies dans l'application)

Ces données constituent le cœur de l'expérience Molleva. Elles sont les vôtres.

Finalité : fourniture du service Molleva tel que vous l'utilisez.

Base légale : exécution du contrat.

Durée de conservation : durée de vie du compte. Sur suppression, purge sous 7 jours, extinction des sauvegardes sous 30 jours.

Les notes que vous validez sont stockées sur les serveurs de Molleva afin de permettre leur sauvegarde, leur historique et leur synchronisation. Le texte en cours de saisie reste uniquement en mémoire sur votre appareil jusqu'à sa validation. Les éléments opérationnels locaux (session, préférences, rappels et fichiers temporaires) restent sur votre appareil. Votre adresse email n'est ni revendue ni utilisée pour de la publicité ciblée.

Recherche dans le passé. Lorsque vous cherchez dans votre historique, votre requête est traitée pour vous répondre puis abandonnée : elle n'est pas enregistrée, ni côté serveur, ni sur votre appareil.

Détection de doublons. Quand un élément que vous venez de capturer ressemble à un élément déjà présent, Molleva vous le signale. Cette comparaison est faite par la base de données, par similarité entre textes : aucun modèle d'IA n'y intervient, et rien n'est envoyé à un tiers.

4.3 Données techniques et de sécurité

Données collectées :

• Adresse IP — utilisée uniquement pour le rate limiting (protection anti-abus) ; stockée temporairement dans des fenêtres glissantes de 15 minutes
• User-agent et plateforme — envoyés automatiquement par l'application ; stockés dans la table de sessions pour la gestion multi-appareils et la détection de sessions inhabituelles (durée : 30 jours / session absolue 90 jours)
• Adresse IP de création de session — stockée dans la table de sessions (en plus du rate limiting) pour la sécurité du compte ; durée de conservation identique à la session concernée
• Fuseau horaire et offset UTC — envoyés par l'app pour calculer correctement vos journées
• Métadonnées de session — tokens hashés (jamais en clair), horodatages de rotation, motif de révocation

Finalité : sécurité, prévention des abus, calcul contextuel du temps.

Base légale : intérêt légitime (sécurité de nos systèmes et de nos utilisateurs).

Durée de conservation : rate limiting : fenêtres de 15 minutes. Tokens : jusqu'à révocation ou expiration (90 jours maximum).

Journaux techniques (logs serveur)

Données collectées :

• Journaux de requêtes HTTP : endpoint, code de réponse, horodatage
• Pas d'email, pas de contenu utilisateur dans les logs (redaction automatique)
• L'adresse IP peut apparaître dans les journaux d'infrastructure

Finalité : sécurité, détection d'incidents, débogage.

Base légale : intérêt légitime (sécurité de nos systèmes).

Durée de conservation : 14 à 30 jours, avec rotation automatique.

4.4 Fonctionnalités IA et traitement du contenu

Lorsque vous utilisez une aide assistée par IA, vos données sont traitées comme suit.

Le fournisseur : Mistral AI.

Les sept aides concernées, et ce qui est envoyé :

Caviardage de l'import de texte collé. Les adresses web et les adresses email sont retirées du texte côté serveur, avant tout appel au système d'IA. Un élément qui ne contiendrait que cela est écarté.

Marquage des contenus générés. Conformément à l'article 50(2) de l'AI Act, l'origine des contenus produits par un modèle est enregistrée avec vos données : pour chaque élément capturé, s'il a été saisi à la main, dicté, photographié ou collé ; pour chaque sous-tâche issue d'une décomposition, qu'elle a été proposée par un modèle, lequel, et si vous l'avez retouchée avant de valider ; pour chaque texte issu d'une clarification, qu'il vient d'une reformulation assistée. Si vous réécrivez vous-même un texte clarifié, ce marquage est retiré. Ces marquages figurent dans votre export de données.

Ce que nous stockons : uniquement des métadonnées techniques d'usage IA (fonctionnalité utilisée, modèle, compteurs de tokens, coût estimé, statut, latence). Nous ne stockons ni les prompts ni les réponses de l'IA. Ces métadonnées sont conservées pendant la durée de vie du compte et purgées avec lui. Elles ne figurent pas dans le fichier d'export, mais restent couvertes par votre droit d'accès sur demande.

Base légale : exécution du contrat (fonctionnalité activée à votre demande).

Transparence des systèmes d'IA (Art. 50, Règlement UE 2024/1689 — AI Act)

Conformément à l'article 50 du règlement (UE) 2024/1689 sur l'intelligence artificielle, dans sa version modifiée par le règlement (UE) 2026/1744 dit « Digital Omnibus », l’équipe Molleva vous informe que les traitements décrits dans la présente section impliquent une interaction avec un système d'intelligence artificielle fourni par Mistral AI.

Cette information vous est donnée dans l'Application, avant le premier envoi de texte à une aide. Elle est également reflétée dans les Conditions Générales d'Utilisation et dans la Notice d'information IA.

Les systèmes d'IA utilisés par Molleva sont classés à risque limité au sens de l'AI Act. Aucun traitement automatisé produisant des effets juridiques ou significatifs n'est effectué à votre égard (Art. 22 RGPD).

4.5 Analytics internes first-party

Molleva utilise un système d'analytics entièrement interne et first-party — nous n'intégrons aucun SDK analytics tiers (pas de PostHog, Amplitude, Mixpanel, Segment, Firebase Analytics, etc.).

Données collectées :

• Identifiant anonyme (UUID aléatoire, distinct de votre identifiant de compte, stocké dans le Secure Storage de votre appareil)
• Identifiant de session (UUID aléatoire, renouvelé à chaque session)
• Nom de l'événement (ex : « fonctionnalité utilisée », « onboarding terminé »)
• Plateforme (Android actuellement ; iOS lorsque la version iOS sera disponible)
• Version de l'application
• Horodatage

Ce que nous ne collectons pas dans les analytics : votre email, votre identifiant de compte réel, votre adresse IP, le contenu de vos notes, vos états d'énergie, vos intentions personnelles.

Pas de session replay. Aucun enregistrement d'écran n'est réalisé, jamais.

Finalité : amélioration du produit (fonctionnalités adoptées, parcours d'onboarding, erreurs rencontrées).

Base légale : intérêt légitime.

Votre opposition. Vous pouvez couper cette collecte à tout moment depuis Profil → Confidentialité → « Participer à l'amélioration de Molleva ». L'effet est immédiat. Le même écran affiche votre identifiant statistique : les événements ne portant aucun identifiant de compte, c'est le seul moyen de nous demander leur suppression.

Test d'affichage du paywall. L'écran Premium existe en deux variantes qui ne diffèrent que par l'ordre d'affichage des deux formules. Aucun prix ne varie d'un utilisateur à l'autre. La variante qui vous a été présentée est enregistrée avec les événements de statistiques, sous le même identifiant anonyme.

Durée de conservation : Les événements analytics individuels sont conservés 13 mois glissants à compter de la date de collecte, conformément à la recommandation CNIL (délibération n° 2020-091 du 17 septembre 2020). Au-delà de 13 mois, les événements sont agrégés en statistiques anonymes (comptages par période, par événement et par plateforme, sans aucun identifiant individuel) puis les lignes brutes sont supprimées. Les statistiques agrégées, qui ne constituent plus des données personnelles, sont conservées sans limitation de durée à des fins d'analyse de l'évolution du service.

La collecte est activée par défaut et peut être désactivée à tout moment depuis Profil → Confidentialité. Molleva considère que cette configuration peut relever de l'exemption de consentement applicable à certains dispositifs de mesure d'audience. Cette analyse est celle de Molleva et ne constitue ni une certification ni une validation par la CNIL.

4.6 Données d'abonnement Premium

Molleva propose un abonnement Premium géré actuellement via Google Play Store pour la version Android disponible. La gestion via Apple App Store s'appliquera si et lorsque la version iOS en préparation sera mise à disposition ; RevenueCat assure la gestion technique de l'abonnement.

Données côté Molleva :

• Statut d'abonnement (gratuit / premium / période de grâce / expiré)
• Plan souscrit (mensuel / annuel)
• Date d'expiration
• Identifiant transmis à RevenueCat : c'est votre identifiant de compte Molleva, et non un identifiant distinct — il permet à RevenueCat de rattacher un achat au bon compte
• Journal d'événements d'abonnement (webhooks : souscription, renouvellement, annulation, remboursement)

Nous ne collectons pas vos données de paiement. Numéros de carte, IBAN et données financières sont exclusivement gérés par la boutique utilisée (Google actuellement, puis Apple si la version iOS est mise à disposition) et RevenueCat.

Transfert vers RevenueCat : RevenueCat Inc. (USA) traite des données liées à votre abonnement en qualité de sous-traitant, couvert par les clauses contractuelles types. Politique : revenuecat.com/privacy.

Base légale : exécution du contrat.

Durée de conservation : durée de vie du compte + 10 ans pour les données de facturation (obligation légale comptable).

4.7 Données stockées localement sur votre appareil

Les données suivantes sont stockées sur votre téléphone dans le Secure Storage natif (Keystore Android aujourd'hui ; Keychain iOS lorsque la version iOS sera disponible), chiffré par le système d'exploitation et accessible uniquement lorsque l'appareil est déverrouillé :

Notifications de relance. Des rappels sont planifiés localement 3 et 7 jours après votre dernière ouverture, pour vous inviter à revenir. Vous ne les configurez pas vous-même ; ils sont désactivables depuis les réglages de notifications de votre téléphone.

Partage d'image des récapitulatifs. Lorsque vous partagez un récapitulatif, l'image est composée sur votre appareil, écrite dans un fichier temporaire, puis remise à la feuille de partage du système. Elle ne transite par aucun serveur, et nous ne savons pas à qui vous la transmettez.

Détection d'appareil compromis. Au lancement, l'application vérifie localement si l'appareil est « rooté » ou « jailbreaké », afin de vous avertir si son stockage sécurisé ne peut plus être considéré comme fiable. Le résultat de cette vérification n'est transmis à personne.

Des fichiers temporaires (export JSON, OCR, partage) peuvent être créés sur votre appareil et sont supprimés automatiquement.

4.8 Rapports de bug et de crash

Données collectées :

• Description du problème (saisie par vous — rapport manuel via Profil → Signaler un problème)
• Trois dernières actions effectuées dans l'application (opt-in — rapport de crash uniquement, vous cochez explicitement la case « Joindre mes dernières actions »)
• Type de rapport (manuel ou automatique)
• Message d'erreur technique (le cas échéant, pour les crashs)
• Horodatage

Ce que nous ne collectons pas dans les rapports : le contenu de vos notes, vos priorités, vos états d'énergie, vos intentions personnelles.

Finalité : amélioration de la stabilité et de la qualité du service, résolution des dysfonctionnements.

Base légale :

• Rapport manuel : exécution du contrat (Art. 6(1)(b) RGPD) — vous utilisez la fonctionnalité de signalement volontairement
• Rapport de crash avec dernières actions : consentement (Art. 6(1)(a) RGPD) — vous cochez explicitement la case d'envoi des actions

Durée de conservation : 12 mois à compter de la résolution du rapport, puis suppression.

Destinataires : équipe interne (backoffice admin — accès restreint).

4.9 Support et récupération de compte

Si vous nous contactez pour récupérer un compte, les informations suivantes sont enregistrées dans une demande de support et transmises par email à notre équipe :

• Adresse email de contact (saisie par vous)
• Ancienne adresse email du compte
• Date approximative de création (saisie par vous)
• Appareil utilisé (décrit par vous — non collecté automatiquement)
• Date approximative de dernière connexion
• Note facultative

Ces informations sont conservées au maximum 30 jours dans notre base pour permettre le traitement, puis supprimées automatiquement. Les copies éventuelles présentes dans les boîtes email du support suivent la politique de conservation de notre prestataire et de notre équipe support.

Base légale : exécution du contrat / intérêt légitime (service client).

Les tickets de support ordinaires (message, détails et pièce jointe facultative) sont conservés pendant leur traitement. Si vous joignez une image au support, elle est transmise à notre équipe support avec le ticket ; cette transmission ne concerne pas l'import OCR, qui reste traité sur l'appareil. Après résolution, les tickets et leurs pièces jointes sont supprimés au plus tard après 12 mois ; les tickets encore ouverts ne sont pas purgés tant qu'ils restent nécessaires au traitement.

5. Permissions mobiles demandées

Permissions non demandées : localisation GPS, contacts, carnet d'adresses, données de santé, Bluetooth, NFC, stockage externe large.

6. Transferts hors Union européenne

Le mécanisme n'est pas le même pour tous. Un sous-traitant établi dans l'Union (Mistral AI, Brevo) ne donne lieu à aucun transfert international à son niveau : le RGPD s'y applique directement. Pour les sous-traitants établis hors Union (Railway Corporation, RevenueCat), le transfert est encadré par les clauses contractuelles types de la Commission européenne.

Précision sur l'hébergement Railway : au moment de la vérification de prépublication, la base PostgreSQL de production est hébergée dans la région US East de Railway. Railway Corporation étant une société établie aux États-Unis, un contrat de sous-traitance incluant les clauses contractuelles types encadre ce traitement, conformément aux articles 28 et 46 du RGPD.

Précision sur Mistral AI : la société est française, donc directement soumise au RGPD. Cela ne préjuge pas de la localisation de ses propres sous-traitants, que Mistral AI publie sur trust.mistral.ai/subprocessors.

7. Sous-traitants et destinataires

Vos données ne sont ni vendues ni partagées à des fins commerciales.

Destinataires :

1. Notre équipe interne — seules les personnes habilitées y ont accès selon leurs attributions spécifiques
2. L'administration technique de Molleva (backoffice). Par honnêteté, voici ce que cet outil permet réellement de voir : la liste des comptes avec leur adresse email, une recherche par adresse email, la fiche individuelle d'un compte, le texte des rapports de problème envoyés, et les événements d'abonnement rattachés à l'adresse email. Il ne donne pas accès au contenu de vos notes. L'accès repose sur une clé d'API partagée, détenue par l'éditeur.
3. Nos sous-traitants techniques (listés ci-dessus, pour les services qu'ils fournissent uniquement)
4. Les autorités judiciaires ou administratives compétentes (sur réquisition légale)

Vos données ne sont ni vendues ni partagées à des fins commerciales ou publicitaires, que ce soit à des tiers ou au sein de notre groupe.

8. Sécurité

Mesures techniques et organisationnelles en place :

• Chiffrement en transit : HTTPS obligatoire, aucune connexion en clair en production
• Chiffrement au repos : tokens hashés côté serveur (HMAC avec clé secrète), données mobiles dans le Secure Storage natif (WHEN_UNLOCKED_THIS_DEVICE_ONLY)
• Durée de vie courte des tokens : access token 15 min, refresh token 30 jours, session absolue 90 jours
• Rate limiting : toutes les routes d'authentification sont protégées par des limites de fréquence (par IP et par email)
• OTP sécurisé : code à 6 chiffres, expiration en 5 minutes, maximum 3 tentatives, délai minimum de réponse pour prévenir les attaques par timing
• Détection de réutilisation de token : la réutilisation d'un refresh token déjà rotaté entraîne la révocation de toutes les sessions. Une brève fenêtre de tolérance, de 60 secondes par défaut, suit chaque rotation : elle absorbe les rejeux dus à une coupure réseau ou à deux requêtes simultanées, qui ne sont pas des attaques. Passé ce délai, la révocation est immédiate
• Redaction des logs : emails, tokens, contenus utilisateurs sont masqués dans tous les journaux système
• Vérification d'ownership : chaque ressource est vérifiée côté serveur ; le user_id provient du token, jamais du client
• Pas de session replay

9. Vos droits

Conformément au RGPD (Articles 15 à 22) et à la loi Informatique et Libertés :

Délai de réponse : 1 mois (extensible à 3 mois pour les demandes complexes, avec information préalable).

Réclamation auprès de la CNIL : www.cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Garantie légale de conformité

Indépendamment de vos droits sur vos données personnelles, Molleva étant un service numérique, vous bénéficiez de la garantie légale de conformité des articles L224-25-12 et suivants du code de la consommation. Ses modalités figurent à l'article 12 des Conditions Générales de Vente.

10. Fonctions d'accès et de suppression dans l'application

Export de vos données (Portabilité)

Depuis Profil → Exporter mes données, vous téléchargez un fichier JSON contenant : informations de compte, profil, notes/captures, priorités du jour, check-ins, micro-victoires, ancrages quotidiens, intentions de soutien, habitudes récurrentes.

Suppression de compte (Droit à l'effacement)

Depuis Profil → Supprimer mon compte :

• Toutes vos données sont supprimées côté serveur sous 7 jours
• Toutes les sessions sont révoquées immédiatement
• Toutes les données locales sont effacées (tokens, préférences, rappels, fichiers temporaires, notifications planifiées)
• Les sauvegardes sont éteintes sous 30 jours
• Une authentification récente est requise pour cette action (sécurité)

11. Mineurs

Molleva n'est pas destinée aux personnes de moins de 15 ans (âge minimum requis par le droit français pour le consentement numérique — article 45 de la loi n° 78-17 du 6 janvier 1978 modifiée). En dessous de 15 ans, le consentement est donné conjointement par le mineur et par le titulaire de l'autorité parentale. Si nous apprenons qu'un mineur de moins de 15 ans a créé un compte sans consentement parental valide, nous supprimerons ce compte.

12. Modifications

Toute modification substantielle vous sera notifiée dans l'application avant son entrée en vigueur. La version en vigueur est toujours accessible dans l'application (Profil → Mentions légales).

13. Contact

Email : privacy@molleva.app

Courrier : l’équipe Molleva — Service Protection des Données — 8 bis rue Abel, 75012 Paris