API astrologique GDPR prêt pour les développeurs de l'UE

La première API astrologique avec une résidence complète dans l’UE. Si tu développes un produit B2C pour le marché européen, la question de la conformité au GDPR se pose avant même que tu n’écrives la première ligne de code. AstroWay résout ce problème par défaut, sans frais supplémentaires ni acrobaties juridiques.

Pourquoi c’est important

Les autres API astrologiques (DivineAPI, AstrologyAPI, Prokerala) sont hébergées aux États-Unis / en Inde. Cela signifie :

Tes birth.date, birth.time, birth.lat, birth.lon (= Données Personnelles Identifiables au sens du GDPR) transitent par les États-Unis/l’Inde.
Divulgation des sous-traitants pour ta politique de confidentialité : tu dois énumérer leur juridiction.
DPA (Data Processing Agreement) : soit non disponible, soit uniquement pour les offres Enterprise via un contrat séparé.
Risque d’audit par l’Autorité de protection des données de l’UE : transfert transfrontalier sans SCC = amendes de 10M€ et plus.

AstroWay, avec son forfait Pro (59 $/mois), t’offre la résidence dans l’UE par défaut : toutes les données sont stockées et calculées chez Hetzner Nuremberg. Nous administrons ces machines depuis l’Ukraine, et le DPA couvre cet accès par des Clauses Contractuelles Types, au lieu de faire comme si cela n’existait pas.

Stack technique

Couche	Localisation / fournisseur
Calcul	Hetzner, Nuremberg (Allemagne)
Base de données	Résidente dans l’UE, dans le même centre de données - les données ne quittent pas Nuremberg
CDN / DNS	Cloudflare avec règles de cache pour la région UE (les requêtes depuis l’UE sont servies par des points d’accès UE)
Emails transactionnels	Brevo (anciennement Sendinblue), basé dans l’UE, SMTP conforme au GDPR
Fichiers de rapports	Notre infrastructure à Nuremberg : accès uniquement via un lien signé avec une durée limitée, sans réplication en dehors de l’UE
Analyse	GA4 avec anonymizeIp + aucune donnée personnelle dans les événements (Plausible auto-hébergé sur la feuille de route)
Logs	JSON structuré, hachage IP uniquement (pas d’IP brutes), rétention de 30 jours

Par défaut (pour toutes les clés Pro+)

✅ Flux de données uniquement au sein de l’UE : les données de naissance ne quittent jamais Nuremberg
✅ Les données restent dans l’UE, et nous expliquons précisément ce que cela signifie : les données de naissance sont stockées et calculées à Nuremberg et ne sont copiées nulle part ailleurs. Nous administrons ces systèmes depuis l’Ukraine, et le chapitre V du GDPR considère le transfert et l’accès à distance comme une transmission, même si rien ne quitte le territoire, c’est pourquoi le DPA couvre cet accès par des Clauses Contractuelles Types.
✅ Hachage IP : seuls un hachage SHA-256 salé et les 16 premiers bits de l’adresse sont stockés dans les logs, ce qui permet de voir le réseau mais pas le nœud. Nous ne stockons l’adresse elle-même nulle part : la limitation de la fréquence des requêtes est calculée en mémoire du processus et l’adresse n’est pas non plus écrite.
✅ Rétention des logs de 30 jours : après cette période, les logs sont automatiquement supprimés.
⚠️ Analyse anonymisée (GA4) : anonymize_ip + aucune donnée personnelle dans les événements. Plausible auto-hébergé (sans cookies) est sur la feuille de route. Avant la migration, nous recommandons ta propre bannière de cookies sur le frontend B2C.
✅ Droit à l’effacement : DELETE /v1/me/account (Bearer JWT, corps {"confirmation": "DELETE"}) désactive instantanément toutes les clés du compte et programme la suppression pour 30 jours. Pendant cette période, la requête peut être annulée via POST /v1/me/account/cancel-deletion, après quoi une tâche quotidienne efface nos données te concernant. Cette fenêtre est intentionnelle : la suppression ne doit pas être irréversible à cause d’une seule commande erronée.

Sur demande (abonnés Pro+)

📄 DPA (Data Processing Agreement) : modèle standard du GDPR Art. 28. Tu lis le texte intégral, tu l’acceptes via un bouton dans le tableau de bord, et tu récupères immédiatement un PDF contenant l’enregistrement de l’acceptation : compte, version, date. L’article 28, paragraphe 9, accepte le contrat ” sous forme écrite, y compris électronique ”, il n’est donc pas nécessaire d’attendre une signature. Une copie papier signée est disponible sur demande à legal@astroway.info.
📋 Liste des sous-traitants : liste complète (Hetzner, Cloudflare, notre fournisseur SMTP et notre fournisseur de paiement) avec les documents de conformité de chacun. Brevo, en tant que fournisseur SMTP, est mentionné dans l’annexe du DPA pour les clients qui l’ont signé.
🗂️ Contribution au DPIA (Data Protection Impact Assessment) : si ton équipe juridique réalise un DPIA pour ton produit, nous fournissons une note technique de notre part.

Pour les clients Enterprise (forfait individuel)

🛡️ SOC 2 Type II : sur la feuille de route (cabinet d’audit non défini, ETA à déterminer). Si cela bloque ton intégration, écris à legal@astroway.info, nous sommes prêts à envisager une collaboration d’audit séparée.
🇪🇺 Entité juridique au sein de l’UE : la forme juridique actuelle est un entrepreneur individuel ukrainien (Maxim Burkhan). Si ton service des achats exige une GmbH de l’UE (Allemagne / Estonie), nous en discutons au cas par cas via legal@astroway.info, le processus prend 4 à 8 semaines.
🔐 Infrastructure dédiée sur demande : serveur séparé à Nuremberg et base de données isolée
📞 Canal direct de sécurité : security@astroway.info pour la réponse aux incidents

Comparaison : AstroWay vs. concurrents hébergés aux États-Unis

Critique pour un développeur de l’UE	AstroWay Pro 59 $	DivineAPI	AstrologyAPI	Prokerala
Calcul dans l’UE	✅ Hetzner Nuremberg	❌ États-Unis	❌ États-Unis	❌ Inde
DPA standard disponible	✅ sur Pro+	❌ uniquement Enterprise	❌ uniquement Enterprise	❌ uniquement Enterprise
Conformité GDPR par défaut	✅ au niveau de l’infrastructure	⚠️ via SCC	⚠️ via SCC	⚠️ via SCC
Analyse sans cookies	⚠️ GA4 anonymisé (Plausible sur la feuille de route)	❌ GA4	❌ GA4	❌ GA4
Garantie de flux de données uniquement dans l’UE	✅ par écrit	❌	❌	❌
Contribution technique au DPIA	✅ fournie	❌	❌	❌
Endpoint du droit à l’effacement	✅ `DELETE /v1/me/account`	❌ via ticket	❌ via ticket	❌ via ticket

Prix

Résidence dans l’UE, DPA, GDPR au niveau de l’infrastructure - tout est inclus dans le forfait Pro à 59 $/mois. Pas de forfait séparé, pas de contact avec les ventes, pas de tarification individuelle.

C’est une stratégie délibérée : l’hébergement chez Hetzner ne nous coûte rien de plus (notre infrastructure est déjà à Nuremberg), et le DPA est un modèle standard qui est signé une fois par e-mail. Il n’est pas nécessaire de payer pour la confidentialité ce qui devrait être par défaut.

FAQ

Oui, le forfait Free utilise la même infrastructure (Hetzner Nuremberg), la même analyse anonymisée et la même rétention des logs de 30 jours. Le DPA n’est pas disponible avec le forfait Free (c’est une surcharge administrative qui n’est amortie qu’au niveau payant), mais techniquement, les données sont traitées de la même manière.

Si ton avocat exige un DPA signé, le forfait Indie (5 $/mois) ne le fournit pas non plus. L’option la moins chère avec un DPA = Pro 59 $.

Qu’en est-il de l’arrêt Schrems II de la CJUE ? Votre CDN Cloudflare est-il une entreprise américaine ?

Cloudflare est une entreprise américaine, mais nous utilisons des règles de cache pour la région UE (une requête provenant d’une IP de l’UE est servie par un point d’accès de l’UE), et le serveur d’origine (où les données sont réellement traitées) est Hetzner Nuremberg. Les PII (données de naissance) transitent par le point d’accès Cloudflare dans la même région et ne sont pas stockées sur le point d’accès, seulement en transit.

Pour les scénarios d’utilisation critiques et sensibles (applications médicales, B2G), il est possible de contourner Cloudflare via le routage DNS vers l’origine - écris à legal@astroway.info.

Combien de temps faut-il pour obtenir le DPA après l’abonnement à Pro ?

DPA standard (notre modèle) : immédiatement. Le texte est disponible sur /legal/dpa/, il est accepté dans le tableau de bord, et le PDF est téléchargé au même endroit et contient l’enregistrement de l’acceptation.
Modifications individuelles de ton avocat : nous les examinons, mais nous ne pouvons pas garantir de délai, car nous n’avons pas d’avocat en interne. Nous ne négocions pas les clauses standard de l’Art. 28 : elles sont tirées du modèle de la Commission européenne précisément pour ne pas être discutées.

Dois-je signer un DPA si je suis un développeur B2B sans mes propres PII ?

Si ton produit final traite des PII (et les données de naissance sont des PII), alors oui, ton avocat te demandera très probablement un DPA signé avec tous les sous-traitants. Nous le fournissons en standard. Si ton intégration est interne (uniquement pour les employés), le DPA n’est probablement pas critique, mais il est tout de même préférable de le signer.

Que fait AstroWay si j’effectue un `DELETE /v1/me/account` ?

Clés API : suppression douce (délai de grâce anti-abus)
Lien compte-clé : rompu ; la clé ne peut pas être réaffectée
Profil utilisateur : marqué comme supprimé avec un horodatage
Logs d’utilisation : le hachage IP n’est plus une PII, il est conservé pour l’audit de facturation
Historique des commandes : conservé, car la législation fiscale l’exige. Pour les entrepreneurs individuels, c’est 1095 jours selon l’art. 44.3 du Code fiscal, soit trois ans et non sept : l’Art. 17 §3(b) du GDPR exclut expressément de tels enregistrements du droit à l’effacement.
Emails transactionnels : supprimés automatiquement par notre fournisseur SMTP après 90 jours

Le flux complet est disponible sur demande via legal@astroway.info.

Contacts

Juridique/DPA : legal@astroway.info
Incidents de sécurité : security@astroway.info
Liste des sous-traitants / DPIA : hello@astroway.info

Utile?

Proposer une modification

Dernière mise à jour : 29 sept. 2026

// Précédent

Coût par endpoint

Suivant //

Founders' Lifetime Deal