Privacy Policy v1.4

Dernière mise à jour : 12 octobre 2026

1. Qui nous sommes

AstroWay API - service de calculs astrologiques, accessible à l’adresse api.astroway.info. La juridiction de l’opérateur est l’Ukraine. Pour les demandes GDPR/DPA et autres questions de confidentialité, écris à api@astroway.info avec le sujet ” GDPR ” ou ” DPA “.

2. Quelles données nous collectons

2.1 Données du compte

• Adresse e‑mail (pour l’inscription et la communication).
• Mot de passe haché.
• Plan tarifaire choisi.

2.2 Données des requêtes API

• Les paramètres des requêtes (date, heure, coordonnées) sont traités en mémoire et ne sont pas enregistrés dans le journal des requêtes. Pour le calcul des crédits, nous ne conservons que les compteurs journaliers : clé, endpoint, jour, nombre de requêtes et crédits.
• Nous NE stockons PAS les noms, villes ou toute donnée identifiante des utilisateurs finaux de ton application. Ces champs sont optionnels et ne sont traités qu’en mémoire.

2.3 Points de terminaison IA (audit log)

• Pour /interpret/* et /horoscope/* : les paramètres d’entrée (date, coordonnées) et le texte généré sont conservés pendant 90 jours pour l’audit trail et la qualité du service.
• Les adresses IP sont stockées sous forme de hash SHA‑256 (irréversible) : pour le rate limiting et l’anti‑abuse.

2.4 Données techniques

• Adresse IP (SHA‑256 avec sel et les 16 premiers bits), User-Agent, origin, localisation brute par IP (pays, ville, réseau), heure de la requête : journal des requêtes, rotation 30 jours.

3. Comment nous utilisons les données

• Fourniture du service : exécution des calculs, comptage des crédits, rate limiting.
• Qualité du contenu IA : analyse de l’audit log pour améliorer les system prompts et les safety filters.
• Communication : notifications des changements du service, incidents SLA, mise à jour des conditions.
• Anti‑abuse : détection des abus du free‑tier et des attaques.

Nous NE :

• Nous ne vendons pas tes données à des tiers.
• Nous n’utilisons pas les données pour de la publicité ciblée.
• Nous ne transmettons pas les données de calcul à d’autres utilisateurs.

4. Stockage et protection

• Les données sont stockées sur un serveur dédié en Europe (Allemagne, Hetzner).
• Connexion à l’API : uniquement via HTTPS, HTTP est redirigé.
• Les mots de passe sont hachés avec bcrypt.
• Les adresses IP sont stockées sous forme de hash SHA‑256 avec sel.
• Accès à la base de données : uniquement via localhost (non exposé à l’extérieur).

5. Conservation des données (rétention)

Type de données	Durée de conservation
Compte	Jusqu’à la suppression du compte
Compteurs journaliers d’utilisation (clé, endpoint, nombre, crédits)	365 jours
AI audit log	90 jours
Journal des requêtes (sans paramètres)	30 jours

6. Vos droits (GDPR)

En tant que sujet des données, tu as le droit :

• Accès : demander une copie de toutes tes données via le Dashboard ou par e‑mail.
• Suppression : supprimer le compte et toutes les données associées via le Dashboard ou par e‑mail.
• Correction : mettre à jour l’e‑mail ou le profil via le Dashboard.
• Portabilité : exporter les données au format JSON.
• Opposition : refuser le traitement des données à des fins marketing (nous ne faisons pas de marketing de toute façon).

Pour exercer ces droits, contacte : api@astroway.info. Réponse sous 30 jours.

7. Cookies

L’API AstroWay n’utilise pas de cookies. Le Dashboard utilise :

• Session token (localStorage) : pour l’authentification. Supprimé lors de la déconnexion.

8. Tiers

• Fournisseurs d’IA : les LLM de premier rang du marché (Google Gemini, Groq, OpenRouter, Mistral et autres) sont routés via notre passerelle IA privée avec basculement multi‑fournisseur. Ils ne reçoivent que la carte calculée (signes, maisons, aspects). La date, l’heure, les coordonnées, le nom ou le lieu de naissance de ta requête ne leur sont pas transmis. Chaque fournisseur a sa propre politique de confidentialité.
• Cloudflare : CDN et protection DDoS. Traite les requêtes HTTP avant la routage vers notre serveur. Edge EU/global.
• Hetzner : hébergement VPS au sein de l’UE.
• Fournisseur SMTP (Brevo pour les e‑mails transactionnels) : livraison des e‑mails de service – confirmation, réinitialisation de mot de passe, notification d’utilisation.
• Fournisseurs de paiement : Monobank (AT “Universal Bank”, Ukraine), depuis octobre 2026 également LiqPay (AT KB “PrivatBank”, Ukraine). Ils reçoivent les données de paiement du propriétaire du compte. Ils ne voient jamais les données de naissance : ils n’ont aucun lien avec l’API.

La liste des sous‑processeurs dans le DPA est volontairement plus courte que cet énuméré : elle ne comprend que Hetzner et Cloudflare, c’est‑à‑dire ceux qui transmettent les données de tes requêtes API. Les fournisseurs de paiement et de messagerie traitent les données de ton compte, où le responsable du traitement est nous, pas toi, donc ils figurent ici et non dans le contrat de traitement.

8.1. Accès depuis l’Ukraine

Les données sont stockées et calculées en Allemagne, mais nous administrons ces systèmes depuis l’Ukraine. L’article V du GDPR considère cela comme un transfert vers un pays tiers et un accès à distance, même si aucune donnée n’est copiée hors de l’UE, et la Commission européenne n’a pas encore adopté de décision d’adéquation pour l’Ukraine. Ainsi nous ne parlons pas de ” aucun transfert transfrontalier ” : l’accès existe, il est limité à l’opérateur, il se fait via SSH avec clé, et à la demande du client nous signons les Clauses contractuelles types de la Commission européenne.

9. Modifications

Les modifications substantielles de cette politique seront communiquées par e‑mail 30 jours à l’avance.

10. Contact

Questions de confidentialité : api@astroway.info