Politique de confidentialité

Cette page explique quelles données Subly collecte, pourquoi, et comment les exercer conformément au Règlement Général sur la Protection des Données (RGPD). Responsable du traitement : contact@getsubly.fr (voir mentions légales).

Données collectées

Compte : adresse email et mot de passe (géré par Supabase Auth, jamais stocké en clair, jamais accessible à Subly).
Abonnement et facturation : statut d'abonnement, historique de paiement. Les coordonnées bancaires sont saisies et conservées directement par Stripe, Subly n'y a jamais accès.
Contenu traduit : les répliques de sous-titres envoyées à l'API DeepSeek pour traduction, et les mots que vous cliquez pour obtenir une explication. Les traductions obtenues sont conservées dans un cache technique partagé et anonyme, sans durée d'expiration : ce cache n'est jamais associé à votre compte ni à aucun autre identifiant permettant de savoir qui a demandé quelle traduction : il sert uniquement à éviter de retraduire un texte déjà vu (par vous ou par un autre utilisateur), ce qui réduit le volume de données envoyées à DeepSeek pour tout le monde. N'étant rattaché à aucune personne identifiable, ce cache ne constitue pas une donnée personnelle au sens du RGPD.
Vocabulaire sauvegardé : les mots que vous choisissez explicitement d'enregistrer pour révision, associés à votre compte.
Usage : volume de requêtes de traduction par compte, à des fins de quota mensuel.
Empreinte de carte bancaire : pour empêcher qu'une même carte serve à obtenir plusieurs essais gratuits, nous conservons l'empreinte technique de la carte fournie par Stripe (un identifiant irréversible, jamais le numéro de la carte). Elle est associée à votre compte pendant sa durée de vie, puis dissociée de toute identité à la suppression du compte, sur la base de notre intérêt légitime de prévention de la fraude.
Consentement : la date et le contexte (quiz, page tarification ou formulaire d'inscription) dans lesquels vous acceptez les CGU/CGV et la politique de confidentialité, conservés avec votre paiement ou votre compte comme preuve de cette acceptation.

La session de connexion est conservée dans des cookies sécurisés (httpOnly, inaccessibles au JavaScript du site), strictement nécessaires au fonctionnement du compte : ils ne sont pas soumis à un bandeau de consentement. Au retour d'un paiement, un identifiant de paiement temporaire est gardé dans la mémoire de votre onglet (sessionStorage) jusqu'à la création de votre compte, puis effacé.

Cookies publicitaires (Pixel Meta)

Si vous acceptez le bandeau de consentement affiché à votre première visite, le site charge le Pixel Meta (Facebook/Instagram), un outil de mesure publicitaire édité par Meta Platforms Ireland Limited. Il dépose un cookie (_fbp) et transmet à Meta les pages consultées (accueil, tarification, quiz) et les grandes étapes de votre parcours (fin du quiz avec vos réponses : langue, niveau, objectifs, difficultés, durée et moment choisis, nombre de jours d'engagement ; affichage des formules, début de paiement, création de compte, abonnement), sans jamais transmettre votre email, mot de passe ou moyen de paiement. Cette donnée sert uniquement à mesurer et optimiser nos campagnes publicitaires sur Facebook/Instagram.

Vous pouvez refuser ce suivi à tout moment en cliquant sur "Refuser" dans le bandeau, ou en effaçant les cookies de votre navigateur pour faire réapparaître le choix. Ce cookie n'est jamais déposé avant votre consentement explicite.

Sous-traitants et transferts hors Union européenne

Supabase (authentification, base de données) : société basée à Singapour, avec infrastructure pouvant être hébergée hors UE selon la région choisie pour le projet.
Stripe (paiement) : Stripe Payments Europe, Ltd. (Irlande), conforme RGPD.
Meta Platforms Ireland Limited (mesure publicitaire, Pixel Meta) : uniquement si vous avez accepté le bandeau de consentement cookies, voir "Cookies publicitaires" ci-dessus.
Vercel (hébergement du site) et Railway (hébergement du backend) : sociétés américaines, données transitant par leurs infrastructures dans le cadre de clauses contractuelles types compatibles RGPD. L'adresse IP de connexion est lue par le backend uniquement pour limiter le nombre de requêtes par utilisateur (anti-abus) ; elle n'est jamais stockée ni associée à un compte.
DeepSeek (traduction et explication de mots) : société chinoise. Les répliques de sous-titres et les mots cliqués transitent par son API pour être traités. Il s'agit d'un transfert de données hors Union européenne, vers un pays sans décision d'adéquation de la Commission européenne ; nous limitons ce transfert au strict contenu nécessaire à la traduction (texte des sous-titres, mot cliqué), sans donnée d'identification associée dans la requête elle-même. Ce transfert repose sur votre consentement explicite, recueilli lors de la création de votre compte (art. 49.1.a du RGPD), voir les CGU/CGV.

Base légale et finalité

Exécution du contrat (fourniture du service de traduction et de gestion de compte) pour les données de compte, d'abonnement et de vocabulaire ; intérêt légitime pour le suivi d'usage nécessaire à l'application des quotas et pour la prévention de la fraude à l'essai gratuit ; consentement explicite pour le transfert du contenu traduit vers DeepSeek (voir ci-dessus), révocable à tout moment en supprimant votre compte.

Durée de conservation

Les données de compte, d'abonnement et de vocabulaire sont conservées tant que le compte est actif. Le cache de traductions est partagé et anonyme (voir "Données collectées" ci-dessus) : il n'est pas rattaché à votre compte et n'est donc pas supprimé avec celui-ci. Vous pouvez supprimer votre compte à tout moment depuis l'espace "Mon compte" (onglet "Mon compte" → "Supprimer mon compte") : votre compte Supabase, votre abonnement Stripe et votre vocabulaire sauvegardé sont alors effacés, sous réserve des obligations légales de conservation (facturation notamment). L'empreinte de carte utilisée pour l'essai gratuit est conservée sans lien avec votre identité, uniquement pour la prévention de la fraude.

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et de portabilité de vos données, ainsi que d'un droit d'opposition. Pour les exercer, écrivez à contact@getsubly.fr. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

Sécurité

Les mots de passe sont gérés par Supabase Auth (hachage, jamais stockés en clair par Subly). Les échanges avec le backend Subly et les sous-traitants (Supabase, Stripe, DeepSeek) sont chiffrés en transit (HTTPS).

Modifications

Cette politique peut évoluer avec le produit (nouveaux sous-traitants, nouvelles fonctionnalités). La date de dernière mise à jour figure ci-dessous.

Dernière mise à jour : 20 septembre 2026.