Annexe B — Politique de Confidentialité

1.1 Engagement

La protection de tes données personnelles est une priorité de My Muqabala. La présente Politique de Confidentialité a pour objet de t'informer, de manière claire, renseigne et transparente, sur la collecte et le traitement de tes données dans le cadre des Services My Muqabala, conformément :

• Au Règlement Général sur la Protection des Données — Règlement UE 2016/679 du 27 avril 2016 (« RGPD ») ;
• À la Loi Informatique et Libertés — loi n° 78-17 du 6 janvier 1978 modifiée (« LIL ») ;
• Aux lignes directrices et recommandations de la CNIL.

1.2 Responsable de traitement

Le responsable du traitement de tes données est :

1.3 Délégué à la Protection des Données (DPO)

Chouikha Fatima exerce elle-même la fonction de Délégué à la Protection des Données (DPO).

Cadre légal de cette auto-désignation : conformément à l'article 37 du RGPD, la désignation formelle d'un DPO indépendant n'est obligatoire que pour :

• Les autorités publiques ou organismes publics (sauf juridictions) ;
• Les organismes dont les activités de base consistent en un suivi régulier et systématique à grande échelle de personnes ;
• Les organismes dont les activités de base consistent en un traitement à grande échelle de données sensibles (catégories particulières au sens de l'article 9 RGPD) ou de données relatives à des condamnations pénales.

À l'échelle actuelle de My Muqabala, et sous réserve de revue périodique de ces critères au regard de l'évolution de l'activité, l'auto-exercice de la fonction DPO par le responsable de traitement est juridiquement valide, sous condition de garantir l'absence de conflit d'intérêts dans l'exercice des missions de protection des données (article 38.6 RGPD).

Engagement : si l'évolution de notre activité venait à déclencher l'obligation formelle de désigner un DPO indépendant, nous procéderons à cette désignation et mettrons à jour la présente Politique en conséquence.

Pour exercer tes droits ou poser toute question relative à tes données : dpo@mymuqabala.fr.

1.4 Autorité de contrôle

L'autorité de contrôle compétente pour la France est la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• www.cnil.fr

Tu disposes du droit d'introduire une réclamation auprès de la CNIL si tu estimes que le traitement de tes données viole le RGPD (article 77 RGPD).

4.1 Données d'identification

• Prénom, nom (déclarés)
• Date de naissance (déclarée)
• Sexe (binaire homme/femme dans l'architecture actuelle, cohérent avec le périmètre matrimonial halal)
• Email, téléphone
• Photos (floue + nette, dans le cadre du Photo Reveal)
• Pièce d'identité : uniquement si tu choisis le statut « Profil vérifié » (voir Annexe A §5.3). La pièce d'identité est traitée par un Coach humain pour vérification, stockée chiffrée le temps du traitement, puis supprimée dans un délai de 30 jours après vérification (seul le statut « vérifié » est conservé en base, jamais la pièce elle-même).

4.2 Données de profil matrimonial (Pack Mariage)

• Réponses au Questionnaire de matching (= Annexe contractuelle « Qualités de la personne recherchée » au sens de L224-90 in fine) ;
• Préférences matrimoniales, attentes, projet de vie ;
• Coordonnées du Wali si tu choisis d'en désigner un (voir §4.4 ci-dessous pour le traitement spécifique des données du wali).

4.3 Données de profil coaching et exploratoire

• Scores ECR-R (Experience in Close Relationships — Revised) : mesures d'attachement (anxiety / avoidance) ;
• Cartographie émotionnelle : analyse personnalisée issue de tes réponses ;
• Réponses aux mini-challenges ;
• Échanges avec le coach ou le praticien Exploratoire ;
• Notes prises par le coach lors des sessions.

4.4 Données concernant le wali (Pack Mariage, si applicable)

Si tu communiques les coordonnées de ton wali à ton Coach matrimonial (voir Annexe C §5.2.A), nous traitons :

• Nom et prénom du wali ;
• Email du wali ;
• Téléphone du wali (optionnel).

Information du wali (article 14 RGPD) : un email automatique d'information est envoyé au wali dès la transmission de ses coordonnées par toi à ton Coach. Cet email lui explique :

• Pourquoi ses données sont traitées (accompagnement matrimonial halal de sa pupille) ;
• Quelles données sont concernées ;
• Sur quelle base légale (intérêt légitime + ton consentement) ;
• Combien de temps elles sont conservées ;
• Comment exercer ses droits (accès, rectification, opposition, effacement).

Le wali a le droit de s'opposer au traitement de ses données. Dans ce cas, le coach gère l'accompagnement par d'autres voies.

4.5 Données techniques

• Adresse IP (hashée à la collecte, jamais stockée en clair par notre application) ;
• Identifiants techniques (user_id, device fingerprint) ;
• Tokens de notification push (FCM device token) ;
• Logs d'authentification, logs d'audit ;
• Logs d'erreur (anonymisés via Sentry).

4.6 Données d'usage

• Parcours dans l'application ;
• Statistiques d'utilisation (fréquence de connexion, durées) ;
• Préférences d'affichage et de notification ;
• Historique de matching (Pack Mariage), historique de progression (Pack Introspection).

4.7 Données de paiement

Aucune donnée bancaire (numéro de carte, CVV, etc.) n'est stockée sur les serveurs de My Muqabala. Les paiements transitent intégralement par notre prestataire Stripe Payments Europe Ltd (Ireland), conforme PCI-DSS niveau 1. Nous conservons uniquement les références transactionnelles (numéro de facture, montant, statut) nécessaires à la gestion comptable.

5.1 Données concernant les convictions religieuses (article 9.1 RGPD)

La pratique religieuse halal déclarée constitue une donnée relative aux convictions religieuses. Elle est essentielle au pilier matrimonial.

• Base légale : consentement explicite au sens de l'article 9.2.a RGPD, donné par l'acceptation distincte de la Charte Halal (Annexe C) à l'onboarding du Pack Mariage.
• Tu peux retirer ce consentement à tout moment via dpo@mymuqabala.fr. Le retrait entraîne la résiliation de la prestation matrimoniale (mais n'affecte pas la validité des traitements antérieurs au retrait, conformément à l'article 7.3 RGPD).

5.2 Données concernant la vie sexuelle ou l'orientation sexuelle (article 9.1 RGPD)

Par construction, le pilier matrimonial halal de My Muqabala vise des unions hétérosexuelles. Le sexe déclaré et le sexe recherché permettent donc de déduire l'orientation sexuelle au sens de l'article 9.1 RGPD.

• Base légale : consentement explicite au sens de l'article 9.2.a RGPD, donné par l'acceptation distincte de la Charte Halal qui rappelle ce périmètre.
• Cette donnée n'est jamais transmise à des tiers à des fins de profilage publicitaire ou de partage avec des régies.

5.3 Données psychologiques et de bien-être mental

Les scores ECR-R, la cartographie émotionnelle et les réponses aux questionnaires d'introspection peuvent révéler un état psychologique ou émotionnel particulier. Par mesure de prudence et par souci de protection maximale, nous les traitons comme des données de catégorie particulière au sens de l'article 9 RGPD.

• Base légale : consentement explicite au sens de l'article 9.2.a RGPD, donné par l'acceptation distincte de la Politique de Confidentialité.
• Précision importante : ces données ne sont pas des données médicales au sens strict. My Muqabala n'est pas un acteur de santé, et ses praticiens Exploratoire ne sont pas des professionnels de santé (sauf mention contraire dans leur profil). La cartographie émotionnelle est un outil d'auto-évaluation à visée introspective, pas un diagnostic médical.

5.4 Trois consentements distincts, horodatés et versionnés

L'onboarding requiert trois consentements séparés (conformément à la jurisprudence CNIL Meetic / Attractive World, décembre 2016, qui sanctionne les consentements groupés) :

Chaque consentement est :

• Acté par une case à cocher distincte (pas de case unique groupée) ;
• Horodaté (timestamp précis) ;
• Versionné (lié à un hash SHA-256 du contenu exact du document accepté) ;
• Conservé dans une table user_consents immutable (append-only, pas de DELETE rétroactif).

9.1 Liste des sous-traitants

9.2 Transferts hors Union européenne

Pour l'essentiel des traitements, tes données restent dans l'Union européenne (Supabase, Stripe, Stream Chat, LiveKit, Sentry, Vercel — tous configurés en région EU).

Trois prestataires impliquent un transfert vers les États-Unis : Firebase (Google), SendGrid (Twilio) et, le cas échéant, OpenAI/Anthropic et Meta CAPI. Ces transferts sont encadrés conformément :

• À la jurisprudence Schrems II de la CJUE (arrêt du 16 juillet 2020, affaire C-311/18, qui a invalidé le Privacy Shield mais validé les SCC sous conditions) ;
• Aux Clauses Contractuelles Types (SCC) adoptées par la Commission européenne le 4 juin 2021 (décision 2021/914) ;
• À l'EU-US Data Privacy Framework (DPF) issu de la décision d'adéquation de la Commission UE du 10 juillet 2023, auquel les sous-traitants Google, Twilio, Meta et OpenAI/Anthropic ont adhéré (vérifications à jour publiées sur https://www.dataprivacyframework.gov) ;
• À une analyse d'impact des transferts (Transfer Impact Assessment — TIA) conduite par My Muqabala, tenue à disposition de la CNIL.

9.3 DPA (Data Processing Agreements)

Des accords de traitement de données (DPA) sont conclus avec chacun de nos sous-traitants, conformément à l'article 28 RGPD. Ces DPA sont tenus à disposition de la CNIL.

9.4 Engagement zéro publicité

10.1 Mesures de sécurité (article 32 RGPD)

10.1.1 Mesures techniques

• Chiffrement des transports : TLS 1.3 systématique entre l'application et nos serveurs.
• Chiffrement de l'infrastructure de stockage : AES-256 au niveau infra par notre prestataire Supabase (chiffrement du disque, pas chaque colonne en clair côté applicatif — précision honnête).
• Mots de passe : stockage hashé via bcrypt (politique 10 caractères minimum + renseigne
• Tokens de reset password : code 6 chiffres TTL 60 minutes, à usage unique, hash HMAC-SHA-256 + pepper applicatif côté serveur.
• Sessions : durée access token 1h, refresh token rotation 10s, timebox session 24h, déconnexion après 8h d'inactivité.
• MFA TOTP : obligatoire pour les administrateurs et coaches. À date des présentes, le MFA n'est pas disponible pour les Utilisateurs eux-mêmes ; cette information est annoncée honnêtement dans l'attente d'une roadmap d'implémentation.
• RBAC + RLS PostgreSQL : contrôle d'accès basé sur les rôles, isolation au niveau ligne en base.
• SSL pinning côté mobile.
• Logs d'audit immutables (table audit_log, append-only, redaction automatique des secrets).
• Janitor de tokens : désactivation automatique des device tokens FCM inactifs depuis 30 jours.

10.1.2 Mesures organisationnelles

• Accès aux données strictement limité aux personnes en ayant besoin pour leur fonction (principe de minimisation).
• Sensibilisation régulière des intervenants à la protection des données.
• Procédure de gestion des violations de données (article 33 RGPD).
• Registre des activités de traitement tenu conformément à l'article 30 RGPD.

10.2 Analyse d'Impact relative à la Protection des Données (AIPD / DPIA, article 35 RGPD)

Au regard des critères de l'article 35 RGPD et de la délibération CNIL n° 2018-327, ainsi que des lignes directrices CEPD WP248 (notamment les critères : évaluation/scoring, données sensibles, croisement de données, échelle), une AIPD est requise pour les traitements My Muqabala.

10.3 Procédure en cas de violation de données (articles 33 et 34 RGPD)

En cas de violation susceptible d'engendrer un risque pour tes droits et libertés, nous nous engageons à :

• Notifier la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance (article 33 RGPD) ;
• T'informer dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour tes droits et libertés (article 34 RGPD), avec indication de la nature de la violation, des mesures prises et de tes recours possibles.

12.1 Application mobile

L'application mobile My Muqabala n'utilise aucun cookie HTTP. L'authentification s'appuie sur le système JWT du SDK Supabase. Aucun bandeau cookie n'est requis dans l'application.

12.2 Site web administrateur

Le site web administrateur (réservé aux administrateurs et coaches) utilise uniquement des cookies strictement nécessaires au sens de l'article 82 LIL (donc exemptés de consentement préalable) :

Aucun cookie analytics tiers (Google Analytics, Plausible non hébergé en interne, Matomo tiers, etc.).

Aucun cookie publicitaire / retargeting.

Si à l'avenir nous ajoutions des outils impliquant des cookies non strictement nécessaires, un mécanisme de consentement préalable éclairé (bandeau CNIL-renseigne serait mis en place.