Légal
Registre des traitements
Introduction
Conformément à l'article 30 du Règlement Général sur la Protection des Données (RGPD), CoVœur tient un registre des activités de traitement. Ce registre recense l'ensemble des traitements de données personnelles effectués dans le cadre du Service CoVœur.
Responsable du traitement : NOproBS, SASU au capital de 1 000 €, RCS Paris 984 241 075, siège social à Paris, France — formulaire de contact
Traitements de données personnelles
1. Gestion des utilisateurs et onboarding
| Finalité | Création et gestion du profil utilisateur lors de la première interaction avec CoVœur |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) |
| Données concernées | Numéro de téléphone WhatsApp, prénom, statut relationnel (célibataire / en couple) |
| Personnes concernées | Utilisateurs du Service CoVœur |
| Durée de conservation | Durée d'utilisation du Service + 12 mois |
| Destinataires | Équipe CoVœur, Meta (WhatsApp Business API), Microsoft Azure (hébergement) |
| Transferts hors UE | Oui, résiduel — Meta (messagerie) : depuis le 01/10/2026 la localisation des données est activée et le stockage au repos est en Allemagne (Union européenne). Subsiste un transfert borné que le réglage ne supprime pas : jusqu'à 60 minutes de traitement sur les centres internationaux pendant l'acheminement, et les carnets de contacts sur les serveurs de Meta. Encadré par les clauses contractuelles types. |
2. Évaluation relationnelle individuelle (bilan individuel)
| Finalité | Collecte des réponses au questionnaire d'auto-évaluation relationnelle et génération du profil relationnel personnalisé par IA |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) |
| Données concernées | Réponses au questionnaire (15 questions), prénom, profil relationnel généré |
| Personnes concernées | Utilisateurs ayant complété le questionnaire individuel |
| Durée de conservation | Durée d'utilisation du Service + 12 mois |
| Destinataires | Équipe CoVœur, Microsoft Azure OpenAI (traitement IA — Suisse, pays reconnu adéquat), Microsoft Azure (hébergement) |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne (décision d'adéquation), ce qui autorise le transfert sans garantie supplémentaire. Transfert limité au traitement par les modèles d'IA décrits ci-dessus. |
3. Bilan de couple combiné
| Finalité | Mise en relation de deux partenaires, collecte du contexte relationnel, génération du bilan de couple personnalisé par IA |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) + consentement pour le partage avec le partenaire (art. 6.1.a RGPD) |
| Données concernées | Profils relationnels des deux partenaires, contexte relationnel, durée et statut de la relation, bilan combiné généré |
| Personnes concernées | Utilisateurs ayant initié ou accepté un bilan de couple |
| Durée de conservation | Durée d'utilisation du Service + 12 mois |
| Destinataires | Équipe CoVœur, Microsoft Azure OpenAI (traitement IA — Suisse, pays reconnu adéquat), Microsoft Azure (hébergement) |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne (décision d'adéquation), ce qui autorise le transfert sans garantie supplémentaire. Transfert limité au traitement par les modèles d'IA décrits ci-dessus. |
4. Analyse de conversations WhatsApp
| Finalité | Analyse optionnelle d'une conversation WhatsApp exportée par les deux partenaires, avec anonymisation préalable, pour enrichir le bilan de couple |
| Base légale | Consentement explicite des deux partenaires (art. 6.1.a RGPD) |
| Données concernées | Conversation WhatsApp exportée. L'anonymisation s'effectue en mémoire vive (RAM) sur nos serveurs — prénoms, adresses et numéros de téléphone sont remplacés par des identifiants neutres (Partenaire A / Partenaire B, [VILLE], [NUMÉRO]…) avant transmission au modèle d'IA. La version brute (non anonymisée) n'est pas stockée durablement ; seule la version anonymisée peut être conservée pour les besoins de l'analyse. Mesures techniques de garantie (3 niveaux superposés) : (1) suppression immédiate du fichier brut à la fin de l'extraction de la portion choisie par l'utilisateur ; (2) purge automatique au démarrage du serveur de tout fichier orphelin éventuel ; (3) tâche planifiée quotidienne (3 h Paris) supprimant tout résidu de plus de 24 h. |
| Personnes concernées | Utilisateurs ayant consenti à l'analyse de leur conversation WhatsApp (consentement bilatéral requis) |
| Durée de conservation | Données brutes : supprimées immédiatement après extraction de la portion à analyser (filets de sécurité multi-niveaux — cf. ci-dessus). Résultats d'analyse anonymisés : 12 mois maximum. |
| Destinataires | Équipe CoVœur, Microsoft Azure OpenAI (traitement IA — données anonymisées uniquement — Suisse, pays reconnu adéquat), Microsoft Azure (hébergement) |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne. Transfert limité à la version anonymisée de la conversation. |
5. Programmes d'accompagnement et suivi
| Finalité | Envoi de programmes personnalisés, exercices, rappels et suivis via WhatsApp dans le cadre du développement personnel et de couple |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) |
| Données concernées | Numéro WhatsApp, historique des programmes suivis, progression, réponses aux exercices |
| Personnes concernées | Utilisateurs ayant souscrit à un programme d'accompagnement |
| Durée de conservation | Durée du programme + 12 mois |
| Destinataires | Équipe CoVœur, Meta (WhatsApp Business API), Microsoft Azure OpenAI (traitement IA — Suisse, pays reconnu adéquat) pour la rédaction des résumés de suivi, Microsoft Azure (hébergement) |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne (décision d'adéquation), ce qui autorise le transfert sans garantie supplémentaire. Transfert limité au traitement par les modèles d'IA décrits ci-dessus. Oui, résiduel — Meta (messagerie) : depuis le 01/10/2026 la localisation des données est activée et le stockage au repos est en Allemagne (Union européenne). Subsiste un transfert borné que le réglage ne supprime pas : jusqu'à 60 minutes de traitement sur les centres internationaux pendant l'acheminement, et les carnets de contacts sur les serveurs de Meta. Encadré par les clauses contractuelles types. |
6. Sécurité et journaux techniques
| Finalité | Sécurité du Service, détection des abus et maintenance technique |
| Base légale | Intérêt légitime (art. 6.1.f RGPD) |
| Données concernées | Logs serveurs (adresses IP, horodatages, requêtes) |
| Personnes concernées | Tous les utilisateurs du Service |
| Durée de conservation | 3 mois |
| Destinataires | Équipe technique CoVœur, Microsoft Azure (hébergement) |
| Transferts hors UE | Aucun |
7. Vigilance — repérage des situations graves
| Finalité | Repérer dans les messages les signes de détresse, de violence ou de risque pour un tiers, afin d'orienter la personne vers une aide humaine et de ne pas la laisser seule face à un système automatique. Aucune finalité commerciale, aucun profilage. |
| Base légale | Consentement explicite (art. 9.2.a RGPD), recueilli séparément lors des formalités ; intérêt vital de la personne concernée (art. 9.2.c RGPD) |
| Données concernées | Catégories particulières (art. 9) : santé mentale (mal-être, détresse exprimée, suivi psychologique mentionné), vie affective et sexuelle, violences rapportées. Extrait verbatim du message ayant déclenché le signal, date, niveau, état de revue et acquittement. |
| Personnes concernées | Utilisateurs du Service. Accessoirement, des tiers cités par eux (partenaire, ex-conjoint) lorsque le signal porte sur un risque envers autrui — leurs coordonnées ne sont jamais reproduites et sont masquées à l'affichage. |
| Durée de conservation | Durée d'utilisation du Service, puis suppression sur demande. L'extrait déclencheur est conservé tant que le signal n'est pas acquitté, afin qu'un examen humain puisse en vérifier le bien-fondé. |
| Destinataires | Équipe CoVœur ; Microsoft Azure OpenAI (traitement IA — Suisse, pays reconnu adéquat), qui analyse les messages pour y repérer les signaux — c'est notre sous-traitant, pas un destinataire qui en ferait usage. Aucune communication à un tiers, ni aux services d'urgence : la personne est orientée vers eux, elle n'y est jamais signalée. ; Meta (WhatsApp Business API) pour l'acheminement des messages |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne (décision d'adéquation), ce qui autorise le transfert sans garantie supplémentaire. Transfert limité au traitement par les modèles d'IA décrits ci-dessus. Oui, résiduel — Meta (messagerie) : depuis le 01/10/2026 la localisation des données est activée et le stockage au repos est en Allemagne (Union européenne). Subsiste un transfert borné que le réglage ne supprime pas : jusqu'à 60 minutes de traitement sur les centres internationaux pendant l'acheminement, et les carnets de contacts sur les serveurs de Meta. Encadré par les clauses contractuelles types. |
8. Conversation libre
| Finalité | Accompagnement personnalisé via conversations libres avec l'IA CoVœur (coaching, soutien émotionnel, exercices relationnels) |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) |
| Données concernées | Numéro WhatsApp, historique des conversations de coaching, thématiques détectées, résumés hebdomadaires |
| Personnes concernées | Utilisateurs ayant accès au coaching conversationnel (free tier limité à 10 échanges, puis abonnement) |
| Durée de conservation | 12 mois glissants (les messages de plus de 12 mois sont supprimés automatiquement) |
| Destinataires | Équipe CoVœur, Microsoft Azure OpenAI (traitement IA — Suisse, pays reconnu adéquat), Microsoft Azure (hébergement) ; Meta (WhatsApp Business API) pour l'acheminement des messages |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne (décision d'adéquation), ce qui autorise le transfert sans garantie supplémentaire. Transfert limité au traitement par les modèles d'IA décrits ci-dessus. Oui, résiduel — Meta (messagerie) : depuis le 01/10/2026 la localisation des données est activée et le stockage au repos est en Allemagne (Union européenne). Subsiste un transfert borné que le réglage ne supprime pas : jusqu'à 60 minutes de traitement sur les centres internationaux pendant l'acheminement, et les carnets de contacts sur les serveurs de Meta. Encadré par les clauses contractuelles types. |
9. Dossiers psy (notes et résumés de suivi)
| Finalité | Constitution de notes et résumés de suivi psychologique à destination des professionnels partenaires (psychologues, coachs) pour accompagner les utilisateurs |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) + intérêt légitime pour l'amélioration de la qualité du suivi (art. 6.1.f RGPD) |
| Données concernées | Résumés synthétiques des conversations et évaluations, profil relationnel, notes des professionnels partenaires |
| Personnes concernées | Utilisateurs ayant complété un bilan individuel ou de couple |
| Durée de conservation | Durée d'utilisation du Service + 12 mois, puis suppression sur demande |
| Destinataires | Équipe CoVœur, professionnels partenaires habilités, Microsoft Azure OpenAI (traitement IA — Suisse, pays reconnu adéquat) pour la rédaction des résumés, Microsoft Azure (hébergement) |
| Transferts hors UE | Oui — Suisse, pays reconnu adéquat par la Commission européenne (décision d'adéquation), ce qui autorise le transfert sans garantie supplémentaire. Transfert limité au traitement par les modèles d'IA décrits ci-dessus. |
10. Partage des rapports avec un·e praticien·ne prescripteur·rice
| Finalité | Permettre au·à la psychologue dont l'utilisateur·rice a utilisé le code d'invitation de consulter les rapports générés par CoVœur, afin d'accompagner son patient en connaissance de cause |
| Base légale | Consentement explicite (art. 6.1.a RGPD ; art. 9.2.a pour les données relatives à la santé et à la vie intime). Le rattachement seul n'ouvre aucun accès |
| Données concernées | Rapports générés par CoVœur (profil, bilans, pactes) et leur synthèse. Exclus : les conversations avec CoVœur, qui ne sont jamais partagées |
| Personnes concernées | Utilisateur·rices arrivé·es via le code d'invitation d'un·e praticien·ne et ayant donné leur accord |
| Portée du consentement | Nominative : l'accord vaut pour le·la praticien·ne désigné·e au moment où il est donné, jamais pour un·e autre |
| Retrait | À tout moment, par message WhatsApp (« je retire mon accord psy »). Effet immédiat sur l'accès, sans intervention humaine préalable. Le détachement complet du compte est opéré ensuite par l'équipe |
| Preuve du consentement | Registre interne en ajout seul : accord, refus et retrait, chacun daté et rattaché au praticien concerné (art. 7.1 RGPD) |
| Durée de conservation | Accès actif tant que le consentement n'est pas retiré. Les entrées du registre des consentements sont conservées 3 ans après la fin de la relation, comme preuve |
| Destinataires | Le·la praticien·ne prescripteur·rice désigné·e, l'équipe CoVœur, Microsoft Azure (hébergement) |
| Transferts hors UE | Aucun |
11. Évaluation interne des formulations (rejeu)
| Finalité | Vérifier et améliorer la qualité des réponses et de l'orientation, en particulier la capacité du Service à repérer les situations qui dépassent son cadre (détresse, violence, risque pour un tiers) et à orienter vers un professionnel ou un service dédié. Des échanges déjà intervenus sont rejoués pour comparer plusieurs formulations. Aucune finalité commerciale, aucun effet sur la personne dont l'échange est rejoué. |
| Base légale | Intérêt légitime (art. 6.1.f RGPD) ; pour les contenus relevant des catégories particulières, consentement explicite (art. 9.2.a RGPD) recueilli lors des formalités d'inscription |
| Données concernées | Extraits d'échanges débarrassés des prénoms, coordonnées et identifiants (téléphones, e-mails, adresses, IBAN, numéros de sécurité sociale, montants) ; prénoms du dossier remplacés par des jetons (USER, PARTENAIRE, PROCHE_n). Le numéro de téléphone n'est jamais transmis : il sert uniquement de clé de recherche en base. Le contenu peut relever des catégories particulières (art. 9) — santé mentale, vie affective, violences rapportées. |
| Personnes concernées | Utilisateurs du Service dont un échange est retenu pour un rejeu, ainsi que les tiers qu'ils citent, dont les éléments identifiants sont retirés avant toute transmission |
| Durée de conservation | Comptes rendus de comparaison conservés en interne le temps du chantier de qualité auquel ils se rattachent, puis supprimés |
| Destinataires | Équipe CoVœur ; Anthropic PBC (États-Unis) comme fournisseur du modèle d'évaluation |
| Transferts hors UE | Oui — États-Unis, encadré par les clauses contractuelles types de la Commission européenne. Transfert limité aux extraits décrits ci-dessus, lancés manuellement. Ces données ne servent pas à l'entraînement de modèles. |
| Nature du traitement | Les extraits transmis sont pseudonymisés, non anonymes : le destinataire ne peut pas les rattacher à une personne, mais le compte rendu conservé en interne le permet |
12. Transcription des messages vocaux
| Finalité | Convertir en texte les messages vocaux que vous envoyez, pour que le Service puisse y répondre comme à un message écrit. Sans cette conversion, un message vocal ne peut pas être lu. |
| Base légale | Exécution du contrat (art. 6.1.b RGPD) ; pour les contenus relevant des catégories particulières, consentement explicite (art. 9.2.a RGPD) recueilli lors des formalités d'inscription |
| Données concernées | L'enregistrement vocal lui-même, transmis tel quel au service de transcription, puis le texte obtenu. L'enregistrement n'est pas conservé par CoVœur après la transcription. Le contenu peut relever des catégories particulières (art. 9) — santé mentale, vie affective, violences rapportées. |
| Personnes concernées | Utilisateurs qui envoient des messages vocaux, ainsi que les tiers qu'ils citent dans ces messages |
| Durée de conservation | Le texte transcrit suit la durée de l'échange auquel il appartient (voir traitement n° 8). L'enregistrement n'est pas conservé. |
| Destinataires | Équipe CoVœur ; Microsoft Azure OpenAI (Whisper, Pays-Bas) comme fournisseur du service de transcription |
| Transferts hors UE | Non — la transcription est réalisée aux Pays-Bas, au sein de l'Union européenne |
| Nature du traitement | Aucun identifiant de compte n'accompagne l'enregistrement transmis ; le contenu du message peut toutefois permettre d'identifier la personne qui parle |
Sous-traitants
CoVœur fait appel aux sous-traitants suivants dans le cadre de ses activités de traitement :
| Sous-traitant | Rôle | Localisation | Garanties RGPD |
|---|---|---|---|
| Microsoft Azure OpenAI | Génération des analyses, rapports et conversations par IA, et analyse des signaux d'alerte | Suisse — pays reconnu adéquat par la Commission européenne | DPA conforme RGPD |
| Microsoft Azure OpenAI (Whisper) | Transcription des messages vocaux en texte (traitement n° 12) | Pays-Bas — Union Européenne | DPA conforme RGPD |
| Anthropic PBC | Modèle utilisé pour l'évaluation interne des formulations (traitement n° 11) — extraits débarrassés des prénoms, coordonnées et identifiants | États-Unis | DPA conforme RGPD et clauses contractuelles types ; données non utilisées pour l'entraînement de modèles |
| Meta (WhatsApp Business API) | Infrastructure de messagerie WhatsApp | Entité contractante : Irlande (Union Européenne). Stockage au repos : Allemagne (Union européenne) — localisation des données activée le 01/10/2026 et vérifiée. Traitement résiduel sur les centres internationaux pendant l'acheminement (jusqu'à 60 min), et carnets de contacts sur les serveurs de Meta | DPA conforme RGPD et clauses contractuelles types de la Commission européenne ; conservation du contenu au maximum 30 jours ; chiffrement au repos. Les messages ne sont pas chiffrés de bout en bout (configuration « entreprise hébergée par Meta ») |
| Microsoft Azure | Hébergement du backend, base de données, stockage | France (région France Centre) | DPA conforme RGPD — données hébergées en France |
| Stripe | Traitement des paiements (abonnements et achats unitaires) | Irlande — Union Européenne | DPA conforme RGPD |
Vos droits
Conformément au RGPD, vous disposez de droits sur vos données personnelles (accès, rectification, effacement, portabilité, opposition, limitation). Pour exercer ces droits, consultez notre Politique de confidentialité ou contactez-nous via notre formulaire de contact.
Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr.
Des questions sur votre accompagnement ?
Essayer CoVœur