Politique de confidentialité

En bref

• Qui nous sommes : Elumi AI Limited (qui exploite le service « HeyLoLo »), une société établie au Dubai International Financial Centre.
• Ce que nous collectons aujourd’hui : sur ce site web de prélancement, uniquement l’adresse e-mail que vous nous communiquez lorsque vous rejoignez la liste d’attente (ainsi que toute note facultative que vous choisissez d’ajouter).
• Pourquoi : pour vous tenir informé du lancement et vous inviter à l’accès anticipé.
• Combien de temps : jusqu’à ce que vous nous demandiez de la supprimer, ou jusqu’à deux ans après le lancement du produit, selon la première éventualité.
• Où elles sont hébergées : dans notre base de données hébergée par Supabase à Francfort, en Allemagne. Les e-mails sont envoyés via Resend aux États-Unis, sous réserve de garanties appropriées.
• Enfants : le produit HeyLoLo en production est conçu pour les enfants de 6 à 14 ans, avec un consentement parental vérifiable obligatoire. Ce site web est destiné aux parents et aux tuteurs, et non aux enfants. Merci de ne pas nous communiquer l’adresse e-mail d’un enfant.
• Comment nous contacter : privacy@heylolo.ai.

1. Qui est le responsable du traitement

Le responsable du traitement des données est Elumi AI Limited, une société privée constituée au Dubai International Financial Centre (DIFC), Dubaï, Émirats arabes unis, en vertu du Companies Law, DIFC Law No. 5 of 2018.

• Numéro d’immatriculation : 13418
• Licence commerciale : CL13418
• Siège social : Unit IH-00-01-01-OF-01, Level 1, Innovation One, Dubai International Financial Centre (DIFC), Dubai, United Arab Emirates

Vous pouvez nous contacter au sujet de tout élément de la présente politique à l’adresse privacy@heylolo.ai.

2. Représentants dans l’UE et au Royaume-Uni

Étant donné qu’Elumi AI Limited est établie en dehors de l’Espace économique européen et en dehors du Royaume-Uni, nous sommes en train de désigner des représentants au titre de l’article 27 du RGPD et de la section 8 du RGPD britannique (UK GDPR). Une fois désignés, leurs coordonnées seront publiées ici. Dans l’intervalle, vous pouvez nous contacter directement à l’adresse privacy@heylolo.ai.

Nous n’avons pas encore désigné de délégué à la protection des données. Compte tenu de la nature et de l’ampleur du traitement prévu en production (données d’enfants à grande échelle), nous prévoyons de désigner un DPD avant le lancement du produit et mettrons cette section à jour en conséquence.

3. Ce que couvre la présente politique

La présente politique couvre les données personnelles que nous traitons aujourd’hui via le site web marketing HeyLoLo (heylolo.com, heylolo.ai, et l’URL de prélancement hébergée sur Replit) et l’inscription à la liste d’attente qu’il propose. Lorsque le produit HeyLoLo en production sera lancé, une notice de confidentialité produit distincte et un résumé adapté aux enfants s’appliqueront aux données traitées au sein du produit. Nous ne commencerons pas le traitement produit des données d’un utilisateur donné sans en informer cet utilisateur.

4. Ce que nous collectons et pourquoi

4.1 Inscription à la liste d’attente

Lorsque vous soumettez le formulaire de liste d’attente, nous collectons :

• votre adresse e-mail (obligatoire) ;
• une étiquette de source facultative (où vous avez entendu parler de nous, si vous nous le dites) ;
• une note facultative que vous choisissez d’ajouter ;
• la date et l’heure de votre soumission ;
• un enregistrement technique minimal de la requête (par exemple l’adresse IP telle que vue par nos fournisseurs d’hébergement et d’e-mail, utilisée uniquement pour fournir le service et détecter les abus).

Base juridique : votre consentement au titre de l’art. 6(1)(a) du RGPD (vous soumettez activement le formulaire) et notre intérêt légitime au titre de l’art. 6(1)(f) du RGPD à exploiter et sécuriser la liste d’attente. Vous pouvez retirer votre consentement à tout moment en nous écrivant ; le retrait n’affecte pas le traitement déjà effectué.

4.2 E-mail de confirmation

Nous vous envoyons un e-mail de confirmation via notre fournisseur d’e-mail (Resend). Si vous répondez, cette réponse est traitée dans le but de répondre à votre message et conservée aussi longtemps que nécessaire pour y répondre et respecter toute obligation légale de conservation.

4.3 Journaux du serveur

Notre fournisseur d’hébergement conserve de courts journaux techniques (URL, code de statut, IP, user-agent) à des fins de sécurité et de surveillance de la disponibilité. Ces journaux ne sont pas utilisés à des fins d’analyse ou de profilage.

4.4 Cookies et technologies similaires

Le site web de prélancement ne dépose aucun cookie non essentiel et n’exécute aucun traceur publicitaire ou d’analyse. Des cookies strictement nécessaires peuvent être déposés par notre fournisseur d’hébergement à des fins de sécurité et de répartition de charge. Si nous ajoutons ultérieurement des outils d’analyse ou des cookies non essentiels, nous demanderons votre consentement préalable via une bannière de cookies, conformément à la directive européenne ePrivacy et à la loi allemande TTDSG.

5. Enfants

Le produit HeyLoLo est conçu pour les enfants de 6 à 14 ans sous supervision parentale. Ce site web, y compris la liste d’attente, est destiné aux parents, aux tuteurs et aux autres adultes — et non aux enfants.

• Nous ne collectons pas sciemment d’informations personnelles auprès d’un enfant de moins de 13 ans (COPPA) ni, le cas échéant, en dessous de l’âge du consentement numérique fixé par l’État membre de l’UE/EEE dans lequel réside l’enfant (16 ans par défaut ; 13 à 16 ans selon le pays).
• Si un parent ou un tuteur constate qu’un enfant a soumis des informations personnelles via ce site, veuillez nous contacter à l’adresse privacy@heylolo.ai et nous supprimerons les données rapidement.
• Dans le produit HeyLoLo en production, nous mettrons en œuvre des procédures de consentement parental vérifiable conformes à COPPA (15 U.S.C. §§ 6501–6506 et 16 C.F.R. Part 312) avant de collecter toute donnée auprès d’un enfant. Les parents pourront consulter, corriger et supprimer les données de leur enfant et refuser toute collecte ultérieure à tout moment.

6. Comment nous partageons les données

Nous ne vendons pas d’informations personnelles. Nous ne les partageons pas avec des annonceurs ou des courtiers en données. Nous faisons appel à un petit nombre de sous-traitants sélectionnés qui agissent uniquement sur nos instructions et sont liés par des clauses écrites de traitement des données conformes à l’art. 28 du RGPD :

• Supabase, Inc.— base de données applicative et authentification pour la liste d’attente. Hébergée dans l’UE (Francfort, Allemagne ; eu-central-1).
• Resend, Inc.— distribution d’e-mails transactionnels. Hébergée aux États-Unis.
• Replit, Inc.— hébergement du site web de prélancement. Hébergé aux États-Unis.

Nous pouvons également partager des données lorsque la loi ou une procédure judiciaire l’exige, ou pour protéger les droits, la sécurité ou les biens d’Elumi AI Limited, de nos utilisateurs ou du public.

7. Transferts internationaux

Lorsque des données personnelles sont transférées en dehors de l’Espace économique européen, du Royaume-Uni ou du DIFC — par exemple vers Resend ou Replit aux États-Unis — nous nous appuyons sur :

• le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le destinataire est certifié ;
• les clauses contractuelles types (2021/914) de la Commission européenne et, pour les transferts vers le Royaume-Uni, l’addendum britannique relatif au transfert international de données (UK International Data Transfer Addendum), avec des mesures supplémentaires si nécessaire ;
• pour les transferts depuis le DIFC, les instruments de transfert équivalents reconnus par le DIFC Data Protection Law 2020.

Vous pouvez demander une copie des garanties sur lesquelles nous nous appuyons en écrivant à privacy@heylolo.ai.

8. Combien de temps nous conservons vos données

• E-mail de la liste d’attente et enregistrement de la soumission : jusqu’à ce que vous nous demandiez de les supprimer, ou deux ans après le lancement en production de HeyLoLo, selon la première échéance.
• Correspondance par e-mail : aussi longtemps que nécessaire pour répondre à votre message et respecter toute obligation légale de conservation, puis supprimée.
• Journaux du serveur : généralement jusqu’à 30 jours, sauf si une période plus longue est nécessaire pour enquêter sur un incident de sécurité spécifique.

9. Vos droits

Selon votre lieu de résidence, vous pouvez disposer des droits suivants sur les données que nous détenons à votre sujet :

• Accès— nous demander ce que nous détenons et en recevoir une copie.
• Rectification— nous demander de corriger des données erronées ou incomplètes.
• Effacement— nous demander de supprimer vos données.
• Limitation— nous demander de suspendre le traitement dans certaines situations.
• Opposition— vous opposer au traitement fondé sur les intérêts légitimes.
• Portabilité— recevoir vos données dans un format lisible par machine.
• Retrait du consentement— à tout moment, sans effet sur le traitement déjà effectué.
• Ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires (art. 22 du RGPD). Nous ne prenons pas de telles décisions sur ce site web. Dans le produit, toute décision assistée par l’IA affectant un enfant fera l’objet d’une supervision parentale significative.

Pour exercer l’un de ces droits, écrivez à privacy@heylolo.ai. Nous répondons dans les délais légaux (un mois au titre du RGPD, prorogeable de deux mois supplémentaires pour les demandes complexes).

Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données. En particulier :

• dans l’UE/EEE, auprès de l’autorité de contrôle de votre pays de résidence (une liste est tenue à jour par le Comité européen de la protection des données) ;
• au Royaume-Uni, auprès de l’Information Commissioner’s Office (ICO) ;
• pour notre établissement au DIFC, auprès du DIFC Commissioner of Data Protection.

10. États-Unis — droits de confidentialité au niveau des États

Si vous résidez en Californie, en Virginie, au Colorado, au Connecticut, en Utah, au Texas, en Oregon, au Montana, ou dans tout autre État américain doté d’une loi complète sur la confidentialité, vous disposez des droits suivants en plus de ceux mentionnés ci-dessus, dans la mesure où la loi concernée nous est applicable :

• le droit de savoir quelles catégories d’informations personnelles nous collectons et d’accéder à ces informations ;
• le droit de corriger des informations inexactes ;
• le droit de supprimer vos informations ;
• le droit de vous opposer à la vente ou au partaged’informations personnelles à des fins de publicité comportementale intercontextuelle — nous ne pratiquons ni l’un ni l’autre, il n’y a donc rien à refuser aujourd’hui ;
• le droit de limiter l’utilisation et la divulgation d’informations personnelles sensibles ;
• le droit de ne pas faire l’objet de discrimination pour avoir exercé l’un de ces droits.

Pour exercer ces droits, écrivez à privacy@heylolo.ai. Nous vérifierons votre demande à l’aide de l’e-mail associé à votre inscription à la liste d’attente. Vous pouvez recourir à un mandataire autorisé.

11. Comment nous sécurisons les données

Nous appliquons des mesures techniques et organisationnelles adaptées au risque (art. 32 du RGPD), notamment :

• le chiffrement en transit (TLS) pour tout le trafic vers ce site et vers nos sous-traitants ;
• le chiffrement au repos des données stockées dans notre base de données ;
• des politiques de sécurité au niveau des lignes qui empêchent tout accès non autorisé aux enregistrements de la liste d’attente ;
• un accès selon le principe du moindre privilège avec authentification multifacteur pour les comptes administratifs ;
• des sous-traitants ultérieurs sélectionnés et liés par contrat ;
• des sauvegardes régulières et un processus documenté de réponse aux incidents.

Aucun système n’est parfaitement sécurisé. En cas de violation de données personnelles susceptible d’engendrer un risque pour vos droits et libertés, nous notifierons l’autorité de contrôle compétente dans un délai de 72 heures lorsque cela est requis (art. 33 du RGPD) et vous informerons sans retard injustifié lorsque le risque est élevé (art. 34 du RGPD).

12. Prise de décision automatisée et IA

Ce site web ne prend aucune décision automatisée à votre sujet. Dans le produit HeyLoLo en production, l’assistant IA est, par conception, un outil qui accompagne les parents et les enfants plutôt qu’un décideur autonome. Lorsque l’IA est utilisée pour filtrer des contenus ou signaler des signaux de sécurité à un parent, ce parent conserve un pouvoir d’examen et de contrôle. Nous fournirons des informations claires et en langage simple sur le traitement assisté par l’IA dans la notice de confidentialité propre au produit, conformément à l’article 50 du règlement européen sur l’IA (EU AI Act).

13. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de temps à autre. Lorsque nous apportons des modifications importantes, nous mettons à jour la date de « dernière mise à jour » en haut de page, publions un avis clair sur le site web et — lorsque nous avons une relation avec vous (par exemple, vous êtes inscrit à la liste d’attente) — vous en informons à l’avance par e-mail. Pour les modifications qui étendent l’utilisation de vos données au-delà de ce à quoi vous aviez initialement consenti, nous vous demanderons un nouveau consentement avant de nous en prévaloir.

14. Contact

Pour toute question, demande ou réclamation relative à la confidentialité, écrivez à privacy@heylolo.ai.

Adresse postale : Elumi AI Limited, Unit IH-00-01-01-OF-01, Level 1, Innovation One, Dubai International Financial Centre (DIFC), Dubai, United Arab Emirates.