Contactez-nous
Passage

Explorer Passage

Le début d’un échangeContactez-nous

À vos côtés, à votre rythme.
Données personnelles

Politique de confidentialité

La manière dont Passage collecte, protège et utilise vos données personnelles.

Dernière mise à jour : 11/09/2026

Passage est une marque exploitée par la société HEKA, société par actions simplifiée (HEKA SAS), qui édite le site et l’application. Dans le présent document, « nous » et « l’Éditeur » désignent HEKA SAS ; « Passage » désigne la marque et les Services proposés sous ce nom.

Lexique

1) Informations légales

Le formulaire du site prépare un e-mail dans votre propre messagerie. Son contenu n’est pas transmis automatiquement à HEKA : l’envoi a lieu lorsque vous l’effectuez depuis votre messagerie. Les échanges reçus sont traités dans notre messagerie professionnelle Google Workspace. La consultation du site implique par ailleurs des données techniques de connexion traitées par son hébergeur ; elle ne crée pas de compte dans l’application.

2) Préambule

Nous prenons au sérieux la confidentialité des personnes qui utilisent nos Supports. En tant que responsable de traitement, HEKA SAS met en œuvre des pratiques conformes au RGPD et à la Loi Informatique & Libertés, en s’appuyant sur les recommandations de la CNIL. L’objectif de cette Politique est de vous donner une vision claire et complète des traitements opérés, des garanties que nous appliquons, et des choix dont vous disposez.

Cette Politique s’adresse à tous les utilisateurs du Site et de l’Application, y compris les comptes invités qui accèdent au Mur du souvenir. Elle s’applique aussi à nos communications, à notre support et aux interactions avec nos partenaires lorsque vous bénéficiez d’un accès financé (mairies, entreprises, mutuelles/assurances).

3) Objet de la Politique

La Politique décrit les données que nous collectons, les raisons pour lesquelles nous les utilisons, les destinataires qui interviennent, les durées de conservation, ainsi que vos droits et comment les exercer. Elle précise également nos règles de sécurité, de gestion des traceurs (cookies/SDK) et les transferts de données éventuels en dehors de l’Espace économique européen.

Notre engagement est double : minimiser les données traitées et rendre des comptes de manière transparente. Lorsque votre consentement est nécessaire, nous veillons à ce qu’il soit libre, spécifique, éclairé et documenté, avec la possibilité de le retirer à tout moment.

4) Quand collectons-nous vos données ?

Nous collectons des données lorsque vous créez un compte (classique ou invité), lorsque vous utilisez nos Services (parcours d’accompagnement, journaling, Mur du souvenir, communautés, assistance par IA), lorsque vous contactez le support ou vous inscrivez à l’infolettre. Cette collecte intervient également lors de votre navigation via des cookies/SDK, dans le cadre de la mesure d’audience et de l’amélioration produit, et lorsque vous interagissez avec des partenaires (orientation, codes d’accès financés).

Selon les cas, la collecte peut avoir lieu directement auprès de vous (formulaires, contenus publiés, messages au support) ou indirectement (données techniques remontées par l’appareil, SDK d’audience, SSO Apple/Google/Facebook si proposé). Nous veillons à ce que chaque collecte corresponde à un objectif légitime, proportionné et, lorsqu’il y a lieu, consenti.

5) Quelles catégories de données traitons-nous ?

Nous traitons principalement des données d’identification et de contact (par exemple votre nom, votre e-mail) pour créer et administrer votre compte, vous informer et vous répondre. Nous traitons également des données de compte (rôles, préférences, consentements), des données techniques liées aux connexions (adresses IP, identifiants d’appareils, langue, fuseau, journaux) et des données d’usage (parcours écrans, clics, erreurs) afin de sécuriser et d’améliorer nos Services.

Lorsque vous effectuez un achat, des références de paiement (token/ID du prestataire) sont traitées par nos prestataires de paiement ; Passage ne stocke pas les numéros de carte. Enfin, nous traitons les contenus que vous publiez (textes, photos, vidéos, audio, hommages, journaling), y compris sur le Mur du souvenir, ainsi que les prompts et réponses dans le cadre de l’assistance par IA.

Les informations obligatoires sont indiquées lors de leur collecte. Sans celles nécessaires à la création du compte ou à une fonctionnalité, nous ne pouvons pas fournir le service correspondant. Les autres informations restent facultatives.

6) Finalités et bases légales

Nous utilisons vos données pour fournir le Service (création et gestion du compte, accès au Mur du souvenir et aux communautés, assistance par IA). Cette utilisation repose sur l’exécution du contrat conclu avec vous. Nous les utilisons aussi pour assurer la sécurité, prévenir la fraude, corriger les anomalies et améliorer le produit via des analyses agrégées ; ces traitements s’appuient sur notre intérêt légitime, strictement équilibré avec vos droits.

Certaines obligations (comme la facturation et la comptabilité) relèvent de l’obligation légale. Les communications marketing et l’usage de traceurs non essentiels reposent sur votre consentement, que vous pouvez retirer à tout moment. Pour les fonctionnalités impliquant des données sensibles, le traitement repose sur votre consentement (article 6, paragraphe 1, a du RGPD) et sur votre consentement explicite au traitement de ces données (article 9, paragraphe 2, a). Celui-ci est distinct de l’acceptation des CGU. Son retrait peut empêcher la poursuite de la fonctionnalité concernée, sans affecter la licéité des traitements antérieurs ni l’accès aux fonctionnalités qui n’en dépendent pas.

Dans le cadre de partenariats financés (mairies, entreprises, mutuelles/assurances), nous vérifions l’éligibilité et produisons des statistiques agrégées sur la base de notre intérêt légitime. Tout partage nominatif avec un partenaire ne se fait qu’avec votre accord et dans la limite du strict nécessaire. HEKA SAS ne met en œuvre aucune décision automatisée produisant des effets juridiques à votre égard.

7) Destinataires et sous-traitants

L’accès à vos données au sein de HEKA SAS est limité aux personnes habilitées qui en ont besoin pour accomplir leurs missions. Nous faisons appel à des sous-traitants pour l’hébergement (AWS), la sécurité, la mesure d’audience/analytics, le crash reporting, l’e-mailing/CRM, le support, le paiement (ex. prestataires PSP/app stores), le fournisseur d’IA (actuellement OpenAI via API), le stockage de médias et la modération. Les prestataires agissant en qualité de sous-traitants interviennent sur instruction de HEKA SAS, avec des engagements contractuels conformes au RGPD (accords de traitement/DPA). Certains prestataires, notamment de paiement ou de distribution d’applications, peuvent également traiter des données sous leur propre responsabilité pour leurs finalités et obligations légales ; leurs politiques de confidentialité s’appliquent alors à ces traitements.

Lorsque vous utilisez des SSO (Apple/Google/Facebook), ces plateformes traitent certaines données sous leur propre responsabilité. Le Mur du souvenir n’est accessible qu’aux invités désignés ; il n’est ni public ni indexé. En présence de partenariats financés, les informations partagées avec les partenaires sont agrégées/anonymisées par défaut ; un partage nominatif suppose votre consentement exprès. Enfin, nous pouvons transmettre des données à des autorités ou juridictions si la loi l’exige.

8) Transferts hors EEE

Nous cherchons à localiser les données en Union européenne ; c’est le cas lorsque nous configurons nos services AWS en régions eu-west-3 (Paris) et/ou eu-west-1 (Irlande). Si un sous-traitant ou un flux impose un transfert hors EEE (ex. États-Unis), nous appliquons les Clauses Contractuelles Types (CCT) et mettons en place des mesures complémentaires adaptées : minimisation des données, chiffrement en transit/au repos lorsque pertinent, journalisation et contrôles d’accès renforcés. Vous pouvez demander des informations sur ces transferts ainsi qu’une copie des garanties applicables en écrivant à contact@heka-app.fr.

9) Durées de conservation

Nous conservons vos données pour des durées déterminées et proportionnées à la finalité poursuivie. À l’issue de ces durées, elles sont supprimées ou anonymisées lorsque cela est possible.

10) Vos droits et leur exercice

Dans les conditions prévues par le RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition, de portabilité, ainsi que du retrait de votre consentement lorsque celui-ci fonde le traitement. Vous pouvez aussi définir des directives post-mortem pour le devenir de vos données après votre décès, conformément à la LIL.

Pour exercer vos droits, écrivez à contact@heka-app.fr. Nous vous répondons dans le mois suivant la réception de votre demande. En cas de complexité ou de demandes nombreuses, ce délai peut être prolongé de deux mois ; nous vous en informons dans le premier mois en expliquant les raisons. En cas de doute raisonnable sur votre identité, seules les informations supplémentaires nécessaires à sa vérification vous seront demandées. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr – 3 place de Fontenoy, 75007 Paris).

Vous pouvez vous opposer à tout moment à la prospection commerciale. Pour les traitements fondés sur l’intérêt légitime, le droit d’opposition s’exerce pour des raisons tenant à votre situation particulière, dans les conditions du RGPD. Le retrait du consentement n’affecte pas la licéité des traitements effectués avant ce retrait.

11) Mineurs

Le Service est destiné aux personnes âgées de 15 ans et plus, y compris pour les comptes invités du Mur du souvenir. Les mineurs utilisent le Service sous la responsabilité de leur représentant légal, conformément aux CGU. Cet âge d’accès ne dispense pas d’obtenir les autorisations nécessaires pour les actes que le mineur ne peut accomplir seul. Nous veillons à fournir une information claire et adaptée.

12) Cookies et autres traceurs (Site & Application)

Nous utilisons des traceurs pour faire fonctionner les Supports, mesurer l’audience et améliorer nos Services. Les traceurs strictement techniques sont exemptés de consentement ; les mesures d’audience configurées de façon non exemptée et les traceurs marketing/attribution nécessitent votre consentement.

Vous pouvez gérer vos choix à tout moment depuis notre plateforme de gestion du consentement (CMP) sur le Site et la section « Mes cookies »/Paramètres dans l’Application. Vous pouvez refuser les traceurs non essentiels aussi simplement que les accepter et retirer votre consentement à tout moment. Leur refus ne bloque pas l’accès aux fonctionnalités essentielles du Service ; un traceur strictement nécessaire peut mémoriser votre choix. Pour la mesure d’audience exemptée de consentement, nous retenons une durée de vie des traceurs de 13 mois maximum, sans prolongation automatique lors des nouvelles visites, et une conservation des données d’audience de 25 mois maximum. Ces durées ne constituent pas une règle générale applicable à tous les cookies.

13) Sécurité

Nous appliquons des mesures techniques et organisationnelles adaptées : chiffrement en transit (TLS) et au repos lorsque pertinent, contrôle d’accès au moindre privilège, cloisonnement des environnements, sauvegardes, journalisation et détection d’anomalies, tests de sécurité réguliers, et Privacy by Design/Default.

Avec AWS, nous opérons sous un modèle de responsabilité partagée : AWS protège l’infrastructure (data centers, énergie, matériel), tandis que HEKA SAS protège la charge (comptes, configurations, clés, données applicatives). Les accès privilégiés sont limités, tracés et revus périodiquement. En cas de violation de données, nous notifierons la CNIL et/ou les personnes concernées lorsque la loi l’exige, et mettrons en œuvre les mesures correctives nécessaires.

14) Médiation – réclamations

Pour toute réclamation relative à vos données, écrivez à contact@heka-app.fr. Pour les litiges de consommation relatifs aux Services, les modalités de médiation figurent dans les CGU et les Mentions légales de Passage.

Cette médiation ne se substitue pas à votre droit de saisir la CNIL pour toute question relevant strictement de la protection des données personnelles.

15) Contacts

Pour toute question générale, écrivez à contact@heka-app.fr.

Pour toute question relative à la vie privée, aux droits RGPD ou à la sécurité, écrivez à notre contact vie privée : contact@heka-app.fr.

Adresse postale : HEKA SAS – 135 Rue Danton, 92500 Rueil-Malmaison.

16) Mises à jour

Cette Politique peut évoluer pour tenir compte des changements législatifs, techniques ou organisationnels. La version applicable est celle publiée sur nos Supports. En cas de modification substantielle, une information vous sera présentée lors de votre prochaine connexion et/ou diffusée par e-mail, le cas échéant. Nous conserverons également un historique des principales versions.

Mentions spécifiques Passage

Assistance par IA

L’assistance par IA vise à vous proposer des contenus d’accompagnement et des réponses contextualisées. Pour générer ces réponses, certains éléments de vos prompts et de contexte peuvent être transmis à notre fournisseur d’IA (actuellement OpenAI via API). Nous minimisons systématiquement les informations envoyées et excluons toute donnée non nécessaire. Lorsqu’un traitement peut révéler des données sensibles (notamment des informations sur votre santé mentale), nous ne procédons qu’avec votre consentement explicite.

Les contenus générés par l’IA sont informatifs et peuvent comporter des imprécisions ; ils ne constituent pas un avis médical, psychologique, juridique ou d’expert. Nous vous invitons à exercer votre discernement et, si besoin, à consulter un professionnel qualifié.

Mur du souvenir & comptes invités

Le Mur du souvenir est un espace privé, non indexé, réservé aux invités désignés par l’administrateur du Mur. Les participants s’engagent à respecter la confidentialité des contenus, à ne pas effectuer de captures ou de rediffusion sans autorisation, et à rester vigilants quant aux informations qu’ils partagent.

Vous pouvez retirer vos publications à tout moment et exercer vos droits RGPD. Lorsque le Mur est clôturé, les contenus sont supprimés ou anonymisés conformément aux durées décrites plus haut, sauf obligations légales contraires.

Partenariats financés (mairies, entreprises, mutuelles/assurances)

Dans ces contextes, l’accès aux Services peut être pris en charge (codes d’éligibilité, accès négocié). Passage partage avec le partenaire des statistiques agrégées et anonymisées pour évaluer l’impact du dispositif. Si un partage nominatif s’avère nécessaire (par exemple pour vérifier l’activation d’un code), il n’interviendra qu’avec votre consentement explicite et sera limité au strict nécessaire.

Informations complémentaires sur l’hébergeur (AWS)

AWS fournit une infrastructure certifiée (notamment ISO/IEC 27001/27017/27018), avec zones de disponibilité redondées au sein de l’UE. Passage configure ses services pour que les données de production soient hébergées et sauvegardées dans l’EEE, en privilégiant les régions eu-west-3 (Paris) et/ou eu-west-1 (Irlande) selon les briques utilisées. Les relations avec AWS sont encadrées par un accord de traitement (DPA) et, s’il y a lieu, par les Clauses Contractuelles Types. Le chiffrement en transit est systématique ; le chiffrement au repos est activé lorsque pertinent, avec une gestion rigoureuse des clés et des accès. Des détails complémentaires (liste actualisée de sous-traitants, régions effectivement déployées) sont disponibles sur demande.