Politique de confidentialité

Bonjour Lou
Version en vigueur au 22 juin 2026 — Dernière mise à jour : 22/06/2026

1. Préambule

La présente Politique de confidentialité décrit la manière dont Bonjour Lou (ci-après le « Service »)
collecte, utilise, conserve et protège les données personnelles de ses utilisateurs, conformément au
Règlement Général sur la Protection des Données (RGPD) (Règlement UE 2016/679) et à la loi
française Informatique et Libertés du 6 janvier 1978 modifiée.
Nous sommes engagés dans une démarche de minimisation des données : nous ne collectons que ce
qui est strictement nécessaire au fonctionnement du Service.

2. Responsable du traitement

• Nom commercial : Bonjour Lou
• Responsable du traitement : Run-Inge (entreprise individuelle gérée par Jérôme Juste, en sa qualité de
  représentant légal)
• Adresse : 10 Chemin Belle Vue sur Mer, 97438 Sainte-Marie, France
• SIRET : 949 512 370 000 14
• Contact pour toute question RGPD : contact@bonjourlou.fr
  Conformément à l’article 37 du RGPD, la désignation d’un Délégué à la Protection des Données (DPO)
  n’est pas obligatoire pour notre activité. L’adresse contact@bonjourlou.fr est le point d’entrée unique pour toute demande relative à vos données personnelles.

3. Données collectées

Nous collectons les catégories de données suivantes :

3.1 — Données d’identification

• Adresse email (obligatoire pour créer un compte)
• Mot de passe (stocké chiffré, jamais en clair)
• Date de création du compte

3.2 — Données d’usage du service

• Nombre d’utilisations par mois (pour gérer le quota Freemium)
• Horodatage des actions (pour la sécurité anti-bot — rate limiting)
• Type d’action utilisée (Décoder, Rédiger, Détecter une arnaque, Petites lignes)
  

3.3 — Contenus soumis à Lou
Les courriers, textes ou images que vous soumettez à Lou (pour décodage, rédaction, analyse d’arnaque
ou petites lignes) sont transmis temporairement aux modèles d’intelligence artificielle pour traitement. Ces
contenus ne sont pas conservés au-delà du traitement (cf. article 6).
Détection des données sensibles : lorsque vous saisissez ou collez du texte dans les modes Décoder et
Rédiger, une détection locale dans votre navigateur (zéro envoi externe) repère les données personnelles
sensibles potentielles (numéro de sécurité sociale, IBAN, numéro fiscal, carte bancaire, plaque d’immatriculation, téléphone, e-mail, numéro de dossier).

Un encart pédagogique vous invite alors à les
retirer manuellement avant de soumettre votre demande à l’IA.
Lou n’a pas besoin de ces valeurs précises pour vous aider, et c’est une bonne pratique de limiter ce que vous partagez. Si vous choisissez tout de même de les laisser, elles seront transmises à Mistral dans les mêmes conditions que le reste du texte (traitement en France, non-conservation, non-utilisation pour l’entraînement — cf. article 6).

3.4 — Données de paiement (si abonnement Premium)
Nous ne collectons aucune donnée de carte bancaire. Les paiements effectués depuis le web sont
traités directement par Stripe ; les paiements effectués depuis l’application mobile sont traités par Apple
(App Store) ou Google (Google Play) selon le système d’exploitation (cf. article 5). Nous conservons
uniquement :

• L’identifiant Stripe Customer associé à votre compte
• L’identifiant de votre abonnement Stripe
• Le statut de votre abonnement (actif, annulé, en retard de paiement)
• Les dates de début et de fin de période payée
• Le plan choisi (mensuel ou annuel)

3.5 — Données techniques (cookies)
– Cookies de session strictement nécessaires (pour maintenir votre connexion)
– Cookies anti-bot de Friendly Captcha (proof-of-work cryptographique invisible)
– Aucun cookie publicitaire, aucun cookie de tracking, aucun outil d’analyse comportementale (pas de Google Analytics, pas de Meta Pixel, etc.)

4. Finalités et bases légales

Pas de prospection commerciale : nous ne vous enverrons jamais d’emails marketing sans votre
consentement explicite préalable.

5. Sous-traitants et destinataires de vos données

Pour fournir le Service, nous faisons appel à des sous-traitants de confiance, sélectionnés avec soin pour
leur conformité RGPD

Aucune donnée n’est revendue, partagée ou transmise à des fins publicitaires.

Spécifique au service d’envoi postal : quand vous utilisez la fonctionnalité « Envoyer par La Poste », le
texte de votre courrier (qui peut contenir des références telles que votre numéro d’allocataire, votre
numéro fiscal, etc.) ainsi que l’adresse de l’expéditeur et du destinataire sont transmis à MySendingBox
pour exécuter l’impression et l’envoi.

Ces données sont uniquement utilisées pour la fabrication et l’acheminement de votre courrier. Côté Bonjour Lou, le contenu de la lettre est purgé automatiquement de nos bases au bout de 30 jours (voir article 6).

6. Durée de conservation

• Données du compte : tant que le compte est actif. Suppression dans un délai maximum de 30 jours
  après demande de suppression ou après 3 ans d’inactivité totale.
• Contenus soumis à Lou (courriers, etc.) : non conservés au-delà du traitement (suppression
  immédiate après réponse de l’IA).
• Logs d’activité (sécurité) : 90 jours glissants.
• Données de facturation : 10 ans (obligation légale comptable et fiscale française — Art. L123-22 du
  Code de commerce).
• Données d’abonnement Stripe : tant que l’abonnement est actif, puis archivage 10 ans (obligation
  comptable).
  
  Envois postaux (mode « Envoyer par La Poste ») :
• Contenu de la lettre (corps, objet et pièces jointes éventuelles) : purgé automatiquement de nos bases
  30 jours après l’envoi. Cette durée correspond à la fenêtre standard de retour des courriers NPAI et
  nous permet d’assurer le support client en cas de réclamation pendant cette période. Au-delà, le contenu est remplacé par un marqueur « [purgé 30j] » sans valeur exploitable.
• Métadonnées de l’envoi (date, mode, statut, montant payé, référence interne, numéro de suivi La
  Poste) : conservées indéfiniment dans votre historique personnel (« Mes envois postaux »), ou jusqu’à
  suppression de votre compte.
• Adresses (expéditeur et destinataire) : conservées avec les métadonnées, purgées avec celles-ci en
  cas de suppression de compte.

6. Durée de conservation

La majorité de vos données est traitée et stockée en Union européenne (France principalement).

Exceptions :

• Vercel (hébergement de l’application web) est une société américaine. Les fonctions serveur sont
  exécutées dans des régions EU. Les transferts éventuels vers les USA sont encadrés par les Clauses
  Contractuelles Types (SCC) approuvées par la Commission européenne, conformément à l’article 46
  du RGPD.
• Stripe peut transférer certaines données vers sa maison-mère américaine. Stripe est certifié Data
  Privacy Framework (DPF) EU-US, ce qui garantit un niveau de protection équivalent au RGPD.
• Apple et Google (uniquement si vous installez l’application mobile et/ou souscrivez via un achat in-app)
  peuvent transférer certaines données vers leurs maisons-mères américaines. Ces deux sociétés sont
  certifiées Data Privacy Framework (DPF) EU-US.
  Une migration vers une infrastructure 100 % française (Clever Cloud) est planifiée à moyen terme.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d’accès (Art. 15) : obtenir une copie des données que nous détenons sur vous.
• Droit de rectification (Art. 16) : corriger des données inexactes ou incomplètes.
• Droit à l’effacement (Art. 17, « droit à l’oubli ») : demander la suppression de vos données (sous
  réserve des obligations légales).
• Droit à la limitation (Art. 18) : geler temporairement le traitement de vos données.
• Droit à la portabilité (Art. 20) : récupérer vos données dans un format structuré et lisible par machine.
• Droit d’opposition (Art. 21) : vous opposer au traitement basé sur l’intérêt légitime.
• Droit de définir des directives post-mortem (Loi Informatique et Libertés) : organiser le sort de vos
  données après votre décès.
  
  Comment exercer vos droits ? Envoyez votre demande par email à contact@bonjourlou.fr en précisant
  votre demande. Nous vous répondrons dans un délai maximum de 1 mois (Art. 12 RGPD). Nous pourrons
  vous demander de justifier votre identité.
  Droit de réclamation auprès de la CNIL : si vous estimez que vos droits ne sont pas respectés, vous
  pouvez introduire une réclamation auprès de la CNIL — 3 Place de Fontenoy, 75007 Paris
  (cnil.fr/fr/plaintes).

8. Sécurité de vos données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos
données :

• Chiffrement en transit : toutes les communications utilisent HTTPS (TLS 1.2+).
• Chiffrement au repos : base de données et sauvegardes chiffrées (Supabase EU).
• Mots de passe : hachés avec algorithme bcrypt (impossible à retrouver en clair).
• En-têtes de sécurité HTTP : Content Security Policy stricte, X-Frame-Options DENY, Referrer-Policy
  strict-origin-when-cross-origin, Permissions-Policy minimale.
• Protection anti-bot : Friendly Captcha (proof-of-work cryptographique) sur les pages d’inscription et de réinitialisation.
• Rate limiting : limitation glissante des actions par utilisateur pour prévenir les abus.
• Détection locale des données sensibles : repérage côté navigateur (sans envoi externe) des données
  sensibles potentielles (NIR, IBAN, etc.), avec invitation pédagogique à les retirer manuellement avant
  analyse.

9. Modification de la politique

Nous nous réservons le droit de modifier cette Politique de confidentialité pour refléter les évolutions du
Service ou de la réglementation. Toute modification substantielle vous sera notifiée par email au moins 30
jours avant son entrée en vigueur, et la date de mise à jour en haut de cette page sera actualisée.

10. Contact

• Email : contact@bonjourlou.fr
• Courrier postal : Run-Inge — Bonjour Lou, 10 Chemin Belle Vue sur Mer, 97438 Sainte-Marie, France