Données personnelles, énoncé clairement.
TwentyThird traite des informations sensibles concernant votre vie intérieure. Cette politique détaille ce qui est traité, par qui, où, pour quelle durée, et comment y mettre fin. Rien n'est vendu. Rien n'est utilisé à des fins publicitaires.
Qui est responsable
WelloWork AB (org. nr. 559472‑9997), Uppsala, Suède, est le responsable du traitement de toutes les données personnelles traitées via TwentyThird : sur ce site web, dans votre compte et par e-mail.
Certains membres reçoivent TwentyThird comme un avantage de leur employeur. L'employeur paie l'accès et rien d'autre. Les employeurs ne reçoivent jamais vos données, vos réponses, votre utilisation ou toute analyse vous concernant ou concernant leur personnel en tant que groupe.
Contact pour la protection des données : privacy@day-23.com. Nous répondons dans un délai de 30 jours.
Ce que nous traitons, et pourquoi
Compte. Adresse e-mail, nom, année de naissance, genre, langue et mode de connexion. Utilisé pour gérer votre compte. Base légale : contrat (Art. 6(1)(b) RGPD).
Informations de santé. Vos réponses d'intake concernant l'humeur, la famille, les relations, le travail, le sommeil, les rêves et le bien-être ; vos Catchups hebdomadaires ; vos conversations de session de consultation ; et les lectures et rapports qui en découlent. Il s'agit de données de catégorie spéciale (Art. 9). Base légale : votre consentement explicite (Art. 9(2)(a) et Art. 6(1)(a)), donné séparément lors de l'inscription et révocable à tout moment dans Paramètres → Consentement.
Traitement par IA. Pour rédiger les lectures, les résumés de Catchup, les réponses de session et les rapports, la partie des informations nécessaire à chaque tâche est envoyée à un modèle d'IA. Base légale : votre consentement séparé au traitement par IA et au transfert en dehors de l'EEE.
Votre cercle. Si vous invitez quelqu'un, vous nous donnez son prénom et son adresse e-mail afin que nous puissions envoyer l'invitation. S'il répond, ses réponses informent vos lectures. Voir « Les personnes que vous invitez » ci-dessous.
Paiement. Statut et historique des abonnements. Les détails de la carte sont gérés par Stripe et ne nous parviennent jamais. Base légale : contrat.
Données techniques. Adresse IP, navigateur, appareil et horodatages, pour assurer la sécurité du service et limiter les abus. Lorsque nous stockons une adresse IP, nous stockons un hachage salé, pas l'adresse. Base légale : intérêt légitime (Art. 6(1)(f)).
Analytique. Google Analytics ne fonctionne que sur les pages marketing publiques, et seulement après votre acceptation. Jamais à l'intérieur de votre compte. Base légale : consentement.
Nous ne posons pas de questions sur la race, l'origine ethnique, les opinions politiques ou la religion. Si ce que vous écrivez le révèle, cela n'est traité que dans le cadre de votre propre lecture.
Automatisé décisions et sécurité
Chaque texte libre que vous rédigez est vérifié par un modèle d'IA pour détecter des signes de risque de préjudice. Lorsque le risque est jugé élevé, l'analyste ne répond pas ; vous voyez à la place les ressources d'urgence pour votre pays, et un signalement de sécurité est enregistré dans votre compte, où vous pouvez le consulter.
Les lectures, les résumés et les rapports sont des interprétations générées par l'IA. Ce ne sont pas des diagnostics, et aucune décision ayant un effet juridique ou similaire n'est prise à partir de ceux-ci.
Vous pouvez demander à une personne de WelloWork de réviser toute classification de sécurité ou lecture privacy@day-23.com. Nous vous informons du résultat.
Qui traite les données, et où
Ces entreprises traitent les données selon nos instructions, en vertu d'accords de traitement des données. Lorsque les données quittent l'EEE, la base de transfert est indiquée.
| Processeur | Objectif | Localisation | Base de transfert |
|---|---|---|---|
| Supabase | Base de données, connexion, stockage de fichiers | Irlande (UE) | Hébergement UE ; Clauses Contractuelles Types pour l'accès au support |
| Vercel | Hébergement et serveurs | Stockholm (UE) ; réseau mondial pour les fichiers statiques | Clauses Contractuelles Types |
| OpenRouter | Passerelle transmettant chaque requête IA au modèle | États-Unis | Clauses Contractuelles Types |
| Google Cloud (Vertex AI), via OpenRouter | Modèles d'IA (Gemini). Les requêtes ne sont ni stockées ni utilisées pour l'entraînement | Centres de données Google, non limités à l'UE | Cadre de Confidentialité des Données UE-États-Unis ; Clauses Contractuelles Types |
| Stripe | Paiements et abonnements | Irlande (UE) et États-Unis | Cadre de Confidentialité des Données UE-États-Unis ; Clauses Contractuelles Types |
| Resend | Emails que nous vous envoyons, et invitations | États-Unis | Cadre de Confidentialité des Données UE-États-Unis ; Clauses Contractuelles Types |
| Google Analytics | Visites des pages publiques, uniquement avec votre consentement | Centres de données Google, y compris les États-Unis | Cadre de Confidentialité des Données UE-États-Unis ; Clauses Contractuelles Types |
Les fournisseurs d'IA sont utilisés uniquement s'ils ne stockent ni n'entraînent sur les requêtes. Nous ne vendons ni ne concédons sous licence vos données et ne les utilisons pas à des fins publicitaires.
Personnes que vous invitez
Lorsqu'un membre vous invite, il nous fournit votre prénom et votre adresse e-mail. Nous les utilisons uniquement pour envoyer l'invitation et pour indiquer au membre si vous avez répondu.
Si vous répondez aux questions relationnelles, vos réponses et un paragraphe rédigé par l'IA à partir de celles-ci informent les lectures, les sessions et les rapports de ce membre. Le membre ne voit jamais vos réponses ni le paragraphe. Vous consentez à cela avant le début des questions.
Vos réponses sont supprimées 30 jours après la fin de la connexion, ou immédiatement si vous utilisez le lien de suppression dans votre e-mail d'invitation. Les invitations refusées ou expirées sont supprimées 30 jours après leur expiration. Vous disposez des mêmes droits que les membres ; écrivez à l'adresse ci-dessous.
Qui le voit elle
Au sein de WelloWork AB : Un nombre restreint de membres du personnel assure la maintenance du service. L'accès est limité par la fonction. Nous examinons votre contenu uniquement pour répondre à une demande de votre part, pour examiner un signalement de sécurité que vous nous demandez de vérifier, ou pour corriger une défaillance.
Pas votre employeur. Aucun employeur, clinique ou autre organisation n'a accès aux données des membres ou aux analyses concernant les membres.
Votre psychologue, si vous en avez un : Au-delà de votre demande de supervision, vous choisissez élément par élément ce que voit votre psychologue, et vous pouvez modifier chaque choix à tout moment.
Obligation légale : Nous divulguons des données aux autorités compétentes uniquement lorsque la loi l'exige, et uniquement dans la mesure requise.
Rétention
Durée de conservation de chaque type de données. Un processus automatique quotidien applique ces périodes.
| Données | Conservées pendant |
|---|---|
| Compte, réponses d'intake (toutes versions), lectures, Catchups, conversations de session, rapports, enregistrements de consentement | Tant que votre compte existe |
| Tout ce qui précède, après la suppression de votre compte | Effacé 30 jours après la demande, à l'exception des registres comptables ci-dessous. Une connexion avant cette date annule la suppression. |
| Indicateurs de sécurité | Sévérité et catégorie avec votre compte ; le texte cité est supprimé après 90 jours |
| Journal de traitement de l'IA (tâche, modèle, durée — jamais le contenu) | 90 jours |
| Enregistrements des e-mails qui vous sont envoyés | 30 jours après l'envoi |
| Réponses des personnes que vous avez invitées | Tant que la connexion est active ; 30 jours après sa fin, ou immédiatement si elles le demandent |
| Invitations refusées ou expirées | 30 jours après l'expiration |
| Messages envoyés via le formulaire de contact | 24 mois |
| Compteurs de prévention des abus (hachés) | 1 à 2 jours |
| Supervision avec un psychologue : votre demande, la supervision, ses plans de soins et votre consentement au partage | Tant que votre compte et celui de votre psychologue existent. Votre psychologue les consulte uniquement pendant la durée de la supervision et tant que votre consentement est valide. |
| Demandes de supervision refusées, retirées ou expirées | 12 mois après la décision |
| Notifications à votre psychologue | 24 mois après leur clôture ou la fin de la supervision ; immédiatement si la supervision est supprimée |
| Notifications in-app | 12 mois |
| Visites payantes et paiements aux psychologues (montant, date, référence de paiement) | 7 ans après la fin de l'année de paiement, comme l'exige la loi suédoise sur la comptabilité. Votre nom, vos notes et vos liens sont supprimés lorsque votre compte est effacé. |
| Sauvegardes de la base de données | Sauvegardes glissantes sur un cycle court ; les données supprimées les quittent à leur expiration |
| Enregistrements de paiement chez Stripe | Selon les exigences de la loi financière |
Les processeurs conservent les journaux opérationnels selon leurs propres conditions, listées ci-dessus.
Vos droits
Vous pouvez accéder à vos données et les exporter (Paramètres → Données), les corriger (Paramètres et votre intake), supprimer votre compte (Paramètres → Zone de danger), retirer votre consentement (Paramètres → Consentement), restreindre ou vous opposer au traitement, et recevoir vos données dans un format portable. Le retrait du consentement arrête le traitement futur ; il n'annule pas ce qui a été fait auparavant.
Pour toute autre demande, ou si vous ne pouvez pas vous connecter : privacy@day-23.com. Nous répondons dans les 30 jours. Vous pouvez également déposer une plainte auprès de l'Integritetsskyddsmyndigheten (IMY), l'autorité suédoise de protection des données.
Sécurité
Les données sont chiffrées en transit et au repos. Chaque table est protégée par une sécurité au niveau des lignes, de sorte qu'un compte ne peut lire que ses propres enregistrements, et ce que le service écrit ne peut être modifié depuis un navigateur. Les données de carte ne touchent jamais nos serveurs.
Âge
TwentyThird est destiné aux adultes. Vous devez avoir 18 ans ou plus pour créer un compte. Si nous apprenons qu'une personne de moins de 18 ans possède un compte, nous le supprimons.
Modifications
Lorsque cette politique subit des modifications substantielles, nous vous en informons dans le produit avant l'application du changement et sollicitons à nouveau votre consentement si nécessaire. La date de version figure ci-dessous.
En vigueur le : 18 October 2026 · Droit applicable : Droit suédois et RGPD