Politique de confidentialité

Qui est responsable de vos données

Fahima Hawileh, thérapeute transpersonnelle certifiée, exerçant sous le statut d’auto-entrepreneur au Maroc.

Adresse : [À COMPLÉTER]
Numéro d’auto-entrepreneur / ICE : [À COMPLÉTER]
Courriel : contact@ruh-therapy.com
Déclaration CNDP (Maroc) : [À COMPLÉTER]

La loi marocaine 09-08 impose une formalité préalable auprès de la CNDP. Pour les données de santé, il ne s’agit pas d’une simple déclaration mais d’une autorisation préalable (formulaire F112), instruite en environ deux mois. Les notes de séance relevant très probablement de cette catégorie, la demande doit être déposée bien avant le premier client payant — et son numéro reporté ci-dessus.

Les données que je collecte, et pourquoi

Données	Pourquoi	Base légale (RGPD)
Nom, prénom	Vous identifier, préparer la séance	Exécution du contrat
Courriel	Confirmation, lien visio, suivi	Exécution du contrat
Numéro de téléphone	Échanges WhatsApp si vous m’écrivez	Exécution du contrat
Langue souhaitée	Conduire la séance dans votre langue	Exécution du contrat
Ce que vous écrivez avant la séance	Comprendre votre demande	Exécution du contrat
Notes de séance	Assurer la continuité d’un accompagnement	Voir l’encadré ci-dessous
Données de facturation	Obligations comptables et fiscales	Obligation légale

Données sensibles. Ce qui se dit en séance touche à votre état intérieur. Même si je ne suis ni psychologue ni professionnelle de santé, ces informations sont très probablement des « données concernant la santé » au sens de l’article 9 du RGPD, qui exige une base juridique renforcée — en pratique votre consentement explicite, recueilli séparément. [À COMPLÉTER] : à confirmer avec un juriste avant la première séance, et à refléter dans le contrat de séance.

Je ne collecte aucune donnée de santé médicale, aucun diagnostic, aucun traitement : je n’en pose pas et je n’en prescris pas.

Qui d’autre voit ces données

Je travaille avec un petit nombre de prestataires. Chacun est nommé ici, avec ce qu’il voit exactement.

Prestataire	Ce qu’il traite	Où
Google (Workspace, Agenda, Meet, Gmail)	Réservation, confirmation, lien visio, courriels	UE / États-Unis
Meta (WhatsApp Business)	Vos messages si vous m’écrivez sur WhatsApp	UE / États-Unis
Google Fonts	L’adresse IP de votre navigateur, à l’affichage de la page	États-Unis
Hébergeur du site — [À COMPLÉTER]	Journaux techniques du serveur	[À COMPLÉTER]
Paiement — [À COMPLÉTER]	Nom, montant, référence	[À COMPLÉTER]

Je ne vends aucune donnée, je n’en loue aucune, et je n’en transmets à personne d’autre — sauf obligation légale, ou situation de danger immédiat décrite dans le cadre de l’accompagnement.

Certains de ces prestataires sont établis aux États-Unis. Les transferts reposent sur les clauses contractuelles types de la Commission européenne ou sur le cadre de protection des données UE–États-Unis.

Combien de temps je les conserve

Données	Durée
Échanges avant réservation, sans suite	12 mois
Notes de séance, brouillons compris	24 mois après le dernier contact, puis suppression automatique
Brouillons non finalisés	30 jours
Ce que vous écrivez avant la séance	12 mois après la dernière séance
Texte libre d’un point de vigilance	supprimé en même temps que les notes auxquelles il se rattache
Registre minimal (dates, service, montant, référence de facture, date d’acceptation du cadre, historique des consentements)	10 ans — il ne contient aucun contenu de séance
Journal des accès	12 mois
Documents de facturation	10 ans (obligation comptable)
Messages WhatsApp	Tant que la conversation existe sur l’appareil

Ces durées ne sont pas des intentions : une tâche automatique supprime chaque nuit ce qui les dépasse, et ses exécutions sont journalisées. Rien de ce qui est dit en séance ne survit à 24 mois. Ce qui subsiste dix ans est un registre minimal — des dates, des montants, des références — parce que la loi comptable marocaine l’impose ; il ne contient aucun contenu de séance. Les 24 mois sont un choix raisonné, pas une obligation légale : un juriste doit le confirmer.

Vos droits

Vous pouvez, à tout moment et gratuitement :

accéder aux données que je détiens sur vous,
les faire corriger si elles sont inexactes,
en demander l’effacement,
demander la limitation ou vous opposer à un traitement,
en demander une copie portable,
retirer votre consentement, sans que cela remette en cause ce qui a été fait avant.

Écrivez à contact@ruh-therapy.com. Je réponds sous 30 jours.

Si ma réponse ne vous satisfait pas, vous pouvez saisir l’autorité de votre pays :

Maroc — CNDP, cndp.ma
France — CNIL, cnil.fr
Espagne — AEPD, aepd.es
Belgique — APD/GBA, autoriteprotectiondonnees.be

Cookies et mesure d’audience

Ce site n’utilise aucun cookie publicitaire et aucun outil de mesure d’audience. Il n’y a pas de bandeau à accepter, et c’est voulu.

Une seule exception, et elle est technique : ces pages juridiques retiennent la langue que vous choisissez (ruh-legal-lang), dans le stockage local de votre navigateur. Rien n’en sort, rien ne m’est transmis, et vous pouvez l’effacer avec les données du site.

Une réserve, et elle est réelle. Les polices de caractères du site sont chargées depuis les serveurs de Google, ce qui transmet votre adresse IP à Google avant que vous ayez cliqué sur quoi que ce soit. Un tribunal allemand a jugé cette pratique contraire au RGPD (LG München I, 2022) ; c’est une décision de première instance, pas une jurisprudence européenne établie, mais la prudence commande de ne pas s’y exposer. Héberger les polices sur le site lui-même supprime le problème entièrement — c’est une modification technique d’une heure, et elle est inscrite au plan.

Sécurité

Le site est servi en HTTPS. Les comptes utilisés pour l’agenda et la messagerie sont protégés par une authentification à deux facteurs. Les notes de séance sont conservées [À COMPLÉTER] — support et protection à préciser.

Aucun système n’est parfaitement sûr. En cas de violation de données susceptible d’engendrer un risque élevé pour vous, je vous préviens sans délai injustifié, ainsi que l’autorité compétente dans les 72 heures.

Modifications

Si cette politique change, la date en haut de page change aussi. Pour un changement important, je préviens les personnes accompagnées par courriel.

Who is responsible for your data

Fahima Hawileh, certified transpersonal therapist, operating as an auto-entrepreneur in Morocco.

Address: [TO COMPLETE]
Auto-entrepreneur / ICE number: [TO COMPLETE]
Email: contact@ruh-therapy.com
CNDP declaration (Morocco): [TO COMPLETE]

Moroccan law 09-08 requires a prior formality with the CNDP. For health data this is not a simple declaration but a prior authorisation (form F112), which takes roughly two months to decide. Session notes very probably fall in that category, so the application must be filed well before the first paying client, and its number recorded above.

What I collect, and why

Data	Why	Lawful basis (GDPR)
Name	To identify you and prepare the session	Contract
Email	Confirmation, video link, follow-up	Contract
Phone number	WhatsApp exchanges if you write to me	Contract
Preferred language	To hold the session in your language	Contract
What you write before a session	To understand what brings you	Contract
Session notes	Continuity of an accompaniment	See box below
Billing data	Accounting and tax obligations	Legal obligation

Sensitive data. What is said in a session concerns your inner state. Even though I am not a psychologist or a health professional, this is very likely data concerning health under GDPR Article 9, which requires a stronger lawful basis — in practice your explicit consent, collected separately. [TO COMPLETE]: to be confirmed with a lawyer before the first session, and reflected in the session agreement.

I collect no medical data, make no diagnosis and prescribe no treatment — I do neither.

Who else sees it

I work with a small number of providers. Each is named here, with exactly what it sees.

Provider	What it processes	Where
Google (Workspace, Calendar, Meet, Gmail)	Booking, confirmation, video link, email	EU / United States
Meta (WhatsApp Business)	Your messages if you write on WhatsApp	EU / United States
Google Fonts	Your browser's IP address, when the page loads	United States
Website host — [TO COMPLETE]	Technical server logs	[TO COMPLETE]
Payment — [TO COMPLETE]	Name, amount, reference	[TO COMPLETE]

I do not sell your data, do not rent it, and pass it to no one else — except where the law requires it, or in the situation of immediate danger described in the scope note.

Some of these providers are established in the United States. Transfers rely on the European Commission's standard contractual clauses or on the EU–US Data Privacy Framework.

How long I keep it

Data	Retention
Enquiries that lead to no booking	12 months
Session notes, drafts included	24 months after the last contact, then deleted automatically
Unfinalised drafts	30 days
What you write before a session	12 months after the last session
Free text on a vigilance note	deleted together with the notes it belongs to
Minimal ledger (dates, service, amount, invoice reference, frame-accepted date, consent history)	10 years — it holds no session content
Access log	12 months
Billing records	10 years (accounting obligation)
WhatsApp messages	As long as the conversation exists on the device

These are not intentions: a nightly job deletes whatever exceeds them, and its runs are logged. Nothing said in a session survives 24 months. What remains for ten years is a minimal ledger — dates, amounts, references — because Moroccan accounting law requires it; it holds no session content. The 24 months is a reasoned choice, not a legal requirement: a lawyer should confirm it.

Your rights

At any time, free of charge, you can:

access the data I hold about you,
have it corrected if it is wrong,
ask for it to be erased,
ask me to restrict it, or object to a use of it,
ask for a portable copy,
withdraw your consent, without affecting what was done before.

Write to contact@ruh-therapy.com. I reply within 30 days.

If my answer does not satisfy you, you can complain to the authority in your country: CNDP (Morocco), CNIL (France), AEPD (Spain) or the Data Protection Authority (Belgium).

Cookies and analytics

This site uses no advertising cookies and no analytics. There is no banner to accept, and that is deliberate.

One technical exception: these legal pages remember the language you pick (ruh-legal-lang) in your browser's local storage. Nothing leaves your device and none of it reaches me; clearing the site's data removes it.

One real caveat. The site's fonts load from Google's servers, which sends your IP address to Google before you have clicked anything. A German court found this contrary to the GDPR (LG München I, 2022) — a first-instance decision rather than settled European case law, but not worth the exposure. Self-hosting the fonts removes the problem entirely — an hour's technical change, and it is on the plan.

Security

The site is served over HTTPS. The accounts behind the calendar and the mailbox use two-factor authentication. Session notes are kept [TO COMPLETE] — medium and protection to be specified.

No system is perfectly secure. If a breach occurs that is likely to put you at high risk, I will tell you without undue delay, and the supervisory authority within 72 hours.

Changes

If this notice changes, the date at the top changes with it. For a significant change I email the people I am accompanying.