1. Responsable du traitement
Devoni, éditeur de l'application Vibes.
- Siège : 6 rue Jean Andreani, 13090 Aix-en-Provence, France
- SIREN : 992 058 461
- Contact RGPD : contact@devoni.fr (un délégué à la protection des données sera désigné si l'activité dépasse 250 employés ou implique un traitement à grande échelle de données sensibles)
2. Données collectées
| Catégorie | Finalité | Base légale |
|---|---|---|
| Email, pseudo, mot de passe haché | Authentification, identification | Exécution du contrat |
| Position GPS (précise / floutée) | Affichage de posts à proximité | Consentement (réglage iOS/Android) |
| Posts (texte, photo, position) | Diffusion publique sur la carte | Exécution du contrat |
| Likes, commentaires | Interactions sociales | Exécution du contrat |
| Signalements | Modération de la communauté | Intérêt légitime |
| Adresse IP, user-agent | Sécurité, anti-spam (journaux d'accès, limitation des requêtes) | Intérêt légitime |
| Données de paiement (Stripe) | Abonnement Partenaire | Exécution du contrat |
2.1. Précision géographique : minimisation
L'utilisateur peut publier un post avec 3 niveaux de précision :
- Exact : coordonnées GPS du téléphone
- ≈ 100 m : coordonnées floutées dans un rayon de 100 m
- Zone : coordonnées floutées dans un rayon de 500 m
Le floutage est appliqué sur l'appareil de l'utilisateur, avant tout appel réseau. Le serveur ne reçoit donc jamais la position exacte lorsque l'utilisateur a choisi « ≈ 100 m » ou « Zone ». C'est notre principale défense contre la triangulation par l'infrastructure ou par compromission des journaux serveur.
3. Destinataires
Les données sont accessibles à :
- l'utilisateur lui-même (profil, posts, etc.)
- les autres utilisateurs (uniquement les données publiques : pseudo, nom affiché, posts publics, position floutée selon le réglage)
- les modérateurs et administrateurs (pour les besoins de la modération)
- les sous-traitants techniques (voir §4)
Les données ne sont jamais vendues ni cédées à des tiers à des fins commerciales.
4. Sous-traitants
Vibes recourt aux sous-traitants suivants (article 28 du RGPD). Chacun fait l'objet d'un contrat de sous-traitance imposant la confidentialité et le respect du RGPD :
| Service | Rôle | Localisation des données |
|---|---|---|
| Neon | Hébergement base de données | Union européenne |
| Fly.io | Hébergement de l'API | Union européenne |
| Cloudflare R2 | Stockage médias (photos, avatars) | Union européenne et pays limitrophes |
| Sentry | Journaux d'erreurs | Union européenne |
| Stripe | Paiement partenaires | Union européenne / États-Unis |
| Resend | Envoi d'e-mails transactionnels (vérification, réinitialisation, notifications) | Union européenne (Irlande) |
5. Transferts hors UE
Cloudflare R2 et Stripe peuvent impliquer un transfert hors Union européenne (notamment vers les États-Unis). Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne ou les mécanismes équivalents (Data Privacy Framework).
6. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte actif | Tant que le compte existe |
| Compte supprimé, avant purge définitive | 30 jours |
| Posts d'un compte supprimé | Anonymisés immédiatement, conservés 30 jours |
| Posts supprimés par modération | Conservés 1 an (preuve) |
| Signalements résolus | Conservés 1 an (statistiques) |
| Journaux d'accès (IP, user-agent) | 12 mois (article 6 de la LCEN) |
| Notifications lues | 90 jours (puis purge) |
7. Droits des personnes (articles 15 à 22 du RGPD)
Tu disposes des droits suivants, exerçables :
directement dans l'app :
- Droit d'accès (article 15) : bouton « Exporter mes données » dans Paramètres → renvoie un fichier structuré, au format JSON, contenant l'intégralité de tes données
- Droit à l'effacement (article 17) : bouton « Supprimer mon compte » dans Paramètres → désactivation et anonymisation immédiates (marche à suivre détaillée : Suppression de compte)
- Droit de rectification (article 16) : édition du profil dans Paramètres
sur demande à contact@devoni.fr :
- Droit à la limitation (article 18)
- Droit à la portabilité (article 20) — en complément de l'export ci-dessus
- Droit d'opposition (article 21)
- Droit de réclamation auprès de la CNIL
Réponse dans un délai d'un mois maximum (article 12 du RGPD).
8. Sécurité
- Mots de passe protégés par argon2id (recommandation OWASP en vigueur)
- Sessions à jetons séparés — un jeton d'accès de courte durée et un jeton de renouvellement, ce dernier conservé sous forme hachée, renouvelé à chaque usage et révoqué dès qu'une réutilisation est détectée
- HTTPS strict (HSTS)
- Limitation du nombre de requêtes, globale et par fonctionnalité (inscription, connexion, publication, signalement)
- Validation stricte de toutes les données reçues avant traitement
- Journaux d'accès isolés, avec masquage automatique des champs sensibles
9. Cookies et stockage local
L'Application conserve localement, dans le coffre-fort sécurisé du système d'exploitation (Trousseau iOS, stockage chiffré Android) :
- le jeton de renouvellement de session (chiffré par le système)
- le jeton d'accès (en mémoire uniquement, perdu à la fermeture de l'app)
Aucun cookie de tracking publicitaire. Pas de Google Analytics.
10. Modifications
Cette politique peut évoluer. Les modifications substantielles sont notifiées via un bandeau dans l'Application, et un nouveau consentement explicite est recueilli si nécessaire.
11. Contact
- Questions relatives à la confidentialité : contact@devoni.fr
- CNIL : www.cnil.fr