Politique de confidentialité (RGPD)

Information des personnes concernées (art. 12 à 14 du RGPD) et loi Informatique et Libertés.

1. Responsable de traitement et contact

Le responsable de traitement est l'éditeur du Service « Cherche Autour », identifié dans les Mentions légales.

• Identité : Cédric Darnoux (personne physique).
• Adresse postale : disponible sur demande à contact@chercheautour.fr.
• Contact privacy / RGPD : contact@chercheautour.fr.
• Délégué à la protection des données (DPO) : non désigné (non obligatoire pour cette activité).

2. Catégories de données traitées

Selon votre usage du Service, nous pouvons traiter :

• Compte : adresse email, mot de passe haché (jamais stocké en clair. Absent pour les comptes Google-only), prénom / nom optionnel, image de profil éventuelle (OAuth Google), rôle technique (USER / ADMIN), dates de création / mise à jour, date de dernière connexion (lastLoginAt), email vérifié.
• OAuth Google : identifiants et profil limités fournis par Google lors de la connexion (email, nom, photo le cas échéant).
• OTP email (2FA) : email, hash du code à 6 chiffres, date d'expiration (TTL court, typiquement 10 minutes), nombre de tentatives, finalité (login / register).
• Préférences : publics d'intérêt, catégories, rayon (km), inclusion d'événements payants, fourchette de prix, rayon d'alerte par défaut, ville enregistrée (libellé, latitude, longitude, code pays).
• Likes / dislikes : identifiant d'événement et valeur liés au compte.
• Rappels email (EventReminder) : identifiant d'événement, titre / lieu / date éventuellement copiés pour l'envoi, horaire de rappel, type de rappel, rayon, statut d'envoi.
• Formulaire de contact : nom / email / sujet / message transmis pour répondre à votre demande.
• Session d'authentification : jeton de session (cookie essentiel Auth.js / NextAuth). Durée typique : environ 30 jours, ou jusqu'à environ 90 jours si « Rester connecté ».
• Cookie de recherche ca_search : filtres d'accueil (ville, rayon, audiences, catégories, dates, saisons, prix, état ouvert/fermé des filtres) stockés côté navigateur.
• Stockages locaux : thème (ca-theme), langue (ca-locale), consentement cookies (el-cookie-consent).
• Géolocalisation navigateur : uniquement si vous l'autorisez (prompt du navigateur), pour centrer la recherche. Peut aussi être remplacée par le choix d'une ville (Nominatim / OpenStreetMap).
• Logs techniques : logs applicatifs et reverse-proxy limités (adresse IP, user-agent, horodatage), conservés le temps nécessaire à la sécurité et au diagnostic (ordre de grandeur : quelques semaines), selon la configuration de l'hébergeur.
• StoredEvent (catalogue agrégé) : données d'événements / lieux open data importées par cron. Ce ne sont pas des données personnelles d'utilisateurs du Service. Elles appartiennent aux producteurs tiers (voir Sources).

Ce MVP ne collecte pas de données de paiement in-app. Les dons volontaires via PayPal.me sont traités par PayPal (tiers). Aucun outil analytique tiers n'est activé tant que vous n'avez pas consenti à la catégorie « analytique » (placeholder).

3. Finalités et bases légales

• Création et gestion du compte, connexion email / OTP, Google OAuth, session : exécution du contrat / mesures précontractuelles (art. 6.1.b RGPD).
• Préférences, likes, fil personnalisé, rappels email : exécution du contrat (art. 6.1.b).
• Freemium et limitation d'accès anonyme (4 événements) : intérêt légitime à proposer un modèle freemium et à maîtriser la charge (art. 6.1.f), aussi lié au contrat une fois inscrit.
• Formulaire de contact : intérêt légitime à répondre aux demandes (art. 6.1.f) et / ou mesures précontractuelles (art. 6.1.b).
• Sécurité, prévention des abus, suivi de dernière connexion, purge d'inactivité 24 mois : intérêt légitime (art. 6.1.f).
• Cookies / stockages strictement nécessaires (session, ca_search, thème, locale, mémorisation du consentement, PWA) : intérêt légitime / exemption ePrivacy pour les traceurs nécessaires au service demandé.
• Cookies analytiques (si activés ultérieurement) : consentement (art. 6.1.a RGPD / ePrivacy).
• Géolocalisation navigateur : consentement via le prompt du navigateur (art. 6.1.a).
• Agrégation open data / StoredEvent : intérêt légitime à fournir un catalogue d'événements (art. 6.1.f). Ces données ne sont en principe pas des données personnelles d'utilisateurs.
• Obligations légales le cas échéant (art. 6.1.c).

4. Destinataires

• Personnel habilité de l'éditeur.
• Hébergeur : OVH SAS / OVHcloud (France), VPS éventuel. Voir Mentions légales.
• Google : uniquement si vous utilisez la connexion OAuth Google (authentification).
• Resend et / ou SMTP : si configurés, pour l'envoi des codes OTP, rappels EventReminder et messages du formulaire de contact.
• PayPal : uniquement si vous cliquez sur le lien de don volontaire PayPal.me (paiement hors du Service).
• APIs open data / géocodage : requêtes vers les sources listées sur Sources (peuvent recevoir une position approximative ou des critères de recherche) pour l'import et la recherche.
• Autorités compétentes si obligation légale.

Pas de revente de données personnelles.

5. Transferts hors EEE

L'hébergement prévu est en France (OVH). Les traitements principaux sont conçus pour rester dans l'Espace économique européen (EEE).

Google (OAuth) peut impliquer des transferts hors EEE. Les garanties applicables sont les engagements contractuels de Google et les clauses contractuelles types (SCCs) publiées par Google pour les services Workspace / Cloud Identity. Les emails transactionnels sont envoyés via SMTP OVH (EEE). Si Resend ou un autre sous-traitant email hors EEE est activé ultérieurement, des garanties équivalentes (SCCs / DPA) seront documentées.

6. Durées de conservation

• Compte, préférences, likes, rappels actifs : tant que le compte est actif. Suppression à la demande (profil) ou après 24 mois d'inactivité (pas de connexion enregistrée).
• OTP : durée courte (environ 10 minutes), puis purge des codes expirés.
• EventReminder : jusqu'à l'envoi, la désactivation, la suppression du rappel / du compte, ou la date de l'événement passée selon le traitement technique.
• Messages de contact : 12 mois puis suppression.
• Session auth : durée du cookie / jeton (environ 30 à 90 jours selon « Rester connecté »).
• Cookie ca_search : environ 60 jours (renouvelable tant que vous utilisez les filtres).
• Consentement / thème / locale (localStorage) : jusqu'à retrait ou effacement local.
• StoredEvent : cache technique d'open data, mis à jour par import (pas une conservation de données utilisateur).
• Logs hébergeur : selon la politique OVHcloud applicable au VPS (typiquement jusqu'à 12 mois max pour certains logs).

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité (lorsque applicable), et du droit de retirer votre consentement à tout moment (sans affecter la licéité du traitement antérieur).

Vous pouvez exercer l'effacement directement depuis la page Profil (suppression de compte) ou écrire à contact@chercheautour.fr / page Contact. Vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr.

8. Sécurité

Mesures notamment : hachage des mots de passe (bcrypt), OTP hashés, session via Auth.js, limitation de débit (rate limit) sur certaines actions, HTTPS en production, secrets d'environnement (AUTH_SECRET, etc.).

9. Mineurs

Le Service n'est pas destiné aux enfants de moins de 15 ans sans titulaire de l'autorité parentale, conformément au droit français applicable au consentement numérique.

10. Décisions automatisées

Aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l'article 22 du RGPD n'est mise en œuvre. Le filtrage freemium et les suggestions de saisons sont des fonctionnalités techniques sans profilage à impact significatif.

11. Mise à jour de la politique

La présente politique peut être mise à jour. La date en tête de page fait foi. Les changements substantiels pourront être signalés sur le Service ou par email lorsque cela est pertinent.