Politique de confidentialité

1. Données collectées

Nous ne collectons que ce qui est nécessaire au fonctionnement de votre radar.

• Compte : adresse e-mail, mot de passe (stocké uniquement sous forme de hachage scrypt), nom d’affichage, langue, pays, fuseau horaire, offre et rôle. Les comptes invités n’ont pas d’e-mail.
• Votre radar : éléments suivis (nom, fabricant, modèle ou version, identifiants tels que GTIN, VIN ou version, URL de pages officielles enregistrées, notes), appartenance aux espaces et invitations.
• Activité : alertes affichées, statut de lecture et d’action, notes, retours (par ex. « non concerné ») et préférences de notification.
• Notifications : point de terminaison et clés d’abonnement push des navigateurs que vous activez.
• Fonctions développeurs : noms des clés d’API et clés hachées, URL de webhooks et secrets de signature, nombre quotidien de requêtes.
• Mesure d’audience : chemin de la page, langue, site référent, pays (en-tête de notre CDN), type d’appareil, famille de navigateur et de système, balises UTM et un identifiant de visiteur obtenu par hachage irréversible de l’adresse IP et de l’agent utilisateur avec un sel renouvelé chaque jour. Nous ne conservons pas les adresses IP brutes pour la mesure d’audience.
• Journaux de sécurité : sessions (jeton haché, agent utilisateur, IP hachée), journaux d’audit des actions sensibles et journaux serveur de courte durée.

2. Données non collectées

• Mots de passe ou jetons de connexion d’autres services.
• Données bancaires, de carte ou de paiement (le Service est gratuit pendant la bêta).
• Le contenu de votre messagerie ou de vos messages.
• Localisation précise, contacts, caméra ou microphone.

3. Finalités et bases légales

• Fournir le Service : rapprocher vos éléments des événements officiels, afficher les alertes et envoyer les notifications que vous avez activées (exécution du contrat ; art. 6.1.b RGPD).
• Sécuriser les comptes et prévenir les abus, y compris par la limitation des requêtes (intérêt légitime ; art. 6.1.f).
• Améliorer les correspondances grâce à vos retours, d’abord pour votre seul radar puis, de manière agrégée, uniquement lorsque plusieurs personnes différentes sont d’accord indépendamment ; les règles agrégées n’identifient pas les contributeurs (intérêt légitime).
• Comprendre l’usage de manière agrégée et corriger les problèmes (intérêt légitime ; identifiants hachés uniquement).
• Envoyer les e-mails du service (réinitialisation, invitations, alertes demandées) (contrat). E-mails marketing uniquement avec votre consentement, retirable à tout moment (art. 6.1.a).

4. Durées de conservation

• Données de compte et du radar : jusqu’à la suppression de votre compte, qui est immédiate et irréversible.
• Comptes invités : supprimés après 90 jours d’inactivité.
• Sessions : jusqu’à 30 jours ; jetons de réinitialisation et de vérification : jusqu’à 24 heures.
• Mesure d’audience (pages vues) : 400 jours.
• Journaux de vérification des sources : 90 jours. Journaux d’événements produit : 400 jours.
• Exports demandés : disponibles 7 jours.
• Journaux d’audit de sécurité : jusqu’à 1 an, sauf obligation légale plus longue.

5. Sous-traitants et transferts internationaux

Nous ne vendons ni ne louons de données personnelles et ne les communiquons pas à des tiers pour leurs propres fins. Nous confions des traitements aux prestataires suivants, liés par des contrats de confidentialité et de sécurité :

• Cloudflare, Inc. (États-Unis, réseau mondial) : diffusion du site, CDN et sécurité.
• Railway Corp. (États-Unis) : serveurs applicatifs et base de données PostgreSQL.
• Resend (États-Unis) : envoi des e-mails du service et des alertes (adresse e-mail, contenu).
• Services push des navigateurs (Google, Mozilla, Apple, Microsoft) : acheminement des notifications activées (contenu chiffré).
• OpenAI, L.L.C. (États-Unis) : résumé d’avis publics de sources officielles. Seul le texte public est envoyé, jamais votre compte, vos éléments ou d’autres données personnelles.

Ces prestataires peuvent traiter des données hors de votre pays, notamment aux États-Unis. Lorsque c’est nécessaire, les transferts reposent sur des décisions d’adéquation, des clauses contractuelles types ou votre consentement. Au sens de la PIPA, les données transférées, le pays de destination, le moment et le moyen (lors de l’utilisation du Service, par réseau), le destinataire et la finalité sont indiqués ci-dessus ; vous pouvez refuser en n’utilisant pas la fonction concernée ou en supprimant votre compte.

6. Vos droits

Vous pouvez accéder à vos données, les rectifier, les exporter (JSON ou CSV) et les supprimer dans Réglages → Données. Vous pouvez aussi vous opposer au traitement, le limiter, retirer votre consentement et introduire une réclamation auprès de votre autorité (en France, la CNIL). Les résidents californiens disposent des droits de savoir, de supprimer, de rectifier et de ne pas être discriminés ; nous ne vendons ni ne partageons de données pour de la publicité comportementale. Écrivez-nous ; nous répondrons sous 30 jours.

7. Cookies et stockage local

Nous utilisons un seul cookie strictement nécessaire (rr_session) pour maintenir votre connexion. Quelques préférences (thème, langue, bannières fermées) sont stockées dans le stockage local de votre navigateur. Aucun cookie publicitaire ou traceur tiers n’est utilisé.

8. Destruction

À l’expiration de la durée de conservation ou à la suppression de votre compte, les données sont effacées immédiatement et de manière irrécupérable de la base active ; les sauvegardes de l’hébergeur expirent selon leur cycle (30 jours maximum).

9. Sécurité

Chiffrement en transit (TLS/HSTS), hachage des mots de passe et jetons, contrôle de propriété côté serveur à chaque requête, politique de sécurité du contenu stricte, limitation des requêtes, accès au moindre privilège et protection SSRF. Aucun système n’est infaillible ; nous notifierons toute violation comme la loi l’exige.

10. Enfants

Le Service ne s’adresse pas aux enfants. Il faut avoir 14 ans en Corée, 13 ans aux États-Unis et l’âge du consentement numérique de son pays dans l’UE (13 à 16 ans ; 15 ans en France). Si nous apprenons avoir collecté les données d’un enfant plus jeune, nous les supprimerons.

11. Responsable de la confidentialité et contact

Responsable : équipe confidentialité de Reality Radar, Project Team For You. E-mail : projectteamforyou@gmail.com. Nous traitons les demandes en coréen et en anglais.

12. Modifications

Toute modification importante sera annoncée sur cette page et par e-mail ou dans l’application au moins 7 jours avant son entrée en vigueur (30 jours si elle vous est défavorable).