Confidentialité & RGPD

La présente politique décrit la manière dont Vibreizh (micro-entreprise) collecte et traite vos données personnelles dans le cadre de l'application Vibreizh, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés » du 6 janvier 1978 modifiée.

1. Responsable de traitement

Vibreizh — micro-entreprise, 6 Riolo, 56490 Guilliers, France — SIRET 837 620 269 00022.
Contact : contact@vibreizh.app.

Compte tenu de la taille de la structure (micro-entreprise individuelle), aucun Délégué à la Protection des Données (DPO) n'a été désigné. Toutes les demandes RGPD sont à adresser au point de contact ci-dessus.

2. Données collectées

Nous collectons uniquement les données strictement nécessaires au fonctionnement du service :

a) Données de compte

• Adresse e-mail — obligatoire (identifiant de connexion et récupération du mot de passe).
• Mot de passe — obligatoire, stocké uniquement sous forme hachée (bcrypt) par le prestataire d'authentification ; jamais accessible en clair.
• Pseudonyme d'affichage (display_name) — obligatoire, choisi par l'utilisateur.
• Mascotte préférée (Kenan, Kenane ou Izhi) — facultatif, préférence d'interface.
• Identifiant technique interne (UUID) et horodatages de création/mise à jour du profil.

Nous ne collectons ni nom, ni prénom, ni date de naissance, ni adresse postale, ni numéro de téléphone.

b) Données d'usage

• Lieux visités (table visited_places) : identifiant du lieu, horodatage de la visite, coordonnées GPS au moment de la validation (utilisées pour vérifier la proximité).
• Favoris (table favorites) : identifiants des lieux mis en favoris.
• Lieux masqués (table user_dismissed_places) : préférences d'affichage.
• Avis / notes (table reviews) : texte de l'avis, note, lieu concerné (associés à votre pseudonyme public).
• Progression des défis (îles, phares, Cercle des Hermines, explorateur) — calculée à partir des visites.

c) Données de paiement (soutien / Pass)

• Aucune donnée bancaire ne transite ni n'est stockée sur nos serveurs. Le paiement est intégralement traité par Stripe.
• Nous ne recevons que : identifiant client Stripe, statut d'abonnement (Pass Vibreizh), montant, date, échéance d'engagement, référence de la transaction (table subscriptions).

d) Données de géolocalisation

• Position GPS ponctuelle utilisée uniquement, avec votre autorisation explicite du navigateur, pour : afficher les lieux à proximité, calculer les itinéraires, et valider une visite. La position n'est pas conservée en base au-delà de la validation d'une visite (elle est alors associée à l'entrée visited_places correspondante).

e) Données techniques et de mesure d'audience

• Journaux d'authentification (adresse IP, horodatage, agent utilisateur) — gérés par le prestataire d'authentification à des fins de sécurité.
• Mesure d'audience via PostHog (hébergement UE, Francfort) : pages consultées, événements produit anonymisés, identifiant PostHog associé à l'UUID de compte uniquement après authentification (person_profiles: identified_only). Aucun cookie publicitaire ni traceur tiers n'est déposé.

f) Rôles administrateurs

La table user_roles associe un rôle (utilisateur, modérateur, administrateur) à l'UUID d'un compte. Elle est utilisée pour contrôler l'accès aux outils de modération.

3. Finalités et bases légales

4. Sous-traitants et destinataires

Nous nous appuyons sur les sous-traitants suivants, encadrés par un accord conforme à l'article 28 du RGPD :

Aucune donnée personnelle n'est vendue ni cédée à des tiers à des fins commerciales.

5. Durée de conservation

• Compte utilisateur (profil, e-mail, pseudo, mascotte) — pendant toute la durée d'utilisation du compte, puis suppression sous 30 jours après demande. Une inactivité supérieure à 3 ans peut entraîner la suppression du compte après notification préalable.
• Favoris, lieux masqués, progression des défis — supprimés en même temps que le compte.
• Lieux visités et coordonnées GPS associées — les coordonnées GPS précises (latitude, longitude, précision) enregistrées lors de la validation d'une visite sont automatiquement effacées au bout de 12 mois ; seuls le lieu et la date de visite sont conservés pour vos défis et badges. L'ensemble est supprimé sous 30 jours après clôture du compte.
• Avis publiés — conservés tant que le compte est actif. À la suppression du compte, les avis sont soit supprimés, soit anonymisés (pseudonyme remplacé par « Utilisateur Vibreizh »).
• Données de paiement (Pass, dons) — 10 ans par Stripe et dans nos écritures comptables, conformément à l'article L.123-22 du Code de commerce.
• Journaux d'authentification et de sécurité — 12 mois maximum.
• Données d'audience PostHog — 12 mois glissants.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, et droit de retirer votre consentement à tout moment (notamment pour la géolocalisation).

Droit à la suppression du compte et des données : vous pouvez demander à tout moment la suppression définitive de votre compte Vibreizh et de l'intégralité des données associées (profil, historique, favoris, défis, avis). Pour cela, envoyez un e-mail à contact@vibreizh.app depuis l'adresse associée à votre compte, ou utilisez la fonction de suppression disponible dans les Paramètres. La suppression est effective sous 30 jours, à l'exception des données dont la conservation est exigée par la loi (justificatifs comptables liés à un don ou à un abonnement Pass).

Pour exercer un droit, écrivez-nous à contact@vibreizh.app. Une réponse vous sera apportée dans un délai maximum d'un mois.

Vous pouvez également introduire une réclamation auprès de la CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

7. Cookies et stockage local

Vibreizh utilise uniquement des éléments de stockage local strictement nécessaires : session d'authentification, préférence de mascotte, sauvegarde temporaire de la recherche (itinéraire, filtres Explorer). Un cookie / stockage local est utilisé par PostHog pour la mesure d'audience anonymisée. Aucun cookie publicitaire ni traceur tiers de profilage n'est déposé.

8. Sécurité

Connexions chiffrées HTTPS/TLS, mots de passe hachés (bcrypt), isolation stricte des données par Row Level Security (RLS), accès aux outils d'administration restreint par rôles. En cas de violation susceptible de présenter un risque pour vos droits, vous serez informé(e) sans délai injustifié, conformément à l'article 34 du RGPD.

9. Mineurs

L'application n'est pas destinée aux enfants de moins de 15 ans. Toute inscription d'un mineur doit être effectuée sous la responsabilité et avec le consentement de ses représentants légaux (art. 8 RGPD).

10. Modification de la politique

La présente politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. Toute modification substantielle sera signalée dans l'application.

11. Contact

Pour toute question relative à vos données personnelles : contact@vibreizh.app.