Politique de confidentialité

1. Qui sommes-nous

Stubo est une application communautaire de suivi de concerts, accessible sur stubo.app. Le responsable du traitement de vos données est Dimitri Robert, joignable à l'adresse [email protected].

Ce document décrit les données que nous collectons, pourquoi, combien de temps nous les conservons, et les droits dont vous disposez.

2. Données collectées

Compte

• Adresse email (identifiant de connexion et envoi des emails de service).
• Nom d'utilisateur et nom affiché.
• Mot de passe, conservé sous forme chiffrée — jamais en clair.
• Photo de profil et texte de présentation, si vous en ajoutez.

Activité dans l'application

• Les concerts que vous enregistrez comme vus, et les notes associées.
• Les événements à venir qui vous intéressent.
• Vos abonnements, vos abonnés et les comptes que vous bloquez.
• Vos contributions au catalogue (ajouts et corrections d'artistes, de lieux ou de concerts).

Paramètres

• La visibilité de votre profil (public ou privé).
• Votre abonnement aux notifications, si vous l'activez : il inclut un identifiant d'appareil fourni par votre navigateur.

Données techniques

• Votre adresse IP et votre navigateur (User-Agent), enregistrés dans les journaux du serveur à des fins de sécurité et de diagnostic.
• Un cookie de session, nécessaire pour vous maintenir connecté.
• Des données de mesure d'audience, uniquement si vous les acceptez (section 5).

3. Sur quelle base légale

• Exécution du service : les données de compte et d'activité sont nécessaires au fonctionnement de l'application.
• Votre consentement : mesure d'audience et notifications. Vous pouvez le retirer à tout moment.
• Intérêt légitime : journaux techniques, sécurité du service et prévention des abus.

4. Où sont stockées vos données, et combien de temps

Vos données sont stockées dans une base PostgreSQL hébergée en Allemagne (Hetzner, Francfort), au sein de l'Union européenne. Elles sont conservées tant que votre compte existe.

Supprimer votre compte efface définitivement l'ensemble de vos données : compte, concerts enregistrés et notes, abonnements et blocages, événements suivis, contributions au catalogue, notifications et abonnements aux notifications. Cette action est immédiate et irréversible.

Les journaux du serveur (adresse IP, navigateur) sont conservés au maximum 30 jours, puis supprimés.

5. Mesure d'audience (PostHog)

Pour comprendre comment le site et l'application sont utilisés et les améliorer, nous utilisons PostHog, dont les données sont hébergées dans l'Union européenne. Sont mesurés : les pages consultées, y compris sur la page d'accueil publique, les actions effectuées dans l'application, et l'identifiant interne de votre compte lorsque vous êtes connecté — jamais votre adresse email.

PostHog peut enregistrer le déroulé d'une session de navigation. Les champs que vous saisissez y sont masqués.

Rien n'est chargé ni déposé tant que vous n'avez pas accepté. Si vous refusez, l'outil n'est pas téléchargé du tout : aucune requête, aucun cookie, aucun identifiant. Vous pouvez changer d'avis à tout moment depuis vos paramètres, rubrique « Confidentialité ».

6. Emails et notifications

Les emails de service (bienvenue, vérification d'adresse, réinitialisation du mot de passe) sont envoyés via Resend, prestataire établi aux États-Unis. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne.

Nous n'envoyons pas de newsletter ni d'email commercial. Les notifications dans l'application et sur votre appareil sont facultatives : elles ne sont activées que si vous le demandez, et se désactivent depuis vos paramètres.

7. Images du catalogue (Cloudflare R2)

Les images publiques du catalogue (artistes, lieux) sont stockées sur Cloudflare R2 et servies depuis images.stubo.app. Ce stockage ne contient aucune donnée personnelle d'utilisateur. Votre photo de profil, elle, reste sur notre serveur d'hébergement.

8. Suggestions d'adresse (Google)

Lorsque vous renseignez le lieu d'un concert ou d'un festival, le texte que vous saisissez est transmis au service de suggestions d'adresses de Google (États-Unis), afin de vous proposer des adresses existantes. La requête part de notre serveur, jamais de votre navigateur : Google ne reçoit ni votre adresse IP, ni votre identité, ni aucun cookie, et ne peut pas relier deux saisies entre elles.

Ce traitement est nécessaire à la fonctionnalité que vous déclenchez et ne sert à aucun suivi. Si vous préférez vous en passer, les champs d'adresse restent entièrement saisissables à la main.

9. Cookies et stockage local

• Cookies techniques (session, authentification, protection contre la falsification de requêtes) : indispensables au fonctionnement du service. Ils sont exemptés de consentement et ne servent à aucun suivi.
• Mémorisation de votre choix : une entrée cookie_consent est enregistrée dans le stockage local de votre navigateur, conservée un an. Elle contient votre décision, sa date et la version de ce document. Si vous avez un compte, ce choix y est également rattaché, afin de ne pas vous le redemander à chaque appareil ; il est supprimé avec votre compte.
• Cookies de mesure d'audience : déposés uniquement après votre acceptation explicite (section 5).

Si nous modifions ce document sur le fond, votre choix vous est redemandé.

10. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition, ainsi que d'un droit à la portabilité de vos données et du droit de retirer votre consentement.

• Rectifier vos informations : vos paramètres.
• Effacer vos données : « Supprimer mon compte », dans vos paramètres. L'effacement est immédiat et complet.
• Obtenir une copie de vos données : écrivez-nous à [email protected], nous répondons sous un mois.
• Retirer votre consentement à la mesure d'audience : vos paramètres, rubrique « Confidentialité ».

Vous pouvez également introduire une réclamation auprès de la CNIL, autorité de contrôle française (cnil.fr).

11. Prestataires

Nous faisons appel aux prestataires suivants, qui peuvent traiter des données pour notre compte :

• Hetzner (Allemagne) — hébergement du serveur et de la base de données.
• Laravel Forge (États-Unis) — administration technique du serveur.
• Cloudflare (États-Unis) — nom de domaine, protection du site, stockage des images du catalogue.
• PostHog (hébergement Union européenne) — mesure d'audience, uniquement avec votre consentement.
• Resend (États-Unis) — envoi des emails de service.
• Sentry (États-Unis) — détection des erreurs techniques. Reçoit l'identifiant interne du compte, jamais votre email.
• Bunny (Slovénie) — diffusion de la police de caractères du site.
• Google (États-Unis) — suggestions d'adresses lorsque vous renseignez le lieu d'un concert. Notre serveur relaie la requête : seul le texte saisi est transmis, jamais votre adresse IP ni votre identité.

Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires.

12. Modifications

Ce document porte un numéro de version et une date, indiqués en haut de page. Toute évolution de fond entraîne une nouvelle version et, le cas échéant, une nouvelle demande de consentement.

13. Nous contacter

Pour toute question sur vos données : [email protected], ou via notre serveur Discord.