Confidentialité
Mise à jour le
Cette page décrit les données traitées par le site involucrum.org et l'application app.involucrum.org, les prestataires qui y ont accès, le stockage dans votre navigateur et vos droits.
Responsable du traitement
L'éditeur d'Involucrum (voir les mentions légales). Contact : support@involucrum.org.
Données, finalités et bases légales
- Compte et connexion : adresse email, mot de passe (conservé sous forme hachée par le service d'authentification) ou lien de connexion envoyé par email, nom de profil. Pour vous identifier et sécuriser l'accès ; base légale : exécution du contrat.
- Cercles et contenus : noms et emails des membres, invitations, éditions, contributions (textes et photos), commentaires. Pour fournir le service, publier les éditions et envoyer les emails nécessaires à son fonctionnement (bienvenue, invitations, rappels, publication) ; base légale : exécution du contrat. Les données nécessaires à la création du compte et aux invitations conditionnent ces fonctionnalités ; le dépôt de souvenirs est facultatif.
- Demandes de support : message, email, identifiant de compte et de cercle, page concernée, version de l'application, navigateur et, le cas échéant, référence de l'erreur technique associée. Pour répondre à votre demande et corriger le problème ; base légale : exécution du contrat.
- Sécurité et fonctionnement : journal des opérations (emails envoyés, publications, suppressions), file d'envoi des emails, compteurs anti-abus associés à votre identifiant ou à votre email, sauvegarde mensuelle des cercles, éditions et membres. Pour prévenir les abus et pouvoir restaurer le service ; base légale : intérêt légitime.
- Liste d'attente Premium : email et, le cas échéant, cercle associé, pour vous prévenir de sa disponibilité. Base légale : votre consentement, retirable par email.
- Mesure d'audience avec cookies (PostHog) : pages vues avec les liens privés anonymisés, informations sur le navigateur, identifiant d'audience, identifiant de compte une fois connecté (jamais l'email), étapes du parcours et provenance des campagnes (paramètres
utm_*), sans le contenu de vos souvenirs. Aucun enregistrement de session. Base légale : votre consentement. Rien n'est envoyé ni déposé sans accord, ni si votre navigateur signale « Do Not Track ». - Mesure d'audience sans cookies sur le site (Vercel Web Analytics, page d'accueil d'involucrum.org) : pages vues, provenance, type d'appareil, pays, sans cookie ni identifiant persistant. Base légale : intérêt légitime à connaître la fréquentation du site.
- Suivi des erreurs (Sentry) : détails techniques de l'erreur, navigateur et page concernée, sans reproduction de session ni capture de l'affichage. Détail dans la section suivante. Base légale : intérêt légitime à détecter et corriger les pannes.
- Paiement : l'offre payante n'est pas ouverte à ce jour. Si elle l'est, le paiement sera traité par Stripe : coordonnées de facturation et moyen de paiement sont saisis chez Stripe et ne nous sont pas transmis ; nous conservons l'état de l'abonnement du cercle. Base légale : exécution du contrat et obligations comptables.
Suivi des erreurs
Le site et l'application utilisent Sentry pour être prévenus des pannes. Ce suivi fonctionne sans votre consentement, sur la base de notre intérêt légitime, parce qu'il ne sert qu'à corriger les erreurs et est configuré pour limiter les données collectées :
- Sentry Replay est désactivé sur le site et l'application, même lorsqu'une erreur survient : aucun enregistrement de session ni capture de l'affichage ;
- l'envoi par défaut de données personnelles (adresse IP, cookies, identité de l'utilisateur) n'est pas activé ;
- dans l'application, les liens privés (contribution, invitation) et les jetons de connexion sont retirés des adresses avant envoi ;
- des mesures de performance sont échantillonnées sur 10 % des navigations.
Vous pouvez vous opposer à ce traitement en écrivant à support@involucrum.org.
Destinataires et prestataires
Vos contenus sont accessibles aux membres de votre cercle et aux personnes disposant des liens privés que vous leur transmettez. Les personnes habilitées à assurer le support y ont accès lorsque c'est nécessaire. Vos données ne sont pas vendues. Les prestataires suivants interviennent dans le fonctionnement du service ; certains, notamment Stripe, traitent aussi des données pour leurs propres obligations :
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| Supabase | Base de données, authentification, stockage des photos, fonctions serveur | Union européenne (Paris, France) ; société établie à Singapour |
| Vercel | Hébergement du site et de l'application, mesure d'audience sans cookies du site | Déploiements de production déclarés en iad1 (Washington, États-Unis), diffusion via un réseau mondial ; pas de résidence exclusivement UE |
| Resend | Envoi des emails (connexion, bienvenue, invitations, rappels, publications, support) et de la sauvegarde mensuelle à l'administrateur | Domaine d'envoi vérifié en eu-west-1 (Irlande) ; contenu des messages, journaux de livraison et données de compte stockés aux États-Unis |
| PostHog | Mesure d'audience avec cookies, après consentement ; événements de paiement transmis par le serveur | Union européenne (cloud EU) |
| Sentry | Suivi des erreurs et performance, sans reproduction de session | Événements en Allemagne, hôte de collecte ingest.de.sentry.io vérifié sur les deux fronts ; certaines données de compte, métadonnées et données de support aux États-Unis |
| Google Fonts | Polices de caractères chargées depuis les serveurs de Google : votre adresse IP et votre navigateur leur sont transmis | États-Unis |
| Stripe | Paiement, uniquement si l'offre payante est ouverte (ce n'est pas le cas à ce jour) | Traitements internationaux, notamment aux États-Unis ; aucune région de stockage exclusive vérifiée pour notre compte [à confirmer avant activation] |
| cron-job.org | Déclenche les tâches planifiées ; reçoit les URL techniques, en-têtes d'authentification et statuts d'exécution, pas les souvenirs ni les photos | Service établi en Allemagne ; localisation effective des serveurs d'exécution [à confirmer] |
| Google (Gmail) | Réception par l'administrateur des sauvegardes mensuelles envoyées par Resend | Boîte Gmail, sans région UE garantie pour ce compte ; localisation et garanties applicables [à confirmer] |
Transferts hors de l'Union européenne
Une région de collecte ou d'envoi dans l'UE ne garantit pas que tous les traitements restent dans l'UE. Les garanties publiques ci-dessous ont été consultées le 26 octobre 2026. DPA désigne l'accord de traitement des données, CCT les clauses contractuelles types de la Commission européenne et DPF le cadre de protection des données UE/États-Unis. Une certification DPF ne remplace pas un DPA de sous-traitance.
- Vercel : certification DPF active. Le DPA public et ses CCT visent les plans Pro et Enterprise ; plan et contrat applicables à notre compte [à confirmer]. Voir aussi les régions et le réseau mondial.
- Resend : le DPA standard couvre tous les plans, avec CCT. La fiche DPF indique « Active - Re-certification under Review ». La région d'envoi ne détermine pas le stockage. Copie du DPA rattachée au compte à archiver.
- Sentry : certification DPF active ; DPA et CCT de repli. Acceptation effective du DPA dans notre organisation [à confirmer]. La garantie régionale ne couvre pas toutes les métadonnées ni le support.
- Stripe : certification DPF active, DPA et accord de transfert avec CCT. L'entité contractante et le contrat de notre compte restent [à confirmer avant activation] ; la facturation reste désactivée.
- cron-job.org : la politique de confidentialité décrit les données des tâches ; le contact est en Allemagne. Les sources publiques consultées n'établissent ni localisation exhaustive des traitements ni DPA/CCT applicable au compte [à confirmer].
- Google, dont Gmail : mécanismes de transfert Google et certification DPF active. Aucun engagement de résidence UE ni DPA Google Workspace n'est présumé applicable à la boîte Gmail de sauvegarde ; contrat approprié [à confirmer].
Vous pouvez demander des précisions et une copie des garanties applicables à support@involucrum.org. Les mentions « à confirmer » signalent les preuves encore manquantes, pas des garanties acquises.
Durées de conservation
- Compte : jusqu'à sa suppression. La suppression du compte se demande par email à support@involucrum.org.
- Cercle, éditions et contributions : jusqu'à la suppression du cercle, sauf suppression antérieure d'un contenu. La limite de six mois de l'offre gratuite concerne l'accès aux anciennes éditions, pas leur suppression automatique.
- Demandes de support dans l'application : conservées tant que le compte existe, puis supprimées avec lui. Le formulaire ne collecte actuellement aucune capture d'écran. Les emails reçus dans la boîte support@involucrum.org, y compris les copies des tickets, ne sont pas couverts par cette suppression : leur effacement se demande séparément à cette adresse.
- Journal des opérations, file d'envoi des emails et compteurs anti-abus : politique retenue de 3 mois, dont la purge automatique reste à activer. Les emails encore en attente ou en cours d'envoi ne sont jamais purgés ; les emails terminés sont conservés 3 mois après leur dernière activité d'envoi. Les compteurs sont purgés selon leur fenêtre ou journée de comptage, le journal selon la date de l'opération.
- Sauvegardes mensuelles (cercles, éditions, membres, métadonnées des contributions, sans le texte des souvenirs ni les photos) : durée retenue de 12 mois. Ce sont des pièces jointes JSON envoyées via Resend dans la boîte Gmail de l'administrateur, pas des sauvegardes stockées dans Supabase. L'effacement des copies de plus de 12 mois dans la boîte, la corbeille et les téléchargements doit être effectué par l'administrateur ; son application et la conservation des copies chez Resend restent [à confirmer]. La purge de la base ne supprime pas ces pièces jointes.
- Liste d'attente : jusqu'à l'annonce de disponibilité ou au retrait de votre inscription.
- Mesure d'audience (PostHog) : fenêtre de consultation des événements de 1 an sur le plan gratuit effectivement utilisé, vérifié le 26 octobre 2026. Cette fenêtre ne garantit pas leur effacement physique : délai de suppression chez le prestataire [à confirmer]. Voir la politique de rétention PostHog. Le cookie expire après 1 an.
- Erreurs et performance (Sentry) : [durée à confirmer pour le plan utilisé] chez le prestataire. Replay est désactivé ; cette désactivation ne supprime pas les reproductions éventuellement collectées auparavant, dont la conservation reste [à confirmer].
Cookies et stockage dans le navigateur
Le stockage nécessaire à la connexion et au fonctionnement du service est distinct de la mesure d'audience. Le cookie de mesure d'audience n'est déposé qu'avec votre accord. Votre choix est mémorisé environ 6 mois (182 jours) et partagé entre le site et l'application. Refuser ne bloque pas le service.
Vous pouvez accepter, refuser ou retirer votre accord à tout moment : . Le retrait arrête les nouvelles captures d'audience ; il ne supprime pas les données déjà transmises.
Soumis à votre accord
| Nom | Finalité | Durée |
|---|---|---|
ph_* (cookie et stockage local, PostHog) | Identifiant d'audience commun au site et à l'application | 1 an ; effacé en cas de refus ou de retrait de l'accord |
involucrum_utm (stockage local) | Provenance de la campagne qui vous a amené, transmise avec la mesure d'audience | Jusqu'au refus ou retrait de l'accord, qui l'efface |
Nécessaires au service, sans accord
| Nom | Finalité | Durée |
|---|---|---|
involucrum_consent (cookie, site et application) | Mémoriser votre choix sur la mesure d'audience | 6 mois |
sb-…-auth-token (stockage local, application) | Session de connexion | Jusqu'à la déconnexion |
pending_invite, involucrum_was_invited (stockage local, application) | Rejoindre le bon cercle après une invitation et adapter l'accueil | Jusqu'à l'acceptation de l'invitation pour le premier ; jusqu'à effacement du navigateur pour le second |
cercle_contribution_…, cercle_offline_blocks_… (stockage local, application) | Retrouver votre brouillon de contribution et conserver le texte saisi hors connexion jusqu'à son enregistrement | Jusqu'à l'enregistrement ou la publication |
lastCircleId:… (stockage local, application) | Rouvrir le dernier cercle consulté | Jusqu'à effacement du navigateur |
involucrum_lang (stockage local, site et application) | Langue choisie | Jusqu'à effacement du navigateur |
cercle_theme (stockage local, application) | Thème clair ou sombre | Jusqu'à effacement du navigateur |
involucrum_plan, involucrum_period (stockage local, application) | Formule choisie depuis le site | Jusqu'à effacement du navigateur |
involucrum_signup_tracked (stockage local, application) | Éviter de compter deux fois une inscription | Jusqu'à effacement du navigateur |
Sentry Replay ne dépose plus de traceur. Une ancienne entrée sentryReplaySession peut subsister dans un onglet déjà ouvert jusqu'à sa fermeture.
Le stockage local reste dans votre navigateur : vous pouvez l'effacer à tout moment depuis ses réglages, ce qui vous déconnecte et réinitialise vos préférences.
Vos droits
Dans les conditions prévues par le RGPD, vous pouvez demander l'accès, la rectification, l'effacement, la limitation du traitement ou la portabilité de vos données, vous opposer aux traitements fondés sur l'intérêt légitime et retirer votre consentement sans remettre en cause les traitements antérieurs. Écrivez à support@involucrum.org. Vous pouvez aussi adresser une réclamation à la CNIL.