1. Qui est responsable
Le responsable du traitement est [dénomination sociale], [adresse], [email] (« RLL »). Délégué à la protection des données (DPO) : [nom ou fonction], [email DPO]. Pour les données traitées dans un Réseau, l'Opérateur de ce Réseau et RLL sont responsables conjoints (art. 26 RGPD) ; RLL est votre point de contact unique pour exercer vos droits, quel que soit le Réseau concerné.
2. Notre engagement fondateur
Personne ne doit pouvoir accéder aux données personnelles des membres — ni un autre membre, ni un Opérateur, ni un tiers. Ce n'est pas seulement une règle : c'est une contrainte de construction de la plateforme.
- Vos données sont séparées en deux ensembles : ce que vous choisissez de rendre visible (profil public : pseudonyme, nom affiché, avatar, bio, zone approximative, niveau de vérification) et ce qui est privé (année de naissance, pays, langue, consentements, position exacte, détails de vérification). L'ensemble privé n'est lisible que par vous, et cette règle est appliquée au niveau de la base de données elle-même, pas seulement dans l'application.
- Votre position exacte est stockée dans une table dédiée, lisible par vous seul. Les autres membres ne voient qu'une zone approximative, calculée côté serveur avec une distance minimale garantie (entre 300 et 800 m) par rapport à votre position réelle, à partir d'un secret propre à votre compte que personne ne peut lire. La carte de votre zone, que vous seul voyez, est dessinée à partir de ce point approximatif, arrondi à une centaine de mètres, et jamais de votre position réelle.
- Chaque règle d'accès est couverte par un test automatisé de refus ; nous vérifions aussi, à chaque livraison, que retirer une règle fait échouer le test correspondant.
- Nous ne stockons jamais de document d'identité, ni numéro ni image. Les administrateurs de la plateforme n'ont aucun accès direct à vos données privées ; chaque lecture exceptionnelle est encadrée par un motif et journalisée (article 4).
3. Quelles données, pourquoi, sur quelle base, combien de temps
Les durées indiquées sont des maximums : les suppressions sont appliquées lors de purges périodiques déclenchées par un administrateur de la plateforme, jamais par un automate.
Compte
- Données
- email, mot de passe (haché par notre fournisseur d'authentification), identifiant Google si vous l'utilisez, dates de connexion
- Finalité
- créer et sécuriser votre compte, vous authentifier ; votre email peut être lu par un administrateur uniquement dans le traitement d'un signalement pour faux profil, risque pour la sécurité ou contenu illicite, lecture journalisée (article 4)
- Base légale
- exécution du contrat (art. 6.1.b)
- Durée
- durée du compte + [12] mois après clôture (journaux de sécurité)
Profil visible
- Données
- pseudonyme, nom affiché, avatar, bio, zone approximative, niveau de vérification, activités et niveaux déclarés
- Finalité
- vous présenter aux autres membres, permettre les connexions et la découverte de Sessions
- Base légale
- contrat
- Durée
- durée du compte
Profil privé
- Données
- année de naissance, pays, langue préférée
- Finalité
- vérifier l'âge minimal, adapter le service
- Base légale
- contrat ; obligation légale (âge)
- Durée
- durée du compte
Localisation
- Données
- position exacte (table privée, lisible par vous seul), zone approximative dérivée côté serveur
- Finalité
- proposer des Sessions et membres proches ; radar ; afficher, à vous seul, la carte de votre zone : notre serveur demande l'image à Mapbox à partir du point approximatif arrondi (≈ 100 m), sans aucun identifiant, cookie ni adresse IP vous concernant ; le texte que vous tapez pour trouver votre zone est envoyé à la Base Adresse Nationale (IGN), jamais votre position
- Base légale
- consentement (
geolocation), retirable à tout moment (effacement immédiat) - Durée
- jusqu'au retrait ou à la clôture
Identité
- Données
- niveau, méthode et date de vérification ; aucun document, aucun numéro, aucune image
- Finalité
- sécurité des rencontres, accès aux Réseaux et Sessions exigeant un niveau ; pendant la bêta, le niveau 2 est accordé par RLL, en personne, lors d'une Session ; l'opération est journalisée et vous en êtes notifié
- Base légale
- contrat ; intérêt légitime (sécurité des membres)
- Durée
- durée du compte
Consentements
- Données
- finalité, décision, version acceptée, horodatage
- Finalité
- prouver vos choix
- Base légale
- obligation légale (art. 7 RGPD)
- Durée
- durée du compte + 5 ans
Réseaux & Sessions
- Données
- adhésions, rôles, inscriptions, retours après Session, Sessions que vous organisez (titre, description, zone approximative, créneau)
- Finalité
- fournir le service
- Base légale
- contrat
- Durée
- durée du compte ; retours anonymisés après clôture
Lieu exact d'une Session
- Données
- point de rendez-vous exact, adresse, consignes d'accès saisis par l'organisateur
- Finalité
- permettre la rencontre ; révélé aux seuls inscrits confirmés, tant que la Session n'est pas annulée ; l'adresse tapée par l'organisateur est envoyée à la Base Adresse Nationale (IGN) pour être reconnue
- Base légale
- contrat
- Durée
- vie de la Session ; supprimé avec elle
Photos de Sessions
- Données
- photos que vous ajoutez à une Session (couverture par l'organisateur ; photos partagées par les participants présents après la Session), date de votre consentement
- Finalité
- partager le souvenir d'une rencontre avec ceux qui y étaient
- Base légale
- consentement donné à chaque ajout (case à cocher, horodatée), retirable en supprimant la photo
- Durée
- durée de vie de la Session ; supprimée à tout moment par son auteur ou par l'organisateur ; orphelins techniques purgés sous 24 h
Notifications
- Données
- notifications dans l'application (identifiant de la Session concernée, type, lu / non lu), y compris les notifications de modération, de recours et de niveau d'identité ; aucun email, aucune notification push
- Finalité
- vous informer des confirmations, annulations, changements, retours à donner et décisions vous concernant
- Base légale
- contrat
- Durée
- 90 jours, puis suppression ; supprimées à la clôture
Mesure des Sessions
- Données
- événements de parcours (Session vue — une fois par jour —, inscription, présence, retour donné), liés à votre compte
- Finalité
- mesurer l'usage des Sessions (taux de présence, de retour) ; accessibles aux seuls administrateurs de la plateforme
- Base légale
- intérêt légitime (amélioration du service)
- Durée
- 13 mois, puis suppression ; anonymisés à la clôture (plus aucun lien avec vous)
Connexions & affinité
- Données
- liens, niveau de proximité, score d'affinité (calculé à partir de vos activités, zone, liens et participation)
- Finalité
- proposer des connexions et Sessions pertinentes
- Base légale
- contrat ; intérêt légitime (pertinence) — vous pouvez demander une explication de tout score (art. 22 n'est pas applicable : aucune décision à effet juridique)
- Durée
- durée du compte
Messagerie
- Données
- messages, participants, lectures
- Finalité
- communication liée aux Sessions et connexions
- Base légale
- contrat
- Durée
- durée du compte ; suppression à la clôture, sauf signalement non encore traité
Étincelles & paiements
- Données
- solde, mouvements, abonnement, identifiant client Stripe, factures ; aucun numéro de carte (Stripe)
- Finalité
- exécuter les achats, facturer
- Base légale
- contrat ; obligation légale (comptabilité)
- Durée
- 10 ans (pièces comptables)
Signalements
- Données
- votre signalement (cible, motif parmi sept, faits facultatifs de 500 caractères au plus — que vous ne pouvez plus relire après l'envoi), l'identité dérivée de la personne signalée, l'état du traitement ; si vous êtes signalé : la décision (nature, article des CGU, faits retenus, fin de la mesure) et votre recours (texte de 1 000 caractères au plus, issue, réponse de l'équipe)
- Finalité
- sécurité des membres, traitement des signalements et des recours (règlement (UE) 2022/2065, art. 16, 17 et 20)
- Base légale
- contrat (CGU, art. 12) ; obligation légale ; intérêt légitime (sécurité)
- Durée
- 12 mois après la dernière des dates suivantes : décision, décision sur recours, fin de la mesure — jamais tant qu'un recours est en cours ; un signalement non encore traité est conservé jusqu'à sa décision
Blocages
- Données
- les membres que vous bloquez, date ; la personne bloquée n'est jamais informée ; vous n'êtes jamais informé des blocages dont vous faites l'objet
- Finalité
- ne plus vous voir mutuellement nulle part ; vos inscriptions croisées à des Sessions à venir sont annulées
- Base légale
- contrat
- Durée
- jusqu'à ce que vous débloquiez ; supprimés à la clôture de votre compte
État de modération
- Données
- état de votre compte (actif, restreint, suspendu) et date de fin, lisibles par vous seul
- Finalité
- appliquer une décision de modération
- Base légale
- contrat (CGU, art. 11 et 12) ; obligation légale
- Durée
- jusqu'à la date de fin, puis remis à zéro ; aucune décision de modération ne clôture votre compte
Journal d'audit
- Données
- identifiants et codes des opérations sensibles (lecture d'un signalement ou d'une donnée privée par un administrateur, décision, recours, niveau d'identité, export, purge) ; aucune donnée personnelle en clair
- Finalité
- démontrer la régularité des accès (art. 5.2 RGPD)
- Base légale
- obligation légale ; intérêt légitime
- Durée
- 24 mois
Journaux techniques
- Données
- adresse IP, agent utilisateur, horodatages, événements de sécurité
- Finalité
- sécurité, détection de fraude
- Base légale
- intérêt légitime
- Durée
- [12] mois
Mesure d'usage
- Données
- événements d'usage pseudonymisés (parcours, fonctionnalités)
- Finalité
- améliorer le service
- Base légale
- intérêt légitime ; consentement pour tout traceur non essentiel
- Durée
- 25 mois max
Prospection
- Données
- Finalité
- vous informer des nouveautés
- Base légale
- consentement (
marketing), case décochée par défaut, retirable à chaque envoi - Durée
- jusqu'au retrait
4. Ce que voient les autres
- Autres membres : votre profil visible (article 2), uniquement si votre compte est en état actif et visible. Jamais votre email, votre année de naissance, votre position exacte, vos consentements, vos messages avec d'autres personnes, votre état de modération, vos blocages ni vos signalements. Les inscrits confirmés à une Session en voient le lieu exact, tant qu'elle n'est pas annulée. Les membres qui peuvent voir une Session en voient la zone approximative, en texte et sur une carte — jamais le lieu exact. La zone approximative d'une Session est calculée de la même façon, à partir d'un secret propre à l'organisateur, et reste la même pour un même lieu. Une Session retirée par RLL n'est plus visible des autres membres.
- Photos de Sessions : la photo de couverture est visible des membres qui peuvent voir la Session (jamais des visiteurs non connectés) ; les photos partagées par les participants sont visibles de l'organisateur et des participants présents à cette Session uniquement. Aucune photo n'apparaît sur la fiche publique d'une Session.
- Personnes signalées et personnes qui signalent : si vous êtes signalé, vous recevez l'exposé des motifs d'une décision (nature, article des CGU, faits retenus, fin de la mesure, voies de recours), jamais l'identité de la personne qui a signalé. Si vous signalez, vous êtes informé de la suite donnée (classé ou mesure prise), jamais des faits retenus contre l'autre personne.
- Personne bloquée : une personne que vous bloquez ne le sait pas ; vous ne savez pas qui vous bloque.
- Opérateurs : la liste des membres de leur Réseau avec le profil visible, les rôles, les inscriptions aux Sessions de leur Réseau, des statistiques agrégées. Pas vos données privées, pas vos messages, pas votre position exacte.
- Administrateurs de la plateforme : ils n'ont aucun accès direct à vos données privées (profil privé, position exacte, lieux exacts des Sessions) : aucune règle de la base de données ne leur ouvre ces tables. Dans le traitement d'un signalement, un administrateur peut lire les faits du signalement et, uniquement si le motif le justifie (faux profil, risque pour la sécurité, contenu illicite), votre email, votre année de naissance, la méthode et la date de votre vérification d'identité et, pour les deux derniers motifs, vos inscriptions des 90 derniers jours — jamais votre position. Chaque lecture est inscrite dans un journal d'audit infalsifiable, conservé 24 mois (article 3), dont la consultation est elle-même journalisée.
- Personne en dehors de RLL n'a accès à la base de données.
5. Vérification d'identité
Pendant la bêta, lorsque vous demandez le niveau 2, c'est RLL qui vous l'accorde en personne, lors d'une Session. Nous enregistrons uniquement le niveau, la méthode et la date ; l'opération est journalisée et vous en êtes notifié. Nous ne recevons ni ne conservons aucun document, photographie ou numéro de pièce. Si nous introduisons un prestataire de vérification, cette Politique sera mise à jour avant sa mise en service.
6. Destinataires et sous-traitants
Nous faisons appel à des prestataires qui traitent des données pour notre compte, sous contrat de sous-traitance (art. 28 RGPD) :
Supabase Inc.
- Rôle
- base de données, authentification, stockage
- Localisation des données
- Union européenne (Paris, eu-west-3)
Vercel Inc.
- Rôle
- hébergement de l'application
- Localisation des données
- fonctions exécutées à Paris (cdg1) ; société américaine : clauses contractuelles types pour les transferts
Stripe Payments Europe Ltd
- Rôle
- paiements, facturation, KYC des Opérateurs
- Localisation des données
- Irlande / UE, transferts encadrés
Resend
- Rôle
- envoi d'emails transactionnels et, sur consentement, d'information
- Localisation des données
- [●] (région UE à confirmer)
Google (Google Ireland Ltd)
- Rôle
- connexion via Google, si vous la choisissez
- Localisation des données
- selon les conditions Google
Mapbox Inc.
- Rôle
- image statique de la carte de votre zone approximative et de la zone approximative des Sessions que vous pouvez voir, jamais le lieu exact, demandée par notre serveur à partir du point approximatif arrondi (≈ 100 m) — sans identifiant, cookie ni adresse IP vous concernant ; votre navigateur ne contacte jamais Mapbox
- Localisation des données
- États-Unis, clauses contractuelles types
Service public interrogé (non sous-traitant) : la Base Adresse Nationale (géocodeur de l'IGN, data.geopf.fr) reçoit le texte que vous tapez pour trouver votre zone et l'adresse qu'un organisateur tape pour une Session ; jamais votre position ni votre identité.
Aucune donnée n'est vendue. Aucune donnée n'est transmise à des courtiers ou régies publicitaires.
7. Transferts hors Union européenne
Nos données principales sont hébergées dans l'UE. Lorsqu'un prestataire traite des données hors UE (Vercel, Mapbox, Stripe pour certaines opérations), le transfert repose sur les clauses contractuelles types de la Commission européenne et, le cas échéant, sur le Data Privacy Framework UE–États-Unis. Vous pouvez en obtenir copie sur demande.
8. Vos droits
Vous pouvez, depuis votre compte ou en écrivant à [email DPO] :
- accéder à vos données et en obtenir une copie : depuis votre compte (« Ma modération › Mes données », ou la page « Compte suspendu »), un fichier JSON produit à votre demande, une fois par 24 heures, que nous ne conservons pas. Il contient : votre profil, vos réglages privés et vos consentements ; votre position exacte ; vos activités ; vos Réseaux ; les Sessions que vous organisez avec leur lieu exact (point, adresse, consignes d'accès) ; vos inscriptions ; les avis que vous avez donnés ; les avis reçus, par Session, sans leur auteur ; vos photos et documents (liens valables 24 heures) ; vos notifications ; vos blocages ; vos signalements ; les décisions vous concernant. Il ne contient jamais les données d'un autre membre au-delà de son nom public, ni le lieu exact des Sessions auxquelles vous vous êtes inscrit (c'est la donnée de leur organisateur). Sur demande à [email DPO] : vos événements de mesure d'usage et les lignes du journal d'audit qui vous concernent ;
- les rectifier ;
- les effacer (« clôture du compte », article 9) ;
- retirer un consentement (géolocalisation, prospection) sans effet sur la licéité des traitements antérieurs ;
- vous opposer aux traitements fondés sur l'intérêt légitime, et demander la limitation ; contester une décision de modération une fois, dans les 6 mois, depuis « Ma modération » (CGU, art. 12) ;
- exercer la portabilité des données que vous nous avez fournies ;
- définir des directives post-mortem ;
- introduire une réclamation auprès de la CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).
Nous répondons sous un mois (prorogeable de deux mois si la demande est complexe, avec information). Nous pouvons demander une preuve d'identité proportionnée si un doute existe.
9. Clôture, effacement et anonymisation
À la clôture de votre compte :
- votre profil devient immédiatement invisible ;
- vos adhésions aux Réseaux prennent fin (vous quittez chaque Réseau, y compris le réseau RLL commun) et les Réseaux dont vous êtes propriétaire sont archivés : leurs membres en perdent l'accès ; les exclusions prononcées dans un Réseau sont conservées ;
- les Sessions publiées à venir que vous organisez sont annulées et leurs inscrits en sont notifiés ; vos inscriptions aux Sessions à venir prennent fin ;
- vos notifications sont supprimées ;
- vos événements de mesure des Sessions sont anonymisés : ils ne sont plus rattachés à vous et ne servent plus qu'à des statistiques globales, qui ne permettent pas de vous identifier (considérant 26 du RGPD) ;
- vos blocages sont supprimés ; les blocages dont vous faites l'objet sont conservés (ils relèvent de la décision d'un autre membre) ;
- vos signalements déjà traités, et ceux dont vous faites l'objet, sont anonymisés immédiatement (votre identifiant en est retiré) ; un signalement en cours est conservé avec votre identifiant jusqu'à sa décision, puis anonymisé ;
- un compte suspendu peut être clôturé ; la clôture met fin à un recours en cours ;
- sous [30] jours, vos données personnelles sont effacées ou anonymisées de façon irréversible (les contributions collectives — retours après Session, statistiques — sont conservées sans lien avec vous) ;
- sont conservées, séparément et pour la durée légale : les pièces comptables (10 ans), les éléments d'un litige ou d'un signalement non encore traité, et les journaux de sécurité ([12] mois) ;
- vos Étincelles non consommées sont perdues (CGU, art. 7).
10. Sécurité
Chiffrement en transit (TLS) et au repos ; cloisonnement des données privées au niveau de la base (Row-Level Security sur chaque table, refus par défaut) ; secrets gérés hors du code ; authentification renforcée pour les accès d'administration ; tests automatisés de refus d'accès à chaque livraison ; journalisation des accès sensibles ; revue humaine obligatoire de toute modification touchant l'authentification, les données personnelles ou les règles d'accès. En cas de violation de données présentant un risque pour vous, nous vous informons sans délai injustifié et notifions la CNIL sous 72 heures (art. 33-34 RGPD).
11. Cookies et traceurs
RLL utilise des cookies strictement nécessaires (session d'authentification, choix de langue, sécurité), exemptés de consentement. Tout traceur de mesure d'audience non exempté ou tiers n'est déposé qu'après consentement, modifiable à tout moment via [lien « Gérer mes cookies »]. Le site marketing rll.network n'utilise que des cookies nécessaires.
12. Mineurs
RLL est réservée aux personnes majeures (CGU, art. 2). Nous ne collectons pas sciemment de données de mineurs; tout compte identifié comme tel est clôturé et ses données effacées.
13. Modifications
Toute nouvelle version de cette Politique vous est présentée à votre prochaine connexion ; vous devez l'accepter pour continuer à utiliser RLL, ou vous pouvez vous déconnecter et clôturer votre compte sans frais (CGU, art. 1.4). Lorsque la base légale d'un traitement est le consentement, un nouveau consentement distinct vous est demandé (nouvelle version enregistrée). L'historique des versions est disponible sur demande à [email DPO].
14. Contact
DPO : [email DPO] — Courrier : [adresse] — Signalement d'un contenu (point de contact DSA, art. 11 et 12) : signalement@rll.network — Exercice des droits : depuis votre compte ou à [email DPO].
RLL — Politique de confidentialité v0.4 (projet) — Confidentiel jusqu'à publication