Politique de confidentialité
Version 1.1 — en vigueur depuis le 12 juin 2026 (remplace la v1.0 du 12 mai 2026)
Cette politique décrit comment Torool collecte, utilise et protège tes données personnelles. Elle s'applique à l'application mobile Torool et à la webapp invité accessible depuis le lien que ton organisateur t'a envoyé.
0. Qui est responsable du traitement
Le responsable du traitement est DBEK, dont le siège social est situé au 75 rue de Lourmel, 75015 Paris, France, immatriculée au RCS Paris sous le numéro 932 689 037.
Contact : contact@dbek.fr
Directeur de la publication : Mathieu Baldek
DBEK n'est pas tenue de désigner un Délégué à la Protection des Données (DPO) au titre de l'article 37 du RGPD. Pour toute question relative à tes données, écris à l'adresse ci-dessus.
1. Données que nous collectons
1.1. Compte organisateur
- Identifiants : adresse email, mot de passe (haché en base, jamais lisible).
- Identité affichée : nom affiché (display_name), photo de profil (avatar_url, optionnelle — stockée dans un bucket public Supabase).
- Préférences : langue (fr / en), thème (clair / nuit / néon / suivre système), icône d'app sélectionnée, visibilité de l'email auprès des invités.
- État du compte : date de création, statut premium (booléen), nombre d'événements créés.
1.2. Connexion via fournisseur tiers
Si tu choisis « Continuer avec Google » ou « Continuer avec Apple », nous recevons de ces fournisseurs : ton email, ton nom et, le cas échéant, ta photo de profil. Apple peut te proposer de masquer ton email réel via "Hide My Email" — dans ce cas nous recevons un alias que toi seul·e peux relier à ton vrai email.
1.3. Événements et invités
- Événements : titre, date, lieu, description, configuration de tables et de plans de table que tu crées.
- Invités : prénom, nom, email (optionnel), téléphone (optionnel), statut RSVP, code d'accès à 6 caractères, réponses du funnel d'invitation (régime alimentaire, transport, +1, dress code, heure d'arrivée, etc., selon le format choisi).
- Code d'accès invité : 6 caractères aléatoires permettant à un invité d'accéder à son invitation sans créer de compte.
- Modules d'événement (si l'organisateur les active) : covoiturage (coordonnées du conducteur — téléphone et/ou email —, point de départ, horaires, nombre de places, partagés avec les passagers du trajet), hébergement, repas partagé, partage de frais (montants déclarés et identifiants de paiement Lydia / Revolut / PayPal saisis volontairement, visibles des participants concernés).
- Contenus partagés : photos déposées dans l'album de l'événement et messages du livre d'or — visibles des autres participants de l'événement.
- Recherche d'adresse : quand tu saisis un lieu (événement, point de départ covoiturage, hébergement), le texte tapé est envoyé à l'API Google Places pour l'autocomplétion. Ta géolocalisation n'est jamais lue.
En tant qu'organisateur, tu es responsable de t'assurer que tes invités acceptent que leur nom et leurs coordonnées figurent dans l'app. Tu agis pour cette collecte comme responsable conjoint du traitement avec nous.
1.4. Clubs et adhésions
- Clubs : nom, description, image de couverture et liste des membres du club (nom, email, statut et date d'expiration de l'adhésion).
- Cotisations payantes : si un club active la cotisation payante, le paiement est traité par Stripe. Nous conservons le statut du paiement et le reçu ; nous ne voyons et ne stockons jamais ton numéro de carte.
- Organisateurs de club : l'encaissement des cotisations passe par Stripe Connect. La vérification d'identité (KYC) est effectuée et conservée par Stripe ; nous ne stockons que l'identifiant de compte Stripe et son statut.
1.5. Abonnement et paiements
- Torool Premium est un abonnement mensuel souscrit via l'App Store (Apple), Google Play, ou par carte bancaire sur le web via Stripe.
- ID de transaction Apple, Google ou Stripe.
- Statut de ton abonnement Premium (actif / expiré).
- Historique des événements d'abonnement RevenueCat liés à ton compte (souscription, renouvellement, annulation, restauration).
- Pour les paiements web : Stripe traite tes données de carte directement ; elles ne transitent jamais par nos serveurs.
1.6. Diagnostics
- Logs d'erreurs techniques (stack trace, version de l'app, type d'appareil) envoyés à Sentry.
- Identifiant utilisateur Torool joint au log (jamais ton email, jamais ton nom).
1.7. Données que nous ne collectons pas
Torool ne lit pas ta géolocalisation, tes contacts, ta photothèque ni tes messages. Les seules photos que nous recevons sont celles que tu choisis volontairement d'envoyer (ton avatar, ou une photo déposée dans l'album d'un événement). Aucun SDK publicitaire ni outil de tracking comportemental n'est intégré.
2. Finalités et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Créer et gérer ton compte, t'authentifier | Exécution du contrat (Art. 6.1.b) |
| Te permettre de créer des événements et d'inviter des participants | Exécution du contrat (Art. 6.1.b) |
| Permettre à tes invités d'accéder à leur invitation et de répondre | Exécution du contrat (Art. 6.1.b) côté toi · Intérêt légitime côté invité (Art. 6.1.f) |
| Envoyer les emails liés aux événements (invitations, rappels, confirmations RSVP, notifications de covoiturage ou de livre d'or) | Exécution du contrat (Art. 6.1.b) côté toi · Intérêt légitime côté invité (Art. 6.1.f) |
| Gérer ton abonnement Premium, valider les paiements (in-app et web) | Exécution du contrat (Art. 6.1.b) |
| Gérer les clubs, les adhésions et l'encaissement des cotisations | Exécution du contrat (Art. 6.1.b) |
| Conserver les justificatifs comptables liés aux achats | Obligation légale (Art. 6.1.c) — Code de commerce Art. L. 123-22 |
| Sécuriser le service, détecter les abus, faire des audits | Intérêt légitime (Art. 6.1.f) |
| Logs d'erreurs anonymisés (Sentry) | Intérêt légitime (Art. 6.1.f) |
| Te contacter pour bugs critiques, sécurité ou évolutions majeures | Intérêt légitime (Art. 6.1.f) |
Aucune donnée n'est utilisée à des fins de marketing direct ni d'analytics comportemental dans cette version du service. Si nous ajoutons ces traitements à l'avenir, ils seront strictement basés sur ton consentement préalable (Art. 6.1.a) et nous te notifierons.
3. Sous-traitants
Nous utilisons les prestataires suivants pour faire fonctionner le service. Chacun a signé un accord de traitement (DPA) conforme au RGPD.
| Prestataire | Rôle | Localisation | DPA / Privacy |
|---|---|---|---|
| Supabase Inc. | Hébergement BDD, authentification, stockage avatars, edge functions | Union européenne (Irlande) | privacy · DPA |
| RevenueCat Inc. | Validation des achats in-app et synchronisation du statut premium | États-Unis (certifié EU-US DPF) | privacy |
| Apple Inc. | Paiement IAP iOS, distribution App Store, Sign in with Apple | États-Unis (certifié EU-US DPF) | privacy |
| Google LLC | Paiement Play Billing, distribution Play Store, Sign in with Google, autocomplétion d'adresses (Places API) | États-Unis (certifié EU-US DPF) | privacy |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Paiement par carte sur le web (abonnement Premium, cotisations de club), reversement aux clubs (Stripe Connect), vérification d'identité des organisateurs de club (KYC) | Union européenne (Irlande) ; transferts US certifiés EU-US DPF | privacy · DPA |
| Resend, Inc. | Envoi des emails transactionnels (invitations, rappels, confirmations, reçus) | États-Unis (Clauses Contractuelles Types) | privacy · DPA |
| Vercel Inc. | Hébergement de la webapp invité (page /join/:code) et du site marketing | Régions US et UE (Frankfurt) | privacy · DPA |
| Functional Software, Inc. (Sentry) | Rapport d'erreurs techniques anonymisé | États-Unis (certifié EU-US DPF) | privacy |
4. Transferts internationaux
Lorsque tes données sont transférées hors de l'Union européenne (vers RevenueCat, Apple, Google, Stripe Inc., Resend, Sentry, ou la zone US de Vercel), elles sont protégées par :
- La certification EU-US Data Privacy Framework (DPF) dans laquelle ces prestataires sont enregistrés ;
- À défaut, par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914).
La base de données principale et le stockage des avatars sont hébergés en Union européenne (Supabase, région Irlande). Le traitement principal de tes données personnelles a donc lieu en UE.
5. Durée de conservation
| Catégorie | Durée |
|---|---|
| Compte actif et données associées | Tant que ton compte existe |
| Sur suppression de compte : effacement effectif | 30 jours maximum (incluant les sauvegardes chiffrées) |
| Contenus d'événement (photos d'album, livre d'or, réponses des invités) | Jusqu'à suppression de l'événement par l'organisateur, ou du compte |
| Justificatifs de paiement (abonnement, cotisations) | 10 ans (Code de commerce Art. L. 123-22) |
| Logs Sentry anonymisés | 90 jours puis suppression automatique |
| Logs de sécurité Supabase (auth, accès) | 12 mois |
6. Tes droits
Conformément aux articles 15 à 22 du RGPD, tu disposes des droits suivants :
- Accès : obtenir une copie de tes données. Tu peux les exporter directement depuis l'app : Réglages › Compte › Exporter mes données.
- Rectification : corriger une donnée inexacte. La plupart sont éditables directement (profil, événements). Pour les autres, écris-nous.
- Effacement : supprimer ton compte et toutes les données associées, via Réglages › Compte › Supprimer mon compte.
- Portabilité : recevoir tes données dans un format structuré et lisible (JSON), via la même fonction d'export que ci-dessus.
- Opposition : t'opposer à un traitement fondé sur l'intérêt légitime (par exemple, refuser que Sentry collecte tes logs d'erreur). Écris-nous.
- Limitation : nous demander de figer le traitement de tes données en cas de contestation.
- Retrait du consentement : pour tout traitement basé sur le consentement, tu peux le retirer à tout moment.
Pour exercer un droit qui n'est pas accessible directement dans l'app, écris à contact@dbek.fr. Réponse sous 30 jours maximum (un mois supplémentaire en cas de complexité, avec notification motivée).
7. Sécurité
- Chiffrement TLS 1.2+ pour tous les transferts.
- Mots de passe hachés avec bcrypt côté Supabase Auth (jamais stockés en clair).
- Tokens d'accès JWT à durée limitée + rotation des refresh tokens.
- Politiques Postgres Row-Level Security : tu n'accèdes qu'à tes propres événements, jamais à ceux d'un autre organisateur.
- Audit régulier des dépendances et des accès aux clés.
- Tests de pénétration informels avant chaque release majeure.
8. Décision automatisée et profilage
Torool n'effectue aucune décision entièrement automatisée produisant des effets juridiques à ton égard (Art. 22 RGPD). Aucun profilage à des fins de scoring, de targeting publicitaire ou de modulation de prix n'est mis en œuvre.
9. Mineurs
Torool est destiné aux personnes de 15 ans et plus. L'âge n'est pas vérifié activement mais est rappelé à l'inscription et dans les conditions générales. Si tu es un parent ou tuteur et constates qu'un mineur de moins de 15 ans s'est inscrit, contacte contact@dbek.fr pour suppression immédiate (24h ouvrées).
10. Cookies et stockage local
L'application mobile n'utilise pas de cookies. Elle stocke localement (AsyncStorage) ton token de session et tes préférences (langue, thème, choix d'icône). Aucun tracker tiers.
La webapp invité (utilisée par tes invités depuis le lien que tu partages) utilise :
- le stockage local du navigateur (localStorage / sessionStorage) pour gérer la session anonyme de l'invité ;
- un cookie fonctionnel first-party par événement (
torool_invite_…, durée 90 jours) qui mémorise ton code d'invitation pour te reconnaître à ta prochaine visite sans te redemander ton email ; - un identifiant de session aléatoire (sessionStorage, effacé à la fermeture de l'onglet) servant uniquement à dédupliquer le compteur de vues de la page événement affiché à l'organisateur.
Aucun cookie publicitaire, aucun tracker tiers, aucun pixel. Aucun consentement préalable n'est requis car ces stockages sont strictement nécessaires au fonctionnement du service (dispense Article 82 Loi Informatique et Libertés, ePrivacy Art. 5.3).
11. Notification en cas de violation de données
En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour tes droits et libertés, nous nous engageons à notifier la CNIL dans les 72 heures suivant la découverte, conformément à l'article 33 du RGPD. Si la violation est susceptible d'engendrer un risque élevé, tu en seras informé·e directement dans l'app et par email.
12. Autorité de contrôle
Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : cnil.fr/fr/plaintes, 3 place de Fontenoy, 75007 Paris.
13. Modifications
Nous pouvons faire évoluer cette politique. Toute modification substantielle (nouveau sous-traitant, nouvelle finalité, nouvelle catégorie de données) te sera notifiée dans l'app au moins 30 jours avant son entrée en vigueur. Les modifications rédactionnelles (orthographe, reformulation sans changement de fond) sont publiées sans préavis et tracées dans la section « Version » en haut du document.
14. Contact
Pour toute question relative à cette politique ou à tes données : contact@dbek.fr.
Politique de confidentialité v1.1 — DBEK, RCS Paris 932 689 037. Conforme RGPD (UE 2016/679) et Loi Informatique et Libertés.