Document légal
Politique de confidentialité
Comment Communities 26 collecte, utilise et protège les données personnelles, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
Dernière mise à jour : 18 octobre 2026
01.Qui sommes-nous ?
Communities 26 est édité par Studio Kimyô, Société par actions simplifiée unipersonnelle (SASU), 121 rue Héron, 33000 Bordeaux, France, RCS Bordeaux 952 957 983 (« nous »).
Notre ligne : collecter le minimum, conserver le moins longtemps possible, ne rien revendre, rester joignables.
02.Deux rôles selon les données
Responsable de traitement
Pour les comptes de connexion (identifiants communs à tous les réseaux auxquels une personne appartient), la sécurité de la plateforme, les comptes des administrateurs de réseaux, la facturation des abonnements, les signalements de contenus et nos échanges commerciaux : nous décidons des finalités et des moyens.
Sous-traitant (article 28 du RGPD)
Pour les données des membres dans l'espace d'un réseau (profil, annuaire, événements, annonces, cotisations, communications) : c'est le réseau qui est responsable de traitement. Nous agissons pour son compte, selon l'Accord de sous-traitance (DPA). Pour ces données, adresse-toi d'abord au réseau concerné (voir ses documents légaux).
03.Données que nous traitons comme responsable
Compte de connexion
- Email, nom, mot de passe (stocké sous forme hachée, jamais en clair), réseaux de rattachement.
- Dates de création et de dernière connexion, sessions actives, tentatives de connexion échouées.
Administrateurs et facturation
- Nom, email et rôle des administrateurs de chaque réseau.
- Dénomination, adresse de facturation et numéro de TVA du réseau, factures et paiements (les données de carte sont traitées par Stripe ; nous ne les recevons jamais).
Données techniques
- Adresse IP, navigateur, pages appelées et erreurs, dans les journaux des serveurs et l'outil de détection des erreurs.
- Journal d'audit des actions sensibles (connexions en tant qu'un autre utilisateur, changements de droits, suppressions).
Signalements de contenus
- Nom, email, contenu signalé et explication fournis par l'auteur d'un signalement.
Messages de contact
- Nom, email, réseau ou structure, taille approximative et message envoyés avec le formulaire de contact de la page d'accueil.
04.Finalités et bases légales
- Fournir le service (compte, accès aux espaces, administration d'un réseau) : exécution du contrat.
- Facturer les abonnements et tenir la comptabilité : exécution du contrat et obligation légale.
- Sécuriser la plateforme (prévention des intrusions et de la fraude, verrouillage après échecs de connexion, détection des erreurs) : intérêt légitime.
- Traiter les signalements de contenus illicites : obligation légale (règlement européen sur les services numériques).
- Répondre aux messages envoyés avec le formulaire de contact : mesures précontractuelles prises à la demande de la personne, ou intérêt légitime.
- T'envoyer des informations sur le service (incidents, évolutions des conditions) : exécution du contrat.
- Prospection commerciale par email : consentement, ou intérêt légitime pour un professionnel sur un service analogue, avec désinscription en un clic.
05.Durées de conservation
- Compte de connexion : tant que la personne appartient à au moins un réseau, puis suppression dans les 90 jours.
- Données d'un réseau après la fin de son abonnement : 30 jours pour l'export, puis suppression dans les 90 jours (sauvegardes comprises).
- Factures : 10 ans (obligation comptable).
- Journaux techniques et rapports d'erreurs : 12 mois au plus.
- Journal d'audit des actions sensibles : 12 mois.
- Signalements : jusqu’à un an après la décision prise.
- Prospects : 3 ans après le dernier contact.
- Sauvegardes de la base : 30 jours.
06.Destinataires et sous-traitants
Les données ne sont accessibles qu'aux personnes qui en ont besoin, et à nos prestataires techniques, liés par contrat :
- Railway Corporation · Hébergement de l'API, de la base de données et de la file d'attente des tâches (envois d'emails, rappels) · Serveurs en Californie (États-Unis), transfert vers l'Europe prévu ; société aux États-Unis · Clauses contractuelles types de la Commission européenne.
- Vercel Inc. · Hébergement du site et de l’interface · Exécution en France (Paris), réseau de diffusion mondial · Data Privacy Framework UE–États-Unis.
- Cloudflare, Inc. · Stockage des fichiers et des sauvegardes chiffrées (R2) · Union européenne, société aux États-Unis · Data Privacy Framework UE–États-Unis.
- Resend · Envoi des emails (transactionnels et lettres d’information) · États-Unis · Data Privacy Framework UE–États-Unis.
- Functional Software, Inc. (Sentry) · Détection des erreurs techniques · Données stockées dans l’Union européenne, société aux États-Unis · Data Privacy Framework UE–États-Unis.
- GitHub, Inc. · Exécution des sauvegardes automatiques (copie chiffrée en transit) · États-Unis · Data Privacy Framework UE–États-Unis.
- Stripe Payments Europe Ltd · Paiement des abonnements à la plateforme, le cas échéant · Irlande · Union européenne.
Services tiers sollicités par certaines pages
- Carte des membres : les fonds de carte sont chargés depuis les serveurs d'OpenStreetMap (OpenStreetMap Foundation, Royaume-Uni, pays reconnu adéquat par la Commission européenne), qui reçoivent l'adresse IP du visiteur.
- Géolocalisation des adresses : les adresses saisies sont envoyées, sans nom de personne, au service Nominatim d'OpenStreetMap pour obtenir leurs coordonnées.
- Vidéos intégrées : les vidéos YouTube sont affichées en mode « confidentialité renforcée » ; Google ne reçoit des données qu'au lancement de la lecture.
Les paiements des membres (cotisations, événements) passent par le compte Stripe propre à chaque réseau : Stripe est alors le prestataire du réseau.
Nous ne vendons aucune donnée et n'utilisons aucun outil publicitaire.
07.Transferts hors de l'Union européenne
Certains prestataires sont des sociétés américaines, même lorsque les données sont stockées en Europe. Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne relative au Data Privacy Framework UE–États-Unis pour les prestataires certifiés, et à défaut par les clauses contractuelles types de la Commission européenne (garantie indiquée pour chaque prestataire ci-dessus).
08.Tes droits
Tu disposes des droits suivants sur tes données :
- accès, rectification et effacement ;
- limitation du traitement et portabilité ;
- opposition aux traitements fondés sur l'intérêt légitime et à la prospection ;
- retrait de ton consentement à tout moment ;
- définition de directives sur le sort de tes données après ton décès.
Pour les exercer : . Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe (tu en seras alors informé·e). Une preuve d'identité peut être demandée en cas de doute raisonnable.
Tu peux aussi introduire une réclamation auprès de la CNIL : cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
09.Référent données
Nous n'avons pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire pour notre activité. Le référent est Mathieu Détaint, président, joignable à .
10.Sécurité
Mesures en place :
- Connexions chiffrées (HTTPS) sur l’ensemble du site et de la plateforme.
- Mots de passe hachés avec bcrypt ; verrouillage temporaire du compte après des échecs de connexion répétés.
- Clés de paiement des réseaux chiffrées en base (AES-256-GCM).
- Cloisonnement des données entre réseaux contrôlé par l’application à chaque requête.
- Sauvegarde quotidienne de la base, chiffrée, conservée 30 jours, avec procédure de restauration documentée et éprouvée.
- Accès d'administration limités et journalisés ; limitation du nombre de requêtes sur les points sensibles.
11.Cookies
Les traceurs utilisés sont détaillés dans la politique cookies.
12.Modifications
La date de dernière mise à jour figure en haut de la page. Les modifications importantes sont notifiées par email au moins 30 jours avant leur application.
13.Contact
Pour toute question sur tes données : .