En résumé : Spote ne vend rien, ne traque personne, et ne garde que le strict nécessaire pour faire marcher l'app. On a écrit cette politique pour qu'elle soit lisible — pas pour la cocher.
01Responsable
Spote est édité par Clément Seuron, en tant que personne physique exerçant à Paris (France).
Email : clement@spote.co
Au sens du Règlement Général sur la Protection des Données (RGPD), Clément Seuron est responsable du traitement de tes données personnelles collectées via spote.co et l'application Spote.
02Données collectées
On collecte uniquement ce qui est nécessaire au fonctionnement de Spote.
| Donnée | Quand | Comment |
|---|---|---|
| Newsletter, waiting list, ou compte | Formulaire spote.co ou app | |
| Pseudo | Mode groupe (invité) | App mobile |
| Préférences / filtres | Pendant l'utilisation | Choix in-app |
| Localisation approximative | Si tu actives la géoloc | API native iOS / Android (avec ton accord) |
| Token de notifications push | Si tu acceptes les notifs | APNs (iOS) ou FCM (Android) |
| Données techniques | Visites du site et usage de l'app | IP, navigateur, OS, identifiant Supabase anonyme |
Caractère obligatoire ou facultatif (Art. 13.2.e RGPD)
Pour chaque catégorie de donnée :
- Email — facultatif pour rejoindre un Spote en invité, obligatoire pour créer un compte (sans email, pas de récupération de compte possible)
- Pseudo — obligatoire pour participer à un Spote (identification dans le groupe)
- Localisation — facultative ; si refusée, tu peux saisir manuellement ta zone de recherche
- Token de notifications push — facultatif ; si refusé, tu ne reçois pas les notifications mais l'app reste fonctionnelle
- Préférences et filtres — facultatifs ; sans préférences, l'algorithme propose une sélection par défaut
Ce que Spote ne collecte PAS
- Aucun mot de passe en clair (Supabase gère l'authentification chiffrée)
- Aucune donnée bancaire (l'app est gratuite)
- Aucune donnée sensible au sens RGPD (santé, opinions, religion, orientation, etc.)
- Aucune donnée biométrique
- Aucune liste de contacts (Spote ne demande jamais l'accès à tes contacts)
03Finalités
Pour t'informer de la sortie de Spote, des nouveautés majeures, et permettre l'authentification de ton compte. Désinscription possible à tout moment.
Pseudo, filtres, localisation
Pour faire fonctionner l'algorithme de recommandation et trouver les lieux qui correspondent au groupe.
Token de notifications push
Pour t'envoyer les notifications liées à tes Spotes (invitation, vote terminé, résultat). Désactivable dans les réglages de ton téléphone.
Données techniques
Pour assurer la sécurité du service, prévenir les abus, et améliorer la stabilité de l'app.
Décisions automatisées (Art. 13.2.f et Art. 22 RGPD) : Spote utilise un algorithme de consensus qui, à partir des préférences déclarées de chaque participant à un groupe (cuisine, ambiance, budget, distance), calcule un score par lieu et propose celui qui minimise les rejets plutôt que celui qui maximise les votes positifs. Cette logique algorithmique n'a aucun effet juridique et n'affecte pas significativement l'utilisateur au sens de l'article 22 RGPD : le résultat est purement indicatif et tu restes libre de refuser, ignorer, ou voter contre toute recommandation. Aucun profilage à des fins commerciales, publicitaires ou de scoring n'est effectué.
04Base légale
Conformément à l'article 6 du RGPD :
| Traitement | Base légale |
|---|---|
| Email (waiting list) | Consentement (Art. 6.1.a) |
| Email + compte utilisateur | Exécution du contrat (Art. 6.1.b) |
| Pseudo / filtres / localisation | Exécution du contrat (Art. 6.1.b) |
| Notifications push | Consentement (Art. 6.1.a) |
| Données techniques (logs, IP, identifiants) | Intérêt légitime (Art. 6.1.f) — sécurité du Service, prévention de la fraude et des abus, amélioration de la stabilité technique |
| Cookies non essentiels | Consentement (Art. 6.1.a + ePrivacy) |
05Durée de conservation
| Donnée | Durée |
|---|---|
| Email (waiting list) | Jusqu'à demande de suppression, ou 36 mois sans interaction |
| Compte (app) | Tant que ton compte est actif, suppression sous 30 jours après désactivation |
| Pseudo invité (sans compte) | Le temps du Spote actif, puis 7 jours d'archive, puis suppression |
| Token notifications push | Tant que l'app est installée. Les tokens marqués invalides par APNs/FCM sont automatiquement supprimés à chaque cycle de purge mensuel. |
| Logs techniques | 13 mois maximum (recommandation CNIL) |
06Sous-traitants
Tes données sont accessibles uniquement à :
- Clément Seuron, en tant qu'éditeur de Spote
- Les sous-traitants techniques nécessaires au fonctionnement du service, liés contractuellement par des accords conformes à l'article 28 du RGPD.
Liste exhaustive des sous-traitants utilisés
| Sous-traitant | Utilisation | Localisation |
|---|---|---|
| Supabase | Authentification, base de données, stockage, Realtime | UE (Allemagne) |
| Google Places API | Recherche de lieux (restaurants, bars) | États-Unis (DPF) |
| TMDB | Recherche de films et métadonnées | États-Unis (SCC) |
| Apple Push Notification Service | Notifications push iOS | États-Unis / Irlande (CBPR) |
| Firebase Cloud Messaging (Google) | Notifications push Android | États-Unis (DPF) |
| Firebase Firestore (Google) | Stockage de la waiting list email du site spote.co | UE (multi-régions Google Cloud, transferts US sous DPF) |
| Expo / EAS | Infrastructure de build et distribution OTA | États-Unis (DPF) |
| Resend | Emails transactionnels | États-Unis (DPF) |
| Hostinger | Hébergement de spote.co | UE (Chypre · Lituanie) |
| Bunny Fonts (BunnyWay d.o.o.) | Polices typographiques (landing + pages legal) | UE (Slovénie) |
Plateformes de distribution (responsables indépendants)
Apple Inc. (via App Store Connect / TestFlight) et Google LLC (via Google Play Console) ne sont pas des sous-traitants au sens de l'article 28 du RGPD : ils agissent comme responsables de traitement indépendants pour les données qu'ils collectent dans le cadre de la distribution de l'app (statistiques d'installation, rapports de crash, identifiants techniques de leurs comptes). Leurs politiques respectives s'appliquent en complément :
- Apple : apple.com/legal/privacy
- Google : policies.google.com/privacy
Spote ne revend, ne loue, ni ne partage tes données à des tiers à des fins commerciales ou publicitaires.
07Transferts hors UE
Certains de nos sous-traitants techniques sont basés aux États-Unis. Selon les cas, le transfert s'appuie sur l'un des trois mécanismes suivants, tous reconnus par le RGPD :
EU-U.S. Data Privacy Framework (DPF)
Adéquation établie par la décision d'exécution (UE) 2023/1795 du 10 juillet 2023 de la Commission européenne. Les sous-traitants suivants sont auto-certifiés DPF (vérifiable sur dataprivacyframework.gov/list) :
- Google LLC (Google Places API, Firebase Cloud Messaging)
- Expo Inc. (Expo / EAS)
- Resend Inc. (emails transactionnels)
Global CBPR / PRP (Cross-Border Privacy Rules)
Apple Inc. n'adhère pas au DPF mais applique le système Global CBPR (responsable de traitement) et PRP (sous-traitant), reconnu internationalement et audité par BBB National Programs comme Accountability Agent. Les transferts vers Apple (APNs) sont encadrés par ce mécanisme, complété par les Clauses Contractuelles Types dans les contrats DPA Apple Developer.
Clauses Contractuelles Types (SCC)
Pour TMDB (et tout autre prestataire non-DPF), les transferts sont encadrés par les Clauses Contractuelles Types adoptées par la décision d'exécution (UE) 2021/914 du 4 juin 2021 de la Commission européenne, garantissant un niveau de protection équivalent au RGPD.
Les données stockées dans Supabase sont hébergées en Union européenne (Allemagne) et ne quittent pas l'UE. Idem pour Bunny Fonts (Slovénie) et Hostinger (Chypre, Lituanie).
08Tes droits
Conformément aux articles 15 à 22 du RGPD :
- Accès (Art. 15) — savoir quelles données on a sur toi
- Rectification (Art. 16) — corriger une donnée incorrecte
- Effacement ou "droit à l'oubli" (Art. 17)
- Limitation du traitement (Art. 18)
- Portabilité (Art. 20) — récupérer tes données dans un format lisible
- Opposition (Art. 21) — refuser certains traitements
- Retrait du consentement à tout moment, sans justification
- Directives post-mortem sur le sort de tes données
Comment les exercer
Envoie un email à clement@spote.co en précisant le droit que tu souhaites exercer et, si tu as un compte, une preuve d'identité.
Réponse garantie dans un délai d'un mois maximum (Art. 12.3 du RGPD).
09Suppression de compte
Tu peux supprimer ton compte Spote et toutes les données associées directement depuis l'application, à tout moment, sans avoir à nous contacter.
Comment supprimer ton compte
- Ouvre l'app Spote
- Va dans Paramètres / Profil
- Appuie sur "Supprimer mon compte"
- Confirme la suppression
La suppression est irréversible et entraîne :
- Suppression immédiate de ton email, pseudo et préférences
- Suppression de l'historique de tes Spotes (sauf agrégats anonymisés statistiques)
- Révocation de ton token de notifications push
Si tu rencontres un problème pour supprimer ton compte depuis l'app, écris à clement@spote.co avec l'objet "Suppression de compte".
10Sécurité
On prend la sécurité de tes données au sérieux :
- Connexions HTTPS (TLS 1.3) sur l'ensemble du site et de l'app
- Chiffrement au repos dans Supabase (AES-256)
- Row Level Security activé sur toutes les tables sensibles
- Authentification par token JWT signés
- Aucune donnée bancaire stockée
En cas de violation de données susceptible d'engendrer un risque pour tes droits et libertés, on s'engage à notifier la CNIL dans les 72 heures (Art. 33 RGPD) et à t'informer si nécessaire.
11Cookies
Spote utilise un nombre minimal de cookies sur le site spote.co. L'application mobile n'utilise pas de cookies au sens de la directive ePrivacy.
- Aucun cookie publicitaire
- Aucun cookie de tracking comportemental
- Aucun cookie tiers nécessitant consentement (les polices typographiques sont chargées via Bunny Fonts, RGPD-compatible, sans cookies ni envoi d'IP hors UE)
- Cookies strictement nécessaires uniquement (session, préférence de langue) : pas de consentement requis (Art. 82 LIL et Lignes directrices CNIL du 17 septembre 2020)
Tu peux modifier tes préférences à tout moment via le lien "Gérer les cookies" en bas de page.
12Mineurs
Conformément à l'article 8 du RGPD et à la loi française n° 2018-493 du 20 juin 2018 qui fixe l'âge du consentement numérique en France à 15 ans, Spote est strictement réservé aux personnes de 15 ans et plus.
Toute utilisation par un mineur de moins de 15 ans est interdite. Spote ne dispose pas de mécanisme de consentement parental vérifié au sens de l'article 8.2 RGPD ; en conséquence, aucune dérogation n'est possible pour les moins de 15 ans.
Si tu penses qu'un mineur de moins de 15 ans a fourni des données via Spote, contacte-nous immédiatement à clement@spote.co avec l'objet "Mineur — suppression urgente". Le compte sera supprimé sous 48 heures.
13Modifications
Cette politique peut évoluer. En cas de modification substantielle, on te préviendra par email (si tu es inscrit) et/ou par notification dans l'app.
La date de dernière mise à jour est toujours visible en haut de cette page.
14Contact et mentions légales
Nous contacter
Email : clement@spote.co
Éditeur : Clément Seuron, Paris (France)
Mentions légales (Art. 6-III LCEN)
Éditeur : Clément Seuron, personne physique exerçant à Paris (France), à titre non-professionnel — conformément à l'article 6-III-2 de la loi n° 2004-575 du 21 juin 2004 (LCEN), les coordonnées complètes ont été communiquées à l'hébergeur.
Directeur de publication : Clément Seuron
Contact : clement@spote.co
Hébergeur du site spote.co :
Hostinger International Limited
61 Lordou Vironos Street, Lumiel Building 4th floor
6023 Larnaca, Chypre
Tél : +370 645 03378 (siège opérationnel : Kaunas, Lituanie)
Délégué à la Protection des Données (DPO)
Spote n'est pas tenu de désigner un DPO au sens de l'article 37 du RGPD : pas de traitement à grande échelle de données sensibles (Art. 9), pas de surveillance systématique de personnes à grande échelle, activité non soumise à désignation obligatoire. Pour toute question relative à tes données, contacte directement clement@spote.co.
Réclamation auprès de la CNIL
Si tu estimes que tes droits ne sont pas respectés, après nous avoir contactés, tu peux adresser une réclamation à la CNIL :
CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07
www.cnil.fr/fr/plaintes · 01 53 73 22 22
Si tu résides dans un autre État membre de l'UE, tu peux également saisir l'autorité de contrôle de ton pays.