Politique de confidentialité

1. Responsable de traitement

Le responsable de traitement des données personnelles collectées via l'application et le site Sona est Alexandre FLORENT, entrepreneur individuel (SIREN 832799639), dont les coordonnées complètes figurent dans les mentions légales. Pour toute question relative à vos données, contactez-nous à l'adresse [email protected].

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du service :

Données de compte : adresse email, nom d'utilisateur, nom affiché, biographie (facultative), photo de profil (facultative).
Contenu du carnet : votre historique de concerts et festivals (les « Moments »), y compris les photos, vidéos et notes privées qui y sont attachées, et votre ville de rattachement (facultative).
Retours et notifications : message de retour, capture d’écran facultative, version de l’application et du système, écran concerné et modèle d’appareil sur Android. Si vous autorisez les notifications, un jeton Expo permet de vous informer de la résolution d’un retour et, si vous activez cette option, des Moments publics de vos amis.
Données de connexion : identifiants de session, adresse IP, type d'appareil et journaux techniques nécessaires à la sécurité du service.
Connexion Google ou Apple : si vous choisissez cette option, Sona reçoit un identifiant de compte fournisseur, votre adresse email (ou l’adresse relais Apple) et, lorsqu’il est fourni, votre nom. Sona ne reçoit pas le mot de passe de votre compte Google ou Apple.
Carte sur Android : Google Maps traite des données techniques, notamment l’adresse IP, les caractéristiques de l’appareil, un identifiant pseudonyme propre au SDK, des diagnostics et, selon les interactions, les déplacements et zooms de la carte. Sona ne demande pas l’accès à votre position GPS. La carte sur iOS utilise Apple Maps.

Les notes privées attachées à vos Moments ne sont jamais visibles par les autres utilisateurs, y compris lorsque votre profil est public.

Les photos d’une galerie de festival partagée sont visibles par les participants autorisés de cette expérience. Les vidéos sont actuellement accessibles à leur auteur. Les captures de retours sont réservées aux administrateurs autorisés via des liens temporaires. Les suggestions de photos consultent votre bibliothèque sur l’appareil : seules les photos que vous choisissez d’ajouter sont envoyées. L’accéléromètre détecte localement le geste de secousse pour proposer un retour ; ces mouvements ne sont ni stockés ni transmis.

3. Finalités et bases légales

Fournir le service (création et gestion du compte, enregistrement et affichage de vos Moments, profils publics partagés) — base légale : exécution du contrat (art. 6.1.b RGPD).
Sécuriser le service (authentification, prévention de la fraude et des abus, modération des contenus signalés) — base légale : intérêt légitime (art. 6.1.f RGPD).
Envoyer des emails transactionnels (vérification d'adresse, réinitialisation de mot de passe) — base légale : exécution du contrat (art. 6.1.b RGPD).
Traiter vos retours et fournir les notifications demandées — base légale : exécution du contrat (art. 6.1.b RGPD). Les permissions du système restent sous votre contrôle et les notifications de Moments d’amis disposent d’un réglage dédié.
Mesurer l'usage du service (statistiques agrégées pour améliorer le produit) — base légale : consentement (art. 6.1.a RGPD). La mesure reste désactivée tant que vous ne l'avez pas activée dans les paramètres.

Vos données ne sont ni vendues ni louées, et ne servent à aucune publicité ciblée.

4. Sous-traitants et destinataires

Vos données sont hébergées et traitées par les prestataires suivants, dans le cadre strict des finalités décrites ci-dessus :

Hetzner Online GmbH : serveur privé (VPS) situé dans l’Union européenne — base de données et API.
Resend : envoi des emails transactionnels (vérification d'adresse, réinitialisation de mot de passe).
Cloudflare : distribution et protection du site et de l’API, notamment traitement des adresses IP et requêtes pour prévenir les abus ; Cloudflare R2 assure le stockage des photos de profil, des photos et vidéos des Moments et festivals, ainsi que des captures de retours. Ces dernières sont conservées dans un espace privé et délivrées par des liens temporaires après contrôle d'accès.
Expo : transmission des notifications autorisées, avec le jeton push et le contenu nécessaire à leur affichage. Les notifications de Moments d’amis sont activables dans les paramètres. Expo transmet ces notifications aux services Google Firebase Cloud Messaging (FCM) sur Android et Apple Push Notification service (APNs) sur iOS, qui traitent les identifiants de livraison et le contenu nécessaire à leur acheminement.
Google et Apple : authentification lorsque vous utilisez leurs boutons de connexion ; services cartographiques selon votre plateforme. Ces fournisseurs traitent aussi certaines données pour leurs propres finalités, selon leurs politiques de confidentialité : Google etApple. Les données techniques de Google Maps servent notamment au fonctionnement et à l’amélioration de ce service ; cette collecte est distincte de la mesure d’audience facultative de Sona.
PostHog (hébergement UE) : statistiques d'usage du service, uniquement après votre accord. Sona n'y envoie ni votre email ni le texte de vos Souvenirs.

Certains de ces fournisseurs peuvent traiter des données en dehors de l’Espace économique européen. Leurs politiques précisent les lieux de traitement et les mécanismes de transfert. Vous pouvez nous contacter pour obtenir des informations sur les garanties applicables à vos données et, lorsqu’elles s’appliquent, une copie des clauses contractuelles types.

5. Durées de conservation

Données de compte et contenu du carnet : conservés tant que le compte est actif, puis supprimés lors de la suppression du compte.
Données de connexion et journaux techniques : les sessions sont conservées jusqu’à expiration ou révocation. Les journaux serveur sont renouvelés par rotation lorsque leurs limites de volume sont atteintes ; leur durée dépend donc du volume d’activité. Les informations nécessaires au traitement d’un incident sont conservées pendant son analyse et, si nécessaire, pendant la durée utile à la défense de nos droits.
Sauvegardes techniques : copies quotidiennes conservées 14 jours, hebdomadaires 8 semaines et mensuelles 6 mois, puis renouvelées automatiquement. Des données supprimées du service actif peuvent subsister dans ces copies jusqu’à leur expiration. Elles sont réservées à la restauration du service ; une restauration doit tenir compte des demandes de suppression déjà reçues.

6. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie des données que nous détenons sur vous.
Droit de rectification : corriger vos données directement dans l'application (profil) ou sur demande.
Droit à l'effacement : la suppression de compte est disponible directement dans l'application (Réglages) ou depuis la page publique sona.flosch.co/delete-account, et entraîne la suppression de vos données, y compris votre photo de profil, les photos et vidéos de vos Moments et festivals, les captures de retours et votre identité de mesure d'audience.
Droit à la portabilité : recevoir vos données dans un format structuré et couramment utilisé.
Droit d’opposition : vous opposer, pour des raisons tenant à votre situation, aux traitements fondés sur notre intérêt légitime, dans les conditions prévues par le RGPD.
Droit à la limitation : demander la suspension de certains traitements, notamment pendant la vérification de l’exactitude de données contestées ou d’une opposition.
Retrait du consentement : désactiver à tout moment la mesure d'usage depuis les paramètres, sans conséquence sur les fonctionnalités de Sona.

Pour exercer ces droits, écrivez-nous à [email protected]. Nous répondons dans un délai d'un mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (cnil.fr).

Supprimer des données sans supprimer votre compte Sona

Vous pouvez supprimer vos Moments et leurs médias depuis l’application tout en conservant votre compte. Pour demander la suppression d’autres données, écrivez depuis l’adresse liée à votre compte à [email protected], avec l’objet « Suppression de données Sona ». Précisez les données concernées : Moments, notes, photos, vidéos, avatar ou retours. Ne communiquez jamais votre mot de passe.

Nous vérifions votre identité si nécessaire et vous répondons sous un mois. Les données de compte nécessaires pour garder votre accès sont conservées. Des traces nécessaires à la sécurité ou à la défense de droits peuvent subsister selon les critères de la section 5 ; les copies de sauvegarde expirent selon les durées indiquées dans cette section, jusqu’à six mois pour les copies mensuelles. Nous vous précisons les éventuelles données conservées et le motif lors du traitement de votre demande.

7. Âge minimum

Sona est réservé aux personnes âgées de 15 ans ou plus, âge du consentement numérique en France (art. 45 de la loi Informatique et Libertés). En créant un compte, vous confirmez avoir au moins 15 ans.

8. Cookies et traceurs

Le service utilise uniquement un cookie de session d'authentification, strictement nécessaire au fonctionnement du service (il vous garde connecté). Il est exempté de consentement au sens des lignes directrices de la CNIL. Aucun cookie publicitaire ou de suivi tiers n'est déposé.

9. Modifications

Cette politique peut évoluer avec le service. En cas de changement substantiel, vous en serez informé dans l'application ou par email. La date de dernière mise à jour figure en haut de ce document.