Politique de confidentialité

2. Données collectées

Dans le cadre de l'utilisation de CIRCUDON, les données suivantes peuvent être collectées et traitées :

• —Compte utilisateur : adresse email, pseudo public, date d'inscription, date et version des CGU et de la politique de confidentialité acceptées lors de l'inscription.
• —Mot de passe : géré exclusivement par Supabase Auth — jamais accessible ni stocké par CIRCUDON.
• —Annonces : titre, description, catégorie, statut, ville de récupération, code postal, code INSEE de la commune (non affiché publiquement), localisation approximative (centroïde de commune).
• —Images d'annonces : stockées dans Supabase Storage après normalisation (redimensionnement, conversion WebP).
• —Messages : contenu des échanges entre utilisateurs via la messagerie interne.
• —Favoris : associations entre un compte et une annonce.
• —Signalements : motif, commentaire éventuel, annonce concernée, identité du signalant.
• —Réservations : association d'une annonce à un preneur désigné.
• —Dates d'activité : dates de création et de mise à jour des annonces et messages.
• —Données techniques nécessaires : logs d'accès et erreurs côté infrastructure (Supabase, hébergeur applicatif), données de session (cookies d'authentification).

Aucune coordonnée GPS précise ni adresse exacte n'est collectée. La localisation affichée est approximative (zone de commune). Le lieu précis de remise est à convenir directement entre les utilisateurs.

3. Authentification facultative avec Google

Lorsque cette option est proposée, vous pouvez choisir de créer un compte ou de vous connecter à CIRCUDON en utilisant un compte Google. Ce mode de connexion est entièrement facultatif : l'inscription et la connexion par email et mot de passe restent disponibles à tout moment, que vous ayez ou non déjà utilisé Google.

• —Fonctionnement : si vous choisissez de vous connecter avec Google, vous êtes redirigé vers l'environnement sécurisé de Google pour vous identifier. CIRCUDON ne reçoit jamais votre mot de passe Google.
• —Données reçues : selon les informations rendues disponibles par Google au moment de la connexion, CIRCUDON peut recevoir votre adresse email, votre nom ou nom de profil, un identifiant technique unique de votre compte Google et, le cas échéant, une photo de profil.
• —Finalités : ces informations sont utilisées uniquement pour créer ou retrouver votre compte CIRCUDON, sécuriser votre connexion, éviter la création de comptes en double et appliquer les règles de sécurité et de suspension déjà décrites dans cette politique.
• —Compte existant : lorsque vous utilisez Google avec la même adresse email qu'un compte CIRCUDON existant, cette méthode de connexion peut être automatiquement rattachée à ce compte afin d'éviter la création d'un doublon. En cas d'incohérence, la liaison peut être refusée pour protéger votre compte.
• —Aucun accès étendu : CIRCUDON ne demande et ne reçoit aucun accès à vos emails Gmail, à vos contacts, à Google Drive, à Google Agenda, à Google Photos, ni à tout autre contenu de votre compte Google.
• —Protection de vos données de connexion : CIRCUDON ne reçoit jamais votre mot de passe Google. CIRCUDON ne conserve aucun jeton d'accès ou de renouvellement Google dans sa base métier et ne les utilise pas pour consulter d'autres services ou contenus de votre compte Google.
• —Rôles respectifs : Supabase Auth, déjà présenté à la section « Sous-traitants et transferts », assure la gestion technique de la connexion et la liaison entre votre identité Google et votre compte CIRCUDON. Google intervient comme fournisseur d'identité que vous choisissez librement : Google réalise également ses propres traitements de données, dans le cadre de sa propre politique de confidentialité, indépendamment de CIRCUDON.
• —Base juridique : la création et l'accès à votre compte via Google reposent sur l'exécution des conditions d'utilisation, à votre demande — la même base juridique que pour un compte créé par email et mot de passe.
• —Transferts internationaux : Google et les prestataires techniques intervenant dans ce parcours d'authentification peuvent être amenés à traiter certaines données en dehors de l'Union européenne, selon leur localisation, leurs propres engagements et les garanties juridiques applicables.
• —Suppression : la suppression de votre compte CIRCUDON n'entraîne pas la suppression de votre compte Google. Vous pouvez à tout moment gérer, depuis votre compte Google, les autorisations que vous avez accordées à CIRCUDON ; cette gestion ne supprime pas automatiquement les données conservées par CIRCUDON, qui restent soumises aux durées de conservation décrites plus bas dans cette politique.

Ce mode de connexion reste optionnel : vous pouvez à tout moment utiliser ou continuer d'utiliser l'authentification par email et mot de passe.

4. Finalités du traitement

• ✓Création et gestion du compte utilisateur.
• ✓Dépôt, modification, consultation et recherche locale d'annonces.
• ✓Messagerie entre utilisateurs.
• ✓Gestion des favoris.
• ✓Signalements et modération.
• ✓Sécurité et prévention des abus.
• ✓Envoi d'emails transactionnels (confirmation d'inscription, réinitialisation de mot de passe).
• ✓Respect des obligations légales applicables.
• ✓Mesure d'audience du site, sous réserve de votre consentement (voir section 8).

5. Bases légales

• —Exécution du contrat : fourniture du service, gestion du compte, messagerie, favoris, annonces.
• —Intérêt légitime : sécurité du service, prévention des abus, modération des signalements.
• —Obligation légale : le cas échéant, conservation des données requises par la loi.
• —Consentement : mesure d'audience via Google Analytics, activée uniquement après acceptation de la catégorie correspondante via CookieHub (voir section 8), avec possibilité de retirer ce consentement à tout moment.

6. Sous-traitants et transferts

CIRCUDON fait appel aux sous-traitants suivants :

• —Vercel Inc. : hébergement de l'application. L'application est déployée sur l'infrastructure Vercel, opérée par Vercel Inc.
• —Supabase : gestion sécurisée des sessions et des moyens d'authentification et, lorsque l'authentification Google est active, liaison entre cette identité et votre compte CIRCUDON.
• —Supabase PostgreSQL : stockage de la base de données applicative.
• —Supabase Storage : stockage des images d'annonces.
• —Brevo (ex-Sendinblue) SMTP : envoi des emails transactionnels. Sendinblue SAS, Paris, France.
• —CookieHub ehf : plateforme de gestion du consentement (CMP) utilisée par CIRCUDON pour recueillir, enregistrer et permettre de modifier vos choix de consentement, et pour tenir un journal de consentement (Consent Log) permettant d'établir la preuve de ces choix. Voir section 8 ci-dessous pour le fonctionnement détaillé.
• —Google Analytics (Google LLC) : mesure d'audience, activée uniquement lorsque vous avez donné votre consentement à la catégorie correspondante via CookieHub (voir section « Cookies, consentement et mesure d'audience » ci-dessous). Google LLC peut traiter certaines données en dehors de l'Union européenne, selon sa propre localisation et les garanties juridiques applicables, dans le cadre de sa propre politique de confidentialité.

Ces sous-traitants sont soumis à leurs propres politiques de confidentialité et, selon leur localisation, aux règles applicables en matière de transfert de données hors de l'Union européenne.

Lorsque vous choisissez de vous connecter avec Google (section « Authentification facultative avec Google » ci-dessus), Google intervient en complément de ces sous-traitants comme fournisseur d'identité facultatif que vous avez vous-même choisi. Contrairement aux prestataires ci-dessus, Google n'agit pas comme un simple sous-traitant de CIRCUDON : Google réalise également ses propres traitements de données personnelles, dans le cadre de sa propre politique de confidentialité, indépendamment de CIRCUDON.

7. Données visibles et données privées

• —Visibles publiquement : pseudo public, titre et description des annonces, ville et code postal, catégorie, statut.
• —Non affichée publiquement : adresse email — visible uniquement par l'utilisateur lui-même dans son espace personnel et par l'équipe d'administration interne.
• —Messages : privés entre les deux utilisateurs concernés par la conversation.
• —Signalements : visibles uniquement par l'équipe de modération autorisée.

8. Cookies, consentement et mesure d'audience

CIRCUDON utilise CookieHub, une plateforme de gestion du consentement (CMP), pour recueillir votre consentement avant tout dépôt de cookies ou traceurs non strictement nécessaires. Une bannière vous permet d'accepter tout, de tout refuser ou de personnaliser vos choix par catégorie.

• —Cookies de session Supabase Auth : nécessaires à l'authentification et au maintien de la connexion.
• —Cloudflare Turnstile : traceur strictement nécessaire à la vérification anti-robot lors de la connexion, de l'inscription et de la demande de réinitialisation de mot de passe. Fonctionne de façon invisible ou progressive (aucune case à cocher affichée par défaut), sans finalité publicitaire ni suivi de navigation.
• —Authentification facultative avec Google : lorsque cette option est active, elle peut nécessiter des cookies ou mécanismes techniques strictement nécessaires au bon déroulement sécurisé de la connexion. CIRCUDON n'utilise pas de bannière de type « Google One Tap » et ne dépose aucun cookie publicitaire ou de personnalisation publicitaire lié à Google.
• —CookieHub : cookie strictement nécessaire déposé par CookieHub lui-même, afin de mémoriser votre choix de consentement (accepté, refusé ou personnalisé) d'une visite à l'autre. Lorsque le journal de consentement CookieHub (Consent Log) est activé, CookieHub conserve les informations techniques et pseudonymes nécessaires pour établir la preuve des choix effectués, notamment un identifiant technique, la page concernée, la version du mécanisme de consentement, des informations techniques relatives au terminal et au navigateur, une adresse IP anonymisée ainsi que la date et l'heure du choix — jamais utilisées à des fins marketing. Selon la documentation actuelle de CookieHub, les entrées de ce journal sont automatiquement supprimées après 12 mois, sauf accord contraire (voir section 9 pour la distinction avec la durée du cookie).
• —Google Analytics 4 (mesure d'audience) : uniquement si vous autorisez la catégorie correspondante via CookieHub. Google Analytics permet de mesurer la fréquentation et la navigation sur CIRCUDON (pages consultées, provenance du trafic, type d'appareil) à des fins statistiques. Aucune donnée personnelle identifiante (email, pseudo, contenu de message, identifiant de compte) n'est transmise volontairement à Google Analytics.

Tant que vous n'avez pas donné votre consentement, Google Analytics ne collecte rien. Si vous refusez ou retirez votre consentement, la collecte Google Analytics s'arrête.

Vous pouvez à tout moment revenir sur votre choix — accepter, refuser ou modifier les catégories autorisées — en rouvrant le panneau de préférences CookieHub, accessible depuis l'icône de gestion des cookies présente sur le site.

CIRCUDON n'active dans ce cadre aucune publicité comportementale, aucun remarketing Google Ads et aucune personnalisation publicitaire. Si CIRCUDON activait plus tard ces usages, un consentement spécifique et distinct serait requis avant toute activation.

9. Durées de conservation

• —Compte utilisateur actif : conservé tant que le compte existe. L'utilisateur peut demander la suppression à contact@circudon.com.
• —Comptes inactifs : un compte inactif pourra être supprimé ou anonymisé après 24 mois sans activité, avec avertissement préalable lorsque cela est techniquement possible.
• —Annonces actives : conservées tant qu'elles sont publiées.
• —Annonces archivées, données ou retirées du public : conservées jusqu'à 24 mois après leur archivage, afin de gérer la modération, la sécurité et les éventuels litiges.
• —Images d'annonces : suivent la durée de conservation de l'annonce associée.
• —Messages et conversations liés à une annonce : conservés jusqu'à 12 mois après la dernière activité de la conversation ou après l'archivage de l'annonce concernée, sauf nécessité liée à la sécurité, à la modération ou à une obligation légale.
• —Favoris : conservés jusqu'à leur retrait par l'utilisateur ou jusqu'à la suppression du compte.
• —Signalements : conservés jusqu'à 24 mois après leur clôture afin de prévenir les abus et assurer la sécurité du service.
• —Demandes de contact : les messages envoyés à CIRCUDON sont conservés jusqu'à 12 mois après le dernier échange.
• —Demandes RGPD : conservées pendant le temps nécessaire à leur traitement, puis archivées jusqu'à 5 ans à des fins de preuve du traitement de la demande.
• —Événements de sécurité (journal SecurityEvent) : conservés jusqu'à 12 mois maximum.
• —Actions d'administration et de modération : conservées jusqu'à 24 mois maximum.
• —Gel juridique et litiges en cours : les données placées sous gel juridique ou liées à un litige ou une enquête en cours sont conservées jusqu'à la clôture du dossier concerné, puis reviennent au cycle normal de conservation décrit ci-dessus.
• —Cookie de consentement CookieHub : le cookie cookiehub, déposé pour mémoriser votre choix, est conservé 365 jours.
• —CookieHub Consent Log : le journal servant à conserver la preuve des choix de consentement est distinct du cookie cookiehub ci-dessus. Selon la documentation actuelle de CookieHub, ses entrées sont automatiquement supprimées après 12 mois, sauf accord contraire.
• —Google Analytics (mesure d'audience) : lorsque vous avez consenti à cette catégorie, les données sont conservées selon les paramètres actuellement configurés sur la propriété Google Analytics de CIRCUDON : données d'événement conservées 2 mois, données utilisateur conservées 14 mois, avec réinitialisation du délai lors d'une nouvelle activité. Ces valeurs sont les paramètres actuels propres à CIRCUDON, et non une durée légale universelle de Google Analytics ; elles peuvent évoluer.

Lorsque des données sont nécessaires à la gestion d'un signalement, d'un litige, d'une demande officielle ou d'une obligation légale, leur conservation peut être prolongée jusqu'à la clôture du dossier concerné.

Les suppressions ou anonymisations sont mises en œuvre progressivement selon les mécanismes techniques disponibles, dans le respect des durées annoncées.

10. Vos droits

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• ✓Droit d'accès : obtenir une copie de vos données.
• ✓Droit de rectification : corriger des données inexactes.
• ✓Droit à l'effacement : demander la suppression de vos données dans les conditions prévues par la loi. La demande peut être adressée par contact — aucun parcours automatisé n'existe en V1.
• ✓Droit d'opposition : s'opposer à certains traitements fondés sur l'intérêt légitime.
• ✓Droit à la limitation : limiter temporairement le traitement dans certains cas.
• ✓Droit à la portabilité : recevoir vos données dans un format structuré, si applicable.

Pour exercer vos droits, écrivez à contact@circudon.com ou consultez la page contact.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr.

11. Sécurité

CIRCUDON met en œuvre des mesures techniques et organisationnelles adaptées pour protéger les données personnelles contre toute perte, accès non autorisé, divulgation ou modification. L'authentification est gérée par Supabase Auth — les mots de passe ne sont jamais accessibles par CIRCUDON.

L'espace d'administration interne est restreint aux seules personnes habilitées.

12. Évolution de cette politique

Cette politique de confidentialité peut évoluer pour refléter les changements apportés au service ou les évolutions légales. La date de dernière mise à jour est indiquée en haut de cette page. En cas de modification significative, les utilisateurs seront informés.