Ton défi. Tes données.
Notice de confidentialité · version 2026-10-v2
Qui est responsable ?
BOREA SYSTEM · SAS · 61 RUE DE LYON, 75012 PARIS
SIREN : 944 429 760 · Mentions légales complètes
Contact : ateliersanteville@ville-ris-orangis.fr
Hébergement : Backend et base sur VPS prive (37.114.63.125), interface Vercel. Fournisseur VPS, pays et SMTP a completer avant ouverture.
Ce que nous collectons et pourquoi
- Ton adresse e-mail, ton prénom, ton âge, ton mot de passe sous forme de hash et tes relevés servent à créer et sécuriser ton compte et à suivre le défi.
- Ton âge permet de gérer l’autorisation parentale. Le sexe est facultatif ; il n’est pas partagé dans le bilan collectif.
- Chaque bilan contient une date, un temps d’écran et la réponse à la question quotidienne. La réponse reste privée ; évite d’y inclure des informations sensibles ou sur d’autres personnes.
- Pour les moins de 15 ans, l’e-mail du parent et la trace de son autorisation sont enregistrés.
Les bases légales
Le suivi personnel repose sur l’exécution du service demandé pour les participants à partir de 15 ans. Pour les moins de 15 ans, l’activation repose sur le consentement conjoint du mineur et du titulaire de l’autorité parentale. Le bilan collectif repose sur un consentement distinct, facultatif et révocable, confirmé par le parent pour les moins de 15 ans.
Des données identifiantes, réservées au suivi, aux analyses et aux études
Les données enregistrées ne sont pas anonymisées. Le compte, les relevés et les réponses sont associés à un participant identifiable dans la base. Les identifiants du bilan collectif sont des pseudonymes : ils ne rendent pas les données anonymes. En plus du fonctionnement et de la sécurité du service, les usages sont limités aux analyses et études du défi décrites ici, avec ton accord lorsqu’il est requis. Aucun usage publicitaire ni revente.
Le bilan collectif est un choix
Si tu acceptes, les organisateurs voient les dates, le temps de référence et les relevés sous un identifiant pseudonyme. Ils ne reçoivent ni ton e-mail, ni ton prénom, ni tes réponses dans cet espace. Ces données restent des données personnelles pseudonymisées : elles ne sont pas présentées comme anonymes. Tu peux retirer ton accord dans ton profil ; tes relevés disparaîtront des futurs bilans et exports.
Aucune fin commerciale
Aucune publicité, aucune vente, aucun ciblage commercial. Les données ne sont utilisées que pour le suivi et, avec accord, pour mesurer l’évolution collective et réaliser des analyses et études de ce défi. Aucun classement public des participants ni décision automatisée ayant un effet juridique.
Liens de participation et attribution
Chaque lien de campagne possède un code. Son ouverture incrémente un compteur par lien, destination et date, sur notre serveur. Aucun cookie de tracking, adresse IP, identifiant de navigateur ou historique individuel de navigation n’est enregistré par cette fonction. Les compteurs mesurent des ouvertures, pas des personnes uniques. Ils servent à analyser les sources de participation ; les totaux sans identifiant individuel sont conservés pour comparer les campagnes.
Le code est transmis dans l’adresse de la landing et du formulaire d’inscription. Si tu acceptes séparément l’attribution, ce code est enregistré dans ton compte avec la date de ton accord. Il reste celui de l’inscription, même si tu ouvres ensuite un autre lien. Pour les moins de 15 ans, le parent confirme ce choix avant que le compte soit compté dans les statistiques d’attribution. Le refus n’empêche pas de participer. Tu peux retirer cette association depuis ton profil ; elle est également supprimée avec ton compte. Les statistiques d’inscription portent sur les comptes attribués encore présents.
Le traitement de l’association au compte repose sur ton consentement distinct. Les compteurs d’ouvertures ne contiennent pas d’identifiant de visiteur. Les journaux techniques éventuels de l’hébergeur sont distincts et doivent être limités au fonctionnement et à la sécurité du service.
Durée de conservation
Les comptes et relevés des participants sont supprimés 90 jours après la fin du défi (2026-11-30). Les inscriptions non activées sont supprimées au bout de 7 jours. Les sessions expirent au bout de 7 jours ; les liens de vérification au bout de 24 heures et les liens de réinitialisation au bout d’une heure. L’organisateur applique la même échéance aux exports. La configuration VPS fournie conserve des sauvegardes quotidiennes pendant 7 jours supplémentaires au maximum ; cette rotation doit aussi être appliquée aux copies externes. Toute restauration doit réappliquer les suppressions intervenues depuis la sauvegarde.
Qui peut accéder aux données ?
Ton compte est privé. L’équipe autorisée accède uniquement au bilan collectif consenti dans l’interface. Le responsable technique de l’hébergement a nécessairement accès à la base pour l’exploitation et la sécurité ; cet accès doit être limité aux personnes habilitées. Le prestataire d’e-mail reçoit les adresses nécessaires aux messages de vérification. Lorsque l’interface est hébergée sur Vercel et le backend sur un VPS, les requêtes, les sessions et les données affichées transitent aussi par Vercel ; la base persistante reste sur le VPS. Les prestataires, leurs lieux de traitement et les éventuels transferts sont indiqués dans les informations d’hébergement ci-dessus.
Tes droits
Dans ton profil, tu peux rectifier ton prénom, exporter tes données, retirer ton accord au bilan collectif et supprimer ton compte. Tu peux aussi retirer l’attribution au lien depuis ton profil. Contacte BOREA SYSTEM pour l’accès, la rectification d’autres champs, la limitation, l’effacement ou une demande complémentaire. Une réponse est apportée en principe sous un mois. Le parent peut retirer son accord depuis le lien reçu par e-mail. Tu peux aussi adresser une réclamation à la CNIL.
Cookies et sécurité
Un cookie de session strictement nécessaire te garde connecté. Aucun outil de suivi publicitaire ou d’analyse tiers n’est installé. Les images et polices sont servies localement. Tes mots de passe sont hachés avec scrypt ; les sessions et liens sont aléatoires et stockés sous forme de hash. L’hébergement public doit utiliser HTTPS, protéger la base et limiter les journaux.
Avant l’ouverture
L’organisateur doit documenter son registre de traitements, les contrats avec l’hébergeur et le prestataire d’e-mail, les lieux de traitement et les éventuels transferts hors Espace économique européen. La conformité dépend aussi de ces choix et des pratiques de l’équipe, au-delà des fonctions de cette application.