Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Antoine, personne physique, éditeur de l'application dans le cadre d'un projet personnel non commercial, sans structure commerciale enregistrée à ce stade (pas de SIRET). Aucun délégué à la protection des données (DPO) n'est désigné — cette désignation n'est pas obligatoire à cette échelle, et le responsable du traitement est le point de contact unique.

Contact pour toute question, demande d'exercice de droits ou réclamation : [email protected].

2. Portée

Cette politique couvre l'application mobile Pop&Bang (Android, puis iOS ultérieurement) et le site vitrine popandbang.com. Elle ne couvre pas les services tiers vers lesquels l'application renvoie (Google, Spotify, Deezer, OpenStreetMap…), qui ont leurs propres politiques — voir la section 8.

3. Données que tu nous fournis directement

Création de compte. Adresse email et mot de passe. Le mot de passe n'est jamais stocké en clair : il est haché par le service d'authentification (Supabase Auth). Si tu choisis « Continuer avec Google », on reçoit de Google ton adresse email et l'identifiant de base de ton compte, pas ton mot de passe Google.

Profil. Un pseudo (obligatoire, choisi à l'inscription). Facultativement : un nom affiché, une biographie, une photo de profil, une photo de couverture, et tes préférences (marques, catégories de voitures, types d'événements) renseignées à l'onboarding.

Garage. Les voitures que tu ajoutes : marque, modèle, année, caractéristiques, historique, personnalisation, couleur, et les photos que tu téléverses.

Contenus et interactions. Publications (texte, photos, vidéos au format portrait), commentaires, playlists (titres et liens de recherche Spotify/Deezer), « j'aime », partages/reposts, idées déposées dans la boîte à idées, messages privés et messages de groupe, et les signalements que tu envoies.

Événements. Les rassemblements que tu crées (titre, description, date, catégorie, et le lieu — coordonnées et adresse que tu choisis sur la carte), tes participations et tes annonces de voiture pour un événement.

4. Données générées par ton utilisation

Progression de jeu. XP, niveau, succès, titres, collections, quêtes, défis quotidiens et hebdomadaires, séries de connexion (streaks), position au classement. Ces données n'ont aucune valeur monétaire (section 9 des conditions d'utilisation).

Graphe social. La liste des membres que tu suis et de ceux qui te suivent.

Modération. Si un de tes contenus est signalé ou si ton compte fait l'objet d'une mesure (avertissement, restriction, suspension, bannissement), on conserve un enregistrement minimal de l'incident (identifiant concerné, motif, date, décision) — voir la durée de conservation en section 9.

5. Localisation

Pop&Bang n'accède à ta position que si tu accordes la permission au niveau du système, et uniquement pour les fonctionnalités décrites ci-dessous. Tu peux refuser cette permission ou la révoquer à tout moment dans les réglages de ton téléphone : les fonctions concernées se désactivent, tout le reste de l'application continue de fonctionner. Pop&Bang n'enregistre jamais de position « domicile », ne construit aucun historique de tes déplacements et n'enregistre aucun tracé GPS.

Localisation au premier plan (application ouverte à l'écran) :

• Carte des rassemblements — ta position sert à centrer la carte autour de toi et à calculer la distance jusqu'aux événements. Elle est utilisée sur l'appareil et n'est pas conservée sur nos serveurs.
• Check-in à un événement — quand tu valides ta présence à un rassemblement, un point de localisation unique, pris à cet instant, est transmis au serveur pour vérifier que tu es bien sur place. Seul le résultat (présent / trop loin) est conservé, pas la coordonnée.
• Création d'un événement — les coordonnées du lieu que tu choisis sont enregistrées avec l'événement et deviennent visibles des autres membres. C'est le lieu de l'événement, pas ta position.
• Recherche d'adresse — le texte que tu saisis (ou les coordonnées d'un point que tu déplaces sur la carte) est envoyé au service de géocodage OpenStreetMap / Nominatim pour être converti en adresse. Voir section 8.

Localisation en arrière-plan (application fermée ou en veille) :

• Mode Conduite — si, et seulement si, tu actives le Mode Conduite, l'application utilise un service de localisation en arrière-plan pour mesurer la distance que tu parcours pendant un trajet, afin de créditer de l'XP (avec un plafond quotidien). Seule la distance totale agrégée (en kilomètres) et les horodatages de début et de fin de session sont conservés. Le trajet, l'itinéraire et les coordonnées successives ne sont jamais transmis ni enregistrés — le calcul de distance se fait sur l'appareil et seul le total en ressort. Tu peux arrêter le Mode Conduite à tout moment ; il ne se réactive pas seul.
• Track Mode — mode optionnel que tu actives volontairement. Pendant une session, ta position en temps réel est partagée avec les autres utilisateurs actifs dans ce même mode à proximité, y compris des personnes que tu ne connais pas. Cette position n'est ni enregistrée ni conservée : elle transite en direct et disparaît dès que tu quittes le mode ou que ta session se termine. Rien n'en reste sur nos serveurs.

6. Notifications push

Si tu actives les notifications, l'application enregistre un jeton de notification propre à ton appareil, la plateforme (Android ou iOS) et le modèle / la version du système d'exploitation de l'appareil (nécessaires pour router correctement l'envoi). Les notifications transitent par le service de notifications d'Expo (Expo Push Service), puis par Firebase Cloud Messaging (Google) sur Android et par le service de notifications d'Apple (APNs) sur iOS. Désactive les notifications dans les Paramètres de l'application et le jeton de ton appareil est supprimé de nos serveurs.

7. Données techniques

Journaux serveur. Comme tout service en ligne, notre hébergeur (Supabase) journalise les requêtes reçues : adresse IP, horodatage, type de requête, agent utilisateur. Ces journaux servent à la sécurité, au débogage et à la prévention des abus, et sont conservés en rotation courte.

Mises à jour. L'application vérifie au lancement si une mise à jour de son code est disponible (service Expo Updates) ; la version installée et l'identifiant de build sont transmis pour cela.

Diagnostics de la boutique. Si tu les as autorisés au niveau du système Android, Google Play peut nous transmettre des rapports de plantage et de performance agrégés et anonymisés (Android Vitals). On n'y reçoit aucun identifiant permettant de te reconnaître.

8. Sous-traitants et destinataires

Tes données ne sont jamais vendues, louées, ni transmises à des fins publicitaires ou marketing. Elles sont partagées uniquement avec les prestataires techniques strictement nécessaires au service :

• Supabase, Inc. (siège à Singapour ; infrastructure de production dans l'Union européenne) — base de données, authentification, stockage des fichiers, temps réel et fonctions serveur. C'est là que vivent ton compte et tes contenus.
• Expo (Expo Application Services, États-Unis) — distribution des mises à jour de l'application et relais des notifications push.
• Google LLC (États-Unis) — Firebase Cloud Messaging (transport des notifications Android), connexion « Continuer avec Google » (si tu l'utilises), distribution via Google Play, et diagnostics agrégés Android Vitals.
• Apple Inc. (États-Unis) — APNs (transport des notifications iOS), lorsque la version iOS sera disponible.
• OpenFreeMap — fonds de carte vectoriels (données OpenStreetMap). Ton appareil télécharge les tuiles de carte directement depuis ce service lorsqu'une carte s'affiche.
• Fondation OpenStreetMap / Nominatim (serveurs en Allemagne) — conversion des adresses et des points de carte en texte lisible (géocodage).
• Cloudflare, Inc. (États-Unis) — hébergement du site popandbang.com (service Cloudflare Pages). Cloudflare voit l'adresse IP des visiteurs du site à des fins de sécurité et de diffusion.

Liens sortants. Les boutons de playlist ouvrent une recherche sur Spotify ou Deezer dans ton navigateur ou l'application correspondante. Aucune donnée ne leur est transmise au-delà de ta propre navigation, soumise à leurs politiques respectives.

Autorités. Des données peuvent être communiquées à une autorité administrative ou judiciaire si la loi l'exige, sur réquisition valable.

9. Durées de conservation

• Compte, profil, garage, contenus, progression de jeu — conservés tant que ton compte existe.
• Suppression de compte — quand tu supprimes ton compte depuis les Paramètres, tes données sont effacées en cascade immédiatement (compte, voitures, publications, commentaires, messages que tu as envoyés, « j'aime », abonnements, progression, jetons de notification) et tes fichiers (photos, vidéos) sont purgés du stockage. Les sauvegardes chiffrées de la base contenant encore une copie expirent ensuite au fil de leur rotation, généralement sous 7 à 30 jours.
• Position Track Mode — non conservée (éphémère par conception).
• Distance du Mode Conduite — conservée avec ta progression, pour la vie du compte.
• Journaux serveur — rotation courte (quelques jours à quelques semaines).
• Enregistrements de modération — conservés le temps nécessaire pour faire respecter les règles de la communauté, empêcher la récidive (par exemple le contournement d'un bannissement) et défendre d'éventuelles réclamations, y compris après la suppression du compte concerné. Ces enregistrements sont minimaux (identifiant, motif, date, décision).

10. Bases légales (RGPD, article 6)

• Exécution du contrat — création et gestion du compte, publication et affichage de tes contenus, fonctionnement du système de jeu, messagerie. Sans ces données, le service ne peut pas fonctionner.
• Ton consentement — accès à ta localisation précise, ajout de photos et de contenus optionnels, notifications push, partage de position en direct dans Track Mode. Tu peux retirer ton consentement à tout moment en désactivant la fonctionnalité concernée ou en révoquant la permission système ; le retrait ne remet pas en cause les traitements déjà effectués.
• Intérêt légitime — sécurité du service, prévention de la fraude et de la triche, intégrité des classements, modération des contenus, défense de nos droits en justice. Cet intérêt est mis en balance avec tes droits et libertés.
• Obligation légale — réponse à une réquisition valable d'une autorité.

11. Qui voit quoi

Visible des autres membres et du public : ton pseudo, ton nom affiché, ta photo de profil et de couverture, ta biographie, ton garage et ses photos, tes publications et commentaires, ton niveau, tes succès et titres affichés, ton rang au classement, tes abonnements, et les idées que tu déposes dans la boîte à idées (avec ton pseudo).

Privé : ton adresse email, ton mot de passe (haché, illisible même pour l'éditeur), et le contenu de tes messages privés et de groupe, visibles des seuls participants à la conversation. Les messages ne sont pas chiffrés de bout en bout : ils peuvent être consultés par l'éditeur uniquement en cas de signalement pour modération ou d'obligation légale.

Ta position n'est jamais affichée telle quelle aux autres membres, à la seule exception du partage en direct que tu déclenches toi-même en activant Track Mode.

Accès administrateur : un administrateur Pop&Bang peut accéder aux contenus publiés et aux photos pour les besoins de la modération (traitement des signalements, retrait d'un contenu illicite) et peut supprimer un compte. Cet accès est contrôlé côté serveur et réservé aux comptes administrateurs.

12. Transferts hors Union européenne

Les données de ton compte et tes contenus sont hébergés dans l'Union européenne. Certains sous-traitants (Expo, Google, Apple, Cloudflare) sont établis aux États-Unis et peuvent y traiter des données limitées (jetons de notification, identifiants techniques, adresses IP, données de connexion Google). Ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne et/ou par l'adhésion de ces sociétés au Data Privacy Framework UE–États-Unis.

13. Tes droits

Conformément au RGPD et à la loi Informatique et Libertés, tu disposes des droits suivants : accès à tes données, rectification, effacement, portabilité (recevoir tes données dans un format réutilisable), limitation du traitement, opposition au traitement fondé sur l'intérêt légitime, et retrait du consentement.

La plupart s'exercent directement dans l'application : modifier ton profil et tes contenus, désactiver une fonctionnalité, ou utiliser « Supprimer mon compte » dans les Paramètres. Pour une demande d'accès ou de portabilité, ou toute demande que l'application ne couvre pas, écris à [email protected]. Une réponse te sera apportée dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes.

Conformément à la loi française, tu peux définir des directives relatives à la conservation, l'effacement et la communication de tes données après ton décès.

Si tu estimes que le traitement de tes données n'est pas conforme, tu peux introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés, France) ou de l'autorité de protection des données de ton pays de résidence.

14. Sécurité

Les échanges entre l'application et nos serveurs sont chiffrés en transit (TLS). Les données au repos sont chiffrées par notre hébergeur. L'accès aux données est cloisonné au niveau de la base par des règles de sécurité par ligne (chaque membre ne peut lire et modifier que ce à quoi il a droit), les mots de passe sont hachés, l'accès administrateur est contrôlé côté serveur, et le principe du moindre privilège est appliqué. Aucun système n'est infaillible : en cas de violation de données susceptible d'engendrer un risque élevé pour tes droits, tu en seras informé, ainsi que la CNIL, dans les conditions prévues par le RGPD.

15. Enfants

Pop&Bang n'est pas destiné aux enfants. Tu dois avoir au moins 16 ans pour créer un compte. Tout compte identifié comme appartenant à une personne de moins de 16 ans sera supprimé. Si tu es parent ou tuteur et penses que ton enfant a créé un compte, écris à l'adresse de contact et le compte sera supprimé.

16. Ce que Pop&Bang ne fait pas

• Aucun SDK publicitaire, aucune publicité dans l'application.
• Aucun identifiant publicitaire (GAID Android, IDFA Apple) lu ou utilisé.
• Aucun outil d'analyse comportementale ou de mesure d'audience tiers (pas de Google Analytics, Firebase Analytics, Sentry, Amplitude, PostHog, ni équivalent).
• Aucun pistage d'une application à l'autre ou d'un site à l'autre.
• Aucune vente, location ou mise à disposition de tes données à des tiers à des fins commerciales.
• Aucun accès à tes contacts, ton micro, ton calendrier, tes SMS ou tes données biométriques.
• Aucun enregistrement de tracé GPS, d'historique de déplacement ou de position « domicile ».

17. Cookies et stockage local

Application. L'application utilise le stockage local de l'appareil pour te garder connecté et mémoriser des préférences d'interface (par exemple le fait que tu as déjà vu l'écran des nouveautés, un filtre ou un onglet). Aucun cookie publicitaire, aucun traceur.

Site popandbang.com. Le site ne dépose aucun cookie de suivi et n'intègre aucun outil de mesure d'audience. Cloudflare peut déposer un cookie strictement nécessaire à la sécurité et au bon fonctionnement de la diffusion.

18. Modification de cette politique

Ce document peut évoluer pour suivre de nouvelles fonctionnalités ou la réglementation. La date de dernière mise à jour figure en haut de cette page. Toute modification substantielle (nouvelle catégorie de données, nouvelle finalité, nouveau sous-traitant important) te sera signalée dans l'application avant de prendre effet.

19. Contact

Pour toute question relative à cette politique ou à tes données personnelles : [email protected].