1. Responsable de traitement
Le responsable de traitement est l'éditeur de Patchothèque (voir la page Mentions légales pour son identité complète). Vous pouvez nous écrire à privacy@patchotheque.fr pour toute question relative à vos données personnelles.
2. Données collectées
Compte : adresse e-mail, empreinte chiffrée du mot de passe, nom d'affichage, identifiant, langue, rôle, horodatage de l'attestation d'âge et de l'acceptation des CGU.
Profil : avatar facultatif, biographie facultative, préférences de visibilité de la collection, préférences de notification.
Activité : entrées de collection, liste de souhaits, suivis, propositions et révisions, messages, signalements, annonces de marché.
Technique : adresse IP, user-agent, sessions et événements de sécurité (connexions, réinitialisations, alertes de connexion suspecte).
3. Bases légales
Exécution du contrat (RGPD art. 6.1.b) — fonctionnement du compte, de la collection, du marché et de la messagerie.
Intérêt légitime (RGPD art. 6.1.f) — prévention de la fraude, limitation des abus, alertes de connexion suspecte, journalisation de sécurité.
Consentement (RGPD art. 6.1.a) — fonctionnalités optionnelles telles que les e-mails marketing ou les cookies non essentiels ; le consentement est révocable à tout moment depuis le profil.
Obligation légale (RGPD art. 6.1.c) — conservation imposée par la loi française (par ex. journaux LCEN de publication de contenu).
4. Durées de conservation
Données du compte : pendant la durée de vie du compte, plus 12 mois après clôture pour la prévention de la fraude et la résolution des litiges.
Journaux de sécurité : 12 mois.
Sauvegardes : sauvegardes chiffrées en rotation tous les 30 jours.
Données encyclopédiques publiques (écussons, catégories, historique) : conservées sans limite de durée car constitutives de la base de connaissance commune. Les contributions sont anonymisées lors de la suppression du compte (§10).
5. Destinataires
Nous ne vendons pas vos données. Vos données ne sont communiquées qu'à nos sous-traitants (§11) pour les seules finalités énumérées et aux autorités françaises ou européennes sur réquisition valide.
6. Transferts internationaux
Certains sous-traitants sont établis hors de l'Espace économique européen, notamment aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de l'UE (Décision 2021/914) et, le cas échéant, sur le cadre EU-US Data Privacy Framework. La liste des sous-traitants figure ci-dessous.
8. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Vous pouvez également définir des directives sur le sort de vos données après votre décès.
La plupart des droits s'exercent depuis votre profil (téléchargement, modification, suppression). Pour toute autre demande, écrivez-nous à privacy@patchotheque.fr depuis l'adresse e-mail du compte ; nous répondons sous un mois.
9. Réclamation
Si vous estimez que le traitement porte atteinte à vos droits, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) sans préjudice de tout autre recours.
10. Sécurité
TLS en transit, sauvegardes chiffrées au repos, mots de passe hachés (bcrypt), empreinte de session, alertes de connexion suspecte, verrouillage après tentatives répétées, en-têtes CSP, accès production en moindre privilège.
11. Sous-traitants
Nous faisons appel aux sous-traitants suivants. Chacun est lié par un contrat écrit incluant les clauses contractuelles types de l'UE le cas échéant.
| Prestataire | Finalité | Localisation |
|---|---|---|
| Render | Hébergement applicatif et base PostgreSQL managée | États-Unis (CCT + DPF) |
| Cloudflare R2 | Stockage objet pour images, exports et sauvegardes | États-Unis (CCT + DPF) |
| Resend | E-mails transactionnels (inscription, mot de passe, notifications) | États-Unis (CCT + DPF) |
| Sentry | Supervision des erreurs applicatives, avec masquage des données personnelles | États-Unis (CCT + DPF) |
| BetterStack | Supervision de disponibilité et incidents | Union européenne |
| Cloudflare | DNS, anti-abus et CAPTCHA Turnstile | États-Unis (CCT + DPF) |
| Google Ireland Limited | Mesure d'audience Google Analytics 4, déclenchée uniquement après consentement explicite, avec identifiants utilisateurs hachés et signaux publicitaires désactivés | Irlande, transferts vers États-Unis (CCT + DPF) |
Les transferts hors EEE reposent sur les clauses contractuelles types de l'UE (Décision 2021/914 de la Commission).
12. Suppression du compte
Lorsque vous supprimez votre compte depuis votre profil, nous (i) effaçons vos entrées de collection, votre liste de souhaits, vos catégories suivies, vos sessions et notifications, (ii) anonymisons les messages et signalements émis ou reçus afin de préserver la cohérence des fils pour les autres utilisateurs, (iii) anonymisons vos propositions d'écussons acceptées afin de préserver la cohérence de l'encyclopédie, et (iv) supprimons l'enregistrement du compte. Les sauvegardes contenant vos données sont renouvelées sous 30 jours.