Politique de confidentialité

La présente politique décrit comment DUODUO (SASU, RCS Nantes 537 964 348, siège 11B rue Auguste Garnier, 44120 Vertou) traite les données personnelles des utilisateurs du service « j'y étais » (le « Service »), en qualité de responsable de traitement, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.

Contact pour toute question relative aux données : contact@jyetais.io.
DUODUO n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité.

Le Service est réservé aux personnes d'au moins 15 ans (voir CGU).

1. Données que nous traitons

Données d'identification et de compte : adresse e-mail, nom / prénom affiché, photo de profil (facultative ; à défaut, un avatar est généré à partir des initiales).

Données d'authentification : mot de passe (stocké de façon chiffrée par notre prestataire d'authentification, jamais en clair), et identité fournie par le fournisseur d'identité choisi : Google (via Google Sign-In, à la création du compte : nom, adresse e-mail et avatar) ou LinkedIn (si l'utilisateur choisit de lier son compte : nom, adresse e-mail, photo et identifiant). La base légale de la réception de ces données est l'exécution du contrat (création et gestion du compte). Nous n'écrivons rien chez ces fournisseurs et n'accédons à aucun autre de leurs services.

Contenus : projets déclarés (titre, description, période, société concernée, fait marquant, image), participations, anecdotes, validations de présence, commentaires, mentions « j'aime », votes.

Données relationnelles : contacts issus des co-participations, invitations envoyées et reçues.

Données de consentement : acceptation des CGU (date et version), et préférences e-mail avec leur date : notifications (activées par défaut), newsletter (selon le consentement donné), et marketing / actualités produit (désactivé par défaut, opt-in explicite). Chacune est modifiable à tout moment dans « Mon compte », et retirer un consentement y est aussi simple que le donner.

Données techniques : données de connexion et de session, journaux techniques, dates de relance d'invitation.

Données de paiement (pour les abonnements payants) : gérées par notre prestataire de paiement Stripe. DUODUO ne stocke pas les numéros de carte bancaire.

2. Finalités et bases légales

3. Visibilité publique de certaines données

Le Service repose sur l'attestation collective. Lorsqu'un projet est validé, il devient public : le titre, la description, la société, les images, ainsi que le nom, l'avatar et les anecdotes des contributeurs ayant confirmé leur participation sont visibles par les autres membres. L'utilisateur en est informé au moment de confirmer sa participation.

Droit de retrait d'une contribution. À tout moment, un contributeur peut retirer son nom d'un projet, y compris après sa validation publique. Son nom, son avatar et son anecdote sont alors retirés : il apparaît comme « Un contributeur », sans lien vers son profil. Le projet, lui, reste public et son attestation reste valide (le nombre de contributeurs est préservé). Ce retrait est irréversible et n'exige aucune démarche par e-mail : il se fait depuis la fiche du projet.

4. Personnes invitées non-membres

Lorsqu'un utilisateur invite une personne qui n'a pas de compte (par e-mail ou via un profil LinkedIn), son adresse e-mail ou l'URL de son profil est traitée aux seules fins de lui adresser une invitation. Chaque e-mail d'invitation contient un lien de refus : il ouvre une page qui rappelle de qui vient l'invitation et propose un bouton unique. Ce bouton efface immédiatement cette adresse e-mail ou cette URL et empêche toute relance, sans création de compte. Le refus n'est jamais enregistré par la seule ouverture du lien : les messageries et les outils de sécurité visitent les liens d'un message pour les analyser, et un refus déclenché ainsi n'aurait été voulu par personne. À défaut de réponse, ces données sont conservées 6 mois puis supprimées automatiquement. La personne peut aussi, à tout moment, refuser l'invitation et demander la suppression de ces données à contact@jyetais.io.

4 bis. Personnes qui signalent un contenu

Le formulaire [Signaler un contenu](/signaler) est ouvert sans compte. Nous y traitons les données que vous nous transmettez : nom, adresse e-mail, organisation le cas échéant, lien du contenu concerné, motif et description de votre demande, ainsi qu'un éventuel élément justificatif que vous saisissez librement.

Ces données servent exclusivement à instruire votre demande, à vous répondre, et à conserver la trace de la suite qui lui a été donnée. La base légale est l'obligation qui pèse sur l'hébergeur de traiter les signalements, ainsi que notre intérêt légitime à documenter nos décisions de modération.

Elles sont conservées 3 ans après la clôture du dossier, durée qui correspond au délai pendant lequel une contestation reste possible. Elles ne sont accessibles qu'au personnel habilité de DUODUO, et ne sont utilisées à aucune autre fin.

5. Destinataires et sous-traitants

Les données sont accessibles au personnel habilité de DUODUO et à ses sous-traitants techniques, qui agissent sur instruction et présentent des garanties conformes au RGPD :

• Supabase Pte. Ltd. : base de données, authentification et stockage. Données hébergées dans la région Union européenne.
• Vercel Inc. : hébergement de l'application (États-Unis).
• Resend : envoi des e-mails transactionnels (États-Unis).
• Stripe : traitement des paiements (États-Unis / Irlande).
• Google LLC (Google Ireland Ltd pour l'Union européenne) : authentification via Google Sign-In, uniquement si l'utilisateur crée ou lie son compte avec Google (États-Unis / Irlande). Garanties : EU-US Data Privacy Framework.
• LinkedIn : authentification, uniquement si l'utilisateur lie son compte (États-Unis).
• logo.dev : affichage des logos des sociétés. Lorsque le logo d'une société est affiché, votre navigateur charge l'image depuis logo.dev, qui reçoit à cette occasion votre adresse IP (États-Unis). Aucune autre donnée ne lui est transmise.

Nous ne vendons pas les données personnelles.

6. Transferts hors Union européenne

Certaines données sont traitées par des sous-traitants situés hors de l'Union européenne. Chaque transfert est encadré par une garantie appropriée au sens du RGPD :

7. Durées de conservation

• Données de compte et de contenu : pendant la durée de vie du compte, puis supprimées, sauf les contenus rendus publics dans le cadre d'attestations collectives et sous réserve des obligations légales.
• Données de facturation : conservées 10 ans (obligation comptable).
• Journaux techniques : 12 mois.
• Signalements de contenu : 3 ans après la clôture du dossier.
• Consentements : conservés le temps nécessaire à la preuve du consentement.

8. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, du droit de retirer votre consentement à tout moment, et de définir des directives sur le sort de vos données après votre décès.

Pour exercer ces droits : contact@jyetais.io. Nous pourrons vous demander de justifier de votre identité. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Sécurité

DUODUO met en œuvre des mesures techniques et organisationnelles pour protéger les données (chiffrement des mots de passe, contrôles d'accès, cloisonnement des accès aux données par des règles de sécurité au niveau de la base).

10. Modification

La présente politique peut être mise à jour. En cas de modification substantielle, les utilisateurs en sont informés.