Politique de confidentialité

Lyriot ("nous", "notre", "nos") s'engage à protéger votre vie privée. Cette politique explique comment nous collectons, utilisons, partageons et protégeons vos informations personnelles, conformément au Règlement Général sur la Protection des Données (RGPD) et à la réglementation française applicable.

Nous collectons les catégories de données suivantes :

• Données d'inscription : nom complet, adresse email, mot de passe haché (bcrypt), ville, pays, genre, date de naissance, numéro de téléphone (optionnel).
• Données de profil : photo de profil (stockée sur Cloudflare R2), biographie, centres d'intérêt.
• Données d'activité : événements créés et rejoints, inscriptions en liste d'attente, commentaires publiés, réactions, check-ins via QR Code, messages échangés (contenu et horodatage), relations amicales, statut de lecture des messages (accusés de lecture), achievements débloqués, streaks d'activité, code parrainage et liste de filleuls.
• Données de gamification : points accumulés par source, rang actuel, historique de classement, boosts actifs et leur expiration, solde et historique du portefeuille de points.
• Données de paiement : historique des transactions (abonnements, événements payants, boosts), abonnement actif et date de renouvellement. Les données bancaires et de carte sont traitées exclusivement par Stripe — nous ne les stockons jamais.
• Données organisateur (Stripe Connect) : pour les organisateurs percevant des paiements, les données KYC sont collectées par Stripe directement : identité (nom, date de naissance, document d'identité scanné), adresse postale complète, coordonnées bancaires (IBAN / numéro de compte), informations d'entreprise (raison sociale, SIRET/numéro fiscal) le cas échéant. Ces données sont soumises à la politique de confidentialité de Stripe.
• Données de géolocalisation : coordonnées GPS (latitude/longitude) saisies lors de la création d'un événement, pour l'affichage de la carte et la recherche par proximité. La localisation continue n'est jamais collectée. Si vous avez déjà autorisé la géolocalisation sur votre appareil, votre position, arrondie à une dizaine de kilomètres, sert aussi à classer les suggestions de villes ; elle n'est pas enregistrée dans votre compte.
• Données de candidature : CV, lettre de motivation et URL LinkedIn soumis via /careers/apply, stockés sur Cloudflare R2 (bucket "resumes"). Conservés 2 ans maximum.
• Données de contact : nom, email et contenu des messages envoyés via le formulaire /contact.
• Données techniques : adresse IP, type de navigateur, pages visitées, date et heure de connexion, identifiant de session (NextAuth), tokens de notification push (Firebase).

Vos données sont utilisées pour :

• Fournir, maintenir et améliorer nos services
• Vous authentifier et sécuriser votre compte (connexion email/mot de passe ou Google OAuth)
• Afficher les événements, profils et classements pertinents
• Traiter les paiements (abonnements, événements payants, boosts) via Stripe
• Reverser les fonds aux organisateurs d'événements payants via Stripe Connect
• Envoyer des notifications (email via Resend, push via Firebase)
• Attribuer automatiquement des points toutes les 15 minutes via des traitements planifiés (cron jobs)
• Calculer et mettre à jour les rangs des utilisateurs automatiquement
• Générer les occurrences des événements récurrents (hebdomadaires, mensuels…)
• Capturer et transférer les paiements d'événements aux organisateurs
• Réinitialiser les classements hebdomadaires, mensuels et annuels périodiquement
• Vérifier les conditions d'éligibilité du programme de parrainage (anti-abus)
• Afficher le statut en ligne et la date de dernière activité aux amis
• Permettre la modération du contenu et la gestion des signalements
• Prévenir la fraude, les abus et les multi-comptes
• Respecter nos obligations légales et comptables

Nous traitons vos données sur les bases légales suivantes :

• Exécution du contrat : pour vous fournir les services Lyriot auxquels vous avez souscrit (compte, événements, paiements, messagerie)
• Intérêt légitime : pour améliorer la plateforme, prévenir la fraude, assurer la sécurité, afficher le statut en ligne et gérer les classements
• Consentement : pour les notifications push (révocable à tout moment depuis les paramètres) et les communications marketing optionnelles
• Obligation légale : pour respecter la réglementation applicable, notamment les obligations comptables (conservation 5 ans) et les réquisitions judiciaires

Nous ne vendons jamais vos données personnelles. Nous les partageons uniquement avec nos sous-traitants techniques, dans le strict cadre de l'exécution du service :

• Stripe : traitement des paiements (abonnements, événements payants, boosts) et reversements organisateurs via Stripe Connect — politique Stripe
• OVH : hébergement de la base de données PostgreSQL (VPS, France) ; Cloudflare R2 : stockage des fichiers (avatars, CV)
• Resend : envoi d'emails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, notifications événements)
• Mapbox : affichage des cartes interactives pour la localisation des événements et la recherche par proximité
• Photon (komoot) et Nominatim (OpenStreetMap Foundation, données au Royaume-Uni et aux Pays-Bas) : suggestions de villes pendant la saisie, Nominatim ne servant que si Photon ne répond pas. Nos serveurs leur transmettent uniquement le texte saisi et, pour Photon, une position approximative : le centre de votre pays ou, si vous avez déjà autorisé la géolocalisation, votre position arrondie à une dizaine de kilomètres. Votre nom, votre adresse IP et votre compte ne leur sont jamais transmis.
• Firebase (Google) : envoi de notifications push sur vos appareils (si activées)
• Google OAuth : si vous choisissez la connexion via Google, votre nom, email et photo de profil Google sont transmis à Lyriot
• Autorités compétentes : si requis par la loi, une décision de justice ou pour protéger nos droits légitimes

Certains sous-traitants sont établis hors de l'Union européenne (Firebase/Google, Stripe — aux États-Unis). Ces transferts sont encadrés par :

• Les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne
• Les décisions d'adéquation de la Commission (ex. EU-US Data Privacy Framework pour Stripe et Google)
• Les garanties appropriées prévues par l'article 46 du RGPD

Vos données sont conservées tant que votre compte est actif. En cas de suppression, elles sont effacées sous 30 jours, sauf obligations légales :

• Données de transaction : 5 ans (obligation comptable française)
• Données de candidature (CV, lettres) : 2 ans maximum
• Logs techniques : 12 mois
• Historique de modération/sanctions : durée indéfinie (sécurité et prévention des abus)
• Messages privés supprimés : les métadonnées (horodatage, participants) peuvent être conservées même après suppression du contenu

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : consulter les données que nous détenons sur vous
• Droit de rectification : corriger vos données inexactes (directement dans Paramètres ou via contact)
• Droit à l'effacement : supprimer votre compte depuis Paramètres › Zone de danger (traitement sous 30 jours)
• Droit à la portabilité : obtenir une copie de vos données dans un format structuré
• Droit d'opposition : vous opposer à certains traitements (ex. communications marketing, statut en ligne)
• Droit de limitation : demander la suspension du traitement dans certains cas
• Droits relatifs aux décisions automatisées : être informé des traitements automatisés (attribution de points, calcul de rang, validation parrainage) et en contester le résultat

Pour exercer ces droits : formulaire de contact. Vous pouvez également déposer une réclamation auprès de la CNIL.

Mesures techniques et organisationnelles mises en place :

• Chiffrement de toutes les communications en transit (HTTPS/TLS)
• Mots de passe hachés avec bcrypt (jamais stockés en clair)
• Accès restreints aux données selon le principe du moindre privilège
• Stockage sécurisé des fichiers via Cloudflare R2 (accès par URL signée temporaire)
• Protection CSRF sur tous les formulaires (token NextAuth)
• Journalisation des actions d'administration
• Sauvegardes régulières de la base de données
• En cas de violation de données, les utilisateurs concernés seront notifiés dans les 72 heures conformément au RGPD

Nous utilisons des cookies techniques nécessaires au fonctionnement de la plateforme (session utilisateur, protection CSRF). Nous utilisons également le stockage local (localStorage) de votre navigateur pour mémoriser vos préférences (thème clair/sombre, devise d'affichage, langue) — ces données ne quittent jamais votre appareil. Pour plus d'informations, consultez notre politique de cookies.

Lyriot est accessible aux personnes âgées d'au moins 15 ans, conformément à l'article 7-1 de la Loi Informatique et Libertés (droit français). Dans les pays où la législation applicable fixe un âge différent (ex. 13 ans aux États-Unis selon le COPPA, 16 ans dans certains États membres de l'UE), c'est l'âge le plus protecteur qui s'applique. Nous ne collectons pas sciemment de données sur des mineurs n'ayant pas atteint l'âge requis. Si vous pensez qu'un tel mineur a créé un compte, contactez-nous immédiatement.

En plus du RGPD européen, Lyriot respecte les réglementations de protection des données suivantes selon votre pays de résidence :

• Californie (CCPA/CPRA) : Si vous résidez en Californie, vous bénéficiez de droits supplémentaires sous le California Consumer Privacy Act et le California Privacy Rights Act : droit de savoir quelles données personnelles sont collectées, droit de supprimer, droit d'opt-out de la vente de données (nous ne vendons pas vos données), droit à la non-discrimination. Contactez-nous à contact@lyriot.com pour exercer ces droits.
• Royaume-Uni (UK GDPR) : Nous respectons l'UK GDPR post-Brexit. L'autorité de contrôle est l'ICO (Information Commissioner's Office). Vos droits sont équivalents à ceux du RGPD.
• Brésil (LGPD) : Conformément à la Lei Geral de Proteção de Dados Pessoais, vous disposez des droits d'accès, correction, suppression, portabilité et opposition. L'autorité compétente est l'ANPD (Autoridade Nacional de Proteção de Dados).
• Canada (PIPEDA + Loi 25) : Nous respectons la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) et, pour le Québec, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels). Autorités : OPC (fédéral), CAI (Québec).
• Australie (Privacy Act 1988) : Nous respectons l'Australian Privacy Act et les Australian Privacy Principles. L'autorité est l'OAIC (Office of the Australian Information Commissioner).
• Japon (APPI) : Conformément à la Loi sur la protection des informations personnelles (個人情報の保護に関する法律), nous respectons les obligations de l'APPI. L'autorité est la PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Chine (PIPL) : Conformément à la Loi sur la protection des informations personnelles (个人信息保护法), nous traitons vos données selon les principes de licéité, légitimité et nécessité. L'autorité compétente est la CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Corée du Sud (PIPA) : Conformément à la Loi sur la protection des informations personnelles (개인정보 보호법), vous bénéficiez de droits d'accès, rectification, suppression et opposition. L'autorité est la PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Inde (DPDP Act 2023) : Conformément au Digital Personal Data Protection Act 2023, vous avez droit à l'information, à la correction et à l'effacement de vos données personnelles numériques. L'autorité est le Data Protection Board of India (en cours de mise en place par MeitY).
• Turquie (KVKK) : Conformément à la Loi n° 6698 sur la protection des données personnelles (Kişisel Verilerin Korunması Kanunu), vous disposez de droits d'accès, correction et suppression. L'autorité est la KVKK (Kişisel Verileri Koruma Kurumu).
• Indonésie (UU PDP) : Conformément à la Loi n° 27/2022 sur la protection des données personnelles (Undang-Undang Perlindungan Data Pribadi), vos droits incluent l'accès, la correction et la suppression. L'autorité est le Kementerian Komunikasi dan Informatika.
• Thaïlande (PDPA) : Conformément au Personal Data Protection Act B.E. 2562 (2019), vous disposez de droits d'accès, portabilité, suppression et opposition. L'autorité est le PDPC (Personal Data Protection Committee).
• Arabie Saoudite (PDPL) : Conformément à la Personal Data Protection Law (نظام حماية البيانات الشخصية), vous bénéficiez de droits d'accès et de correction. L'autorité compétente est la SDAIA (Saudi Data and AI Authority / هيئة البيانات والذكاء الاصطناعي).

Autorités de contrôle par pays :

Nous pouvons mettre à jour cette politique à tout moment. En cas de modification substantielle, vous serez informé par email ou via une notification sur la plateforme. La poursuite de l'utilisation de Lyriot après notification vaut acceptation des modifications.

Cette politique est rédigée en français. Les versions dans d'autres langues sont des traductions fournies à titre informatif ; en cas de divergence, seule la version française fait foi.

Responsable de traitement : Lyriot, France.

Pour toute question relative à vos données personnelles, pour exercer vos droits RGPD (accès, rectification, effacement, portabilité, opposition, limitation), ou pour toute réclamation concernant le traitement de vos données : formulaire de contact ou directement à contact@lyriot.com.

Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle compétente : Commission Nationale de l'Informatique et des Libertés (CNIL) , 3 Place de Fontenoy, 75007 Paris.