Politique de confidentialité (Align)

2.1 Données de compte et d'identité

• Nom / nom d'affichage (obligatoire ; peut être un pseudonyme et ne doit pas nécessairement être votre nom légal)
• Adresse e-mail (facultative, si vous améliorez votre compte)

2.2 Données d'événements et de disponibilités (service principal)

• Titre de l'événement
• Plage de dates / délai prévus
• Durée de l'événement en jours
• Nombre de participants prévu (facultatif)
• Listes de participants et statut d'invitation/participation
• Plages horaires de disponibilité soumises par les participants (y compris votre fuseau horaire et, si utilisé : niveaux de préférence et notes)

2.3 Données de calendrier (facultatif, Application Mobile uniquement)

Si vous activez l'accès au calendrier sur iOS/Android, l'Application Mobile lit les données du calendrier localement sur votre appareil pour identifier les jours occupés. Seul un statut occupé/libre par jour est téléchargé sur notre serveur — aucun titre d'événement, heure, nom de calendrier ou autre détail n'est jamais envoyé à nos serveurs. Toutes les informations détaillées du calendrier restent stockées exclusivement sur votre appareil.

Nous n'écrivons pas dans les événements de votre calendrier d'appareil, ne les modifions pas et ne les supprimons pas. L'accès au calendrier est facultatif ; vous pouvez utiliser Align sans accorder les autorisations de calendrier.

2.4 Notifications et données d'appareil

• Jetons de notification push pour mobile et web (uniquement collectés lorsque vous accordez l'autorisation de notification ; utilisés uniquement pour envoyer des notifications du Service)
• Données techniques/journaux de base nécessaires à la sécurité et au fonctionnement (p. ex. adresse IP et horodatages dans les journaux du serveur)

2.5 Vérification d'e-mail et authentification par lien magique

Nous utilisons Brevo (e-mail transactionnel) pour envoyer des jetons de lien magique à usage unique à votre adresse e-mail. Ces jetons sont utilisés pour la vérification de l'e-mail et pour la connexion sans mot de passe (par exemple, lors d'une connexion sur un autre navigateur ou un autre appareil). Les jetons sont temporaires et expirent après utilisation.

3.1 Cookies nécessaires

L'Application Web utilise uniquement des cookies nécessaires, tels que :

• Session/authentification (p. ex. JWT dans un cookie httpOnly)
• Protections de sécurité (p. ex. protection CSRF si applicable)

Ces cookies sont nécessaires pour fournir le Service. Nous n'utilisons pas de cookies analytiques ou marketing et n'utilisons pas de pixels de suivi.

Pour plus d'informations sur les cookies que nous utilisons, consultez /cookie-preferences.

4.1 Fourniture du Service (Art. 6§1 lit. b — contrat)

• Création et gestion de comptes
• Création/adhésion à des événements, invitations, gestion des participants
• Traitement des saisies de disponibilité et calcul des dates/plages horaires suggérées
• Synchronisation et stockage des données nécessaires au Service

4.2 Sécurité et intégrité du Service (Art. 6§1 lit. f — intérêts légitimes)

• Prévention des abus (p. ex. limitation du débit)
• Maintien de la fiabilité, débogage et protection du Service

4.3 Consentement pour les fonctionnalités facultatives (Art. 6§1 lit. a — consentement)

• Accès au calendrier (autorisation d'appareil ; Application Mobile)
• Notifications push (autorisation d'appareil ; Application Mobile/Web selon le cas)

Vous pouvez retirer votre consentement à tout moment en désactivant les autorisations dans les paramètres de votre appareil/navigateur.

5.1 Partage avec d'autres utilisateurs (votre choix)

Votre nom (nom d'affichage) et la disponibilité que vous soumettez pour un événement ne sont partagés qu'avec les participants de cet événement spécifique.

5.2 Prestataires de services (sous-traitants)

Nous utilisons les sous-traitants suivants pour exploiter Align :

• Hébergement (infrastructure serveur) : STRATO GmbH (Berlin, Allemagne) pour l'hébergement des serveurs sur lesquels fonctionne Coolify.
• Base de données et stockage de fichiers : Supabase auto-hébergé (PostgreSQL) exploité par nous, hébergé sur l'infrastructure STRATO.
• E-mail transactionnel : Brevo (pour la vérification d'e-mail, l'authentification par lien magique et les invitations).
• Notifications push (Application Mobile) : Services push Expo (qui relaient vers Apple Push Notification service (APNs) et/ou Firebase Cloud Messaging (FCM) selon la plateforme).
• Consultation des jours fériés : API Nager.at — reçoit uniquement un code pays.

Nous n'utilisons pas de fournisseurs d'analyse, de réseaux publicitaires, de pixels marketing ou d'outils de surveillance des erreurs.

7.1 Comptes et données personnelles : suppression automatique après 2 ans d'inactivité

Nous supprimons automatiquement certaines données personnelles liées au compte après 2 ans d'inactivité.

• L'inactivité signifie : aucune demande de votre compte à notre API backend (« dernière demande API »). Toute interaction donnant lieu à une demande API authentifiée compte comme une activité.
• Avant la suppression, nous pouvons vous notifier (si nous disposons d'un e-mail vérifié et que vous pouvez recevoir des e-mails) selon un calendrier de double avertissement : 30 jours avant la suppression et 7 jours avant la suppression.

7.2 Ce qui est supprimé ou conservé

Supprimé (suppression définitive) : Identifiants de compte et données personnelles associées nécessaires pour vous identifier en tant qu'utilisateur, tels que :

• Enregistrement du compte (e-mail)
• Données de profil (nom d'affichage)
• Jetons push associés au compte
• Instantanés d'occupation du calendrier associés au compte
• Soumissions de disponibilité uniquement attribuables au compte

Conservé : Les données d'événements sont conservées jusqu'à 5 ans après la dernière activité sur cet événement, afin de préserver le contexte de planification de groupe et l'historique des événements. Dans la mesure du possible, les enregistrements d'événements conservés sont dissociés de votre compte après sa suppression (p. ex. suppression des identifiants directs du compte), tout en conservant l'événement lui-même et le contexte non identifiant.

7.3 Journaux opérationnels

Nous conservons des journaux opérationnels structurés pour protéger et exploiter le Service (p. ex. sécurité, débogage). Nous utilisons une journalisation structurée (p. ex. winston/pino) avec rotation des journaux.

Droit de déposer une plainte auprès d'une autorité de contrôle

Vous avez le droit de déposer une plainte auprès d'une autorité de protection des données, en particulier dans l'État membre de l'UE de votre résidence habituelle, de votre lieu de travail ou du lieu de l'infraction présumée. L'autorité de contrôle pour notre adresse enregistrée est :

Hessischer Beauftragter für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden, Allemagne
https://www.datenschutz.hessen.de

Les utilisateurs en France peuvent également contacter la CNIL : https://www.cnil.fr

Comment exercer vos droits

Envoyez un e-mail à privacy@elch.cc avec l'objet « Demande de confidentialité — Align ». Nous pouvons avoir besoin de vérifier votre identité. Nous nous engageons à répondre dans les 30 jours (ou dans le délai légal requis).

Demandes de suppression

Nous effectuons une suppression définitive (retrait permanent de la base de données) pour les données éligibles à la suppression, conformément au droit à l'effacement, sauf si la conservation est requise par la loi ou nécessaire pour établir, exercer ou défendre des droits en justice.