// Confidentialité
Politique de confidentialité
Sommaire
1. Responsable du traitement
TerraLynk Reptile est édité par [Nom légal de l'éditeur], [statut juridique], dont le siège social est situé [adresse complète].
Contact RGPD : privacy@terralynk.example — à compléter avec votre adresse réelle avant lancement.
À compléter : si plus de 250 employés, ou si traitement à grande échelle de données sensibles, désigner un DPO et tenir un registre des traitements (art. 30 RGPD).
2. Données collectées
2.1 Données de compte
- Email et mot de passe (hashé par Supabase Auth, jamais stocké en clair).
- Identifiant utilisateur (UUID).
- Dates de création / dernière connexion (gérées par Supabase).
2.2 Données saisies sur les fiches reptiles
- Identité de l'animal : nom, espèce, sexe, poids, date de naissance, morphologie.
- Données légales : numéros CITES, identification (puce, certificat), numéro d'élevage.
- Coordonnées d'éleveurs et de tiers liés à des transactions (réservations / ventes) : nom, email, téléphone, adresse, pays, site web, société.
- Photos de l'animal et de ses parents.
- Historique alimentaire, mues, pesées, soins, notes vétérinaires.
- Stock de nourriture et mouvements associés.
2.3 Données techniques
- Logs serveur Supabase (IP, user-agent, timestamps) — nécessaires à la sécurité.
- Identifiant et nom de l'étiquette Bluetooth ESL associée à un reptile.
Important sur les données de tiers : si vous saisissez les coordonnées d'un acheteur ou d'un éleveur, vous êtes co-responsable du traitement. Vous devez avoir informé ces personnes que leurs données sont enregistrées et obtenu une base légale (intérêt légitime contractuel ou consentement).
3. Finalités & bases légales
- Fourniture du service (gestion d'élevage, suivi animalier, étiquettes ESL) — base légale : exécution du contrat (art. 6.1.b RGPD).
- Sécurité du service (logs, authentification, prévention de fraude) — base légale : intérêt légitime (art. 6.1.f).
- Obligations légales (CITES, registre d'élevage, fiscalité ventes) — base légale : obligation légale (art. 6.1.c).
- Communication non promotionnelle (changements importants du service) — base légale : intérêt légitime.
Aucune donnée n'est utilisée pour de la publicité ciblée ou revendue à des tiers. Aucun profilage automatisé n'est effectué.
4. Destinataires & sous-traitants
Vos données sont traitées par les sous-traitants suivants, sous contrat conforme à l'art. 28 RGPD :
- Supabase (Supabase Inc., bases hébergées en région UE : Frankfurt, Allemagne) — hébergement base de données, stockage de fichiers, authentification. Voir supabase.com/privacy.
- [Hébergeur Next.js — à compléter] (Vercel, OVH, Scaleway, etc.) — délivrance du site.
Aucun transfert de données hors UE n'est effectué dans le cadre d'un usage standard. Si Supabase utilise des sous-traitants américains pour certaines fonctions secondaires, ils sont couverts par les Clauses Contractuelles Types de la Commission européenne et l'inscription au Data Privacy Framework.
5. Durée de conservation
- Compte actif : tant que l'utilisateur ne le supprime pas.
- Compte inactif : suppression automatique après 3 ans sans connexion (notification par email 30 jours avant).
- Demande de suppression : exécutée sous 30 jours, sauf obligations légales (registre CITES : 5 ans, comptabilité : 10 ans).
- Logs techniques : 12 mois maximum (recommandation CNIL).
- Sauvegardes : 30 jours glissants (Supabase).
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Accès à vos données et à leur copie (export JSON disponible dans Réglages).
- Rectification des données inexactes (modification directe dans l'app).
- Effacement (« droit à l'oubli ») — bouton « Supprimer mon compte » dans Réglages.
- Limitation du traitement.
- Opposition à un traitement fondé sur l'intérêt légitime.
- Portabilité dans un format structuré (export JSON).
- Retrait du consentement à tout moment lorsque le traitement repose sur celui-ci.
- Définir des directives post-mortem (loi française n° 2016-1321).
Pour exercer ces droits, utilisez les boutons dédiés dans Réglages → Mon compte, ou écrivez à privacy@terralynk.example. Une réponse vous sera apportée sous 30 jours.
7. Sécurité
- Connexion HTTPS/TLS 1.2+ obligatoire (HSTS).
- Mots de passe hashés (bcrypt via Supabase Auth) — nous ne pouvons pas les lire.
- Row Level Security PostgreSQL : chaque utilisateur ne peut accéder qu'à ses propres données.
- Headers de sécurité HTTP : CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
- Sauvegardes chiffrées au repos (Supabase).
- En cas de violation susceptible d'engendrer un risque pour vos droits : notification à la CNIL sous 72 h et information des personnes concernées (art. 33-34 RGPD).
9. Contact & réclamation
Pour toute question : privacy@terralynk.example.
Si vous estimez vos droits non respectés, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes, 3 place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07.