Politique de confidentialité

§ 1 Responsable de traitement

Monsieur Romain Lenoir, entrepreneur individuel, 92190 Meudon, France (voir les mentions légales). Contact pour toute question relative aux données : propulscode@gmail.com. Aucun délégué à la protection des données n'est désigné, la réglementation ne l'exigeant pas au regard des traitements réalisés.

§ 2 Données traitées et finalités

Données de compte — adresse email, mot de passe (stocké uniquement sous forme hachée, jamais en clair), nom affiché et avatar (facultatifs), date d'acceptation des CGU et version acceptée, date de dernière connexion, statut de vérification de l'email. Finalité : créer et sécuriser votre compte. Base légale : exécution du contrat (les CGU).

Contenus d'inventaire — fiches d'objets (nom, description, catégories, tags, état, champs spécifiques), photographies, historique des valeurs que vous renseignez et justificatifs associés. Finalité : le cœur du service (inventaire, suivi de valeur, export). Base légale : exécution du contrat. Ces contenus sont privés par défaut ; seules les fiches que vous rendez explicitement publiques sont visibles de tiers.

Données techniques — journaux serveur (adresse IP, horodatage, requête) conservés à des fins de sécurité (détection d'abus, limitation de débit) et de diagnostic. Base légale : intérêt légitime à sécuriser le service.

Emails transactionnels — vérification d'adresse, réinitialisation de mot de passe. Aucun email publicitaire n'est envoyé ; ces messages ne contiennent aucun pixel de suivi.

Aucune donnée n'est vendue, louée ni utilisée à des fins publicitaires. Aucun profilage ni décision automatisée n'est réalisé.

§ 3 Destinataires et sous-traitants

Les données ne sont accessibles qu'à l'éditeur et aux sous-traitants techniques suivants, agissant sur instruction :

PulseHeberg SAS (Toulon, France) — hébergement de l'application et de la base de données.
Microsoft Ireland Operations Limited (Dublin, Irlande) — stockage des fichiers (photos, justificatifs, avatars) sur Azure Blob Storage, dans des espaces privés, région [À COMPLÉTER : région Azure].
[À COMPLÉTER : prestataire d'envoi d'emails (SMTP), ex. Brevo] — acheminement des emails transactionnels.

Les données sont hébergées dans l'Union européenne. Aucun transfert hors UE n'est prévu [À CONFIRMER selon la région Azure et le prestataire d'emails retenus].

§ 4 Durées de conservation

Vos données de compte et d'inventaire sont conservées tant que votre compte est actif. La suppression du compte entraîne l'effacement réel et immédiat des données en base et des fichiers stockés (photos, justificatifs, avatar) — pas une simple désactivation. Les jetons de vérification d'email et de réinitialisation de mot de passe expirent respectivement sous 24 heures et 1 heure, sont à usage unique et stockés uniquement sous forme hachée. Les journaux techniques sont conservés au maximum 12 mois. Les comptes inactifs pourront être supprimés après [À VALIDER : 3 ans d'inactivité, précédés d'un email d'avertissement].

§ 5 Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, et du droit de définir des directives relatives au sort de vos données après votre décès. Deux droits sont exerçables directement depuis votre compte, sans délai : l'export intégral de vos données (format JSON) et la suppression définitive du compte. Pour les autres demandes : propulscode@gmail.com (réponse sous un mois). Vous pouvez également adresser une réclamation à la CNIL (cnil.fr), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Le service est réservé aux personnes d'au moins 15 ans ; en dessous, le consentement conjoint du titulaire de l'autorité parentale est requis (art. 45 de la loi Informatique et Libertés).

§ 6 Sécurité

Mesures principales : mots de passe hachés avec bcrypt (facteur de coût 12), session par cookie httpOnly inaccessible aux scripts, limitation de débit sur les opérations sensibles, fichiers stockés dans des espaces privés accessibles uniquement via des URL signées de courte durée après contrôle d'appartenance, et suppression des métadonnées EXIF/GPS des images intégrées aux exports. Aucune mesure n'étant infaillible, toute violation de données susceptible d'engendrer un risque serait notifiée conformément aux articles 33 et 34 du RGPD.

§ 7 Cookies

Panoplium utilise un unique cookie, strictement nécessaire au fonctionnement du service :

panoplium_token — cookie de session (authentification). httpOnly (inaccessible aux scripts), durée de vie : 7 jours, déposé uniquement après connexion, supprimé à la déconnexion.

Ce cookie ayant pour finalité exclusive de permettre l'authentification que vous demandez, il est exempté de consentement (article 82 de la loi Informatique et Libertés et lignes directrices de la CNIL sur les cookies) : c'est pourquoi aucun bandeau de consentement n'est affiché. Le site n'utilise aucun cookie tiers, aucun traceur publicitaire et aucun outil de mesure d'audience. Le navigateur conserve par ailleurs, le temps de l'onglet, certaines préférences d'affichage (tri et filtres de votre inventaire) dans son stockage de session ; ces informations restent locales et ne sont pas des traceurs. Si un outil de mesure d'audience était introduit un jour, cette politique serait mise à jour et, si nécessaire, un recueil de consentement mis en place au préalable.

§ 8 Évolution de cette politique

Toute évolution substantielle (nouveau sous-traitant, nouvelle finalité, ouverture de fonctionnalités payantes) donnera lieu à une mise à jour datée et versionnée de ce document et, le cas échéant, à une information directe des utilisateurs.