Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données sur ce site est :

E-mail: hello@littleplans.de

2. En bref

Little Plans est un service d'invitations animées. Nous ne traitons que les données nécessaires pour cela. Nous ne vendons aucune donnée et n'utilisons aucun traceur publicitaire ou de mesure d'audience.

3. Hébergement et journaux du serveur

Le site est hébergé chez Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, États-Unis). À chaque consultation d'une page, Vercel traite des données techniquement nécessaires : adresse IP, heure, adresse demandée, navigateur et système d'exploitation. Cela sert à assurer un fonctionnement sûr et stable (art. 6, par. 1, point f) du RGPD). Les journaux ne sont conservés que brièvement.

Vercel est certifié selon le EU-US Data Privacy Framework ; nous avons en outre conclu un contrat de sous-traitance comprenant des clauses contractuelles types. En savoir plus : politique de confidentialité de Vercel.

4. Base de données et stockage de fichiers

Les comptes, invitations, photos et réponses sont stockés chez Supabase (Supabase Inc., États-Unis) dans un centre de données en Irlande (UE), dans le cadre d'un contrat de sous-traitance comprenant des clauses contractuelles types. En savoir plus : politique de confidentialité de Supabase.

5. Compte et connexion

Pour un compte, il te suffit de ton adresse e-mail. Pour te connecter, nous t'envoyons un lien ou un code par e-mail. Nous traitons ton adresse e-mail pour fournir ton compte et t'envoyer les e-mails de connexion (art. 6, par. 1, point b) du RGPD). Elle est conservée jusqu'à ce que tu supprimes ton compte.

Si tu choisis un mot de passe, nous ne le stockons que sous forme de hash (bcrypt), jamais en clair. Si tu te connectes avec Google (Google Ireland Limited, Irlande) ou Discord (Discord Inc., États-Unis), le site t'envoie chez ce fournisseur. Il nous confirme ton adresse e-mail et nous transmet ton nom et ta photo de profil, que nous n'utilisons pas (art. 6, par. 1, point b) du RGPD). Ce que le fournisseur traite lui-même relève de sa politique de confidentialité : Google, Discord. Les transferts vers les États-Unis reposent sur des clauses contractuelles types ou le cadre de protection des données UE-États-Unis.

6. Invitations

Ce que tu écris ou importes dans une invitation est stocké afin de pouvoir l'afficher (art. 6, par. 1, point b) du RGPD) : modèle, prénom de la personne invitée, question, petit mot, icône, GIF, photos, lieu, lien de la chanson et langue de l'invitation. Toute personne disposant du lien peut voir l'invitation ; les moteurs de recherche sont invités à ne pas l'indexer.

Les photos sont redimensionnées dans ton navigateur avant l'envoi, ce qui supprime les métadonnées comme le lieu de prise de vue. Les photos qu'aucune invitation n'utilise sont supprimées automatiquement sous deux jours.

Les invitations gratuites restent en ligne 30 jours ; ensuite, le lien indique seulement que l'invitation a expiré. Le contenu reste dans ton compte jusqu'à ce que tu supprimes l'invitation ou ton compte.

Merci de n'importer des photos et des prénoms d'autres personnes qu'avec leur accord.

Si tu invites plusieurs amis à une sortie, nous enregistrons leurs prénoms et, si tu les indiques, leurs adresses e-mail ou numéros de téléphone, pour que chacun reçoive son propre lien et que tu voies leurs réponses (art. 6, par. 1, points b) et f) du RGPD). Nous enregistrons aussi quand un lien personnel a été ouvert pour la première fois. À ta demande, nous envoyons le lien par e-mail ; l'e-mail indique ton adresse e-mail comme expéditeur de l'invitation. Les SMS et WhatsApp s'ouvrent sur ton propre appareil, et nous n'en recevons rien. Ces données sont supprimées avec l'invitation.

7. Réponses aux invitations

Répondre à une invitation nous transmet la réponse (oui, peut-être ou non) et, si tu le souhaites, un prénom, un message et une proposition d'horaire. La personne qui a envoyé l'invitation voit cette réponse (art. 6, par. 1, points b) et f) du RGPD). Les réponses sont supprimées avec l'invitation. Pour que tu puisses modifier ta réponse pendant 24 heures (à tout moment via un lien personnel), ton navigateur mémorise son identifiant (stockage local).

8. Consultations

Nous comptons combien de fois une invitation a été ouverte et enregistrons la première et la dernière ouverture. Nous n'enregistrons aucune donnée sur la personne qui l'ouvre. Pour qu'un rechargement ne compte pas deux fois, le navigateur mémorise la consultation tant que l'onglet est ouvert.

9. Prévention des abus

Pour prévenir les abus (par exemple des e-mails de connexion en masse ou la devinette de liens d'invitation), nous limitons la fréquence à laquelle une adresse IP, une adresse e-mail ou un compte peut effectuer certaines actions. Pour cela, nous ne stockons ces informations que sous forme de valeur de hachage avec une clé secrète (impossible à inverser), accompagnée d'un compteur, et les supprimons sous deux jours (art. 6, par. 1, point f) du RGPD).

Si tu signales une invitation, nous enregistrons le motif, les informations que tu choisis de donner (description, adresse e-mail) et une valeur de hachage de ton adresse IP avec une clé secrète, afin que chaque personne ne puisse signaler une invitation qu'une seule fois. Nous les utilisons pour examiner les signalements et, si tu indiques ton adresse e-mail, pour t'en confirmer la réception (art. 6, par. 1, point c) du RGPD en lien avec l'art. 16 du DSA, ainsi que l'art. 6, par. 1, point f) du RGPD). Lorsque trois personnes différentes signalent la même invitation, elle est automatiquement masquée jusqu'à ce que nous l'ayons examinée. Nous supprimons les signalements au bout de 180 jours, ou plus tôt avec l'invitation.

10. Cookies et stockage dans le navigateur

Nous n'utilisons que ce dont le service a besoin, c'est pourquoi il n'y a pas de bandeau de cookies :

• Cookies de connexion (sb-…) : te gardent connecté jusqu'à ce que tu te déconnectes.
• Cookie de langue (lp_locale, 1 an) : mémorise la langue que tu as choisie.
• Cookie de retour (inviva_auth_return, 1 heure) : te ramène à la bonne page après la connexion.
• Stockage local : ton brouillon d'invitation, ta dernière réponse à une invitation et si tu as choisi le mode clair ou sombre (lp_theme), uniquement dans ton navigateur.

La base juridique est le § 25, al. 2, n° 2 TDDDG et, pour le traitement qui suit, l'art. 6, par. 1, point b) ou f) du RGPD.

11. GIF de GIPHY

La recherche de GIF dans l'éditeur passe par notre serveur jusqu'à GIPHY (Giphy, Inc., États-Unis), qui ne voit que le terme recherché. Les GIF eux-mêmes se chargent directement depuis les serveurs de GIPHY, dans l'éditeur et dans les invitations avec un GIF ; GIPHY reçoit alors ton adresse IP et des données de ton navigateur (art. 6, par. 1, point f) du RGPD, notre intérêt à proposer des GIF). En savoir plus : politique de confidentialité de GIPHY.

12. Musique de Spotify

Si une invitation contient une chanson, le lecteur Spotify ne se charge que lorsque tu touches « Écouter la chanson ». C'est seulement à ce moment que Spotify AB (Regeringsgatan 19, 111 53 Stockholm, Suède) reçoit ton adresse IP et des données de ton navigateur, et peut déposer des cookies. La base juridique est ton consentement donné en touchant le bouton (art. 6, par. 1, point a) du RGPD, § 25, al. 1 TDDDG), valable uniquement pour cette visite. En savoir plus : politique de confidentialité de Spotify.

13. Cartes

Si une invitation indique un lieu, nous affichons un bouton « Afficher la carte » et un lien « Ouvrir dans Plans ». Rien n'est transmis à Google ou à Apple avant que tu touches l'un des deux.

Quand tu touches « Afficher la carte », une carte de Google Maps (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande) se charge. C'est seulement à ce moment que Google reçoit ton adresse IP et des données de ton navigateur, et peut déposer des cookies ; des données peuvent alors être transférées aux États-Unis (EU-US Data Privacy Framework). La base juridique est ton consentement donné en touchant le bouton (art. 6, par. 1, point a) du RGPD, § 25, al. 1 TDDDG), valable uniquement pour cette visite. Il en va de même dans l'éditeur lorsque tu y ouvres la carte de ton lieu. Après avoir touché « Ouvrir dans Plans », c'est la politique de confidentialité d'Apple ou de Google qui s'applique. En savoir plus : politique de confidentialité de Google.

14. Paiements via Stripe

Quand tu achètes Premium, tu paies sur une page gérée par Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irlande). Stripe traite tes données de paiement ; nous ne les recevons jamais. Nous enregistrons seulement un numéro de client, ton abonnement ou ton pass et sa durée (art. 6, par. 1, point b) du RGPD). Les factures sont conservées aussi longtemps que le droit fiscal et commercial l'exige, en général dix ans (art. 6, par. 1, point c) du RGPD). En savoir plus : politique de confidentialité de Stripe.

Si tu résilies via « Résilier un contrat ici », nous traitons les informations du formulaire (nom, e-mail, contrat, type et date de la résiliation, heure de réception) pour exécuter et confirmer la résiliation (art. 6, par. 1, points b) et c) du RGPD, § 312k BGB). Nous les conservons comme preuve jusqu'à la fin du délai de prescription, en général trois ans.

15. E-mails

Les notifications de réponses à tes invitations, les liens d'invitation envoyés à tes invités, les e-mails de connexion ainsi que les confirmations de signalement et de résiliation sont envoyés via Resend (Resend, Inc., États-Unis), dans le cadre d'un contrat de sous-traitance comprenant des clauses contractuelles types (art. 6, par. 1, point b) du RGPD). En savoir plus : politique de confidentialité de Resend.

16. Tes droits

Tu as un droit d'accès (art. 15 du RGPD), de rectification (art. 16), d'effacement (art. 17), à la limitation du traitement (art. 18), à la portabilité des données (art. 20) et un droit d'opposition aux traitements fondés sur l'intérêt légitime (art. 21). Tu peux retirer ton consentement à tout moment pour l'avenir (art. 7, par. 3). Pour cela, écris-nous à hello@littleplans.de.

Tu peux supprimer toi-même ton compte, avec toutes ses invitations, réponses et photos, à tout moment : en bas de la page « Mes invitations ».

Tu peux aussi introduire une réclamation auprès d'une autorité de contrôle de la protection des données, par exemple là où tu vis ou là où nous sommes établis (art. 77 du RGPD).