Politique de confidentialité

Conforme au RGPD (UE) 2016/679 · Mise à jour : 24 juin 2026

Version 1.0

1. Responsable du traitement

Conformément au RGPD, le responsable du traitement des données collectées via Flux Master est :

Identité	Flux Master (projet personnel)
Adresse	Contact par email uniquement
Email DPO	support-fluxmaster@proton.me
Délégué à la protection des données	Responsable unique (projet individuel)

2. Données collectées et finalités

2.1 Données collectées lors de l'inscription

Donnée	Source	Finalité	Base légale	Obligatoire
Adresse email	Saisie utilisateur ou Google OAuth	Authentification, envoi d'alertes et notifications	Contrat	Oui
Identifiant Google (sub)	Google OAuth (si utilisé)	Liaison compte Google — connexion sans mot de passe	Contrat	Si OAuth
Date de création du compte	Système (automatique)	Gestion des comptes, durée de conservation	Intérêt légitime	Automatique
Dernière connexion	Système (automatique)	Détection d'inactivité, sécurité	Intérêt légitime	Automatique

2.2 Données créées lors de l'utilisation du service

Donnée	Finalité	Base légale
Préférences de recherche (budget, km, marque, pays)	Pré-remplissage automatique des filtres	Consentement
Watchlist (IDs d'annonces sauvegardées)	Conservation des véhicules d'intérêt	Consentement
Alertes configurées (critères, seuils)	Envoi de notifications lorsque des annonces correspondent	Consentement
Préférences notifications (Telegram, Discord, email)	Acheminement des alertes sur le canal choisi	Consentement
Historique des notifications reçues	Affichage de l'historique dans l'interface	Consentement
Tokens Telegram chat_id / Discord webhook URL	Envoi des notifications sur ces canaux si configurés	Consentement

2.3 Données techniques (logs)

Donnée	Finalité	Durée	Base légale
Adresse IP (temporaire)	Sécurité, détection d'abus	30 jours (Vercel)	Intérêt légitime
Logs d'authentification Supabase	Sécurité, détection de connexions suspectes	90 jours	Intérêt légitime
Logs d'Edge Functions	Débogage, performance	30 jours (Vercel)	Intérêt légitime

3. Bases légales des traitements (art. 6 RGPD)

• Exécution du contrat (art. 6.1.b) : traitement de l'email pour fournir l'accès au service d'authentification. Sans email, le service ne peut pas être fourni.
• Consentement (art. 6.1.a) : stockage des préférences, watchlist, alertes, paramètres de notifications. Vous pouvez retirer votre consentement à tout moment en supprimant ces données ou votre compte.
• Intérêt légitime (art. 6.1.f) : logs techniques pour la sécurité et le débogage du service, ainsi qu'une mesure d'audience interne (modules ouverts par les utilisateurs connectés) réalisée en interne (first-party, sans traceur ni prestataire tiers) à seule fin d'améliorer le service. Ces traitements sont nécessaires et proportionnés à la protection et à l'amélioration du service et de ses utilisateurs.
• Mémoire des réponses de l'IA (intérêt légitime) : les réponses générées par l'IA (négociation, résumé, analyse de photos) sont conservées avec nos propres données sur le véhicule pour ne pas les régénérer et pour améliorer le service. Elles ne contiennent ni votre identité, ni vos messages, ni de texte copié d'une annonce. Le bouton « Cette réponse t'a aidé ? » enregistre seulement un pouce levé ou baissé, sans lien avec votre compte.

4. Durées de conservation

Donnée	Durée de conservation	Déclencheur de suppression
Email et identifiants d'authentification	Durée du compte actif + 30 jours	Suppression du compte
Préférences de recherche	Durée du compte actif	Suppression du compte ou modification par l'utilisateur
Watchlist	Durée du compte actif	Suppression manuelle ou suppression du compte
Alertes	Jusqu'à suppression de l'alerte	Suppression manuelle ou suppression du compte
Notifications reçues	90 jours glissants	Purgée automatiquement
Logs d'authentification	90 jours	Purgée automatiquement par Supabase
Logs techniques Vercel	30 jours	Purgée automatiquement par Vercel
Compte inactif (aucune connexion)	Jusqu'à la suppression du compte	Suppression du compte par l'utilisateur ou sur simple demande
E-mails envoyés par le service (adresse, prénom)	90 jours après l'envoi	Purgés automatiquement
Empreinte d'adresse IP (anti-abus, sécurité)	12 mois	Purgée automatiquement

5. Transferts hors Union Européenne

5.1 Vercel Inc. — États-Unis

Vercel Inc. est une société américaine soumise aux Clauses Contractuelles Types (CCT) de la Commission Européenne. Les nœuds de diffusion (CDN) sont mondiaux mais le code source et la logique de traitement sont exécutés dans la région EU (Frankfurt).

Données concernées : adresse IP temporaire lors des requêtes HTTP, contenu des pages servi. Aucune donnée personnelle de compte n'est stockée chez Vercel.

Garantie : Politique de confidentialité Vercel

5.2 Supabase — Union Européenne

Toutes les données de compte (email, préférences, watchlist) sont stockées sur Supabase dans la région EU-West-1 (Dublin, Irlande). Ce traitement est intégralement réalisé au sein de l'Union Européenne. Pas de transfert hors UE.

5.3 Google (si connexion Google OAuth)

Si vous utilisez la connexion Google, Google traite votre email selon sa propre politique de confidentialité. Flux Master ne reçoit que votre email et votre identifiant Google (sub), et ne transmet aucune donnée à Google après l'authentification.

Garantie : Politique de confidentialité Google

6. Sous-traitants et destinataires des données

7. Vos droits (RGPD art. 15 à 22)

8. Comment exercer vos droits

Pour exercer l'un de ces droits :

En l'absence de réponse satisfaisante, vous pouvez saisir la CNIL :

• Site web : cnil.fr/fr/plaintes
• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22

9. Procédure de suppression de compte (étape par étape)

10. Portabilité — exporter vos données

Vous pouvez demander à recevoir l'intégralité de vos données dans un format JSON lisible :

1. Envoyer un email à support-fluxmaster@proton.me
2. Objet : « Export données RGPD »
3. Réponse sous 30 jours avec un fichier JSON contenant : email, préférences, liste d'IDs de la watchlist, alertes configurées

11. Cookies et stockage local

Flux Master utilise un nombre minimal de cookies, tous strictement nécessaires au fonctionnement du service. Aucun cookie publicitaire, de tracking ou de profilage n'est utilisé. Aucune bannière de consentement cookie n'est requise pour cette raison.

12. Sécurité des données

Les mesures techniques et organisationnelles suivantes sont en place :

• Chiffrement en transit : HTTPS/TLS 1.3 sur toutes les communications
• Chiffrement au repos : base de données Supabase chiffrée au repos (AES-256)
• Authentification sans mot de passe : magic link (OTP) ou OAuth — aucun mot de passe stocké
• Row Level Security (RLS) : chaque utilisateur ne peut accéder qu'à ses propres données via des politiques PostgreSQL au niveau ligne
• JWT : tokens d'authentification signés, à durée limitée (1h access, 7j refresh)
• Variables d'environnement : clés API et secrets non exposés côté client
• Accès administrateur : restreint et journalisé via la console Supabase

13. Violations de données (Breach Notification)

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, l'éditeur s'engage à :

1. Notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation (art. 33 RGPD)
2. Notifier les utilisateurs concernés dans les meilleurs délais si la violation présente un risque élevé (art. 34 RGPD), via email
3. Documenter la violation dans un registre interne conformément à l'art. 33.5 RGPD
4. Mettre en œuvre les mesures correctives dans les 48 heures

Si vous suspectez une violation de sécurité concernant votre compte (connexion non autorisée, données accessibles par un tiers), contactez immédiatement support-fluxmaster@proton.me.

14. Protection des mineurs

Le service est réservé aux personnes âgées de 18 ans ou plus. Nous ne collectons pas sciemment de données concernant des enfants ou des adolescents mineurs.

Si vous êtes parent ou tuteur et pensez qu'un mineur a créé un compte, contactez-nous à support-fluxmaster@proton.me. Le compte sera supprimé dans les 48 heures suivant la notification.

15. Modifications de cette politique

Cette politique peut être mise à jour pour refléter :

• L'évolution des fonctionnalités du service
• Les nouvelles exigences légales ou réglementaires
• Les recommandations de la CNIL ou du CEPD

La date de mise à jour en haut de ce document est maintenue à jour. En cas de modification substantielle affectant vos droits, vous serez notifié par email avec un délai de 15 jours avant l'entrée en vigueur.