Déclaration de protection des données personnelles

1. Responsable

Le responsable du traitement des données personnelles dans le cadre de l’utilisation du site web public et des applications cliprio est :

Florian Leeser Softwareentwicklung
Propriétaire : Florian Leeser
Eintrachtstraße 50
42655 Solingen
Allemagne

Email : privacy@coderave.dev
Support général : support@coderave.dev

Un responsable de protection des données n’est pas désigné car aucune obligation légale ne s’y impose.

2. Objet de cette déclaration

Cette déclaration décrit le traitement lors de l’utilisation de :

• le site web public sous https://cliprio.app, hébergé par Vercel ;
• l’application web sous https://web.cliprio.app, hébergée par Firebase Hosting ;
• les applications cliprio pour Android, iOS, macOS, Windows et Web ;
• les fonctions associées aux comptes, transferts, notifications, support et suppression.

cliprio ne utilise pas de trackers publicitaires, d’analyse d’utilisation, de profils publicitaires ou de cookies de suivi. Les contenus ne sont pas utilisés pour la publicité ou l’entraînement des modèles d’intelligence artificielle. Aucune décision automatisée exclusive et n’ayant une incidence juridique ou similaire n’est prise, ni aucun profilage.

3. Appel aux sites web

Lors de l’appel au site web public ou à l’application web, les fournisseurs d’hébergement traitent des données techniques nécessaires pour la connexion. Ces données peuvent inclure l’adresse IP, la date et l’heure, le chemin appelé, le referrer, les informations sur le navigateur et le système d’exploitation, la quantité de données transférées ainsi que les données de sécurité et d’erreur.

Le traitement vise à fournir, assurer la stabilité, analyser les erreurs et lutter contre l’utilisation abusive. La base légale est l’article 6, alinéa 1, lettres f du RGPD. Nos intérêts légitimes sont le fonctionnement sûr, fiable et économique de nos offres en ligne. Les protocoles techniques sont supprimés conformément aux durées de conservation des fournisseurs, sauf si nécessaire pour éclaircir un incident de sécurité ou pour respecter une obligation légale.

4. Création et connexion du compte

cliprio traite pour la création et la connexion du compte :

• l’adresse e-mail, le vérificateur crypté du mot de passe et le statut de confirmation ;
• l’identification utilisateur côté serveur ainsi que les dates d’inscription et de modification ;
• le nom d’affichage ;
• des données d’authentification, de confirmation, de réinitialisation et de session ;
• la version acceptée des conditions d’utilisation et la version connue de la déclaration de protection des données avec date côté serveur.

Le mot de passe n’est pas visible en clair pour nous. Les confirmations par e-mail, les codes uniques et les avis de sécurité du compte sont générés via Supabase Auth et livrés par Plus Five Five, Inc. (Resend). Resend traite donc l’adresse du destinataire, l’objet, le corps rendu du message, qui peut contenir un code unique ou une URL d’action, ainsi que les métadonnées de livraison.

Le traitement est nécessaire pour créer le compte, authentifier l’utilisateur, exécuter la convention d’utilisation, prévenir l’abus et prouver les consentements ou connaissances. Les bases légales sont l’article 6, alinéa 1, lettres b et f du RGPD. Des informations obligatoires sont nécessaires pour créer le compte ; sans elles, aucun compte ne peut être fourni.

L’application conserve la session authentifiée localement sur ton appareil afin que tu puisses rester connecté. À l’éteignement de la session, les données liées à la session sont supprimées, sauf si le système d’exploitation ou le navigateur en conservent certaines selon leurs propres règles.

5. Gestion des appareils et des données locales de l’app

Pour chaque appareil enregistré, cliprio traite une identifiant aléatoire d’installation, un identifiant côté serveur de l’appareil, le nom d’appareil que tu as attribué, la plateforme, les dates d’enregistrement et de dernière utilisation, le code d’appareil à huit chiffres et la durée d’archivage standard. De plus, des connexions d’appareils connues et des sessions de codes d’accueil temporellement limitées peuvent être traitées.

Un code d’accueil à six chiffres est valide pendant une heure au maximum. Les tentatives infructueuses sont limitées sans stockage du code entré ; les données techniques limitantes sont nettoyées après l’expiration du fenêtre de protection.

La réception rapide permet à une personne sans compte d’ouvrir https://web.cliprio.app/quick. Le navigateur conserve uniquement un jeton aléatoire dans le stockage de session de cet onglet ; le code affiché et les autres métadonnées de réception restent en mémoire. Le backend stocke seulement un hachage du jeton, des clés HMAC pseudonymes pour la limitation, l’état de la session et, après livraison, des références de contenu indépendantes. L’accès prend fin 24 heures après la livraison ; un nettoyage horaire réessayable supprime ensuite les références expirées. Cloudflare Turnstile traite les données nécessaires de connexion et d’intégrité du navigateur afin d’empêcher les abus automatisés. Les adresses IP brutes, jetons et codes saisis ne sont pas conservés dans les journaux applicatifs ou de limitation de cliprio. Les téléchargements explicites utilisent une autorisation Storage privée de cinq minutes et une zone OPFS séparée ; les artefacts vérifiés sont supprimés après export, annulation, échec, partage ou départ de la page.

Sur ton appareil, l’application stocke des paramètres nécessaires comme la langue, le design, l’identifiant d’installation et l’état de la requête de notifications. Les applications natives peuvent encore conserver les brouillons non envoyés de textes et de fichiers jusqu’à 24 heures, tandis que l’implémentation web ne conserve que les brouillons dans le tampon de travail.

Lorsque tu ouvres, copies ou télécharges expressément un fichier, l’application transmet le fichier authentifié vers un stockage temporaire privé de l’application et vérifie sa taille et sa somme de contrôle avant de le rendre disponible pour cette action. Les applications natives utilisent leur répertoire temporaire ; l’application Web utilise le système de fichiers privé de l’origine (OPFS) du navigateur. Ces artefacts sont isolés pour la session authentifiée et supprimés après l’exportation, l’annulation, un échec, l’expiration, la fermeture de la page, une déconnexion ou suppression de compte réussie, au démarrage de l’application ou lors d’un changement de compte. Lors d’une action native d’ouverture ou de copie, l’application planifie au mieux le nettoyage de l’artefact privé 24 heures après sa remise au consommateur du système d’exploitation sélectionné ; une déconnexion réussie, la suppression du compte, un changement de compte, un nettoyage ultérieur des artefacts expirés ou le prochain démarrage de l’application le supprime plus tôt. Si le système d’exploitation suspend ou termine l’application avant le nettoyage planifié, l’artefact privé de l’application peut subsister au-delà de 24 heures jusqu’à l’exécution de l’une de ces limites de nettoyage.

Le traitement vise à fournir les fonctions d’appareil, de sécurité et de transfert. Les bases légales sont l’article 6, alinéa 1, lettres b et f du RGPD.

6. Contenu et transferts

Selon ton utilisation, cliprio traite :

• des textes, images et fichiers transmis ;
• le nom de fichier, le type de fichier, le type MIME, la taille et un titre optionnel ;
• les identifiants du contenu, de l’expéditeur, du destinataire et de l’appareil ;
• les dates d’inscription, de modification, d’échéance et de suppression ;
• des durées d’archivage sélectionnées, des quantités de libération et un statut technique.

Les fichiers sont stockés dans un bucket de stockage privé de Supabase. L’accès est accordé uniquement aux demandes authentifiées et autorisées. Les notifications push ne contiennent ni le contenu ni les noms de fichier, des liens publics, des noms d’appareil ou d’affichage.

Le traitement se fait exclusivement pour exécuter tes instructions de stockage, affichage, redirection et suppression. La base légale est l’article 6, alinéa 1, lettre b du RGPD. Si le contenu contient des données personnelles d’autres personnes, tu es responsable de les transmettre légalement.

Lors du transfert vers un autre compte, une copie indépendante est créée sous la responsabilité du destinataire. Cette copie a sa propre durée d’archivage et n’est pas révoquée par la suppression du compte expéditeur. L’identifiant de l’expéditeur est supprimé ou neutralisé lors de la suppression du compte.

Automatisation par API

Si vous activez l’automatisation par API, cliprio traite le nom de la clé, le compte ou l’organisation propriétaire, l’identifiant du créateur, les actions et destinations autorisées, une éventuelle limite de taille, l’expiration, la révocation, la rotation et des dates minimales d’utilisation. Seul un hachage sécurisé de la partie secrète du jeton est conservé ; la clé complète est affichée une fois. Les clés d’organisation agissent pour l’organisation indépendamment de l’appartenance de leur créateur. Les transferts API utilisent le même stockage privé et les mêmes copies indépendantes du destinataire que l’application. Les requêtes de contrôle passent par Vercel vers Supabase ; les fichiers vont directement dans Supabase Storage privé avec une autorisation brève liée au téléversement. Le traitement fournit l’automatisation demandée et prévient les abus conformément à l’article 6, paragraphe 1, points b et f du RGPD. Les métadonnées restent disponibles pour gérer et révoquer les clés après la fin de l’accès payant et sont supprimées avec le compte ou l’organisation propriétaire.

7. Notifications

Si tu actives les notifications push, cliprio traite ta configuration, la plateforme et la langue, une identifiant Firebase Cloud Messaging spécifique à l’appareil, des informations techniques sur le livraison ainsi que des statuts de notification, lecture et erreur. La notification de livraison contient un identifiant aléatoire de notification, un message général localisé et potentiellement le nombre d’informations non lues, mais pas le contenu transmis.

La base légale est ton consentement selon l’article 6, alinéa 1, lettre a du RGPD. Tu peux y renoncer à tout moment dans les paramètres cliprio ou de l’exploitation système avec effet futur. La légalité du traitement précédent n’est pas affectée. Les identifiants de livraison non utilisés sont nettoyés après 90 jours sans mise à jour.

8. Facturation et gestion des abonnements

Pour vendre, attribuer, appliquer et rapprocher les accès Free, Personal et Team, cliprio traite le compte ou l’organisation en tant que sujet de facturation, le forfait et le produit logique, le forfait Team sélectionné et la capacité de places achetée, la période de facturation, un changement de forfait actuel ou programmé, les identifiants de droit et de client du prestataire, les identifiants d’abonnement et d’achat, les statuts et dates d’événements, les états de renouvellement, d’expiration et de résiliation, de remboursement ou de rétrofacturation, d’échec de paiement et de délai de grâce, les adhésions Team acceptées nécessaires aux contrôles de capacité et l’usage des livraisons réussies attribué à un mois UTC. Ces données sont séparées du contenu transféré.

Les achats Personal et Team sur le Web et Windows utilisent directement Stripe Managed Payments dans le navigateur système. Après un paiement Personal sur le Web ou Windows, RevenueCat met en miroir les informations d’abonnement et de droits. RevenueCat fournit aussi les offres natives et attribue les achats natifs. Apple ou Google traite les achats Personal et Team natifs et fournit le prix localisé de la boutique. Ces prestataires peuvent traiter des données de contact, de pays, de fiscalité, de transaction, d’instrument de paiement, de prévention de la fraude, d’appareil et d’achat selon leurs propres déclarations. cliprio ne reçoit ni ne stocke les données complètes de carte ou de compte bancaire.

Le traitement est nécessaire pour exécuter l’abonnement payant, attribuer les quotas du forfait, gérer les places de l’organisation, empêcher les attributions doubles ou non autorisées, récupérer les paiements échoués, rapprocher les événements des prestataires, respecter les obligations fiscales et comptables et établir ou défendre des droits en justice. Les bases juridiques sont l’article 6, paragraphe 1, points b, c et f du RGPD. Nos intérêts légitimes sont la sécurité de la facturation, la prévention de la fraude, la fiabilité des droits et un rapprochement vérifiable avec les prestataires.

Un achat natif en boutique est attribué au compte cliprio ou à l’organisation sélectionnée lors de l’achat ou de la restauration et n’est pas automatiquement déplacé vers un autre sujet de facturation. L’état des invitations et acceptations Team est traité pour vérifier si les membres actifs tiennent dans le forfait acheté. Une invitation ne déclenche jamais automatiquement un achat ; les augmentations de forfait nécessitent une action explicite du propriétaire et les baisses autorisées prennent effet au renouvellement.

9. Suppression publique du compte

Sur la page de suppression publique, l’adresse e-mail normalisée est envoyée vers Supabase Auth. Si un compte existe, un code unique est envoyé via Resend. Après confirmation réussie, le site crée une session temporaire uniquement dans le tampon de travail et déclenche ainsi l’appel au service de suppression auto.

Le site désactive la conservation des sessions et la renouvellement automatique des jetons. Il ne loge pas d’adresses e-mail, codes uniques, jetons d’accès ou détails sur la session de suppression. Après interruption, succès ou rechargement, les données temporaires sont supprimées. Les fournisseurs d’hébergement et de backend technique peuvent continuer à traiter les données nécessaires pour la requête réseau.

La base légale est l’article 6, alinéa 1, lettre b du RGPD ainsi que le respect des obligations de suppression selon l’article 6, alinéa 1, lettre c en lien avec l’article 17 du RGPD.

10. Support, protection des données et signalations d’informations illégales

Si tu nous contactes par e-mail, nous traitons l’adresse expéditrice, le nom, le contenu de la message, les pièces jointes ainsi que les informations nécessaires pour la traitement des comptes ou techniques. Ne transmets jamais de mots de passe ou de codes de confirmation et ne joint pas d’informations illégales à une signalation.

Le traitement se fait pour traiter des demandes contractuelles ou précontractuelles selon l’article 6, alinéa 1, lettre b du RGPD, pour respecter des obligations légales selon l’article 6, alinéa 1, lettre c du RGPD et en outre sur la base de nos intérêts légitimes à une communication efficace, à la prévention de l’abus et à la défense juridique selon l’article 6, alinéa 1, lettre f du RGPD.

La correspondance est supprimée généralement trois ans après la fin du processus. Des obligations légales de conservation ou la poursuite, l’exercice ou la défense d’actions judiciaires peuvent nécessiter une conservation plus longue.

11. Destinataires et traitants pour instruction

Pour fournir cliprio, nous utilisons principalement les prestataires suivants :

• Supabase, Inc. pour l’authentification, la base de données, le stockage privé de fichiers et les fonctions Edge. Le projet principal est installé dans la région Frankfurt (eu-central-1).
• Vercel Inc. — le site public, la documentation statique de l’API et la transmission des requêtes de contrôle API ; les fichiers sont téléversés directement vers Supabase.
• Cloudflare, Inc. pour la protection Turnstile contre les robots et les abus lors de la création de sessions publiques de réception rapide. Pour en savoir plus sur le traitement des données personnelles par Cloudflare, consulte le Turnstile Privacy Addendum.
• Google Ireland Limited ou des entreprises liées de Google pour Firebase Hosting, Firebase Cloud Messaging et les achats Personal et Team natifs via Google Play.
• Stripe et ses entités liées pour Stripe Managed Payments, le paiement Web et Windows, le traitement des paiements, la gestion fiscale, la prévention de la fraude, les remboursements, les rétrofacturations et les événements de facturation.
• RevenueCat, Inc. pour les offres natives et l’attribution des achats natifs, ainsi que pour la mise en miroir après paiement des informations d’abonnement et de droits Personal sur le Web et Windows.
• Apple Distribution International Limited ou des entreprises liées d’Apple pour les achats Personal et Team natifs et la livraison Apple Push Notification Service sur les appareils Apple.
• Plus Five Five, Inc. (Resend) pour la livraison des e-mails de compte, de confirmation, de récupération, d’avis de sécurité et de codes de suppression.
• IONOS SE pour les boîtes aux lettres de support, de confidentialité et de messagerie générale de coderave.

D’autres données peuvent être transmises à des autorités, tribunaux ou autres entités si nous sommes légalement tenus de le faire ou si cela est nécessaire pour la poursuite d’une enquête juridique ou une défense juridique. Les traitants sont soumis aux accords de protection des données nécessaires.

12. Transferts vers des pays tiers

Certains fournisseurs et leurs sous-traitants ont leur siège social ou des centres techniques en dehors de l’Union européenne, notamment aux États-Unis. Même pour un projet Supabase installé à Francfort, le support, la gestion de la sécurité, les fonctions Edge ou des sous-traitants peuvent avoir un accès à des pays tiers. Firebase Cloud Messaging, Stripe et RevenueCat peuvent fonctionner sur une infrastructure internationale. Resend stocke les données du compte, y compris les métadonnées des e-mails, les journaux et les enregistrements d’API, aux États-Unis, quelle que soit la région d’envoi choisie.

Les transferts se produisent si nécessaire sur la base d’un accord de conformité approprié, notamment du cadre de conformité UE-États-Unis pour les destinataires certifiés ou des garanties appropriées comme les clauses standard de l’Union européenne et des mesures complémentaires de protection. Des informations sur les garanties utilisées peuvent être demandées à privacy@coderave.dev.

13. Durée de conservation et suppression

Les critères suivants s’appliquent en particulier :

• Les données de compte, profil, appareil et preuve de contrat sont conservées jusqu’à la suppression du compte.
• Le contenu est supprimé selon la durée choisie après 24 heures, 3 jours, 7 jours ou 30 jours, ou, pour le contenu permanent, lorsque vous le supprimez ou supprimez votre compte.
• Les copies indépendantes reçoivent une conservation selon les décisions et paramètres des destinataires.
• Les données de sujet de facturation, d’abonnement, d’attribution d’achat, d’usage, de forfait Team et de capacité sont conservées pendant l’exécution de l’abonnement puis durant les périodes légales fiscales, comptables, de prévention de la fraude, de litige, de remboursement, de rétrofacturation et de réclamation. Elles sont ensuite supprimées ou anonymisées lorsque cela est légalement et techniquement possible.
• La boîte technique des événements du prestataire conserve des identifiants d’événement opaques, des empreintes et des résultats de traitement pendant 30 jours au maximum afin de dédupliquer les webhooks de manière sûre et de prévenir leur rejeu. Cette boîte à courte durée de vie est distincte des données normalisées de facturation et de comptabilité conservées selon la règle précédente.
• Les données de notifications sont supprimées lorsque le contenu associé n’est plus disponible. Les tentatives de livraison ne dépassent pas 24 heures techniquement.
• Les sessions de codes d’accueil sont valides pendant une heure au maximum. Les limites de sécurité sont nettoyées après l’expiration de leur période de protection.
• Les identifiants de livraison push non mis à jour sont supprimés après 90 jours sans mise à jour.
• Resend indique conserver les données des e-mails pendant 30 jours dans ses offres standard. Tu peux nous adresser toute demande concernant les données d’e-mails Auth détenues par le prestataire ; nous coordonnons leur suppression avec le sous-traitant, sous réserve des obligations légales de conservation applicables.
• Les données techniques de rejeu des opérations de contenu terminées sont supprimées après huit jours. Les opérations interrompues d’anciens clients peuvent être libérées après 30 minutes. Les réservations incomplètes de transfert direct avec le protocole deux durent normalement jusqu’à 24 heures, peuvent être renouvelées tant que le traitement continue et ne restent jamais valides au-delà de la limite absolue de 48 heures ; leur expiration libère le quota inutilisé et programme le nettoyage des objets temporaires.

La suppression de fichiers se fait par un processus technique répétitif après l’élimination de la dernière copie logique. Dans les copies de sauvegarde des fournisseurs, les données supprimées peuvent rester en place jusqu’à leur remplacement planifié. Elles ne sont pas restaurées pour le fonctionnement normal et sont traitées à nouveau selon les règles de suppression en vigueur lors d’une restauration.

14. Sécurité

cliprio utilise notamment des transferts chiffrés, un stockage privé de fichiers, une autorisation liée au compte et à l’appareil, la sécurité par niveau de ligne, des limites de code, des restrictions d’entrée et des notifications push économiques en données. Aucun service basé sur Internet ne peut garantir une sécurité absolue.

15. Vos droits

Conformément aux dispositions légales, tu as le droit à l’information, la correction, la suppression, une limitation du traitement, un transfert de données et un retrait d’autorisation. Les autorisations accordées peuvent être retirées pour l’avenir. En cas de traitement sur la base de l’article 6, alinéa 1, lettre f du RGPD, tu peux te plaindre pour des raisons qui se dégagent de ta situation particulière.

Contacte-nous à privacy@coderave.dev pour toute demande. Pour éviter des informations non autorisées, nous pouvons demander un identifiant approprié.

Tu as également le droit de te plaindre auprès d’une autorité de contrôle en matière de protection des données. Pour nous, c’est :

Autorité du Land Nordrhein-Westfalen pour la protection des données et l’accès à l’information
Kavalleriestraße 2–4
40213 Düsseldorf
https://www.ldi.nrw.de

16. Modifications

Nous mettrons à jour cette déclaration de protection des données si cliprio, les services utilisés ou la législation évoluent significativement. Sur des modifications importantes, nous informerons adéquatement via l’application, le site web ou par e-mail.