Politique de confidentialité
Politique de confidentialité
Cette politique décrit comment Stelvia traite les données personnelles collectées via le site stelvia.space — y compris celles associées aux comptes utilisateur et aux signatures publiques sur des étoiles —, conformément au règlement (UE) 2016/679 (RGPD) et à la loi organique espagnole 3/2018 (LOPDGDD).
1. Responsable du traitement
Responsable : Rubén Jarne Cabañero (Stelvia). NIF/CIF : 77217706J. Siège : Calle del Canal 9, 50007 Zaragoza (España). Contact et exercice des droits : hello@stelvia.space. Délégué à la protection des données (DPO) : non désigné. Stelvia n'est pas un organisme public, n'effectue pas de traitement à grande échelle de catégories particulières de données, et son activité principale ne consiste pas en des opérations exigeant un suivi régulier et systématique à grande échelle (art. 37 RGPD) ; les motifs de désignation obligatoire ne sont donc pas réunis. Cette évaluation doit être révisée périodiquement.
2. Données que nous collectons
Nous collectons les données suivantes : (a) données du compte : adresse email, statut de vérification, langue et préférences de notifications (y compris l'avis de substitution de signature) ; (b) contenus fournis par l'utilisateur : le nom choisi et le message de chaque signature — publics tant que la signature est en vigueur et susceptibles de contenir des données personnelles de tiers — ainsi que l'historique privé des signatures antérieures du compte ; (c) données des commandes du cadenas : référence de la commande et données de facturation lorsque nécessaire ; les données de paiement sont gérées directement par Stripe et Stelvia ne stocke pas les données complètes de carte ; (d) données des signalements de modération : motif sélectionné, commentaire facultatif et adresse IP sous forme pseudonymisée (hachage), afin de limiter les abus du mécanisme ; (e) données techniques : adresse IP, identifiants de session, type de navigateur et d'appareil, collectées via des cookies strictement nécessaires ; (f) données d'usage agrégées via Google Analytics 4 (Google Ireland Ltd.), pseudonymisées et avec l'IP anonymisée, capturées uniquement si vous avez accepté la catégorie « Analyse » dans le bandeau de cookies ; (g) données techniques de diagnostic d'erreurs via Google Cloud Error Reporting (type de navigateur, route, message et trace), sans cookies propres et avec une configuration « sans PII ».
3. Finalités du traitement
Nous traitons les données pour : (a) créer et gérer votre compte, y compris la vérification de votre adresse email ; (b) fournir le service de signatures : publier votre signature sur les surfaces du service, appliquer la règle d'une signature gratuite par compte, conserver votre historique privé et gérer les substitutions ; (c) exécuter le contrat du cadenas : traiter le paiement, sécuriser votre signature et générer puis vous livrer le certificat et la vidéo ; (d) vous envoyer des notifications d'état du service, comme l'avis indiquant que votre signature a été remplacée ou la confirmation de votre paiement (vous pouvez désactiver les avis de substitution depuis votre compte) ; (e) modérer les contenus signalés et prévenir les abus du service et du mécanisme de signalement lui-même ; (f) respecter les obligations comptables et fiscales imposées par le Code de commerce et la législation fiscale ; (g) gérer les demandes, réclamations et l'exercice des droits ; (h) avec votre consentement préalable, mesurer l'usage agrégé du site (Google Analytics 4) et, le cas échéant, envoyer des communications commerciales ; (i) garantir la sécurité et la continuité opérationnelle du site, y compris le diagnostic technique des incidents via Google Cloud Error Reporting.
4. Bases juridiques
(a) Exécution du contrat (art. 6.1.b RGPD) : le compte et sa vérification, les signatures et leur publication, l'historique privé, le cadenas avec son certificat et sa vidéo, et les notifications d'état du service — y compris l'avis de substitution de signature, qui constitue une communication de service et non une communication commerciale, et qui peut être désactivé depuis le compte ; (b) respect d'une obligation légale (art. 6.1.c RGPD) : conservation comptable et fiscale ; (c) intérêt légitime (art. 6.1.f RGPD) : modération des contenus signalés et prévention des abus (y compris l'IP pseudonymisée des signalements), sécurité du site, prévention de la fraude et diagnostic technique des erreurs via Google Cloud Error Reporting, après le test de mise en balance correspondant ; (d) consentement (art. 6.1.a RGPD) : cookies analytiques (Google Analytics 4) et communications commerciales lorsqu'elles seront activées. [PENDIENTE: validación por abogado colegiado del encuadre del aviso de sustitución de firma como comunicación de servicio a efectos del art. 21 LSSI-CE]
5. Signatures publiques et suppression du compte
Votre signature (nom choisi et message) est publique par défaut tant qu'elle est en vigueur : elle apparaît sur la carte du ciel, en réalité augmentée, sur la fiche de l'étoile et dans la recherche. Nous n'affichons jamais votre adresse email ni aucune autre donnée de votre compte à côté de la signature, et il n'existe pas de profils publics d'utilisateur. Si un autre utilisateur signe la même étoile, votre message cesse d'être public à cet instant et passe dans votre historique privé. Lors de la suppression de votre compte (en libre-service, depuis le compte) : vos signatures et leurs messages sont retirés des surfaces publiques ; les certificats et vidéos associés à vos cadenas sont supprimés ; les étoiles correspondantes deviennent libres ; et votre historique privé est effacé. Les données de commandes sont conservées sous forme anonymisée en raison d'obligations fiscales (section 7). Si vous êtes mentionné dans la signature d'une autre personne, vous pouvez demander son retrait via le bouton de signalement (motif « données personnelles ») ou en écrivant à hello@stelvia.space ; nous la traiterons conformément aux art. 17 et 21 RGPD.
6. Modération et signalements
Tout visiteur peut signaler une signature sans avoir besoin d'un compte. Lors du traitement d'un signalement, nous traitons le motif sélectionné, le commentaire facultatif et l'adresse IP du signalant sous forme pseudonymisée (hachage), dans le seul but de limiter les abus du mécanisme (limites de fréquence) et d'auditer les décisions de modération. La signature signalée est masquée à titre conservatoire des surfaces publiques jusqu'à sa révision. Base juridique : intérêt légitime (art. 6.1.f RGPD). Conservation : les données du signalement sont conservées pendant la durée de la révision et comme trace de la décision prise. [PENDIENTE: fijar plazo máximo de conservación de los reportes — validación por abogado colegiado]
7. Durées de conservation
Les données du compte, les signatures et l'historique privé sont conservés tant que le compte existe ; en cas de suppression, les effets décrits à la section 5 s'appliquent. La politique de conservation applicable aux comptes durablement inactifs est en cours de révision [PENDIENTE: definir la regla de retención de cuentas inactivas y reflejarla aquí]. Les données des commandes du cadenas sont conservées pendant la relation contractuelle puis pendant les délais légaux applicables : 6 ans pour la documentation comptable et commerciale (art. 30 du Code de commerce espagnol) et 4 ans pour les obligations fiscales (art. 66 de la loi fiscale générale espagnole) ; au bout de 5 ans, les commandes sont anonymisées de manière automatisée.
8. Destinataires et sous-traitants
Pour fournir le service, nous faisons appel aux sous-traitants suivants, tous situés dans l'Union européenne ou liés par des garanties appropriées : Stripe Payments Europe Ltd. (Irlande, UE) pour le traitement des paiements ; Supabase Inc. avec une infrastructure à Francfort (Allemagne, UE) pour le stockage, la base de données et l'authentification des comptes ; Resend Inc. avec des serveurs situés dans la région européenne (Irlande) pour l'envoi d'emails transactionnels ; Vercel Inc. avec un déploiement de calcul dans des régions européennes pour l'hébergement du frontend ; Inngest Inc. pour l'exécution de tâches asynchrones ; Google Ireland Ltd. pour la mesure agrégée de l'usage du site avec Google Analytics 4 lorsque vous avez accepté la catégorie « Analyse », et Google Cloud EMEA Ltd. pour l'hébergement, la base de données, le stockage, l'email transactionnel et le diagnostic technique des erreurs (Cloud Error Reporting), avec des données hébergées dans la région europe-west1 (Belgique, UE) [PENDIENTE: validación por abogado colegiado de la redacción de las transferencias de Google Analytics 4 a EE. UU. al amparo del EU-U.S. Data Privacy Framework y de las CCT del art. 46.2.c RGPD]. Les sous-traitants n'accèdent aux données que pour fournir leur service, selon nos instructions documentées et dans le cadre d'un contrat conforme à l'art. 28 RGPD. Si nous activons la publicité sur les réseaux sociaux, Meta Platforms Ireland Ltd. (Irlande, UE) et TikTok Technology Limited (Irlande, UE) interviennent également pour mesurer nos campagnes, uniquement à l'égard des personnes ayant accepté la catégorie « Publicité » dans la bannière de cookies et seulement tant que le pixel correspondant est déployé ; la politique des cookies indique lesquels le sont à un instant donné.
9. Transferts internationaux
Nous avons sélectionné des prestataires disposant d'une infrastructure européenne afin d'éviter les transferts internationaux inutiles. Toutefois, certains d'entre eux sont des entités américaines (Resend Inc., Vercel Inc., Inngest Inc., Stripe Inc. au sein de son groupe). Lorsqu'un transfert vers les États-Unis s'avère inévitable pour des tâches de support technique ou de continuité opérationnelle de la maison mère, ce transfert est encadré par les clauses contractuelles types approuvées par la Commission européenne (décision 2021/914) conformément à l'article 46.2.c RGPD, ou par l'adhésion du prestataire au cadre de protection des données UE-États-Unis lorsqu'il est disponible, en évaluant en outre des mesures supplémentaires conformes à l'arrêt Schrems II. Les pixels publicitaires méritent une mention distincte : bien que l'entité contractante soit la filiale irlandaise, les données sont partagées avec leurs maisons mères américaines (Meta Platforms, Inc. et TikTok Inc./ByteDance Ltd.) et, dans le cas de TikTok, le prestataire a reconnu des accès à distance par du personnel du groupe depuis la Chine. C'est pourquoi aucun pixel publicitaire n'est chargé sans consentement exprès et spécifique à la catégorie « Publicité » [PENDIENTE: antes de activar el píxel de TikTok, completar la evaluación de impacto de la transferencia (TIA) y validarla con abogado colegiado].
10. Droits de la personne concernée
Vous avez le droit d'accéder à vos données, de les rectifier, de les supprimer, de vous opposer au traitement, de le limiter et de demander la portabilité. Vous pouvez exercer ces droits en envoyant un email à hello@stelvia.space en indiquant le droit exercé et en joignant la copie d'un document prouvant votre identité, ou directement depuis votre compte (suppression). Nous répondrons dans un délai d'un mois, prorogeable à deux lorsque la complexité ou le volume des demandes le justifie. Vous avez également le droit d'introduire une réclamation auprès de l'Agence espagnole de protection des données (https://www.aepd.es) si vous estimez que le traitement n'est pas conforme à la réglementation.
Avis de visibilité (éphémérides)
Si vous avez sécurisé votre signature avec le cadenas, vous pouvez vous abonner volontairement aux éphémérides : un seul avis par an, par email, la nuit où l'étoile que vous avez signée atteint sa meilleure visibilité. Finalité : vous envoyer cet avis annuel. Données traitées : votre adresse email et une latitude approximative calculée à partir du pays et, si vous l'indiquez, de la ville que vous choisissez manuellement dans le formulaire ; nous n'utilisons ni le GPS ni la géolocalisation du navigateur, et n'installons pas de cookies pour cette fonction. Base juridique : votre consentement (art. 6.1.a RGPD), donné lors de l'abonnement par double confirmation. Conservation : tant que votre consentement reste valable ; si vous vous désabonnez, nous supprimons ces données. Droits : vous pouvez accéder à vos données, les rectifier, vous y opposer ou les supprimer comme indiqué dans le reste de cette politique, et vous désabonner en un clic depuis le lien inclus dans chaque avis.
11. Mineurs
L'inscription d'un compte et la publication de signatures nécessitent d'avoir au moins 14 ans (art. 8 RGPD et art. 7 LOPDGDD). En vous inscrivant, vous déclarez remplir cette condition ; nous n'effectuons pas de vérification documentaire de l'âge. L'achat du cadenas nécessite en outre la capacité d'utiliser le moyen de paiement correspondant. Si nous détectons le compte d'un mineur de moins de 14 ans, nous le supprimerons avec ses signatures ; les titulaires de l'autorité parentale ou de la tutelle peuvent le demander en écrivant à hello@stelvia.space.
12. Sécurité
Nous appliquons des mesures techniques et organisationnelles raisonnables pour protéger les données : chiffrement en transit (HTTPS/TLS), chiffrement au repos dans la base de données, contrôle d'accès par rôles, journaux d'activité et révision périodique des prestataires. En cas de violation de sécurité entraînant un risque pour vos droits, nous notifierons l'Agence espagnole de protection des données dans un délai de 72 heures et, si nécessaire, nous vous informerons directement.
13. Modifications de la politique
Nous pouvons modifier cette politique pour l'adapter aux évolutions réglementaires ou de service. La date de dernière mise à jour figure à la fin du document. Les modifications substantielles seront communiquées par email lorsque nous disposerons de votre adresse.