Politique de confidentialité
Qui traite vos données
eSpyradio est un service professionnel de suivi des diffusions radio, édité par Wespify.
Wespify est responsable du traitement des données de votre compte et de votre équipe. Contact pour toute question sur vos données : [À COMPLÉTER : adresse dédiée aux données personnelles].
Wespify n'a pas désigné de délégué à la protection des données. [À VALIDER : absence de DPO (non obligatoire pour cette activité)]
Les données que nous traitons
- Compte : adresse e-mail, prénom, nom, mot de passe (enregistré sous une forme hachée, jamais en clair), radio rattachée et rôle dans l'équipe.
- Équipe : adresses e-mail des personnes invitées, date et état des invitations.
- Sécurité : adresse IP, navigateur, empreinte technique de l'appareil (enregistrée hachée), journal des connexions, réglages de double authentification.
- Facturation : raison sociale, adresse, numéro de TVA, historique des factures. Les numéros de carte sont saisis chez notre prestataire de paiement : nous ne les voyons ni ne les conservons.
- Échanges : signalements envoyés depuis l'application, adresses e-mail auxquelles vous faites envoyer des rapports.
- Préférences : thème, nuance, fuseau horaire, réglages d'affichage.
Les diffusions de votre radio proviennent des métadonnées publiées par son flux (titre, artiste, heure). Ce ne sont pas des données sur vous.
L'adresse e-mail, le nom et le mot de passe sont nécessaires pour ouvrir un compte ; les données de facturation, pour souscrire un abonnement. Sans elles, nous ne pouvons pas fournir le service. Les autres données sont facultatives ou produites par votre usage.
Pourquoi, et sur quelle base
| Finalité | Base légale (RGPD, art. 6) | Données |
|---|---|---|
| Créer et gérer votre compte et votre équipe, fournir le service | exécution du contrat | compte, équipe, préférences |
| Vérifier votre adresse à l'inscription | mesures précontractuelles | e-mail, code à usage unique |
| Sécuriser l'accès (double authentification, appareils de confiance, verrouillage, journal) | intérêt légitime : protéger les comptes et le service | sécurité |
| Facturer, relancer un impayé, tenir la comptabilité | exécution du contrat ; obligation légale pour la conservation des factures | facturation, e-mail |
| Envoyer les e-mails du service (alertes, rapports, invitations, avis de sécurité) | exécution du contrat | e-mail, adresses des destinataires de rapports |
| Traiter un signalement ou une demande d'assistance | exécution du contrat | échanges |
Nous ne faisons ni publicité, ni profilage, ni revente de données. Aucune décision vous concernant n'est prise de façon entièrement automatisée.
Combien de temps nous les gardons
| Données | Durée | Point de départ |
|---|---|---|
| Compte, équipe, préférences | pendant l'abonnement, puis 90 jours | la résiliation ; suppression au terme des 90 jours |
| Membre retiré d'une équipe | désactivé tout de suite, anonymisé après 30 jours [À VALIDER : durée] | le retrait |
| Journal des connexions et de sécurité | 12 mois [À VALIDER : durée] | chaque événement |
| Appareil de confiance | 90 jours | son enregistrement |
| Code de vérification d'inscription | 15 minutes | son envoi |
| Inscription non terminée | [À COMPLÉTER : durée de purge] | le dernier échange |
| Invitation non acceptée | expire après 7 jours, supprimée ensuite [À VALIDER : délai de suppression] | son envoi |
| Factures et pièces comptables | 10 ans | la clôture de l'exercice (Code de commerce, art. L123-22) |
Qui peut les voir
- Les personnes habilitées de Wespify, pour le support, la facturation et la sécurité.
- Les membres de votre équipe voient les noms, adresses e-mail et rôles des autres membres et des invitations en cours.
- Nos sous-traitants, chacun pour sa mission, listés ci-dessous.
Nous ne communiquons vos données à une autorité que sur réquisition légale.
Sous-traitants et transferts hors de l'Union européenne
| Sous-traitant | Mission | Lieu de traitement | Transfert hors UE et encadrement |
|---|---|---|---|
| o2switch (France) | hébergement de l'application et de la base de données, envoi des e-mails | France [À VALIDER : lieu des serveurs] | aucun [À VALIDER : contrat de sous-traitance (art. 28)] |
| Hetzner Online GmbH (Allemagne) | serveur de captation des flux radio | [À COMPLÉTER : centre de données (Allemagne ou Finlande)] | aucun ; ne reçoit pas les données de compte [À VALIDER : contenu exact des échanges et contrat (art. 28)] |
| Stripe Payments Europe Ltd (Irlande), groupe Stripe, Inc. | paiement et gestion des cartes | Union européenne et États-Unis | oui, vers les États-Unis : Data Privacy Framework UE–États-Unis (décision d'adéquation du 10 juillet 2023) et clauses contractuelles types de la Commission européenne [À VALIDER : entité contractante et certification DPF en vigueur] |
| [À COMPLÉTER : fournisseur d'envoi d'e-mails, s'il diffère d'o2switch] | envoi des e-mails du service | [À COMPLÉTER : lieu] | [À COMPLÉTER : transfert et encadrement] |
Les recherches de pochettes et de photos d'artistes envoient seulement un nom d'artiste ou un titre aux services consultés, jamais une donnée vous concernant.
Les polices de caractères sont servies par nos propres serveurs : aucune adresse IP n'est transmise à un service de polices.
Vos droits
Vous pouvez demander à accéder à vos données, les rectifier, les effacer, en limiter le traitement, vous opposer à un traitement fondé sur notre intérêt légitime, et recevoir les données que vous nous avez fournies dans un format réutilisable (RGPD, art. 15 à 21). Vous pouvez aussi définir des directives sur le sort de vos données après votre décès (loi Informatique et Libertés, art. 85).
Écrivez à [À COMPLÉTER : adresse dédiée aux données personnelles]. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe ; nous vous prévenons alors. En cas de doute raisonnable sur votre identité, nous pouvons vous demander de la confirmer.
Certaines données ne peuvent pas être effacées avant leur terme, par exemple les factures, que la loi nous oblige à conserver.
Réclamation auprès de la CNIL
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés : en ligne sur cnil.fr/fr/plaintes, ou par courrier au 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Vous pouvez aussi nous écrire d'abord : la plupart des demandes se règlent directement.
Sécurité
Les échanges avec le service sont chiffrés (HTTPS). Les mots de passe sont hachés. La double authentification est proposée à chaque membre. Les connexions inhabituelles et les tentatives répétées sont journalisées et peuvent verrouiller temporairement un compte.
Modifications de cette politique
Chaque version porte un numéro et une date. En cas de changement important, nous prévenons les administrateurs de chaque compte par e-mail avant son entrée en vigueur.
Dépendances : D-LEGAL-ROUTES · D-LEGAL-VERSION · D-LEGAL-IDENTITY · D-FOOTER-LINKS · D-FONTS-SELFHOST (prérequis de publication : cette page affirme qu'aucune police n'est chargée chez un tiers) · D-CONSENT (acceptation horodatée + version à l'inscription) · D-RGPD-REQUEST (adresse dédiée + suivi des demandes, délai 1 mois) · D-RETENTION (purges automatiques aux durées du tableau) · D-DPA (contrats de sous-traitance o2switch, Hetzner, Stripe, fournisseur SMTP) · D-REPORT-RECIPIENTS (adresses externes des rapports : suppression avec la station).