Politique de confidentialité

1. Qui traite tes données

Safookoa est le responsable du traitement (au sens du RGPD) et la personne responsable de la protection des renseignements personnels (au sens de la Loi 25 du Québec ; « responsable » au sens de la LFPDPPP mexicaine). L'app est exploitée depuis le Québec, Canada.

Pour toute question, demande ou plainte relative à tes données, une seule adresse : social@safookoa.com

2. Ce qu'on collecte

Quatre catégories, et rien en dehors de ces quatre-là. On ne demande jamais d'informations sensibles (santé, opinions politiques ou religieuses, orientation sexuelle, données biométriques) et il ne faut pas en publier dans les plans ou le chat.

Ton compte

Adresse courriel, prénom ou pseudo affiché, photo de profil si tu en mets une, langue, fuseau horaire et ville de rattachement. Si tu te connectes avec Google ou Apple, on reçoit d'eux ton courriel et ton nom affiché — jamais ton mot de passe.

Ce que tu crées

Tes gangs et leurs membres, les sorties proposées, les votes de date, les réponses (je viens / peut-être / je passe), les messages et réactions du chat, les pièces jointes, les favoris, et tes fils de discussion avec SafookoAI.

Données techniques

Témoins de session nécessaires à la connexion, journaux serveur (adresse IP, horodatage, page appelée, erreurs), fuseau horaire déduit approximativement de ton adresse IP au premier affichage, et l'abonnement de ton navigateur aux notifications push si tu les actives.

Mesure d'usage (seulement si tu l'acceptes)

Google Analytics 4, uniquement pour des compteurs de volume : comptes créés, plans proposés, réponses, recherches, consultations d'événements. Aucun identifiant personnel n'y est transmis — ni courriel, ni nom, ni contenu de tes plans.

On ne collecte pas ta position GPS. La météo et les distances sont calculées à partir de la ville de la sortie, pas de ton téléphone.

3. Pourquoi, et à quel titre

Le RGPD exige une base légale par finalité ; la Loi 25 et la LFPDPPP exigent que la finalité soit déterminée et légitime. Voici la liste complète :

• Créer et sécuriser ton compte, t'authentifier — exécution du contrat qui nous lie (les conditions d'utilisation).
• Faire fonctionner les gangs, les sorties, les votes, le chat et les notifications que tu as activées — exécution du contrat.
• Te suggérer des sorties pertinentes dans ta ville (catalogue d'événements, recommandations, SafookoAI) — exécution du contrat et intérêt légitime à améliorer le service.
• Prévenir la fraude, l'abus et le pourriel, garder une trace des actions sensibles (journal d'audit) — intérêt légitime et obligations légales.
• Mesurer le volume d'usage de l'app pour l'améliorer — ton consentement, révocable à tout moment.
• Répondre à tes demandes d'accès, de rectification ou de suppression — obligation légale.

4. Témoins (cookies)

• Témoins strictement nécessaires : ils portent ta session de connexion, ta langue et ton fuseau. Sans eux l'app ne peut pas fonctionner, ils ne servent à rien d'autre et ne sont pas soumis à consentement.
• Témoins de mesure : déposés uniquement après un « Accepter » explicite. Tant que tu n'as pas cliqué, aucun script Google n'est chargé — pas seulement bloqué : pas chargé du tout.
• Tu peux revenir sur ton choix à tout moment depuis ton profil ; les témoins de mesure sont alors effacés. Refuser ne dégrade aucune fonctionnalité.

5. SafookoAI et les traitements automatisés

Quand tu poses une question à SafookoAI, on envoie à notre fournisseur de modèle le texte de ta demande, la ville et les thèmes de ta gang, la saison et les sorties déjà au programme. On n'envoie ni ton courriel, ni ton nom, ni le contenu de tes conversations de chat.

Nos fournisseurs de modèle sont liés par contrat : les données transmises servent à produire la réponse, pas à entraîner leurs modèles.

SafookoAI classe, résume et ordonne des suggestions de sorties. Ces traitements automatisés n'ont aucun effet juridique et ne produisent aucune décision qui t'affecterait de manière significative (aucune notation, aucun refus de service). Tu peux nous demander quels renseignements ont servi à une recommandation et nous faire part de tes observations.

6. Avec qui tes données sont partagées

Uniquement avec des prestataires techniques, chacun lié par contrat et limité à ce qu'il lui faut pour rendre son service :

• Supabase (base de données et authentification) et Vercel (hébergement de l'application) — États-Unis et Union européenne.
• Google et Apple, si tu choisis leur bouton de connexion — pour cette seule vérification d'identité.
• Notre fournisseur de modèle de langage, pour les réponses de SafookoAI et les résumés d'événements.
• Nos fournisseurs de recherche web (Tavily, Brave) quand SafookoAI doit chercher un événement en ligne.
• Pexels (visuels d'illustration), Open-Meteo (météo) et OpenStreetMap / Nominatim (géocodage des adresses de sorties) — appels techniques, sans identifiant de compte.
• Google Analytics, uniquement si tu as accepté la mesure d'usage.

On ne vend, ne loue et n'échange aucune donnée personnelle. Aucun courtier de données, aucun réseau publicitaire tiers.

Si une sortie sponsorisée apparaît un jour, elle sera signalée comme telle, choisie selon la ville et les thèmes de la gang, jamais selon ton profil individuel : aucun annonceur ne reçoit de données te concernant. Aucun contenu sponsorisé dans le chat, les notifications ou les réponses de SafookoAI.

On ne communique de données à une autorité que sur demande légale valide, et on t'en informe sauf interdiction.

7. Transferts hors du Québec, de l'UE et du Mexique

Nos prestataires opèrent notamment depuis les États-Unis. Avant chaque communication hors Québec, on procède à l'évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 ; pour les données venant de l'Espace économique européen, les transferts s'appuient sur les clauses contractuelles types de la Commission européenne ; pour les données venant du Mexique, le transfert est encadré contractuellement conformément à la LFPDPPP. Tu peux nous demander copie de ces garanties.

8. Combien de temps on garde quoi

• Compte et profil : tant que ton compte existe. À sa suppression, tout ce qui pend à ton profil est effacé immédiatement.
• Contenu collectif (une gang, une sortie que tu as créée) : il survit à ton départ, mais détaché de toi — ton nom disparaît, le lien avec ton compte est rompu.
• Journaux techniques : 30 jours. Journal d'audit des actions sensibles : 12 mois.
• Liens d'invitation : 30 jours, puis expirés automatiquement.
• Mesure d'usage : 14 mois maximum côté Google Analytics.

9. Sécurité

Chiffrement en transit (HTTPS) et au repos, cloisonnement de chaque gang au niveau de la base de données (Row Level Security : une requête ne peut techniquement pas atteindre les données d'une gang dont tu n'es pas membre), liens d'invitation stockés uniquement sous forme de condensat, accès administrateur restreint à une liste nominative et journalisé.

En cas d'incident de confidentialité présentant un risque de préjudice sérieux, on tient un registre, on notifie l'autorité compétente (dans les 72 h pour le RGPD) et on prévient les personnes concernées.

10. Tes droits

Où que tu sois, tu disposes au minimum des droits suivants — droits d'accès, de rectification, d'opposition et de suppression, dits « ARCO » au Mexique :

• Accéder à tes renseignements et en obtenir une copie.
• Les faire rectifier s'ils sont inexacts ou incomplets.
• Les faire supprimer, en supprimant ton compte depuis ton profil ou en nous écrivant.
• Recevoir tes données dans un format structuré et lisible par machine, ou nous demander de les transmettre à un autre service (portabilité).
• T'opposer à un traitement fondé sur l'intérêt légitime, ou en demander la limitation.
• Retirer ton consentement à la mesure d'usage à tout moment, sans que ça remette en cause ce qui a été fait avant.
• Demander la désindexation ou la cessation de diffusion d'un renseignement te concernant (article 28.1 de la Loi 25).

Le plus simple : ton profil permet déjà de corriger tes informations, de révoquer ton consentement et de supprimer définitivement ton compte. Pour tout le reste, écris-nous.

On répond dans les 30 jours (Loi 25), un mois (RGPD) et 20 jours ouvrables pour une demande ARCO (Mexique). On peut avoir à vérifier ton identité avant de donner suite.

11. Mineurs

Safookoa n'est pas destinée aux enfants. Il faut avoir 14 ans au Québec, 16 ans dans l'Union européenne (ou l'âge fixé par ton pays, jamais moins de 13 ans) pour créer un compte sans le consentement d'un parent ou tuteur. Si on apprend qu'un compte a été créé en deçà, il est supprimé.

12. Porter plainte

Si notre réponse ne te satisfait pas, tu peux saisir l'autorité de protection des données compétente :

• Québec : Commission d'accès à l'information du Québec (CAI).
• Union européenne : l'autorité de contrôle de ton pays de résidence (en France, la CNIL).
• Mexique : l'autorité fédérale chargée de la protection des données personnelles (Secretaría Anticorrupción y Buen Gobierno).

13. Modifications de cette politique

Si on change une finalité, un destinataire ou une durée, cette page est mise à jour avec sa date, et un changement significatif t'est signalé dans l'app avant qu'il prenne effet.

14. Nous joindre

Une question, une demande d'accès, une correction, un retrait de consentement : écris-nous, on répond. social@safookoa.com