Politique de confidentialité

OuSortir.me - Dernière mise à jour : 30 juin 2026

1. Qui est responsable du traitement ?

Le responsable de traitement est Améline Gérard, entrepreneur individuel, éditrice du site OùSortir.me.

SIRET : 907 893 937 00017
Adresse postale : Chambre de Métiers et de l'Artisanat de Loire-Atlantique, 5 Allée des Liards, 44981 Saint-Herblain Cedex 1
Email : contact@ousortir.me

Pour toute question relative à vos données ou l'exercice de vos droits : contact@ousortir.me.

2. Quelles données collectons-nous ?

La plateforme distingue trois rôles, chacun avec des données spécifiques :

Visiteur

Email, nom d'affichage, ville (optionnel)
Centres d'intérêt déclarés à l'inscription, photo de profil (optionnelle)
Préférences de notification, événements favoris, alertes géolocalisées
Inscription à la newsletter hebdomadaire (consentement séparé, non pré-coché à l'inscription, désabonnement 1-clic dans chaque email)
Subscriptions de notifications push (endpoint navigateur + clés de chiffrement) si l'utilisateur active les notifications dans ses paramètres
Photos uploadées sur les fiches événements (si participant)
Données techniques de connexion (IP, user-agent)

Exposant

Identifiants (email, mot de passe haché par Supabase Auth)
Profil métier : nom commercial, description, photos
Coordonnées professionnelles : adresse, téléphone, ville, département, région
Documents professionnels (Pro uniquement) : SIRET, Kbis, attestation RC Pro, contrats, stockés dans un coffre privé
Candidatures et messages avec les organisateurs

Organisateur

Identifiants, nom de l'organisation, contact
Pour la facturation Stripe Connect : informations légales de l'organisation (SIRET, RIB), gérées par Stripe
Événements créés, candidatures gérées, messages

3. Sur quelle base légale ?

Exécution du contrat (art. 6.1.b RGPD) : pour fournir le service auquel vous vous êtes inscrit (gestion de candidatures, messagerie, dashboards).
Consentement (art. 6.1.a RGPD) : pour les cookies non essentiels et l'envoi d'emails marketing.
Intérêt légitime (art. 6.1.f RGPD) : pour la sécurité de la plateforme (logs d'accès, détection d'abus).
Obligation légale (art. 6.1.c RGPD) : pour la comptabilité (facturation Stripe) et la lutte contre la fraude.

4. Combien de temps conservons-nous vos données ?

Compte actif : tant que votre compte est ouvert.
Compte supprimé : suppression complète sous 30 jours, sauf obligations légales (factures Stripe : 10 ans).
Logs de sécurité (accès aux documents, IP) : 12 mois.
Cookies : durée maximale 13 mois.

5. Avec qui partageons-nous vos données ?

Nous utilisons les sous-traitants suivants, tous sous contrat de traitement (DPA) conforme RGPD :

Supabase (instance hébergée en région UE, eu-west-1, Irlande) : base de données, authentification, stockage de fichiers.
Vercel (États-Unis, edges UE) : hébergement de l'application web. Transferts hors UE encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne.
Stripe (Irlande pour l'UE) : paiements et facturation Stripe Connect.
Resend (États-Unis) : envoi d'emails transactionnels et de la newsletter hebdomadaire. Transferts encadrés par CCT.
Cloudflare (États-Unis) : service Turnstile (CAPTCHA anti-bot à l'inscription). Aucun cookie de tracking. Transferts encadrés par CCT.
Sentry (États-Unis) : monitoring d'erreurs (données techniques uniquement, masquage des champs sensibles). Transferts encadrés par CCT.
Google Ireland Limited (Irlande) : service de connexion « Google Sign-In », uniquement si vous choisissez de vous connecter avec votre compte Google (voir section 6). Nous recevons vos nom, email et photo de profil ; aucune autre donnée Google n'est collectée.
API Sirene (INSEE) (France) : vérification automatique du SIRET des organisateurs.
Anthropic (États-Unis) : assistance IA (modèles Claude) pour les fonctionnalités optionnelles (aide à la rédaction de profils exposants, critique de candidatures, suggestions d'exposants pour les organisateurs Pro, génération de plan de salle). Les données transmises sont uniquement les textes saisis par l'utilisateur dans la fonctionnalité concernée. Anthropic s'engage à ne pas entraîner ses modèles sur les données reçues via l'API. Transferts encadrés par CCT.

Pour la mesure d'audience, nous utilisons :

une mesure interne, anonyme et sans cookie, hébergée sur notre propre base (Supabase, UE) : comptage des visites et des pages, sans identifiant publicitaire ni partage avec un tiers ;
Vercel Analytics (États-Unis) : mesure d'audience complémentaire (Web Vitals, visites), activée uniquement après votre consentement « audience » via le bandeau cookies. Transferts encadrés par CCT.

Aucune donnée n'est jamais vendue à des tiers à des fins commerciales.

6. Connexion avec Google (Google Sign-In)

OuSortir.me propose la connexion et l'inscription via votre compte Google (bouton « Continuer avec Google »). Ce service est facultatif : vous pouvez toujours créer un compte avec une simple adresse email et un mot de passe, sans passer par Google.

Données Google auxquelles nous accédons

Lorsque vous choisissez de vous connecter avec Google, nous demandons uniquement les autorisations de base (périmètres non sensibles openid, email et profile). Google nous transmet alors :

votre adresse email ;
votre nom d'affichage (nom et prénom associés à votre compte Google) ;
votre photo de profil Google (URL de l'image) ;
l'identifiant unique de votre compte Google.

Nous n'accédons à aucune autre donnée Google : ni vos emails Gmail, ni vos contacts, ni votre agenda, ni vos fichiers Google Drive. Aucun périmètre sensible ou restreint n'est demandé.

Comment nous utilisons ces données

créer votre compte OuSortir.me et vous authentifier lors de vos connexions suivantes ;
pré-remplir votre nom d'affichage et votre photo de profil, que vous pouvez ensuite modifier.

Ces données ne servent à rien d'autre : aucune publicité, aucune revente, aucun profilage.

Conservation et partage

Ces données sont stockées dans notre base hébergée dans l'Union européenne (Supabase, Irlande), exactement comme les informations d'un compte créé par email. Elles ne sont ni vendues, ni partagées avec des tiers à des fins publicitaires, et sont supprimées lorsque vous supprimez votre compte (voir section 4).

Conformité à la politique Google (Limited Use)

L'utilisation et le transfert par OuSortir.me des informations reçues des API Google respectent la Règle relative aux données utilisateur des services API Google (Google API Services User Data Policy), y compris ses exigences d'utilisation limitée (Limited Use).

Révoquer l'accès

Vous pouvez à tout moment retirer l'accès de OuSortir.me à votre compte Google depuis les paramètres de sécurité de votre compte Google (myaccount.google.com, section « Applications tierces ayant accès à votre compte »). Vous pouvez également supprimer entièrement votre compte OuSortir.me depuis vos paramètres.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Accès à vos données
Rectification de données inexactes
Effacement (« droit à l'oubli »)
Limitation du traitement
Portabilité (export de vos données)
Opposition au traitement
Retrait du consentement à tout moment

Pour exercer ces droits : contact@ousortir.me. Nous répondons sous 30 jours maximum.

En cas de litige, vous pouvez saisir la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

8. Âge minimum d'inscription

OuSortir.me est destiné à un public majeur ou mineur d'au moins 15 ans, conformément à la position de la CNIL sur le consentement numérique des mineurs (article 8 du RGPD transposé en France). En créant un compte, vous certifiez avoir au moins 15 ans. Si vous avez moins de 15 ans, l'inscription requiert le consentement explicite d'un titulaire de l'autorité parentale, à transmettre à contact@ousortir.me avant toute création de compte. À défaut, OuSortir.me se réserve le droit de supprimer le compte concerné sur signalement.

9. Sécurité

Les mots de passe sont hachés (jamais stockés en clair). Les documents sensibles sont stockés dans des buckets privés avec URLs signées à expiration courte (5 minutes). Tous les accès aux documents sont tracés. Les communications passent en HTTPS.

10. Modifications

Cette politique peut évoluer. Toute modification substantielle sera notifiée par email aux utilisateurs inscrits.