Aller au contenu principal
Bêta
Début du contenu principal

Politique de confidentialité

OuSortir.me - Dernière mise à jour : 14 octobre 2026

1. Qui est responsable du traitement ?

Le responsable de traitement est Améline Gérard, entrepreneur individuel, éditrice du site OùSortir.me.

  • SIRET : 907 893 937 00017
  • Adresse postale : Chambre de Métiers et de l'Artisanat de Loire-Atlantique, 5 Allée des Liards, 44981 Saint-Herblain Cedex 1
  • Email : contact@ousortir.me

Pour toute question relative à vos données ou l'exercice de vos droits : contact@ousortir.me.

2. Quelles données collectons-nous ?

La plateforme distingue trois rôles, chacun avec des données spécifiques :

Visiteur

  • Email, nom d'affichage, ville (optionnel)
  • Centres d'intérêt déclarés à l'inscription, photo de profil (optionnelle)
  • Préférences de notification, événements favoris, alertes géolocalisées
  • Inscription à la newsletter hebdomadaire (consentement séparé, non pré-coché à l'inscription, désabonnement 1-clic dans chaque email)
  • Subscriptions de notifications push (endpoint navigateur + clés de chiffrement) si l'utilisateur active les notifications dans ses paramètres
  • Photos uploadées sur les fiches événements (si participant)
  • Données techniques de connexion (IP, user-agent)

Abonné au digest local (sans compte)

  • Adresse email et département choisi, collectés via le formulaire « Recevez les sorties près de chez vous » des pages géographiques (avec la page d'origine de l'inscription)
  • Base légale : consentement, confirmé par double opt-in (aucun envoi sans clic sur le lien de confirmation reçu par email)
  • Usage exclusif : l'email hebdomadaire des sorties du département. Désabonnement en 1 clic dans chaque email
  • Conservation : les inscriptions jamais confirmées sont supprimées automatiquement après 30 jours

Exposant

  • Identifiants (email, mot de passe haché par Supabase Auth)
  • Profil métier : nom commercial, description, photos
  • Coordonnées professionnelles : adresse, téléphone, ville, département, région
  • Documents professionnels (Pro uniquement) : SIRET, Kbis, attestation RC Pro, contrats, stockés dans un coffre privé
  • Candidatures et messages avec les organisateurs

Votre profil exposant (nom commercial, ville, catégories, description, photos et réseaux) est public dès qu'il est complété : il est visible de tous sur le site et peut apparaître dans les moteurs de recherche. Vos documents, votre téléphone et votre adresse email ne sont jamais publics.

Organisateur

  • Identifiants, nom de l'organisation, contact
  • Pour la facturation Stripe Connect : informations légales de l'organisation (SIRET, RIB), gérées par Stripe
  • Événements créés, candidatures gérées, messages

Organisateurs d'événements

Les événements présents sur OuSortir.me ont deux origines. Les organisateurs publient eux-mêmes les leurs sur la plateforme, pour les faire connaître du public et trouver des exposants. Nous référençons aussi des manifestations publiées sur des sources publiques (agendas des offices de tourisme, DATAtourisme, OpenAgenda, sites des communes). Pour ces dernières, nous pouvons traiter le nom de la manifestation, celui de l'organisateur et l'adresse email de contact qu'il a lui-même publiée. Finalités : informer le public et proposer à l'organisateur de reprendre la gestion de sa fiche, pour la compléter et, s'il le souhaite, recevoir des candidatures d'exposants. Base légale : notre intérêt légitime à faire connaître les événements locaux. Vous pouvez vous y opposer à tout moment en répondant « stop » à notre message ou en écrivant à contact@ousortir.me : la fiche est alors retirée ou anonymisée.

Prospection auprès des professionnels

Nous pouvons contacter par email des professionnels (offices de tourisme, collectivités, organisateurs) à l'adresse qu'ils publient, pour leur présenter OuSortir.me. Base légale : intérêt légitime. Chaque message permet de s'opposer à tout nouvel envoi. Ces données sont conservées au plus 3 ans après le dernier contact.

3. Sur quelle base légale ?

  • Exécution du contrat (art. 6.1.b RGPD) : pour fournir le service auquel vous vous êtes inscrit (gestion de candidatures, messagerie, dashboards).
  • Consentement (art. 6.1.a RGPD) : pour les cookies non essentiels et l'envoi d'emails marketing.
  • Intérêt légitime (art. 6.1.f RGPD) : pour la sécurité de la plateforme (logs d'accès, détection d'abus).
  • Obligation légale (art. 6.1.c RGPD) : pour la comptabilité (facturation Stripe) et la lutte contre la fraude.

4. Combien de temps conservons-nous vos données ?

  • Compte actif : tant que votre compte est ouvert.
  • Compte supprimé : le compte est bloqué dès la demande et effacé sept jours plus tard, délai pendant lequel vous pouvez annuler depuis le lien reçu par email. Restent ensuite, sans votre nom, les pièces qu'une obligation légale nous impose de garder (pièces de paiement : 10 ans) et la trace de votre demande.
  • Logs de sécurité (accès aux documents, IP) : 12 mois.
  • Cookies : durée maximale 13 mois.

5. Avec qui partageons-nous vos données ?

Nous utilisons les sous-traitants suivants, tous sous contrat de traitement (DPA) conforme RGPD :

  • Supabase Pte. Ltd (Singapour) : base de données, authentification, stockage de fichiers. Les données sont hébergées en région Union européenne (eu-west-1, Irlande). Tout accès ou traitement depuis l'extérieur de l'Union européenne par ce prestataire ou ses sous-traitants est encadré par les clauses contractuelles types de la Commission européenne (décision 2021/914, module 2).
  • Vercel (États-Unis, edges UE) : hébergement de l'application web. Transferts hors UE encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne.
  • Stripe (Irlande pour l'UE) : paiements et facturation Stripe Connect.
  • Brevo (Sendinblue SAS, France) : envoi des emails transactionnels, des relances et des lettres d'information.
  • Resend (États-Unis) : envoi d'emails de secours. Transferts encadrés par CCT.
  • Uniquement si vous l'acceptez dans le bandeau des cookies : Meta Platforms Ireland Ltd (Irlande), pixel Meta, pour mesurer l'efficacité de nos publicités et vous en proposer de pertinentes sur Facebook et Instagram. Des données peuvent être transférées à Meta Platforms Inc. (États-Unis), dans le cadre du Data Privacy Framework UE-États-Unis et des CCT.
  • Uniquement si vous l'acceptez dans le bandeau des cookies : Google Ireland Limited (Irlande), balises Google Ads et Google Analytics, pour les mêmes finalités. Des données peuvent être transférées à Google LLC (États-Unis), dans le cadre du Data Privacy Framework UE-États-Unis et des CCT.
  • Cloudflare (États-Unis) : service Turnstile (CAPTCHA anti-bot à l'inscription). Aucun cookie de tracking. Transferts encadrés par CCT.
  • Sentry (États-Unis) : monitoring d'erreurs (données techniques uniquement, masquage des champs sensibles). Transferts encadrés par CCT.
  • Google Ireland Limited (Irlande) : service de connexion « Google Sign-In », uniquement si vous choisissez de vous connecter avec votre compte Google (voir section 6). Nous recevons vos nom, email et photo de profil ; aucune autre donnée Google n'est collectée.
  • API Sirene (INSEE) (France) : vérification automatique du SIRET des organisateurs.
  • Anthropic (États-Unis) : assistance IA (modèles Claude) pour les fonctionnalités optionnelles (aide à la rédaction de profils exposants, critique de candidatures, suggestions d'exposants pour les organisateurs Pro, génération de plan de salle). Les données transmises sont uniquement les textes saisis par l'utilisateur dans la fonctionnalité concernée. Anthropic s'engage à ne pas entraîner ses modèles sur les données reçues via l'API. Transferts encadrés par CCT.

Pour la mesure d'audience, nous utilisons :

  • une mesure interne, anonyme et sans cookie, hébergée sur notre propre base (Supabase, UE) : comptage des visites et des pages, sans identifiant publicitaire ni partage avec un tiers ;
  • Vercel Analytics (États-Unis) : mesure d'audience complémentaire (Web Vitals, visites), activée uniquement après votre consentement « audience » via le bandeau cookies. Transferts encadrés par CCT.

Aucune donnée n'est jamais vendue à des tiers à des fins commerciales.

6. Connexion avec Google (Google Sign-In)

OuSortir.me propose la connexion et l'inscription via votre compte Google (bouton « Continuer avec Google »). Ce service est facultatif : vous pouvez toujours créer un compte avec une simple adresse email et un mot de passe, sans passer par Google.

Données Google auxquelles nous accédons

Lorsque vous choisissez de vous connecter avec Google, nous demandons uniquement les autorisations de base (périmètres non sensibles openid, email et profile). Google nous transmet alors :

  • votre adresse email ;
  • votre nom d'affichage (nom et prénom associés à votre compte Google) ;
  • votre photo de profil Google (URL de l'image) ;
  • l'identifiant unique de votre compte Google.

Nous n'accédons à aucune autre donnée Google : ni vos emails Gmail, ni vos contacts, ni votre agenda, ni vos fichiers Google Drive. Aucun périmètre sensible ou restreint n'est demandé.

Comment nous utilisons ces données

  • créer votre compte OuSortir.me et vous authentifier lors de vos connexions suivantes ;
  • pré-remplir votre nom d'affichage et votre photo de profil, que vous pouvez ensuite modifier.

Ces données ne servent à rien d'autre : aucune publicité, aucune revente, aucun profilage.

Conservation et partage

Ces données sont stockées dans notre base hébergée dans l'Union européenne (Supabase, Irlande), exactement comme les informations d'un compte créé par email. Elles ne sont ni vendues, ni partagées avec des tiers à des fins publicitaires, et sont supprimées lorsque vous supprimez votre compte (voir section 4).

Conformité à la politique Google (Limited Use)

L'utilisation et le transfert par OuSortir.me des informations reçues des API Google respectent la Règle relative aux données utilisateur des services API Google (Google API Services User Data Policy), y compris ses exigences d'utilisation limitée (Limited Use).

Révoquer l'accès

Vous pouvez à tout moment retirer l'accès de OuSortir.me à votre compte Google depuis les paramètres de sécurité de votre compte Google (myaccount.google.com, section « Applications tierces ayant accès à votre compte »). Vous pouvez également supprimer entièrement votre compte OuSortir.me depuis vos paramètres.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

  • Accès à vos données
  • Rectification de données inexactes
  • Effacement (« droit à l'oubli »)
  • Limitation du traitement
  • Portabilité (export de vos données)
  • Opposition au traitement
  • Retrait du consentement à tout moment

Pour exercer ces droits : contact@ousortir.me. Nous répondons sous 30 jours maximum.

En cas de litige, vous pouvez saisir la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

8. Âge minimum d'inscription

L'inscription est ouverte à partir de 15 ans. En dessous de 15 ans, l'inscription n'est possible qu'avec l'accord conjoint du mineur et de ses représentants légaux (article 45 de la loi Informatique et Libertés), à transmettre à contact@ousortir.me. À défaut de cet accord, le compte est supprimé.

9. Sécurité

Les mots de passe sont hachés (jamais stockés en clair). Les documents sensibles sont stockés dans des buckets privés avec URLs signées à expiration courte (5 minutes). Tous les accès aux documents sont tracés. Les communications passent en HTTPS.

10. Modifications

Cette politique peut évoluer. Toute modification substantielle sera notifiée par email aux utilisateurs inscrits.