Politique de confidentialité

Qui est responsable

Le responsable du traitement est Louis Gerard, joignable à l'adresse contact@otterdate.fr.

Revenir au sommaire

Ce qui est collecté

• Votre adresse e-mail, pour créer votre compte et vous y reconnecter.
• Votre mot de passe, jamais conservé tel quel : seule une empreinte irréversible est stockée. Quand vous en choisissez un, le serveur vérifie qu'il ne figure pas dans les fuites de données connues (service Have I Been Pwned) : seuls les cinq premiers caractères d'une empreinte partent, jamais le mot de passe ni votre adresse, et rien ne permet de vous identifier.
• Le prénom et la couleur que vous choisissez pour vous afficher. Vous êtes libre d'indiquer un surnom.
• Vos séances : intitulé, date, horaires, catégorie, et si vous les renseignez, lieu et notes.
• Les listes de tâches que vous écrivez sur une séance : le texte de chaque tâche, si elle est faite, et son rang. Elles n'ont pas d'auteur : sur une séance à deux, l'un écrit, l'autre coche.
• Les mots que vous laissez sur une journée.
• La trace du rituel : pour chaque jour, combien de mots ont été laissés et si vous en avez laissé un chacun, sans leur contenu ni leur auteur. C'est elle qui garde la flamme quand les mots sont effacés.
• Le nom et la tenue de la loutre de votre espace, choisis à deux et visibles de vous deux.
• Les couleurs que vous composez en plus de celles fournies. Elles appartiennent à votre espace, pour que vous les retrouviez sur tous vos appareils et que l'autre les voie aussi.
• Les codes d'invitation erronés ou refusés que vous saisissez, comptés au plus vingt-quatre heures pour empêcher quelqu'un d'essayer tous les codes jusqu'à entrer dans un espace qui n'est pas le sien.
• Les blocages : si vous bloquez quelqu'un, nous gardons seulement que votre compte a bloqué le sien, et à quelle date — ni son prénom, ni son adresse, ni la raison. Vous êtes seul à voir cette date ; la personne bloquée n'est pas prévenue et ne peut pas la lire.
• Les signalements : si vous signalez quelqu'un, nous gardons le motif que vous choisissez, ce que vous avez écrit (500 caractères au plus), la date, et une copie du texte de l'élément signalé — un mot du jour ou un prénom — faite à l'instant du signalement, parce que son auteur peut l'effacer ensuite. Les identifiants des deux comptes y sont attachés. Vous ne retrouvez que votre part (le motif, la date, votre texte, et si le signalement est en cours ou traité) ; la personne signalée ne peut rien lire. Pour que vous puissiez signaler quelqu'un qui est parti ou qui vous a bloqué, nous gardons quatre-vingt-dix jours le fait que vous avez partagé un espace : deux identifiants de compte et une date, sans aucun contenu.
• Des journaux techniques, tenus automatiquement par notre serveur : votre adresse IP, la date et l'heure, le type de requête et, pour chaque connexion, l'identifiant et l'adresse e-mail du compte. Ils servent à repérer une attaque et à comprendre une panne, jamais à suivre votre navigation. C'est nous qui les tenons, sur notre serveur en France, et personne d'autre ne les reçoit. Ils sont conservés un an, puis effacés.

Il n'y a ni publicité, ni traceur, ni outil de mesure d'audience. Votre navigation n'est pas suivie, et aucune donnée n'est revendue ni transmise à des tiers à des fins commerciales.

Revenir au sommaire

Pourquoi, et sur quelle base

Ces données servent uniquement à faire fonctionner le service que vous avez demandé : afficher votre planning et celui de la personne avec qui vous le partagez. La base légale est l'exécution du contrat formé par les conditions d'utilisation.

Cinq traitements reposent sur une autre base, l'intérêt légitime, et méritent d'être nommés :

• La sécurité du service : compter les codes d'invitation erronés. L'intérêt poursuivi est d'empêcher quelqu'un d'essayer les codes en série jusqu'à entrer dans l'espace d'un autre couple.
• La protection de qui bloque : garder la trace d'un blocage, pour que la personne bloquée ne puisse plus rejoindre l'espace de celle qui l'a bloquée, ni l'inverse. L'intérêt poursuivi est la sécurité et la tranquillité de la personne qui bloque. C'est aussi pourquoi la personne bloquée n'en est pas avertie : la prévenir lui dirait qui l'a bloquée.
• La protection contre les abus : recevoir un signalement, l'examiner et y répondre. L'intérêt poursuivi est la sécurité des personnes qui utilisent le service, et le retrait des contenus illicites que la loi et les magasins d'applications exigent. Un signalement n'a aucun effet automatique : il est lu et décidé par l'éditeur, et la personne signalée n'en est pas prévenue pendant l'examen. Si une mesure est prise contre elle, elle en est informée avec son motif et les voies de recours, sans que soit dit qui a signalé.
• La continuité du service : les sauvegardes de la base, décrites plus bas. L'intérêt poursuivi est de pouvoir vous rendre vos données après une panne ou une fausse manœuvre, plutôt que de vous les perdre.
• Les journaux techniques décrits plus haut : l'intérêt poursuivi est de repérer une attaque et de diagnostiquer une panne.

Vous pouvez vous opposer à ces traitements en écrivant à contact@otterdate.fr, en expliquant votre situation particulière.

Revenir au sommaire

Qui peut les voir

Aucun autre compte ne peut lire votre espace. La règle est appliquée par la base de données elle-même, à chaque requête : un autre compte n'obtient rien, même en connaissant l'identifiant de votre espace.

Une chose que cette règle ne couvre pas, et qu'il vaut mieux dire : l'éditeur du service, qui administre lui-même le serveur, et l'hébergeur de ce serveur ont un accès technique à la base, comme partout ailleurs. Il ne sert qu'à faire fonctionner et réparer le service, ou si la loi l'exige. Vos séances et vos mots ne sont ni lus par curiosité, ni analysés, ni exploités à une autre fin.

Avant de rejoindre un espace, une personne munie du code d'invitation voit uniquement le prénom d'affichage et la couleur de la personne qui l'attend — rien de vos séances.

Un signalement est lu par l'éditeur seul, qui y répond sous sept jours. Il n'est transmis à personne, sauf à l'autorité judiciaire quand la loi l'impose ou sur réquisition.

Revenir au sommaire

Où elles sont hébergées

• OVH SAS — Hébergement du site et de la base de données. 2 rue Kellermann, 59100 Roubaix, France. Serveur situé à Strasbourg
• GitHub, Inc. (Microsoft) — Conservation des sauvegardes chiffrées de la base. 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, États-Unis

Deux autres prestataires interviennent, sans héberger le planning :

• Resend — envoi des liens de confirmation et de réinitialisation, et des codes de vérification pour changer de mot de passe. Il reçoit votre adresse e-mail et le contenu de ces messages, ainsi que les informations techniques de remise que tout service d'envoi enregistre. Les messages partent d'Irlande ; Resend en garde la trace aux États-Unis (voir plus bas). Elle sert aussi à prévenir l'éditeur qu'un signalement est arrivé : ce message ne contient qu'un nombre, jamais le contenu ni un nom.
• OVH SAS — hébergement de la boîte de contact, en France. Il reçoit ce que vous nous écrivez, si vous nous écrivez.

Depuis le 25 septembre 2026, le site et la base de données sont hébergés en France, sur un serveur OVH situé à Strasbourg, que nous administrons nous-mêmes. Les échanges entre votre appareil et ce serveur sont chiffrés (HTTPS).

Ce déménagement a supprimé les transferts hors de l'Union européenne liés à l'hébergement : le site n'est plus servi par Vercel, aux États-Unis, et la base n'est plus exploitée par Supabase, société singapourienne. Deux flux sortent encore de l'Union :

• L'envoi des e-mails par Resend (Plus Five Five, Inc.). Les messages partent de serveurs situés en Irlande, mais Resend en conserve une copie, avec ses journaux, aux États-Unis. Resend est inscrit sur la liste du cadre de protection des données UE–États-Unis, que la Commission européenne reconnaît comme offrant un niveau de protection adéquat (décision du 10 juillet 2023) ; nous avons vérifié cette inscription le 3 novembre 2026. Son contrat de sous-traitance, qui s'applique à notre compte depuis le 24 septembre 2026, comporte en outre les clauses contractuelles types de la Commission européenne.
• Les sauvegardes de la base, déposées chaque nuit chez GitHub, Inc. aux États-Unis. Elles sont chiffrées sur le serveur avant de partir, avec une clé qui n'est pas envoyée à GitHub : il ne peut pas les lire. Il n'en a pas toujours été ainsi : jusqu'au 28 octobre 2026, la clé lui était aussi confiée, et jusqu'au 28 septembre une machine de GitHub déchiffrait chaque copie quelques instants pour la vérifier. Les copies faites jusqu'au 28 octobre restent donc ouvrables avec cette ancienne clé, que GitHub a détenue, jusqu'à leur effacement automatique, au plus tard le 26 janvier 2027. Elles contiennent les comptes, adresses e-mail, empreintes des mots de passe, séances, mots et listes de tâches.

Une copie figée de l'ancienne base, arrêtée au 25 septembre 2026, reste chez Supabase le temps de vérifier la nouvelle installation. Plus rien n'y est écrit, et elle sera ensuite effacée.

Revenir au sommaire

Combien de temps

Vos données sont conservées tant que votre compte existe. Une séance supprimée rejoint une corbeille, d'où vous pouvez la récupérer pendant trente jours ; passé ce délai, elle est effacée. Sa liste de tâches la suit : elle attend avec elle dans la corbeille et revient avec elle. Une tâche retirée d'une liste, elle, est effacée tout de suite, sans corbeille.

Chez Resend, les messages envoyés et leurs informations de remise sont gardés trente jours, puis effacés.

Un compte resté deux ans sans aucune connexion est considéré comme abandonné : il est supprimé, avec tout ce qu'il contient. Un courriel vous prévient un mois avant, le temps de vous reconnecter si vous voulez le garder, ou de récupérer une copie de vos données.

Lorsque vous supprimez votre compte, vos séances, vos mots, votre compte, le journal de vos connexions et la trace du rituel de votre espace sont effacés immédiatement et définitivement de la base. Aucune copie n'est conservée à des fins commerciales.

Quitter un espace produit le même effet sur ce que vous y avez écrit : vos séances et vos mots y sont effacés immédiatement et définitivement, sans passer par la corbeille. Ceux de l'autre personne restent, l'espace est le sien aussi — à une exception près : une séance à deux que vous aviez proposée vous appartient, elle part donc avec vous et disparaît aussi de son planning. Les couleurs que vous aviez composées, elles, restent à l'espace — elles peuvent habiller ses catégories, et les faire disparaître changerait son planning sans qu'il l'ait demandé ; le lien avec vous, lui, est effacé. Il en va de même du nom et de la tenue de la loutre, qui restent à l'espace. Les listes de tâches suivent leur séance : celles écrites sur vos séances partent avec elles, celles écrites sur une séance de l'autre personne restent avec la sienne. La trace du rituel, qui dit aussi ce que vous avez fait, est effacée : la flamme de l'espace repart de zéro. Votre compte continue d'exister.

Bloquer quelqu'un, c'est quitter l'espace, comme si vous le quittiez : que vous quittiez ou que vous bloquiez l'autre personne, vous choisissez de garder ou non vos propres séances et vos mots. Si vous les gardez, ils passent dans un nouvel espace, à vous seul, avec une copie des catégories ; sinon ils sont effacés immédiatement et définitivement. Les séances à deux que vous aviez proposées sont supprimées dans tous les cas, avec leurs listes de tâches, sans passer par la corbeille, et disparaissent du planning de l'autre personne. Elle garde ce qui est à elle, la loutre, son nom et sa tenue, et les couleurs composées. La trace du rituel de l'ancien espace est effacée, et la flamme repart de zéro des deux côtés. Le blocage lui-même est gardé tant que vous ne le levez pas et que vos deux comptes existent ; il est effacé quand vous débloquez, ou quand l'un de vous deux supprime son compte. Comme toute donnée supprimée, il peut subsister jusqu'à quatre-vingt-dix jours dans les sauvegardes.

Un signalement classé sans suite perd, deux mois après la décision, ce qui avait été écrit, la copie de l'élément et le lien avec les deux comptes : il ne reste qu'une ligne sans nom (motif, dates, issue), effacée un an après. Quand une mesure a été prise, tout est conservé un an après la décision. Quand l'autorité judiciaire est saisie, ou en cas de litige, tout est conservé jusqu'à la fin de la procédure. Supprimer votre compte n'efface pas un signalement : il survit, détaché de vous, pour qu'effacer un compte ne serve pas à faire disparaître ce qu'il a signalé ou ce qui a été signalé contre lui. Comme toute donnée, un signalement effacé peut subsister jusqu'à quatre-vingt-dix jours dans les sauvegardes.

Si vous nous écrivez à notre adresse de contact, votre message est conservé un an après la fin de l'échange, et trois ans s'il s'agit d'une demande concernant vos données — ce délai nous permet de prouver que nous y avons répondu.

Les journaux techniques sont conservés un an, puis effacés.

Pour pouvoir tout rétablir après une erreur ou une panne, la base existe aussi en copie :

• une image quotidienne du serveur chez OVH, en France, gardée sept jours ;
• une copie chiffrée faite chaque nuit sur le serveur, gardée sept jours, dont GitHub reçoit un exemplaire gardé quatre-vingt-dix jours au plus ;
• une copie chiffrée hors ligne du jour de la migration, tenue par l'éditeur, détruite dès qu'une sauvegarde partie du serveur a été restaurée avec succès, et au plus tard quatre-vingt-dix jours après avoir été faite.

Une donnée supprimée peut donc subsister dans ces copies jusqu'à quatre-vingt-dix jours. Elles ne sont ouvertes que pour vérifier, chaque nuit, qu'elles pourront servir, et en cas de restauration ; elles ne servent à rien d'autre.

Revenir au sommaire

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité et d'opposition. Deux d'entre eux s'exercent directement depuis l'application, sans rien demander à personne :

• Récupérer vos données : un export complet au format JSON, depuis l'onglet Compte. Il contient la date de vos blocages, sans rien qui désigne la personne bloquée, et vos propres signalements (motif, date, votre texte, état). Le texte copié de l'élément signalé et l'identité de la personne signalée n'y sont pas : ce sont des données d'une autre personne.
• Supprimer votre compte et tout ce qu'il contient, depuis le même onglet.

Pour les autres, écrivez à contact@otterdate.fr. Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL (www.cnil.fr).

Vous pouvez aussi décider de ce que deviendront vos données après votre décès : les conserver, les effacer ou les communiquer. Ces directives sont générales — enregistrées auprès d'un tiers de confiance certifié par la CNIL, elles valent pour l'ensemble de vos données — ou particulières à OtterDate, et dans ce cas à adresser à contact@otterdate.fr ; accepter les conditions d'utilisation ne suffit pas à les former. À défaut de directives, vos héritiers peuvent nous demander de faire le nécessaire, en justifiant de leur qualité.

Revenir au sommaire

Âge minimum

Le service est réservé aux personnes de 16 ans ou plus. À l'inscription, nous vous demandons votre date de naissance pour le vérifier : elle est contrôlée, puis effacée, nous ne la gardons pas. Nous conservons seulement l'instant où vous avez déclaré avoir l'âge requis. Nous gardons aussi la version des conditions d'utilisation affichée à l'inscription et l'instant de l'inscription, pour pouvoir prouver ce que vous avez accepté, aussi longtemps que votre compte existe.

Revenir au sommaire

Cookies

OtterDate n'utilise que le strict nécessaire pour vous garder connecté d'une visite à l'autre, ainsi qu'un stockage local pour vos préférences d'affichage et pour le chronomètre de travail, qui ne quitte jamais votre appareil. Si vous ouvrez un lien d'invitation, le code qu'il contient reste sur votre appareil vingt-quatre heures au plus, le temps de confirmer votre adresse dans votre messagerie, puis il est effacé dès que vous avez rejoint l'espace, que le code est refusé ou que vous vous déconnectez. Ce code est dans la partie de l'adresse que votre navigateur n'envoie jamais à nos serveurs. Aucun de ces éléments ne sert à vous pister, et aucun n'est transmis à un tiers — c'est pourquoi aucune bannière de consentement ne vous est imposée.

Revenir au sommaire