Confidentialité
Politique de protection des données personnelles conforme au Règlement Général sur la Protection des Données (RGPD) — Règlement (UE) 2016/679.
João Bernardo Silva
Funchal, Madeira, Portugal
Email : contact@octoplus.co
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Email, prénom, photo (Google OAuth) — ou email + mot de passe | Authentification au compte OctoSurf | Exécution du contrat | Durée de vie du compte |
| Préférences (thème, langue) | Personnalisation de l'interface | Consentement | Durée de vie du compte |
| Localisation GPS (opt-in Guardian) | Sécurité session surf — alertes d'urgence | Consentement explicite | Durée de la session uniquement |
| Données de réservation | HOOK stamps de réservation moniteur/location | Exécution du contrat | 90 jours après la session |
| Journaux de connexion (IP, User-Agent) | Sécurité, détection d'abus | Intérêt légitime | 30 jours |
| Événements d'usage (pseudonymisés) | Mesure d'audience — pages vues, funnel | Intérêt légitime / Consentement (voir Analytique) | Rotation à 10 Mo |
Deux méthodes de connexion sont proposées : Google OAuth (OctoSurf ne voit jamais votre mot de passe Google), ou email + mot de passe. Dans ce second cas, le mot de passe n'est jamais stocké en clair : il est haché avec scrypt et un sel aléatoire propre à chaque compte, et comparé en temps constant à la connexion (lib/db/users.ts). OctoSurf ne peut techniquement pas retrouver votre mot de passe.
Quand la facturation est activée pour un produit (carve-out OctoSurf à compter du 1 août 2026), les paiements sont traités par Stripe Payments Europe Ltd, notre sous-traitant de paiement. OctoSurf ne reçoit, ne voit ni ne stocke jamais votre numéro de carte bancaire — celui-ci est saisi directement chez Stripe. Tant que la facturation n'est pas activée pour un produit donné, aucun moyen de paiement n'est collecté.
OctoSurf utilise OctoTrack, une mesure d'audience first-party sans cookie (le compteur de pages vues), et un journal d'événements d'usage (data/events.jsonl, lib/db/events.ts) dans lequel votre identifiant utilisateur, quand il est présent, est haché à sens unique — jamais stocké en clair. Ce journal est plafonné à 10 Mo par fichier avec rotation. Le compteur de pages vues (essentiel, sans cookie) fonctionne sans consentement. Les événements d'usage envoyés depuis votre navigateur (pages produit consultées, clics sur les offres) ne sont transmis que si vous avez accepté la catégorie "analytique" décrite dans la Politique cookies ; à défaut, rien n'est envoyé. Les événements strictement opérationnels générés côté serveur (création de compte, état d'un abonnement) sont enregistrés indépendamment de ce choix : ils sont nécessaires à l'exécution du service et à nos obligations comptables.
OctoSurf ne collecte ni ne stocke jamais : le numéro de carte bancaire (géré uniquement par Stripe, voir Paiements), le mot de passe en clair (voir Authentification), les données biométriques, les données de mineurs (18+ requis), les données de santé (les données HRV ne sont jamais transmises au serveur — traitement local uniquement).
| Prestataire | Rôle | Pays |
|---|---|---|
| Google LLC (OAuth) | Authentification | USA — Clauses contractuelles types |
| OpenStreetMap Foundation | Fonds de carte (tuiles) — adresse IP uniquement | Royaume-Uni / UE |
| Stormglass API | Données météo/swell | Suède (EU) |
| Stripe Payments Europe Ltd | Traitement des paiements (actif uniquement une fois la facturation activée) | Irlande (EU) |
| Hetzner Online GmbH | Hébergement | Allemagne (EU) — Datacenter Falkenstein |
Pour exercer vos droits : contact@octoplus.co. Réponse sous 30 jours. En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (France) ou de la CNPD (Portugal).
Les données en transit sont chiffrées via TLS 1.3. Les HOOK stamps utilisent le protocole ML-DSA FIPS 204. Les tokens d'authentification sont stockés en httpOnly cookies. Aucun mot de passe n'est jamais stocké en clair — voir Authentification et mots de passe ci-dessus.
Voir la Politique cookies.
Dernière mise à jour : 2 septembre 2026