Confidentialité
Politique de protection des données personnelles conforme au Règlement Général sur la Protection des Données (RGPD) — Règlement (UE) 2016/679.
João Bernardo Silva
Funchal, Madeira, Portugal
Email : contact@octoplus.co
| Donnée | Finalité | Base légale | Durée |
|---|---|---|---|
| Email, prénom, photo (Google OAuth) — ou email + mot de passe | Authentification au compte OctoSurf | Exécution du contrat | Durée de vie du compte |
| Préférences (thème, langue) | Personnalisation de l'interface | Consentement | Durée de vie du compte |
| Localisation GPS (opt-in Guardian) | Sécurité session surf — alertes d'urgence | Consentement explicite | Positions en direct : sur ton appareil uniquement, jamais enregistrées. Position de départ (si le GPS est activé), contact d'urgence, spot et horaires : sur nos serveurs (contact et position chiffrés), supprimés dans les 48 h suivant la fin de la session. Une session jamais clôturée est conservée jusqu'à sa clôture. Les copies de sauvegarde du serveur sont conservées au plus 30 jours (90 jours pour les instantanés de restauration) |
| Données de réservation | HOOK stamps de réservation moniteur/location | Exécution du contrat | 90 jours après la session |
| Journaux de connexion (IP, User-Agent) | Sécurité, détection d'abus | Intérêt légitime | 30 jours |
| Événements d'usage (pseudonymisés) | Mesure d'audience — pages vues, funnel | Intérêt légitime / Consentement (voir Analytique) | Rotation à 10 Mo |
Deux méthodes de connexion sont proposées : Google OAuth (OctoSurf ne voit jamais votre mot de passe Google), ou email + mot de passe. Dans ce second cas, le mot de passe n'est jamais stocké en clair : il est haché avec scrypt et un sel aléatoire propre à chaque compte, et comparé en temps constant à la connexion dans notre base de comptes. OctoSurf ne peut techniquement pas retrouver votre mot de passe.
Quand la facturation est activée pour un produit (OctoSurf, à compter du 1 août 2026), les paiements sont traités par Stripe Payments Europe Ltd, notre sous-traitant de paiement. OctoSurf ne reçoit, ne voit ni ne stocke jamais votre numéro de carte bancaire — celui-ci est saisi directement chez Stripe. Tant que la facturation n'est pas activée pour un produit donné, aucun moyen de paiement n'est collecté.
OctoSurf utilise OctoTrack, une mesure d'audience first-party sans cookie (le compteur de pages vues), et un journal d'événements d'usage anonymisé dans lequel votre identifiant utilisateur, quand il est présent, est haché à sens unique — jamais stocké en clair. Ce journal est plafonné à 10 Mo par fichier avec rotation. Le compteur de pages vues (essentiel, sans cookie) fonctionne sans consentement. Les événements d'usage envoyés depuis votre navigateur (pages produit consultées, clics sur les offres) ne sont transmis que si vous avez accepté la catégorie "analytique" décrite dans la Politique cookies ; à défaut, rien n'est envoyé. Les événements strictement opérationnels générés côté serveur (création de compte, état d'un abonnement) sont enregistrés indépendamment de ce choix : ils sont nécessaires à l'exécution du service et à nos obligations comptables.
octoDEEP — quand cette ambiance d'affichage est activée, OctoSurf envoie au serveur des compteurs anonymes quotidiens (variante d'affichage et événements de session : démarrage, fin, sortie d'une session) — sans identifiant, sans adresse IP conservée, jamais reliés à votre compte. Ces compteurs sont stockés sur le serveur d'OctoSurf, en Europe (Hetzner, Falkenstein), sans tiers.
OctoSurf ne collecte ni ne stocke jamais : le numéro de carte bancaire (géré uniquement par Stripe, voir Paiements), le mot de passe en clair (voir Authentification), les données biométriques, les données de mineurs (18+ requis), les données de santé (les données HRV ne sont jamais transmises au serveur — traitement local uniquement).
| Prestataire | Rôle | Pays |
|---|---|---|
| Google LLC (OAuth) | Authentification | USA — Clauses contractuelles types |
| Google LLC (Google Fonts) | Police d'icônes, uniquement avec le consentement « Préférences » — adresse IP uniquement | USA — Clauses contractuelles types |
| OpenStreetMap Foundation | Fonds de carte (tuiles) — adresse IP uniquement | Royaume-Uni / UE |
| Stormglass API | Données météo/swell | Suède (EU) |
| Stripe Payments Europe Ltd | Traitement des paiements (actif uniquement une fois la facturation activée) | Irlande (EU) |
| Hetzner Online GmbH | Hébergement | Allemagne (EU) — Datacenter Falkenstein |
Pour exercer vos droits : contact@octoplus.co. Réponse sous 30 jours. En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (France) ou de la CNPD (Portugal).
Les données en transit sont chiffrées via TLS 1.3. Les HOOK stamps utilisent une empreinte SHA-256 ; architecture conçue pour ML-DSA (NIST FIPS 204), en cours. Les tokens d'authentification sont stockés en httpOnly cookies. Aucun mot de passe n'est jamais stocké en clair — voir Authentification et mots de passe ci-dessus.
Voir la Politique cookies.
Dernière mise à jour : 7 octobre 2026