Politique de confidentialité

Dernière mise à jour : 15 septembre 2026.

Cette politique décrit les traitements de données actuellement prévus par Sortili. Le service est accessible en pré-lancement commercial ; les paiements LIVE et la vérification documentaire d’identité ne sont pas activés. Les traitements qui ne sont pas encore actifs sont indiqués comme tels.

Responsable du traitement

Responsable : À RENSEIGNER. Contact vie privée : À RENSEIGNER. Délégué à la protection des données, lorsqu’une désignation est requise ou décidée : À RENSEIGNER.

L’identité et les coordonnées complètes du responsable doivent être renseignées avant l’ouverture commerciale : elles ne sont pas remplacées par des données fictives (À RENSEIGNER).

Données collectées

• Compte. e-mail, mot de passe hashé ou identité fédérée, prénom
• Profil. ville, bio, âge optionnel, centres d’intérêt, avatar généré, téléphone e164 optionnel
• KYC / identité. statuts identity_status / kyc_status (vérification non branchée). Aucun document d’identité, pas de biométrie.
• Sorties. titre, lieu, horaires, participants, messages de groupe
• Liste d’attente. outing_id, statut waiting/invited/declined
• Réservations. places communautaires et tables partenaires (seat_bookings), montants en centimes, statut
• Paiements (ledger). brut / commission / net, applied_fee_percent, statut — pas de numéro de carte
• Avis. note, commentaire
• Signalements / blocages. motif, cible, statut de modération
• Professionnel. raison sociale, SIRET saisi (non contrôlé greffe), téléphone, e-mail Pro, offres, créneaux
• Géolocalisation. uniquement sur action « Autour de moi », 30 min en session, jamais serveur. Tuiles OSM/CARTO : le navigateur charge la bbox visible. Mapbox/Google absents. Position GPS non postée à Sortili.
• Journaux techniques. IP et user-agent de session (table session Better Auth) ; security_events (kind, user_id, contexte)
• Préférences. matching, notifications, avis cookies, favoris
• Demandes RGPD. tickets support privacy_access / limitation / opposition

Pour le compteur de présence en direct, Sortili traite également l’adresse IP publique au moment de la requête afin de dédupliquer les visiteurs et d’estimer le pays, la région et la ville. L’adresse IP complète n’est pas enregistrée dans la base de présence : elle est transformée en empreinte cryptographique et seule une version partiellement masquée peut être affichée à l’administrateur.

Sortili ne stocke pas de numéros complets de carte bancaire, de documents d’identité ni de biométrie.

Finalités et bases juridiques

• Exécution du contrat. compte, sorties, réservations, messages de groupe, paiement simulé ou réel lorsqu’activé — À VALIDER PAR PROFESSIONNEL
• Intérêt légitime. sécurité, prévention de la fraude, modération, conservation du ledger — À VALIDER PAR PROFESSIONNEL
• Obligation légale. conservation comptable du ledger lorsque des paiements réels existeront ; réponse à une autorité — À VALIDER PAR PROFESSIONNEL
• Consentement. géolocalisation à la demande ; connexion Google/X ; pas de cookies publicitaires aujourd’hui

La télémétrie de présence et sa géolocalisation IP approximative sont utilisées pour l’exploitation, la sécurité et la mesure opérationnelle de Sortili. Elles ne servent pas à fournir une position GPS précise ni à établir un profil public de l’utilisateur.

Traitements

• Compte. Créer et authentifier un compte, attribuer un rôle. Base : Exécution du contrat — À VALIDER PAR PROFESSIONNEL. Conservation : Jusqu’à suppression / anonymisation — durée d’inactivité À VALIDER PAR PROFESSIONNEL. Destinataires : Better Auth (auto-hébergé), hébergeur À RENSEIGNER, Neon si configuré
• Sorties et participants. Organiser, rejoindre, liste d’attente, occupation des places. Base : Exécution du contrat. Conservation : Historique des sorties conservé ; places actives annulées à la suppression. Destinataires : Autres participants de la sortie (prénom, badges). Pas de destinataire publicitaire.
• Tables partenaires / seat_bookings. Réserver une place sur une session d’offre, restituer l’occupation. Base : Exécution du contrat. Conservation : Places actives annulées à la suppression ; lignes conservées avec le ledger. Destinataires : Professionnel du lieu (prénom). Admin. Pas de revente.
• Localisation. Trier les sorties « Autour de moi ». Base : Consentement (permission navigateur à l’action). Conservation : 30 minutes sessionStorage, jamais serveur. Destinataires : Tuiles OSM / CARTO (bbox de la vue, IP). Position GPS non postée au serveur Sortili ni à Mapbox/Google.
• Paiement / ledger. Préautorisation, capture, remboursement, commission 5 %. Base : Contrat + obligation légale visée si encaissement réel (comptable) — À VALIDER PAR PROFESSIONNEL. Conservation : Conservé après suppression de compte (preuve / fraude / compta visée 10 ans SI LIVE). Destinataires : Stripe lorsqu’activé (aujourd’hui DEMO / TEST BLOCKED). Pas de PAN chez Sortili.
• Professionnels. Dossier Sortili Pro, offres, créneaux, Connect (si activé). Base : Contrat Pro — À VALIDER PAR PROFESSIONNEL. Conservation : Tant que le dossier existe ; SIRET saisi en DEMO n’est pas un contrôle greffe ; PII anonymisée à la suppression. Destinataires : Admin Sortili. Stripe Connect BLOCKED.
• Messages, avis, signalements. Communication de groupe, confiance, modération. Base : Contrat ; intérêt légitime (sécurité / UGC) — À VALIDER PAR PROFESSIONNEL. Conservation : Messages retirés à la suppression ; avis conservés (auteur « Compte supprimé ») ; signalements archivés — durée À VALIDER PAR PROFESSIONNEL. Destinataires : Modération / Admin. Pas de revente.
• Matching, notifications, favoris. Proposer des sorties, informer in-app, mémoriser un favori. Base : Contrat / intérêt légitime — À VALIDER PAR PROFESSIONNEL. Conservation : Supprimés à la suppression de compte. Pas de push natif (APNs/FCM absents).. Destinataires : Aucun tiers de mesure. Pas de FCM.
• Sécurité / journaux. Preuve d’actions sensibles, sanctions, suppression de compte. Base : Intérêt légitime / obligation légale visée — À VALIDER PAR PROFESSIONNEL. Conservation : Conservés après anonymisation du profil — durée À VALIDER PAR PROFESSIONNEL. Destinataires : Admin. Pas de revente.
• Demandes RGPD. Tracer accès complémentaire, limitation, opposition. Base : Obligation légale visée — À VALIDER PAR PROFESSIONNEL. Conservation : Ticket interne conservé — durée À VALIDER PAR PROFESSIONNEL. Traitement humain À RENSEIGNER (éditeur).. Destinataires : Admin / futur DPO À RENSEIGNER.

Géolocalisation

La position précise du terminal est demandée au moment où l’utilisateur déclenche une fonction de proximité, et non automatiquement à l’ouverture. La dernière position navigateur est conservée temporairement en session selon le fonctionnement décrit par le produit. L’utilisateur peut refuser l’autorisation de localisation dans son navigateur ou son système d’exploitation.

Indépendamment de cette géolocalisation précise, Sortili peut estimer automatiquement le pays, la région et la ville à partir de l’adresse IP pour le tableau de présence en direct réservé à l’administration. Cette estimation peut être imprécise, notamment avec un VPN, un relais privé, un réseau mobile ou certains fournisseurs d’accès.

Hébergement et sous-traitants

• Railway Corporation — hébergement de l’application publique. Adresse : 548 Market St, PMB 68956, San Francisco, California 94104, États-Unis. Railway indique que des données peuvent être traitées aux États-Unis et prévoit un DPA ainsi que les mécanismes contractuels applicables aux transferts.
• IPWhois.io — géolocalisation approximative d’une adresse IP en pays, région et ville pour la télémétrie de présence. L’IP publique est transmise au service uniquement pour effectuer la résolution géographique ; Sortili n’enregistre pas l’IP complète dans sa table de présence.
• Neon (PostgreSQL) — si DATABASE_URL est fournie — Base partagée (configured_when_env). Données : comptes, sorties, paiements, messages. Transfert : selon le projet Neon (hors EEE possible — À RENSEIGNER).
• PGLite (local) — Base embarquée de prévisualisation (active). Données : mêmes schémas, instance processus. Transfert : aucun (mémoire locale).
• Better Auth (auto-hébergé) — Comptes et sessions (active). Données : e-mail, nom, hash mot de passe, sessions, IP, user-agent. Transfert : aucun en soi.
• Grok auth broker — Google / X — Connexion fédérée, si l’utilisateur clique (configured_when_env). Données : identifiant, e-mail, avatar selon le fournisseur. Transfert : vers Google ou X au moment du clic.
• Stripe — Paiement TEST/LIVE lorsqu’il sera activé (demo_only). Données : montant, identifiants de paiement — pas de PAN stocké chez Sortili. Transfert : Stripe (États-Unis possibles) — inactif tant que TEST = BLOCKED.

Durées de conservation

• Compte actif. jusqu’à suppression ou inactivité — durée exacte À VALIDER PAR PROFESSIONNEL
• Compte supprimé (profil). anonymisé immédiatement ; e-mail de connexion remplacé
• Messages. corps remplacé par « message retiré » à la suppression du compte
• Ledger / paiements. conservé (obligation comptable visée 10 ans si encaissement réel) — aujourd’hui DEMO. Durée LIVE : À VALIDER PAR PROFESSIONNEL
• Réservations / seat_bookings. places actives annulées à la suppression ; lignes historiques conservées avec le ledger
• Avis. conservés, auteur affiché « Compte indisponible »
• Signalements / security_events. conservés le temps de la modération / preuve — durée exacte À VALIDER PAR PROFESSIONNEL
• Tickets RGPD / support. conservés pour tracer la demande — durée À VALIDER PAR PROFESSIONNEL
• Sessions. révoquées à la suppression ; sinon expiration Better Auth
• Matching / notifications / favoris. supprimés à la suppression de compte
• Position. 30 minutes en sessionStorage, jamais persistée serveur
• Professionnel (PII). SIRET / téléphone / e-mail Pro anonymisés à la suppression ; dossier conservé pour le ledger des tables
• Présence en direct. Les lignes de présence (empreinte IP, IP masquée et localisation IP approximative) sont supprimées après 24 heures au plus tard lors du nettoyage automatique ; seules les 60 dernières secondes sont considérées comme « en ligne » dans le tableau Admin.

Vos droits

• Accès / portabilité. Profil → Confidentialité → Exporter mes données (JSON). Export incomplet des secrets et du PAN (inexistant).
• Rectification. Profil → Modifier le profil.
• Effacement. Profil → Confidentialité → Supprimer mon compte (anonymisation serveur, ledger conservé, places partenaires libérées).
• Opposition / limitation. Centre de confidentialité → demande enregistrée (ticket interne). Pas d’e-mail inventé : contact éditeur À RENSEIGNER.
• Retrait du consentement. Géolocalisation : Gérer mes cookies / oublier la position. OAuth : se déconnecter. Pas de cookies publicitaires à retirer.
• Réclamation. CNIL (France) — www.cnil.fr. Identité du responsable : À RENSEIGNER.

Le parcours de gestion disponible dans l’application se trouve dans le centre de confidentialité. Une demande peut aussi être adressée au contact vie privée dès que celui-ci est renseigné.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL via son site officiel.

Cookies et traceurs

Voir la page cookies et traceurs. Aucun traceur publicitaire ou d’analytics soumis au consentement n’est déclaré actif dans la version actuelle. Si un tel traceur est ajouté, il devra être bloqué jusqu’au recueil préalable du consentement lorsque la loi l’exige, avec un refus aussi simple que l’acceptation.

Points à valider avant ouverture commerciale

• Identité de l’éditeur, forme, SIREN/SIRET, siège, capital, TVA
• Directeur de publication et coordonnées LCEN
• Hébergeur de production (raison sociale, adresse, téléphone)
• Désignation d’un DPO ou d’un contact vie privée opérationnel
• Médiateur de la consommation
• Bases légales du registre des traitements
• Durées de conservation (inactivité, signalements, tickets, ledger LIVE)
• Information précontractuelle et exception L221-28 avant tout encaissement réel
• Âge minimum store / alcool potentiel / UGC
• Opposabilité CGU/CGV une fois l’éditeur identifié
• Transferts hors EEE (Neon, Stripe, Google/X) et clauses

Statut de revue : À VALIDER PAR PROFESSIONNEL.

Sortili héberge des contenus d’utilisateurs (UGC). Un signalement et une file de modération existent. Cela ne constitue pas une conformité DSA certifiée. Point de contact : À RENSEIGNER.

Règles d’usage : charte de la communauté.