Politique de confidentialité

Chez GlobeCrush, la protection de tes données personnelles est une priorité. Cette politique explique quelles données nous collectons, pourquoi, combien de temps nous les conservons, avec qui nous les partageons, et comment exercer tes droits.

La présente politique est conforme au Règlement (UE) 2016/679 (RGPD) et à la loi française Informatique et Libertés modifiée.

1. Responsable du traitement

Le responsable du traitement de tes données est :

• B&G DIGITAL
• 5 rue des Châtaigniers, 78320 Lévis-Saint-Nom
• Représentant légal : Matteo Bailly
• Contact : legal@globecrush.fr

2. Données que nous collectons

2.1 Données de compte (obligatoires)

• Adresse email
• Prénom ou pseudo affiché aux autres voyageurs
• Date de naissance (pour vérifier la majorité)
• Mot de passe (haché, jamais stocké en clair)
• Photo de profil (au moins 1 obligatoire)

2.2 Données de profil (facultatives)

• Courte présentation, langues parlées, habitudes de voyage
• Destinations déclarées et dates de séjour, lorsque tu utilises la fonctionnalité « Destinations »
• Préférences d'affichage (rayon de proximité, notifications)

2.3 Données de trajet (vol ou train)

Lorsque tu ajoutes un trajet, nous collectons le numéro de vol ou de train que tu saisis et les informations publiques associées (transporteur, gares ou aéroports de départ et d'arrivée, horaires), afin de te rattacher au bon avion ou à la bonne rame et d'afficher les autres voyageurs qui ont déclaré le même trajet. Ces informations sont vérifiées auprès de fournisseurs de données de transport (voir §6). Ton trajet n'est visible que des personnes ayant déclaré le même trajet.

2.4 Géolocalisation (uniquement si tu actives la Proximité)

La fonctionnalité « Proximité » repose sur ta position approximative (latitude/longitude avec une précision volontairement réduite à environ 500 m). Elle est collectée uniquement lorsque tu actives la fonctionnalité et que l'application est ouverte : nous ne suivons pas tes déplacements en arrière-plan et nous ne construisons pas d'historique de localisation. Tu peux désactiver la géolocalisation à tout moment dans les réglages de ton appareil ou de l'app, sans incidence sur les autres fonctionnalités.

2.5 Messages et interactions

• Conversations privées ouvertes avec d'autres voyageurs
• Contenu des messages échangés (chiffrés en transit)
• Signalements et blocages que tu effectues ou dont tu fais l'objet

2.6 Vérification d'identité et de majorité

Pour garantir un espace réservé aux personnes majeures, la vérification d'identité est réalisée par Stripe Identity. Ton document d'identité et ton selfie sont transmis directement à Stripe, qui agit en qualité de sous-traitant : B&G DIGITAL ne conserve ni ton document ni ta photo de vérification, mais uniquement le résultat (vérifié / non vérifié), la date et la confirmation de majorité.

2.7 Notifications push (opt-in)

Si tu les acceptes, nous enregistrons l'identifiant de notification de ton appareil pour te prévenir d'un nouveau message ou de l'arrivée d'un voyageur sur ton trajet. Tu peux les désactiver à tout moment dans les réglages.

2.8 Données techniques

• Identifiant de l'appareil, modèle, OS, version de l'app
• Adresse IP (anonymisée après 30 jours)
• Logs de plantage anonymisés (via Sentry)
• Statistiques d'usage agrégées et anonymes

2.9 Liste d'attente du site

Avant le lancement de l'application, le site https://globecrush.fr propose une inscription à une liste d'attente. À cette occasion, nous collectons :

• Ton adresse email
• De façon facultative, un numéro de vol ou de train que tu saisis toi-même pour tester la recherche

Finalité : te prévenir du lancement et t'envoyer, le cas échéant, quelques informations sur l'ouverture du service. Base légale : ton consentement (art. 6.1.a RGPD), recueilli lors de l'inscription. Conservation : jusqu'au lancement du service, puis 12 mois maximum, ou jusqu'à ta désinscription si elle intervient avant. Destinataires : Supabase (stockage, hébergement dans l'Union européenne) et Resend (envoi des emails). Ces données ne sont jamais revendues ni utilisées à des fins publicitaires. Tu peux te désinscrire à tout moment via le lien présent dans chaque email ou en écrivant à legal@globecrush.fr.

2.10 Données que nous ne collectons pas

Nous ne collectons aucune donnée sensible au sens de l'article 9 du RGPD : ni origine, ni opinions politiques ou religieuses, ni orientation sexuelle, ni données de santé. Nous ne collectons pas non plus tes coordonnées bancaires : les paiements sont traités par les plateformes indiquées au §6.

3. Finalités du traitement

Nous utilisons tes données pour :

• Faire fonctionner le service (rattachement à ton trajet, proximité en gare ou en aéroport, destinations, messagerie)
• Vérifier ta majorité (obligation légale et sécurité)
• Sécuriser la plateforme (détection de fraudes, modération)
• Améliorer le produit (statistiques anonymes)
• Communiquer avec toi (emails de service, notifications opt-in)
• Répondre à tes demandes (aide, exercice de droits RGPD)

4. Base légale du traitement

• Exécution du contrat (art. 6.1.b RGPD) — pour les données nécessaires au fonctionnement du service (compte, profil, vol déclaré, messagerie).
• Consentement (art. 6.1.a RGPD) — pour la géolocalisation de la fonctionnalité Proximité, les notifications push, la liste d'attente et les emails d'information.
• Intérêt légitime (art. 6.1.f RGPD) — pour la sécurité, la lutte contre la fraude, les statistiques anonymes.
• Obligation légale (art. 6.1.c RGPD) — pour la vérification de la majorité et la conservation d'éléments de preuve (lutte contre les contenus illicites, art. 6 LCEN).

5. Durée de conservation

• Compte actif : pour toute la durée d'utilisation du service.
• Compte supprimé : suppression définitive sous 30 jours après ta demande (sauf obligation légale de conservation).
• Compte inactif : nous t'envoyons un email après 24 mois d'inactivité. Sans réponse, le compte est supprimé.
• Vol déclaré : 30 jours après la date du vol, puis suppression.
• Position de proximité : jamais historisée. Seule ta dernière position approximative est conservée le temps de la session, puis supprimée sous 24 heures.
• Messages : conservés tant que la conversation existe, et supprimés avec ton compte.
• Liste d'attente : jusqu'au lancement, puis 12 mois maximum.
• Logs techniques / IP : 12 mois maximum (art. L34-1 CPCE).
• Données de modération (signalements, bannissements) : 5 ans, pour empêcher la création de nouveaux comptes par des utilisateurs bannis.
• Données comptables et de transaction : 10 ans (obligation comptable et fiscale).

6. Destinataires et sous-traitants

Tes données sont accessibles aux services internes de B&G DIGITAL(équipe technique, aide aux utilisateurs, modération) et à nos sous-traitants strictement nécessaires au fonctionnement du service :

• Supabase (hébergement de la base de données, infrastructure AWS UE) — clauses contractuelles types
• Vercel (hébergement du site et de l'API) — clauses contractuelles types
• Sentry (monitoring d'erreurs anonymisées)
• Resend (envoi d'emails transactionnels et d'information)
• Stripe (vérification d'identité via Stripe Identity)
• Apple / Google (abonnements Premium achetés dans l'app, traités directement par eux selon leurs propres conditions)
• Fournisseurs de données de transport (Amadeus, AirLabs pour l'aérien ; référentiels ferroviaires) — vérification des numéros de trajet ; seul le numéro leur est transmis, jamais ton identité

Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins publicitaires.

7. Transferts hors UE

Tes données sont hébergées en Europe (Frankfurt, Paris, Dublin). Certains de nos sous-traitants (Sentry, Stripe, parfois Vercel) peuvent traiter ponctuellement des données aux États-Unis. Dans ce cas, le transfert est encadré par les clauses contractuelles types approuvées par la Commission européenne (décision 2021/914) et, lorsque applicable, le Data Privacy Framework.

8. Tes droits (art. 15 à 22 RGPD)

Tu disposes des droits suivants :

• Droit d'accès à tes données
• Droit de rectification des données inexactes
• Droit à l'effacement (droit à l'oubli)
• Droit à la limitation du traitement
• Droit à la portabilité de tes données (export JSON)
• Droit d'opposition au traitement
• Droit de retirer ton consentement à tout moment (sans incidence sur la licéité des traitements antérieurs)
• Droit de définir des directives relatives au sort de tes données après ton décès

Pour exercer ces droits, écris à legal@globecrush.fr avec une copie d'une pièce d'identité (pour vérifier ton identité). Nous te répondons sous 1 mois maximum.

9. Cookies et traceurs

Le site utilise des cookies essentiels (session, préférences) et, sous réserve de ton consentement, des cookies de mesure d'audience anonymisée. Voir notre politique cookies pour plus de détails.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées :

• Chiffrement TLS 1.3 pour toutes les communications
• Mots de passe stockés en hash bcrypt
• Accès aux données restreint et journalisé
• Audits de sécurité réguliers
• Procédure de notification de violation sous 72h (art. 33 RGPD)

11. Mineurs

Le service est strictement réservé aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs. Si un compte de mineur est porté à notre connaissance, il est supprimé et les données associées effacées sans délai. Tout signalement peut être adressé à legal@globecrush.fr.

12. Délégué à la protection des données (DPO)

En tant que petite structure, nous n'avons pas désigné de DPO formel. Cependant, un référent vie privée traite toutes les demandes liées aux données personnelles : legal@globecrush.fr.

13. Réclamation auprès de la CNIL

Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• 3 place de Fontenoy, 75007 Paris
• Téléphone : 01 53 73 22 22
• cnil.fr/fr/plaintes

14. Modifications

Nous pouvons modifier cette politique de confidentialité. Toute modification substantielle te sera notifiée par email et/ou notification in-app au moins 30 jours avant son entrée en vigueur. La date de dernière mise à jour figure en haut de cette page.