Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement est Jacques Billet — entrepreneur individuel — SIRET 104 846 639 00011, 67 avenue Louis Wallé, 94470 Boissy-Saint-Léger, France. Contact : contact@scubalia.com.

2. Données collectées et finalités

• Compte : adresse email, mot de passe (haché), nom d'affichage — pour créer et sécuriser ton compte (base légale : exécution du contrat).
• Profil plongeur : niveau de certification, préférences de recherche — pour personnaliser les recommandations (exécution du contrat).
• Carnet de plongée : plongées, observations d'espèces, photos — pour ton journal personnel ; les observations agrégées et anonymisées affinent les fenêtres de saisonnalité (intérêt légitime).
• Abonnement : statut d'abonnement et forfait en cours — le paiement est traité par Stripe, Scubalia ne stocke aucune donnée bancaire.

Mesure d'audience — et pourquoi il n'y a pas de bandeau

Le site ne dépose aucun cookie de mesure. Les pages consultées sont comptées de deux façons, toutes deux agrégées : côté serveur (la date du jour, le chemin de la page, la langue de lecture), et par Plausible Analytics, un service de mesure d'audience SANS COOKIE que nous employons comme sous-traitant. Ni l'un ni l'autre ne conserve d'adresse IP, ne crée d'identifiant de visiteur, ne suit personne d'un site à l'autre, ni ne rapproche quoi que ce soit d'un compte. Plausible héberge ces mesures en France et opère son application de mesure depuis l'Allemagne : elles ne quittent pas l'Union européenne.

Ce qui est compté, ce sont des affichages de page, pas des visiteurs : sans identifiant, deux lectures par la même personne comptent pour deux. Les espaces personnels — compte, carnet de plongée, espaces de club — sont exclus de la mesure. C'est parce qu'aucune de ces mesures n'identifie personne, ne suit personne d'un site à l'autre et ne sert qu'à savoir quelles pages sont lues, qu'elles relèvent de l'exemption prévue pour la mesure d'audience et qu'aucun bandeau de consentement n'est demandé. Les données agrégées du comptage serveur sont conservées 25 mois, puis effacées.

Être prévenu des nouveautés sans créer de compte

Un formulaire permet de laisser une adresse e-mail pour être prévenu des nouveautés du service, sans créer de compte. La finalité est étroite et fermée : ouverture du service, nouvelles destinations au catalogue, nouveaux conseils de sécurité. Cette adresse n'est ni revendue, ni transmise à un tiers, ni rapprochée d'un compte existant, et ne sert à aucune sollicitation commerciale individuelle. Les données collectées se limitent à l'adresse e-mail, à la langue de lecture et à la page d'où vient l'inscription. La base légale est le consentement (article 6.1.a du RGPD).

L'inscription se fait en deux temps (double opt-in) : laisser son adresse ne suffit pas, un message de confirmation est envoyé et seul le clic qu'il contient rend l'inscription effective. Aucun autre message n'est envoyé à une adresse non confirmée. Ce mécanisme existe parce qu'un formulaire public permettrait sinon à quiconque d'inscrire l'adresse d'un tiers et de lui faire envoyer des messages en notre nom.

Chaque message, y compris celui de confirmation, contient un lien de retrait qui agit en un clic, sans connexion et sans confirmation supplémentaire. Une adresse retirée ne peut pas être remise dans la liste par un tiers : une nouvelle confirmation de la personne concernée est exigée. Les droits d'accès, de rectification, d'effacement et d'opposition s'exercent également par écrit auprès du responsable de traitement indiqué plus haut.

Une adresse laissée mais jamais confirmée est effacée automatiquement au bout de trente jours : conserver une adresse dont le consentement n'a pas été donné reviendrait à conserver un consentement qu'on n'a pas. Les adresses retirées sont en revanche conservées, précisément pour que le retrait ne puisse pas être défait par une réinscription venue de quelqu'un d'autre.

3. Hébergement : données en France

Les données sont hébergées en France : base de données Supabase (AWS région eu-west-3, Paris) et infrastructure applicative et fichiers Scaleway (région fr-par, Paris).

4. Destinataires et sous-traitants

Les données ne sont ni vendues ni cédées. Sous-traitants techniques : Supabase (base de données, authentification), Scaleway (hébergement, stockage de fichiers), Brevo (envoi d'emails transactionnels), Mistral (assistance et traduction, France), Stripe (paiement, à venir). Deux services sont appelés directement par ton navigateur, sans compte ni cookie : OpenFreeMap (fonds de carte) et Open-Meteo (recherche de villes et conditions). Ils reçoivent ton adresse IP le temps de répondre, et rien d'autre. La Base Adresse Nationale (service public français) est consultée depuis nos serveurs, jamais par ton navigateur, pour proposer des adresses pendant la saisie : elle reçoit le texte tapé — ou le seul code postal sur une fiche d'adhérent — et ni ton adresse IP, ni ton nom, ni ton compte.

Supabase, Scaleway, Brevo et Mistral traitent tes données dans l'Union européenne. Stripe fait exception : le contrat est conclu avec Stripe Payments Europe (Irlande), mais des données de paiement peuvent être transférées à Stripe, Inc. aux États-Unis, encadrées par les clauses contractuelles types de la Commission européenne. Nous le disons parce que c'est vrai, et parce qu'une page qui affirmerait « tout reste en Europe » t'induirait en erreur sur ce point précis.

5. Durées de conservation

Les données du compte sont conservées tant que le compte est actif, puis supprimées dans un délai de 30 jours après suppression du compte (hors obligations légales de conservation, notamment comptables).

Une exception mérite d'être nommée plutôt que rangée sous « obligations légales » : le journal d'audit, qui trace les actions sensibles (consentements, suppressions, rétractations, actes d'administration), est conservé 5 ans et survit à la suppression du compte — c'est ce qui permet d'établir plus tard qui a consenti à quoi, et quand. Ce qui y survit ne te désigne plus : ton adresse email n'y est pas enregistrée, et les adresses IP y sont réduites à leur préfixe réseau.

Comptes inactifs à l'issue de l'essai. Un compte dont l'essai gratuit de 30 jours s'achève sans abonnement conserve ses données pendant 30 jours supplémentaires ; au terme de ce délai, le compte et les données associées sont supprimés définitivement. Cinq messages d'information précèdent cette suppression (sept jours, trois jours et la veille de la fin de l'essai, le jour de son expiration, puis trois jours avant la suppression), et l'export des données reste possible jusqu'au dernier jour. Ce dispositif applique le principe de limitation de la conservation (art. 5.1.e du RGPD) : nous ne gardons pas indéfiniment les données de personnes qui n'utilisent plus le service.

Comptes clients sans forfait actif. Un compte ayant souscrit au moins un forfait payant reste ouvert pendant douze mois après la fin de son dernier forfait : les données existantes restent lisibles et exportables, les nouveaux ajouts suivent les limites du niveau découverte. Sans nouvel achat au terme de ces douze mois, l'accès est suspendu, puis le compte et les données associées sont supprimés définitivement 30 jours plus tard — précédés des mêmes messages d'information que ci-dessus, l'export restant possible jusqu'au dernier jour.

6. Tes droits

Tu disposes des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition, exerçables par email à contact@scubalia.com. Tu peux introduire une réclamation auprès de l’autorité de contrôle de ton pays de résidence (art. 77 du RGPD), et auprès de la nôtre, la CNIL (cnil.fr).

7. Cookies

Scubalia n'utilise à ce jour que des cookies strictement nécessaires (session de connexion) — exemptés de consentement. Aucun cookie publicitaire ni traceur tiers. Cette politique sera mise à jour si des outils de mesure d'audience sont ajoutés.

La version française fait foi.

Version du 2026-09-14.