Politique de confidentialité

Dernière mise à jour : 12 septembre 2026

Cette politique décrit comment HipHip (ci-après « le service ») collecte, utilise et protège vos données personnelles dans le cadre du Règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.

Notre principe : nous collectons le strict minimum nécessaire au fonctionnement du service. Aucune donnée n'est vendue, louée ou cédée à des tiers à des fins commerciales.

1. Responsable du traitement

Le responsable du traitement est l'éditeur de HipHip, qui exerce à titre personnel et non professionnel et a choisi de préserver son anonymat à l'égard du public, conformément à la LCEN (voir les mentions légales).

Pour toute question concernant vos données personnelles ou pour exercer vos droits, contactez : bisouslebo@gmail.com.

2. Données que nous collectons

Nous collectons uniquement les données suivantes :

Données de compte

adresse email (utilisée comme identifiant de connexion et pour vous contacter au sujet du service) ;
mot de passe, jamais stocké en clair : seule son empreinte cryptographique (hash bcrypt salé) est conservée ;
dates de création et de dernière mise à jour du compte.

Données d'usage du service

matières et cours que vous créez (nom, couleur, description, ordre) ;
sessions de révision planifiées (dates, méthode, durée, auto-évaluation, notes personnelles) ;
préférences d'affichage (vue par défaut, intervalles de la méthode des J) ;
image de fond de votre calendrier si vous en téléversez une, et ses paramètres d'affichage (position, échelle, opacité, rotation).

Données techniques minimales

journaux serveur (adresse IP, horodatage, requête HTTP) conservés temporairement pour assurer la sécurité du service et résoudre les incidents ;
en cas d'erreur applicative, un rapport technique est envoyé à notre outil de suivi d'erreurs auto-hébergé (voir section 8).

Ce que nous ne collectons pas : aucune donnée bancaire, aucune donnée de géolocalisation précise, aucune donnée biométrique, aucune donnée provenant de tiers ou de réseaux sociaux.

3. Finalités et bases légales du traitement

Chaque traitement repose sur une base légale précise au titre de l'article 6 du RGPD :

Fourniture du service (compte, données pédagogiques, préférences, image de fond). Base légale : exécution du contrat qui vous lie au service (art. 6.1.b). Sans ces données, le service ne peut pas fonctionner.
Sécurité du service et prévention des abus (journaux, limitation de débit, suivi d'erreurs). Base légale : intérêt légitime de l'éditeur à maintenir un service fiable et sécurisé (art. 6.1.f).
Mesure d'audience anonyme (statistiques agrégées sans cookies). Base légale : intérêt légitime à comprendre l'utilisation globale du service afin de l'améliorer (art. 6.1.f).

4. Durée de conservation

Données du compte et données d'usage : conservées tant que votre compte est actif. Vous pouvez supprimer votre compte à tout moment depuis vos paramètres.
Après suppression du compte : effacement immédiat et définitif des données de la base de production. Elles peuvent néanmoins persister jusqu'à 7 jours dans les sauvegardes automatiques de l'hébergeur, avant d'être écrasées par les rotations de sauvegardes.
Journaux serveur : conservés en rotation automatique par le système (systemd-journald), selon un quota d'espace disque ; les entrées les plus anciennes sont écrasées au fil de l'eau, généralement après plusieurs semaines à plusieurs mois selon le volume.
Rapports d'erreurs techniques : conservés sur notre outil de suivi auto-hébergé selon un quota de stockage ; les rapports les plus anciens sont automatiquement purgés lorsque le quota est atteint.
Logs d'audit de suppression : un identifiant interne (sans email ni nom) est conservé pour des raisons de sécurité et de conformité, sans permettre de vous identifier directement.

5. Destinataires des données

Aucune donnée n'est partagée avec des tiers à des fins commerciales. Les seuls destinataires sont :

L'éditeur du service, pour la gestion technique et le support.
L'hébergeur OVH SAS, en sa qualité de sous-traitant technique (stockage des serveurs et sauvegardes).
Les autorités judiciaires ou administratives, exclusivement sur réquisition légale.

6. Localisation des données et transferts

Vos données sont hébergées sur un serveur OVH situé dans le centre de données de Francfort (Allemagne). L'Allemagne étant membre de l'Union européenne, vos données sont protégées par le RGPD et ne font l'objet d'aucun transfert hors de l'Union européenne.

7. Cookies et stockage local

Le service utilise uniquement des cookies et un stockage local strictement nécessaires à son fonctionnement. Aucune bannière de consentement n'est requise pour ces traceurs au titre de l'article 82 de la loi Informatique et Libertés.

Cookie de session : permet de vous maintenir connecté. Sa durée de vie est limitée à votre session et il est automatiquement supprimé lorsque vous vous déconnectez.
Cookie de protection CSRF : empêche certaines attaques de falsification de requête. Strictement technique.
Stockage local du navigateur : retient votre préférence de langue et quelques préférences d'affichage. Ces données restent sur votre appareil et ne nous sont pas transmises, à l'exception de la barre latérale (voir ci-dessous).
Cookie de préférence d'affichage : retient si vous avez replié la barre latérale, pour que les pages s'affichent directement dans cette disposition. Il ne contient que cette valeur et expire au bout d'un an.

Aucun cookie publicitaire, de profilage ou de tracking inter-sites n'est utilisé.

8. Outils tiers et sous-traitants

Tous les outils utilisés pour faire fonctionner HipHip sont auto-hébergés sur la même infrastructure OVH (Francfort, UE). Aucune donnée n'est envoyée à des prestataires externes.

Umami (mesure d'audience, auto-hébergé) : collecte des statistiques de visite anonymes (page vue, type de navigateur, pays). Umami n'utilise pas de cookie et ne permet pas d'identifier un visiteur individuel ou de le suivre dans le temps.
Bugsink (suivi d'erreurs, auto-hébergé) : enregistre les erreurs applicatives pour pouvoir les corriger. Un rapport d'erreur contient l'URL où l'erreur s'est produite, le type de navigateur (User-Agent), le message d'erreur et la trace d'exécution technique. Lorsque vous êtes connecté, votre identifiant interne (un code aléatoire, sans votre email ni votre nom) est joint pour permettre le diagnostic. Les rapports sont purgés régulièrement.

9. Sécurité des données

Nous mettons en œuvre des mesures techniques raisonnables pour protéger vos données :

chiffrement des communications entre votre navigateur et le serveur via HTTPS (TLS) ;
mots de passe stockés sous forme de hash bcrypt salé (jamais en clair, jamais réversible) ;
limitation du débit des requêtes pour prévenir les attaques par force brute et les abus ;
protection contre les attaques CSRF et XSS au niveau de l'application ;
accès aux serveurs restreint et journalisé.

Aucun système ne peut garantir une sécurité absolue. En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, vous en serez informé dans un délai conforme aux exigences du RGPD.

10. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données :

Droit d'accès : obtenir une copie des données que nous détenons sur vous.
Droit de rectification : corriger des données inexactes ou incomplètes.
Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données.
Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine. Une fonction d'export est directement disponible dans vos paramètres.
Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime.
Droit à la limitation du traitement.
Droit de définir des directives relatives au sort de vos données après votre décès.

11. Comment exercer vos droits

Plusieurs droits peuvent être exercés directement depuis vos paramètres de compte (onglet « Compte ») :

modifier votre mot de passe, ce qui déconnecte vos autres appareils ;
exporter l'intégralité de vos données dans un fichier JSON structuré (droit à la portabilité) ;
réinitialiser le contenu de votre espace, c'est-à-dire effacer vos matières, cours et sessions sans supprimer votre compte ;
supprimer définitivement votre compte et l'ensemble des données associées (droit à l'effacement).

Pour les autres droits (accès, rectification de votre email, opposition, limitation, directives post-mortem) ou pour toute autre demande, écrivez à bisouslebo@gmail.com. Nous vous répondrons dans un délai d'un mois maximum, conformément au RGPD. Nous pourrons vous demander de justifier votre identité pour éviter toute usurpation.

12. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Site : www.cnil.fr.

13. Mineurs

L'accès à HipHip est réservé aux personnes âgées d'au moins 15 ans, conformément à l'article 7-1 de la loi Informatique et Libertés. En utilisant le service, vous attestez avoir atteint cet âge. Si vous avez moins de 15 ans, vous ne devez pas utiliser le service sans le consentement préalable de vos parents ou tuteurs légaux. Si nous apprenons qu'un compte appartient à une personne de moins de 15 ans sans consentement parental, il sera supprimé.

14. Modifications de cette politique

Cette politique peut évoluer pour refléter les changements du service ou des obligations légales. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle, vous serez informé par un message visible dans l'application ou par email.